[Questor]

Hi!

Ich glaub ich hab mir was ganz neues eingefangen:

Windows verliert nach ca. 10 - 12 Stunden die netzwerkfunktionalität. D.h. ipconfig wirft nen Fehlercode (irgendwas mit 0000142) aus und auch manch anderer Dienst (Ereignisanzeige) usw. funzen nicht mehr. Erst nach einem Neustart funktioniert das System wieder.

Virenscanner : Panda Antivirus
Firewall: Interne Firewall des Draytek Vigor 2200

Problem tritt nur an einem Rechner auf, alle anderen Funktionieren wunderbar.

Bitte jetzt keine Antworten wie: Versuch nen anderen Virenscanner oder xyz ist echt kein gutes Programm usw. Auch Neuinstallation ist keine Alternative. Wenn noch jemand so ein Problem hat, bitte mit an den Post hängen.

Ich hab das Forum bereits durchsucht und festgestellt, dass es ein paar andere mit den Selben Problemen gibt. Die Threads wurden aber alle geschlossen, da es früher oder später total am Thema vorbeiging und nur noch um banale Dikussionen ging.

Ich glaube wir haben es hier mit einem noch völlig unbekannten Virus / Trojaner / Wurm zu tun.


Grüsse

Questor

[Rika]

1. HijackThis herunterladen und Logfile hier posten.
2. Wenn du sonst keine vernünftigen Antowrten hören möchtest, warum fragst du dann überhaupt? Neuinstallation ist de fakto die einzige vernünftige Alternative bei Malwarebefall.

[Questor]

Hi Rika!

Ich glaube du hast bei den anderen Themen auch diese Meinung vertreten. Malware befall ... Bis jetzt gab es immer eine Lösung, diese korrekt zu entfernen oder einen Rechner zu desinfizieren. Primär interessieren mich Lösungsansätze, die keine Neuinstallation voraussetzen.

Ausserdem wäre es doch interessant zu wissen, wieviele User noch von dieser "Malware" oder Virus befallen sind, um ein Profil für nen Virenkiller zu erstellen!

Grüsse

Questor

PS: Nix für ungut

[hans_maulwurf]

Aber poste doch trotzdem mal dein hijackThislog

[Questor]

Hi!

Werd ich heute abend mal machen, gerade ist die Kiste wieder ins Nirvana geschossen worden. Das komische war, es kam mir wie ein Bufferoverun vor. Plötzlich gab Windows ein paar Töne von sich (wie wenn der Tastaturbuffer voll wäre) und peng ging kein Internet mehr und ipconfig und die Ereignisanzeige waren tot (Snapin konnte nicht initalisiert werden)


Grüsse

Questor

[Rika]

@Questor: Es ist möglich, einen kompromittierten Rechner wieder zu bereinigen. Dazu benötigst du aber entweder eine gebackupte und garantiert unveränderte Kopie der Infektionsquelle (was meistens nicht der Fall ist) oder die Fähigkeit, ein komplettes System-Auditing zu erstellen, was selbst Profis einige Stunden beschäftigt und deshalb auch diese meist eine Neuinstallation bevorzugen. Alles andere ist zu risikoreich.

[hans_maulwurf]

Zitat (Rika: 20.05.2004, 17:26)

@Questor: Es ist möglich, einen kompromittierten Rechner wieder zu bereinigen. Dazu benötigst du aber entweder eine gebackupte und garantiert unveränderte Kopie der Infektionsquelle (was meistens nicht der Fall ist) oder die Fähigkeit, ein komplettes System-Auditing zu erstellen, was selbst Profis einige Stunden beschäftigt und deshalb auch diese meist eine Neuinstallation bevorzugen. Alles andere ist zu risikoreich.

Traurig aber wahr....
Ein HijackThis log wär aber trotzdem interresant...

[Questor]

Hi!

