Trojaner-Board - Z- Demon HILFE !!!!!

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Z- Demon HILFE !!!!! (https://www.trojaner-board.de/13431-z-demon-hilfe.html)

Z- Demon HILFE !!!!!

Ich habe ein backdoor virus oder so, der sich nennt Z-Demon!!!!
Der sack bewirkt das alle sekunden auf mein pc gehackt wird meine firewall zeigt es mir an (siehe bild www.p2fight.de/Unbenannt.JPG).
Ich bitte euch ganz doll drum hilft mir !!!!! bitte !!!!!
Über google habe ich dazu was gefunden aber habe nicht durchgeblickt Please HELP ME.
Ich hab alles durchlaufen lassen antivir ad aware spybot.
Die finden nix.
spybot zeig es mir zwar an aber (siehe bild www.p2fight.de/Unbenanntgjh.JPG).
Aber wenn ich mir so die ip´s angucke dann wirds ma schlecht ich hab hier so wie es aussieht 1600 hacks am tag mehr werden ja nicht angezeigt lol.
ALSO PLEASE HILFT MIR,ich glaube ihr hatte denn bestimmt auch schon mal.

Bitte sagt mir wie ich denn Demon entfernen kan :o

Z-Demon ist ein RAT, falls du dir das unbeabsichtigt installiert hast und es dein eigener, nichtadministrierter Rechner ist, musst du sowieso neu installieren.

Poste erstmal ein HJT-Log:

http://www.hijackthis.de/forum/showthread.php?t=17

Ok hier die log daten:

Logfile of HijackThis v1.99.0
Scan saved at 18:04:58, on 07.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Razer\razertra.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Razer\razerofa.exe
C:\Programme\Razer\razerhid.exe
C:\Programme\Mousometer\mousometer.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Teamspeak2_RC2\TeamSpeak.exe
D:\Programme\Valve\Steam\Steam.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Winamp\Winamp.exe
C:\Programme\NVIDIA Corporation\NvMixer\nvmixer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\STURMGEIST\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programme\GetRight\xx2gr.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [razertra] C:\Programme\Razer\razertra.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Mousometer.lnk = C:\Programme\Mousometer\mousometer.exe
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?link...38&clcid=0x409
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-17.cab
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105285850312
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A98B0E89-A21C-48D3-81A5-699527D00107}: NameServer = 195.50.140.252 195.50.140.250
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sygate Personal Firewall Platinum - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Und was kann man jetzt an der Liste gucken ?

Hallo SturmgeistSX,

lies das mal: Spybot.
Benutze auch die Suchfunktion des Boards. Zum Thema DSO Exploit gibt es jede Menge.

dartus

JO die DSO dinger die hab ich schon weg is halt nur noch der DEMON :teufel3:

der muss weg dat is wichtiger

Aus deinem HJT Log-File ist leider nichts ersichtlich. Führe deshalb dies aus und versorge uns mit den nötigen Infos ->

Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

hm so eine virus log datei hab ich net bekomen nur MWAV datei
also mehr hat er mir an listen nicht angezeigt.
Also das war das was ganz unten in der Liste steht.

Wed Feb 09 18:09:57 2005 => ***** Checking for specific ITW Viruses *****
Wed Feb 09 18:09:57 2005 => Checking for Welchia Virus...
Wed Feb 09 18:09:57 2005 => Checking for LovGate Virus...
Wed Feb 09 18:09:57 2005 => Checking for CodeRed Virus...
Wed Feb 09 18:09:57 2005 => Checking for OpaServ Virus...
Wed Feb 09 18:09:57 2005 => Checking for Sobig.e Virus...
Wed Feb 09 18:09:57 2005 => Checking for Winupie Virus...
Wed Feb 09 18:09:57 2005 => Checking for Swen Virus...
Wed Feb 09 18:09:57 2005 => Checking for JS.Fortnight Virus...
Wed Feb 09 18:09:57 2005 => Checking for Novarg Virus...
Wed Feb 09 18:09:57 2005 => Checking for Pagabot Virus...
Wed Feb 09 18:09:57 2005 => Checking for Parite.b Virus...
Wed Feb 09 18:09:57 2005 => Checking for Parite.a Virus...

Wed Feb 09 18:09:57 2005 => ***** Scanning complete. *****

Wed Feb 09 18:09:57 2005 => Total Files Scanned: 37574
Wed Feb 09 18:09:57 2005 => Total Virus(es) Found: 0
Wed Feb 09 18:09:57 2005 => Total Disinfected Files: 0
Wed Feb 09 18:09:58 2005 => Total Files Renamed: 0
Wed Feb 09 18:09:58 2005 => Total Deleted Files: 0
Wed Feb 09 18:09:58 2005 => Total Errors: 2
Wed Feb 09 18:09:58 2005 => Time Elapsed: 00:15:15
Wed Feb 09 18:09:58 2005 => Virus Database Date: 2005/02/09
Wed Feb 09 18:09:58 2005 => Virus Database Count: 117589

Wed Feb 09 18:09:58 2005 => Scan Completed.

Also wenn das nix bringt erklär pls noch mal wie geht wo ich die exe herkrieg.
weil die exe wird nicht installt sondern die ist gepackt.
Und ja ich hab da halt kein ordner wie du meintest.

@SturmgeistSX
hast du wirklich alle HD's scannen lassen?
Total Files Scanned: 37574
bei mir sind es über 100000
hast du auch das häkchen bei all drives gesetzt?
chaosman

äm nöe ^^ lol jo ok mahc ich gleich mal ^^

Zitat:

Also wenn das nix bringt erklär pls noch mal wie geht wo ich die exe herkrieg.
weil die exe wird nicht installt sondern die ist gepackt.
Und ja ich hab da halt kein ordner wie du meintest.

Du musst die Links schon lesen, dann sollte dir die Vorgehensweise auch klar sein!

Zitat:

Die herunterzuladene Datei mwav.exe ist ca. 4,5 MB groß.

Aktualisieren von eScan

Mit Hilfe von Winzip, Winrar oder einem vergleichbaren Packprogramm muss der Inhalt der mwav.exe per Rechtsklick auf die Datei in das Verzeichniss c:\bases entpackt werden. Damit das Aktualisieren funktioniert, muss zwingend dieser Pfad verwendet werden! Nach dem Entpacken ist die Datei kavupd.exe bei einer bestehenden Internetverbindung per Doppelklick auszuführen. In einer DOS-Box laufend werden die neusten Virensignaturen heruntergeladen. So braucht man eScan nicht bei jedem Update komplett herunterladen.

Ich hab e die runter geladen aber der hat extra nen download ordener angelegt ? muss ich denn jetzt da rein packen wo ich das entpackt habe ?

Hi SturmgeistSX,

wenn Du den ordner c: bases angelegt hat, werden die neuen Definitionen automatisch vom neu angelegten ordner c: downloads nach dem update rübergereicht.
Darum ist es wichtig einen Ordner c. bases anzulegen.

dartus