Hallo !
Sitze hier in einem Büro mit ca 20 rechnern.

Auf einem der Rechner waren trojaner en masse, die heute einer von irgend ner page bekommen hat.
der server war kurzzeitig ausgelastet, hab diesen rechner jetzt panisch vom netz genommen.

hab adaware, spybot Search and destroy, cwshredder, norton antivirus corporate edition usw. drüberlaufenlassen.
von den massigen einträgen hab ich alle wegbekommen, da gabs u.a.
tbps.exe,wtoolsa.exe, pib.exe usw.

aber spybot meldet jetzt noch "eXact Advertising BargainsBuddy" und kriegt das nicht weg, mit dem Hinweis, dass es auf "win.ini" nicht zugreifen kann.
Abgesicherter Modus-neustarten und den firlefanz hab ich 3 mal gemacht, geht trotzdem nicht weg.

Bitte helfe mir einer schnell, hab angst um den server bzw. die daten die da drauf sind.

Vielen Dank im vorraus !


ach ja, hier der hijack-log:


Logfile of HijackThis v1.98.2
Scan saved at 14:47:30, on 04.04.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\NavNT\defwatch.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\dev32.exe
C:\Programme\NavNT\rtvscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\NavNT\vptray.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINNT\Pqv.exe
C:\WINNT\system32\ntddetect.exe
C:\WINNT\system32\internat.exe
C:\WINNT\system32\asro.exe
C:\WINNT\system32\??rss.exe
C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7125FEB4-1050-3BAC-2070-1803F6BBC3EF} - C:\WINNT\system32\dals.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [vptray] C:\Programme\NavNT\vptray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Ebt] C:\WINNT\Pqv.exe
O4 - HKLM\..\Run: [ntddetect] C:\WINNT\system32\ntddetect.exe
O4 - HKLM\..\Run: [Bsd] C:\WINNT\Eiv.exe
O4 - HKLM\..\Run: [WinTools] C:\PROGRA~1\GEMEIN~1\WinTools\WToolsA.exe
O4 - HKLM\..\Run: [Gbl] C:\WINNT\system32\Jfn.exe
O4 - HKLM\..\Run: [Dtd] C:\WINNT\system32\Fqe.exe
O4 - HKLM\..\Run: [Kfe] C:\WINNT\Gjs.exe
O4 - HKLM\..\Run: [Hpo] C:\WINNT\Eef.exe
O4 - HKLM\..\RunServices: [ntddetect] C:\WINNT\system32\ntddetect.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Ebt] C:\WINNT\Pqv.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.slotchbar.com
O15 - Trusted Zone: *.windupdates.com
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/download/ipixx.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = XXXXX.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXXX
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = XXXXX.local
O17 - HKLM\System\CS1\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXXX
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = XXXX.local
O17 - HKLM\System\CS2\Services\Tcpip\..\{94A06923-650C-4E8B-92C5-E3F8A7205F33}: NameServer = 192.168.1.XXX


ach ja, edit no 4 : das hintergrundbild lässt sich nicht ändern btw.
auch nicht in der systemsteuerung

@momurder
ich würde ein fachmann hinzuziehen, denn
du hast mindestens ein großes problem
http://www.sophos.de/virusinfo/analy...ojagentcu.html
C:\WINNT\system32\ntddetect.exe
und mehrere unbekannte probleme

die O15 einträge bekommst du hiermit
weg(das posting von Lutz)

lade escan
download
anleitung
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

oder selbst googeln

chaosman

Im Grunde stimme ich Chaosman zu,

Eine Neuinstallation [Wie ? - siehe meine Signatur] ist wohl oder übel unumgänglich. Überdies hinaus sei Dir DRINGENST ans Herz gelegt, sämtliche Passwörter zu wechseln.

Das war es wohl von meiner Seite.

Gruß
Andy

Hallo,

meine Tendenz geht eher dahin, dass sich der gute Mann (da es sich zweifelsohne um min. einen Firmenrechner handelt) Rat bei einer entspr. Fachfirma einholt.
Die Wahrscheinlichkeit liiegt nahe, das noch andere Rechner betroffen sind.

dartus

Hi zusammen

In diesem Falle, könnte es noch schlimmer sein, als Angenommen, und ich schließe mich an, schau mal zu, dass Du Euren netzwerkadmin oder Sicherheitsbeauftragten o.ä. findest und ihm erzählst, was Sache ist - AUCH wenn Dir das evtl. Probleme einhandelt.

Sollten mehrere Rechner betroffen sein (im Firmennetzwerk), so ist Großreinemachen angesagt - und der Admin sollte gehörig eins auf den Deckel bekommen, weil er zugeallen hat, dass sich sowas überhaupt einschleicht...

Gruß
Andy

vorab danke für eure antworten

also glücklicherweise war der administrator eh schon für morgen (ergo heute ) bestellt
also werd ich dem das mal sagen und mal auf den zahn fühlen.
darf wirklich nicht passieren sowas... vor allem NUR weil ein typ sich nen cr*** holen wollte (dem hab ich schon die leviten gelesen)


ich poste morgen nochmal das escan ergebnis, hat ich eh vor.

aber meint ihr wirklich ich muss alle rechner im netz überprüfen?
ich mein, ich werds jetzt machen, da ich euch glaube, aber is arbeit !

sollte der admin auch den server angucken? virencheck etc ?
auch da alle pw ändern ?


gut, danke aber für alles ersma ... !