Hallo,

vielen Dank für Eure schnelle Hilfe zu meinem Problem vor 2 Wochen. Unverändert habe ich den Eindruck das seit einigen Monaten mein Rechner von außen ferngesteuert wird. Neu aufsetzen möchte ich aber wenns irgend möglich ist nicht. Vielleicht läßt sich das Mistzeug ja entfernen. Bei google und anderswo habe ich zu dem Problem nichts gefunden, oder kann mit meinem fehlenden Wissen nichts damit anfangen.

Insgesamt läüft die Kiste langsamer wie sonst und überträgt mehrere 100 kB über dsl, auch wenn man einige Zeit nichts eingibt. Die Datenmenge "gesendet" war dabei auch schon umfangreicher, wie die "empfangen".

Die Anzeige unten im Fenster in der Taskleiste meiner Startseite macht ein winziges schwarzes rechteckiges Kästchen gleich in das "ebay-Fenster" mit drin neben dem "y" bevor die Punkte anfangen (Innerhalb des Anzeigefensters). Vielleicht kann mir jemand helfen oder hat ein ähnliches Problem, nachdem ich bei google nichts gefunden habe.
Ich habe ein hauseigenes Mininetzwerk mit 3 PCs und verwende WIN 98 alt, mit dsl und als Browser wahlweise IE6 oder Mozilla.
Adaware, Spybot, cwshredder und Agnitum firewall finden nichts. Antivir und NOD 32 liefern neben dem üblichen WIN386.SWP und meinem Haustier: eicar.zip keine weiteren Meldungen (Alles frisch upgedatet, einschließlich Windows)

In der Funktion "Suche" habe ich neben dutzenden von anderen Begriffen heute mal "backdoor" eingegeben.
Und siehe da er fand eine "backdoor.ini" in C:\WINDOWS.
Wo genau konnt ich nicht herausfinden, da der Suchlauf noch recht schnell funktioniert.
Dateityp: Konfigurationseinstellungen
Größe: 38 Byte 4096 Byte belegt

Hier mein aktuelles log:
Logfile of HijackThis v1.97.7
Scan saved at 21:59:56, on 10.02.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAMME\PROXYPLUS\PROXYPLUS.EXE
D:\FIREWALL\OUTPOST.EXE
C:\PROGRAMME\ESET\NOD32KRN.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\PROGRAMME\ESET\NOD32KUI.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://www.t-online.de/
O4 - HKLM\..\Run: [Outpost Firewall] D:\FIREWALL\outpost.exe /waitservice
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\RunServices: [ProxyPlus] C:\PROGRAMME\PROXYPLUS\ProxyPlus.exe
O4 - HKLM\..\RunServices: [Outpost Firewall] D:\FIREWALL\outpost.exe /service
O4 - HKLM\..\RunServices: [NOD32kernel] "C:\Programme\Eset\nod32krn.exe"
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...027.3838541667


Dann hab ich noch ein Startup-log gemacht, das aber riesenlang ist. Deshalb hier nur ein kleiner Auszug der mir komisch vorkommt. Ich kann mit den Angaben nichts rechtes anfangen. Das Wort "Rename" kommt mir komisch vor. Wurde hier was ersetzt?:

Checking for EXPLORER.EXE instances:

C:\WINDOWS\Explorer.exe: PRESENT!

C:\Explorer.exe: not present
C:\WINDOWS\Explorer\Explorer.exe: not present
C:\WINDOWS\System\Explorer.exe: not present
C:\WINDOWS\System32\Explorer.exe: not present
C:\WINDOWS\Command\Explorer.exe: not present
C:\WINDOWS\Fonts\Explorer.exe: not present

--------------------------------------------------

C:\WINDOWS\WININIT.INI listing:

*File not found*

--------------------------------------------------

C:\WINDOWS\WININIT.BAK listing:
(Created 10/2/2004, 18:26:30)

