Trojaner HTML.Bankfr +ständig unauthorisierte Zugriffsversuche auf eine Internetseite
 

Hallo alle zusammen,
seit Freitag versucht der Rechner zu der folgenden Seite ständig eine Verbindung aufzubauen, w*w.sunnydoll.3322.org, seitdem versuche ich die Ursache dafür zu finden. Der Rechner läuft mit Win2000.Habe mit Escan einen Trojaner gefunden : "Trojan-Spy.HTML.Bankfraud.ok. Restliche Befunde sind später noch aufgelistet.

C:\WINNT\Profiles\ADMINI~1\LOKALE~1\TEMPOR~1\Content.IE5\73WB63TN\wbk2F7.tmp infected by "Trojan-Spy.HTML.Bankfraud.ok" Virus! Action Taken: No Action Taken.

Vielleicht ist es mir schon gelungen, diesen zu löschen, bin mir aber noch nicht sicher deswegen.

Habe schon versucht den unter dem abgesichterten Modus zu löschen, auch mit hilfe des Programms Clearprog, welches aber immer ein Fehler verursacht hat, vielleicht Fehler beim Download.Ansonsten Adaware,Spybot and destroy, Norton Virus Scan, Bitdefinder, schon über den Rechner laufen lassen.

Also woran kann es liegen, dass er immer auf ***.sunnydoll.3322.org zu greifen will, (ist irgendeine chinesische Seite).Und wie kann man das Problem lösen.

Vielen dank im voraus

Ergebnise: Escan:

Object "precisionpop Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "rapidblaster Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "rapidblaster Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "midaddle Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "conducent flexpak Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "gohip Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "007guard.com hijacker Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "ezula Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "powerreg scheduler Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "powerreg scheduler Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "rapidblaster Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "rapidblaster Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "midaddle Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "conducent flexpak Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "imesh Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "gohip Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "007guard.com hijacker Spyware/Adware" found in File System! Action Taken: No Action Taken.


Logfile of HijackThis v1.99.1
Scan saved at 18:46:16, on 16.06.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\NORTON~1\NORTON~3\GHOSTS~2.EXE
C:\WINNT\System32\HLS32SVC.EXE
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
D:\oracle\ora81\bin\vppdc.exe
D:\oracle\ora81\BIN\TNSLSNR.exe
d:\oracle\ora81\bin\ORACLE.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\SymTray.exe
C:\WINNT\system32\cdplayer.exe
C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\system32\internat.exe
C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe
C:\Programme\Sharp\Sharpdesk\SharpTray.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\SHARP\Button Manager A\btnman.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Programme\KEN!\KENSERV.EXE
C:\Programme\KEN!\KENCAPI.EXE
C:\Programme\KEN!\KENINET.EXE
C:\Programme\KEN!\KENPROXY.EXE
C:\Programme\KEN!\KENMAIL.EXE
C:\Programme\KEN!\KENDNS.EXE
C:\Programme\KEN!\KENSOCKS.EXE
C:\Programme\KEN!\KENMAP.EXE
C:\Programme\KEN!\KENFTPGW.EXE
C:\Programme\KEN!\KENWATCH.EXE
C:\Programme\KEN!\KENCRON.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Netscape\Netscape\Netscp.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\WINNT\explorer.exe
C:\Programme\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h*p://www.intersearch.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h*p://home.de.netscape.com/de/home/winsearch.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h*p://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h*p://keyword.de.netscape.com/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von 1&1
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = h*p=192.***.100.10:3128;h*ps=192.***.100.10:3128;ftp=192.***.100.10:3128;socks=192.***.100.10:1080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
N1 - Netscape 4: user_pref("browser.startup.homepage", "http://messenger.de.netscape.com/de/escapes/search/ntsrchrnd-0.html"); (C:\Programme\Netscape\Users\*****\prefs.js)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Norton Internet Security 2006 - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Norton Internet Security 2006 - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [DeluxeCD] C:\WINNT\system32\cdplayer.exe -tray
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Programme\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] "C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe"
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [1&1 EasyLogin] "C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe" HIDE
O4 - HKCU\..\Run: [SharpTray] C:\Programme\Sharp\Sharpdesk\SharpTray.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Button Manager A.lnk = C:\Programme\SHARP\Button Manager A\btnman.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.h*m
O13 - WWW. Prefix: http://
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://w*w.johannrain-softwareentwicklung.de/DE/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1137667820520
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = *****
O17 - HKLM\System\CCS\Services\Tcpip\..\{CD2AF22C-D0B2-4D48-BAFE-C876E8D2EE1F}: NameServer = 192.168.114.254
O17 - HKLM\System\CCS\Services\Tcpip\..\{F1130252-8EF4-49CD-B3DC-8D6AFBF77D00}: Domain = ****
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ****
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ****
O20 - AppInit_DLLs: C:\WINNT\System32\wmfhotfix.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\ccPwdSvc.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Norton Internet Security\comHost.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: GhostStartService - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~3\GHOSTS~2.EXE
O23 - Service: HL-Server (HLServer) - Aladdin Knowledge Systems Ltd. - C:\WINNT\System32\HLS32SVC.EXE
O23 - Service: AVM KEN (KEN Service) - AVM Berlin - C:\Programme\KEN!\KENSERV.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: OracleOraHome81ClientCache - Unknown owner - D:\oracle\ora81\BIN\ONRSD.EXE
O23 - Service: OracleOraHome81DataGatherer - Oracle Corporation - D:\oracle\ora81\bin\vppdc.exe
O23 - Service: OracleOraHome81PagingServer - Unknown owner - D:\oracle\ora81/bin/pagntsrv.exe
O23 - Service: OracleOraHome81TNSListener - Unknown owner - D:\oracle\ora81\BIN\TNSLSNR.exe
O23 - Service: OracleServiceWIN - Oracle Corporation - d:\oracle\ora81\bin\ORACLE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

