Hallo an alle,

seit kurzem sende und empfange ich viel zu viele Daten ins Internet und meine CPU ist manchmal völlig ausgelastet. Darauf hin habe ich HijackThis ausgeführt und auswerten lassen, es wurde eine Datei gefunden: dmime32.dll. Diese habe ich bei Jotti scannen lassen und Sie wurde als INFIZIERT/MALWARE bezeichnet. Wie entferne ich das richtig? Könnt Ihr mir helfen?

Hier mein Log file:

Logfile of HijackThis v1.99.1
Scan saved at 15:07:33, on 25.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Systemprogramme\Ad-Aware\Ad-Aware\aawservice.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
D:\Systemprogramme\ZoneAlarm\zlclient.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.EXE
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
D:\Systemprogramme\Spybot - Search & Destroy\TeaTimer.exe
D:\Systemprogramme\Ad-Aware\Ad-Aware\Ad-Watch2007.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Mozilla Firefox\firefox.exe
D:\Systemprogramme\Hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\SYSTEM~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {709C99A1-8476-44DC-A14E-2340E890DA54} - C:\WINDOWS\system32\dmime32.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Systemprogramme\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SetDefPrt] C:\Programme\Brother\Brmfl04h\BrStDvPt.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [Ad-Watch] D:\Systemprogramme\Ad-Aware\Ad-Aware\Ad-Watch2007.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Systemprogramme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Lexware Info Service.lnk = C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: In &neuem Fenster öffnen - C:\Dokumente und Einstellungen\*****\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuofinw.htm
O8 - Extra context menu item: Mit &Google suchen - C:\Dokumente und Einstellungen\*****\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\gsearch.htm
O8 - Extra context menu item: Seite mit Google übersetzen - C:\Dokumente und Einstellungen\******\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\gtranslate.htm
O8 - Extra context menu item: Übersetzen mit &dict.leo.org - C:\Dokumente und Einstellungen\******\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tutrans.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SYSTEM~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SYSTEM~1\SPYBOT~1\SDHelper.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {59136DB4-6CA3-4B40-8F2F-BBF84B6F1E91} (Attachment Upload Control) - https://stream.web.de/mail/activex/mail_upload_11213.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1166038153466
O17 - HKLM\System\CCS\Services\Tcpip\..\{676DF2C6-EC77-4C59-AD56-157F52EE8B3F}: NameServer = 195.50.140.252 195.50.140.114
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - D:\Systemprogramme\Ad-Aware\Ad-Aware\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

dmime32.dll. Diese habe ich bei Jotti scannen lassen und Sie wurde als INFIZIERT/MALWARE bezeichnet.

Poste die Resultate von Jotti.
Führ auch mal folgende Tools bzw. Anleitungen aus und poste die Logfiles:

- eScan
- Silentrunners
- combofix

Hier das Ergebnis von Jotti:

Datei: dmime32.dll
Auslastung: 0% 100%
Status: INFIZIERT/MALWARE
Entdeckte Packprogramme: -
Bit9 rapportiert: File not found

A-Squared
Keine Viren gefunden
AntiVir
ADSPY/Bho.aa.1 gefunden
ArcaVir
Adware.Bho.Aa gefunden
Avast
Win32:Trojano-3384 gefunden
AVG Antivirus
Collected.11.AD gefunden
BitDefender
Trojan.BHO.WebPrefix.A gefunden
ClamAV
AdWare.BHO-2 gefunden
CPsecure
Malware.W32.BHO.aa gefunden
Dr.Web
Adware.Bho gefunden
F-Prot Antivirus
W32/Downloader.MNI gefunden
F-Secure Anti-Virus
not-a-virus:AdWare.Win32.BHO.aa (4, 1, 400) gefunden
Fortinet
Adware/KeenValue gefunden
Ikarus
AdWare.Win32.BHO.aa gefunden
Kaspersky Anti-Virus
not-a-virus:AdWare.Win32.BHO.aa gefunden
NOD32
a variant of Win32/Adware.BHO.AA application gefunden
Norman Virus Control
W32/BHO.X gefunden
Panda Antivirus
Keine Viren gefunden
Rising Antivirus
Trojan.DL.Agent.kpx gefunden
Sophos Antivirus
Keine Viren gefunden
VirusBuster
Keine Viren gefunden
VBA32
Trojan-Downloader.Agent.47 gefunden (mögliche Variante)


Ich hatte letztens die Meldungen W95/Blumblebee.1738, PCK/Asprotect und Worm/sdBot.765952.1 von AntiVir. Ich dachte die wurden entfernt - vielleicht auch nicht?

