[linksta]

hi,

als ich heute morgen aufwachte und wie jeden morgen kurz an den rechner geh wär ich fast vom Stuhl gefallen.

erstmal war ich im Anmeldebildschirm. und ein user Namens "test" war im anmeldebildschirm. Das fand ich doch schon recht merkwürdig. Da ich dieses ned selber gemacht habe (weder bin ich gestern abend in den anmeldebildschirm gegangen noch habe ich einen user namens Test angelegt) bin ich der Meinung das mein System kompromittiert (nicht mehr Vertrauenswürdig) ist.

nach meinem erachtens muss ich doch formatieren oder wie sieht es aus?

[Elren Luthien]

Also erstmal den Rechner vom Internet trennen (Kabel ziehen).

Kommst Du noch ans Windows ran bzw. kriegst Du noch ein Hijackthis-Log hin?

[linksta]

doch arbeiten kann ich noch

kann allerdings erst heut nachmittag bin auf arbeit

[DKind]

Dumme Frage, aber hast du vllt einen kleinen Bruder/eine kleine Schwester ?
Kann sein, das die das doch gemacht haben oder hat noch irgend ein anderer Zugriff auf deinen Rechner ? Wurde denn sonst noch irgendwetwas an deinem PC verändert? Sind alle wichtigen und persönlichen Daten noch drauf ?

Dieser Beitrag wurde von DKind bearbeitet: 04. Mai 2005 - 08:01

[linksta]

also ausgeschlossen das jemand anders an pc geht. das war gestern abend gegen 22 Uhr. mein bruder ist erst 12. Der rechner steht hinter mir. wenn der Monitor angeht dann würd ich es sofort checken ausserdem kennt der sich mit rechner überhaupt ned aus

also ich hab noch nicht alles überprüft aber soweit ich es seh ist sonst alles "normal"

meine persöhnlichen Daten sind eigentlich noch drauf. Ich mach aber auch regelmässig backup

Dieser Beitrag wurde von linksta bearbeitet: 04. Mai 2005 - 08:03

[DKind]

Also wenn da jetzt wirklich keine Viren oder sonst was drauf sind, dann kannste auch einfach das Benutzerkonto test löschen. Auf jeden Fall solltest du dir dann aber mal den PC Sicher machen Thread durchlesen. Falls doch irgendetwas drauf: format c: Ist besser und sicherer.

[linksta]

also ich hab vorhin auch erstmal des benutzerkonto gelöscht
den sicher machen thread hab ich mir vorher schonmal durchgelesen
is ja auch so gut wie

[linksta]

hier der versprochene hijackthis log

Logfile of HijackThis v1.99.1
Scan saved at 13:02:51, on 04.05.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\mysql\bin\mysqld-nt.exe
C:\Programme\Eset\nod32krn.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programme\Gemeinsame Dateien\Acronis\ProcessActivityMonitor\paamsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\programme\powerstrip\pstrip.exe
C:\Programme\MessengerPlus! 3\MsgPlus.exe
C:\Programme\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Steam\Steam.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Programme\Xfire\Xfire.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\eMule.de\emule.exe
C:\WINDOWS\system32\drivers\nc.exe
C:\WINDOWS\system32\service.exe
C:\WINDOWS\system32\winlogon.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Alex\LOKALE~1\Temp\Rar$EX00.594\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.co...earch_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://gigaliga.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Acronis Popup Blocker - {E24AD748-155E-4254-B674-4EDF86E7E1DF} - C:\PROGRA~1\Acronis\PRIVAC~1\Blocker.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SysMetrix] C:\Programme\SysMetrix\SysMetrix.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [BootSkin Startup Jobs] "C:\PROGRA~1\Stardock\WINCUS~1\BootSkin\BootSkin.exe" /StartupJobs
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Uptime-Project] C:\DOKUME~1\Alex\LOKALE~1\Temp\Rar$EX00.969\client.exe
O4 - HKCU\..\Run: [Steam] "c:\programme\steam\steam.exe" -silent
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Acronis Pop-up Blocker - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - C:\PROGRA~1\Acronis\PRIVAC~1\Blocker.dll
O9 - Extra 'Tools' menuitem: Acronis Pop-up Blocker - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - C:\PROGRA~1\Acronis\PRIVAC~1\Blocker.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{11EB4031-5580-45FC-ADED-A58640C48489}: NameServer = 213.191.74.18 213.191.92.87
O17 - HKLM\System\CS1\Services\Tcpip\..\{11EB4031-5580-45FC-ADED-A58640C48489}: NameServer = 213.191.74.18 213.191.92.87
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: MySql - Unknown owner - C:\mysql\bin\mysqld-nt.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programme\Eset\nod32krn.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Process Activity Monitor (paamsrv) - Unknown owner - C:\Programme\Gemeinsame Dateien\Acronis\ProcessActivityMonitor\paamsrv.exe
O23 - Service: Plug & Play Extender (pnpext) - Unknown owner - C:\WINDOWS\System32\srms.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

[Graumagier]

Hier die Auswertung der Logdatei, ein Eintrag (service.exe) wird als "Böse" angezeigt.

