Hi,

auf dem Rechner waren 8 verschiedene Trojaner.
Nach escan im a. Modus und deaktivierter Systemwiederhersellung möchte ich hier gerne von euch den log von HijackThis bewerten lassen.
Die automatische Auswertung war sehr fragwürdig.

Danke

Gruß
Marco

Edit:

Voll verplant

Logfile of HijackThis v1.98.2
Scan saved at 18:19:39, on 11.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\1&1 Programme\cFos\cFosDNT.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Teledat\TelFax32.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL MODEM\dslmon.exe
C:\Programme\Teledat USB 2 ab\Teledatkonf.exe
C:\Programme\Palm\palm.exe
C:\SFIRM32\SFAutomat.exe
C:\Programme\Palm\HOTSYNC.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\ralf\LOKALE~1\Temp\Rar$EX00.893\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://v5.windowsupdate.microsoft.co...r/default.aspx
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOKUME~1\ralf\Desktop\Marco\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\printray.exe
O4 - HKLM\..\Run: [cFosDNT] C:\Programme\1&1 Programme\cFos\cFosDNT.exe
O4 - HKLM\..\Run: [SfWinStartInfo] C:\SFIRM32\sfWinStartupInfo.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: PowerReg SchedulerV2.exe
O4 - Startup: HotSync Manager.lnk = C:\Programme\Palm\HOTSYNC.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: TelFax32.lnk = C:\Programme\Teledat\TelFax32.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Teledatkonf.lnk = C:\Programme\Teledat USB 2 ab\Teledatkonf.exe
O4 - Global Startup: Palm Desktop (2).lnk = C:\Programme\Palm\palm.exe
O4 - Global Startup: SFIRM32 Automat.lnk = C:\SFIRM32\SFAutomat.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0F5686F9-B889-4669-8442-7132DBC35513} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0F5686F9-B889-4669-8442-7132DBC35513} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O15 - Trusted Zone: http://www.firefox-browser.de
O15 - Trusted Zone: http://www.garh.de
O16 - DPF: {C94BFF60-7315-11D2-A844-0060086FEFD7} (Internet Banking und Brokerage) - http://www.izb-hb.de/KSSPK_Erding/SBrokerageinstV18.cab


escan folgt erst morgen, muss unbedingt weg

Sorry

Jaha, den log sollten wir aber dann auch sehen....
und das Ergebnis des eScan wäre auch interessant...

Danke für die Geduld

hier der Log von eScan des betroffenen Rechners (per eMail, da Rechner eines Bekannten)