[Rename]
NUL=C:\WINDOWS\SYSTEM\WININET.DLL
C:\WINDOWS\SYSTEM\WININET.DLL=C:\WINDOWS\SYSTEM\SETA1A4.TMP
NUL=C:\WINDOWS\SYSTEM\SHDOCVW.DLL
C:\WINDOWS\SYSTEM\SHDOCVW.DLL=C:\WINDOWS\SYSTEM\SETA1B1.TMP
NUL=C:\WINDOWS\SYSTEM\SHLWAPI.DLL
C:\WINDOWS\SYSTEM\SHLWAPI.DLL=C:\WINDOWS\SYSTEM\SETA1B5.TMP
NUL=C:\WINDOWS\SYSTEM\BROWSEUI.DLL
C:\WINDOWS\SYSTEM\BROWSEUI.DLL=C:\WINDOWS\SYSTEM\SETA1C1.TMP
NUL=C:\WINDOWS\SYSTEM\URLMON.DLL
C:\WINDOWS\SYSTEM\URLMON.DLL=C:\WINDOWS\SYSTEM\SETA1C4.TMP
NUL=C:\WINDOWS\SYSTEM\MSHTML.DLL
C:\WINDOWS\SYSTEM\MSHTML.DLL=C:\WINDOWS\SYSTEM\SETA1D1.TMP

--------------------------------------------------

Vorab bereits recht vielen Dank für Eure Mühe

Gruß matteo

Hallo Who Cares,

ich habe jetzt gerade mal den NOD32 deaktiviert. Als Laie wußte ich das nicht und hätte mir womöglich noch mehr solche AV-Programme installiert.

Aber das mit der Datei "backdoor.ini" was nicht paßt könnte ich mir schon vorstellen. Kaum ein seriöser Programmierer wird eine Datei so bezeichen. Ich habe auch mal noch nichts gelöscht, weil ich dachte von da aus könne man der Schweinerei auf die Spur kommen. Wenn das mit den 38 Byte nicht gefakt ist kann ja auch nur ein ganz kurzer Befehl drauf sein. Soll ich mal versuchen das aufzumachen? Wenn ja mit was? Wordpad? Oder will das zur Untersuchung einer mal gemailt haben. Wie fügt man einen Dateianhang bei OE ein, von dem man im Win-Explorer nicht weiß wo der genau steht?

Der Blue-Screen beim Ausmachen gestern Abend hieß:
Schwerer Ausnahmefehler 06 an Adresse C800 : 00000049. Google findet zu diesem Fehler schlappe 497 Einträge. Aber ich hab nichts gefunden was paßt. Meist tritt das bei einer Neuinstallation vom Betriebssystem auf?
Wie schon geschrieben: Ich war immer der Meinung das gehört bei Windows so, weil das ...Sie können den Computer jetzt ausschalten...kommt eher zufällig mal dazwischen.

Gruß matteo

Hi,
du kannst ja mal:
- wordpad öffnen
- dann aus Wordpad heraus die .ini öffnen
da kann eigentlich nix passieren
evtl hier posten

aber der genau Pfad wäre schon interessant...
Start -> Suchen -> Nach Dateien ..



2)
a) du kannst Dir soviele "normale"=On-Demand-Scanner installieren, bis du blau im Gesicht wirst..
b) Nur dürfen nicht 2 Guards=Wächter=-On-Access-Scanner gleichzeitig laufen

P.S.: Einschränkung zu a):
AV-Installationsprogramme installieren oft Dienste/Treiber ohne Ende, also ist zu viel des Guten (auch ohne Guard/Monitor) nicht unbedingt förderlich für die Systemperformance/stabilität


[ 11. Februar 2004, 11:53: Beitrag editiert von: Who Cares ]

Hi,

du hast hast NOD32 und AVPE-Guard gleichzeitig laufen ??
oder ist da einer deaktiviert ?

Hallo,

gerade hab ich noch was festgestellt was eine Rolle spielen könnte:

Das angegebene Erstellungsdatum der Datei lautet auf 23.12.2003. Das Windows ist aber um Jahre älter und auch wurde an diesem Tag nichts upgedatet.

Beim Ausschalten habe ich immer mal, so jedes 3. bis 4. Mal "Blue-Screen" mit verschiedenen Fehleradressen, wo den der schwere Ausnahmefehler heute wieder aufgetreten wäre, z.B. OE 0028 : 090 3001. Andere Fehlermeldungen habe ich nicht aufgeschrieben, weil ich dachte das sei bei Windows halt so systembedingt.
Dann wird mal die Anzeige der IT-Verbindung, die 2 kleinen grünen Blinki-Blinki-Monitore angezeigt und mal nicht und der PC ist trotzdem eingewählt. Bei Neustart wählt er sich immer von selbst ein, und da meist so das nichts angezeigt wird. Wegen der Flatrat ist das kostenmäßig egal, nur halt wegen der Fremdzugriffe nicht.

