Hallo liebe Virenexperten

Ich bin gestern zu Verwandten gerufenworden um Ihren Rechner zu säubern.
Hab zuerst erstmal das installierte AntiVir Upgedatet.
Darauf fing er an alle 10 Sec. auf eine Dll in %system% hinzuweisen die mit dem "Trojan.Downloader.Agent.bh" infiziert sein sollte.
Aber Antivir konnte den Virus nicht entfernen (fehlende Rechte warscheinlich).
AntiVir wollte die Dateien beim hochfahren löschen.
Hat es wohl auch nicht geschafft, denn nach dem Neustart gingen die Warnungen munter weiter.
Hab mir daraufhin Kaspersky Pro (Trial) geholt. Dummerweise den AVGuard nicht deaktiviert.
Darauf ging gar nichts mehr (warscheinlich Konflikt zwischen beiden).
Hab AntiVir runtergeschmissen.

Dann heute weitergemacht und der Kaspersy kann zwar nichts mehr finden aber ich glaube Ihm nicht das alles OK ist, da er lauter Warnungen wegen irgendwelchen Fehler in der Report Datei hat beim Start.
Deswegen mal hier das Hijackthis-Log das euch hoffentlich verrät welcher Prozess der Bösewicht ist.

Das ich unter dem Administrator angemeldet bin ist nicht der Standard der Leute, die den PC nutzen.

Mfg Hermes

Also hier das Log und Danke schonmal im Vorraus :

Logfile of HijackThis v1.99.0
Scan saved at 20:22:18, on 07.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe
C:\Programme\CASIO\Photo Loader\Plauto.exe
C:\Programme\GMX Programme\GMX Internet Manager\GMX_Internet_Manager.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
D:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [Dea team] dea.exe
O4 - HKCU\..\Run: [Configuration Loader] msgfix.exe
O4 - HKCU\..\Run: [Windows Configuration Loader] asclt.exe
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {00000012-890E-4AAC-AFD9-EFF6954A34DD} -
O17 - HKLM\System\CCS\Services\Tcpip\..\{62195ACB-1629-4BC8-A971-A88E5F33441C}: NameServer = 217.237.151.225 217.237.150.225
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: KLBLMain - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINNT\system32\ZoneLabs\vsmon.exe

Uuups ganz vergessen.
Ich hab auch den eScan durchlaufen lassen aberder hat bisauf drei fehler auch nichts gefunden. Ausser das er diese Fehler hatte :

Fri Jan 07 20:26:10 2005 => ERROR!!! Invalid Entry {42071714-76d4-11d1-8b24-00a0c9068ff3} = deskpan.dll. Removing it.

Fri Jan 07 20:26:13 2005 => ERROR!!! Invalid Entry SCRNSAVE.EXE = (Kein). Removing it.

Fri Jan 07 20:26:15 2005 => ERROR!!! Invalid Entry Dea team = dea.exe. Removing it.

Fri Jan 07 20:26:15 2005 => ERROR!!! Invalid Entry Windows Configuration Loader = asclt.exe. Removing it.

Fri Jan 07 20:26:15 2005 => ERROR!!! Invalid Entry Configuration Loader = msgfix.exe. Removing it.

Fri Jan 07 20:33:02 2005 => ERROR!!! Invalid Entry Configuration Loader = msgfix.exe. Removing it.



*edit/Nachtrag*

Jau inzwischen bin ich mir sicher das nix ok ist :

Nachrichtendienst meldet : (das ich nicht lache)

Nachricht von SYSTEM an USER (Spitze mein PC redet)

Weiter auf englisch : System währe kaupt und ich soll sofort reparieren.

Am besten währ, wenn ich auf : (<<-- NICHT KLICKEN) gehen würde.

Das soll ich über Start->Ausführen : machen



Warg ich krig nen Fön.

@ Hermes

Zitat von Hermes

[..] der Kaspersy kann zwar nichts mehr finden aber ich glaube Ihm nicht das alles OK ist, da er lauter Warnungen wegen irgendwelchen Fehler in der Report Datei hat beim Start.

Du hast den W32/Sdbot.worm.gen auf dem System. Da löschen allein nicht genügt, solltest Du formatieren und Dich dabei an Lutz' Datensicherung und Cidre's Rat halten.

Schweinemist.

Ich hab sowas geahnt.

Ist es so wie ich denke, das das Teil sich mit Rechten ins System geschlichen hat die ich nicht als 'User' haben kann und es deswegen nicht kaputmachen kann ?

Ich hasse den Mist.

Naja meine Verwandten werden es ausbaden müssen.

@ Hermes

nimm bitte die beiden Links aus Deinem Nachtrags-Posting oder mache sie wenigstens nicht klickbar!

Diese beiden Prozesse

O4 - HKCU\..\Run: [Configuration Loader] msgfix.exe
O4 - HKCU\..\Run: [Windows Configuration Loader] asclt.exe

geben Aufschluss über die Existenz zweier Würmer mit Backdoor-Eigenschaften auf dem System: W32/Sdbot-GV und W32/Sdbot-OA. Kann sein, dass sich noch mehr Würmer mit Backdoor-Charakter auf dem System befinden, die möglicherweise den KAV ausgeschaltet haben. Ob User oder Admin, Würmer dieser Art sollte man als Nicht-Systemspezialist besser durch formatieren beseitigen, da der Rechner sind in der Hand Dritter befindet.

Hey ich bin kein Noob und hab mir die Programme auch nicht selbereingefangen.

Sag jetzt bitte nicht, das eine 'Advanced' Lösung gibt du siemir abernicht zutraust.

Ich bin Fachinformatiker Anwendungsentwicklung und arbeite seit dem Virus ParityBoot.b aufmeinem System ohne Viren ... und das war 1996.

Würde mitr gerne ein'wenig' Arbeit sparen.

Mfg Hermes

@ Hermes

Zitat von Hermes

Ich bin Fachinformatiker Anwendungsentwicklung und arbeite seit dem Virus ParityBoot.b aufmeinem System ohne Viren ... und das war 1996.

wenn Du Fachinformatiker bist und Dich mit Rechnersystemen auskennst, wieso weisst du dann nicht, welche Würmer sich auf dem System befinden? Warum brauchst Du Hilfe, wenn du Fachmann bist?

*nix versteht und sich mal wieder ausgiebig wundert*

SD