Ich werde jetzt MWAV, Silent runner und Combo Fix ausführen.

Dann werde ich mich wieder melden.

Danke

Ich hatte letztens die Meldungen W95/Blumblebee.1738, PCK/Asprotect und Worm/sdBot.765952.1 von AntiVir. Ich dachte die wurden entfernt - vielleicht auch nicht?

Das sieht weniger gut aus, denn der sdbot macht ein Neuaufsetzen des Systems erforderlich. Poste auch bitte noch das Protokoll (Logfile) von AntiVir, wo diese Funde erwähnt werden!

Hallo,

hier der Bericht von AntiVir wegen dem SdBot:

In der Datei 'C:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\Alice Greenfingers game v1.05
wurde ein Virus oder unerwünschtes Programm 'Worm/SdBot.765952.1' [WORM/SdBot.765952.1] gefunden.
Ausgeführte Aktion: Datei löschen

Hier der Bericht von AntiVir wegen PCK/Asprotect:

In der Datei 'C:\Dokumente und Einstellungen\Christine\Eigene Dateien\Downloads\Alice Greenfingers\ReflexiveArcade\ReflexiveArcade.dll'
wurde ein Virus oder unerwünschtes Programm 'PCK/Asprotect' [PCK/Asprotect] gefunden.
Ausgeführte Aktion: Datei löschen

Hier nun der Bericht von AntiVir wegen TR/Crypt.PEC2X.Gen

Die Datei 'C:\Dokumente und Einstellungen\Christine\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\6258qa3l.default\Cache\0D556CE2d01'
enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.PEC2X.Gen' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen "477eef1b.qua" verschoben!

Spyware Doctor hatte noch folgendes gefunden:

Voghp, TR/crypt.Pec2x.Gen, Trojan-PWS.Transpy, Trojan Generic, Known_Bad_Sites

Andere Scanner hatten dann noch folgendes gefunden:

VB.Co.Leftover, Win32.BHO.aa

Hier nun noch folgende Logs von MWAV-eScan, Silent runner und Combo Fix als Anhang.

Angeblich sollen nun alle eigentlich entfernt sein.? Meine Übertragungsraten haben sich jedenfalls wieder an ein normales Maß angeglichen. Allerdings reagiert mein Rechner noch teilweise etwas langsam.

Werde mich nun nochmal online scannen lassen.

Danke

Hallo,

ich habe mich nun nochmal bei Trend Micro Housecall scannen lassen und folgendes wurde gefunden:

Adware_Bhot_IEHelper 1xgefunden

Adware_Memwatcher 98x gefunden

HTTP-Cookies 1x gefunden

Housecall ist bei der Entfernung anscheinend abgestürzt, jedenfalls passiert seit 1 Stunde nichts mehr.

Ich weiß echt nicht mehr weiter. Was habe ich denn nun alles im System und wie kann ich es entfernen?

Grüße

Bist du irgendwie häufiger auf Warez- und Crack-Seiten?
Manche Einträge in den Logs sehen danach aus...
Auch wenn nicht, dann warne ich dich davor ausdrücklich. Die Inhalte sind nicht nur illegal, sondern auch sehr sehr häufig mit den übelsten Schädlingen gespickt.

Allerdings seh ich keine wirklichen verdächtigen Dateien mehr in den Logfile - escan/mwav zeigt unter "Infektionsmeldungen" immer recht viele Fehlalarme an. Was du aber machen kannst:

- Systemwiederherstellung deaktivieren
- Mit dem CCleaner unnötige Dateien löschen

In der Datei 'C:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\Alice Greenfingers game v1.05
wurde ein Virus oder unerwünschtes Programm 'Worm/SdBot.765952.1' [WORM/SdBot.765952.1] gefunden.
Ausgeführte Aktion: Datei löschen

Weißt du noch wo du dieses Spiel heruntergeladen hast?

Hallo Arne,

nein weiß ich leider nicht woher das Spiel kommt. Rechner wird von mehreren benutzt. Werde jetzt den CCleaner mal laufen lassen.