Dann im Fenster der aktiven Anwendungen bei ctrl+alt+entf hat er mal die Rnaapp mit laufen und auch mal nicht. Wenn dieses Programm mit aufgemacht ist denke ich das mehr Schaden angerichtet ist, wie wenn das zu ist. So richtig leicht zumachen läßt es sich nämlich nicht. Und wenn ich es zugemacht habe kotzt der PC ab. Wenn es gleich von Anfang an nicht mit läuft paßt alles.

Dann Spybot, Search & Destroy habe ich schon 2 Mal neu drüber installiert und hat aber immer die gleiche Macke. Läßt sich schlecht starten. Muß dazu mehrfach angeklickt werden, dauert 2 Minuten bis das graue Fensterchen kommt, hört bei ca. 4870 von 5800 Prüfungen auf und schließt sich von selbst. Die in der Beschreibung gezeigte Report- oder Sowas-Seite wird bei mir nicht angezeigt, weil vorher das Programm beendet ist.

Ein Win-Update zeigt er bei der Abfrage der verfügbaren Updates als fehlgeschlagen an und zwar das Q 323172.

Auch das Lavasoft Adaware6 läßt sich schlecht starten. Das Antivir und das NOD 32 laufen ohne Probleme (und ohne was anzuzeigen)durch.

Gruß matteo

Hallo Who Cares,

die 2 Virenwächter laufen zugleich und bis letzte Woche hatte ich noch den trojancheck dazu.
Dann läuft noch dieses outpost.exe von Agnitum. Bewirken tut das alles offenbar recht wenig.
Bei ctrl+alt+entf werden heute mal folgende Prozesse angezeigt:

2 x Trojaner-Board
Explorer
Rnaapp
Nod32kui
Systray
Proxyplus
Avgctrl

Das ist schon alles.

Gruß matteo

</font><blockquote>Zitat:</font><hr />Original erstellt von matteo:

die 2 Virenwächter laufen zugleich </font>[/QUOTE]Hi matteo,
böse böse...
NIE nie nie 2 VirenWächter=on-acces--Scanner gleichzeitg installiert/aktiv haben !!!

führt zu den übelsten problemen..

-&gt; eine davon permanent deaktivieren

Hallo Who Cares,

bisher habe ich immer gedacht die Spaßvögel sitzen nur in Redmont bei ms und beglücken von da aus die Menschheit mit ihrem Blinki-Blinki-Spielzeug.
Aber offenbar hat sich diese backdoor.ini ein Programmierer von hp einfallen lassen. Ich denke das gehört zu meinem hp deskjet 870 cxi.

Eine Pfadangabe fehlt aber. Die backdoor.ini steht einfach in Windows nach den Dateiordnern in alphabetischer Reihenfolge wo auch viele andere dlls und exes eingetragen sind.

Inhalt auf Wordpad geöffnet:

[TestAutomation]
9TestAutoActive=No

(Bei nur 38 Byte kanns ja auch nicht viel mehr sein)

Das deutsche google weiß garnichts zu diesem Thema. Zwei englischsprachige Threads habe ich gefunden, von Leuten die das auch gewundert hat:

http://www.cybertechhelp.com/forums/...25&mode=hybrid

http://www.annoyances.org/exec/forum/win98/t997558835

Nochmals recht vielen Dank für Eure Mühe und
bitte nochmal oben nachsehen, ob mein log sauber ist.

Gruß matteo

</font><blockquote>Zitat:</font><hr />Original erstellt von matteo:

Eine Pfadangabe fehlt aber. Die backdoor.ini steht einfach in Windows nach den Dateiordnern in alphabetischer Reihenfolge wo auch viele andere dlls und exes eingetragen sind.matteo </font>[/QUOTE]Hi matteo,

dann ist deine Pfadangabe:
C:\Windows\Backdoor.ini


- Hast du einen der beiden AV-Wächter abgeschaltet ?
- HJT-Log sieht für mich sauber aus, aber vielleicht gibt ja noch jemand anderes 'nen Kommentar ab..

Hallo Who Cares,

das Problem mit den Fremdeingriffen besteht latent weiter, auch wenns nichts mit dieser backdoor.ini zu tun hat. Den NOD32 habe ich abgeschaltet und nur noch Antivir laufen. Bei Sophos habe ich gerade gelesen das es einen Backdoortrojaner namens NETTROJAN gibt mit dem von außen praktisch eine uneingeschränkte Netzwerkeinbindung hergestellt werden kann und der PC komplett ferngesteuert wird, ohne das der User was mitkriegt und die meisten PFs und AVS merken auch nichts davon.

