Liebe Trojaner-Helfende,

ich hab seit Samstag Vormittag auch dieses Problem, daß ich bei meinem Internet Explorer 6.0 keinerlei Verbindung mehr bekommt. Ich gebe eine Adresse ein oder klicke einen Favoriten an. Ich sehe die Seite ganz kurz laden, doch dann erscheint in der Adresszeile die URL "http:///" und "SERVER NICHT GEFUNDEN"... Dieses Problem scheinen einige User zur Zeit zu haben!

Ich habe daraufhin in meinem AOL-internen Explorer (dieser funktioniert komischerweise noch tadellos) ein bisschen gesurft und bin auf diese Seite gestossen. In einem Eintrag hab ich gelesen, man solle doch mal eScan laufen lassen. Das hab ich dann einige Stunden lang im Abgesicherten Modus gemacht und sogar 8 Viren und Trojaner gefunden, welche ich sogleich gelöscht habe. Dann hab ich das Programm nochmal drüberlaufen lassen, und es wurden keine wirklichen Viren oder Trojaner mehr gefunden.
Jedoch hab ich immer noch mein Internet-Explorer-Problem... Ich bekomm einfach keine Verbindung...

Nun hab ich mal im Abgesicherten Modus einen Hijack-This-Durchlauf gemacht, welchen ich hier posten möchte:


Logfile of HijackThis v1.99.0
Scan saved at 20:51:41, on 20.12.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
D:\My Download Files\Spyware-Tools\HijackThis.exe

F2 - REG:system.ini: UserInit=C:\WINNT\system32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\programme\grafik-programme\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {52DC9EC1-35A9-4914-98D9-D568A9854DA2} - C:\WINNT\system32\tawod.dll
O2 - BHO: (no name) - {6CC97E97-97C9-2ED7-2098-F98056C911A7} - C:\WINNT\system32\poiexiq.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\Tools\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\fgiebar.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Multimedia-Tools\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [LiveNote] livenote.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\multimedia-tools\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\Multimedia-Tools\iTunes\iTunesHelper.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [winpack] C:\WINNT\system32\winpack.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Grafik-Programme\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0\aoltray.exe
O4 - Global Startup: InterCheck Monitor.LNK = C:\Programme\Sophos SWEEP for NT\ICMON.EXE
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\Tools\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\Tools\FlashGet\jc_link.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\flashget.exe
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O23 - Service: AntiVir Update - Unknown - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: Creative Service for CDROM Access - Unknown - C:\WINNT\System32\CTSvcCDA.exe (file missing)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: Sophos Anti-Virus Network - Sophos Plc - C:\Programme\Sophos SWEEP for NT\SWNETSUP.EXE
O23 - Service: Sophos Anti-Virus - Sophos Plc - C:\Programme\Sophos SWEEP for NT\SWEEPSRV.SYS
O23 - Service: WAN Miniport (ATW) Service - America Online, Inc. - C:\WINNT\wanmpsvc.exe

Ich würde mich sehr freuen, wenn Ihr mir weiterhelfen könntet.
Vielen lieben Dank und viele Grüße!

DerRichtende (wenns nur so wär!)

@DerRichtende
gebe bitte HijackThis einen eigenen ordner


Ich habe daraufhin in meinem AOL-internen Explorer (dieser funktioniert komischerweise noch tadellos) ein bisschen gesurft und bin auf diese Seite gestossen. In einem Eintrag hab ich gelesen, man solle doch mal eScan laufen lassen. Das hab ich dann einige Stunden lang im Abgesicherten Modus gemacht und sogar 8 Viren und Trojaner gefunden, welche ich sogleich gelöscht habe. Dann hab ich das Programm nochmal drüberlaufen lassen, und es wurden keine wirklichen Viren oder Trojaner mehr gefunden.

welchen viren würden wo gefunden?

poste bitte ein HJT logfile aus den normalen modus

chaosman

Hallo Chaosman,

vielen Dank für die schnelle Antwort.
Ich habe dem Programm jetzt einen eigenen Ordner spendiert und sogleich einen neuen Durchlauf gemacht:

