liebe geisterjäger

ich bitte um eure hilfe bei meinem problem mit dem virus:

jotti.org

BitDefender................Backdoor.Hacdef.BO gefunden
Dr.Web......................BackDoor.HackDef.138 gefunden
Fortinet.....................W32/HacDef.BO-bdr gefunden
Kaspersky Anti-Virus....Backdoor.Win32.HacDef.bo gefunden
VBA32.......................Backdoor.Win32.HacDef.bo gefunden


vielen Dank im voraus! jan

hijackthis:
Logfile of HijackThis v1.99.1
Scan saved at 23:23:09, on 20.10.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\Programme\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\SPEEDD~1\SIREGSRV.EXE
C:\Programme\Speed Disk\nopdb.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\wt\wcmdmgr.exe
C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Mediafour\MACVNTFY.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\FirefoxPreloader\FirefoxPreloader.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\BearShare\BearShare.exe
C:\Programme\BearShare\BearShare.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Softwin\BitDefender9\bdnagent.exe
C:\Programme\Softwin\BitDefender9\bdoesrv.exe
C:\WINNT\notepad.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender9\vsserv.exe
c:\programme\softwin\bitdefender9\bdmcon.exe
C:\Dokumente und Einstellungen\jan\Desktop\virus_kampf\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [wcmdmgr] C:\WINNT\wt\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [Mediafour XPlay Tray Notification Icon] C:\Programme\Mediafour\XPlay\XPTRYICN.EXE
O4 - HKLM\..\Run: [Mediafour Mac Volume Notifications] "C:\Programme\Gemeinsame Dateien\Mediafour\MACVNTFY.EXE" /auto
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BDMCon] c:\PROGRA~1\softwin\BITDEF~2\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "C:\Programme\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] c:\programme\softwin\bitdefender9\bdnagent.exe
O4 - HKLM\..\Run: [BDSwitchAgent] c:\programme\softwin\bitdefender9\bdswitch.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Firefox Preloader.lnk = C:\Programme\FirefoxPreloader\FirefoxPreloader.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - h**p://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - h**p://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {FB48C7B0-EB66-4BE6-A1C5-9DDF3C37249A} (MCSendMessageHandler Class) - h**p://xtraz.icq.com/xtraz/activex/MISBH.cab
O20 - Winlogon Notify: MacDrive-iTunes compatibility - C:\Programme\Gemeinsame Dateien\Mediafour\MacDriveiTunesPatch.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton Utilities\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: siregsrv - Symantec, Peter Norton Group - C:\PROGRA~1\SPEEDD~1\SIREGSRV.EXE
O23 - Service: Speed Disk service - Symantec Corporation - C:\Programme\Speed Disk\nopdb.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: WinSSHD - Unknown owner - C:\Programme\Bitvise WinSSHD\winsshd.exe (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)


Escan:

[edit]
links entfernt
[/edit]

Seruvs jus0815!

BitDefender................Backdoor.Hacdef.BO gefunden
Dr.Web......................BackDoor.HackDef.138 gefunden
Fortinet.....................W32/HacDef.BO-bdr gefunden
Kaspersky Anti-Virus....Backdoor.Win32.HacDef.bo gefunden
VBA32.......................Backdoor.Win32.HacDef. bo gefunden

Bei der eindeutigen und übereinstimmenden Diagnose kann ich Dir nur einen sinnvollen Rat geben http://www.trojaner-board.de/showthread.php?t=12154
Und um auf Deine wahrscheinlich nächste(n) Frage(n) (genügt es nicht ...löschen oder so, ... ist es unbedingt notwendigt) gleich vorweg zu antworten: Nein, genügt nicht, da das neu Aufsetzen die einzig zuverlässige Möglichkeit ist, eine sicheren Zustand wieder herzustellen, und es ist (JA) notwendig. Lies´dazu auch alle links in der Anleitung von Cidre zu Thema backdoor.
Alles Gute, stupormundi

das ging aber flott! danke.
das problem: mein pc muss noch einen monat durch halten. dann ist die diplomarbeit fertig. kann man irgendwie ein halbwegs stabiles system
'zurechtpfuschen'?

