Hallo,

ich glaube, ich habe mir etwas eingefangen: Als ich gestern auf einer Seite war, musste ich meine Firewall deaktivieren (jaaa, nackte Frauen - ich schäme mich auch..http://www.trojaner-board.de/newthre...newthread&f=8#.) und einen Augenblick später konnte sich irgendwas nicht richtig installieren obwohl ich nichts installieren wollte, nichts geklickt habe. Ich aktivierte die Firewall sofort wieder, aber es war wohl zu spät. Seitdem habe ich bei jedem Neustart Prozess SDAXZL.EXE im Taskmanager (Nach jedem Neustart kommt einer dazu - mittlerweile drei Stück...), sowie den Prozess FEQFXX.EXE, über die ich nichts im Netz finden kann.
Norten AV findet nichts, aber beim Scannen steigt die CPU-Nutzung von SDAXZL bis auf knapp 20%, ich habe den Eindruck, als wenn er sich `verstecken´ will. Ich habe mal das HijackThis logfile angehängt. Hoffentlich kan mir jemand helfen...

Vielen Dank im Voraus,

hasomat

Logfile of HijackThis v1.98.2
Scan saved at 13:20:42, on 21.11.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\Programme\HanseNet\HanseNet-Produkte\app\TangoService.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Tech\MagicBall\1.1\LWBWHEEL.exe
C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
C:\WINNT\system32\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\winnt\system32\feqfxx.exe
C:\WINNT\system32\sdaxzl.exe
C:\WINNT\system32\sdaxzl.exe
C:\Programme\Gemeinsame Dateien\Nokia\Services\ServiceLayer.exe
D:\Installationsfiles\AntiVirustools\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windfinder.de/surfcams/surfcam_de.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Tech\MagicBall\1.1\LWBWHEEL.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Nokia\Nokia PC Suite 5\DataLayer.exe
O4 - HKLM\..\Run: [ATIPTA] atiptaxx.exe
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [qffecdas] C:\winnt\system32\feqfxx.exe
O4 - HKLM\..\Run: [vccacA] sdaxzl.exe
O4 - HKLM\..\RunServices: [vccacA] sdaxzl.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [vccacA] sdaxzl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {90A29DA5-D020-4B18-8660-6689520C7CD7} (DmiReader Class) - http://support.euro.dell.com/global/...r/PROFILER.CAB

Scanne mal hiermit im abg. Modus: http://www.trojaner-board.de/42731-escan-anleitung.html

Wo wird was gefunden?

Hallo,

überprüfe zunächst einmal folgende Dateien bei http://virusscan.jotti.org/de
und poste das Ergebnis:

C:\winnt\system32\feqfxx.exe
C:\WINNT\system32\sdaxzl.exe

Hi,

Service load:
0% 100%
File: feqfxx.exe
Status:
INFECTED/MALWARE
Packers detected:
FSG

AntiVir
TR/Proxy.Ranky.AX (0.14 seconds taken)
Avast
Win32:SdBot-266 (1.53 seconds taken)
BitDefender
Trojan.Proxy.Ranky.Gen (probable variant) (0.63 seconds taken)
ClamAV
No viruses found (0.32 seconds taken)
Dr.Web
No viruses found (0.49 seconds taken)
F-Prot Antivirus
No viruses found (0.08 seconds taken)
Kaspersky Anti-Virus
Trojan-Proxy.Win32.Ranky.az (0.65 seconds taken)
mks_vir
No viruses found (0.23 seconds taken)
NOD32
No viruses found (0.43 seconds taken)
Norman Virus Control
Sandbox: W32/Malware; [ General information ]

* File length: 22544 bytes.

[ Changes to filesystem ]
* Creates file C:\winnt\systeme.ini.

[ Changes to registry ]
* Creates value "qffecdas"="c:\sample.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".

[ Network services ]
* Downloads file from http://fvcqx.dynalias.net/a.php?25927 as c:\winnt\systeme.ini.
* Downloads file from http://gdvme.mine.nu/a.php?25927 as c:\winnt\systeme.ini.
* Downloads file from http://vhdefag.homeip.net/a.php?25927 as c:\winnt\systeme.ini.
* Downloads file from http://www.ird-gmbh.com/a.php?25927 as c:\winnt\systeme.ini.

[ Security issues ]
* Possible backdoor functionality [UNKNOWN] port 25927.

[ Process/window information ]
* Creates a mutex qdwqdqwq.
* Will automatically restart after boot (I'll be back...). (2.59 seconds taken)

Statistics
Last piece of malware found was Win32.4 in new3.exe, detected by:


Scanner Malware name Time taken
AntiVir X 0.14 seconds
Avast X 1.51 seconds
BitDefender X 0.34 seconds
ClamAV X 1.03 seconds
Dr.Web X 1.28 seconds
F-Prot Antivirus X 0.16 seconds
Kaspersky Anti-Virus X 1.74 seconds
mks_vir Win32.4 0.20 seconds
NOD32 X 0.36 seconds
Norman Virus Control Sandbox: W32/Malware 0.45 seconds




Service load:
0% 100%
File: sdaxzl.exe
Status:
INFECTED/MALWARE
Packers detected:
FSG

AntiVir
No viruses found (0.16 seconds taken)
Avast
Win32:SdBot-266 (1.51 seconds taken)
BitDefender
No viruses found (0.99 seconds taken)
ClamAV
No viruses found (0.32 seconds taken)
Dr.Web
Win32.IRC.Bot.based (0.51 seconds taken)
F-Prot Antivirus
No viruses found (0.09 seconds taken)
Kaspersky Anti-Virus
Backdoor.Win32.SdBot.gen (0.68 seconds taken)
mks_vir
No viruses found (0.23 seconds taken)
NOD32
probably unknown NewHeur_PE (probable variant) (0.42 seconds taken)
Norman Virus Control
Sandbox: W32/Malware; [ General information ]

* File length: 34816 bytes.

[ Changes to filesystem ]
* Creates file C:\WINDOWS\SYSTEM\sdaxzl.exe.

[ Changes to registry ]
* Creates value "vccacA"="sdaxzl.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".
* Creates value "vccacA"="sdaxzl.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices".
* Creates value "vccacA"="sdaxzl.exe" in key "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".

[ Network services ]
* Connects to "style666.newiso.org" on port 50987 (TCP).
* Connects to IRC Server.

[ Process/window information ]
* Creates a mutex acssd.
· Will automatically restart after boot (I'll be back...). (1.75 seconds taken)



Scheint wohl nicht gut zu sein - aber wie bekomme ich die Dinger weg ??

Danke,

hasomat]

Das sieht wirklich nicht gut aus, da es sich um Würmer mit Backdoor Funktionalität handelt. Wähle daher die für dich sicherste Variante http://www.trojaner-board.de/showpos...28&postcount=2 .

Wichtig:
Punkt 2 entfällt für dich, führe deshalb vor der ersten I-net Verbindung Punkt 4 aus.

Naja, der Sonntag ist ja gerade erst angefangen - da hat man ja noch genug Zeit...

Vielen Dank für die Hilfen,

Hasomat