Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   hilfe bitte (https://www.trojaner-board.de/8672-hilfe-bitte.html)

helge73 21.10.2004 19:32

hilfe bitte
 
hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

hab schon ein wenig im forum gelesen, die letzten windows-updates gemacht.
anbei mein log:

StartupList report, 21.10.2004, 20:06:13
StartupList version: 1.52.2
Started from : C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.EXE
Detected: Windows 2000 SP4 (WinNT 5.00.2195)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe
C:\WINNT\system32\taskmgr.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINNT\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Zone Labs Client = "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

--------------------------------------------------

Shell & screensaver key from C:\WINNT\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=(Kein)
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Download Program Files:

[Update Class]
InProcServer32 = C:\WINNT\System32\iuctl.dll
CODEBASE = http://v4.windowsupdate.microsoft.co...281.4199305556

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe


--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

Network.ConnectionTray: C:\WINNT\system32\NETSHELL.dll
WebCheck: C:\WINNT\system32\webcheck.dll
SysTray: stobject.dll

--------------------------------------------------
End of report, 3.341 bytes
Report generated in 0,016 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only


kann mir wer von euch einen tip geben, wie ich das system wieder sauber bekomme?

thx!

warhawk 21.10.2004 19:52

Zitat:

Zitat von helge73
hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe

thx!

hab nur kurz drueber geschaut, und PendingFileRenameOperations Anweisungen find ich verdaechtig....

Gruss
Michael
:headbang:

Reddy 21.10.2004 19:55

Hallo,

hm wäre hilfreicher gewesen wenn du gleich ein HijackThis-Log gepostet hättest:

-> http://www.trojaner-board.de/51130-a...ijackthis.html

Bis dahin würde ich sagen, überprüfe mal diese Kandidaten:

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

hier:

http://www.kaspersky.com/de/remoteviruschk.html

Edit: Mist, erstes Posting und schon zu spät... :heulen:

Passat2002 21.10.2004 20:00

hi

http://www.ikarus-software.at/portal...door.Agobot.NI

Cidre 21.10.2004 20:01

Zitat:

C:\WINNT\system32\MSlti64.exe
W32/Agobot-LZ
Zitat:

C:\WINNT\system32\csrs.exe
W32/Agobot-NI

Zitat:

Der Trojaner läuft kontinuierlich im Hintergrund und ermöglicht Backdoor-Zugriff auf den Computer.
Der Trojaner versucht, verschiedene Antiviren- und Sicherheitsprogramme zu beenden und zu deaktivieren.
Du solltest dein System abermals neu aufsetzen, aber diesesmal dementsprechend VOR der I-net Verbindung absichern.
http://www.dingens.org/

Passat2002 21.10.2004 20:32

hi

raman hat hier einiges zusammengeschrieben, wie man ein system neu aufsetzen sollte
http://board.protecus.de/showtopic.p...me=1098278737&
Anleitung groesstenteils von MountainKing uebernommen


Alle Zeitangaben in WEZ +1. Es ist jetzt 15:53 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131