Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Hijack von neuling ;-) please help

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 06.11.2004, 14:24   #1
delpierro
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



hallo bin neu hier, und habe gelesen ich sollte mal nen hijack durchlaufen lassen und hier posten!
habe schon folgende viren bei mir gelöscht:

win32.trojan-gen
worm/rbot.rw
dial/generic sind soweit auch vom system verschwunden, zumindest sagt mir das mein antivir!
aber ich habe nen problem mit einem im archiv befindlichen virus o. backdoor!?!?
es handelt sich um bds/servU.A
desweiteren habe ich trojan coldrage.a drauf!?!? oder schon gelsöcht!?!?
und in meinem ordner C:winnt\system32 sind komische dateien
z.b. kill.exe
ServUDaemon.exe
ServUDaemon.ini
ServUcert.key etc

hatte auch schon ne firedaemon.exe das ist ja nen trojaner oder? gehört ServUDaemon.exe etc. auch dazu? wie bekomme ich die runter?!?

fragen über frage, aber ich hoffe ihr könnt mir helfen???

mein hijack-......

Logfile of HijackThis v1.98.2
Scan saved at 15:10:15, on 06.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\DATEV\PROGRAMM\ASA\WinNT\Server\DBSRV6.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\DATEV\SYSTEM\PSNTSERV.EXE
C:\DATEV\PROGRAMM\B0000000\DFUEMNGR\DcManag.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\DATEV\PROGRAMM\INSTALL\AdlServ.Exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\DATEV\PROGRAMM\A0000007\DHNC.exe
C:\DATEV\PROGRAMM\B0000000\DFUEMNGR\DfueMan.exe
C:\Programme\FRITZ!\IWatch.exe
C:\DATEV\PROGRAMM\Sws\LimaServer.exe
C:\Programme\Psion\PsiWin\Psconsv.exe
C:\WINDOWS\system32\RZPJWTCH.EXE
C:\PROGRA~1\Psion\PsiWin\Elogerr.exe
C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
C:\DATEV\PROGRAMM\B0000299\as\as.exe
C:\DATEV\PROGRAMM\B0000299\as\as.exe
C:\DATEV\PROGRAMM\B0000301\aida\aida.exe
C:\DATEV\PROGRAMM\B0000301\MP\MP.exe
C:\DATEV\PROGRAMM\B0000301\NF\NF.exe
C:\DATEV\PROGRAMM\B0000000\RZNRDAEM\rznrdaem.exe
C:\WINDOWS\System32\cmd.exe
C:\WINDOWS\system32\ping.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\TAMARA~1.REH\LOKALE~1\Temp\Rar$EX00.485\HijackThis.exe
C:\DOKUME~1\TAMARA~1.REH\LOKALE~1\Temp\Rar$EX00.969\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SfWinStartInfo] C:\SFIRM32\sfWinStartupInfo.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [DVCCSAWTSSetEntryNTE] C:\DATEV\PROGRAMM\B0000150\ScWTS\DVCCSAWTSSetEntryNTE.exe on
O4 - HKLM\..\Run: [CSINIT] C:\WINDOWS\System32\spool\DRIVERS\W32X86\CSINIT.EXE
O4 - HKLM\..\Run: [DATEV Anmeldescript] C:\WINDOWS\DATEV.BAT
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - Global Startup: DATEV-Hinweis Mitteilungsdienst.lnk = C:\DATEV\PROGRAMM\A0000007\DHNC.exe
O4 - Global Startup: DFÜ-Manager.lnk = C:\DATEV\PROGRAMM\B0000000\DFUEMNGR\DfueMan.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Lizenz-Manager Server V.1.0.lnk = C:\DATEV\PROGRAMM\Sws\LimaServer.exe
O4 - Global Startup: PsiWin 2.3 Verbindungsserver.lnk = C:\Programme\Psion\PsiWin\Psconsv.exe
O4 - Global Startup: RZPJWTCH.LNK = C:\WINDOWS\system32\RZPJWTCH.EXE
O4 - Global Startup: SFIRM32 Automat.lnk = C:\SFIRM32\SFAutomat.exe
O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.3.1_11) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{389CE102-7935-4ABC-82F6-D8AD3536F677}: NameServer = 192.168.112.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{4444ECAB-0446-4F96-AE5F-A2D81E12ED5B}: NameServer = 192.168.112.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{C14F451E-E5FA-43F7-8CBC-991129E69BA3}: NameServer = 192.168.1.1,0.0.0.0
O17 - HKLM\System\CS1\Services\Tcpip\..\{389CE102-7935-4ABC-82F6-D8AD3536F677}: NameServer = 192.168.112.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{389CE102-7935-4ABC-82F6-D8AD3536F677}: NameServer = 192.168.112.1

Alt 06.11.2004, 14:46   #2
raman
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