Hier mal das Hijackthis.log

ogfile of HijackThis v1.97.7
Scan saved at 21:18:39, on 20.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Stardock\SDMCP.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
c:\mysql\bin\mysqld-nt.exe
C:\Programme\VeriSign\NAVI\naviagent.exe
C:\Programme\No-IP\DUC20.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\WINDOWS\SYSTEM32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Agnitum\OUTPOS~1\outpost.exe
C:\Programme\Gemeinsame Dateien\Panda Software\PavShld\pavprsrv.exe
C:\Programme\Panda Software\Panda Titanium Antivirus 2004\pavsrv51.exe
C:\Programme\Panda Software\Panda Titanium Antivirus 2004\AVENGINE.EXE
C:\Programme\RaidenFTPD\Rftpdservice.exe
C:\Programme\RaidenFTPD\RaidenFTPD.exe
C:\Programme\RaidenMAILD\Rmaildservice.exe
C:\Programme\Promise\Utility\MsgAgt.exe
c:\Programme\RaidenMAILD\RaidenMAILD.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\Programme\UltraVNC\winvnc.exe
C:\Programme\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE
C:\PROGRA~1\mcafee\SPAMKI~1\spamkiller.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\ATI Technologies\ATI HydraVision\HydraDM.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\McAfee.com\Agent\mcagent.exe
C:\Programme\MSI\Live Update 3\LMonitor.exe
C:\Programme\Stardock\CursorXP\CursorXP.exe
C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
C:\Programme\Panda Software\Panda Titanium Antivirus 2004\WebProxy.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\No-IP\DUC20.exe
C:\Programme\MSI\PC Alert 4\PCAlert4.exe
C:\Programme\ReGetDx\regetdx.exe
C:\mysql\bin\winmysqladmin.exe
C:\Programme\MYIE2\MYIE.exe
C:\download\HijackThis.exe
C:\totalcmd\TOTALCMD.EXE
C:\WINDOWS\System32\cmd.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=ftp.arcor.de:8080;gopher=proxy.arcor.de:8080;h
ttp=proxy.arcor.de:8080
R3 - URLSearchHook: VeriSign Inc. i-Nav IDN SearchHook - {CE000994-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_1_4.dll
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,kernel32.pif,
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {16664845-0E00-11D2-8059-000000000000} - C:\Programme\Gemeinsame Dateien\ReGet Shared\Catcher.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {CE000992-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_1_4.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ReGet Bar - {17939A30-18E2-471E-9D3A-56DD725F1215} - C:\Programme\ReGetDx\iebar.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\RoboForm.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [APVXDWIN] "C:\Programme\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [Mskexe] c:\PROGRA~1\mcafee\SPAMKI~1\spamkiller.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [HydraVisionDesktopManager] C:\Programme\ATI Technologies\ATI HydraVision\HydraDM.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [WinVNC] "C:\Programme\UltraVNC\winvnc.exe" -servicehelper
O4 - HKLM\..\Run: [MCAgentExe] C:\Programme\McAfee.com\Agent\mcagent.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Programme\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\Programme\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\McAfee.com\Agent\mcupdate.exe
O4 - HKLM\..\Run: [LiveMonitor] C:\Programme\MSI\Live Update 3\LMonitor.exe
O4 - HKCU\..\Run: [CursorXP] "C:\Programme\Stardock\CursorXP\CursorXP.exe" -s
O4 - HKCU\..\Run: [Moony] C:\Programme\Moony\moony.exe
O4 - HKCU\..\Run: [RoboForm] "C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: FRITZ!fon (2).lnk = C:\Programme\FRITZ!\FriFon32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: No-IP DUC.lnk = C:\Programme\No-IP\DUC20.exe
O4 - Global Startup: PC Alert 4.lnk = C:\Programme\MSI\PC Alert 4\PCAlert4.exe
O4 - Global Startup: ReGet Deluxe.lnk = C:\Programme\ReGetDx\regetdx.exe
O4 - Global Startup: WinMySQLadmin.lnk = C:\mysql\bin\winmysqladmin.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: A&lles mit ReGet Deluxe herunterladen - C:\Programme\Gemeinsame Dateien\ReGet Shared\CC_All.htm
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Download Using &BitSpirit - C:\Programme\BitSpirit\bsurl.htm
O8 - Extra context menu item: Herunterladen mit Re&Get Deluxe - C:\Programme\Gemeinsame Dateien\ReGet Shared\CC_Link.htm
O8 - Extra context menu item: in/mit BitSpirit runterladen - C:\Programme\BitSpirit\bsurl.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: RF - &Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: RF - &Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF - Formular ausf&üllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: Spy (HKLM)
O9 - Extra 'Tools' menuitem: MSIE &Spy (HKLM)
O9 - Extra button: Ausfüllen (HKLM)
O9 - Extra 'Tools' menuitem: RF - Formular ausf&üllen (HKLM)
O9 - Extra button: Speichern (HKLM)
O9 - Extra 'Tools' menuitem: RF - &Formular speichern (HKLM)
O9 - Extra button: RoboForm (HKLM)
O9 - Extra 'Tools' menuitem: RF - RoboForm-S&ymbolleiste (HKLM)
O9 - Extra button: Recherchieren (HKLM)
O9 - Extra button: Hilfe zu i-Nav (HKLM)
O9 - Extra 'Tools' menuitem: Hilfe zu i-Nav (HKLM)
O9 - Extra 'Tools' menuitem: Optionen für i-Nav (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O9 - Extra button: Trashcan (HKCU)
O9 - Extra 'Tools' menuitem: Show Trashcan (HKCU)
O9 - Extra button: Add bid (HKCU)
O9 - Extra 'Tools' menuitem: Add bid (HKCU)
O10 - Unknown file in Winsock LSP: c:\programme\panda software\panda titanium antivirus 2004\pavlsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\panda software\panda titanium antivirus 2004\pavlsp.dll
O10 - Unknown file in Winsock LSP: c:\programme\panda software\panda titanium antivirus 2004\pavlsp.dll
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw...nt/iftwclix.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://bin.mcafee.com/molbin/shared/mcinsc...72/mcinsctl.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/15d5f698ea12de...RdxIE601_de.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200306...meInstaller.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/...8060.0778819444
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shock...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB054D20-403B-4BF8-BF69-679B5CD92AC5}: NameServer = 192.168.1.1

[Rika]

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,kernel32.pif, <- da liegen die Überreste eines wahrscheinlich inaktiven Hundes begraben

[Questor]

Hi!

Und wie werd ich den los? wenn ich die system.ini im windows verzeichnis öffne ist da nix!

Grüsse

Questor

[Questor]

Hallo!

Hab den Eintrag jetzt entfernt, aber leider immer noch das selbe Problem


Grüsse

Questor