[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:11:325 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:11:325 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:12:217 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:12:217 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:12:217 :TimeOut : ffffffff
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:12:217 :Priority : NORMAL
[msvLclnt.dll] [0x00000688] 11/11/2004 18:51:12:727 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x00000518] 11/11/2004 18:52:52:661 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x00000688] 11/11/2004 18:53:42:773 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:20:534 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:20:534 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:21:976 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:21:976 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:21:976 :TimeOut : ffffffff
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:21:976 :Priority : NORMAL
[msvLclnt.dll] [0x0000036c] 11/11/2004 18:55:22:526 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:124 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:124 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:975 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:975 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:975 :TimeOut : ffffffff
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:56:975 :Priority : NORMAL
[msvLclnt.dll] [0x000006e8] 11/11/2004 18:58:57:365 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000000dc] 11/11/2004 19:00:18:272 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000006e8] 11/11/2004 19:00:23:489 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:07:009 :ModuleName = C:\bases\mwavscan.com
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:07:009 :Registry Key Deleted Properly!!!
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:08:331 :Options Set by External applications mwavscan.com are 9896960 (0x970400):
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:08:331 :Mode :PACKED,ARCHIVED,CA,WARNINGS,MAILPLAIN
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:08:341 :TimeOut : ffffffff
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:08:341 :Priority : NORMAL
[msvLclnt.dll] [0x000006ac] 11/11/2004 19:07:08:852 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000004a4] 11/11/2004 19:16:35:146 :[00000001] File C:\Programme\Totalcommander\VNC\vnc-3.3.7-x86_win32.exe infected by not-a-virus:RiskWare.RemoteAdmin.WinVNC-Based.c
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:15:37:956 :[00000001] File C:\Dokumente und Einstellungen\ralf\Startmenü\Programme\Radmin\AdmDll.dll infected by not-a-virus:RiskWare.RemoteAdmin.RAdmin.21
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:15:38:126 :[00000001] File C:\Dokumente und Einstellungen\ralf\Startmenü\Programme\Radmin\raddrv.dll infected by not-a-virus:RiskWare.RemoteAdmin.RAdmin.22
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:15:38:687 :[00000001] File C:\Dokumente und Einstellungen\ralf\Startmenü\Programme\Radmin\radmin.exe infected by not-a-virus:RiskWare.RemoteAdmin.RAdmin.21
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:16:01:159 :[00000001] File C:\Dokumente und Einstellungen\ralf\Lokale Einstellungen\Temp\wu.exe infected by not-a-virus:AdWare.SaveNow.z
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:20:50:615 :[00000001] File C:\Dokumente und Einstellungen\ralf\Desktop\r_server.exe infected by not-a-virus:RiskWare.RemoteAdmin.RAdmin.21
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:706 :[00000001] File C:\!Submit\pk_zip1.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:746 :[00000001] File C:\!Submit\pk_zip2.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:786 :[00000001] File C:\!Submit\pk_zip3.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:836 :[00000001] File C:\!Submit\pk_zip4.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:876 :[00000001] File C:\!Submit\pk_zip5.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:916 :[00000001] File C:\!Submit\pk_zip6.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:956 :[00000001] File C:\!Submit\pk_zip7.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:30:996 :[00000001] File C:\!Submit\pk_zip8.log infected by I-Worm.NetSky.aa
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:31:016 :[00000001] File C:\!Submit\hosts infected by Trojan.Win32.StartPage.jv
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:31:106 :[00000001] File C:\!Submit\winhelp.chm infected by Trojan.Win32.Dialer.ce
[msvLclnt.dll] [0x000004a4] 12/11/2004 09:23:31:336 :VirusCount = 107503 Latest Date = 2004/10/26
[msvLclnt.dll] [0x000006ac] 12/11/2004 10:34:20:136 :VirusCount = 107503 Latest Date = 2004/10/26


War das der richtige Log?


Vielen Dank für alles

Gruß
Marco

Lest Euch mal erst das hier komplett durch.
Dann
das , hier wird auf die Kennung durch Symantec verwiesen = Backdoor-Trojaner
Dann das .
Laßt jetzt erst mal AdAware SE laufen, dann clearprog, dann wieder einen escan und Ergebnis neu reinstellen.; wobei ich ehrlich gesagt, bei Backdoor-Trojanern eher das System neu aufsetzen würde. Ich würde aber auch mal charlie1 nach seiner Meinung fragen.

danke für die hilfe cacatoa,

leider komm ich erst am mo oder die an den rechner, da er im geschäft meines freundes steht.