Das laesst mich denken, das du deinen Recner fuer Berufliche Zwecke nutzt:

C:\DATEV\PROGRAMM\B0000299\as\as.exe
C:\DATEV\PROGRAMM\B0000299\as\as.exe
C:\DATEV\PROGRAMM\B0000301\aida\aida.exe
C:\DATEV\PROGRAMM\B0000301\MP\MP.exe
C:\DATEV\PROGRAMM\B0000301\NF\NF.exe
C:\DATEV\PROGRAMM\B0000000\RZNRDAEM\rznrdaem.exe

setze dich daher mal mit jemanden in Verbindung, der dir Das System verkauft hat, bzw wartet. Denn neu aufsezen muss du deinen Rechner. Irgendjemand hat dir einen FTP-Server in deinen Rechner gepflanzt. Frage ist nun, wofuer er da ist, zum "klauen" deiner Daten oder spielt da jemand Daten auf deinen Rechner um diese wiederum mit Hilfe deines Rechners(als FTP-"Zombie"-Server) zu verteilen.

Es besteht da dringend Handlungsbedarf!
__________________

__________________

Alt 08.11.2004, 06:58   #3
delpierro
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



hey raman,

danke für deine infos!
wo sehe ich denn, das ein ftp prog. auf meinem rechner ist?
ist das der ausschnitt den du bei mir eingefügt hast?
wenn ja, gehört dies nicht zu meinem datev programm dazu?

gruß pierre
__________________

Alt 08.11.2004, 07:30   #4
raman
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



Ja, das was ich gelistet habe gehoert zu deinem Datev, darum meine Vermutung, das du deinen Rechner geschaeftlich nutzt und du entsprechend wichtige Daten auf deinem Rechner hast. Deshalb solltest du moeglichst schnell professionelle Hilfe in Anspruch nehmen, die sich um deinen Rechner kuemmern. SprichDaten Sichern, neu Aufsetzen(incl Passwoerter aendern usw.), Patches einspielen, deine Datev Programme neu installieren, die Daten dafuer ebenfalls ruecksichern und dein System so absichern, das du von dieser Art Malware oder generell Malware verschont bleibst. Vieleicht bieten sie ja sogar eine Fortbildung dafuer an!?

Den FTP Server den ich meine, ist servu(deamon.exe) http://www.serv-u.com/.

Du solltest da auch nicht so lange mit warten, wer weiss, ob/wieviel von deinen Daten schon im Internet rumschwirren!

[edit: Vortbildung! ]
__________________
MfG Ralf

Geändert von raman (08.11.2004 um 13:14 Uhr)

Alt 08.11.2004, 07:49   #5
delpierro
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



hallo raman,

danke für deinen rat!
ich hatte nämlich das problem, das in unserem netzwerk des öfteren unsere internet nicht mehr funktioniert hat! d.h. ich habe dann mal unseren router angpingt und die wert waren jenseits von gut uns böse (mit timout),
was bedeutet das wenn dieser serv-u bei mir drauf ist? habe gerade glück das das internet in der firma wieder funkts....
werden daten von mir gezogen oder wird mein rechner für andere dinge benutzt!? alls weiter bzw. zwischenleitung zu einem anderen server wo sachen gezogen werden (filme) etc!? wir meine dsl leitung genutzt? entschuldige wenn ich so schreibe, aber ich kenn mich da nicht so genau aus! ;-)

gibt es tools um den serv-u vorerst zu entfernen oder deaktivieren?
habe das ding auf meinem rechner im ordner winnt -> system 32 ordner gefunden! kann ich die komponenten einfach löschen?

ist es ausgeschlossen, das es zu irgendeinem programm von mir gehört? datev oder sfirm?

danke für deine hilfe!!!

pierre


Alt 08.11.2004, 11:38   #6
raman
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



Hui! Ihr arbeitet im Netz? Das ist kein Einzelrechner? Dann muesst ihr sofort etwas machen! Wer ist verantwortlich fuer das Netzwerk? Wenn ihr Pech habt, sind inzwischen alle Rechner mit rbot infiziert.

Was mit FTP Server gemacht wurde, bzw wofuer er installiert wurde, weiss ich nicht, aber macht was!

