Hiho,
erstmal eine Erklärung. Mein Vater hat vor einigen Tagen eine Email von T-Online bekommen in der ihm mitgeteilt wird, dass von seinem Internetanschluß aus Spam verschickt worden wäre. Nichts Genaueres, nur dass er sich darum kümmern solle.
Er hat mehrere Rechner im Haus und ich habe erstmal auf allen Systemen die Virenscanner auf den neusten Stand gebracht und mal durchlaufen lassen. Dies hat aber zu keinem Ergebniss geführt. Ich bin dann auf die Idee gekommen mir mal die Netzwerkverbindungen aller Rechner anzusehen. Bei einem Rechner bin ich dann mit netstat zu einem Ergebniss gekommen. Der Rechner öffnet massenhaft verbindungen zu smtp Server rund um die Welt und versucht vermutlich Spam zu versenden. Über die Prozess ID habe ich dann herausgefunden, dass der auslösende Prozess ist die allseits beliebte Services.exe von Windows. Es ist auch wirklich der richtige Windows Prozess, keine Fakedatei in einem anderen Ordner. Leider stehe ich jetzt vor dem Problem wie ich das Ganze wieder loswerde. Bisher hat weder antivir noch zwei andere Onlinescanner auf meinem System etwas finden können, und daher auch nichts gereinigt.
Solltet ihr diese hjt files etc benötigen kann ich die später posten, ich habe den betreffenden Rechner erstmal vom netz getrennt und muß daher erstmal die Daten transferieren.

Danke im vorraus,
Jasum

Hi,

dann stell mal das HijackThis von diesem Rechner rein. Das HijackThis wird aber nur ein erster Schritt sein, ich wäre nicht erstaunt wenn dort nichts verdächtiges auftaucht.

Natürlich darf er nicht mehr mit den Netz verbunden werden, dann würde ja Spam versandt werden, das darf nicht toleriert werden. Je nach Router besteht eventuell die Möglichkeit, den Mailversand dort zu blocken (Port 25 ausgehend), ansonsten wird es aber erforderlich sein, die Logs und Programme von und zu diesem Rechner per Stick oder Diskette zu bewegen.

Die originale services.exe kann das schon sein, vermutlich wird sie um ein Stück Code erweitert, das dann den Spam versendet. Entweder ein hineingeladener weiterer Thread oder eine DLL.

Gruß, Karl