Bin frustriert...
Schon die dritte Neuinstallation und die Probleme kommen immer wieder.
Ab und zu Bluescreens, Speicherprobleme. Seltsame Programme wie: c:23990098.$$$ oder WINNT/Lic.xxx die kommen und gehen.
ca. 1500 Bilder waren mit ADS-streams verseucht (hat nur ADSspy gefunden).
Einige Trojaner z.B. Win32 Agent NPQ, Agent bux 1 oder Blumblebee.1738 hat Antivir gefunden. Escan hat einen Backdoor(ircbot) trojan ausfindig gemacht.
Zweimal war das System nun innerhalb von 10 Tagen komplett zerschossen.
Sogar nun nach der dritten Installation auf einer neuen! Platte gehts schon wieder los obwohl ich alle (frei)erhältliche, aktuelle Sicherheitssoftware laufen hab. Es ist mir ein Rätsel wie die auf meinen Rechner kommen...
Ich brauche dringend Rat von Profis. Könnt ihr mir bitte weiterhelfen?
Hier der HJT Log:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:37:58, on 15.2.2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\S24EvMon.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\WINNT\system32\RegSrvc.exe
C:\WINNT\system32\RoamMgr.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\ZCfgSvc.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\1XConfig.exe
C:\WINNT\ATK0100\Hcontrol.exe
C:\WINNT\system32\PRPCUI.exe
C:\WINNT\system32\hkcmd.exe
C:\WINNT\system32\igfxpers.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Intel\NCS\PROSet\PRONoMgr.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINNT\ATK0100\ATKOSD.exe
C:\Programme\Intel\NCS\Sync\NetSvc.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Rar$EX06.057\RootkitRevealer.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\PSGBZIQB.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\mexe.com
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\security\HiJackThis202.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: WgBHO Class - {67E9834D-B226-49E6-B6F6-85AA64E14BA3} - C:\Programme\Free Download Manager\iefdm.dll
O2 - BHO: PDF-XChange Viewer IE-Plugin - {C5D07EB6-BBCE-4DAE-ACBB-D13A8D28CB1F} - C:\Programme\Tracker Software\PDF-XChange Viewer\pdf-viewer\PDFXCviewIEPlugin.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Hcontrol] C:\WINNT\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINNT\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINNT\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINNT\system32\igfxpers.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Programme\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download video with Free Download Manager - file://C:\Programme\Free Download Manager\dlfvideo.htm
O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: PSGBZIQB - Sysinternals - www.sysinternals.com - C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\PSGBZIQB.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINNT\system32\RegSrvc.exe
O23 - Service: RoamMgr - Intel Corporation - C:\WINNT\system32\RoamMgr.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINNT\system32\S24EvMon.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe

--
End of file - 5919 bytes

Hi,

also erstmal muss die Hardware stimmen, ansonsten macht es keinen Sinn, an der Software rumzufrickeln.

Alle eventuell getätigten Overclocking-Einstellungen (Takte, Spannungen, usw) rückgängig machen und alles auf die Herstellerwerte setzen.

Geh auf diese Seite und lade dir unter "Download" (weiter unten auf der Seite) eines der Pakete runter, je nachdem, ob Du eine Floppy oder eine CD zum booten vorbereiten willst. Im Floppypaket gibt es eine Anleitung, wie Du mit dem mitgelieferten Programm rawwrite.exe die Floppy vorbereitest. Für das CD-Paket das ISO entpacken und auf eine CD brennen. Den erstellten Datenträger einlegen, Computer neu starten, ins Bios gehen und den Start von dem entsprechenden Laufwerk wählen. Manche Boards unterstützen ein Bootmenü, bei dem Du von einem auszuwählenden Laufwerk starten kannst ohne die Bioseinstellung ändern zu müssen. Oft erreicht man das durch F11, das Boardhandbuch sollte da mehr Auskunft erteilen. Falls Du eine Knoppix-CD hast, kannst Du auch die benutzen. Bei der ersten Eingabe "memtest" (ohne "") eingeben und er läuft.

