profi sucht hilfe: unkillbarer trojaner

gruad

Also das überfordert mich. HiJackThis, S&D und adaware und norton AV in den neuesten versionen finden nichts mehr und der rechner poppt alle 30 sekunden ein fenster auf, ob ich nicht einen dialer, einen anitspambot und was weiss ich installieren will.

Am Desktop des infizierenden users waren einen haufen exe's:

./elite.exe
./test.exe
./gam.exe
./redir.exe
./rmtct.exe
./over.exe
./ade.exe
./wowe.exe
./xexx.exe
./herovdfan.exe

und ebenfalls beiteiligt war eine lib namens rundlg32, die auf einen exploit hinweist, die ich aber auch schon lange gelöscht habe.

was auch noch passiert, ist dass eine der oben gelisteten exe ständig ein error-win produziert, weils die RASAPI32.DLL nicht findet (am system ist kein RAS installiert) Ich finde aber am ganzen system keine exes mehr mit diesem namen ..

ich blick nimmer durch ...
danke
peter


Logfile of HijackThis v1.98.2
Scan saved at 15:06:45, on 04.10.04
Platform: Windows NT 4 SP6 (WinNT 4.00.1381)
MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolss.exe
C:\tools\net\ataman\atrls.exe
c:\tools\disk\norton\navapsvc.exe
c:\tools\disk\norton\npssvc.exe
c:\tools\system\ntsu\RunAsSrv.exe
C:\WINNT\system32\RpcSs.exe
C:\tools\net\vnc\WinVNC.exe
C:\tools\disk\diskeeper\DKService.exe
C:\WINNT\System32\PGPsdkServ.exe
c:\winnt\system32\pstores.exe
C:\WINNT\System32\AtSvc.Exe
C:\tools\system\pgp\PGPservice.exe
c:\tools\disk\norton\alertsvc.exe
C:\WINNT\System32\nddeagnt.exe
C:\WINNT\Explorer.exe
C:\WINNT\System32\loadwc.exe
C:\WINNT\System32\windows\services.exe
C:\WINNT\System32\internat.exe
C:\tools\disk\norton\navapw32.exe
C:\WINNT\system32\TASKMGR.EXE
C:\WINNT\EXPLORER.EXE
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\WINNT\System32\ddhelp.exe
C:\WINNT\explorer.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\WINNT\explorer.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
C:\PROGRA~1\Plus!\MICROS~1\iexplore.exe
\SERVER\software\tools\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.coolsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.coolsearch.biz/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.local:3128
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 192.168.0.1;192.168.1.1;192.168.10.1;<local>
F2 - REG:system.ini: UserInit=userinit,nddeagnt.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NPS Event Checker] c:\tools\disk\norton\npscheck.exe
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [WinVNC] "C:\tools\net\vnc\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [BrowserWebCheck] loadwc.exe
O4 - HKLM\..\Run: [Windows] C:\WINNT\System32\windows\services.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Startup: startup.bat
O4 - Startup: taskmanager.lnk = system32\TASKMGR.EXE
O4 - Global Startup: Norton AntiVirus AutoProtect.lnk = C:\tools\disk\norton\navapw32.exe
O8 - Extra context menu item: QuickDefine - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EDDEFINE.HTM
O8 - Extra context menu item: QuickTranslate - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EDTRANS.HTM
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Common Files\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O13 - WWW. Prefix: http://
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 192.168.0.1 192.168.0.10
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 192.168.0.1 192.168.0.10