[Insane-x]

Hallo, Ich habe lauter Prozesse im Hintergrund laufen die ich überhaupt nicht kenne geschweige den gestartet habe ich hab hier mal den bericht von Hijack bitte helft mir ad aware und norton haben nix gebracht!

Logfile of HijackThis v1.99.0
Scan saved at 12:22:36, on 31.12.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\System32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\system32\spoolsv.exe
F:\Programme\Norton AntiVirus\navapsvc.exe
F:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
F:\WINDOWS\System32\devldr32.exe
F:\Programme\Winamp\winampa.exe
F:\Treiber\Logitech\iTouch\iTouch.exe
F:\Programme\Java\jre1.5.0\bin\jusched.exe
F:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
F:\Programme\MSN Messenger\MsnMsgr.Exe
F:\Programme\Miranda IM\miranda32.exe
F:\Programme\DC++\DCPlusPlus.exe
F:\Programme\NetLimiter\NetLimiter.exe
F:\Programme\Winamp\Winamp.exe
F:\WINDOWS\System32\aaupdt.exe
c:\WinUpdate.exe
F:\Programme\Internet Explorer\iexplore.exe
F:\Programme\Internet Explorer\iexplore.exe
F:\Programme\Mozilla Firefox\firefox.exe
F:\WINDOWS\system32\NOTEPAD.EXE
C:\Downloads\zeuch\hijackthis\HijackThis.exe
F:\Internet Optimizer\optimize.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.ht...count_id=155574
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.ht...count_id=155574
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.escape-to-space.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.ht...count_id=155574
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: BAHelper Class - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - F:\Programme\SideFind\sfbho.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - F:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - F:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: ISTbar - {5F1ABCDB-A875-46c1-8345-B72A4567E486} - F:\PROGRA~1\ISTbar\istbar.dll
O4 - HKLM\..\Run: [UpdReg] F:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [WinampAgent] F:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [zBrowser Launcher] F:\Treiber\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [Microsoft Update] aaupdt.exe
O4 - HKLM\..\Run: [ccApp] "F:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "F:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] F:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IST Service] F:\Programme\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [8rNVMaK] F:\WINDOWS\bykvjeru.exe
O4 - HKLM\..\Run: [Windows System Configuration] F:\WINDOWS\SYSCFG16.EXE
O4 - HKLM\..\Run: [Internet Optimizer] "F:\\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [sais] f:\programme\180solutions\sais.exe
O4 - HKLM\..\Run: [dif] F:\WINDOWS\dif.exe
O4 - HKLM\..\Run: [Power Scan] F:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\RunServices: [Microsoft Update] aaupdt.exe
O4 - HKLM\..\RunOnce: [AAW] "F:\PROGRA~1\Ad-Aware\Ad-Aware.exe" "+b1"
O4 - HKCU\..\Run: [MsnMsgr] "F:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Microsoft Update] aaupdt.exe
O4 - HKCU\..\Run: [Tsa2] F:\PROGRA~1\COMMON~1\tsa\tsm2.exe
O8 - Extra context menu item: eBay Powersuche - http://www.webtip.ch.../tracker.pl?adv
O8 - Extra context menu item: eBay Produktsuche - F:\Programme\Preispiraten\Buyertools Reminder\SearchEbay.htm
O8 - Extra context menu item: eBay Startseite - http://www.webtip.ch...tracker.pl?heim
O8 - Extra context menu item: Mein eBay - http://www.webtip.ch...tracker.pl?mein
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - F:\Programme\SideFind\sidefind.dll
O9 - Extra button: Preispiraten 2.1.3 - {86DE8B3B-1EB7-4386-84BD-EBE94348A913} - F:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/ClickYes.../bridge-c10.cab
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4...006_regular.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{62C3AD47-0358-45BC-A59F-E64FEDD98896}: NameServer = 217.237.151.97 217.237.150.33
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - F:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - F:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - F:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - F:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - F:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - F:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - F:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe

Dieser Beitrag wurde von Insane-x bearbeitet: 31. Dezember 2004 - 12:22

[flo]

Hier is die auswertung

Ich würde sagen Format c:!

Und du solltest dein system dann unbedingt updaten!

und den symatec mist runterschmeißen!

Hier im sicherheitsforum findest du ne anleitung wie man den rechner sicher macht

Dieser Beitrag wurde von Flo01 bearbeitet: 31. Dezember 2004 - 12:24

[flo]

Laufender Prozess. (WinUpdate.exe)
Added as a result of the GAOBOT.BIA VIRUS!

# Beschreibung: kopiert sich nach %Sys%\winupdate.exe

# modifiziert die Registry, sodaß der Wurm bei jedem Systemstart automatisch gestartet wird (s.u.)

# verbindet sich mit einem IRC-Server und wartet auf u.a. die folgenden Kommandos:

* Herunterladen und Ausführen von Dateien
* Netzwerk-Scanning
* Auflisten, Starten, Stoppen von Prozessen
* Dateisystemoperationen (Löschen, Erzeugen, Auflisten von Dateien)
* DoS-Attacken durchführen
* Port-Umleitungen (Redirection)
* SOCKS-Proxy starten
* Tastatureingaben protokollieren
* Systeminformationen stehlen und an den Hacker senden


das macht der virus den du hast alles

[flo]

Zitat

* Herunterladen und Ausführen von Dateien
* Netzwerk-Scanning
* Auflisten, Starten, Stoppen von Prozessen
* Dateisystemoperationen (Löschen, Erzeugen, Auflisten von Dateien)
* DoS-Attacken durchführen
* Port-Umleitungen (Redirection)
* SOCKS-Proxy starten
* Tastatureingaben protokollieren
* Systeminformationen stehlen und an den Hacker senden

Das heißt soviel wie:

Dein Rechner wird als Spammschluder benutzt und /oder für Die verbreitung von illegalen sachen (kipo)

deine passwörter sind bekannt und alle daten die du auf dem system hast sind auch bekannt

[Insane-x]

na super und ich hab da keinerlei möglichkeit das zeug ihrgendwie so weg zu bekommen ?

[flo]

nein! Devinitiv nicht!

[DiNozzo]

Zitat (Insane-x: 31.12.2004, 12:32)

na super und ich hab da keinerlei möglichkeit das zeug ihrgendwie so weg zu bekommen ?
<{POST_SNAPBACK}>

Und wenn schon?
Würdest du diesem System dann jemals wieder vertrauen? -> Mach ne Neuinstallation aber schau vorher mal ins Sicherheitsforum und schau dir die Sticky's an

[Insane-x]

ok ich danke dir für die schnelle antwort müsste ich dann da beide platten formatieren oder nur die windows platte?

[DiNozzo]

Zitat (Insane-x: 31.12.2004, 12:35)

ok ich danke dir für die schnelle antwort müsste ich dann da beide platten formatieren oder nur die windows platte?
<{POST_SNAPBACK}>

Im Grunde wird wohl nur die Systemplatte befallen sein, aber um ganz sicher zu gehen würd ich beide formatieren.

[flo]

Name W32/Rbot-RQ
Typ

* Wurm

Verbreitungsweise

* Netzwerkfreigaben

Anfällige Betriebssysteme

* Windows

Nebeneffekte

* Schaltet Antiviren-Anwendungen aus
* Ermöglicht Dritten den Zugriff auf den Computer
* Stiehlt Daten
* Reduziert die Systemsicherheit
* Speichert Tastenfolgen
* Installiert sich in der Registrierung


Den haste auch noch drauf!

F:\WINDOWS\System32\aaupdt.exe

[Insane-x]

ok ich danke euch vielmals ich werde mich jetzt übers formatieren auf machen