Hallo Forumsmitglieder!

Ich bin verzweifelt, denn offenbar hat sich eine Freundin einen Trojaner eingefangen, den keiner kennt. Sie hat Windows NT, es läuft ein aktualisiertes Symantec Virenprogramm, das keine Viren entdeckt hat. Sie bekam in letzter Zeit öfter Mails mit dem Hinweis, ihre Emails seien nicht zugestellt worden, da sie gefährliche Anlagen versenden würde, obwohl sie keine Emails verschickt hatte. Ich nahm an, daß ihre Adresse gehijackt worden sei und vermutlich alles in Ordnung sei mit ihrem PC. Aber.... es sollte anders kommen...

Angefangen hatte es damit, daß ich einen Online-Virenscan bei Trend Micro gemacht habe. Dieser Scan hat 1 infizierte Datei gefunden:

C:\WINNT\Downloaded Program Files\on-line.exe

(associated Virus Name: TROJ.DLOAD.D)

Als ich weitere Informationen zu diesem Virus haben wollte, konnte weder Trend Micro noch sonst eine Suchmaschine mir etwas zu diesem Virus sagen. Es gibt zwar verschiedene Versionen von TROJ.DLOAD...., aber nicht .D.

Bis dahin lief das Internet noch, das über eine Lan-Schnittstelle mit DSL verbunden ist. Als ich auf der Seite von Trend Micro mit "weiter" versuchen wollte, die Sache zu fixen, ging die Internetverbindung verloren.

Seitdem zeigt der IE beim Start immer die Seite "about:blank" an und die Internetverbindung ist völlig hinüber.

Die Datei on-line.exe kann ich den angegebenen Ordner nicht entdecken, habe aber in der registry danach gesucht und es wurde auch etwas ausgespuckt mit dem Namen, das ich gelöscht habe.

Ich habe auch HijackThis laufen lassen. Hier die Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 16:04:43, on 2005.08.15
Platform: Windows NT 4 SP6 (WinNT 4.00.1381)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolss.exe
C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
C:\WINNT\system32\RpcSs.exe
c:\winnt\system32\pstores.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\Explorer.EXE
C:\WINNT\Profiles\Administrator\Desktop\hijackthis\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINNT\about.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.takas.lt:8080
F2 - REG:system.ini: UserInit=userinit,nddeagnt.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [hpsjbmgr] c:\Program Files\Hewlett-Packard\Precisionscan Pro 3.1\hpsjbmgr.exe
O4 - HKLM\..\Run: [BrowserWebCheck] loadwc.exe
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /logon
O4 - HKLM\..\Run: [mdac_runonce] C:\WINNT\System32\runonce.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O13 - WWW. Prefix: http://
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 212.59.0.1 212.59.0.2
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 212.59.0.1 212.59.0.2
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 212.59.0.1 212.59.0.2
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe

Das fixen der als gefährlich angesehenen Dateien hat leider nichts gebracht, die Internetverbindung steht immer noch nicht.

Weiß jemand weiter oder kann mir jemand sagen, wo ich eine Anleitung finde, um diesen Virus wieder loszuwerden?

Vielen Dank im Voraus!
Monika

Hurra! Ich kann gottseidank meine Frage zurückziehen! Es läuft wieder alles. Ich hatte leider einen Eintrag bei hijackthis übersehen, der hat es dann wieder gefixt.

Dennoch wäre es interessant, etwas über den gefundenen Virus zu erfahren. TROJ_DLOAD.D ist nirgendwo bekannt.

Schöne Woche!
Monika