Hallo zusammen!

Könnt ihr euch bitte mal das folgende Log anschauen.
Passiert ist folgendes. Meine Firewall (Panda Platinum 7) hat gemeldet dass das Programm "trmupdate.exe" auf das Netz zugreifen will; weil ich nicht wusste was das ist, hab' ich den Zuriff verweigert, dann erst mal gegoogelt aber nichts dazu gefunden was mir gefährlich erschien.Schliesslich hab ich den Zugriff gestattet was damit quitiert wurde, das sofort der
IE startete und etwas installieren wollte (sah aus wie ein Dialer),ausserdem war ein heftiger Datenaustausch zu beobachten.Die Dialerinstalation habe ich unterbunden, die Verbindung getrennt und die trmupdate.exe per Firewall gesperrt und neu gestartet
Seitdem geht die Verbindung zum zweiten Rechner nicht mehr, ansonsten ist aber nichts auffällig und das Notebook läuft eigentlich ganz normal.
Habe Panda Antivirus und AdAware drüber laufen lassen - ohne Ergebnis.

Vielen Dank schonmal
Bernd

Logfile of HijackThis v1.99.1
Scan saved at 0:29:13, on 06/04/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\HPConfig.exe
C:\Archivos de programa\HPQ\Notebook Utilities\HPWirelessMgr.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\carpserv.exe
C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe
C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\ARCHIV~1\HPQ\ONE-TO~1\OneTouch.EXE
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Archivos de programa\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Archivos de programa\iFinger\iFinger.exe
C:\Archivos de programa\OpenOffice.org1.1.4\program\soffice.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Archivos de programa\ABBYY FineReader 7.0 Professional Edition\AbbyyNewsReader.exe
C:\WINDOWS\explorer.exe
C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Isabel\Configuración local\Temp\Directorio temporal 2 para hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.es/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.hp.com/info/e-center-p
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: iFinger - {1624F640-49AC-11D3-8ABD-00C04FA95EE0} - C:\ARCHIV~1\iFinger\IFINGE~1.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] C:\Archivos de programa\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [PreloadApp] c:\hp\drivers\printers\photosmart\hphprld.exe c:\hp\drivers\printers\photosmart\setup.exe -d
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [Display Settings] C:\Archivos de programa\HPQ\Notebook Utilities\hptasks.exe /s
O4 - HKLM\..\Run: [SynTPLpr] C:\Archivos de programa\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Cpqset] C:\Archivos de programa\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [SCANINICIO] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [QT4HPOT] C:\ARCHIV~1\HPQ\ONE-TO~1\OneTouch.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Archivos de programa\Messenger\msmsgs.exe" /background
O4 - Startup: iFinger.lnk = C:\Archivos de programa\iFinger\iFinger.exe
O4 - Startup: OpenOffice.org 1.1.4.lnk = C:\Archivos de programa\OpenOffice.org1.1.4\program\quickstart.exe
O4 - Global Startup: DSLMON.lnk = C:\Archivos de programa\SAGEM\SAGEM F@st 800-840\dslmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: iFinger - {936E5D60-596C-11D3-BB96-00600816DF55} - C:\WINDOWS\System32\SHDOCVW.DLL
O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.truedoc.com/activex/tdserver.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1097457405366
O17 - HKLM\System\CCS\Services\Tcpip\..\{78691C3D-B292-48DC-B40A-2C5E95CCDB53}: NameServer = 80.58.61.250 80.58.61.254
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: HP Configuration Interface Service (HPConfig) - Hewlett-Packard - C:\WINDOWS\system32\HPConfig.exe
O23 - Service: HPWirelessMgr - Hewlett-Packard Co. - C:\Archivos de programa\HPQ\Notebook Utilities\HPWirelessMgr.exe
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Archivos de programa\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

Hallo berndkli,

das Logfile sieht IMHO in der Tat unauffällig aus.

