Hallo Leute

Ich habe folgendes Problem: Mein Computer ist mit dem Virus "Win32.Tenga.a", auch bekannt als "W32/Gael", "W32.Licum", "Win32.Gael.3666", "W32/Stanit" usw., infiziert.

Ich habe schon hier im Forum versucht eine Lösung zu finden. Doch die Meinung gehen da weit auseinander. Der Eine sagt, man sollte sein Festplatte platt machen. Ein Anderer behauptet, dass das Programm "NOD 32" das Problem lösen würde. Bei vielen Betroffenen besteht das Problem darin, dass schon vorhandene .EXE-Dateien befallen wurden. Bei mir wird jedoch bei jedem Neustart eine .Exe-Datei mit dem Namen setup.exe und eine Autorun-Datei in unterschiedliche Verszeichnisse kopiert. Diese Dateien sind dann auch von dem Virus befallen. Mein Antiviren-Programm löscht diese Dateien jedes mal. Trotzdem tauchen sie beim nächsten Neustart auf.

Seit gestern meldet mein Computer Netzwerkangriffe von verschieden IP-Adressen. Ich habe irgendwo gelesen, dass jener Virus ein Backdoor-Trojaner ist. Das klingt nicht gut...

WAS SOLL ICH JETZT MACHEN??

Hier mein HJT Log-File:

Logfile of HijackThis v1.99.1
Scan saved at 20:00:45, on 11.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\SatSrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Steganos AntiSpyware 2006\WRSSSDK.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe
C:\WINDOWS\ISW\alice\signup\AliceCnn.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Dokumente und Einstellungen\Maurizio\Eigene Dateien\10 DOWNLOADS\Hijackthis\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: PopUpBlocker ; XpTuner2004 - {49E0E0F0-5C30-11D4-945D-000000000010} - C:\PROGRA~1\STEGAN~4\PopUp.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Steganos AntiVirus 2006\kav.exe" /minimize
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [SteganosAntiSpam] "C:\Programme\Steganos AntiSpam 7\antispam.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: wkcalrem.LNK = C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{7D6B62D9-3FA0-452B-B0E8-CD5E47336559}: NameServer = 213.191.74.11 213.191.92.82
O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB4876E-79D1-4A20-BCF9-6822310FD5F2}: NameServer = 10.0.1.1
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: kavsvc - Steganos GmbH - C:\Programme\Steganos AntiVirus 2006\kavsvc.exe
O23 - Service: Steganos AntiTheft (SatSrv) - Unknown owner - C:\WINDOWS\system32\SatSrv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Steganos AntiSpyware 2006\WRSSSDK.exe

VIELEN DANK SCHON MAL!!! :aplaus:

Hallo Mauri,

wo wurde den der/die Trojaner gefunden? Bitte genaue Datei/Verzeichnisangabe, dein Logfile sieht meiner Ansicht nach sauber aus, bis auf das hier:

O17 - HKLM\System\CCS\Services\Tcpip\..\{AFB4876E-79D1-4A20-BCF9-6822310FD5F2}: NameServer = 10.0.1.1

Sowas hab ich auch noch nicht gesehen!

Und wer oder was meldet denn die Netzwerkangriffe, Firewall, Routerfirewall, Software?

@[Gc]Sunny,

wenn Du "soetwas" nicht kennst lies Dich hier ein:
http://www.iana.org/faqs/abuse-faq.htm

@Mauri,

Der Eine sagt, man sollte sein Festplatte platt machen.

ist übrigens auch meine Meinung.

dartus

Zitat von dartus

@[Gc]Sunny,

wenn Du "soetwas" nicht kennst lies Dich hier ein:
http://www.iana.org/faqs/abuse-faq.htm

@Mauri,



ist übrigens auch meine Meinung.

dartus

nicht nur das, [Gc]Sunny sollte sich das LogFile nochmal anschauen, hat die Hälfte übersehen. naja... Über-Daus halt.

Hallo,

nicht nur das, [Gc]Sunny sollte sich das LogFile nochmal anschauen, hat die Hälfte übersehen. naja... Über-Daus halt.

Jetzt würde mich wiederum brennend interessieren was er denn übersehen haben soll. Eintrag mit jeweiliger Begründung bitte, Zusammenhang mit Tenga.a wäre auch nicht schlecht.



Grüße Wildone

Da muß ich mich anschließen!

dartus

ICH WILL MEINEN RECHNER NICHT PLATT MACHEN. NEIN!!

Aber, wahrscheinlich geht kein Weg dran vorbei, oder?? Zu eueren Fragen:
1. Die Setup+Autorun-Dateien befinden sich im Eigene Dateien-Verzeichniss und in einem Ordner "Music" der sich unter "Eigene Dateien" befindet.
C:\Dokumente und Einstellungen\****\Eigene Dateien\Music

2. Ich benutze das Antivirenprogramm von STEGANOS. Aber ich frage mich, ob ich es weiterhin benutzen soll. Das ist nämlich das erste Mal, dass mir soetwas passiert. Natürlich war in Vergangenheit mehr Glück als Verstand im Spiel ...
So, zurück zum Thema. Folgende Meldung spuckt mein Antivir. aus:
"blablabla hat einen Netwerkangriff Intrussion.Win.DCOM.exploin (oder LSASS.exploin) von der Adresse 85.179.234.163 erfolgreich abgewehrt".
Klingt nicht gut, oder?

Wenn ich meinen Rechner platt machen sollte, müsste ich erst mal ein paar backup cds erstellen. Das blöde ist, ich habe keinen DVD Brenner. doppel- Wer sagt mir, dass ich die Malware nicht mit-brenne?? Ach, ist das alles scheiße. Ich will nicht mehr auf meinen Computer angewiesen sein.
Ich wander aus, werde Fischer auf einer kleinen Insel , ohne Strom und fließend Wasser ....

Danke für eure zahlreichen Antworten.

Reicht es wenn ich mein Betriebssystem auf den Ursprungzustand zurücksetze? Das ist ja bei Windows XP möglich. Oder hat sich der Trojaner auch dort eingenistet? Bitte antwortet mir... danke.

Zitat von Mauri27

Reicht es wenn ich mein Betriebssystem auf den Ursprungzustand zurücksetze? Das ist ja bei Windows XP möglich. Oder hat sich der Trojaner auch dort eingenistet? Bitte antwortet mir... danke.

Nein das reicht nicht! Das kostet nur unnötig Arbeit, und bringt im Endeffekt NICHTS!

Also nochmal Klartext:Du musst/solltest alles neu installieren.

Der P2P Trojaner ist ein Fileinfektor und infiziert jede exe die er zu fassen bekommt, auch wenn mir der Trojaner nicht mehr aktiv zu sein scheint, so ist die Gefahr doch groß das beim nächsten ausführen einern infizierten Datei der ganze Quark von vorne los geht. Also nutzt da imho nur Neuaufsetzen.

Eine andere Möglichkeit gibt es nicht..
Jetzt liegt es an dir.

Sorry
Sunny