brauche dringend hilfe wegen folgender antivir-meldung, danke im voraus

c:/winnt/lsass.exe enthaelt signatur des wurms WORM/SDBOT.53675.1

loeschen, quarantaene scheitern natuerlich

hier mein log

Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\ati2evxx.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\lsass.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\Rundll32.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINNT\system32\Atiptaxx.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\system32\internat.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Opera\Opera.exe
C:\WINNT\explorer.exe
C:\WINNT\system32\conime.exe
C:\Program Files\AntiVir PersonalEdition Classic\GUARDGUI.EXE
C:\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll (file missing)
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINNT\DOWNLO~1\cnshook.dll
O3 - Toolbar: @msdxmLC.dll,-1@1028,|?-μ?÷[&R] - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll (file missing)
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [REGSHAVE] C:\Progra~1\REGSHAVE\REGSHAVE.EXE /autorun
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CnsMin] Rundll32.exe C:\WINNT\DOWNLO~1\CnsMin.dll,Rundll32
O4 - HKCU\..\Run: [WashAndGo - Cleanup of old Backupfiles] C:\Program Files\Purgatio Pro\checker.exe /check
O4 - HKCU\..\Run: [Update Service] "C:\Program Files\Common Files\Teknum Systems\update.exe" /startup
O4 - HKCU\..\Run: [internat.exe] internat.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O9 - Extra button: (no name) - {6354ABE6-05F1-49ed-B850-E423120EC338} - http://cn.widget.yahoo.com/index.htm?source=Cns (file missing)
O9 - Extra button: ±!’o2a?N - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yahoomsg (file missing)
O11 - Options group: [!CNS] ooμ﹐1e|W
O16 - DPF: {48FE89A0-486C-48DF-9DEC-BED22BDC6057} (XIsOro Control) - http://duiyi.sina.com.cn/download/OroCheck.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by101fd.bay101.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{F41A2979-8256-4C63-AC81-D3AC3080B142}: NameServer = 195.34.133.21,195.34.133.22
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\ati2evxx.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LSA Shel (Export Version) - Unknown owner - C:\WINNT\lsass.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: svcroot - Unknown owner - C:\WINNT\System32\svcroot.exe" -service (file missing)

Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

Prüfe Dein System mit Ewido http://www.ewido.net/de/ Lasse alles löschen, was vorgeschlagen wird. Poste das Ergebnis, aber bitte lösche vorher aus dem Log alles was mit Cookies zu tun hat.

Ähm Felix, ich widerspreche Dir ja nur ungern, aber bei SdBot-Befall ist ein Neuaufsetzen angesagt!

Zitat von cosinus

Ähm Felix, ich widerspreche Dir ja nur ungern, aber bei SdBot-Befall ist ein Neuaufsetzen angesagt!

Glaub mir , felix1 wäre einer mit dir Meinung gewesen, wenn es nicht eine AVPE-Meldung gewesen wäre (das Programm ist von seinen False-Positives weit bekannt).
Im Log gibt es Etwas, was man nachdenklich machen sollte, allerdings sehe auch keine typischen Backdoor-Anzeichen.

[QUOTE=felix1]Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

hier das log:
10/31/06 23:57:08 [Info]: BlackLight Engine 1.0.47 initialized
10/31/06 23:57:08 [Info]: OS: 5.0 build 2195 (Service Pack 4)
10/31/06 23:57:10 [Note]: 7019 4
10/31/06 23:57:10 [Note]: 7005 0
10/31/06 23:57:48 [Note]: 7006 0
10/31/06 23:57:48 [Note]: 7011 1316
10/31/06 23:57:49 [Note]: 7026 0
10/31/06 23:57:50 [Note]: 7026 0
10/31/06 23:58:10 [Note]: FSRAW library version 1.7.1020
11/01/06 00:02:30 [Note]: 7007 0

Zitat von Rene-gad

Glaub mir , felix1 wäre einer mit dir Meinung gewesen, wenn es nicht eine AVPE-Meldung gewesen wäre (das Programm ist von seinen False-Positives weit bekannt).
Im Log gibt es Etwas, was man nachdenklich machen sollte, allerdings sehe auch keine typischen Backdoor-Anzeichen.

Nur blöd, dass sich die echte lsass.exe im system32-Ordner befindet und nicht im Windowsordner...

Zitat von cosinus

Nur blöd, dass sich die echte lsass.exe im system32-Ordner befindet und nicht im Windowsordner...

Alles, was nicht in "seinem" Ordner liegt, ist ein Schädling, aber nicht jeder Schädling ist ein Backdoor

Zitat von Rene-gad

Alles, was nicht in "seinem" Ordner liegt, ist ein Schädling, aber nicht jeder Schädling ist ein Backdoor

Das ist schon klar.
Am besten TO würde die Datei (sofern noch vorhanden) bei Virustotal prüfen lassen. Dann könnte man ja sehen ob AVPE einen False-Positive erzeugt hat!