Sers TB Com....

Ich hab vorhin leider sehr unbedacht ne .exe ausgeführt und schon fings an zu rasseln. Denke eig. das ich das System direkt neu aufsetzen kann, wollte aber vorher noch gewissheit haben, dass es wirklich notwendig ist...

HiJack Log:

Logfile of HijackThis v1.99.1
Scan saved at 17:13:01, on 05.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programme\mousometer3.exe
C:\Programme\eMule\emule.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\patcher.exe
C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\WinRAR\WinRAR.exe
E:\Lager\Tools\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: C:\WINDOWS\system32\0106.exe
O4 - HKLM\..\Run: [012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789 012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678912345678] C:\Programme\dr.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Mousometer.lnk = C:\Programme\mousometer3.exe
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyPoker\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyPoker\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyPoker\PartyPokerNet\RunPF.exe
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyPoker\PartyPokerNet\RunPF.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1144781587400
O17 - HKLM\System\CCS\Services\Tcpip\..\{C42FBB5B-9DE0-4DB6-8C7A-258489C31082}: NameServer = 217.237.151.225 217.237.150.225
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Neuaufsetzen wäre wahrscheinlich die beste Lösung. Am besten ohne den Esel.
Wie lange bist Du nun schon hier?
Lasse
C:\WINDOWS\system32\0106.exe
C:\Programme\patcher.exe
online (siehe meine Signatur) prüfen und teile die Ergebnisse mit.

Ja, wie lange bin ich schon hier... Hm.
Das kann ich dir ohne nachzusehen nicht genau sagen, aber du kannst es ja einsehen

Bisher, nach meinem letzten total Crash lief auch bis heute alles gut, immer kuriose dateien online gescanned. Naja heute einmal nicht... Sofort System versaut....

die datei 0106.exe find ich nicht mehr. Die Patcher.exe wird nur von Fortinet als suspicious eingestuft... UPX gepackt...

MD5: db666638311401b9fa7b17ca685cf5ba
SHA1: f14d834450863e83e7e6d15cd9d644d9ac5bc152

Hab aber heute auch noch einen intensiven AntiVir Check gemacht der mir sagte das 4 Dateien infiziert sind. Darunter ein EbayBill Trojaner oder so etwas in der Richtung. *mal in Log sieht*

C:\Dokumente und Einstellungen\***\Anwendungsdaten\Thunderbird\Profiles\h4w2jjr7.default\mail\local folders\inbox
[0] Archivtyp: Netscape/Mozilla Mailbox
--> Mailbox_[From: "eBay International AG " <partnerprogramm@ebay.][Subject: eBay International AG Rechnung vom 26 Mai 2005]266.mim
[1] Archivtyp: MIME
--> Ebay-Rechnung.pdf.zip
[2] Archivtyp: ZIP
--> Ebay-Rechnung.pdf.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.EbayBill
--> Mailbox_[From: Ebay.de <billing@ebay.de>][Subject: eBay Rechnung vom 16.06.2006]446.mim
[1] Archivtyp: MIME
--> 16.06.2006-Ebay_Rechnung.pdf.zip
[2] Archivtyp: ZIP
--> Ebay_Rechnung.pdf.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.EbayBill
[WARNUNG] Die Datei wurde ignoriert.
C:\Dokumente und Einstellungen\***\Anwendungsdaten\Thunderbird\Profiles\h4w2jjr7.default\mail\local folders\trash
[0] Archivtyp: Netscape/Mozilla Mailbox
--> Mailbox_[From: "eBay International AG " <partnerprogramm@ebay.][Subject: eBay International AG Rechnung vom 26 Mai 2005]258.mim
[1] Archivtyp: MIME
--> Ebay-Rechnung.pdf.zip
[2] Archivtyp: ZIP
--> Ebay-Rechnung.pdf.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.EbayBill
--> Mailbox_[From: Ebay.de <billing@ebay.de>][Subject: eBay Rechnung vom 16.06.2006]440.mim
[1] Archivtyp: MIME
--> 16.06.2006-Ebay_Rechnung.pdf.zip
[2] Archivtyp: ZIP
--> Ebay_Rechnung.pdf.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.EbayBill
[WARNUNG] Die Datei wurde ignoriert.

