Servus,
ich habe seit geraumer Zeit ein Problem mit meinem Pc, welches sich einfach nicht beheben lässt.
Der Firefox-Browser läuft ab und zu mal zu langsam,
Ich bekomme plötzlich Warnfenster von »Error-Safe« über den Internet Explorer (Den ich sehr selten verwende..)

Antivir lässt sich nicht installieren, und falls doch, fehlt immer irgend eine Datei zur Anwendung..
Und über Zone-Alarm bekomme ich stände diverse Meldungen von irgenwelchen Programmen die versuchen auf das Internet zuzugreifen.
Ein Programm nennt sich: tt38.exe ..

Ich hoffe ihr könnte mir weiterhelfen. Hier ist mein Hijackthis-Log:

Logfile of HijackThis v1.99.1
Scan saved at 18:47:19, on 04.02.2006
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\dfrgfat32.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\shost.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\WINNT\System32\kavsvr.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINNT\System32\internat.exe
C:\WINNT\System32\taskmgr.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINNT\system32\notepad.exe
G:\Programme\Miranda IM\miranda32.exe
C:\WINNT\System32\mshta.exe
C:\Dokumente und Einstellungen\***\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://www.aol.de/e60/suche/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.aol.de/e60/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
O1 - Hosts: 255.255.255.255 ar.atwola.com atdmt.com avp.ch avp.com avp.ru awaps.net ca.com dispatch.mcafee.com download.mcafee.com download.microsoft.com downloads.microsoft.com engine.awaps.net f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com liveupdate.symantec.com mast.mcafee.com mcafee.com msdn.microsoft.com my-etrust.com nai.com networkassociates.com office.microsoft.com phx.corporate-ir.net secure.nai.com securityresponse.symantec.com service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com symantec.com update.symantec.com updates.symantec.com us.mcafee.com vil.nai.com viruslist.ru windowsupdate.microsoft.com w*w.avp.ch w*w.avp.com w*w.avp.ru w*w.awaps.net w*w.ca.com w*w.f-secure.com w*w.kaspersky.ru w*w.mcafee.com w*w.my-etrust.com w*w.nai.com w*w.networkassociates.com w*w.sophos.com w*w.symantec.com w*w.trendmicro.com w*w.viruslist.com w*w.viruslist.ru w*w3.ca.com
O2 - BHO: ATLDistrib Object - {4A85F02A-CCD3-4E96-9BB1-7ACE7D0B9C23} - C:\WINNT\System32\ddaax.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [kav] kavsvr.exe
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Life Personal Firewall] FirewallingV10.exe
O4 - HKLM\..\Run: [stnospy] C:\Programme\SinEspias\no-spy.exe /autorun
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Services] c:\tt38.exe
O4 - HKLM\..\Run: [HjUbQnSNX]oOsHaKPhYn] C:\Programme\ICQ\icquninstall.txt:llatsninuqci.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Update] C:\Programme\AntiVir PersonalEdition Classic\preupd.exe /DM="0" /CALLSCHEDULER
O4 - HKLM\..\Run: [flmZ] C:\Programme\QuickTime\qttask.txt:ksattq.exe
O4 - HKLM\..\Run: [DMASwitch] C:\Programme\CyberLink\PowerDVD\CLDMA.exe 1 1
O4 - HKLM\..\RunServices: [kav] kavsvr.exe
O4 - HKLM\..\RunServices: [Life Personal Firewall] FirewallingV10.exe
O4 - HKLM\..\RunServices: [HjUbQnSNX]oOsHaKPhYn] C:\Programme\ICQ\icquninstall.txt:llatsninuqci.exe
O4 - HKLM\..\RunServices: [flmZ] C:\Programme\QuickTime\qttask.txt:ksattq.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [kav] kavsvr.exe
O4 - HKCU\..\Run: [Life Personal Firewall] FirewallingV10.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{32933113-D385-4C33-88B7-EB4EDA63397E}: NameServer = 217.237.149.161 217.237.150.97
O20 - Winlogon Notify: ddaax - C:\WINNT\System32\ddaax.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Unknown owner - C:\Programme\AntiVir PersonalEdition Classic\sched.exe (file missing)
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Unknown owner - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe (file missing)
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Defragmentation Management Handler (FAT Defragmentation) - Unknown owner - C:\WINNT\System32\dfrgfat32.exe
O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINNT\shost.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe


Gruss Deimos

Hallo,
sieht gar nicht gut aus, beende mal folgenden Prozesse im Taskmanager:
C:\WINNT\shost.exe
C:\WINNT\System32\dfrgfat32.exe
C:\WINNT\System32\kavsvr.exe
c:\tt38.exe (falls vorhanden)

und überprüfe die zugehörige Dateien hier und poste das Ergebnis. Wird aber sehr wahrscheinlich auf ein Neuaufsetzen hinauslaufen, Grund für die durchseuchung deines Systems ist das es total veraltet ist, SP4 ist schon vor Jahren herausgekommen.