Nach dem Start läuft der Speichertest. Wenn Fehler gefunden werden, dann werden die im unteren Teil des Bildschirms angezeigt. Auf den drei Screenshots auf der Webseite sind keine Fehler angezeigt, da ist der untere Teil leer (abgesehen von der untersten Zeile). Es empfiehlt sich, diesen Test lange laufen zu lassen, da manche Fehler nur sporadisch auftreten, oder erst dann, wenn der Rechner Betriebstemperatur erreicht hat. 24 Stunden ist schon ganz gut.


Zu den Softwareangelegenheiten:

c:\23990098.$$$ und C:\WINNT\Lic.xxx würdest Du dir ersparen, wenn Du einsiehst, dass der Escan Müll ist. Der legt die Dateien nämlich an, zusammen mit diversen anderen Einträgen in den Systemverzeichnissen, die Malware vortäuschen. Über die ADS müsste man Details wissen, kann sehr gut sein, dass die harmlos sind. Wenn Du z.B. eine Datei mit dem Internet Explorer runterlädst, bekommt die automatisch einen ADS verpasst. Gerade wenn die meisten ADS-Scanner die nicht anzeigen, deutet mir das darauf hin, die haben dann eine WhiteList für normale ADS. Zu den Antivir-Funden müsste man ebenfalls Details haben, also wo wurden sie gefunden. Bei "Blumblebee.1738" tippe ich mal darauf, dass Du einen Panda-Onlinescan gemacht hast/machen wolltest, der verträgt sich nicht mit Antivir. Escna schmeisst fett mit Fehlalarmen um sich (darunter auch ircbot-Meldungen), schließlich sollst Du ja die Vollversion kaufen

Ich habe so das Gefühl, dass dein Problem eher Paranoia ist. An dienem HijackThis fällt auf, dass der Internet Explorer veraltet ist. Du musst dringend alle Updates, die bei Microsoft anbgeboten werden installieren. Darüber hinaus laufen da Rootkitrevelaer, Escan und noch andere Scanner gleichzeitig, das kann nicht gut gehen. Wenn schon, dann einer nach dem anderen.

Gruß, Karl

Hallo Karl,
Vielen Dank für deine ausführliche Antwort! Hardware ist unverändert (Notebook). Der Speicher ist OK- hatte ich schon vor einer Woche mit einem Tool von der WTDVD gecheckt. Der Speicherüberlauf trat auch nur im Zusammenhang mit dem IE auf. Obwohl ich normal nur Mozilla nutze, werde ich den IE besser mal updaten

Danke für die Aufklärung bezüglich der gefakten Malware von Escan! Da bin
ich schon etwas beruhigter- da muss man auch erstmal drauf kommen. Escan hatte gain.gator, ircbot, mirar und regsort corrupted nur in der registry ausfindig gemacht.

Die ADS-Streams waren bei der letzten Installation schön verteilt in meiner Digicam-Fotosammlung- die fotos hatte ich lediglich mit irfanview geöffnet. Ein anderer Scanner lieferte mir win32.delf.zq usw. Ausserdem waren nette Programme wie c:wasting_love.exe und troj.cfg aufm Rechner.

Leider lässt sich mein Problem nicht nur auf Paranoia reduzieren. Zweimal liess sich nun W2000 nicht mehr booten und/oder wiederherstellen und ich musste eine Neuinstallation vornehmen, weil die registry verschwunden war! Gestern hatte ich die Bluescreen trotz Neuinstallation schon wieder. Da ich ein Zeitproblem mit meiner Doktorarbeit habe bin ich vorsichtig geworden.

Der letzte Effekt war nun, dass Strg+Alt+Entf für das Anmeldefenster verschwunden und nicht mehr zu aktivieren ist. Weiss ich nicht ob ich mich schon zurücklehnen kann...