Allein deswegen (und der Dinge die bestimmt kurioserweise immer noch irgendwo zusätzlich rumtollen) werd ich dann wohl neuaufsetzen...

Werd mich heute Nacht schon mal an alle Vorbereitungen machen und dann auch (dank meines neuen DVD Brenners) alle Daten von anderen Patitionen sichern um auch die Partitionen neu zu verteilen und alles zu formatieren....


Noch irgendwelche Tipps oder Erklärungen zum aktuellen Virenstand?



edit: Ich seh grad, dass es sich bei der Virenmeldung um Emails aus meinem Postfach handelt (Papierkorb)... der ist nun gelöscht... Aber das System hatte doch andere neue Viren? Patcher.exe zB ist ja auch irgendwie dazu gekommen, genauso wie merkwürdige Reg Einträge...

TIPPS?

Urghhh ich hab über Nacht mal nen EScan laufen lassen...
Da ist aber ein großer ärgerlicher Mist mit Emule gelaufen...
Also so wie ich das seh is die Kiste jetzt Schrott. Da hilft nur noch nen totales Neuaufsetzen.

Der Hammer des ganzen ist, das ich diese ganzen Cracks die sich da jetzt infiziert befinden gar ned so heruntergeladen habe. Die müssen durch irgendeinen komischen Installer gekommen sein... Echt mist.

Hier mal das Ergebnis

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Thu Jul 06 05:54:20 2006 => Object "emule P2P-worm" found in File System! Action Taken: No Action Taken.
Thu Jul 06 05:54:20 2006 => Object "emule P2P-worm" found in File System! Action Taken: No Action Taken.
Thu Jul 06 05:54:21 2006 => Object "emule P2P-worm" found in File System! Action Taken: No Action Taken.
Thu Jul 06 05:54:36 2006 => Object "emule P2P-worm" found in File System! Action Taken: No Action Taken.
Thu Jul 06 05:54:37 2006 => Object "emule P2P-worm" found in File System! Action Taken: No Action Taken.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Thu Jul 06 06:01:22 2006 => File C:\Dokumente und Einstellungen\***\Anwendungsdaten\Thunderbird\Profiles\h4w2jjr7.default\Mail\Local Folders\Inbox infected by "Trojan-Downloader.Win32.Agent.ami" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:01:31 2006 => File C:\Dokumente und Einstellungen\***\Anwendungsdaten\Thunderbird\Profiles\h4w2jjr7.default\Mail\Local Folders\Trash infected by "Trojan-Downloader.Win32.Agent.ami" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:11:28 2006 => File C:\Downloads\cracked.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:11:29 2006 => File C:\Downloads\Deutsch crack.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:11:30 2006 => File C:\Downloads\USA crack.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:18:29 2006 => File C:\Programme\eMule\Incoming\cracked.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:18:30 2006 => File C:\Programme\eMule\Incoming\Deutsch crack.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
Thu Jul 06 06:18:31 2006 => File C:\Programme\eMule\Incoming\USA crack.exe infected by "Trojan-Downloader.Win32.Harnig.bh" Virus! Action Taken: No Action Taken.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Thu Jul 06 05:54:21 2006 => Offending Folder found: C:\Programme\emule
Thu Jul 06 05:54:36 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\emule
Thu Jul 06 05:54:37 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Startmenü\programme\emule
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Thu Jul 06 05:54:15 2006 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\emule !!!
Thu Jul 06 05:54:20 2006 => Offending Key found: HKCU\Software\emule !!!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Thu Jul 06 08:53:56 2006 => Total Errors: 232
Thu Jul 06 08:53:56 2006 => Time Elapsed: 03:00:09
Thu Jul 06 08:53:56 2006 => Total Objects Scanned: 87732
Thu Jul 06 05:51:29 2006 => Virus Database Date: 6/28/2006
Thu Jul 06 05:53:15 2006 => Virus Database Date: 7/6/2006
Thu Jul 06 08:53:56 2006 => Virus Database Date: 7/6/2006
Thu Jul 06 14:16:23 2006 => Virus Database Date: 7/6/2006
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Hallo iMorti,
die hast du dir redlich verdient....


Irrlicht

Zitat von felix1

Neuaufsetzen wäre wahrscheinlich die beste Lösung. Am besten ohne den Esel.

Sagte ich doch schon.