@WBF

Gehe ich recht in der Annahme das es sich bei deinem System um einen Firmenrechner bzw. um ein gewerblich genutztes System handelt? :zzwhip:

Gruß
Daniel

Ja hast recht, es handelt sich um ein gewerblichgenutzter Rechner, macht das irgendwelche Probleme?

Kontaktiere in diesem Fall den Systemverwalter (Admin), solltest du dies sein, wende dich an einen Vorort Service deines Vertrauens! Kein support für Gewerbetreibende...nur private Enduser.

Ein bisschen :blabla:

HI ich schließe mich dem an!

Habe das problem seit Samstag ( ist mir da aufgefallen kann aber schon zwei , drei tage länger sein ) gibt es schon eine Lösung?

@DarkWaver

Dann erstelle bitte einen eigenen Thread, indem du dein Problem genau beschreibst.
Liefere auch gleich ein Hijackthis-Log mit.

wie funktioniert das mit dem Proggie?

Hallo Leute,

habe nun mal "Manuell" aus dem Inet über mein "HeimPC" die update Dateien geladen von Kaspersky somit ist er wieder komplett auf dem neusten Stand vom 25.06.2006 und habe dann mal nach Viren suche lassen und kam zu folgendem Ergebniss:

"Backdoor.w32.sdbot.asr"
"Backdoor.w32.agent.arj"

Infizierte Dateien:
svchost.exe
kernel32.ime

WinNT/System32/Kernel32.ime

Ein Teil konnte er "Löschen / Reparierern" aber bei der Kernel Datei meinte er nach dem Neustart wäre diese weg hab dies dann getan und auch noch mal scannen lassen aber diesen findet er immer und immer wieder und halt mit der selben meldung von wegen Neustart etc....

Da dies ein Backdoor ist, gehe nach der Anleitung zur Backdoor-Entfernung in meiner Signatur vor. Halte dich genau dran. Es gibt keine Alternative. Nein, wirklich nicht!

Gruß :daumenhoc
Yopie

Heist das so viel wie Neuinstallieren?

Genau dass wollte Dir Yopie sagen. ;)
PS: Es könnte sein, dass Du über Deine nächste Telefonrechnung sehr erschrocken sein könntest.:confused:

Haben bei der Telekom so eingestellt das er ab 70 € Inet nen Limit hat das er abschaltet daher denk ich ma wird es nich soo schlimm da es ja nur 3 Tage etwa war.. und seit dem is der Stecker gezogen bis ich eine Lösung habe...