schönes wochenende

ciao marco

Hi zusammen,

anbei der Log, sowie eScan

Logfile of HijackThis v1.98.2
Scan saved at 17:51:20, on 15.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\wanmpsvc.exe
C:\Programme\1&1 Programme\cFos\cFosDNT.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL MODEM\dslmon.exe
C:\Programme\Palm\HOTSYNC.EXE
C:\Programme\hijackthis1982\HijackThis.exe
C:\WINDOWS\System32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://v5.windowsupdate.microsoft.co...r/default.aspx
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOKUME~1\ralf\Desktop\Marco\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\printray.exe
O4 - HKLM\..\Run: [cFosDNT] C:\Programme\1&1 Programme\cFos\cFosDNT.exe
O4 - HKLM\..\Run: [SfWinStartInfo] C:\SFIRM32\sfWinStartupInfo.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: PowerReg SchedulerV2.exe
O4 - Startup: HotSync Manager.lnk = C:\Programme\Palm\HOTSYNC.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: TelFax32.lnk = C:\Programme\Teledat\TelFax32.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Teledatkonf.lnk = C:\Programme\Teledat USB 2 ab\Teledatkonf.exe
O4 - Global Startup: Palm Desktop (2).lnk = C:\Programme\Palm\palm.exe
O4 - Global Startup: SFIRM32 Automat.lnk = C:\SFIRM32\SFAutomat.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0F5686F9-B889-4669-8442-7132DBC35513} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0F5686F9-B889-4669-8442-7132DBC35513} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O15 - Trusted Zone: http://www.firefox-browser.de
O15 - Trusted Zone: http://www.garh.de
O16 - DPF: {C94BFF60-7315-11D2-A844-0060086FEFD7} (Internet Banking und Brokerage) - http://www.izb-hb.de/KSSPK_Erding/SBrokerageinstV18.cab



Mon Nov 15 17:09:59 2004 => ***** Scanning complete. *****

Mon Nov 15 17:09:59 2004 => Total Files Scanned: 48528
Mon Nov 15 17:09:59 2004 => Total Virus(es) Found: 15
Mon Nov 15 17:09:59 2004 => Total Disinfected Files: 0
Mon Nov 15 17:09:59 2004 => Total Files Renamed: 0
Mon Nov 15 17:09:59 2004 => Total Deleted Files: 0
Mon Nov 15 17:09:59 2004 => Total Errors: 31
Mon Nov 15 17:09:59 2004 => Time Elapsed: 00:49:44
Mon Nov 15 17:09:59 2004 => Virus Database Date: 2004/11/15
Mon Nov 15 17:09:59 2004 => Virus Database Count: 109526

Mon Nov 15 17:09:59 2004 => Scan Completed.

Mon Nov 15 17:11:53 2004 => Virus Database Date: 2004/11/15
Mon Nov 15 17:11:53 2004 => Virus Database Count: 109526
Mon Nov 15 17:11:57 2004 => AV Library Unloaded (3)...


Danke für die Auswertung

Gruß
Marco

Von eScan fehlen noch die "infected" files, die solltest Du bitte noch mit rein posten!

Ich bin auch so doof,

lass bei dem Rechner nochmal eScan laufen und werde morgen Vormittag wieder posten.
Ad-Aware SE und Clearprog hab ich heute laufen lassen.
Werde aber morgen abend das System wohl neu aufsetzen, aber besser mit SP2.
Naja, wohl lieber erst abwarten, was ihr noch sagt.

Danke für Deine Hilfe cacatoa

Gruß
Marco

Mon Nov 15 17:09:59 2004 => Total Virus(es) Found: 15

--> bitte angeben wie folgt: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

C:\!Submit\pk_zip1.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip2.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip3.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip4.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip5.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip6.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip7.log infected by I-Worm.NetSky.aa
C:\!Submit\pk_zip8.log infected by I-Worm.NetSky.aa

--> Cleaner - Programm Anti W32.NetSky (alle Varianten) runterladen, Rechner damit scannen und reinigen!

C:\!Submit\winhelp.chm infected by Trojan.Win32.Dialer.ce

--> auf Diskette sichern (Dialer-Hinweis).

SD

Hi,

ich habe euren Rat befolgt (Dialer sichern, etc.)
Leider braucht mein Kumpel den Rechner wieder und beschloss, den Rechner von mir zu formatieren und neu aufzusetzen.

Ich bedanke mich bei sehr bei cacatoa und Shadowdance


Gruß
Marco

Hallo Maxinator,

um neu aufzusetzen empfiehlt es sich, dies vorher gründlich durch zu arbeiten: Cidre's Rat.

SD