Hallo,
hab ein dickes Problem: Ich hatte letztens für ein paar Stunden die Windows-Firewall ausgeschaltet, weil mir ein Kumpel ein paar Daten geschickt hatte.
Da habe ich mir nun einen Virus/Trojaner/Wurm oder so etwas eingefangen.
Die Symptome sehen wie folgt aus: Er taucht erst auf, nachdem ich mich ins Internet einwähle. Nach ein paar Sekunden werden meine Antivirenprogramme, die im Hintergrund laufen, beendet. Ich kann Norton AntiVirus auch nicht mehr neu starten. E-Mails kann ich dann auch nicht mehr mit Outlook abrufen. Der TaskManager schließt sich automatisch nach 1 oder 2 Sekuden. Dort kann ich aber in der Kürze mehrere Einträge erkennen, die "sasser.exe" lauten.
Auch in "msconfig" über "Ausführen" komme ich nicht rein, weil es auch wie der TaskManager sofort beendet wird.
Ich habe das Gefühl, dass viele Antiviren-Seiten geblockt werden, weil Norton usw. kann ich nicht mehr erreichen (Seite nicht gefunden), alle anderen normalen Seiten aber schon.
Habe auch schon viele Antivirenprogramme, Spywarekiller, Wurmkiller usw. durchlaufen lassen. Es wurde nichts gefunden.
Was soll ich machen? Hat jemand Tipps?
Vielen Dank schonmal im Voraus,
viele Grüße Paul

Hi, ich hab noch eine Ergänzung: Es werden ohne Pause Daten gesendet. Ich hab ISDN, hatte den PC laufen als ich weg war, und nach 3 Stunden oder so waren 23 MB gesendet, obwohl ich keine Anwendung laufen hatte.
Viele Grüße

Au Backe ...... poste einmal ein HijackThis-Log.

Auch das Programm wurde sofort automatisch beendet. Habe es dann aber in pruefung.com umbenannt, dann ging es.
Hier die Log-File:

Logfile of HijackThis v1.98.0
Scan saved at 11:53:12, on 01.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\PRISMSTA.EXE
C:\WINDOWS\Twain_32\SlimU2\HotKey.exe
C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Dokumente und Einstellungen\Seb\winupd\winupd32.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Norton Antivirus\navapsvc.exe
C:\Norton Antivirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\DitExp.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\HJT\pruefung.com

F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Norton Antivirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Norton Antivirus\NavShExt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\SlimU2\HotKey.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [Windows DLL host] "C:\Dokumente und Einstellungen\Seb\winupd\winupd32.exe"
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunServices: [Windows DLL host] "C:\Dokumente und Einstellungen\Seb\winupd\winupd32.exe"
O4 - HKCU\..\Run: [Windows DLL host] "C:\Dokumente und Einstellungen\Seb\winupd\winupd32.exe"
O4 - HKCU\..\RunServices: [Windows DLL host] "C:\Dokumente und Einstellungen\Seb\winupd\winupd32.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Dokumente und Einstellungen\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: ConferenceRoom Java Client - http://irc.robgreen.com:8000/java/cr.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/02f0da35...dxIE601_de.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web8.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...l_v1-0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{42B3A051-D246-4FA5-9A79-5AD02FBDB7DE}: NameServer = 217.9.42.98 217.9.47.254

http://www.trojaner-board.de/showthread.php?t=6083

Poste was gefunden wird!

Juchuh, Programm hat den Virus/Wurm/Trojaner gelöscht.
Hat auch ne Menge gefunden.
Jetzt noch eine Frage: Sollte ich Sicherheitsupdates von Windows installieren, um das in Zukunft zu verhindern? Und wenn ja, welche?

