Hey Leute!
Ich wette das ihr schon 10 000 mal das gleiche Thema hattet aber da ich mich mit PCs nicht so gut Auskenne und eure Schriftzüge für mich schwer zu Entziffern sind Frage ich einfach mal nach!

Also seit gestern Nacht bekomme ich ständig (also ca. alle 2 min) eine Warnmeldung von Norton das ein Remote System auf meinen PC zuzugreifen versucht. Wenn ich dann auf OK drücke dann hängt mein PC ohne Ende und ich kann nichts mehr machen! Laß ich die Warnmeldung in ruhe Funktioniert er einwandfrei, und die Meldung verschwindet irgendwann.

Ich habe mir Spybot runtergeladen und er hat 26 gefährliche Dateien oder wie auch immer gefunden, aber die Meldungen kommen immer noch! Dann habe ich Bazooka ( Hatte was am an meinem Media Player auszusetzen, habe die neuen updates runtergeladen), spyhunter (der hat nur in den Cookies was gefunden, habe ich gelöscht), und letzt endlich auch Hijack this runtergeladen, allerdings habe ich keine ahnung was da Falsch sein könnte! Und ja die Meldungen kommen immer noch!
Ach und meinm Abo bei Norton is seit 2 Tagen abgelaufen!

Könnt ihr mir irgendwie helfen? Ich habe in weniger als einem Monat meine Abschluss Prüfung und brauche das Internet ganz dringend!

Nach all dem

Danke für alle Hilfe!

Lily

Ok nachdem ich jetzt auch verstanden habe wie ich meinen Log Poste kommt er auch schon!

Logfile of HijackThis v1.97.7
Scan saved at 01:52:09, on 10.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Internet Security\NISUM.EXE
C:\WINDOWS\twain_32\SiPix\SCBlink2\Srvany.exe
C:\WINDOWS\twain_32\SiPix\SCBlink2\USBPNP.exe
C:\Programme\Norton Internet Security\ccPxySvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\STDSB.exe
C:\WINDOWS\System32\WL.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Winamp\Winampa.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Programme\NuCam\CamCheck\CamCheck.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZENG09.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Amélie Zu Bentheim\Desktop\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.glamour.de/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\apps\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Programme\Microsoft Money\System\mnyviewer.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [WL] C:\WINDOWS\System32\WL.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NECStartPage] C:\apps\HomePage\HomePgui.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [CamCheck] C:\Programme\NuCam\CamCheck\CamCheck.exe
O4 - HKLM\..\Run: [SpyHunter] C:\Programme\SpyHunter\SpyHunter.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Symantec Network Driver Update Warning] C:\PROGRA~1\Symantec\LIVEUP~1\SNDWarn.EXE
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0b\aoltray.exe
O4 - Global Startup: DSLMON.lnk = C:\Programme\SAGEM\SAGEM F@st 800-840\dslmon.exe
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Money Viewer (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .mid: C:\Programme\Internet Explorer\PLUGINS\npqtplugin2.dll
O12 - Plugin for .MPG: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .png: C:\Programme\Internet Explorer\PLUGINS\npqtplugin4.dll
O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://fr.encyclopedia.yahoo.com/rsc/tdserver.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...990.3857986111
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{91764DF3-F273-4A29-8008-4DB9F76DC842}: NameServer = 80.10.246.1 80.10.246.132
O17 - HKLM\System\CCS\Services\Tcpip\..\{EE054AC4-B8BF-42E1-AB17-47028AED2F2A}: NameServer = 192.168.0.1

[ 10. Mai 2004, 01:53: Beitrag editiert von: Lily ]

Ich kenne mich mit Norton nicht aus, es wäre vielleicht sinnvoll, wenn du den genauen Text der Warnmeldung mal wiedergeben könntest, das würde die Diagnose erleichtern.

Hi Lily,

willkommen an Board. [img]smile.gif[/img]

Kannst Du näheres zu den folgenden Dateien sagen? Mir sagen die nichts.
C:\WINDOWS\System32\STDSB.exe
C:\WINDOWS\System32\WL.exe
Evtl. mach mal einen Rechtsklick im Explorer auf die Dateien, und lass Dir die Eigenschaften anzeigen.

