Ich habe einen DNS Server (Win2k server) in einer NT Domäne. Dieser wurde von Conficker befallen und mittels verschiedener Tools versucht zu bereinigen.
Danach wurde der DNS-Server neu installiert, mit allen Windows Updates und AVG versehen und wieder in die Domäne gehoben. Nach kurzer Zeit hat AVG eine Datei mit Conficker Muster im system32 angezeigt und diese war auch mit svchost verlinkt.
habe jetzt ma hijack this laufen lassen, kann aber nicht wirklich was rauslesen aus dem log:
Zitat:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:52:09, on 26.10.2009
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\sfmsvc.exe
C:\WINNT\System32\sfmprint.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Programme\AVG\AVG8\avgrsx.exe
C:\WINNT\System32\wins.exe
C:\WINNT\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgam.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\dns.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\System32\msdtc.exe
C:\Programme\AVG\AVG8\avgcsrvx.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINNT\system32\internat.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1256550420826
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1256552308526
O17 - HKLM\System\CCS\Services\Tcpip\..\{C21E9EEC-C8FD-48D9-BC25-F1F832BC2BFE}: NameServer = 192.168.3.227
O20 - Winlogon Notify: avgrsstarter - C:\WINNT\SYSTEM32\avgrsstx.dll
O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
--
End of file - 2767 bytes
|
danach hab ich noch den
GMER durchlaufen lassen, in der hoffnung mehr zu erkennen:
Zitat:
GMER 1.0.15.15163 - http://www.gmer.net
Rootkit scan 2009-10-26 15:14:28
Windows 5.0.2195 Service Pack 4
Running: gvxcqcxl.exe; Driver: C:\DOKUME~1\ADMINI~1.DOM\LOKALE~1\Temp\aftdipob.sys
---- User code sections - GMER 1.0.15 ----
.text C:\WINNT\System32\svchost.exe[540] ntdll.dll!NtQueryInformationProcess 778888CC 5 Bytes JMP 079D9DD2
.text C:\WINNT\System32\svchost.exe[540] NETAPI32.dll!NetpwPathCanonicalize 7CE2F85D 5 Bytes JMP 079D9D72
---- Devices - GMER 1.0.15 ----
AttachedDevice \FileSystem\Ntfs \Ntfs Dfs.sys (Windows NT Distributed File System Driver/Microsoft Corporation)
AttachedDevice \Driver\Tcpip \Device\Ip avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.)
AttachedDevice \Driver\Tcpip \Device\Tcp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.)
AttachedDevice \Driver\Tcpip \Device\Udp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.)
AttachedDevice \Driver\Tcpip \Device\RawIp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.)
AttachedDevice \FileSystem\Fastfat \Fat Dfs.sys (Windows NT Distributed File System Driver/Microsoft Corporation)
---- Services - GMER 1.0.15 ----
Service C:\WINNT\system32\svchost.exe (*** hidden *** ) [AUTO] nxgeitsws <-- ROOTKIT !!!
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@DisplayName Center Update
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@Type 32
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@Start 2
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@ErrorControl 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@ObjectName LocalSystem
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws@Description F?hrt eine aktuelle Liste der Computer im Netzwerk und gibt diese an Programme weiter.
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws\Parameters
Reg HKLM\SYSTEM\CurrentControlSet\Services\nxgeitsws\Parameters@ServiceDll C:\WINNT\system32\eifuwte.dll
---- EOF - GMER 1.0.15 ----
|
Trotz löschen des Files und des Reg Schlüssels taucht das File immer wieder auf...
26.10.2009, 15:50
Baum-Darstellung