Hilfe bei mir passiert was (Worm/RBot.15872 ???)
 

Hi,

ich habe folgendes Problem :
beim starten des Computers greift irgendein Programm auf Diskete(A: Lauftwerk) und dann wird auch versucht online zu gehen.

HijackThis liefert folgendes:

Logfile of HijackThis v1.99.1
Scan saved at 10:19:09, on 23.02.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Programms\AV_Vra4\AVGUARD.EXE
C:\WINDOWS\System32\khooker.exe
C:\Programme\FreePDF\FreePDFA.exe
D:\Programms\AV_Vra4\AVGNT.EXE
D:\Programms\AV_Vra4\AVWUPSRV.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
D:\Programms\Microsoft Office\Office10\EXCEL.EXE
D:\Programki\SmartSurfer2.3\SmartSurfer.exe
C:\WINDOWS\sllights.exe
C:\WINDOWS\System32\tftp.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\Dokumente und Einstellungen\qwerty\Desktop\test.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = QWERTY
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programms\Acrobat\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Programms\AV_Vra4\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~2\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9EB4B636-4846-4A6D-97AD-F0DD916ABF0A}: NameServer = 195.129.111.50 195.129.111.49
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programms\AV_Vra4\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programms\AV_Vra4\AVWUPSRV.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

wenn ich online gehe läuft svchost.exe nach etwa 5 min auf 100%

Jotti's malware scan 2.42 sagt, dass svchost.exe in Ordnung ist

im offline betrieb liefer e-scan auch nichts,

doch AntiVier meldet nach langer überlegung(etwa 30 min)
in TFTP3732 Signatur des Wurmes Worm/RBot.15872

was kann ich dagegen tun?

Danke

qwerty

Wenn dir Antivir schon einen RBot meldet, dann gibt´s nur eines:
System neu aufsetzen.
Bei Backdoors dieser Art gibt es keine andere Antwort. Leider.
cacatoa

Danke cocatoa,
doch das habe ich vor einer Woche genau wegen dieses Problems gatan. dann gehe ich online und schluss. wie kann ich mich schützen?

welches Update?

ich habe kein sp1 oder sp2, da mein Laptop zu langsam ist und HDD zu lkein.
ich mache nur updates, doch welcher brauche ich, ich kann nichts finden.

qwerty

Hallo, qwerty,
ohne zumindest die Sicherheitsupdates wirst du immer wieder Probleme haben.
Du kannst das update auf SP2 auch von Microsoft kostenlos auf CD haben. Ist die Festplatte wirklich so klein, daß Du kein SP draufbringst?
Hast du beim Neuaufsetzen Format C:\ gemacht, oder nur XP neu installiert?
Die wichtigsten Tipps zum Neuaufsetzen findest du in dem Link von mir im letzten post.
Außerdem das hier lesen und das System nach dingens.org konfigurieren.
Virenscanner ständig up to date halten und nicht alles anclicken, was nicht bei "drei" auf den Bäumen ist.
cacatoa

Hallo cacatoa,

hab jetzt Windows neu aufgesetzt.
bis jetzt alles Ok.

doch das SNMP Dienst greift beim Windowsstart(noch bevor ich Benutzerkonto auswähle) zwei mal auf Diskatenlauftwerk.
was macht er da, und wozu?

kann ich SNMP Dienst abschalten?

danke

qwerty

Lies mal hier und Du wirst sehen, ist nichts schlimmes.
cacatoa