Nun, nach cirka 2 Jahren ohne Viren, habe ich es wieder einmal geschafft mir einen einzufangen. Eine Kollegin schickte mir am letzten Freitag (glaube ich), unfreiwillig einen Link in der Art von h**p.....models2pictures.com....., klickte ihn an und bemerkte zuerst einmal gar nichts. Bevor ich den PC herunterfahren wollte, klickte ich noch auf zwei Applikationen, welche sich bei mir auf dem Desktop befanden. Da ich zuvor diverse Programme gesaugt hatte, dachte ich die zwei Apps gehören zu den anderen. Falsch gedacht! Später wurde mir klar, dass diese beiden Apps von dem Link stammen, den ich über MSN erhalten hatte. Ob bereits vor dem Installieren dieser beiden Applikationen mein PC schon "gepunk`d" wurde, kann ich nicht sagen...

Einen kompletten Scan mit den neusten Signaturen von eTrust InoculateIT und Lavasoft Ad-Ware 6 habe ich bereits durchgeführt. Beim eTrust-System-Scan habe ich einen Trojaner gefunden, welcher aber als "sicher" eingestuft wurde und ein paar übliche Fehler. Beim Realtime-Scan hat er in den letzten drei Tagen sicherlich schon 30-40 infizierte Dateien löschen müssen. Adware hat nichts gefunden.

Bisher festgestellte Probleme:

-Einige versuchte Eingriffe von extern auf meinen PC wurden bereits verübt, jedoch blieben die meisten dank meiner Firewall erfolglos (hoffe ich).

-Einmal wurde das System ohne etwas zu machen, in den Standby-Modus versetzt.

-Wenn ich Outlook öffne kommt ständig der Windows Prof. Installer.

-System ist äusserst langsam.

-Den Link den ich erhalten habe, wird beim Texte verfassen, egal ob MSN, Word oder Internet/Forum immer wieder automatisch ausbuchstabiert. Meistens zwei Mal hintereinander und in unregelmässigen Abständen. Komischerweise ist dies gerade nicht der Fall (eigentlich schon den ganzen Tag nicht).

-Im Internet-Explorer erscheinen beim Neustarten keine Bilder, ausser ich setze alles bei den erweiterten Einstellungen zurück. Dies muss dann immer wieder wiederholt werden.

-Die Scroll-Bar macht sich öfters selbständig (seit gestern nicht mehr aufgetreten).


Ich würde mich super freuen, wenn ihr mir dabei helfen könntet, dieses Problem aus der Welt zu schaffen. Ich habe jetzt einmal diesen Hijack-Scan gemacht. Teilt mir bitte mit, was ihr sonst noch benötigt und ich werde eure Anweisungen befolgen...


Logfile of HijackThis v1.99.1
Scan saved at 19:41:32, on 05.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\cisvc.exe
C:\Programme\CA\eTrust\InoculateIT\InoRpc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\CA\eTrust\InoculateIT\InoRT.exe
C:\Programme\CA\eTrust\InoculateIT\InoTask.exe
C:\WINDOWS\LogWatNT.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\lsass.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\winlogon.exe
C:\Dokumente und Einstellungen\MEINNAME\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://g.msn.ch/0SEDECH/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://g.msn.ch/0SEDECH/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://windowsupdate.microsoft.com/
O2 - BHO: C:\WINDOWS\system32\zkPeCrypt.dll - {8A5849C4-93F3-429D-FF34-660A2068897C} - C:\WINDOWS\system32\zkPeCrypt.dll
O2 - BHO: MSN Suche Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\TB\02.05.0000.1105\de-ch\msntb.dll
O3 - Toolbar: MSN Suche Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\TB\02.05.0000.1105\de-ch\msntb.dll
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\eTrust\INOCUL~1\realmon.exe
O4 - HKLM\..\Run: [DXDllRegExe] C:\WINDOWS\system32\dxdllreg.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Recoveru systems] C:\DOKUME~1\MEINNAME~1\LOKALE~1\Temp\svchost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Client Manager.lnk = C:\Programme\BUFFALO\Client Manager\CLIENTMG\ESSIDSET.exe
O4 - Global Startup: Windows-Desktopsuche.lnk = C:\Programme\MSN Toolbar Suite\DS\02.05.0001.1119\de-ch\bin\WindowsSearch.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=h**p://www.club-vaio.sony-europe.com
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1125588790091
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\ati2evxx.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: eTrust InoculateIT RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust\InoculateIT\InoRpc.exe
O23 - Service: eTrust InoculateIT Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust\InoculateIT\InoRT.exe
O23 - Service: eTrust InoculateIT Job Server (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust\InoculateIT\InoTask.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\WINDOWS\LogWatNT.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: winlogin - Unknown owner - C:\WINDOWS\lsass.exe

C:\WINDOWS\lsass.exe
C:\WINDOWS\winlogon.exe
O23 - Service: winlogin - Unknown owner - C:\WINDOWS\lsass.exe

Das System ist im Eimer. Die Einträge sind definitiv böse Prozesse, sie sich hier aber als Systemdateien tarnen wollen. Mach die Kiste platt und setz neu auf!

Ok, werde ich tun. Vielen Dank für deine Zeit! Wie hoch sind die Chancen, dass das System wieder sauber wird nach dem Aufsetzen? Kann ich überhaupt jemals wieder sicher arbeiten mit diesem System?

Zitat von Egopanic

Ok, werde ich tun. Vielen Dank für deine Zeit! Wie hoch sind die Chancen, dass das System wieder sauber wird nach dem Aufsetzen? Kann ich überhaupt jemals wieder sicher arbeiten mit diesem System?

Nach dem Formatieren und Neuaufsetzen mit Original-CD ist das System garantiert sauber. Es bleibt sauber, wenn du die Installationsanleitung (siehe Signatur Cosinus) und die darin enthaltenen Tips beherzigst!

Wichtig: Erst alle Updates, insbesondere das SP2 installieren, dann eine Verbindung ins Internet aufbauen. Bedeutet für dich: Besorg dir die Updates in Form von Update-Packs mit einem sauberen Rechner bei winboard.org, brenn sie auf CD, und installiere sie offline.
Zweiter Tip: Arbeite nicht als "Computeradministrator", sondern als eingeschränkter Benutzer!

Gruß
Yopie

Ok, sehr gut. Na dann werde ich die Kiste einmal Neuaufsetzen und deine Tipps beachten... Vielen Dank an euch beide, ich schätze eure Hilfe sehr!

FUCK THE VIRUS!!!

Übrigens: Ich überlege mir ein Wechsel zu Linux. Naja, mal schauen...

Zitat von Egopanic

Übrigens: Ich überlege mir ein Wechsel zu Linux. Naja, mal schauen...

In der aktuellen ct ist Ubuntu 6.10 enthalten. Vielleicht mehr als nur 'ne Überlegung wert.

http://www.trojaner-board.de/33803-u...uf-ct-dvd.html

Gruß
Yopie

Danke für den Tipp!