Aber führe bitte dies mal aus (wenn möglich auch auf dem von Dir angesprochenen zweiten Rechner, sind sie miteinander "verkabelt"?):
1. Downloade Dir escan und befolge genau diese Anleitung (Ordner „C:{base“ erstellen, die „mwav.exe“ dorthin entpacken, mit „kavupd.exe“ updaten. Scan IM ABGESIICHERTEN MODUS dauert etwa eine Stunde),
2. starte nach dem Scan wieder in den normalen Modus dauert,
3. öffne die Datei "mwav.log", klicke auf "bearbeiten" danach auf "suchen"
4. gebe dann "infected" ein,
5. suche weiter bei Treffern, markiere diese und kopiere sie ins Forum,
6. neben den Treffern auch das Gesamtergebnis (befindet sich ganz unter im Logfile) posten.

Beispiel:
Wed Feb 02 19:48:56 2005 => Total Files Scanned:
Wed Feb 02 19:48:56 2005 => Total Virus(es) Found:
.
.
.
.


dartus

Hallo Dartus

Danke für die schnelle Antwort. Was heisst IMHO??
Ich habe zunächst mal nur den einen Rechner gescannt, um den anderen kümmere ich mich später, der war zum Zeitpunkt des Vorfalls ausgeschaltet und
danach ging ja nicht mal mehr ein PING. Die beiden sind per Crossover Kabel verbunden.
Hier jetzt das Ergebnis des scans:

File System Found infected by "VB and VBA Program Settings Spyware/Adware" Virus. Action Taken: No Action Taken.


File C:\Documents and Settings\Isabel\.jpi_cache\jar\1.0\archive.jar-74bd8ab2-148f1a8b.zip infected by "Trojan.Java.Binny.a" Virus. Action Taken: No Action Taken.

FileC:\SystemVolume
Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0022373.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0022374.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023399.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023400.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023403.REG infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023413.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023414.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP206\A0023417.REG infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP208\A0025497.REG infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP208\A0025499.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP208\A0025500.exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP208\A0025501.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\system32\config\systemprofile\Configuración local\Archivos temporales de Internet\Content.IE5\MP0D45GX\hempy[1].exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

File C:\WINDOWS\system32\config\systemprofile\Configuración local\Archivos temporales de Internet\Content.IE5\MP0D45GX\sp2extra[1].exe infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.




Wed Apr 06 17:24:40 2005 => Total Objects Scanned: 55577
Wed Apr 06 17:24:40 2005 => Total Virus(es) Found: 20
Wed Apr 06 17:24:40 2005 => Total Disinfected Files: 0
Wed Apr 06 17:24:40 2005 => Total Files Renamed: 0
Wed Apr 06 17:24:40 2005 => Total Deleted Objects: 0
Wed Apr 06 17:24:40 2005 => Total Errors: 3




Sieht ja schon übel aus. Wie bekomm ich das wieder runter?

Gruss Bernd

Hallo berndkli,

C:\System Volume Information\_restore

Systemwiederherstellung deaktivieren --> Neustart --> Systemwiederherstellung aktivieren http://www.bsi.bund.de/av/texte/wiederher_xp.htm

C:\Documents and Settings\Isabel\.jpi_cache\jar\1.0\archive.jar-74bd8ab2-148f1a8b.zip infected by "Trojan.Java.Binny.a" Virus. Action Taken: No Action Tak

Leere den Java-Cache = Systemsteuerung-->Java

C:\WINDOWS\system32\config\systemprofile\Configura ción local\Archivos temporales de Internet\Content.IE5\

Leere Archivos temporales de Internet des IExplorers (Extras-->Einstellungen)

Leider kann ich kein spanisch, daher die Anweisungen in deutsch.

IMHO = in my humble opinion (nach meiner bescheidenen Meinung)

WICHTIG!! Update Dein System unbedingt auf SP 2, desweiteren hier einiges lesenswertes, insbesondere die "12 Punkte".

dartus

@ dartus

File C:\System Volume Information\_restore{2493AD3C-41FA-4E8D-BBEE-84E5B1F89257}\RP208\A0025501.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

ich vermute der hat schon schaden angerichtet

@ berndkli

Yep, Gigamail hat recht, da kann man nur noch formatieren und systemneuaufsetzen
hier eine anleitung
http://www.trojaner-board.de/showpos...28&postcount=2


sry
chaosman

Danke für eure Mühe.
Hatte mich vorher schon mal vorsichtshalber auf formatieren eingestellt.

Gruss B.