mitte dezember wird das ganze teil platt gemacht. bis dahin brauche ich ihn noch, da ich riesige datenmengen (film) auf dem pc deponiere.

für einen tip wäre ich dankbar.
jan

Servus nochmal, jus0815!
Zurechtpfuschen ... keine gute Idee!
Da Du, wie ich Deinem nick entnehme, wohl Jus studierst, wirst Du über die Möglichkeiten der Internetkriminalität und dessen Bekämpfung wohl auch ausreichend Bescheid wissen (Kinderporno, Naziinhalte, erweiterte Gefahrenfoschung, Nutzung von sog. bot-Netzwerken, et alt ad inf..). Es kann Dir kein Mensch garantieren, dass nach einem Befall durch einen Backdoor und einer anschließenden Reinigung Dein System wirklich soweit sauber ist, dass es nicht weiterhin als bot genutzt werden kann (genauso wenig kann man vice versa das Gegenteil behaupten).
Schlussfolgerung: Wenn Du nicht vom LKA oder BKA oder der Polizei unerwarteten Besuch (natürlich nur im schlimmsten Fall) bekommen willst, investiere die Zeit ins neu Aufsetzen (den Film wirst Du ja wohl auf DVD brennen können, detto Dipl.arbeit).
Ansonsten mit diesem PC nicht mehr online gehen. Im Offlinebetrieb kann das Gerät wenigstens nicht mehr weiter missbraucht werden - nur in diesem Ausnahmefalls, dass Du dich auf reinen Betrieb ohne Internet und E-Mail (was mir persönlich nicht gelingen würde) beschränken würdest, könnte ich mir vorübergehend bis zu neu Aufsetzen ein herumpfuschen vorstellen.
stupormundi

hi supermundi.

danke für die antwort. leider studiere ich nicht jura o. ä. sondern film (mediengestaltung). d.h. ich kann den film mal nicht eben auf cd brennen, so gerne ich würde. ein paar backups habe ich natürlich gemacht. wie hoch ist die wahrscheinlichkeit, dass jm. meinen Pc als "bot" benutzt? und: wie hoch ist die wahrscheinlichkeit, dass der virus mein system oder meine daten zerstört? bestimmt kann man so pauschal nicht antworten. ich mache mir nir sorgen, dass die kiste morgen gar nicht mehr hoch fährt. werde versuchen nur im nötigsten fall online zu gehen.
beste grüsse
jan

gun tach inner runde!!!!
@Daten sichern.....
Vllt würds ne externe festplatte tun.........



MfG,
kobi...

Zitat von jus0815

kann man irgendwie ein halbwegs stabiles system
'zurechtpfuschen'?

Ein System ist entweder sicher oder nicht.
Halbwegs sicher ist so wie etwas schwanger, das gibt es auch nicht.

Ich habe letztens bei meinem Mann remote Dateien gelöscht, es geht einfach, kurz und schmerzlos. So etwas kann bei Dir auch zu jeder Zeit passieren, wenn ein Dritter Zugriff auf Deinen Rechner hat.

wie hoch ist die wahrscheinlichkeit, dass der virus mein system oder meine daten zerstört?

Kommt auf den an, der noch Zugriff hat.

Viele Grüße,
Heike

hallo!

ok. also werde versuchen so wenig wie möglich online zu sein. externe festplatte existiert, löst aber mein problem nicht. kann ich sonst etws tun um den schädling einzudämmen, bis ich das system neu aufsetzte? bspw. die infizierte datei löschen o. ä.?
vielen dank für eure hilfe.
liebe grüsse
jan

Hallo,
du kannst dir mal noch tcpview besorgen und immer mal schauen das nichts ungewöhnliches bei dir uploaded.
Ich denke ich muss nicht betonen das das auch nur eine Krücke bis zur Neuinstallation ist.


Grüße Wildone