Trojaner-Board - Virus in svchost.exe -k netsvcs?

Hallo zusammen!

Ich bin eine von mehreren IT-Krankenschwestern an einer Hochschule... Seit gestern haben wir an unseren public PCs das Problem, dass die User nicht mehr ins Internet können (Browser melden "Seite kann nicht angezeigt werden", Programme können sich nicht updaten etc.).

Wenn der Task svchost.exe beendet wird, funktioniert vorerst wieder alles.

Wir vermuten derzeit einen Virus, haben aber im Internet bisher noch keinen Hinweis gefunden. Wir benutzen Sophos, doch dieser findet nix. Scans mit Malwarebytes, Spybot und gänigen Online Scannern, brachten auch kein Ergebnis. Die svchost.exe aus dem System32-Order ist laut Virus-Total clean.

Es gibt jedoch auf jedem betroffenen Rechner einen unbekannten Dienst, der sich automatisch startet. Der Name ist irgendein Kauderwelsch, auf jedem Rechner anders. Hier einige Beispiele: zcxqlk, mvoqh, kuzqrswmx, tioaqkqf... Anbei Screenshots (von zwei verschiedenen PCs):

http://www.garage81.com/trojanerboard/viru_1.jpg

http://www.garage81.com/trojanerboard/virus_2.jpg

Unter diesen Namen findet man auf der Festplatte nichts. Die Registrierung weist aber Einträge auf, u.a.:

http://www.garage81.com/trojanerboard/virus_1.jpg

Und bei manchen Rechnern wird der Kauderwelsch-Name bei netsvcs eingetragen:

http://www.garage81.com/trojanerboard/viruss_1.jpg

Hier heißt er übrigens "dupry":

http://www.garage81.com/trojanerboard/viruss_2.jpg

Wir haben nun die Einträge in der Registry soweit es ging von Hand gelöscht, danach startet sich der Dienst nicht mehr, weil ihm die Einträge fehlen. Dann noch eine "Bereinigung" mit CCleaner, Neustart, danach ist der Internetzugang wieder möglich.

So toll ist diese Lösung ja sicherlich nicht und ich befürchte, dass es nur eine Frage der Zeit ist, bis das Problem erneut auftaucht...

Meine Fragen wären nun:

1.) Ist das ein Virus? Wenn ja, wo könnte er her kommen / wie kann man sich schützen?

2.) Gibt es noch eine ordentlichere "Bereinigungs"-Lösung?

Zur Infrastruktur kann ich noch ergänzend sagen, dass bisher nur die public PCs betroffen sind, wenn's dumm läuft, etwa 70 Stück. Ca. 28 Stück haben wir bis jetzt schon auf die o.g. Art von Hand bearbeitet.

Hier noch ein Hijack-Log von einem noch nicht bereinigten PC:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 09:29:28, on 25.11.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\mdm.exe

C:\Programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe

C:\Programme\Sophos\AutoUpdate\ALsvc.exe

C:\WINDOWS\system32\SearchIndexer.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Winamp\Winampa.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Java\jre1.6.0_07\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\PROGRA~1\Yahoo!\MESSEN~1\ymsgr_tray.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Sophos Web Content Scanner - {39EA7695-B3F2-4C44-A4BC-297ADA8FD235} - C:\Programme\Sophos\Sophos Anti-Virus\SophosBHO.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [Microsoft Pinyin IME Migration] C:\PROGRA~1\GEMEIN~1\MICROS~1\IME12\IMESC\IMSCMIG.EXE /INSTALL

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1188306271312

O17 - HKLM\System\CCS\Services\Tcpip\..\{BEA8AE74-3D5A-46FE-893E-41E03B4D0852}: NameServer = 

O17 - HKLM\System\CCS\Services\Tcpip\..\{E79BC4D3-6F07-4037-B27D-2C6A55722617}: NameServer = 

O20 - AppInit_DLLs: C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Sophos Anti-Virus Statusreporter (SAVAdminService) - Sophos Plc - C:\Programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe

O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Programme\Sophos\Sophos Anti-Virus\SavService.exe

O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Programme\Sophos\AutoUpdate\ALsvc.exe
 

--

End of file - 5154 bytes

Vielen Dank,
Michaela