Hallo Leute.
Ich hoffe ihr könnt mir helfen.
Ich hab seit ca. 3 Tagen mit Svchost.exe Probleme.
Ich hab eScan(Version 4.8.4) laufen lassen und den TrojanDropper.W32.purityscan.h gefunden.
Wie bekomm ich den wieder weg?
Hab schon alles abgesucht.
Bitte helft mir.
Danke schon mal.



Ps.: ich bin ziemlich unwissend auf dem Gebiet der Virenbekämpfung.

Hi Hösl, lade dir HiJackThis runter, erstelle ein Logfile nach der anleitung und poste es rein.
cacatoa

Logfile of HijackThis v1.99.0
Scan saved at 20:03:24, on 17.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\WINDOWS\Mixer.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\WINDOWS\System32\wuampd.exe
C:\recycler\mActiveX.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRAMME\T-ONLINE\T-ONLINE_SOFTWARE_5\BROWSER\BROWSER.EXE
C:\Programme\Overnet\overnet.exe
C:\Dokumente und Einstellungen\Stefan\Eigene Dateien\hijackthis199\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CamMonitor] C:\Programme\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [Microsoft Update] wuampd.exe
O4 - HKLM\..\Run: [REGRUN] C:\recycler\mActiveX.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [tcactive] C:\Programme\The Cleaner\tca.exe
O4 - HKLM\..\Run: [tcmonitor] C:\Programme\The Cleaner\tcm.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wuampd.exe
O4 - HKCU\..\Run: [Microsoft Update] wuampd.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CD...bridge-c15.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1104403920711
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) - http://p1x.de/jinstall-1_4_2-windows-i586.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F37CFF49-61DB-43AF-84A8-1B952AF6BEF4}: NameServer = 217.237.151.97 217.237.150.33
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InCD Helper - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Scanne folgendes Datei bitte mal online bei virusscan.jotti.dhs.org

C:\WINDOWS\System32\wuampd.exe

Wenn du die Datei nicht findest, nimm bitte folgende Einstellungen im Windows-Explorer vor:
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren
+
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren

Wenn du eScan hast laufen lassen, dannweißt du wo er sitzt; ich vermute mal hier:
wuampd.exe
Bitte bestätige, dann können wir weiter machen.
cacatoa

@Hösl
leider schlechte nachrichten, der hier ist im system
und zwar hier
C:\WINDOWS\System32\wuampd.exe
und der hier
http://www3.ca.com/securityadvisor/v....aspx?id=39437
C:\recycler\mActiveX.exe
deswegen kann ich dir nur empfehlen dein system neu aufzusetzen
hier ein paar tips
http://www.trojaner-board.de/showpos...28&postcount=2

sry
chaosman

@ chaosman:
thx, bin jetzt auch soweit. Vermutlich hat er sich den zweiten über ein Service-tool runtergeladen. (Schau in deine PN)

@ hösl
chaosman hat recht.
cacatoa

eScan hat folgendes gefunden:

Fri Jan 14 20:55:53 2005 => File c:\recycler\mActiveX.exe infected by "TrojanDropper.Win32.PurityScan.h" Virus. Action Taken: No Action Taken.

Fri Jan 14 20:56:24 2005 => File c:\recycler\mActiveX.exe infected by "TrojanDropper.Win32.PurityScan.h" Virus. Action Taken: No Action Taken.

Trojan-Downloader.win32.Agent.hm
Ich hoffe ihr habt einen anderen Vorschlag außer die Platte platt zu machen.

@ hösl
Leider nein, siehe chaosman 20.12 Uhr.
cacatoa

Danke für eure Hilfe.
Ich hoffe ich brauche eure Hilfe nicht mehr.
Werd mir einen guten Schutz zulegen und eure Tips befolgen.
Tschau