Hallo,
meine erste und hoffentlich auch letzte Anfrage

Also... ich habe folgendes Problem: Seit ein paar Tagen öffnet sich mein Internetexplorer von alleine (wie hier ja schon oft geschildert wurde) und zwar mit der Seite h**p://www.gsearching.com ...

Ich hab nun folgendes Logfile erstellt und auch schonmal eine Onlineauswertung gemacht... Ich scheine wohl mehrere Probleme zu haben (sass.exe, usw.)
Ich bitte also um Hilfe:

Logfile of HijackThis v1.99.1
Scan saved at 14:45:11, on 01.07.2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\CmWatch.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
D:\Programme\D-Tools\daemon.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
D:\Programme\iTunes\iTunesHelper.exe
C:\Programme\NETGEAR\WG511\Utility\WG511WLU.exe
D:\Programme\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe
D:\Programme\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe
C:\Programme\Gemeinsame Dateien\InterVideo\SchSvr\SchSvr.exe
C:\sg.exe
D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\Gemeinsame Dateien\Logitech\khalshared\KHALMNPR.EXE
D:\Programme\Adobe\Adobe Version Cue CS2\bin\VersionCueCS2.exe
D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
D:\Programme\Adobe\Adobe Version Cue CS2\data\database\bin\mysqld-nt.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Gemeinsame Dateien\Adobe\Installers\061850775b1c6d22bf2a145678e05e0\Setup.exe
D:\Programme\Mozilla Firefox\firefox.exe
L:\hijackthis\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
D:\Programme\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.hotinfolink.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.debitel.net/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [CmCardRun] C:\WINDOWS\system32\CmWatch.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [WG511WLU] C:\Programme\NETGEAR\WG511\Utility\WG511WLU.exe -hide
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\Programme\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [WinDVR SchSvr] "C:\Programme\Gemeinsame Dateien\InterVideo\SchSvr\SchSvr.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [NvCp1Do] C:\sg.exe
O4 - HKLM\..\Run: [NvCp1De] c:\windows\sass.exe
O4 - HKLM\..\Run: [NvCp1Da] d:\windows\sass.exe
O4 - HKLM\..\Run: [Rund] c:\Program Files\sass.exe
O4 - HKLM\..\Run: [Msnsgrst.exe] d:\Program Files\sass.exe
O4 - HKLM\..\Run: [Msnsgry.exe] d:\sass.exe
O4 - HKLM\..\Run: [kav] "D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvCp1Do] C:\sg.exe
O4 - HKCU\..\Run: [NvCp1De] c:\windows\sass.exe
O4 - HKCU\..\Run: [NvCp1Da] d:\windows\sass.exe
O4 - HKCU\..\Run: [Rund] c:\Program Files\sass.exe
O4 - HKCU\..\Run: [Msnsgrst.exe] d:\Program Files\sass.exe
O4 - HKCU\..\Run: [Msnsgry.exe] d:\sass.exe
O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Convert link target to Adobe PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://D:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.debitel.net/
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Version Cue CS2 - Unknown owner - D:\Programme\Adobe\Adobe Version Cue CS2\bin\VersionCueCS2.exe" -win32service (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

Vielen dank im Vorraus

Sorry, aber hier ist Hopfen und Malz verloren:

O4 - HKLM\..\Run: [NvCp1Do] C:\sg.exe
O4 - HKLM\..\Run: [NvCp1De] c:\windows\sass.exe
O4 - HKLM\..\Run: [NvCp1Da] d:\windows\sass.exe
O4 - HKLM\..\Run: [Rund] c:\Program Files\sass.exe
O4 - HKLM\..\Run: [Msnsgrst.exe] d:\Program Files\sass.exe
O4 - HKLM\..\Run: [Msnsgry.exe] d:\sass.exe

Und das ist nur ein kleiner Auszug aus Schädlingseinträgen, das ganze Logfile braucht man auch garnicht mehr zu analysieren.
Du musst dein System neu aufsetzen, denk daran es rechtzeitig abzusichern. Heißt also OFFLINE das SP2 und Folgeupdates einzuspielen.

Der jetzige Status des Systems lässt schlicht und einfach auf Fahrlässigkeit und Verantwortungslosigkeit schließen:
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Was empfiehlst du mir genau?

Die Festplatte zu formatieren und alles neu zu machen (mit SP2) oder jetz nur nachträglich noch alle Upadates usw. draufzuknallen ?

So große Probleme mit dem System an sich und der Prozessorauslastung / Geschwindigkeit habe ich nämlich nicht ...

Die Festplatte zu formatieren und alles neu zu machen (mit SP2)

Ja, ein Neuaufsetzen. Oder spiel in sauberes Systemimage zurück, falls du eins vorher mal erstellt hast. => http://www.trojaner-board.de/12154-a...sicherung.html

So große Probleme mit dem System an sich und der Prozessorauslastung / Geschwindigkeit habe ich nämlich nicht ...

