backdoor.ini Was ist das?

matteo

Hallo,

vielen Dank für Eure schnelle Hilfe zu meinem Problem vor 2 Wochen. Unverändert habe ich den Eindruck das seit einigen Monaten mein Rechner von außen ferngesteuert wird. Neu aufsetzen möchte ich aber wenns irgend möglich ist nicht. Vielleicht läßt sich das Mistzeug ja entfernen. Bei google und anderswo habe ich zu dem Problem nichts gefunden, oder kann mit meinem fehlenden Wissen nichts damit anfangen.

Insgesamt läüft die Kiste langsamer wie sonst und überträgt mehrere 100 kB über dsl, auch wenn man einige Zeit nichts eingibt. Die Datenmenge "gesendet" war dabei auch schon umfangreicher, wie die "empfangen".

Die Anzeige unten im Fenster in der Taskleiste meiner Startseite macht ein winziges schwarzes rechteckiges Kästchen gleich in das "ebay-Fenster" mit drin neben dem "y" bevor die Punkte anfangen (Innerhalb des Anzeigefensters). Vielleicht kann mir jemand helfen oder hat ein ähnliches Problem, nachdem ich bei google nichts gefunden habe.
Ich habe ein hauseigenes Mininetzwerk mit 3 PCs und verwende WIN 98 alt, mit dsl und als Browser wahlweise IE6 oder Mozilla.
Adaware, Spybot, cwshredder und Agnitum firewall finden nichts. Antivir und NOD 32 liefern neben dem üblichen WIN386.SWP und meinem Haustier: eicar.zip keine weiteren Meldungen (Alles frisch upgedatet, einschließlich Windows)

In der Funktion "Suche" habe ich neben dutzenden von anderen Begriffen heute mal "backdoor" eingegeben.
Und siehe da er fand eine "backdoor.ini" in C:\WINDOWS.
Wo genau konnt ich nicht herausfinden, da der Suchlauf noch recht schnell funktioniert.
Dateityp: Konfigurationseinstellungen
Größe: 38 Byte 4096 Byte belegt

Hier mein aktuelles log:
Logfile of HijackThis v1.97.7
Scan saved at 21:59:56, on 10.02.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\PROXYPLUS\PROXYPLUS.EXE
D:\FIREWALL\OUTPOST.EXE
C:\PROGRAMME\ESET\NOD32KRN.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\PROGRAMME\ESET\NOD32KUI.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://www.t-online.de/
O4 - HKLM\..\Run: [Outpost Firewall] D:\FIREWALL\outpost.exe /waitservice
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\RunServices: [ProxyPlus] C:\PROGRAMME\PROXYPLUS\ProxyPlus.exe
O4 - HKLM\..\RunServices: [Outpost Firewall] D:\FIREWALL\outpost.exe /service
O4 - HKLM\..\RunServices: [NOD32kernel] "C:\Programme\Eset\nod32krn.exe"
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...027.3838541667


Dann hab ich noch ein Startup-log gemacht, das aber riesenlang ist. Deshalb hier nur ein kleiner Auszug der mir komisch vorkommt. Ich kann mit den Angaben nichts rechtes anfangen. Das Wort "Rename" kommt mir komisch vor. Wurde hier was ersetzt?:

Checking for EXPLORER.EXE instances:

C:\WINDOWS\Explorer.exe: PRESENT!

C:\Explorer.exe: not present
C:\WINDOWS\Explorer\Explorer.exe: not present
C:\WINDOWS\System\Explorer.exe: not present
C:\WINDOWS\System32\Explorer.exe: not present
C:\WINDOWS\Command\Explorer.exe: not present
C:\WINDOWS\Fonts\Explorer.exe: not present

--------------------------------------------------

C:\WINDOWS\WININIT.INI listing:

*File not found*

--------------------------------------------------

C:\WINDOWS\WININIT.BAK listing:
(Created 10/2/2004, 18:26:30)

[Rename]
NUL=C:\WINDOWS\SYSTEM\WININET.DLL
C:\WINDOWS\SYSTEM\WININET.DLL=C:\WINDOWS\SYSTEM\SETA1A4.TMP
NUL=C:\WINDOWS\SYSTEM\SHDOCVW.DLL
C:\WINDOWS\SYSTEM\SHDOCVW.DLL=C:\WINDOWS\SYSTEM\SETA1B1.TMP
NUL=C:\WINDOWS\SYSTEM\SHLWAPI.DLL
C:\WINDOWS\SYSTEM\SHLWAPI.DLL=C:\WINDOWS\SYSTEM\SETA1B5.TMP
NUL=C:\WINDOWS\SYSTEM\BROWSEUI.DLL
C:\WINDOWS\SYSTEM\BROWSEUI.DLL=C:\WINDOWS\SYSTEM\SETA1C1.TMP
NUL=C:\WINDOWS\SYSTEM\URLMON.DLL
C:\WINDOWS\SYSTEM\URLMON.DLL=C:\WINDOWS\SYSTEM\SETA1C4.TMP
NUL=C:\WINDOWS\SYSTEM\MSHTML.DLL
C:\WINDOWS\SYSTEM\MSHTML.DLL=C:\WINDOWS\SYSTEM\SETA1D1.TMP

--------------------------------------------------

Vorab bereits recht vielen Dank für Eure Mühe

Gruß matteo