W32/Rbot-EK + Windows neu installieren

mr. bungle

Hallo zusammen!

Ich würde mich freuen, wenn mir jemand bei folgendem Problem hilft:

Name W32/Rbot-EK; Typ Wurm
Alias Backdoor.Rbot.gen
W32/Sdbot.worm.gen.h

Anfällige Betriebssysteme Windows

Erläuterung
Übersicht Erläuterung Wiederherstellung W32/Rbot-EK ist ein Netzwerkwurm und eine Backdoor für die Windows-Plattform.
W32/Rbot-EK ermöglicht einem bösartig gesinnten Anwender Fernzugriff auf den infizierten Computer via IRC.

Damit er automatisch beim Start von Windows aktiviert wird, kopiert sich W32/Rbot-EK als scvhost.exe in den Windows-Systemordner und erstellt die folgenden Registrierungseinträge:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Windows Firewalll
= scvhost.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\Windows Firewalll
= scvhost.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Windows Firewalll
= scvhost.exe

W32/Rbot-EK beendet die folgenden Prozesse, sofern sie vorhanden sind:

i11r54n4.exe
irun4.exe
d3dupdate.exe
rate.exe
ssate.exe
winsys.exe
winupd.exe
SysMonXP.exe
bbeagle.exe
Penis32.exe
teekids.exe
MSBLAST.exe
mscvb32.exe
sysinfo.exe
PandaAVEngine.exe
wincfg32.exetaskmon.exe
zonealarm.exe
navapw32.exe
navw32.exe
zapro.exe
msblast.exe
netstat.exe
msconfig.exe
regedit.exe

1. Ich habe keinen Zugriff auf regedit.exe. Fehlermeldung: Das Bearbeiten der Registrierung wurde durch den Administrator deaktiviert. Das Umbenennen des Registrierungseditors in regedit.com bringt auch nichts. Es kommt wieder die selbe Fehlermeldung.

2. Die Systemwiederherstellung ist ebenfalls blockiert. Fehlermeldung hier: Die Systemwiederherstellung wurde aufgrund einer Gruppenrichtlinie deaktiviert, wenden sie sich an den Domänenadministrator um die Systemwiederherstellung zu aktivieren. Die Systemwiederherstellung lässt sich auch über Verwaltung -> Dienste nicht starten.

3. Kein Zugriff auf das Sicherheitscenter.

4. Startleiste, Menü und sämtliche Desktopicons sind weg. Im Moment benutze ich Strg + Alt + Entf -> neuen Task erstellen -> explorer.exe um an meine Dateien zu kommen.

5. Nachdem ich endgültig die Schnauze voll hatte, hab' ich versucht Windows neu zu installieren. Ergebnis: Fehlermeldung: Tastaturlayoutdatei kbdgr.dll konnte nicht geladen werden. Der selbe Fehler erscheint beim Versuch die Wiederherstellungskonsole zu starten. Ich habe diese Fehlermeldung bei Google eingegeben. Das Problem ist überall das gleiche: Die Datei kbdgr.dll ist da wo sie sein soll. Die Windows-CD funktioniert auf anderen PC's, daran liegt's also auch nicht.

6. Das ganze System arbeitet nur noch im Schneckentempo. Außerdem bekomme ich noch eine Fehlermeldung beim Hochfahren: Begrenzter virtueller Speicher. Das System hat entweder keine Auslagerungsdatei, oder die Auslagerungsdatei ist zu klein. Gehen sie folgendermaßen vor, um dieses Problem zu beheben. Öffnen sie die Systemsteuerung... Systemleistung -> Erweitert -> ...Benutzerdefinierte Größe... OK.

7. Ich benutze Windows XP Home, (selbst Schuld... ) und hab' null Plan von PC's.

8. Meine LogFile:

Logfile of HijackThis v1.99.1
Scan saved at 19:19:28, on 01.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\ISW\alice\signup\connctas.exe
C:\PROGRA~1\INTERN~1\iexplore.exe
C:\PROGRA~1\INTERN~1\iexplore.exe
C:\Dokumente und Einstellungen\mr. bungle.MSI\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = //google.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ***.alice-dsl.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = ***.alice-dsl.de
F2 - REG:system.ini: Shell=Explor
F3 - REG:win.ini: load=C:\WINDOWS\WinIogon.exe
F3 - REG:win.ini: run=C:\WINDOWS\WinIogon.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHEALTH\HELPCTR\Binaries\msconfig.exe /auto
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [WinSysKey] C:\WINDOWS\system32\dllrun.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) -
O16 - DPF: {CAFEEFAC-0014-0001-0002-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_02) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{DF5961C5-73FE-4B79-B506-02B80DCE3FE7}: NameServer = 213.191.74.12 213.191.92.84
O23 - Service: windll - Unknown owner - C:\WINDOWS\system32\windll.exe (file missing)
O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe (file missing)


So, mehr fällt mir im Augenblick nicht ein. Wenn noch etwas fehlt, kurz Bescheid geben. Und Danke im Voraus!

Cheers Chris