Bin ich jetzt auch in nem Bot_Netzwerk? =)

Ich denke, ich bin nem Bot zum Opfer gefallen...Gestern hatte ich im taskmanager einen Prozess namens "Bot.exe"...Lies sich auch relativ schnell auf ne gedownloadete Datei festmachen (die einzige, die ich davor runtergeladen hab), welche ich natürlich gekillt hab....Bot.exe war erst ein bisschen widerspenstig, aber ließ sich dann auch beenden. Heute isser zwar nicht mehr drin, aber mein Firefox öffnet andauernd ca. 4-5 tabs, welche dann zu der ip 92.241.165.162 führen...Kommt wohl aus Moskau..Mehr habe ich aber nicht rausgefunden...genausowenig über "bot.exe"...
Meine scanner finden auch nix...Hab mal spybot und Avira drüberrennnen lassen...
Help?


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:38:54, on 15.03.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\MarkAny\ContentSafer\MAAgent.exe
C:\Programme\D-Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\DOKUME~1\Blubbel\LOKALE~1\Temp\svchstx.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
C:\Programme\Raxco\PerfectDisk2008\PD91Agent.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Windows Live\Contacts\wlcomm.exe
C:\Programme\iTunes\iTunes.exe
C:\Programme\iPod\bin\iPodService.exe
c:\programme\avira\antivir desktop\avcenter.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [MAAgent] C:\Programme\MarkAny\ContentSafer\MAAgent.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKCU\..\Run: [svchstx] C:\DOKUME~1\Blubbel\LOKALE~1\Temp\svchstx.exe
O4 - HKCU\..\RunOnce: [WiseStubReboot] MSIEXEC /quiet SKIP_PPU_DRIVER_INSTALL=1 /I "C:\Programme\Gemeinsame Dateien\Wise Installation Wizard\WISE10DB5DAE57640EAA7FC1CB2A7B283A6_9_09_1112.MSI" TRANSFORMS="C:\Programme\Gemeinsame Dateien\Wise Installation Wizard\WISE10DB5DAE57640EAA7FC1CB2A7B283A6_9_09_1112.MST" WISE_SETUP_EXE_PATH="c:\nvidia\displaydriver\196.21\winxp\international\PhysX_9.09.1112_SystemSoftware.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Programme\ICQ7.0\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Programme\ICQ7.0\ICQ.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PD91Agent - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk2008\PD91Agent.exe
O23 - Service: PD91Engine - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk2008\PD91Engine.exe

--
End of file - 6283 bytes



edit: Wollt ja eh mal win7 draufhaun....Aber mein log is sauber, oder seh ich das falsch?

 

Spiele das Backup vom sauberen System wieder ein, welches Du für solche Fälle ja sicherlich vorsorglich angelegt hast. Irgendwelche "Reparatur"-Versuche sind Augenwischerei - das System wäre immer als kompromittiert zu betrachten!

 

Der PC ist kompromittiert. http://de.wikipedia.org/wiki/Technische_Kompromittierung

C:\DOKUME~1\Blubbel\LOKALE~1\Temp\svchstx.exe
O4 - HKCU\..\Run: [svchstx] C:\DOKUME~1\Blubbel\LOKALE~1\Temp\svchstx.exe

 

Is mir jetzt auch grad nen bisschen peinlich....Die svchstx.exe ist mir erst im process explorer aufgefallen, weil sie ziemlich viel gezogen hat...
Hab sie ganz einfach mal mit der killbox eliminiert...Denke aber nicht, dass das reicht,oooooooooder?

 

Kannst Du mit Gewissheit sagen, dass auf dem System nicht noch weiterer Schaden angerichtet wurde? Garantiert nicht, oder?

 

So was ähnliches hast du auch schon mit der anderen .exe veranstaltet. Resultat: Es blieb die verflixte svchstx.exe. Die wird bei jedem Win-Start ausgeführt und du weißt nicht, was sie macht (kannst ja mal googlen, bin jetzt zu müde). Willst du sie wirklich nur "killen'" oder gar noch nach Anleitung von Gesundbetern "bereinigen" und dich dannn an deinen PC setzen, als ob nichts gewesen wäre?

 

Ich muss ja kein Geheimnis draus machen, das ich hier und da mal was lad, aber in der Regel eben nicht von Russischen Servern...
grundgütiger herrgott.

 

und dann noch der Hinweis:

 

jajaja, denkanstöße.
warez und so nur von absolut seriösen seiten runterladen.

bestimmt ne lustige familie.

 

Wundert mich nicht, bei einem Total veralteten IE.

Gruß
Nevok

 

das dürfte hier aber das geringste problem sein.

 

Ich wollt's ja auch nur erwähnt haben...

 

@Nevok
Du hast vergessen, auf die neuste Java-Version hinzuweisen.

 

Ums mal wieder auszukramen und direkt dran anzuschließen...


....Mit dem ich nicht surfe!

 

@ Pokegreis

Ob du den IE nutzt oder nicht spielt keine Rolle. Da er zum Betriebssystem gehört und sich nicht deinstallieren lässt, muss der IE auf aktuellstem Stand gehalten werden. Das bedeutet, dass du den IE8 installieren solltest und danach das kumulative Sicherheitsupdate für den IE8.

Gruß
Nevok