Hallo

Ich kämpfe seit 2 Tagen mit diversen Trojanern.
Habe XP Prof. SP2 und mein Problem ist dass immer irgendjemand bzw
irgendwas Daten übers DSL hin und her schaufelt. (Die Firewall schlägt nicht alarm)
Habe mit verschiedenen Tools gescannt und auch mal onl-scanner.
Sie haben sehr viel gefunden aber irgendwas übersehen Sie.

Wenn mein XP gestartet ist dauert es keine 2 Minuten bis die Netzaktivität
los geht. Jetzt hab ich mich gefragt ob hier im Log noch was verdächtiges zu sehen ist ?

Logfile of HijackThis v1.99.1
Scan saved at 15:14:54, on 20.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe (mein Brother printer)
C:\WINDOWS\system32\brss01a.exe (mein Brother printer)
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Eset\nod32kui.exe
C:\Programme\Microsoft ActiveSync\wcescomm.exe
C:\PROGRA~1\MICROS~2\rapimgr.exe
C:\Programme\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://shortnews.stern.de/
O2 - BHO: (no name) - {1E6CE4CD-161B-4847-B8BF-E2EF72299D69} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_11\bin\npjpi142_11.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_11\bin\npjpi142_11.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - http://download.gigabyte.com.tw/object/Dldrv.ocx
O16 - DPF: {103DFAE7-50CC-41FC-9D57-1A4BCA0DFD87} (Upload Control) - https://img.web.de/v/mail/mms/activex/mms_upload_1104.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-24.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1148134300343
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF08F7EB-00D4-4329-BE74-09A92C9A6233}: NameServer = 192.168.0.111
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programme\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe



Danke im Vorraus

Hallo.

Dein System ist als KOMPROMITTIERT anzusehen, Grund dafür ist das hier:
(es war/ist aktiv)

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)

oder auch bekannt als -> Worm Ircbot Gen

Hierbei ist eine Bereinigung ausgeschlossen, es bleibt dir nur eine Neuinstallation.

Sorry,
Sunny

Zitat von [Gc]Sunny

Hallo.

Dein System ist als KOMPROMITTIERT anzusehen, Grund dafür ist das hier:
(es war/ist aktiv)



oder auch bekannt als -> Worm Ircbot Gen

Hierbei ist eine Bereinigung ausgeschlossen, es bleibt dir nur eine Neuinstallation.

Sorry,
Sunny

Kann es sein dass Prex das Teil runter bekommen hat ??
Er hat was gefunden und seit dem ist Ruhe mit netzwerktransfer.

Gruss

Du hast die Links nicht richtig gelesen, deshalb nochmal:

Zitat von Definition-Kompromittierung

Ein System wird als kompromittiert betrachtet, wenn Daten manipuliert sein könnten und wenn der Administrator des Systems keine Kontrolle über die korrekte Funktionsweise mehr hat. Typischerweise tritt dies nach einem Befall durch einen Computervirus oder durch einen gezielten Einbruch durch Cracker auf. Ein derartig manipuliertes System ist als nicht mehr vertrauenswürdig anzusehen.

FYI

Er hat mich besiegt :-(

Zwischdurch hatte ich gedacht dass ich Ihn besiegt hatte aber
nach ca 2h hat er mich eines besseren belehrt.
Dann hat er wieder fleissig "nach Haus" telefoniert.

Mal zur info. Ich habe folgendes laufen lassen und jedes dieser Tools hat nichts gefunden.

Antivir , Nod32, Norton, Adaware, Spyware Doctor, PrexV1,
Onlscanner von Pandasoftware, eScan

Wozu brauch Ich da noch nen Scanner ??

Ich konnte nicht mal raus bekommen welche Datei die Traffic verursacht
Registry war dann sauber, im Taskmanager waren nur noch wenige Prozesse
und ich konnte jeden Prozess zuordnen.
Ich hatte noch nie nen Virus der sich so gut getarnt hatte.


Gruss