Sorry, aber du schätzt die Gefahr, die von deinem System ausgeht völlig falsch ein.

Ich bins nochmal...
ich habe mir jetzt noch einige andere Threads durchgelesen und die die Frag die ich gleich stellen werde lässt bestimmt gleich viele mit den Augen rollen, den Kopf schütteln oder lachen... :

"Wieso ist es so unglaublich schlimm ein Backdoor-Programm bzw. Trojaner auf seinem System zu haben, dass es schon bei einem einzigen notwendig ist, das System neu aufzusetzen?"

oder:

"Ist das Gefahrenpotential eines einzelnen Trojaners / Backdoor-Programms so groß?"

PS: Ich werde es natürlich tun, da es bei mir wesentlich mehr befallene Datein sind, aber ich hätte gerne trotzdem eine Antwort.

PS2: Es ist mir kaum möglich alle nötigen Updates im Vorraus herunterzuladen, deswegen möchte ich mich nocheinmal über die Herangehensweise nach dem Neuaufsetzen erkundigen:

Nachdem ich Windows neu installiert habe sollte ich 2 Konten erstellen. Dann mit dem Administratorkonto SP2 installieren und die interne Firewall anmachen. Danach gehe ich auf die Windows-update-Seite und lade mir die restlichen Updates. Anschließend kann ich dann alternativ Kaspersky installieren und die interne Firewall deaktivieren, nachdem ich die Sicherheitseinstellungen im IE getätigt habe. Ist das richtig?

PS3: Kann ich, bevor ich SP2 installiere, gleich alle Treiber auf meinen Rechner schmeißen oder sollte ich zunächst mein Internet sicher gestalten.

Ein Trojaner bedeutet, es hat jemand freien Zugriff auf alle Aspekte deines Computers. Das heißt, er kann beliebig viel manipulieren, nachinstallieren und was weiß ich alles. Es lässt sich einfach nicht ausschließen, dass nicht noch etwas anderes auf dem Rechner ist. Dafür müsste schon wer vor ort sein, der das richtig kann. Und das würde Geld kosten. Nur, weil irgendein Programm nur einen Schädling findet, heißt es nicht, dass nur einer aktiv ist. Schon mit einem Freeware-Hexeditor kann man, wenn man ein bischen geübt ist, einen beliebigen Trojaner wieder undetected machen, indem man einfach einige 0er durch Fer ersetzt. das klingt jetzt ein bischen verwirrend, aber im Internet gibt es tausende Tutorials darüber, so dass jedes Kind das kann.

In einem Forum kann dir niemand wirklich sicher sagen, ob du sauber bist.

das könnte der Admin Deines Servers beispielsweise bei Dir sehen und machen, auch mehr.

vielleicht findest Du es nun auch nicht so ganz prickelnd?

Wahrscheinlich hast Du keine Vorstellung, was da so machbar ist.

have fun,
Heike

PS: Ich werde es natürlich tun, da es bei mir wesentlich mehr befallene Datein sind, aber ich hätte gerne trotzdem eine Antwort.

Bitte sehr.

Backdoor

Ein Backdoor ist eine Sicherheitslücke in einem geschützten Bereich eines lokalen Netzwerkes, WAN oder dem Internet. Je nach Befähigung des Hackers kann dieser durch das Backdoor in den eigentlich geschützten Bereich eindringen und ungestört Daten einsehen - manchmal sogar auch verändern oder zerstören. Deshalb ist ein Backdoor auch äußerst gefährlich. Im Internet beispielsweise lassen sich Backdoors nahezu zu 100% ausschließen, wenn der gesicherte Bereich durch kompetente Personen erstellt wurde.

Hinweis : Mittels sogenannter .htaccess-Dateien kann man Backdoors einfach und relativ sicher ausschließen. Wenn zusätzlich ein dementsprechend programmiertes Perl-Script zusätzlich den Referrer der User prüft, ist der Schutz sehr effizient.

Eine 100 prozentige Sicherheit gibt es aber nicht und wird es nie geben, da Hacker immer wieder die Sicherungs-Algorithmen erkennen und umgehen werden.

Danke,
das hat gereicht Bitte beantwortet nur noch meine aneditierten Fragen und ich werde mir Mühe geben ruhig zu sein ...

zu PS 2: Wenn du die aktuellen Updates nicht im Vorhinein herunterladen kannst, versuche dir eine PC-Zeitschrift mit beiligender CD zu besorgen, die das SP 2 und die Updates enthält.
zu PS 3: Ohne "sicher gestaltetes Internet" solltest du gar nicht ins Internet gehen.