Hilfe Win32:Poebot-C [Trj]
 

Liebe Forumsmenschen!
hab jetzt schon sicher 5 mal de computer neu aufgesetzt bzw. aufsetzen lassen, und zwei mal fachmänner drangelassen (d.h. leute mit eigener firma, programmierer, netzwerker etc.) mich selbst kundig gemacht (bin nicht blond :daumenhoc ) aber jetzt langsam werd ich zum tier :affe:
wie kann das sein? alles neu aufgesetzt und sich an die hinweise gehalten und trotzdem ist diesr trojaner nich wegzukriegen, mal poebot c mal poebot b. was hab ich übersehn? system läuft gut, aber häufig absturz (RCP fehler). habe zwei partitionen c und d, aber die meldung kam nur, dass in c der :teufel2: sitzt und d sei ok? haben immer nur c formatiert. in d: sitzt laut einem av programm (welches das war weiß ich net mehr) in einer archivdatei ein virus vacsina. ist das das echte prob? soll ich d (hab da wichtige daten) auch formatieren? kann was an den daten auf d kaputt sein?
bitte helft
sonst lauf ich noch amok :snyper:
birgit

Servus, chamäleon!
Bitte keine Gewalt! :p
Bitte poste 1 den genauen Wortlaut der Virenmeldung (von wegen vacsina oder so)
2 Poste ein HJT-Logfile nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17493
3 Überdenke Deine Vorgehensweise, was das Aufsetzen betrifft. Wenn Du es wirklich richtig gemacht hast und vor dem ersten I-Netkontakt alle Ratschläge zur Eigensicherung http://www.trojaner-board.de/showthread.php?t=12154 beherzigt hast, ist es nach menschlichem Ermessen eigentlich nicht möglich, dass ein Virus überlebt!
Gretchenfrage - alles ist möglich!
stupormundi

so...danke fürs erste (echt) und bin pazifistin, nur gewalt gegen pc, falls das so weiter geht...
hab hier mit baby aufm arm versucht und schicke logfile, weiß nicht obs taugt, da wieder der pc abgeschmiert ist kurz nachdem

:headbang:

Logfile of HijackThis v1.99.1
Scan saved at 15:15:07, on 18.10.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\logon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\crypserv.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\hij\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://news.google.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.t-online.de/service/redir/tosw5_webtour.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\INSTALLABLE\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\System32\logon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\INSTALLABLE\Reader\reader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{D0033101-99AB-4B01-A0FA-796CCD0C1CFD}: NameServer = 217.237.149.225 217.237.151.97
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Crypkey License - Unknown owner - C:\WINDOWS\SYSTEM32\crypserv.exe

1000 dank schon

Hallo chamäleon,

völlig klar, dass Du ständig unliebsamen Besuch bekommst!
[Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)[/quote]
Ungepatcht geht man/frau auch nicht ins I-Net!

Halte Dich bitte beim nächsten Versuch punktgenau an folgende Anleitung:
http://www.trojaner-board.de/showthread.php?t=12154

dartus

Servus nochmal, chamäleon!
Mit einem Baby auf dem Arm über den PC ärgern zahlt sich wirklich nicht aus! Knuddel den/die Kleine/n von mir!
Aber dartus hat schon recht was Dein System anbelangt - so jungfräulich wie das ist, hast Du die "Bösen" selber eingeladen.
Du hast unter anderem den hier http://www.sophos.com/virusinfo/anal...32poebotj.html an Bord. Einen Wurm mit Backdoorfunktion.
Damit folge der auch von dartus geposteten Anleitung zu neu Aufsetzen und anschließendem Absichern vor dem ersten Einstieg ins I-Net.
Checke vor dem Wiedereinspielen der rückgesicherten Daten alle sorgfältig mit einem aktuellen Virenscanner!
Alles Gute, stupormundi

och mönsch...da hat mir der experte das system ganz aktuell aufgesetzt und gesagt es ist jetzt sicher...grrr.
danke dartus aber was bedeutet das jetzt? ich hab die anleitung schon durch. soll ich jetzt noch mal selber neu aufsetzen? vorher die patches runterladen und auf Cd sichern ist das richtig? bin kee expertin, aber ich hab en guten willen und immer noch hoffnung (die hoffnung stirbt zuletzt) :heulen:

Am sichersten und für dich vielleicht einfacher ist, Dir die Servicepacks von einem befreundeten System (Freundes und Bekanntenkreis), welches sauber ist, zu bekommen. Das SP2 hat es auch auf CD gegeben als Beilage einer Computerzeitschrift (ich selber hab´ sie mir von M$ bestellt - das geht aber jetzt leider nicht mehr).
Und keine Angst vor dem neu Aufsetzen - das ist nicht so schwierig! Siehe auch hier http://www.incosec.de/downloads/scre...stallation.pdf (Aus Cidres Anleitung)
stupormundi

lieber stupormundi,
hab doch das sp selbst runtergeladen NACHDEM der experte mir das saubere system gegeben hat. (taugt das also nix? habe ich auch runtergeladen von der microsoft seite) der experte hat nur selber gestaunt und gesagt wir müssen die platte durchkämmen, das dauert 5 stunden, dafür muss ich sie ausbauen und ihm bringen, ansonsten würde nix nützen!!
selbst aufsetzen trau ich mir zu. aber echt: wir hatten alles befolgt. d.h. der experte hat mir sauberes xp aufgesetzt. deswegen denk ich, ich sollt wissen wo sich der sch.trojaner eingebaut hat.
immerhin hab ich nur noch einen backdoor-trj. statt wie vorher 9....
:lach:

Hallo, chamäleon!
Dazu muss man einschränkend festhalten, dass Du nur von einem Kenntnis hast.... :blabla:
lass die Platte wo sie ist. Wenn der Herr Experte nicht bei Dir vor Ort mit dem gesamten System arbeiten will, dann ist er vielleicht gar keiner (oder zumindest kein sehr hilfreicher... :rolleyes: )
Was Dein Servicepack anbelangt bin ich mir ehrlich gesagt nicht sicher! Aber brenne es zur Sicherheit auf CD bevor Du alles formatierst (ich bin der Meinung, dass man alle Partitionen formatieren sollte, da man ja nie weiß, was ein möglicher remoter Bösewicht wann und vor allem wo ohne Dein Wissen versteckt hat, aber die allgemeine Meinung hier ist, dass normalerweise das Formatieren der Systempartition genügt. Ich will mich nicht auf meine Meinung versteifen)
Alles Gute und nutze auch die Mögichkeit, Cidres Anleitung offline (ausgedruckt) begleitend zu verwenden http://www.trojaner-info.de/anleitun...uaufsetzen.pdf
stupormundi

Wenn du die Platte formatierst, ist auch der Backdoor weg.
Du mußt dein System vor der ersten Internetverbindung absichern.
Das heißt System neu aufsetzen,Service pack 2 drauf, alle wichtigen Updates seit Service Pack 2-die gibts hier , Dienste abschalten, IE und Outlook sicher konfigurieren und so weiter-ist ja alles in Cidres Anleitung beschrieben.
Und dann, erst dann darf die Internetverbindng hergestellt/eingerichtet werden. werden

also meine lieben helfer (wenn ich so sagen darf)
der experte ist (wahrscheinlich) auch überfragt gewesn, denn bevor wir ins internet sind, haben wir av-scanner (avast) drüberlaufen lassen und nur einigermaßen sichere browser installiert und auch outlook sicher konfiguriert.

ich werd mir die anleitung auf jeden fall ausdrucken (nachher, weil ich jetzt mit dem baby in die noch verbleibende sonne geh) und das alles selber noch mal aufsetzn. aber ich glaub fast -wie stupormundi meint - die gefahr von der partition d ausgeht und ich die auch noch neu formatieren muss.

ich werde berichten wie's dann geht...
fast lieber würd ich schreien: :schrei: ganz laaaaaaaaaaauuuuuuuuuut
dass jemand von euch persönlich zu mir kommt und mir hülft, weil ich echt überfordert bin irgendwie!
birgit
(die echt en chamäleon hier hat)