Warum ist meine Internetverbindung dann so langsam und warum habe ich dann soviel Datenvolumen, obwohl ich keine Aktionen mache? Gesendet: 6.000.000 Empfangen 7.000.000???

Mein Rechner selbst ist auch ziemlich langsam.

Habe ich mir wirklich nichts eingefangen?

Danke für Deine Hilfe

Grüße

Wenn du Pech hast, wurde durch den Sdbot, der mittlerweile wohl entfernt wurde, einem Angreifer ermöglicht weitere, wesentlich besser versteckte Hintertüren einzubauen. Wo genau man suchen muss, kann dir niemand genau sagen. In den bisherigen Logfiles hab ich jedenfalls nichts verdächtiges sehen können, was eine derartige Netzwerkauslastung verursachen könnte.

Ich schau sicherheitshalber mir die Logfile aber nochmal an, vllt. hab ich was übersehen. Mach du in der Zwischenzeit schonmal das:

1.) streams.zip herunterladen, entpacken und die streams.exe nach c:\windows\system32 kopieren
2.) Klick auf Start => Ausführen. Tipp cmd ein und bestätige mit OK
3.) Die Konsole ("DOS-Fenster") öffnet sich - tipp dort diesen Befehl ein und bestätige mit Enter:

streams -s > c:\streams.txt
         

4.) Nach einiger Zeit ist Streams durchgelaufen. Du erkennst das daran, dass die Konsole wieder bereit ist, neue Befehle anzunehmen. Poste dann mal den Inhalt der Datei c:\streams.txt.

Mach auch mal ein Logfile mit tcpview:

1. Das Programm tcpview herunterladen und auf dem Desktop entpacken.
2. Im Ordner tcpview die Datei tcpview.exe starten.
3. Oben links auf das Diskettensymbol klicken und das Logfile abspeichern.
4. Den Inhalt der Logdatei posten.

C:\WINDOWS\system32\drivers\kcom.sys
C:\WINDOWS\system32\cdintf250.dll
         

Nur diese Dateien hab ich noch gesehen, die evtl. böse sind. Werte die mal bei Virsutotal aus und poste die Ergebnisse. Schau dir auch mal diesen Ordner genauer an => C:\WINDOWS\system32\Mdac27tmp
Der kommt mir nämlich ebenfalls verdächtig vor.

Falls sich noch weitere "krumme" Dateien im System befinden, können wir die evtl. so aufspüren:

Über ein filelisting mit diesem script:

- Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
- Doppelklick auf listing7.cmd auf dem Desktop
- nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei Fileupload hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Hallo Arne,

also hier sind die Logs:

TCPView:

[System Process]:0 TCP laptop-1:kpop 195.50.169.74:http TIME_WAIT
[System Process]:0 TCP laptop-1:1105 195.50.169.74:http TIME_WAIT
firefox.exe:2140 TCP laptop-1:1043 localhost:1044 ESTABLISHED
firefox.exe:2140 TCP laptop-1:1041 localhost:1042 ESTABLISHED
firefox.exe:2140 TCP laptop-1:1044 localhost:1043 ESTABLISHED
firefox.exe:2140 TCP laptop-1:1042 localhost:1041 ESTABLISHED
firefox.exe:2140 TCP laptop-1:1055 195.50.169.74:http ESTABLISHED
lsass.exe:608 UDP laptop-1:isakmp *:*
lsass.exe:608 UDP laptop-1:4500 *:*
svchost.exe:908 UDP laptop-1:1029 *:*
svchost.exe:908 UDP laptop-1:1028 *:*
svchost.exe:908 UDP laptop-1:ntp *:*
svchost.exe:908 UDP laptop-1:ntp *:*
svchost.exe:992 UDP laptop-1:1048 *:*
svchost.exe:992 UDP laptop-1:1045 *:*
svchost.exe:992 UDP laptop-1:1053 *:*
svchost.exe:992 UDP laptop-1:1054 *:*
System:4 TCP laptop-1:microsoft-ds laptop-1:0 LISTENING
System:4 UDP laptop-1:microsoft-ds *:*
vsmon.exe:1172 TCP laptop-1:1025 laptop-1:0 LISTENING


Streams:

Streams v1.56 - Enumerate alternate NTFS data streams
Copyright (C) 1999-2007 Mark Russinovich
Sysinternals - www.sysinternals.com

No files with streams found.