Bzgl. der Warnmeldung handelt es sich wahrscheinlich nur um harmlose Portscans. Deine Firewall meldet die dann, damit Du Dich gut geschützt fühlst. [img]graemlins/crazy.gif[/img]
Mit Sicherheit kann man das aber erst mit dem genauen Text der Warnmeldung sagen.

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Ihr Glücklichen! Gerade springt mich hier so eine Warenmeldung an!

Also Hohes Risiko

Ein Remote- System versucht auf Ihren Computer zuzugreifen

Uhrzeit: 13:03
Datum:10.05.2004
Protokoll: UDP (Eingehend)
Remote-Adresse: 202.231.143.201 : 4332
Lokale Adresse: 81.50.207.41 : 1027

Und dann fragt mich Norton welche Aufgabe ich ausführen möchte.

willkommen an Board. [img]smile.gif[/img]

[img]smile.gif[/img] Danke

Kannst Du näheres zu den folgenden Dateien sagen? Mir sagen die nichts.
C:\WINDOWS\System32\STDSB.exe
C:\WINDOWS\System32\WL.exe
Evtl. mach mal einen Rechtsklick im Explorer auf die Dateien, und lass Dir die Eigenschaften anzeigen.

??? Im explorer? Das mußt Du mir besser erklären!

Bzgl. der Warnmeldung handelt es sich wahrscheinlich nur um harmlose Portscans. Deine Firewall meldet die dann, damit Du Dich gut geschützt fühlst.

Was sind Portscans? [img]graemlins/crazy.gif[/img]

[img]graemlins/heulen.gif[/img] Bin mal wieder zu nix zu gebrauchen!

Lily

</font><blockquote>Zitat:</font><hr />Uhrzeit: 13:03
Datum:10.05.2004
Protokoll: UDP (Eingehend)
Remote-Adresse: 202.231.143.201 : 4332
Lokale Adresse: 81.50.207.41 : 1027</font>[/QUOTE]Ich bin nicht so bewandert in den Netzwerkprotokollen, aber ich versuche mich mal an einer einfachen Erklärung. Wenn ich grob falsch liege, bitte ich um Verbesserung von den Experten.

Jemand vom Rechner 202.231.143.201 (in Japan) will an Dich etwas senden, und zwar an den Port 1027. Ein Port ist so etwas wie eine Tür zu Deinem Rechner. Dieser Port wird lt. Google dazu verwendet, Nachrichtenfenster aufpoppen zu lassen, auf denen dann Werbung steht. Also dies am besten nicht zulassen.

</font><blockquote>Zitat:</font><hr />Im explorer? Das mußt Du mir besser erklären!</font>[/QUOTE]Das ist das Programm in Windows, mit dem Du Dateien und Verzeichnisse verwaltest. Du kannst aber auch auf das Arbeitsplatz-Icon klicken.

</font><blockquote>Zitat:</font><hr />Was sind Portscans? </font>[/QUOTE]Kurz gesagt: Jemand versucht, durch Datenpakete, die er an Deinen Computer schickt, Lücken in Deinem Computer zu finden.

</font><blockquote>Zitat:</font><hr />Bin mal wieder zu nix zu gebrauchen!</font>[/QUOTE]Ganz so schlimm wirds hoffentlich nicht sein!

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

[img]graemlins/headbang.gif[/img]
Also Eigenschaften gefunden, aber was besonderes wollt ihr Wissen? Und vor allem finde ich die nicht mit der Endung .exe sondern nur ohne.
Aber das ist doch bestimmt normal so, und ich weiß das nur nicht! [img]graemlins/heulen.gif[/img]

Hmmm wenn ich das richitg kapiert habe versucht da schon jemand auf meinen PC zuzugreifen. Aber wieso auf einmal und weshalb ich?
Also soll ich die Meldungen Blockieren, aber dann hängt mein PC. Was passiert denn wenn ich die Meldung Ignoriere?

Und wie kann ich diese Meldungen abschaffen?

