Hilfe bei Logfile benötigt
 

hallo!

meine freundin hatte heute folgendes problem: anscheinend hatte jemand zugriff auf ihren email-account bei web.de und hat dort emails gelesen, bzw. den papierkorb gelöscht.

eine überprüfung der festplatte auf trojaner mithilfe des "the cleaner" ergab einen treffer: EICAR Textfile, leider weiss sie den ort der gefundenen datei nicht mehr.
das problem hat sie dann im abgesicherten modus gelöscht, nachdem sie die systemwiederherstellung deaktiviert hatte.

eine anschliessende überprüfung mittels kav und ad-aware ergab keine treffer.

zur sicherheit habe ich ihr noch einen durchlauf mit HJT empfohlen, deren log ich jetzt poste. sie hat das log schon per internet überprüfen lassen, jedoch sagen weder ihr noch mir die "bösen" und "eventuell bösen" einträge etwas, so dass wir sehr dankbar wären, wenn uns jemand helfen könnte.

Logfile of HijackThis v1.99.0
Scan saved at 16:23:33, on 22.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpcc.exe
C:\Programme\The Cleaner\tca.exe
C:\Programme\The Cleaner\tcm.exe
C:\BITWARE\NT\bwprnmon.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\system32\mgr8021x.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpcc.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpm.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Kathrin\LOKALE~1\Temp\Rar$EX01.219\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = WEB.DE
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.acer.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [InteliSys] C:\WINDOWS\smss.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVPCC] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpcc.exe" /wait
O4 - HKLM\..\Run: [tcactive] C:\Programme\The Cleaner\tca.exe
O4 - HKLM\..\Run: [tcmonitor] C:\Programme\The Cleaner\tcm.exe
O4 - Global Startup: BitWare Print Monitor.lnk = C:\BITWARE\NT\bwprnmon.exe
O4 - Global Startup: AEGIS Client.lnk = ?
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.acer.com
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/b...ll/xscan53.cab
O23 - Service: AVP Control Centre Service - Kaspersky Labs. - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpcc.exe
O23 - Service: KAV Monitor Service - Kaspersky Labs. - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Home Edition\avpm.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: AEGIS Client - Meetinghouse Data Communications - C:\WINDOWS\System32\svc8021x.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exe



vielen dank schon mal im voraus für eure hilfe! viele grüße,
martin

Hallo

das Problem auf dem Rechner ist der hier http://www.sophos.de/virusinfo/analy...2randonaf.html und da dann anscheinend wirklich jemand rumfuchtelt solltest du ihr das System sofort neu aufsetzen,sie soll alle Passwörter ändern die sie online benutzt les dazu den Thread von Cidre und geh so vor.

http://trojaner-board.de/showthread.php?t=12154

Gruss

vielen dank für deine rasche antwort! :daumenhoc

//EDIT: das ist also ein trojaner, oder? //

eine andere möglichkeit als das system zu formatieren siehst du nicht? sie wohnt leider weit weg und hat keine ahnung, wie sie das anstellen soll.

ich werde mal versuchen, ihr das schonend beizubringen.


wenn das system neu aufgesetzt wird sind die anderen schlechten einträge ja jetzt auch eher zweitrangig, nicht wahr?!

viele grüße,
martin

EICAR Testfile ist wie der Name schon sagt ein Testvirus und kein echter Schädling.
=> Eicar.org

Den Rest habe ich mir nicht angesehen, langt ja wenn "HerrKautz" dies tut http://www.trojaner-board.com/images...es/biggrin.gif

Nein leider nicht!

Aber nach der Anleitung sollte sie das auch alleine hinbekommen :)


Gruss

edit:Es ist ein Backdoor Wurm,les das bei Sophos was er kann!

ich habe es ihr grade erklärt. passt natürlich wie die faust auf's auge, dass sie im moment viel zu tun hat und in einem uni-wohnheimnetzwerk ins internet geht, so dass sie gar keinen plan hat, wie sie nachher wieder alles herstellt.

allen helfern nochmal vielen dank. ist immer wieder toll, wie schnell einem hier geholfen wird.

tschöö,
martin

ÄHM,du das ist nicht gut wenn die mit dem Teil in einem Netzwerk ist,so verbreitet sich nämlich dieser Wurm,also sie sollte den Rechner WIRKLICH vom Netz trennen....

habe ich ihr eben auch dringend geraten. netzwerkverbindung ist getrennt!