big big trouble-bitte schnelle hilfe !

momurder

Hallo !
Sitze hier in einem Büro mit ca 20 rechnern.

Auf einem der Rechner waren trojaner en masse, die heute einer von irgend ner page bekommen hat.
der server war kurzzeitig ausgelastet, hab diesen rechner jetzt panisch vom netz genommen.

hab adaware, spybot Search and destroy, cwshredder, norton antivirus corporate edition usw. drüberlaufenlassen.
von den massigen einträgen hab ich alle wegbekommen, da gabs u.a.
tbps.exe,wtoolsa.exe, pib.exe usw.

aber spybot meldet jetzt noch "eXact Advertising BargainsBuddy" und kriegt das nicht weg, mit dem Hinweis, dass es auf "win.ini" nicht zugreifen kann.
Abgesicherter Modus-neustarten und den firlefanz hab ich 3 mal gemacht, geht trotzdem nicht weg.

Bitte helfe mir einer schnell, hab angst um den server bzw. die daten die da drauf sind.

Vielen Dank im vorraus !


ach ja, hier der hijack-log:


Logfile of HijackThis v1.98.2
Scan saved at 14:47:30, on 04.04.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\NavNT\defwatch.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\dev32.exe
C:\Programme\NavNT\rtvscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\NavNT\vptray.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINNT\Pqv.exe
C:\WINNT\system32\ntddetect.exe
C:\WINNT\system32\internat.exe
C:\WINNT\system32\asro.exe
C:\WINNT\system32\??rss.exe
C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7125FEB4-1050-3BAC-2070-1803F6BBC3EF} - C:\WINNT\system32\dals.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [vptray] C:\Programme\NavNT\vptray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Ebt] C:\WINNT\Pqv.exe
O4 - HKLM\..\Run: [ntddetect] C:\WINNT\system32\ntddetect.exe
O4 - HKLM\..\Run: [Bsd] C:\WINNT\Eiv.exe
O4 - HKLM\..\Run: [WinTools] C:\PROGRA~1\GEMEIN~1\WinTools\WToolsA.exe
O4 - HKLM\..\Run: [Gbl] C:\WINNT\system32\Jfn.exe
O4 - HKLM\..\Run: [Dtd] C:\WINNT\system32\Fqe.exe
O4 - HKLM\..\Run: [Kfe] C:\WINNT\Gjs.exe
O4 - HKLM\..\Run: [Hpo] C:\WINNT\Eef.exe
O4 - HKLM\..\RunServices: [ntddetect] C:\WINNT\system32\ntddetect.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Ebt] C:\WINNT\Pqv.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/download/ipixx.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = XXXXX.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXXX
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = XXXXX.local
O17 - HKLM\System\CS1\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXXX
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = XXXX.local
O17 - HKLM\System\CS2\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXX


ach ja, edit no 4 : das hintergrundbild lässt sich nicht ändern btw.
auch nicht in der systemsteuerung