Hallo zusammen,

ich habe gestern Post von meiner Bank bekommen und wurde darüber informiert, dass man meine Online-Banking-Zugangsdaten auf einem Server im Ausland wiedergefunden hätte und dass mein Rechner mit dem "HaxDoor"-Virus infiziert sei. Ich habe daraufhin Windows XP neue aufgezogen und zuvor die Festplatte formatiert. Später habe ich dann alle Zugangsdaten geändert, die ich im I-net so nutze.
Dennoch habe ich das Gefühl, dass mein Rechner nicht der alte ist. Wenn ich beispielsweise irgendeinen Ordner öffne läuft das "Klicken", das das Öffnen verursacht, als unaustehliche Wiederholungsschleife weiter.
BTW: ist es normal, dass ein Programm wie "Zone-Alarm" es nicht merkt, dass ein Virus wie "HaxDoor" sich im System einnisteet?
Kann hier irgendeine sachkundige Person auf den ersten Blick irgendwas Verdächtiges im Logfile feststellen?
Vielen Dank für jederlei nützliche Antworten.
Beste Grüße


Logfile of HijackThis v1.99.1
Scan saved at 21:44:35, on 13.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\Programme\Spyware Doctor\SDTrayApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\QIP\qip.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\***\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [SoundFusion] RunDll32 hercplgs.cpl,BootEntryPoint
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [SDTray] "C:\Programme\Spyware Doctor\SDTrayApp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\svcntaux.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\swdsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Hallo.
In deinem Logfile kann ich nichts Verdächtiges feststellen. Auf den Spyware Doctor würde ich allerdings verzichten.

Dass Zone Alarm dich nicht vor Haxdoor bewahrt hat ist völlig "normal", denn das ist nicht die Aufgabe einer Personal Firewall. Sie kann bestenfalls verhindern oder dich darauf aufmerksam machen, dass ein Schädling mit dem Internet zu kommunizieren versucht, aber auch darauf darfst du dich nicht verlassen.

Auch HijackThis ist nicht unfehlbar, daher bedeutet ein sauberes Logfile nicht zwingend, dass auch dein Rechner sauber ist. Bist du beim "Neu-Aufziehen" so vorgegangen, wie es in dieser Anleitung beschrieben ist? Wenn nicht, solltest du dich noch einmal melden, dann sind ggf. weitere Scans angebracht.

Hallo Franz,

vielen Dank für deine Antwort. Soweit ich die Anleitung nun durchhabe, schildert sie wohl genau mein Vorgehen. Dann sollte es ja damit erst einmal bis zur nächsten Briefsendung der Bank in Ordnung sein.

Einen Schönen Sonntag allerseits!

À propos "Briefsendung": Die Mitteilung kam zweifelsfrei von deiner Bank? Ein bisschen merkwürdig kommt es mir schon vor, dass deine Bank darüber informiert ist, mit welchem Schädling dein Rechner infiziert ist.

ja, da besteht kein Zweifel.
ich hatte schon vorher telefonischen Kontakt mit der Bank, der von mir ausging