[n0oKie]

Habe ein sicher altbekanntes Problem, jedoch findet weder Stinger noch avast! den Wurm, dank meiner Firewall wird der Traffic geblockt, hat jemand einen kongeinalen Rat für mich ?!

[Megolk]

is nix Wurm ist Systemdienst von Windows...
Brauchst dir also keine Sorgen machen, der ist im Taskmanager so etwa, grob übern Daumen 4mal drin - einmal mehr oder weniger ist auch nicht schlimm.

Es kann dir bestimmt auch einer erzählen wozu dieser Dienst da ist, ich kannst nicht wirklich erklären - habs aber schon mal gewusst - bin ja auch nicht mehr der jüngste

[Strider]

gut dass es google gibt.... http://www.neuber.com/taskmanager/deutsch/...vchost.exe.html

Dieser Beitrag wurde von Strider bearbeitet: 21. Mai 2004 - 18:47

[Megolk]

sag ich doch

[n0oKie]

entschuldigt mal bitte ich bin nicht 11 , habe ne firewall und laut der connecten t- online user auf meinen rechner über den dienst, das hat nix mit systemprozess zu tun !!!

[Rika]

1. HijackThis herunterladen und Logfile hier posten.
2. Seit wann kann dir eine Firewall sagen, welcher Prozess die verbindung aufbaut? Es sei denn du redest von einem Programm, daß die Bezeichnung Firewall nicht verdient und auch sonst wenig mit tatsächlicher Sicherheit zu tun hat. Insbesondere der svchost-Netzwerkdienst verbindet weiterhin, egal ob du ihn auf blockiert setzt oder nicht - wenn du ihn wirklich blockieren könntest, hättest du gar keine Internetverbindung mehr.

[Strider]

hat das jm gesagt ?

Zitat

Die Datei "svchost.exe" befindet sich im Ordner C:\Windows\System32. Wenn das nicht der Fall ist, handelt es sich bei svchost.exe um einen Virus, Spyware, Trojaner oder Worm!

wo befindet sich denn der svchost denn bei dir ? das beantwortet alle fragen

Dieser Beitrag wurde von Strider bearbeitet: 21. Mai 2004 - 19:56

[Megolk]

Zitat (n0oKie: 21.05.2004, 20:35)

entschuldigt mal bitte ich bin nicht 11  , habe ne firewall und laut der connecten t- online user auf meinen rechner über den dienst, das hat nix mit systemprozess zu tun !!!

niemand hält dich für 11, du hast gefragt wir geantwortet mer nix!
Firewall hin oder her... na gut dazu sag ich lieber nichts, dass kann Rika weit aus besser.

[n0oKie]

sie is im win\sys32 ordner.
hatte nur gemeint das ich nicht um sonst frage und wohl weiß worum es sich beim svchost dienst handelt, habe tpf, die zeigt mir an wer einen in oder onboundaccess versucht und welche ip das macht, ausserem blockiert die nicht die wahre svchost sondern wahrschienlich die wurmkopie ...

so hijack log poste ich gleich noch:

hier ist er:


Logfile of HijackThis v1.97.7
Scan saved at 21:34:41, on 21.05.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\PFShared\UmxCfg.exe
C:\Programme\Gemeinsame Dateien\PFShared\UmxPol.exe
C:\Tools\Tiny Personal Firewall\UmxAgent.exe
C:\Tools\Tiny Personal Firewall\UmxTray.exe
C:\Programme\Apache Group\Apache2\bin\Apache.exe
C:\Programme\Borland\InterBase\bin\ibguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\PFShared\umxlu.exe
C:\Programme\Apache Group\Apache2\bin\Apache.exe
C:\Programme\Borland\InterBase\bin\ibserver.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sstray.exe
C:\WINDOWS\System32\smvss.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Microsoft Encarta\Encarta Enzyklopädie Professional 2004\EDICT.EXE
C:\Games\Tools\Teamspeak 2\TeamSpeak.exe
C:\Programme\ICQ\Icq.exe
C:\Tools\Tiny Personal Firewall\amon.exe
C:\Games\Tools\The All-Seeing Eye\eye.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Tools\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [ActiveXUpdate] C:\WINDOWS\System32\smvss.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Steam] "c:\games\steam\steam.exe" -silent
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [AMonitor] C:\Tools\Tiny Personal Firewall\amon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: Monitor Apache Servers.lnk = C:\Programme\Apache Group\Apache2\bin\ApacheMonitor.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MI1933~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Recherchieren (HKLM)
O9 - Extra button: Recherche-Assistent (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com...ex/qtplugin.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.micros...ontent/opuc.cab
O16 - DPF: {502D6B74-E970-47B7-A4CB-A09CC799EFE6} - http://www.fly3d.com.../flyActiveX.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/...7949.5303009259
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwa...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9A83376C-5411-4A54-AB20-E0E2E2BD2BA8}: NameServer = 217.237.149.225 194.25.2.129

Dieser Beitrag wurde von n0oKie bearbeitet: 21. Mai 2004 - 20:36

[puppet]

Zitat (n0oKie: 21.05.2004, 21:31)

C:\WINDOWS\System32\smvss.exe
O4 - HKLM\..\Run: [ActiveXUpdate] C:\WINDOWS\System32\smvss.exe

Böse. Trojan.Dedler

[n0oKie]

endlich ein mensch mit ahnung super ich dank dir

[puppet]

ich weiss zwar nicht ob dies dein -problem- loest... sollte nur ein hinweis am rande sein...
btw jede menge wissen gibts auch kostenlos im internet

[Strider]

Zitat

ausserem blockiert die nicht die wahre svchost sondern wahrschienlich die wurmkopie

sag mal liest du überhaupt unsere antworten richtig durch? wenn es sich um ne kopie handelt, dann wird der prozess entweder nicht vom win\sys32 ordner gestartet oder heisst leicht anders, also war meine antwort nicht falsch oder was auch immer...

und dein sinn für humor kann man schnell falsch interpretieren.... du scheinst ja selber nicht viel ahnung zu haben

Dieser Beitrag wurde von Strider bearbeitet: 21. Mai 2004 - 21:03

[Megolk]

Zitat (Strider: 21.05.2004, 22:03)

sag mal liest du überhaupt unsere antworten richtig durch? wenn es sich um ne kopie handelt, dann wird der prozess entweder nicht vom win\sys32 ordner gestartet oder heisst leicht anders, also war meine antwort nicht falsch oder was auch immer...

und dein sinn für humor kann man schnell falsch interpretieren.... du scheinst ja selber nicht viel ahnung zu haben

sorry aber da muß ich Strider zustimmen

Zitat

endlich ein mensch mit ahnung super ich dank dir

und wenn ich mir da nochmal deine Frage anschaue "[Windows Xp] Svchost.exe - Wurm ?!"

ich würde mal ein AntiVirenProgramm drauf machen, da gibts gute kostenlose Lösungen wie z.B. AntiVir® Personal Edition

[Rika]

@Strider: Es gibt auch viele Würmer, die den originalen svchost.exe-Prozess mittels Shell32::SetWindowhookEx (besser bekannt als DLL-Injection) fernsteuern, um unbehelligt von $PFW ins Rindernetz zu gehen.