Es mag etwas ueberreagiert klingen, aber ich wollte meinen Kunden nicht erzaehlen wollen, wie ihre Daten zur Zeit (nicht) geschuetzt werden.
__________________
--> Hijack von neuling ;-) please help

Alt 08.11.2004, 12:53   #7
delpierro
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



im moment kümmert sich niemand drum! ausser ich! *smile*

ich habe die anderen rechner schon alle gescannt! wurde aber nichts gefunden!
was kann ich nun machen? warum rbot? dachte servu.a?!?

was passiert wenn ich die betroffenen dateien (serv.u.ini etc.) einfach aus dem ordner system 32 lösche?

was kann ich machen um zu sehen, ob die anderen rechner auch schon infiziert sind (ausser scannen?)

was kann ich ünerhaupt noch machen!?

gruß pierre

Alt 08.11.2004, 13:02   #8
Yopie
Moderator, a.D.
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



Zitat:
Zitat von delpierro
ich habe die anderen rechner schon alle gescannt! wurde aber nichts gefunden!
was kann ich nun machen? warum rbot? dachte servu.a?!?
Hast Du selbst geschrieben: worm/rbot.rw
Was macht Rbot: http://www.sophos.de/virusinfo/analyses/w32rbotor.html

Daraus folgt:
Zitat:
Zitat von delpierro
was kann ich ünerhaupt noch machen!?
http://oschad.de/wiki/index.php/Kompromittierung

Also sofort runter vom Netz! Vor dem Neuaufsetzen fachmännische Hilfe anfordern (was ist mit öffentlich verfügbaren Kundendaten, Bilanzdaten etc, liegt Straftat vor etc. ..). Evtl. muss der PC vorher genauestens untersucht werden. Das kann ein Forum in einem solchen Fall nicht leisten!

Gruß
Yopie

Alt 08.11.2004, 13:12   #9
raman
 
Hijack von neuling ;-) please help - Standard

Hijack von neuling ;-) please help



@Yopie :

Ich haett es nicht besser schreiben koennen.
__________________
MfG Ralf

Alt 10.11.2004, 06:41   #10
delpierro
 
Hijack von neuling ;-) please help - Reden

Hijack von neuling ;-) please help



danke für eure unterstützung!
das system wird neugemacht!

allerdings habe ich noch ne frage!?
und zwar habe ich bei uns im netzwerk in letzter zeit das problem, das unser internet nur ab und zu funktioniert!
auf den router komme ich noch drauf! störung liegt auch nicht vor, aber wenn ich den router anpinge bekomme ich anstatt 10 ms nur 600ms + 357 ms + timout + 423ms usw.
hängt das mit dem trojaner zusammen? aber das problem besteht auch wenn der betroffene rechner ausgeschaltet ist!
auch wenn keiner der mitarbeiter im internet ist, zeigt der router eine datenlast an!?

hoffe ihr helft mir wieder !

Antwort

Themen zu Hijack von neuling ;-) please help
adobe, antivir, avast, backdoor, bho, drivers, explorer, fritz!, handel, help, hijack, hijackthis, internet, internet explorer, meinem, neu, nvcpl.dll, ordner, please help, problem, programme, rundll, server, sfirm, symantec, system, tcpip, temp, trojaner, viren, virus, windows, windows xp



Ähnliche Themen: Hijack von neuling ;-) please help


  1. Totaler Neuling...
    Alles rund um Windows - 11.09.2012 (22)
  2. Neuling udn Hilfe
    Mülltonne - 05.11.2008 (0)
  3. Neuling mit Problem
    Mülltonne - 22.07.2008 (0)
  4. neuling
    Alles rund um Windows - 17.01.2008 (3)
  5. Neuling sucht Hilfe
    Log-Analyse und Auswertung - 13.12.2007 (4)
  6. Neuling bittet um Hilfe
    Log-Analyse und Auswertung - 23.04.2007 (6)
  7. HiJack Neuling braucht HILFE !!!
    Log-Analyse und Auswertung - 21.03.2007 (3)
  8. Neuling mit Problem
    Log-Analyse und Auswertung - 27.03.2006 (2)
  9. Neuling hat ein Log für Pros
    Log-Analyse und Auswertung - 12.02.2006 (11)
  10. Neuling hat Probleme
    Log-Analyse und Auswertung - 17.08.2005 (7)
  11. Neuling
    Log-Analyse und Auswertung - 01.04.2005 (2)
  12. hilfe für neuling
    Plagegeister aller Art und deren Bekämpfung - 25.01.2005 (17)
  13. Neuling.... HILFE !!!!
    Log-Analyse und Auswertung - 26.12.2004 (3)
  14. Bin Neuling, bitte helft mir !!!
    Log-Analyse und Auswertung - 10.10.2004 (5)
  15. PC Neuling braucht Hilfe
    Log-Analyse und Auswertung - 29.09.2004 (17)
  16. Neuling braucht Hilfe
    Plagegeister aller Art und deren Bekämpfung - 26.09.2004 (10)
  17. neuling
    Plagegeister aller Art und deren Bekämpfung - 08.08.2003 (16)

Zum Thema Hijack von neuling ;-) please help - hallo bin neu hier, und habe gelesen ich sollte mal nen hijack durchlaufen lassen und hier posten! habe schon folgende viren bei mir gelöscht: win32.trojan-gen worm/rbot.rw dial/generic sind soweit auch - Hijack von neuling ;-) please help...
Archiv
Du betrachtest: Hijack von neuling ;-) please help auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.