Hier der Link von Fileupload:
http://www.file-upload.net/download-526939/listing.txt.html


Datei mdac_typ.exe empfangen 2007.11.26 23:09:02 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 2/32 (6.25%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.11.27.0 2007.11.26 -
AntiVir 7.6.0.34 2007.11.26 -
Authentium 4.93.8 2007.11.24 -
Avast 4.7.1074.0 2007.11.25 -
AVG 7.5.0.503 2007.11.26 -
BitDefender 7.2 2007.11.26 -
CAT-QuickHeal 9.00 2007.11.26 -
ClamAV 0.91.2 2007.11.26 -
DrWeb 4.44.0.09170 2007.11.26 -
eSafe 7.0.15.0 2007.11.21 -
eTrust-Vet 31.3.5327 2007.11.26 -
Ewido 4.0 2007.11.26 -
FileAdvisor 1 2007.11.26 No threat detected, but known vulnerabilities exist
Fortinet 3.14.0.0 2007.11.26 -
F-Prot 4.4.2.54 2007.11.25 -
F-Secure 6.70.13030.0 2007.11.26 -
Ikarus T3.1.1.12 2007.11.26 -
Kaspersky 7.0.0.125 2007.11.26 -
McAfee 5171 2007.11.26 -
Microsoft 1.3007 2007.11.26 -
NOD32v2 2687 2007.11.26 -
Norman 5.80.02 2007.11.26 -
Panda 9.0.0.4 2007.11.26 -
Prevx1 V2 2007.11.26 Heuristic: Suspicious File With Covert Attributes
Rising 20.20.02.00 2007.11.26 -
Sophos 4.23.0 2007.11.26 -
Sunbelt 2.2.907.0 2007.11.24 -
Symantec 10 2007.11.26 -
TheHacker 6.2.9.142 2007.11.26 -
VBA32 3.12.2.5 2007.11.23 -
VirusBuster 4.3.26:9 2007.11.26 -
Webwasher-Gateway 6.0.1 2007.11.26 -
weitere Informationen
File size: 5402584 bytes
MD5: 72be63fd492c6d68108522690315cb25
SHA1: 75777c65d1472457c9b24005f752674d43803427
Bit9 info: http://fileadvisor.bit9.com/services/extinfo.aspx?md5=72be63fd492c6d68108522690315cb25
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=924572D8002E95E0E87201EC8D889B0077E1CA5B


Datei cdintf250.dll empfangen 2007.11.26 23:08:25 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/32 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 1.
Geschätzte Startzeit is zwischen 38 und 54 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.11.27.0 2007.11.26 -
AntiVir 7.6.0.34 2007.11.26 -
Authentium 4.93.8 2007.11.24 -
Avast 4.7.1074.0 2007.11.25 -
AVG 7.5.0.503 2007.11.26 -
BitDefender 7.2 2007.11.26 -
CAT-QuickHeal 9.00 2007.11.26 -
ClamAV 0.91.2 2007.11.26 -
DrWeb 4.44.0.09170 2007.11.26 -
eSafe 7.0.15.0 2007.11.21 -
eTrust-Vet 31.3.5327 2007.11.26 -
Ewido 4.0 2007.11.26 -
FileAdvisor 1 2007.11.26 -
Fortinet 3.14.0.0 2007.11.26 -
F-Prot 4.4.2.54 2007.11.25 -
F-Secure 6.70.13030.0 2007.11.26 -
Ikarus T3.1.1.12 2007.11.26 -
Kaspersky 7.0.0.125 2007.11.26 -
McAfee 5171 2007.11.26 -
Microsoft 1.3007 2007.11.26 -
NOD32v2 2687 2007.11.26 -
Norman 5.80.02 2007.11.26 -
Panda 9.0.0.4 2007.11.26 -
Prevx1 V2 2007.11.26 -
Rising 20.20.02.00 2007.11.26 -
Sophos 4.23.0 2007.11.26 -
Sunbelt 2.2.907.0 2007.11.24 -
Symantec 10 2007.11.26 -
TheHacker 6.2.9.142 2007.11.26 -
VBA32 3.12.2.5 2007.11.23 -
VirusBuster 4.3.26:9 2007.11.26 -
Webwasher-Gateway 6.0.1 2007.11.26 -
weitere Informationen
File size: 1929216 bytes
MD5: c4deea3de5a1fa203cec36d05d73c922
SHA1: b82a2d213d4cbb15bc039c977231d8c7f75850f2


