|
Irgendetwas stimmt nicht.. Hallo an Alle, meine Freundin hat eine Meldung erhalten, dass Sie einen Backdoor-Virus o.ä. hat. Sie hatte Norton Security installiert und jetzt deinstalliert. Nun meldet das System ganz seltsame Angaben, wie "Nort. Sec. kann nicht entfernt werden; bitte ins Admin-Konto wechseln...." Wir haben leider überhaupt keinen Plan, was wir machen können. :heulen: Helft Ihr uns bitte?? Hier das Logfile: Logfile of HijackThis v1.99.1 Scan saved at 10:08:38, on 26.05.2005 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\system32\slserv.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe C:\WINDOWS\SOUNDMAN.EXE C:\Programme\Lexmark X1100 Series\lxbkbmon.exe F:\1_99_1.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.cyberlink.com.tw/registration/registration1.asp?SoftWare=POWERDVD&Version_Num=2.55&Cd_Key=DV3X417M28947802&Company=-&FName=Benutzer&Lang=ENG O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Programme\Lexmark X1100 Series\lxbkbmgr.exe" O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min O4 - HKLM\..\Run: [Compaq32 Service Drivers] ms32.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [IS CfgWiz] C:\Programme\Gemeinsame Dateien\Symantec Shared\cfgwiz.exe /GUID NIS /CMDLINE "REBOOT" O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe O4 - HKLM\..\RunServices: [Compaq32 Service Drivers] ms32.exe O4 - HKCU\..\Run: [Compaq32 Service Drivers] ms32.exe O4 - HKCU\..\RunServices: [Compaq32 Service Drivers] ms32.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing) O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe Danke Gina _____________ Anm. Aktive Links editiert! Beachte die Hinweise dieser Anleitung: HiJackThis. LG Cidre S-Mod TB |
@Gina! Bitte deaktiviere alle Links in deinem Logfile von hijackthis! Zitat:
Poste uns danach das angegebene Logfile! |
Also ich würde folgenden Eintrag fixen : O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing) Ebenso dringend fixen: O4 - HKLM\..\Run: [Compaq32 Service Drivers] ms32.exe O4 - HKLM\..\RunServices: [Compaq32 Service Drivers] ms32.exe O4 - HKCU\..\Run: [Compaq32 Service Drivers] ms32.exe O4 - HKCU\..\RunServices: [Compaq32 Service Drivers] ms32.exe Du musst zuerst über den Task-Manager (Strg+Alt+Entf), den laufenden Prozess (ms32.exe) zunächst beenden! Dann kannste fixen! Die Datei ms32.exe würde ich suchen und dann entfernen bzw. isolieren! Mit Norton geht das ja ganz leicht..... Dein System hat sich wohl mit dem WORM_SDBOT.BWH infiziert! :pukeface: Info dazu Mach mal einen Scan mit eScan und poste den Log hier...... eScan-Toolkit -> Dazu musst du dir eScan nur downloaden, entpacken und dann kanns schon losgehen! Außerdem führe bitte einen Scan mit Spybot und Ad-Aware durch! Spybot - Search & Destroy 1.3 Ad-Aware Bei beiden Programmen handelt es sich um Freeware und sind zudem mit die besten Proggis, um Spyware, Adware und Hijacker zu entfernen! So, dann bin ich mal gespannt wie du so vorankommst und meld dich, obs gefunzt hat! |
@ Gina Das einzige was deiner Freundin wirklich weiterhilft, ist ein Neuaufsetzen des kompromittierten Systems, siehe meine Signatur. Alles ändere wäre rein spekulativ und stellt die Vertrauenswürdigkeit nicht wieder her. Die Ursache dürfte u.a. am nicht ausreichend gepatchten System und am User Verhalten zurückzuführen sein. |
herzlichen Dank für Eure Hilfestellungen. Wir haben nun eScan nach Anleitung ausgeführt - allerdings erschien kein Eintrag "logfileneu". Aber gefunden hat eScan leider jede Menge, so dass es wohl wirklich nur mit einer kompletten Neuinstallation wieder besser läuft. Das ist ja alles traurig.... :heulen: Nochmals besten Dank :bussi: Gina |
Lese in Cidres Anleitung den Teil zur Finde.bat. Danach solltest Du auch das Logfile posten können. |
@ gina Escan kannst du dir sparen, du hast einen aktiven Backdoor auf dem PC, da hilft nur neuaufsetzen und zwar nach folgender Anleitung um sowas in Zukunft zu vermeiden: http://www.trojaner-board.de/showthread.php?t=12154 Warum eine Bereinigung hier nicht hilft: http://www.mathematik.uni-marburg.de...al.html#sec2.1 |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 22:32 Uhr. |
Copyright ©2000-2025, Trojaner-Board