Grüße Wildone

Hallo,

die Ergebnisse interessieren mich zwar auch, aber ein Neuaufsetzen ist wohl unumgänglich...

Danke für die schnelle Antwort.
shost.exe
dfrgfat32.exe
kavsvr.exe
Lassen sich nicht beenden, der Zugriff wurde verweigert :/
Hatte das System vor zwei Wochen schon mal neu Installiert, daher wundert es mich sehr dass er immer noch drauf ist.

Ich weiss nicht ob ich das nun richtig gemacht habe:
shost.exe:
Antivirus Version Update Result
AntiVir 6.33.0.81 02.04.2006 Worm/SdBot.59904.15
Avast 4.6.695.0 02.03.2006 Win32:SpyBot-A3352
AVG 718 02.04.2006 IRC/BackDoor.SdBot.RII
Avira 6.33.0.81 02.04.2006 Worm/SdBot.59904.15
BitDefender 7.2 02.04.2006 Backdoor.Sdbot.AIG
CAT-QuickHeal 8.00 02.04.2006 Backdoor.SdBot.aig
ClamAV devel-20060126 02.04.2006 no virus found
DrWeb 4.33 02.04.2006 BackDoor.IRC.Sdbot.351
eTrust-InoculateIT 23.71.68 02.04.2006 Win32/Petribot.GO!Worm
eTrust-Vet 12.4.2064 02.03.2006 Win32/Petribot.GO
Ewido 3.5 02.04.2006 Backdoor.SdBot.aig
Fortinet 2.54.0.0 02.04.2006 W32/SpyBot.AIG-bdr
F-Prot 3.16c 02.04.2006 security risk named W32/Sdbot.NXP
Ikarus 0.2.59.0 02.03.2006 Net-Worm.Win32.Mytob.DE
Kaspersky 4.0.2.24 02.04.2006 Backdoor.Win32.SdBot.aig
McAfee 4689 02.03.2006 W32/Sdbot.worm.gen.bd
NOD32v2 1.1393 02.03.2006 a variant of IRC/SdBot
Norman 5.70.10 02.03.2006 W32/SDBot.VOR
Panda 9.0.0.4 02.04.2006 W32/Sdbot.FPR.worm
Sophos 4.02.0 02.04.2006 W32/Rbot-AXG
Symantec 8.0 02.04.2006 W32.Spybot.Worm
TheHacker 5.9.3.090 02.03.2006 Backdoor/SdBot.aig
UNA 1.83 02.03.2006 Backdoor.Rbot
VBA32 3.10.5 02.03.2006 Backdoor.Win32.SdBot.aig

dfrgfat32.exe:
Antivirus Version Update Result
AntiVir 6.33.0.81 02.04.2006 Worm/SdBot.afu
Avast 4.6.695.0 02.03.2006 Win32:SdBot-2869
AVG 718 02.04.2006 IRC/BackDoor.SdBot.LLA
Avira 6.33.0.81 02.04.2006 Worm/SdBot.afu
BitDefender 7.2 02.04.2006 Backdoor.SdBot.AFU
CAT-QuickHeal 8.00 02.04.2006 Backdoor.SdBot.afu
ClamAV devel-20060126 02.04.2006 no virus found
DrWeb 4.33 02.04.2006 Win32.Detox.based
eTrust-InoculateIT 23.71.68 02.04.2006 MS03-026_Exploit!Trojan
eTrust-Vet 12.4.2064 02.03.2006 Win32/Toxbot!generic
Ewido 3.5 02.04.2006 Backdoor.SdBot.afu
Fortinet 2.54.0.0 02.04.2006 W32/DcomRpc.AFU-bdr
F-Prot 3.16c 02.04.2006 security risk named W32/Sdbot.MIU
Ikarus 0.2.59.0 02.03.2006 Backdoor.Win32.SdBot.AFU
Kaspersky 4.0.2.24 02.04.2006 Backdoor.Win32.Agent.ri
McAfee 4689 02.03.2006 W32/Sdbot.worm.gen
NOD32v2 1.1393 02.03.2006 Win32/Codbot
Norman 5.70.10 02.03.2006 W32/SDBot.SML
Panda 9.0.0.4 02.04.2006 W32/Codbot.BS.worm
Sophos 4.02.0 02.04.2006 W32/Codbot-AB
Symantec 8.0 02.04.2006 W32.IRCBot
TheHacker 5.9.3.090 02.03.2006 Backdoor/SdBot.afu
UNA 1.83 02.03.2006 Backdoor.SdBot
VBA32 3.10.5 02.03.2006 Backdoor.Win32.SdBot.afu