Wer lässt sich den sowas einfallen? Arme Studenten Quälen! [img]graemlins/kloppen.gif[/img]

</font><blockquote>Zitat:</font><hr /> Also Eigenschaften gefunden, aber was besonderes wollt ihr Wissen? Und vor allem finde ich die nicht mit der Endung .exe sondern nur ohne.
Aber das ist doch bestimmt normal so, und ich weiß das nur nicht! </font>[/QUOTE]Naja das ist standard so eingestellet man kanns aber leicht ändern :
du öffnest wieder den explorer-&gt; da in der kopfzeile auf extras-&gt; dann ordneroptionen-&gt; nu hastn neues fenster offen da gehste oben auf ansicht-&gt; da den menüpunkt "dateinahmenerweiterungen bei bekannten dateitypen ausblenden" daktiviern. das wars schon

so die beiden exen sollten eigentlich nicht allzuwichtig sein hab schon mal vorhin n bissl nachgeschaut. intressant bei den eigenschaften ist der hersteller und die version das könnt ein bissl mehr aufschluss geben was wir da hamm

</font><blockquote>Zitat:</font><hr /> Also soll ich die Meldungen Blockieren, aber dann hängt mein PC. Was passiert denn wenn ich die Meldung Ignoriere?

Und wie kann ich diese Meldungen abschaffen? </font>[/QUOTE]Hmm also man kann normalerweise bei firewalls einstellen das diese bestimmte ips/ports sperren
wie das nun im einzelnen bei norton aussieht weiss ich leider net evtl kann dir hier im board jemand helfen aber das einfachste wär wenn jemand dir das direkt am pc einstellt [img]smile.gif[/img]

</font><blockquote>Zitat:</font><hr /> Hmmm wenn ich das richitg kapiert habe versucht da schon jemand auf meinen PC zuzugreifen. Aber wieso auf einmal und weshalb ich?</font>[/QUOTE]Es gibt genug kranke Leute dadraussen, allerdings muss das nicht gleich heissen das jemand explizit versucht auf deinen pc zuzugreifen kann auch ein automatischer port scan auf irgendeinem anderen pc sein

</font><blockquote>Zitat:</font><hr />Original erstellt von Olo:
</font><blockquote>Zitat:</font><hr /> Also Eigenschaften gefunden, aber was besonderes wollt ihr Wissen?</font>[/QUOTE]so die beiden exen sollten eigentlich nicht allzuwichtig sein hab schon mal vorhin n bissl nachgeschaut. intressant bei den eigenschaften ist der hersteller und die version das könnt ein bissl mehr aufschluss geben was wir da hamm</font>[/QUOTE]Genau das ist der Grund. Ich kenne die Dateien nicht und weiß nicht, was die bewirken, aber zusammen mit dem Hersteller kannst Du (Lily) uns vielleicht sagen, wozu die Dateien gehören; und wir können dann ausschließen, dass die Dateien irgendwie schädlich sind.
</font><blockquote>Zitat:</font><hr />Original erstellt von Olo:
</font><blockquote>Zitat:</font><hr />Hmmm wenn ich das richitg kapiert habe versucht da schon jemand auf meinen PC zuzugreifen. Aber wieso auf einmal und weshalb ich?</font>[/QUOTE]Es gibt genug kranke Leute dadraussen, allerdings muss das nicht gleich heissen das jemand explizit versucht auf deinen pc zuzugreifen kann auch ein automatischer port scan auf irgendeinem anderen pc sein </font>[/QUOTE]Es könnte auch sein, dass bei Dir eigentlich ein Werbepopup aufgehen soll; dies aber u.a. durch die Firewall verhindert wird. Mit dem Werbepopup meine ich den Spam über den Nachrichtendienst; hier erfährst Du mehr darüber. Ob das über UDP Port 1027 geschieht weiß ich nicht, da bin ich kein Experte, ich hatte nur etwas in der Art über Google gefunden. In dem Fall wäre das kein gezielter Angriff auf Dich!
</font><blockquote>Zitat:</font><hr />Wer lässt sich den sowas einfallen? Arme Studenten Quälen! </font>[/QUOTE]Das frage ich mich auch immer...

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

[img]graemlins/huepp.gif[/img]

Also die STDSP.exe : es gibt 2!
Eine Anwendung: steht nichts über den hersteller
Eine Systemdatei: Dateiversion 0.0.1.0
Beschreibung: Scroll Bar Driver
Copyright: Copyright Microsoft Corp. 2002-2007

WL.exe
Ist eine Anwendung
Beschreibung: Icon MFC Application
Dateiversion: 1.0.0.1
Copyright: Copyright 2003

Ist das in Ordnung?

