Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   hilfe bitte (https://www.trojaner-board.de/8672-hilfe-bitte.html)

helge73 21.10.2004 19:32

hilfe bitte
 
hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

hab schon ein wenig im forum gelesen, die letzten windows-updates gemacht.
anbei mein log:

StartupList report, 21.10.2004, 20:06:13
StartupList version: 1.52.2
Started from : C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.EXE
Detected: Windows 2000 SP4 (WinNT 5.00.2195)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe
C:\WINNT\system32\taskmgr.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\HijackThis.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINNT\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Zone Labs Client = "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

--------------------------------------------------

Shell & screensaver key from C:\WINNT\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=(Kein)
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Download Program Files:

[Update Class]
InProcServer32 = C:\WINNT\System32\iuctl.dll
CODEBASE = http://v4.windowsupdate.microsoft.co...281.4199305556

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe


--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

Network.ConnectionTray: C:\WINNT\system32\NETSHELL.dll
WebCheck: C:\WINNT\system32\webcheck.dll
SysTray: stobject.dll

--------------------------------------------------
End of report, 3.341 bytes
Report generated in 0,016 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only


kann mir wer von euch einen tip geben, wie ich das system wieder sauber bekomme?

thx!

warhawk 21.10.2004 19:52

Zitat:

Zitat von helge73
hi,
habe mein system neu aufgesetzt, heute waren die chello-heinis da und haben mich angeschlossen.
denke, dass ich jetzt einen trojaner habe, da rechner noch keinen schutz hatte! (nackertes w2k ohne SP, kein virenscan + firewall)

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

PendingFileRenameOperations: C:\WINNT\system32\MSlti64.exe||C:\WINNT\system32\csrs.exe

thx!

hab nur kurz drueber geschaut, und PendingFileRenameOperations Anweisungen find ich verdaechtig....

Gruss
Michael
:headbang:

Reddy 21.10.2004 19:55

Hallo,

hm wäre hilfreicher gewesen wenn du gleich ein HijackThis-Log gepostet hättest:

-> http://www.trojaner-board.de/51130-a...ijackthis.html

Bis dahin würde ich sagen, überprüfe mal diese Kandidaten:

C:\WINNT\system32\MSlti64.exe
C:\WINNT\system32\csrs.exe

hier:

http://www.kaspersky.com/de/remoteviruschk.html

Edit: Mist, erstes Posting und schon zu spät... :heulen:

Passat2002 21.10.2004 20:00

hi

http://www.ikarus-software.at/portal...door.Agobot.NI

Cidre 21.10.2004 20:01

Zitat:

C:\WINNT\system32\MSlti64.exe
W32/Agobot-LZ
Zitat:

C:\WINNT\system32\csrs.exe
W32/Agobot-NI

Zitat:

Der Trojaner läuft kontinuierlich im Hintergrund und ermöglicht Backdoor-Zugriff auf den Computer.
Der Trojaner versucht, verschiedene Antiviren- und Sicherheitsprogramme zu beenden und zu deaktivieren.
Du solltest dein System abermals neu aufsetzen, aber diesesmal dementsprechend VOR der I-net Verbindung absichern.
http://www.dingens.org/

Passat2002 21.10.2004 20:32

hi

raman hat hier einiges zusammengeschrieben, wie man ein system neu aufsetzen sollte
http://board.protecus.de/showtopic.p...me=1098278737&
Anleitung groesstenteils von MountainKing uebernommen


Alle Zeitangaben in WEZ +1. Es ist jetzt 15:13 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55