kavsvr.exe:
Antivirus Version Update Result
AntiVir 6.33.0.81 02.04.2006 Worm/Rbot.84480.13
Avast 4.6.695.0 02.03.2006 Win32:SdBot-gen3
AVG 718 02.04.2006 IRC/BackDoor.SdBot.UYB
Avira 6.33.0.81 02.04.2006 Worm/Rbot.84480.13
BitDefender 7.2 02.04.2006 Backdoor.SDBot.2DA69F73
CAT-QuickHeal 8.00 02.04.2006 (Suspicious) - DNAScan
ClamAV devel-20060126 02.04.2006 no virus found
DrWeb 4.33 02.04.2006 Win32.HLLW.MyBot.based
eTrust-InoculateIT 23.71.68 02.04.2006 Win32/SDBot!Backdoor!Server.Vari
eTrust-Vet 12.4.2064 02.03.2006 Win32/Rbot!generic
Ewido 3.5 02.04.2006 Backdoor.Rbot
Fortinet 2.54.0.0 02.04.2006 suspicious
F-Prot 3.16c 02.04.2006 security risk named W32/Sdbot.OGD
Ikarus 0.2.59.0 02.03.2006 Backdoor.Win32.Rbot.GEN
Kaspersky 4.0.2.24 02.04.2006 Backdoor.Win32.Rbot.gen
McAfee 4689 02.03.2006 W32/Sdbot.worm.gen.g
NOD32v2 1.1393 02.03.2006 a variant of Win32/Rbot
Norman 5.70.10 02.03.2006 W32/Spybot.AFDH
Panda 9.0.0.4 02.04.2006 W32/Gaobot.LZD.worm
Sophos 4.02.0 02.04.2006 W32/Rbot-Fam
Symantec 8.0 02.04.2006 no virus found
TheHacker 5.9.3.090 02.03.2006 Backdoor/Rbot.gen
UNA 1.83 02.03.2006 Backdoor.Rbot
VBA32 3.10.5 02.03.2006 Backdoor.Win32.Rbot.gen


Edit:
tt38.exe
Antivirus Version Update Result
AntiVir 6.33.0.81 02.04.2006 no virus found
Avast 4.6.695.0 02.03.2006 Win32:CTX
AVG 718 02.04.2006 no virus found
Avira 6.33.0.81 02.04.2006 no virus found
BitDefender 7.2 02.04.2006 Trojan.Proxy.Ranky.DX
CAT-QuickHeal 8.00 02.04.2006 (Suspicious) - DNAScan
ClamAV devel-20060126 02.04.2006 no virus found
DrWeb 4.33 02.04.2006 no virus found
eTrust-InoculateIT 23.71.68 02.04.2006 no virus found
eTrust-Vet 12.4.2064 02.03.2006 no virus found
Ewido 3.5 02.04.2006 Proxy.Ranky.eg
Fortinet 2.54.0.0 02.04.2006 suspicious
F-Prot 3.16c 02.04.2006 no virus found
Ikarus 0.2.59.0 02.03.2006 no virus found
Kaspersky 4.0.2.24 02.04.2006 no virus found
McAfee 4689 02.03.2006 no virus found
NOD32v2 1.1393 02.03.2006 probably unknown NewHeur_PE virus
Norman 5.70.10 02.03.2006 no virus found
Panda 9.0.0.4 02.04.2006 Suspicious file
Sophos 4.02.0 02.04.2006 no virus found
Symantec 8.0 02.04.2006 no virus found
TheHacker 5.9.3.090 02.03.2006 no virus found
UNA 1.83 02.03.2006 Win32.CRYPT.virus
VBA32 3.10.5 02.03.2006 no virus found

Hallo,

Moment, ich poste den letzte Bericht gleich ..

spar Dir den Post, Du hast auch so genung Backdoors.

Nimm den Rechner vom Netz!

Netzkabel raus und setzte Dein System neu auf!
Für alles andere ist es zu spät.
Beachte den Link in meiner Signatur, der sich um das sichere Neuaufsetzen dreht.

Gruß

Schrulli

Hallo,
ja sowas ähnliches habe ich befürchtet (die kavsvr.exe scheint noch recht neu zu sein). Da hilft nun wirklich nur eine komplette Neuinstallation, dein System gehört nicht mehr dir, da haben dritte vollen Zugriff drauf, Grund dafür habe ich ja oben schon genannt.
Also, hier ist eine Anleitung wie du beim Neuaufsetzen und anschließenden Absichern vorgehen solltest damit soetwas nicht mehr vorkommt.

Edit
die tt38.exe scheint auch sehr neuen Fabrikats zu sein.


Grüße Wildone

In Ordnung, ich werde das System neu aufsetzen.. Vielen Dank für die schnelle Hilfe!