Gruß matteo

Hi,

was ist "Proxyplus" bei Dir ?
ein "guter" ProxyServer oder sowas hier:
http://www.sophos.com/virusinfo/anal...ircfloodc.html


- Win aufräumen: TIF & Temp leeren, RegClean, scandisk, defrag
- mal ad-aware, sypbot und cwshredder updaten und dann im abgesicherten Modus (F8-Boot) laufen lassen

- PC sicher konfigurieren: unnötige Dienste abschalten, Alle passwörter ändern, (Netzwerk-(Freigaben überprüfen/sperren/mit anderem sicherem Passwort versehen)
Details gibt's u.a. hier im Board oder auf www.trojaner-info.de

- KAV von www.kaspersky.com installieren (ohne startcenter&Monitor/Guard), updaten und komplett alles scannen (AVPE-Guard dabei aus)



[ 11. Februar 2004, 20:50: Beitrag editiert von: Who Cares ]

Hallo Who Cares,

vielen Dank für Deine Mühe.
Das mit Proxyplus.exe müßte so in Ordnung sein, da wir ein hauseigenes Mininetzwerk mit 3 PCs haben. Auch das Einrichtungsdatum paßt.
Bis auf den Kaspersky habe ich alle Tests jetzt durch. Der Spybot kriegt bei Aufruf noch immer keine Anfangsseite hin, obwohl ich nochmals instaliert habe, sondern fängt nach klicken des grauen Fensterchen an und macht bei ca. 4850 schlagartig wieder zu.

Hier im Nachbarthread beschwert sich einer über Störenfriede in Outpost. Was der in einer Stunde sammelt habe ich in ein paar Minuten zusammen. Hier mal ein kleiner Auszug aus dem log der letzten Viertelstunde was grade so läuft:

12.02.04 20:05:39 Verbindungsversuch 151.38.46.189 UDP(137)
12.02.04 20:05:34 Port gescannt 81.250.173.80 TCP(445)
12.02.04 20:05:34 Verbindungsversuch 81.250.173.80 TCP(445)
12.02.04 20:04:13 Verbindungsversuch 213.122.22.28 UDP(137)
12.02.04 20:03:21 Verbindungsversuch 200.168.95.250 UDP(137)
12.02.04 20:03:08 Port gescannt 212.20.67.114 TCP(3128) TCP(3127)
12.02.04 20:03:08 Verbindungsversuch 212.20.67.114 TCP(3128)
12.02.04 20:03:06 Verbindungsversuch 212.20.67.114 TCP(3127)
12.02.04 20:02:11 Verbindungsversuch 200.82.79.221 UDP(137)
12.02.04 19:59:40 Verbindungsversuch 213.246.150.186 UDP(137)
12.02.04 19:56:17 Port gescannt 212.195.181.113 TCP(135)
12.02.04 19:56:17 Verbindungsversuch 212.195.181.113 TCP(135)
12.02.04 19:54:18 Port gescannt 68.90.57.76 TCP(445)
12.02.04 19:54:18 Verbindungsversuch 68.90.57.76 TCP(445)
12.02.04 19:54:16 Port gescannt 172.167.216.156 TCP(135)
12.02.04 19:54:16 Verbindungsversuch 172.167.216.156 TCP(135)
12.02.04 19:54:14 Port gescannt 217.132.23.111 TCP(445)
12.02.04 19:54:14 Verbindungsversuch 217.132.23.111 TCP(445)
12.02.04 19:50:10 Verbindungsversuch 201.128.67.199 UDP(137)
12.02.04 19:48:46 Port gescannt 4.41.15.142 TCP(135)
12.02.04 19:48:46 Verbindungsversuch 4.41.15.142 TCP(135)
12.02.04 19:48:19 Verbindungsversuch 63.183.81.23 UDP(137)
12.02.04 19:44:26 Port gescannt 81.67.104.218 TCP(445)
12.02.04 19:44:26 Verbindungsversuch 81.67.104.218 TCP(445)

Dann habe ich heute 61 Mails bekommen mydoom und 4 mal Bugbear.

Gruß matteo

</font><blockquote>Zitat:</font><hr />Original erstellt von matteo:


Dann habe ich heute 61 Mails bekommen mydoom und 4 mal Bugbear.

Gruß matteo </font>[/QUOTE]Mennoohh!!
Und ich krieg seit Monaten nix mehr.. Sauerei, langweilige !! [img]graemlins/kloppen.gif[/img] [img]graemlins/kloppen.gif[/img]