Hallo,

Mein Rechner scheint sich irgend etwas einfangen zu haben, aber ich konnte bisher nicht feststellen, was das sein könnte. Das Ganze begann gestern beim Öffnen von Word mit der Fehlermeldung

"Dieses Dokument konnte nicht registriert werden. Es können keine Verknüpfungen von anderen Dokumenten zu diesem hergestellt werden"

EXCEL meldet

"Objekte verknüpfen und einbetten ist nicht möglich."

und dann zweimal

"Beim Initialisieren der VBA Bibliotheken (14) ist ein Fehler aufgetreten.

Außerdem kann ich in Office nichts mehr kopieren oder einfügen. Word ignoriert das Einfügen völlig und EXCEL meldet

"Microsoft EXCEL kann die Datei nicht einfügen."

Bei Paint kann man zwar noch etwas einfügen, aber Kopieren oder Ausschneiden wird mit

"Das System kann die angegebene Datei nicht finden."

verweigert. An dieser Stelle habe ich es zunächst erfolglos mit einer Reparatur von Office XP und dann mit einer Neuinstallation des Service Pack 4 (für mein Windows 2000 Server) versucht, die allerdings mit

"sp4iis

Es kann keine Verbindung mit der Metabasis hergestellt werden."

und schließlich

"Die Scriptzuordnung von ism.dll konnte nicht entfernt werden.
Das Service Pack Setup wird abgebrochen."

gescheitert ist.

Nachdem mir dann auch noch aufgefallen ist, daß der Ordner "Systemsteuerung" nur im abgesicherten Modus korrekt dargestellt wird (ansonsten erscheinen die Icons in der linken Spalte), "Start\Suchen\Nach Dateien oder Ordnern" nicht mehr reagiert (vom Windows-Explorer aus funktioniert es aber noch) und die Windows-Update-Seite von www.microsoft.com nicht startet, bin ich jetzt ziemlich sicher, daß ich mir einen Virus/Wurm/Trojaner oder was auch immer eingefangen habe. Allerdings konnte ich bisher nicht herausfinden, was das für ein Eindringling ist. Da die Windows-Updates aktuell sind (von Anfang letzter Woche) und ich McAffee mit aktuellen Mustern laufen habe, ist es eher unwarscheinlich, daß mein Besucher schon länger sein Unwesen im Netzt treibt. Die Suche nach Spuren der üblichen Verdächtigen (Blaster, Sober und Netsky) blieb dann auch erwartungsgemäß erfolglos und damit bin ich mit meinem Latein so ziemlich am Ende.

Ich habe zwar schon einmal HijackThis von der Kette gelassen, aber so gut kennen ich mich mit Windows nun wirklich nicht aus, um damit etwas anfangen zu können:

Logfile of HijackThis v1.99.1
Scan saved at 08:54:03, on 06.04.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\termsrv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Intel\LDCM\bin\IIDS.exe
C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\sfmprint.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\VirusScan\Mcshield.exe
C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\snmp.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\ZipToA.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\Programme\Intel\LDCM\bin\ssm.exe
C:\WINNT\System32\sfmsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Intel\LDCM\Bin\USM.exe
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINNT\system32\TCAUDIAG.exe
C:\Programme\Iomega\DriveIcons\ImgIcon.exe
C:\Programme\Network Associates\VirusScan\SHSTAT.EXE
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\Programme\Iomega\AutoDisk\AD2KClient.exe
C:\Programme\Rocket Software\RocketTime\RocketTime.exe
C:\Programme\Opera7\Opera.exe
C:\WINNT\regedit.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uni-greifswald.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [User Space Manager] C:\Programme\Intel\LDCM\Bin\USM.exe
O4 - HKLM\..\Run: [LDCMSync] C:\Programme\Intel\LDCM\Bin\LDCMSync.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.exe -on
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [Iomega Startup Options] C:\Programme\Iomega\Common\ImgStart.exe
O4 - HKLM\..\Run: [Iomega Drive Icons] C:\Programme\Iomega\DriveIcons\ImgIcon.exe
O4 - HKLM\..\Run: [SetIcon] C:\Windows\Icons\Seticon.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKCU\..\Run: [Iomega Active Disk] C:\Programme\Iomega\AutoDisk\AD2KClient.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Rocket.Time.lnk = C:\Programme\Rocket Software\RocketTime\RocketTime.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O12 - Plugin for .pdb: C:\Programme\Internet Explorer\PLUGINS\npchime.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B4C15FA-6575-4153-A851-BD18D390B593}: NameServer = 141.53.9.10,141.53.9.11
O17 - HKLM\System\CS1\Services\Tcpip\..\{4B4C15FA-6575-4153-A851-BD18D390B593}: NameServer = 141.53.9.10,141.53.9.11
O17 - HKLM\System\CS2\Services\Tcpip\..\{4B4C15FA-6575-4153-A851-BD18D390B593}: NameServer = 141.53.9.10,141.53.9.11
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Programme\Symantec\pcAnywhere\awhost32.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Intel IIDS - Intel(R) Corporation - C:\Programme\Intel\LDCM\bin\IIDS.exe
O23 - Service: Intel SSM - Intel(R) Corporation - C:\Programme\Intel\LDCM\bin\ssm.exe
O23 - Service: Iomega Activity Disk2 - Iomega Corporation - C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
O23 - Service: IomegaAccess - Iomega Corporation - C:\WINNT\System32\IomegaAccess.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: ZipToA - Iomega Corporation - C:\WINNT\System32\ZipToA.exe


Für sachdienliche Hinweise wäre ich wirklich dankbar. Ich habe nämlich keine Lust, mein System neu zu installieren - um dann womöglich zu erleben, daß der Rechner sofort wieder neu infiziert wird.

@MrStupid
lade escan
download
anleitung
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

chaosman

@chaosman,

eScan hat folgendes ausgespuckt:

Wed Apr 06 10:49:11 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Wed Apr 06 10:49:11 2005 => File System Found infected by "Alexa Spyware/Adware" Virus. Action Taken: No Action Taken.

Wed Apr 06 10:49:12 2005 => System found infected with VB and VBA Program Settings Spyware/Adware! Action taken: No Action Taken.
Wed Apr 06 10:49:12 2005 => File System Found infected by "VB and VBA Program Settings Spyware/Adware" Virus. Action Taken: No Action Taken.

Wed Apr 06 10:49:17 2005 => File C:\WINNT\Cliparts-World-ctd-10060.exe infected by "not-a-virus:PornWare.Dialer.Star" Virus. Action Taken: No Action Taken.

Wed Apr 06 10:54:14 2005 => File C:\Dokumente und Einstellungen\Administrator\.jpi_cache\jar\1.0\archive.jar-27b6d966-7997d13d.zip infected by "Trojan.Java.ClassLoader.c" Virus. Action Taken: No Action Taken.

Wed Apr 06 12:19:37 2005 => File C:\WINNT\Cliparts-World-ctd-10060.exe infected by "not-a-virus:PornWare.Dialer.Star" Virus. Action Taken: No Action Taken.

Wed Apr 06 11:11:33 2005 => File C:\Install\Grafik\DivX\DivX5Bundle.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Wed Apr 06 11:12:17 2005 => File C:\Install\Grafik\xingmpeg_encoder_v2.20t.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Wed Apr 06 11:16:52 2005 => File C:\Programme\AIDA32 - Enterprise System Information\aida32.exe tagged as not-a-virus:RiskWare.Tool.AIDA.3862. No Action Taken.

Wed Apr 06 11:16:55 2005 => File C:\Programme\AIDA32 - Enterprise System Information\aida_directx.dll tagged as not-a-virus:RiskWare.Tool.AIDA.3862. No Action Taken.

Wed Apr 06 11:25:21 2005 => File C:\Programme\Iomega\DriveIcons\imghr.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Wed Apr 06 11:25:28 2005 => File C:\Programme\Iomega\System32\Win2kDrivers.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.