Logfile of HijackThis v1.99.0
Scan saved at 21:44:07, on 20.12.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Programme\Sophos SWEEP for NT\SWNETSUP.EXE
C:\Programme\Sophos SWEEP for NT\SWEEPSRV.SYS
C:\WINNT\wanmpsvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Multimedia-Tools\Winamp\Winampa.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\WINNT\system32\CTHELPER.EXE
C:\WINNT\system32\RUNDLL32.EXE
C:\Programme\Multimedia-Tools\iTunes\iTunesHelper.exe
C:\WINNT\system32\internat.exe
C:\Programme\Grafik-Programme\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\AOL 7.0\aoltray.exe
C:\Programme\Sophos SWEEP for NT\ICMON.EXE
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\AOL 7.0\waol.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINNT\system32\winpack.exe
C:\Programme\Tools\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
F2 - REG:system.ini: UserInit=C:\WINNT\system32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\programme\grafik-programme\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {52DC9EC1-35A9-4914-98D9-D568A9854DA2} - C:\WINNT\system32\tawod.dll
O2 - BHO: (no name) - {6CC97E97-97C9-2ED7-2098-F98056C911A7} - C:\WINNT\system32\poiexiq.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\Tools\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\fgiebar.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Multimedia-Tools\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [LiveNote] livenote.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\multimedia-tools\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\Multimedia-Tools\iTunes\iTunesHelper.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [winpack] C:\WINNT\system32\winpack.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Grafik-Programme\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0\aoltray.exe
O4 - Global Startup: InterCheck Monitor.LNK = C:\Programme\Sophos SWEEP for NT\ICMON.EXE
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\Tools\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\Tools\FlashGet\jc_link.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\Tools\FlashGet\flashget.exe
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6DA5923A-03AF-4109-9C73-E5779BE4CCF6}: NameServer = 205.188.146.146
O17 - HKLM\System\CS1\Services\Tcpip\..\{6DA5923A-03AF-4109-9C73-E5779BE4CCF6}: NameServer = 205.188.146.146
O23 - Service: AntiVir Update - Unknown - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: Creative Service for CDROM Access - Unknown - C:\WINNT\System32\CTSvcCDA.exe (file missing)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: Sophos Anti-Virus Network - Sophos Plc - C:\Programme\Sophos SWEEP for NT\SWNETSUP.EXE
O23 - Service: Sophos Anti-Virus - Sophos Plc - C:\Programme\Sophos SWEEP for NT\SWEEPSRV.SYS
O23 - Service: WAN Miniport (ATW) Service - America Online, Inc. - C:\WINNT\wanmpsvc.exe


Hier das log-file von eScan:
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:21:374 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:21:374 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:23:597 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:23:597 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:23:597 :TimeOut : ffffffff
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:23:597 :Priority : NORMAL
[msvLclnt.dll] [0x00000660] 19/12/2004 12:46:24:318 :VirusCount = 112674 Latest Date = 2004/12/17
[msvLclnt.dll] [0x00000484] 19/12/2004 12:47:30:904 :[00000001] File C:\WINNT\sssasas.exe infected by Trojan-Downloader.Win32.Agent.ea
[msvLclnt.dll] [0x00000484] 19/12/2004 12:47:44:493 :[00000001] File C:\WINNT\system32\dtist.exe infected by Backdoor.Win32.Agent.ec
[msvLclnt.dll] [0x00000484] 19/12/2004 12:47:47:998 :[00000001] File C:\WINNT\system32\msi.exe infected by TrojanDownloader.Win32.Agent.am
[msvLclnt.dll] [0x00000484] 19/12/2004 12:48:03:651 :[00000001] File C:\WINNT\system32\msi.exe infected by TrojanDownloader.Win32.Agent.am
[msvLclnt.dll] [0x00000484] 19/12/2004 12:48:04:893 :[00000001] File C:\WINNT\system32\dtist.exe infected by Backdoor.Win32.Agent.ec
[msvLclnt.dll] [0x00000484] 19/12/2004 12:48:26:183 :[00000001] File C:\WINNT\sssasas.exe infected by Trojan-Downloader.Win32.Agent.ea
[msvLclnt.dll] [0x00000484] 19/12/2004 12:48:30:189 :[00000001] File C:\WINNT\_MSRSTRT.EXE infected by not-a-virus:Tool.Win32.Reboot
[msvLclnt.dll] [0x00000484] 19/12/2004 12:49:00:933 :[00000001] File C:\WINNT\system32\dtist.exe infected by Backdoor.Win32.Agent.ec
[msvLclnt.dll] [0x00000484] 19/12/2004 12:49:35:673 :[00000001] File C:\WINNT\system32\msi.exe infected by TrojanDownloader.Win32.Agent.am
[msvLclnt.dll] [0x00000484] 19/12/2004 12:50:47:867 :[00000001] File C:\bla.exe infected by Trojan-Downloader.Win32.Small.aaq
[msvLclnt.dll] [0x00000484] 19/12/2004 12:50:48:047 :[00000001] File C:\counter.cab infected by TrojanDropper.Win32.Agent.az
[msvLclnt.dll] [0x00000484] 19/12/2004 13:16:32:458 :[00000001] File C:\WINNT\sssasas.exe infected by Trojan-Downloader.Win32.Agent.ea
[msvLclnt.dll] [0x00000484] 19/12/2004 13:18:58:077 :[00000001] File C:\WINNT\system32\dtist.exe infected by Backdoor.Win32.Agent.ec
[msvLclnt.dll] [0x00000484] 19/12/2004 13:19:35:932 :[00000001] File C:\WINNT\system32\msi.exe infected by TrojanDownloader.Win32.Agent.am
[msvLclnt.dll] [0x00000484] 19/12/2004 13:21:17:478 :[00000001] File C:\WINNT\_MSRSTRT.EXE infected by not-a-virus:Tool.Win32.Reboot

Die genannten Dateien hab ich dann einfach gelöscht...