Datei kcom.sys empfangen 2007.11.26 23:12:35 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/32 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 1.
Geschätzte Startzeit is zwischen 38 und 54 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.11.27.0 2007.11.26 -
AntiVir 7.6.0.34 2007.11.26 -
Authentium 4.93.8 2007.11.24 -
Avast 4.7.1074.0 2007.11.25 -
AVG 7.5.0.503 2007.11.26 -
BitDefender 7.2 2007.11.26 -
CAT-QuickHeal 9.00 2007.11.26 -
ClamAV 0.91.2 2007.11.26 -
DrWeb 4.44.0.09170 2007.11.26 -
eSafe 7.0.15.0 2007.11.21 -
eTrust-Vet 31.3.5327 2007.11.26 -
Ewido 4.0 2007.11.26 -
FileAdvisor 1 2007.11.26 -
Fortinet 3.14.0.0 2007.11.26 -
F-Prot 4.4.2.54 2007.11.25 -
F-Secure 6.70.13030.0 2007.11.26 -
Ikarus T3.1.1.12 2007.11.26 -
Kaspersky 7.0.0.125 2007.11.26 -
McAfee 5171 2007.11.26 -
Microsoft 1.3007 2007.11.26 -
NOD32v2 2687 2007.11.26 -
Norman 5.80.02 2007.11.26 -
Panda 9.0.0.4 2007.11.26 -
Prevx1 V2 2007.11.26 -
Rising 20.20.02.00 2007.11.26 -
Sophos 4.23.0 2007.11.26 -
Sunbelt 2.2.907.0 2007.11.24 -
Symantec 10 2007.11.26 -
TheHacker 6.2.9.142 2007.11.26 -
VBA32 3.12.2.5 2007.11.23 -
VirusBuster 4.3.26:9 2007.11.26 -
Webwasher-Gateway 6.0.1 2007.11.26 -
weitere Informationen
File size: 29000 bytes
MD5: 3cb7cbff1f58182e1556c8bf11b2f02b
SHA1: 70593c62f4fa3a602bcf07b6051046ae84e89663


Vielen Dank für Deine wirklich umfangreiche Hilfe . Ich wüsste wirklich nicht was ich ohne diese machen sollte. Danke

Grüße

Ah, sry, ich hab dir den falschen Befhl für streams gegeben. Mach das bitte nochmal mit diesem Befehl:

streams -s c:\ > c:\streams.txt
         

Und poste wieder den Inhalt von c:\streams.txt.

Hallo Arne,

hier ist die Strams Datei:

http://www.file-upload.net/download-527027/streams.txt.html

streams.txt sieht nicht wirklich aufregend aus. Hast du viel mit MS Fax gearbeitet? Sieht aus, als hätte das Programm da seine Metainfos in ADS gespeichert, die so ohne weiteres nicht sichtbar sind.

Ich schau mir grad dein listing.txt an.

c:\BFU
c:\bintheredunthat
c:\windows\system32\bfubackups
         

Was sind denn das für Ordner?

Sonst seh ich auch da nichts verdächtiges. Garnichts. Nichtmal Spuren, die ein Backdoor wie der Sdbot als Beispiel doch zumindest hinterlassen müsste.

Beende mal am besten ALLE Programme bei aktiver Internetverbindung. Beobachte, ob die Netzwerkauslastung immer noch so hoch ist.

Hallo Arne,

Mit BFU und entsprechenden Skripten (die Du auch selbst erstellen kannst), kannst Du automatisiert Programme aus dem System entfernen (inkl. Prozesse beenden, Files löschen, Registry-Einträge löschen).
Ein Blick in die zum Download angebotenen Skript-Dateien zeigt einem überblicksmäßig, was das Tool kann. Ich hatte das egdaccess script benutzt. Die drei Ordner gehören zu BFU.

Ich hatte im Listing tjod.remote gesehen - was ist das?

Meine Datenübertragungsraten momentan Gesendet: 443.580 Empfangen: 3.852.224. Bin aber auch noch nicht lang online.

Ich werde jetzt alle Programme ausschalten und eine neue Verbindung öffnen und mal sehen was dann ist.

Melde mich dann gleich wieder.

Grüße