moinsen zusammen,

ich werde den trojaner einfach nimmer los...
hab kaspersky&sygate personal... eigendl bisher sehr gut und alles erkannt, hier streiken sie...

kaspersky erkennt im system32 zwar gelegentlich eine datei "i" mit inhalt ip&get erasemeXXXXX.exe

lösche ich diese, und mit der killbox die eraseme files, bringt das alles nix
wenig später hab ich die files wieder im system32.im processmanager finde ich dann cmd.exe welche die ftp.exe aufruft und das spiel geht von neuem los.

wo finde ich den befehl der die cmd.exe auslöst??? registry?
im hijack is eigendl alles klar bis auf die zwei prozesse eben.

removal tools fehlanzeige, und antivirus versagt.ich dreh echt noch durch.
va hab ich durch diese hintergrundaktivitäten immer ping 200.

greetz
bastian

Logfile of HijackThis v1.99.1
Scan saved at 21:07:29, on 27.10.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Daemon\daemon.exe
C:\Programme\Symantec\Norton Ghost\Agent\GhostTray.exe
C:\WINDOWS\System32\DrvMon.exe
C:\Programme\TuneUp2004\memoptimizer.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Programme\Symantec\Norton Ghost\Agent\PQV2iSvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\TuneUp2004\ProcessManager.exe
C:\Dokumente und Einstellungen\zwoot\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
h**p://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = zwoot
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -

C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -

C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control

Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programme\KAV5\kav.exe /minimize
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\Daemon\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Norton Ghost 9.0] C:\Programme\Symantec\Norton

Ghost\Agent\GhostTray.exe
O4 - HKCU\..\Run: [DrvMon.exe] C:\WINDOWS\System32\DrvMon.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programme\TuneUp2004\memoptimizer.exe"

autostart
O4 - HKCU\..\Run: [Steam] "d:\steam\steam.exe" -silent
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} -

C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} -

C:\Programme\ICQ\ICQ.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab

?1126687537375
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. -

C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: kavsvc - Kaspersky Labs - C:\Programme\KAV5\kavsvc.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Programme\Symantec\Norton

Ghost\Agent\PQV2iSvc.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. -

C:\Programme\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp

Software GmbH - C:\Programme\TuneUp2004\WinStylerThemeSvc.exe

[edit]
links entfernt
[/edit]

@zwoot
lasse die beiden dateien
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
hier überprüfen
http://virusscan.jotti.org/de/

und poste das ergebnis

chaosman

also der scan hat ergeben, keine viren gefunden...

noch was, wenn ich beim neustart sofort den processmanager anschau, mein ich einmal kurz svchost(2).exe gelesen zu haben...


was mich noch stresst:

wenn die ftp.exe läuft, zeigt mir die sygate fw keinen traffic über ftp.exe an... beende ich sie, bleibt mein ping immernoch bei 200, d.h irgendwas wird wohl noch nachm beenden übertragen

greetz
bastian

Was mich an Deinem Log stört:

Logfile of HijackThis v1.99.1
Scan saved at 21:07:29, on 27.10.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Schon mal was von SP2 und regelmäßigen Updates gehört?

Versuche mal eine Bereinigung damit:
http://www.ewido.net/de/download/

Poste das Ergebnis.

ok, ewido findet ein paar cookies mehr nicht...

im system32 befinden sich jetz wieder folgende files:
i 1kb (vom kaspersky als trojan-downloader...)
eraseme_27322.exe 0kb
eraseme_44550 0kb
ftp.exe,nachdem ich sie umbenannt habe wieder da
ftpupd.exe 0kb aktuell erstellt worden laut geändert am
tftp.exe, die jetzt auch als gestarteter process vorkommt
teskmangr.exe 0kb aktuell erstellt worden laut geändert am
TFTP2312 aktuell erstellt worden laut geändert am
TFTP3704 aktuell erstellt worden laut geändert am
network.exe 0kb vor 1 woche erstellt

die onlinescanner nehmen keine 0kb files...
a² squared findet nix
spybot findet nix
ewido findet nix
kaspersky findet nix

sp2 hab ich nicht drauf, stimmt
aber ich denke sämtliche anderen updates von microsoft

greetz
bastian

@felix1,
dies sind warscheinlich seine geringsten Probleme.

Ich denke, er wird sich unter anderem den hier gefangen haben.
Grund: C:\WINDOWS\System32\GEARSec.exe

karaya