Hallo liebe HijackThis-Gurus!

Kurzfassung:
Ich fände es ganz toll, wenn einer der hier verkehrenden HijackThis-Cracks einen kurzen Blick auf die unten angehängte Logdatei wirft und seine Meinung dazu äußert. Meiner Meinung nach ist sie sauber, aber über eine zweite Meinung die das bestätigt (oder mir widerspricht) würde ich mich sehr freuen.

Laaange Fassung:
Ich habe die letzten zwei Tage damit verbracht, den Computer von einem Bekannten wieder fit zu machen. Das Betriebsystem ist Windows 2000. Die Virensoftware auf dem Rechner war länger nicht aktualisiert worden, Microsoft Update war seit Februar nicht gelaufen und es war keine Firewall installiert. Als Anti-Spyware-Tool war ein nicht aktuelles Ad-Aware installiert, wann der letze Suchlauf damit erfolgt ist, ist mir nicht bekannt.

Folgerichtig haben sich auf dem Rechner ca. 40 verschiedene Viren, Trojaner und andere Malware-Teilchen getummelt.

Mir ist klar, dass die Empfehlung in so einem Fall eigentlich nur lauten kann, den Rechner neu aufzusetzen, da dass System ja bereits kompromittiert ist etc. ppp.; dies ist aber leider in diesem Fall aus verschiedenen Gründen keine Option.

Ich denke, dass ich mittlerweile alles Bösartige entfernt habe und der Rechner wieder sauber ist. Allerdings bin ich kein Experte für solche Geschichten und hätte einfach ein besseres Gefühl, wenn einer der hier verkehrenden HijackThis-Cracks einen kurzen Blick auf den Logfile wirft und seine Meinung dazu äußert.

Der Vollständigkeit halber hier eine ungefähre Beschreibung meiner Maßnahmen bisher:
* Das gröbste von Hand entfernt (Liste der laufenden Prozesse, alle Prozesse mit google abgeglichen und als schädlich identifizierte Prozesse gekillt, dazugehörige Dateien und Registry-Einträge per Hand gelöscht)
* Antivir Personal Edition neu installiert, aktualisiert und Suchlauf gemacht, gefundene Schädlinge gelöscht. Automatisches Updates auf "täglich" eingestellt.
* Spybot Search & Destroy installiert, Suchlauf, gefundene Schädlinge gelöscht.
* Prevx1 installiert, Suchlauf, gefundene Schädlinge gelöscht.
* Lavasoft Ad-Aware, installiert, Suchlauf, gefundene Schädlinge gelöscht.
* Die Liste der laufenden Prozesse noch einmal mit dem Security Task Manager von http://www.neuber.com/ überprüft (der zeigt wohl auch Prozesse an, die sich vor dem normalen TaskManager verstecken), sah alles gut aus.
* Rechner an mein Netzwerk angeschlossen (bis jetzt war der Rechner bei mir nicht am Netz und damit auch nicht im Internet).
* Microsoft Update ausgeführt, System aktualisiert.
* Automtisches Update für Win2000 auf "täglich" eingestellt.
* Zonelabs installiert.
* Prex1 und Ad-Aware deinstalliert (Spybot Search & Destroy ist ja noch drauf und ein Anti-Spyware-Tool sollte vermutlich reichen).
* HijackThis installiert und die unten angehängte Logdatei erstellt.

Für einen kurzen Kommentar zu der Logdatei wäre ich unendlich dankbar.

Mit freundlichen Grüßen
Bastian

--
Logfile of HijackThis v1.99.1
Scan saved at 21:47:00, on 07.11.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\atiptaxx.exe
C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programme\Classic PhoneTools\CapFax.EXE
C:\WINNT\system32\carpserv.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINNT\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Mozilla\mozilla.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://home.microsoft.
R3 - URLSearchHook: (no name) - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - (no file)
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -
C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility]
C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [CapFax] C:\Programme\Classic PhoneTools\CapFax.EXE
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search &
Destroy\TeaTimer.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1137250977702
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -
h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1137254902162
O17 - HKLM\System\CCS\Services\Tcpip\..\{79DED635-1D30-4D8F-8453-524487120993}:
NameServer = 192.168.132.1
O20 - Winlogon Notify: Setup - C:\WINNT\
O20 - Winlogon Notify: WebCheck - C:\WINNT\
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame
Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira
GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH -
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin)
- VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Microsoft VPS Service - Unknown owner -
C:\WINNT\system32\dllcache\msvps.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC -
C:\WINNT\system32\ZoneLabs\vsmon.exe

Wenn ihr noch andere Tips habt, welche Scanner o. ä. ich über den Rechner laufen lassen sollte/könnte, bin ich natürlich auch hier für Tips dankbar.

Gruß und Dank im Voraus
Bastian

mOIn auch

es mag sein, dass es z.Z. keine Aufälligkeiten in dem System gibt, aber nach der deiner Beschreibung muß die Kiste recht versaut gewesen sein.
Da du leider nicht schreibst um was es sich für Schädlinge gehandelt hat, kann man hier keine genaue Aussage treffen.
HijackThis zeigt leider nicht alles an was sich auf dem Rechner sich so tummelt.

Leider muß ich dir sagen, dass ich den Rechner neu Aufsetzen würde alleine wegen dieses Eintrages :
O23 - Service: Microsoft VPS Service - Unknown owner -
C:\WINNT\system32\dllcache\msvps.exe

Es handelt sich hier um einen Backdoortrojaner der im System aktiv unterwegs war, sorry ist aber so.
Evtl. äußert sich ja noch jemand hierzu.

MFG

Hallo nochdigger,

erst mal vielen Dank für deine Antwort.

Zitat von nochdigger

Da du leider nicht schreibst um was es sich für Schädlinge gehandelt hat, kann man hier keine genaue Aussage treffen.

Tja, was da jetzt genau alles drauf war habe ich mir leider nicht gemerkt.

Zitat von nochdigger

Leider muß ich dir sagen, dass ich den Rechner neu Aufsetzen würde alleine wegen dieses Eintrages :
O23 - Service: Microsoft VPS Service - Unknown owner -
C:\WINNT\system32\dllcache\msvps.exe

Es handelt sich hier um einen Backdoortrojaner der im System aktiv unterwegs war, sorry ist aber so.
Evtl. äußert sich ja noch jemand hierzu.

Tja, dumme Sache das. Aber gut, dass du mich drauf hinweist. Wenn ich das richtig sehe, bezieht sich dieser HijackThis-Eintrag auf einen Registry-Entry, zu dem der File nicht mehr da ist. Aber du hast natürlich recht, das System ist nicht mehr als vertrauenswürdig anzusehen.

Vielen Dank
Bastian