</font><blockquote>Zitat:</font><hr />Original erstellt von Lily:
Ist das in Ordnung? </font>[/QUOTE]Ich glaube schon...

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

Hallo!

</font><blockquote>Zitat:</font><hr />Original erstellt von Lily:
Nur bevor ich die Log-file gepostet habe, habe ich eine smvss.exe entfernt.</font>[/QUOTE]Das ist nicht gut.
http://www.sophos.com/virusinfo/anal...ojdedlerc.html
http://vil.nai.com/vil/content/v_122235.htm

Ich empfehle dir, dringend einmal offene Netzwerkfreigaben zu schließen. Norton schützt da trotz aller Meldungen, die augenscheinlich Schutz suggerieren, nicht zuverlässig.


</font><blockquote>Zitat:</font><hr />Aber danach kamen noch ein paar Meldungen!
</font>[/QUOTE]Wärhend zumeist harmlose Pings und Portscans von außen als Gefahr eingestuft werden, kann auf der anderen Seite vor wirklichen Gefahren gar kein schutz geleistet werden.

Besser:
http://www.mathematik.uni-marburg.de...ompromise.html

Hallo Markus!
Ich habe mir die Links gerade angeschaut die Du mir gepostet hast!
Hmmm ich kann zwar Englisch aber
Waaaaat soll isch machen?

Aber die smvss.exe wurde doch von Log file entdeckt und jetzt nicht mehr!
Und an einen Dedler Wurm kann ich mich erinnern der hieß W32.Dedler.Worm, den fand Norton eine ganze Zeit lang und ich konnte keine Removal tool entdecken aber jetzt ist der nirgends mehr auf dem PC aufzutreiben!

HILFE!!! [img]graemlins/balla.gif[/img]

Wo habe ich diesen ganzen Trojaner und Viren bloß her? [img]graemlins/schmoll.gif[/img]

Hallo Lily!

</font><blockquote>Zitat:</font><hr />Original erstellt von Lily:
Ich habe mir die Links gerade angeschaut die Du mir gepostet hast!
Hmmm ich kann zwar Englisch aber
Waaaaat soll isch machen?</font>[/QUOTE]Erstmal noch vorweg: Mit "das ist nicht gut" in meinem vorigen Posting meinte ich die Existenz dieses Wurmes - ob nun gelöscht oder nicht, so war er doch eine Zeit lang auf dem System aktiv - und eben das ist nicht gut.

Er verbreitet sich über offene Freigaben im Netzwerk. Was hast du denn für ein System? Läuft der PC als Stand-Alone oder innerhalb eines Netzwerks?

</font><blockquote>Zitat:</font><hr />Aber die smvss.exe wurde doch von Log file entdeckt und jetzt nicht mehr!</font>[/QUOTE]Das heißt aber nicht, dass damit automatisch auch
a) alle Folgen des Wurmbefalls beseitigt und
b) der Schutz vor weiterem Schadsoftwarebefall dieser Art gewährleistet werden können.

Hast du wichtige Daten auf dem System?

</font><blockquote>Zitat:</font><hr />Und an einen Dedler Wurm kann ich mich erinnern der hieß W32.Dedler.Worm, den fand Norton eine ganze Zeit lang und ich konnte keine Removal tool entdecken aber jetzt ist der nirgends mehr auf dem PC aufzutreiben!</font>[/QUOTE]Naja, auf den Wurm schloss ich anhand des Dateinamens, den du nanntest. Das muss nicht immer stimmen, kann aber durchaus, wie hier zu sehen.

Removal-Tools gibt es nicht für alle Würmer: Ein Grund: es sind einfach zu viele, da kann man gar nicht für jeden ein extra Tool schreiben. Um so wichtiger ist, dass du Maßnahmen ergreifst, um es gar nicht erst dazu kommen zu lassen. Wie das geht, steht in dem Link zur Uni Marburg (siehe Vorseite).

</font><blockquote>Zitat:</font><hr />Wo habe ich diesen ganzen Trojaner und Viren bloß her? [img]graemlins/schmoll.gif[/img] </font>[/QUOTE]Über ein nicht ausreichend sicher konfiguriertes System.

Vielen vielen Dank!

Vor allem Youpie!

Und an euch alle:

Die Warnmeldungen sind weg! Jetzt fragt mich aber nicht warum!