hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

hab schon ein wenig im forum gelesen, die letzten windows-updates gemacht.
anbei mein log:

StartupList report, 21.10.2004, 20:06:13
StartupList version: 1.52.2
Started from : C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.EXE
Detected: Windows 2000 SP4 (WinNT 5.00.2195)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe
C:\WINNT\system32\taskmgr.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINNT\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Zone Labs Client = "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

--------------------------------------------------

Shell & screensaver key from C:\WINNT\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=(Kein)
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Download Program Files:

[Update Class]
InProcServer32 = C:\WINNT\System32\iuctl.dll
CODEBASE = http://v4.windowsupdate.microsoft.co...281.4199305556

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe


--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

Network.ConnectionTray: C:\WINNT\system32\NETSHELL.dll
WebCheck: C:\WINNT\system32\webcheck.dll
SysTray: stobject.dll

--------------------------------------------------
End of report, 3.341 bytes
Report generated in 0,016 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only


kann mir wer von euch einen tip geben, wie ich das system wieder sauber bekomme?

thx!

Zitat von helge73

hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe

thx!

hab nur kurz drueber geschaut, und PendingFileRenameOperations Anweisungen find ich verdaechtig....

Gruss
Michael

Hallo,

hm wäre hilfreicher gewesen wenn du gleich ein HijackThis-Log gepostet hättest:

-> http://www.trojaner-board.de/51130-a...ijackthis.html

Bis dahin würde ich sagen, überprüfe mal diese Kandidaten:

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

hier:

http://www.kaspersky.com/de/remoteviruschk.html

Edit: Mist, erstes Posting und schon zu spät...

hi

http://www.ikarus-software.at/portal...door.Agobot.NI

C:\WINNT\system32\MSlti64.exe

W32/Agobot-LZ

C:\WINNT\system32\csrs.exe

W32/Agobot-NI

Der Trojaner läuft kontinuierlich im Hintergrund und ermöglicht Backdoor-Zugriff auf den Computer.
Der Trojaner versucht, verschiedene Antiviren- und Sicherheitsprogramme zu beenden und zu deaktivieren.

Du solltest dein System abermals neu aufsetzen, aber diesesmal dementsprechend VOR der I-net Verbindung absichern.
http://www.dingens.org/

hi

raman hat hier einiges zusammengeschrieben, wie man ein system neu aufsetzen sollte
http://board.protecus.de/showtopic.p...me=1098278737&
Anleitung groesstenteils von MountainKing uebernommen