Trojaner-Board - Rechner rebootet alle 5 Minuten, einige kritische Prozesse

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Rechner rebootet alle 5 Minuten, einige kritische Prozesse (https://www.trojaner-board.de/38416-rechner-rebootet-alle-5-minuten-einige-kritische-prozesse.html)

Rechner rebootet alle 5 Minuten, einige kritische Prozesse

Hallo, ich hab kaum Zeit, irgendwas zu fixen, weil der Rechner alle 5 Min rebootet. Hier mein Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 13:54:22, on 28.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\AOL 9.0\aoltray.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\Skype\Plugin Manager\SkypePM.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\WINDOWS\system32\LckFldService.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\Mozilla Firefox\firefox.exe
c:\programme\internet explorer\iexplore.exe
C:\Dokumente und Einstellungen\Venyo\Desktop\Neuer Ordner\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aol.de/e60/suche/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://orkschaedel.com/sturm/Forum/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aol.de/e60/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {330ab5ab-ec18-4dde-aa9d-3c50fe32bf8c} - C:\WINDOWS\system32\cmpeml.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar4.dll
O2 - BHO: (no name) - {D651AFF4-9590-424d-BD1E-8E33E090DFB3} - C:\WINDOWS\system32\tmp1F.tmp.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar4.dll
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0\aoltray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de/e60/
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs:
O20 - Winlogon Notify: cmpeml - C:\WINDOWS\SYSTEM32\cmpeml.dll
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: LckFldService - Unknown owner - C:\WINDOWS\system32\LckFldService.exe

Zitat:

O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe

sieht nich gut aus und könnte der hier W32/Rbot-AEX - Wurm - Sophos Bedrohungsanalyse
sein.

Zitat:

O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bhndcbn.dll

Das sieht auch nich gut aus ;) ken mich mit O10 aber nicht aus lass da lieber nochma einen Experten drübergucken.

Diese beiden DLL`s sagen mir überhaupt nichts :
cmpeml.dll
bhndcbn.dll

"O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe"

Oh, ich hoffe ich irre mich jetzt, aber das sieht mir übels aus...
IRC-Backdoortrojaner für die Windows-Plattform

Fall für die Experten hier, oder neu aufsetzen....

Ok, also was ich bisher gemacht habe:

-Spybot im abgesicherten Modus durchlaufen lassen, 1 Problem konnte nicht gefixt werden, also hab ich Spybot erlaubt, beim nächsten Systemstart direkt durchzulaufen. Dabei wurde kein Problem gefunden (auch nicht das, was nicht gefixt werden konnte...)
Das ungefixte Problem ist folgende Malware:
Win32.SdBot.yx Beschreibung: Win32.SdBot.yx copies executable files into the system and Windows folders. It runs its files in background and adds itself to autorun as "services", "LsassXP"
Weiß jemand, wie ich das Ding wegkriege? Ich glaub, dann wars das.

-unter „System“-„Erweitert-„Starten und Wiederherstellen“-„Systemfehler“ habe ich den automatischen Neustart bei Systemfehlern deaktiviert. Daraufhin kann ich folgende Bluescreen-Fehlermeldung sehen, wenn der PC abstürzt, sodass er nicht einfach rebootet, sondern halt den Bluescreen anzeigt. Da steht folgendes:

Zitat:

Es wurde ein Problem festgestellt. Windows wurde heruntergefahren, damit der Computer nicht beschädigt wird.

Wenn Sie diese Fehlermeldung zum ersten Mal angezeigt bekommen, sollten Sie den Computer neustarten, wenn diese Meldung weiterhin angezeigt wird, müssen Sie folgenden Schritten folgen:

Stellen Sie sicher, dass ausreichend Festplattenspeicherplatz verfügbar ist. Deaktivieren Sie den Treiber oder fragen Sie den Hersteller nach einem Update, falls ein Treiber in der Nachricht angegeben ist. Tauschen Sie die Videokarten aus.

Fragen Sie Ihren Hardware-Hersteller nach BIOS-Updates. Deaktivieren Sie BIOS-Speicheroptionen wie Caching oder Shadowing. Starten Sie den Computer neu, drücken Sie die F8-Taste, um die erweiterten Startoptionen auszuwählen, und wählen Sie dann „Erweiterte Startoptionen“, falls Sie den abgesicherten Modus zum Löschen oder Deaktivieren von Komponenten verwenden müssen.

Technische Information:

*** STOP: 0x0000008E (0x00000005, 0x00000000, 0x9C546B84, 0x00000000)

Speicherabbild des physischen Speichers wird erstellt.
Abbild des physischen Speichers wurde erstellt.
Wenden Sie sich an den Systemadministrator oder den technischen Support.

Moin

Zitat:

O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe

es dürfte sich hierbei um diesen Freund handeln => W32/Yayin-A - Wurm - Sophos Bedrohungsanalyse
und das kann er :

Zitat:

Zitat von Sophos

* Ermöglicht Dritten den Zugriff auf den Computer
* Verändert Daten auf dem Computer
* Lädt Code aus dem Internet herunter
* Installiert sich in der Registrierung
* Hinterlässt nicht infizierte Dateien auf dem Computer
W32/Yayin-A verschiebt Dateien auf dem infizierten Computer und ersetzt sie mit einer Datei seiner selbst.

Außerdem verdächtig wie oben teilweise schon erwähnt :
C:\WINDOWS\system32\tmp1F.tmp.dll
c:\windows\system32\bhndcbn.dll
C:\WINDOWS\SYSTEM32\cmpeml.dll

Ich rate dir setze das System neu auf nach dieser Anleitung --> Neuaufsetzen des Systems und anschließende Absicherung!
Ändere nach der Neuinstallation auch alle deine Pass/Kennwörter.

MFG