[linksta]

soll ich virencheck machen oder kann ich gleich formatieren?

Dieser Beitrag wurde von linksta bearbeitet: 04. Mai 2005 - 12:10

[Graumagier]

Zitat

soll ich virencheck machen oder kann ich gleich formatieren?

Lies mal, was rechts bei der Auswertung dabeisteht:

Zitat

Eventuell Gut! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\windows\pchealth\! Überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch.

[*TLC*]

Mach doch erst mal einen Virencheck mit einem guten Scanner.

Die service.exe gibt es aber auch bei Dell Computern, als seriösen Dienst.

Dieser Beitrag wurde von *TLC* bearbeitet: 04. Mai 2005 - 12:24

[linksta]

also es funzt wirklich alles und nod32 findet auch nix

[flo]

Hi Linksta

Scan deinen Pc mal mit escan, denn NOD32 ist nicht so gut

das bekommst du hier

http://www.trojaner-...ker/escan.shtml

beachte die anleitung!

scanne den PC im abgesicherten modus

Wichtig Aktiviere Scan all Files und Scan all local Drives

das ergebnis poste wieder hier

Dieser Beitrag wurde von Flo01 bearbeitet: 04. Mai 2005 - 13:17

[linksta]

puh endlich fertig mit dem scan. hat auch sehr lange gedauert

da das log soooooooo gross war hab ich es mal hochgeladen

http://www.linksta.de/log.txt

hier der virenlog

File C:\WINDOWS\system32\KILLAPPS.EXE tagged as not-a-virus:RiskWare.Tool.KillApp.b. No Action Taken.
File C:\WINDOWS\system32\service.exe tagged as not-a-virus:RiskWare.FTP.Serv-U.6000. No Action Taken.
File C:\apachefriends\xampp\apache\bin\pv.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\ATI\SUPPORT\LsaExt.dll tagged as not-a-virus:RiskWare.PSWTool.PWDump3. No Action Taken.
File C:\ATI\SUPPORT\PwDump3.exe tagged as not-a-virus:RiskWare.PSWTool.PWDump3. No Action Taken.
File C:\ATI\SUPPORT\pwservice.exe tagged as not-a-virus:RiskWare.PSWTool.PWDump3. No Action Taken.
File C:\Dokumente und Einstellungen\Alex\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\javainstaller.jar-3c936701-3f28c607.zip infected by "Trojan-Downloader.Java.OpenStream.t" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Alex\Desktop\ChaosScript-Package4.18.exe infected by "Trojan-Downloader.Win32.Agent.ex" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Alex\Lokale Einstellungen\Anwendungsdaten\{35A3A4F2-B792-11D6-A78A-00B0D0142070}\Java 2 SDK, SE v1.4.2_07.msi tagged as not-a-virus:JavaClass.Chart. No Action Taken.
File C:\Dokumente und Einstellungen\Alex\Lokale Einstellungen\Temporary Internet Files\Content.IE5\GD2RCX67\mirc616[1].exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File C:\Dokumente und Einstellungen\Alex\Lokale Einstellungen\Temporary Internet Files\Content.IE5\O56NWDYV\girc435[1].exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File C:\j2sdk1.4.2_07\demo\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.
File C:\j2sdk1.4.2_07\demo\plugin\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.
File C:\mIRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File C:\mysql\data\root.rar tagged as not-a-virus:RiskWare.RemoteAdmin.RAdmin.20. No Action Taken.
File C:\nc.exe tagged as not-a-virus:RiskWare.RemoteAdmin.NetCat. No Action Taken.
File C:\Programme\Eset\infected\0BOI5WBA.NQF infected by "Backdoor.Win32.Wootbot.gen" Virus. Action Taken: No Action Taken.
File C:\Programme\Gamers.IRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File C:\Programme\Gemeinsame Dateien\Java\Update\Base Images\j2sdk1.4.2_07-b05\demos.zip tagged as not-a-virus:JavaClass.Chart. No Action Taken.
File C:\Sierra\Half-Life\hltv.exe tagged as not-a-virus:RiskWare.Proxy.Hltv. No Action Taken.
File C:\System Volume Information\_restore{9D1DED06-8E69-4E05-B6F7-0C859EEBFF5D}\RP175\A0072198.sys infected by "Backdoor.Win32.ServU-based" Virus. Action Taken: No Action Taken.
File C:\System Volume Information\_restore{9D1DED06-8E69-4E05-B6F7-0C859EEBFF5D}\RP175\A0072200.sys infected by "Backdoor.Win32.HacDef.073.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\drivers\nc.exe tagged as not-a-virus:RiskWare.RemoteAdmin.NetCat. No Action Taken.
File C:\WINDOWS\system32\drivers\ntb.sys infected by "Backdoor.Win32.ServU-based" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\KILLAPPS.EXE tagged as not-a-virus:RiskWare.Tool.KillApp.b. No Action Taken.
File C:\WINDOWS\system32\service.exe tagged as not-a-virus:RiskWare.FTP.Serv-U.6000. No Action Taken.