Adware Problem
 

Hallo, mein name ist Patrick und ich bin 12 jahre alt.
Ich lebe in Hanoi, Vietnam und gehe and eine Internationale (Englische) Schule.
Mein vater hat ein IBM Laptop, den er mit einem lcd bildshirm als desktop computer benutzt. Meine mutter hat mir heute in die schule eine email geschrieben, dass der computer einen virus hat. Ich hab mir den computer mal angeschaut.

Der Desktophintergrund ist verändert, drort ist statt dem normalem Win-2000-hintergrund ein englischer advertising hintergrund. Übersetzt auf deutsch steht dort:

IRH PC IST MIT SPYWARE INFIZIERT!

Alle daten auf der festplatte unlöschbar gesichert. Diese daten sind nicht nur für forensiker, auch inr chef, ihre frau und kinder haben zugang zu allen websites, alle bilder, videos und mp3s die heruntergeladen worden sind. das könnte z.b. ihre ehe zerstören, oder sie feuern.

MACHEN SIE YETZT EINEN ANTI-SPYWARE CHECK

Der hintergrund ist dunkelblau und der text ist weiß/rot

in intervallen von ca. 10 minuten öffnen sich internetexplorer mit z.b. ant-spyware downloaden (Diese Domain steht zum Verkauf oder so...) oder pornoseiten.
es ist nich der trojaner look2me, ich hab schon alle maßnahmen gegen den ausgeführt, der look2me test war aber negativ.

dann hab ich einen hijackthis test mit der portablen versiun und die datei in den namen usefullness.exe umgenannt gemacht.

Der test ist hier:



was könnte diese Adware/Spyware/trojaner sein, kann man den bekämpfen und wie?

Ich würde mich auf rasche antworten freuen

***

Sry aber die Kiste ist völlig verhurt und gehört neu aufgesetzt! Warum? Deswegen:

C:\WINNT\sysqrnxstju.exe
C:\WINNT\syssfzvakqg.exe
C:\WINNT\sysvtypkbjx.exe
C:\WINNT\sysyeabdgfp.exe
C:\WINNT\sysxhtcwbse.exe

Mit großer Sicherheit irgendwelche Netzwerkwürmer/Backdoors, die sich hervoragend auf das ungepatchte Windows 2000 einnisten und breitmachen konnten. (immerhin, das SP4 ist installiert :rolleyes:)

Da ist noch soviel andere Müll und Mist im System, daß eine Bereinigung absolute Zeitverschwendung und bloßes Herumdoktorn an Symptomen wäre. :kloppen:
Macht die Kiste platt und setzt neu auf:

Windows 2000 neu aufsetzen:

Allgemein gilt, dass man offline möglichst viele Updates einspielen sollte und erst dann zum ersten Mal ins Internet geht. Bei W2k wären das das SP4 sowie das Update Rollup 1 fürs SP4 und weitere Hotfixes in Form eines Updatepakets. In dieser Reihenfolge sollten sie installiert werden, dazwischen jew. ein Neustart:

1.) SP4
2.) UR1
3.) Updatepaket

Die Updates/Service Packs musst du dir vorher von einem sauberen Rechner besorgen und auf CD brennen, damit der frisch aufgesetzte Rechner offline aktualisiert werden kann. Erst wenn diese Updates eingespielt sind, kannst du rel. gefahrlos eine Internetverbindung aufbauen - ist der W2k-Rechner aber nicht hinter einem Router, empfiehlt es sich nach dem Einspielen der Updates unnötige Dienste zu beenden, da W2k anders wie XP keine Windows-Firewall hat.

M.W. benötigt W2k auch noch eine Aktualisierung auf IE6 (IE7 läuft unter W2k nicht!), da es nur standardmäßig mit IE5 ausgestattet ist. Besuch dazu, wenn alle Maßnahmen zur Absicherung durchgeführt worden sind, die Windows-Update-Seite mit dem IE.

Richte aber als Standardbrowser eine sicherere Alternative ein, wie z.B. Opera oder Mozilla Firefox.

Falls du eine bebilderte Beschreibung für die Installation von W2k brauchst, findest du sie hier => Windows 2000 Pro Installation

@sternensucht

Ich habe deinen Beitrag, bezüglich des Entfernens der legitimen TCP/IP-Verbindung (O17-Einträge im Hijacklog) und der englischen Übersetzung, editiert.

Ich bitte dich zukünftig nur dann Bereinigungsschritte zu empfehlen, wenn diese auch absolut plausibel und korrekt sind.
Denn die Hilfesuchenden brauchen nicht noch mehr Probleme.

Auch eine englische Übersetzung deines Bereinigungsvorganges ist hier nicht von Nöten, zumal der Hilfesuchende sichtlich der deutschen Sprache mächtig ist. ;)

Sunny

Bei Firmen-PCs gibts normal keinen Support oder?

Ich hatte mir das hijachthis log gestern noch mal naäher angeschaut, und bin auch auf diese

O4 - HKLM\..\Run: [{A4C928E8-0ABA-4fd3-83DF-23BE54ADF9A4}] "C:\WINNT\sysqrnxstju.exe"
O4 - HKLM\..\Run: [{78B578D7-BCE1-4d83-9CD4-195BC34D8CB3}] "C:\WINNT\syssfzvakqg.exe"
O4 - HKLM\..\Run: [1234klsjdc uiar924c af] "C:\WINNT\sysvtypkbjx.exe"
O4 - HKLM\..\Run: [{F758F78B-0885-490e-AA3C-4A38D28B0240}] "C:\WINNT\sysyeabdgfp.exe"
O4 - HKLM\..\Run: [{2C70168B-97CE-4f31-B85D-1FEC5002721D}] "C:\WINNT\sysxhtcwbse.exe"

gestossen.
Weil ich nich wusste wie man die lösch hab ich das einfach mal per taskmanager ausgeschalter und dann per cmd DEL C:\WINNT\name.exe gelöscht. Was mich bei dem virus/adware/wassauchimmer irritiert hatte, ist dass immer wenn ich den hintergrund verändere, und der virus setzt den wieder zurück zu der webung ist unten rechts in der liste auch ein windows-vista-sicherheitslogo, das vorher noch nie da war. aber der virus hat sich in c:\winnt geschrieben, ein verzeichnis, was bei vista garnicht vorhanden ist. als ich per taskmanager diese fünf dateien ausgeschaltet habe, ist das logo auch verschwunden. nachdem ich die dateien gelöscht hatte, hat sich der desktop hintergrund nicht zu dieser werbung umgeschaltet, auch nicht nach einem neustart.

Auf dem rechner ist Opera Portable, das hab ich mal da drauf gemacht un dmeinen eltern vorgeführt. Seitdem benutzen wir Opera Portable als standartbrowser. Fragt mich nicht warum opera Portable, ich hatte damals einfachkeinen bock opera richt zu installieren.

Es gibt bei firmen PC's schon support, aber ich lebe in vietnam (indochina), und hier sind grade Pentium III in mode. Hier in vietnam gibt es einfach nicht so viele IT fachkräfte.