Hallo,
zum Thema PSGuard ist ja schon eine ganze Menge geschrieben worden...
Nun hat mich ein Freund angerufen, dessen PC offensichtlich damit infiziert ist (Telefondiagnose).
Bin mit ihm (nach checken diverser Foren) am Telefon verschiedene Prozedere durchgegangen, sind aber nicht zu dem gewünschten Ergebnis gekommen, da wenige typische "PSGuard"-Dateien bei ihm zu finden waren, andere nicht und auch mit ganz anderem Namen...
Bin jetzt einigermaßen ratlos und verwirrt ob der vielen Varianten die es gibt!
Ein HJT-Log ist angefügt.
Ein Scan mit Bitdefender wurde auch gemacht, die erkannten Viren s.u.
Wie kann man jetzt weiter vorgehen???
(Bitte keine Kommentare zur XP-Version etc. liege dem schon lange in den Ohren von wegen Updates und Patches - bis jetzt wurden meine Angebote zu helfen nicht angenommen. Aber vielleicht jetzt... :aplaus: )

Würde mich über Hilfe freuen!

Kolja


HiJackThis-Scan

Logfile of HijackThis v1.99.1
Scan saved at 20:39:23, on 21.07.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Softwin\BitDefender8\vsserv.exe
C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe
C:\Programme\QuickTime\qttask.exe
C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
C:\Programme\Softwin\BitDefender8\bdswitch.exe
C:\Programme\Softwin\BitDefender8\bdnagent.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\System32\intell32.exe
C:\WINDOWS\System32\combop.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\System32\MDM.EXE
C:\OPLIMIT\ocrawr32.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOKUME~1\User1\LOKALE~1\Temp\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://w-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://w-find.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w-find.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://w-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://w-find.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Advertiser Class - {53D3C442-8FEE-4784-9A21-6297D39613F0} - C:\WINDOWS\System32\Winad2.dll (file missing)
O2 - BHO: ATDP Class - {E3D3AFEE-2172-4ef5-8509-1638AFFF0374} - C:\WINDOWS\atlass.dll (file missing)
O3 - Toolbar: SToolbar - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\stlbd.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 5 PE\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Security iGuard] C:\Programme\Security iGuard\Security iGuard.exe
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender8\\bdswitch.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender8\bdnagent.exe
O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [intell32.exe] C:\WINDOWS\System32\intell32.exe
O4 - HKLM\..\Run: [combop.exe] combop.exe
O4 - HKLM\..\Run: [combo.exe] combo.exe
O4 - HKLM\..\Run: [PSGuard spyware remover] C:\Programme\PSGuard\PSGuard.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ALGU] C:\WINDOWS\System32\ALGU.EXE
O4 - HKCU\..\Run: [SPOOLSV32] C:\WINDOWS\System32\SPOOLSV32.EXE
O4 - HKCU\..\Run: [goulrsk] c:\windows\tmfjlor.exe
O4 - HKCU\..\Run: [nsdqywj] c:\windows\tmfjlor.exe
O4 - HKCU\..\Run: [ojchwyb] c:\windows\tmfjlor.exe
O4 - HKCU\..\Run: [jfpkaay] c:\windows\tmfjlor.exe
O4 - HKCU\..\Run: [nbnhjuj] c:\windows\vduocol.exe
O4 - HKCU\..\Run: [tpyfnqs] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [kiyscup] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [nondett] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [svomgyv] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [agtujsi] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [qnwxoog] c:\windows\vhixyjc.exe
O4 - HKCU\..\Run: [risyhpb] c:\windows\vhixyjc.exe
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Startup: Terminplanung.lnk = F:\Termine\Terminplanung.doc
O4 - Startup: winupdate05492707[1].exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Photo Express Calendar Checker SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Microsoft AntiSpyware helper - {6473AC8A-E264-49D1-B3F0-403705660916} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {6473AC8A-E264-49D1-B3F0-403705660916} - (no file) (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O14 - IERESET.INF: START_PAGE_URL=hllp://wxw.internetcologne.de
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - hllp://a1540.g.akamai.net/7/1540/52/20020124/qtinstall.info.apple.com/qt505/de/win/QuickTimeInstaller.exe
O16 - DPF: {52290B25-D07A-43B5-84D8-493116D50FA0} (WebPlugin Class) - http://webinstall.tscash.com/webinstall.cab
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Programme\Softwin\BitDefender8\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe



Bitdefender Scan-Log (teilweise)

C:\WINDOWS\ATLASSUI.exe Infiziert mit: Trojan.StartPage.IG
C:\WINDOWS\ATLASSUI.exe Gelöscht
C:\WINDOWS\system32\combo.exe Infiziert mit: Win32.Bagz.K@mm
C:\WINDOWS\system32\combo.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\system32\combo.exe Verschieben fehlgeschlagen
C:\WINDOWS\system32\gpfcaaaa.exe Infiziert mit: Dropped:Win32.Bagz.K@mm
C:\WINDOWS\system32\gpfcaaaa.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\system32\gpfcaaaa.exe Verschoben
C:\WINDOWS\system32\mxcruxvc.exe Infiziert mit: BehavesLike:Trojan.FWDisable
C:\WINDOWS\system32\mxcruxvc.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\system32\mxcruxvc.exe Verschoben
C:\WINDOWS\system32\sdsnaaaa.exe Verdächtig BehavesLike:Trojan.StartPage
C:\WINDOWS\system32\sdsnaaaa.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\system32\sdsnaaaa.exe Verschoben
C:\WINDOWS\system32\sender.exe Infiziert mit: Win32.Bagz.K@mm
C:\WINDOWS\system32\sender.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\system32\sender.exe Verschoben
C:\WINDOWS\system32\wldr.dll Infiziert mit: Trojan.Downloader.Agent.KF
C:\WINDOWS\system32\wldr.dll Gelöscht
C:\WINDOWS\tmfjlor.exe Verdächtig BehavesLike:Trojan.StartPage
C:\WINDOWS\tmfjlor.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\tmfjlor.exe Verschoben
C:\WINDOWS\vduocol.exe Verdächtig BehavesLike:Trojan.StartPage
C:\WINDOWS\vduocol.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\vduocol.exe Verschoben
C:\WINDOWS\vhixyjc.exe Verdächtig BehavesLike:Trojan.StartPage
C:\WINDOWS\vhixyjc.exe Desinfizieren fehlgeschlagen
C:\WINDOWS\vhixyjc.exe Verschoben

Hallo Kolja,

liege Deinem Bekannten nicht nur auf den Ohren, sondern hau auch mal drauf!

Das System ist total verseucht!
U.a. sind diese aktiv:
http://www.sophos.de/virusinfo/analyses/trojchimoc.html = combo.exe
http://castlecops.com/s8953-combop_exe.html

Bei einem Trojaner mit Backdoorfunktionalität wird dringend zur Neuinstallation geraten.

http://www.mathematik.uni-marburg.de...c-removal.html
http://www.mathematik.uni-marburg.de...ompromise.html
http://en.wikipedia.org/wiki/Botnet
http://de.wikipedia.org/wiki/Backdoor

Empfohlene Anleitung zur Neuinstallation

http://www.trojaner-board.de/showthread.php?t=12154

Thema Datensicherung:

http://www.trojaner-board.de/showpos...8&postcount=11

dartus

Danke Dir für Deine Rückmeldung!
Werde das genauso weiterleiten! Hatte meinen Freund auch schon mental auf eine Neuinstallation eingestimmt...
Nochmals vielen Dank, auch für die Links!
Kolja