Es gibt auf meiner System-Externen-Partition, welche überwiegend Spiele und Updates beinhalten noch einige Dateien welche als "not-a-virus" gekennzeichnet sind. Soll ich die besser auch löschen?

Nochmals vielen Dank für die Hilfe!!!

hallo ich kann dir leider nicht sehr helfen aber hier http://www.hijackthis.de/ kannst du deine log auswerten lassen hab ich auch gemacht bei deinem log 2 unnötige sachen gefunden nur ich will dir hier jetz nicht sagen fixe diese sachen dann sind die falsch und ich bin der schuldige deshalb lieber warten bis wirkliche hilkfe kommt

Hallo Bolek,

vielen Dank für Deine Hilfe... Ich werde mein Log-File da auch mal auswerten lassen!!!

[msvLclnt.dll] [0x00000484] 19/12/2004 12:48:04:893 :[00000001] File C:\WINNT\system32\dtist.exe infected by Backdoor.Win32.Agent.ec


Es wäre besser wenn du Format c: machst!

Gruss

jap hat er recht und diese seite würd ich mir durchlesenLink ,
infos

Ach Du meine Güte!!! ARGH!!! Na toll, dann weiss ich ja schon, was ich an den Feiertagen machen werde!!!

Soll ich auch meine Partitionen formatieren, oder nur die Partition, auf der sich das System befindet?

Vielen Dank für Eure umfangreiche Hilfe!!!

hi,
das weiss ich leider nicht.
aber hier noch paar infos:
http://faq.underflow.de/#SECTION000120000000000000000
http://8ung.at/chemikers-home/SETUP.html
http://www.fz-juelich.de/zam/net/sec...ok-config.html
http://www.blafusel.de/ie.html, besser ist den firefox oder mozilla benutzen.
http://www.oschad.de/wiki/index.php
http://www.dingens.org/

Hüstel, also ich hab mich nun abgefunden meine Systempartition c: zu formatieren... Dagegen würde ich höchst ungern meine Partition d: formatieren. Hier befinden sich Bilder, Multimediadaten, Texte, Spiele und deren Updates und Savegames... Gut, die Spiele könnte ich noch verschmerzen. Die kann ich ja neu installieren... Aber die Updates und das alles... Buhuhuhuuuu... Zu Hüülfäää!!!

Soll ich auch meine Partitionen formatieren, oder nur die Partition, auf der sich das System befindet?

Das kann man so pauschal nicht sagen. Am besten ist natürlich, wenn du alle Partitionen formatierst, aber meistens reicht die Systempartition.
Lutz über Datensicherung

Ansich kann man darüber streiten,ob man auch die anderen Partitionen löschen soll!

Meiner Meinung ja,denn wenn du wieder 100% sicher sein willst(naja 100 gehn eh nicht),solltest du auch d: platt machen!

Bei einem Backdoor Befall weiss man nie so genau,was an dem System gemacht wurde,bzw,wielang war das Teil schon auf dem Rechner!

Das ist aber eine Frage,die du dir in erster Linie selber beantworten solltest!

Gruss

Noch ein kleines Frägelchen...

Ich bin jetzt seelisch bereit meine gesamte Festplatte, samt allen Partitionen zu löschen...
Ich hab einen Ipod und einen großteil meiner CDs mp3isiert. Diese würde ich gerne brennen und nachher wieder auf die Platte schaufeln... Meint Ihr das wäre mit Gefahren verbunden? Sind mp3s auch Trojaneranfällig?

Nochmals vielen Dank!

Dokumente wie Textdateien, Filme, mp3s kann man eigentlich relativ (!) gefahrlos sichern. Verzichten sollte man auf die Sicherung von Programmen und Archivdateien, besonders, wenn sie heruntergeladen wurden.

Hallo MountainKing und Dank,

na da bin ich ja froh... Sind nämlich schon einige Sachen!
Die Programmedateien und Archivdaten werd ich allesamt wegschmeissen! Ist vielleicht ganz gut so, weil sich ja doch immer recht viel Datenmüll ansammelt!!!

Meine Spielstände schmeiss ich dann auch lieber weg, nicht wahr???