Hallo Leute, ich erhalte seit einiger Zeit sehr merkwürdige Warnfenster
(critical error...) die eindeutig nicht vom System kommen. Leider bin ich totaler Leihe, habe aber das eindeutige Gefühl, es handelt sich um einen
Wurm, oder so. Ich denke es ist etwas mit der rundll32.exe. Ich habe schon verschiedene Wurmkiller (CWSShredder, WinSockFix) und Anti Viren Programme ausprobiert, nichts hat bisher funktioniert. Ausserdem habe ich TrojanCheck 6 installiert, der sagt mir auch nix. Immer wenn ich dachte das Problem wäre gelöst, brauche ich nur den Rechner wieder hochfahren und schwupps, Fenster wieder am start.
Hilfe wäre echt Super.

selliance

Hi,

erstelle ein Hijack This Logfile und poste es mittels copy&paste:Direktdownload hier Denk bitte daran, dass das Programm Hijack This in einem neuen Ordner unter C: laufen sollte, siehe dazu auch Hijack This

ich habe escan laufen lassen während du mir geschrieben hast, der hat
schon was gefunden, schau dir das mal an, ich beschäftige mich in der zeit
mit hijackthis.
Leider löscht mir escan die Viren nicht (bezahlen!!)

Vielen dank bis hierhin.

selliance

File C:\DOKUME~1\elli\LOKALE~1\Temp\se.dll infected by "Trojan.Win32.StartPage.uz" Virus. Action Taken: No Action Taken.

File C:\WINNT\load.exe infected by "Trojan.Win32.Zapchast" Virus. Action Taken: No Action Taken.

File C:\WINNT\odbs.log infected by "Trojan.JS.StartPage.x" Virus. Action Taken: No Action Taken.

File C:\WINNT\VT00.exe infected by "Trojan-Downloader.Win32.Lookme.g" Virus. Action Taken: No Action Taken.

File C:\WINNT\system32\msiexec16.exe infected by "Backdoor.Win32.Optix.Pro.13" Virus. Action Taken: No Action Taken.

File C:\WINNT\system32\StopzillaBH0.dll infected by "Trojan.Win32.StartPage.np" Virus. Action Taken: No Action Taken.

File C:\WINNT\system32\sys_xp.exeopenopen infected by "Email-Worm.Win32.Bagle.ah" Virus. Action Taken: No Action Taken.

File C:\WINNT\system32\xdldr24.exe infected by "Trojan-Downloader.Win32.Xoad" Virus. Action Taken: No Action Taken.

File C:\DOKUME~1\elli\LOKALE~1\Temp\se.dll infected by "Trojan.Win32.StartPage.uz" Virus. Action Taken: No Action Taken.

ok. Hier das hijack Logfile:


Logfile of HijackThis v1.99.1
Scan saved at 12:12:39, on 04.03.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\eSafe\Protect\SERVNT.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\nvsvc32.exe
C:\Programme\Kerio\Personal Firewall\persfw.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\eSafe\Protect\ESPWatch.exe
C:\WINNT\system32\rundll32.exe
C:\Programme\Trojancheck 6\tcguard.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\eSafe\Protect\LOOKOUT.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Winamp\winamp.exe
C:\DOKUME~1\elli\LOKALE~1\Temp\mwavscan.com
C:\DOKUME~1\elli\LOKALE~1\Temp\kavss.exe
E:\eMule\emule.exe
C:\hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\elli\LOKALE~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://yoursearch.ws/?id=197
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOKUME~1\elli\LOKALE~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: EspIEObj Class - {2F4F8CC3-FF89-11D1-9F63-0020182D7E20} - C:\PROGRA~1\eSafe\Protect\espie.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [eSafe Protect] "C:\Programme\eSafe\Protect\ESPWatch.exe" /delay=5
O4 - HKLM\..\Run: [sp] rundll32 C:\DOKUME~1\elli\LOKALE~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.05p.com (HKLM)
O15 - Trusted Zone: *.awmdabest.com (HKLM)
O15 - Trusted Zone: *.blazefind.com (HKLM)
O15 - Trusted Zone: *.clickspring.net (HKLM)
O15 - Trusted Zone: *.flingstone.com (HKLM)
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.mt-download.com (HKLM)
O15 - Trusted Zone: *.my-internet.info (HKLM)
O15 - Trusted Zone: *.scoobidoo.com (HKLM)
O15 - Trusted Zone: *.searchbarcash.com (HKLM)
O15 - Trusted Zone: *.searchmiracle.com (HKLM)
O15 - Trusted Zone: *.slotch.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted Zone: *.xxxtoolbar.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone (HKLM)
O16 - DPF: {018B7EC3-EECA-11D3-8E71-0000E82C6C0D} - http://chpok.info/web.exe
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} (Loader2 Control) - http://static.topconverting.com/activex/loader2.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{DBCE2DC3-63A6-4F29-AFB3-5A981FF59C48}: NameServer = 192.168.2.1
O21 - SSODL: System - {80062C59-FE75-4111-B57B-B8859FDEDAC1} - (no file)
O21 - SSODL: Web Event Logger - {7CFEFEF1-ED03-1337-ABCD-526492F5D679} - (no file)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: eSafe Protect - Aladdin Knowledge Systems Ltd. - C:\Programme\eSafe\Protect\SERVNT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall\persfw.exe

File C:\WINNT\system32\msiexec16.exe infected by "Backdoor.Win32.Optix.Pro.13" Virus.

das sind keine guten Nachrichten, bei einem Backdoor ist die sicherste Variante das System neu aufsetzen.

# Sending/ receiving files
# Launching/ deleting files
# Executing files
# Displaying notification
# Deleting data
# Rebooting the machine

Man kann in so einem Fall nicht mehr genau sagen was an Systemdateien verändert wurde. Das heißt Du bist Kompromittiert. Lese dazu mal in dem Link
Kompromittierung
Für's Neuaufsetzen habe ich nur eine Hilfestellung für XP aber es sind viele Dinge mit Win 2000 identisch
System Neuaufsetzen

alles klar, habe ich mir schon gedacht, werde mich mal an die arbeit machen.

vielen dank...

selliance