Hier die Log-Datei:
File C:\DOKUME~1\Seb\winupd\winupd32.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\WINDOWS\System32\dl.vbs infected by "TrojanDownloader.JS.gen" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\All Users\Dokumente\irc bnc\backup\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.
File C:\Dokumente und Einstellungen\All Users\Dokumente\Steam\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Seb\Desktop\aaw6181.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Seb\Desktop\setup_postpaket_2_3.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Seb\Eigene Dateien\ppschein.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Seb\Lokale Einstellungen\Temp\setup_postpaket_2_3.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Seb\winupd\sasser.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Seb\winupd\sbaanetapi.dll infected by "Exploit.CAN-2003-0533" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Seb\winupd\svcinstall.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\unwise32.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Norton Antivirus\Quarantine\06310A52.dat infected by "I-Worm.Kindal" Virus. Action Taken: File Deleted.
File C:\Norton Antivirus\Quarantine\11F32871 infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Norton Antivirus\Quarantine\12B06208 infected by "I-Worm.Sober.d" Virus. Action Taken: File Deleted.
File C:\Norton Antivirus\Quarantine\1D1D0303.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\Norton Antivirus\Quarantine\2E5D4008.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\Norton Antivirus\Quarantine\48601F3B.dat infected by "Worm.P2P.Surnova.e" Virus. Action Taken: File Deleted.
File C:\Norton Antivirus\Quarantine\554A14FE.dat infected by "Worm.P2P.SpyBot.gen" Virus. Action Taken: File Deleted.
File C:\Norton Antivirus\Quarantine\5E5E7710 infected by "I-Worm.Sober.d" Virus. Action Taken: File Deleted.
File C:\Norton Antivirus\Quarantine\63F01513.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\Norton Antivirus\Quarantine\6CB3416E infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Norton Antivirus\Quarantine\72027B98 infected by "Backdoor.Rbot.15" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\ELCHTEST.EXE.VIR tagged as not-a-virus:Joke.BadDay. No Action Taken.
File C:\Programme\Lavasoft\Ad-aware 6\Unwise.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Programme\Pinnacle\Studio 8\PPE110.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\RECYCLER\NPROTECT\00217576.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP130\A0019433.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP130\A0019434.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP130\A0019442.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP131\A0019507.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP131\A0019508.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020848.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020849.vbs infected by "TrojanDownloader.JS.gen" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020850.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020851.dll infected by "Exploit.CAN-2003-0533" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020852.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020853.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020854.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020855.exe infected by "Backdoor.SdBot.oy" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP66\A0009588.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP66\A0009733.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP69\A0010242.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\win2k3.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\I5GJER2F\pb25[1].exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\config\systemprofile\winupd\pb25.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\config\systemprofile\winupd\sasser.exe infected by "Exploit.Win32.RPCLsa.01.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\config\systemprofile\winupd\sbaanetapi.dll infected by "Exploit.CAN-2003-0533" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\config\systemprofile\winupd\svcinstall.exe infected by "Backdoor.Spybot.b" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\Macromed\Shockwave 8\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\c von seb\Eigene Dateien\123\Acoustica-MP3-Audio-Mixer-Installer.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\c von seb\Eigene Dateien\Counter Strike\CS-Skript\Vorsaliases.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Dictionary4Free\4free.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Dictionary4Free\UNWISE32.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\KaZaA\gedownloadete sachen\CS bots.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\KaZaA\gedownloadete sachen\kmd171_de.exe tagged as not-a-virus:AdvWare.Cydoor. No Action Taken.
File D:\KaZaA\PerfectNavUninstall.exe infected by "TrojanDownloader.Win32.Keenval.e" Virus. Action Taken: File Deleted.
File D:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP137\A0019933.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\System Volume Information\_restore{19393216-EB30-4D17-A879-7FC2108AE354}\RP141\A0020861.exe infected by "TrojanDownloader.Win32.Keenval.e" Virus. Action Taken: File Deleted.
File D:\Tactical Commanders\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\ut\UNWISE.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File E:\gute Musik\Kazaa\kmd160_en.exe tagged as not-a-virus:AdvWare.Cydoor. No Action Taken.
File E:\gute Musik\Kazaa\kmd171gu_en.exe tagged as not-a-virus:AdvWare.Cydoor. No Action Taken.
File E:\Wörterbuch\4free.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Zitat von PaulK2930

Jetzt noch eine Frage: Sollte ich Sicherheitsupdates von Windows installieren,..

Wahnsinn! Ich glaube Du meinst die Frage sogar ernst!? *kopfschüttel*
Warum könnte es denn "Sicherheitsupdates" geben?
Hmm, mal groß denken, denken, denken,


Wann hast Du denn Deinen Norton das letzte mal upgedated gehabt?

Zitat von PaulK2930

um das in Zukunft zu verhindern?

dafür wäre vorallem Hirn gefragt. Du willst also Software die Dich vor Deinen (Un)Taten schützt?
Nein, dafür solltest Du MS-DOS Version 1.1 nehmen.

Zitat von PaulK2930

Und wenn ja, welche?

ALLE SICHERHEITSUPDATES!
Aber bedenke, sie schützen nicht vor Dum... äh sie schützen nicht vor dem expliziten Download von Malware. Da kann zwar eventuell eine gute aktuelle AV-Software schützen, aber auch SICHER NICHT immer.

(Ich bin mir sicher, dies werden Dir noch viele andere erzählen, vielleicht ein bisserl freundlicher, vielleicht auch nicht)
*es ist zum heulen*

Naja, wenn du Sachen bei Kazaa downloadest, die verseucht sind helfen auch keine Sicherheitsupdates.
Außerdem hast du ein paar aktive Backdoors drauf gehabt.

Es wäre das vernüftigste, dass du formatierst und dein Windows neu aufspielst. Updates drauf, Virenschutz drauf und Brain 1.0.

@Shadow: Lieber nicht aufregen, sonst kriegst du noch nen Herzkasper. Du Freak.
@*Christian*: Danke für deine Hilfe

@Shadow
Aber wirklich! Du Freak! :aplaus:

Spricht da der Neid des Handlangers des Ankündigungsministers mit, wie dein bester Freund mal hier bezeichnet wurde.

Ja, Shadow ist wenigstens ein Freak, welcher du ja gerne sein möchtest, *Christian*. Aber nie sein wirst.

Trotzdem würde der Freak gerne wissen wann Du das letzte mal den Norton AV upgedated hattest.
Nicht um dir noch eine Fuhre Brain an den Kopf zu schmeißen sondern nur um NAV besser abschätzen zu können.
Habe es nämlich seit langem nicht mehr erlebt dass ein aktuelles(!) NAV abgeschossen wurde!

Also sei so nett und sag dem am boden zerstörten herzgekasperten Freak: welche NAV-Version
Wann das letzte Update (circa)
büddä bekommst auch einen Keks

Der "Ausbruch" des Virus/Wurmes war vor ca. 2 Wochen, und Norton hatte mindestens eine Woche vorher das letzte Mal aktualisiert. Also daran kann es nicht gelegen haben, da ich regelmäßig Updates ausgeführt habe.

@zulu
Wer keinen Spass versteht hat in einem Forum herzlich wenig zu suchen.
Dass dies nicht ernst war, sollte eigentlich für jeden logisch Denkenden erkennbar sein.
Und auch Shadow weiss wie ich das meine.

PS: Und auch du wirst deine kostenlose 2.0 Version bekommen.

Icke will keine. Wenn ich mir meinen Rechner versauen will, da find' ich noch zur Not ne andere lösung.