Viren,Trojaner und Würmer auf dem Rechner

Hallo,

ich habe folgendes Problem. Der Rechner meiner Kinder ist durch das Öffnen von Zip-Dateien -ohne sie vorher mit nem Virenschutzprogramm ( AntiVir ) getestet zu haben- massiv mit Würmern und Trojanern befallen worden. Das meiste scheine ich wegbekommen zu haben. Leider öffnet sich nun alle zwei Minuten der Firefox von alleine und zeigt dubiose Internetseiten an. Habe schon diverse Programme drüberlaufen lassen, aber nix hilft.
Ich schätze mal, da wurde die Registry verändert. Gibt es eine Möglichkeit, ausser ner Neuinstallation, dieses ständige Öffnen des Firefox zu verhindern?
Sicher ist ne Neuinstallation von Win XP am sinnvollsten, will sie mir ja eigentlich ersparen.

 

Erstmal müsste man wissen, was noch für Schädlinge aktiv sind, um geeignete Maßnahmen ergreifen zu können.
Fertige dazu ein Hijackthis-Log an und poste den Link zur abgespeicherten Auswertung.
Anleitung und Download

Ein Mod könnte den Thread ins Virenforum verschieben.

Wie kamen denn die zip-Dateien auf den PC?
Eventuell lässt sich sowas in Zukunft auf einfache Weise verhindern.

 

Erledigt!

Welche Programme sind das?


Gruß
Nevok

 

Ad-Aware, Spybot, CW-Shredder und Hijack this. Dann habe ich den Reg-Cleaner installiert um zu sehen, ob ich einen verdächtigen Eintrag entdecke. Alles Fehlanzeigen.

Gruß und sorry für den Eintrag ins falsche Thema.

 

Lass uns das Log doch mal sehen, wie in #2 beschrieben.

BTW: Wenn du selbst schon von "massivem" Befall redest, würde ich schon mal mit der Datensicherung beginnen. Spätestens wenn ein Backdoor aktiv war, ist Neuaufsetzen angesagt.

 

Werde mal probieren ein Log zu erstellen.

http://www.hijackthis.de/logfiles/0c98596876f23b08a448b4527c8f6ede.html

 

Hallo,
irgendwie funktioniert dein Link nicht, versuche es nochmal.


Grüße Jasager

 

kann ich garnicht lesen deine hijackthis logfile

 

@ seppl23

Ich hab den Link zum Log aus meiner Benachrichtigungsmail rekonstruiert. Klick bitte mal auf diesen Link.

Starte deinen Rechner im abgesicherten Modus (beim Systemstart mehrmals die Taste F8 drücken), starte HijackThis und fixe alle als "böse" deklarierten Einträge. Wie man Einträge fixt, steht hier: http://members.linzag.net/680262/HJT/HijackThis.html#Was_bedeutet_FIXEN

Starte nach der "Säuberung" deinen Rechner wieder im normalen Modus und erstelle nochmals ein HijackThis-Log. Dieses läßt du wieder auswerten und postest den Link wieder hier.

Gruß
Nevok

 

Hallo,
das System ist schon extrem mitgenommen, überlege dir bitte noch mal ob du nicht doch die Zeit für ein neu aufsetzen investieren willst, würde meiner Meinung nach am meisten Sinn machen. Da mehrere unterschiedlche Adwarprogramme und mehrere Viren aktiv sind.


Grüße Jasager

 

Der "Buddy Virus" kam wohl über ICQ rein.

 

Hallo,
möglich, das schöne ist das der dann gleich noch look2me (der O20 Eintrag) nachlädt. Außerdem ist es auch durchaus möglich das die p2pnetworking.exe ein Backdoor war, aber das wird man wohl nicht mehr feststellen können, da die Datei wohl durch ein AV gelöscht wurde.


Grüße Jasager

 

Ich glaube, ich muss den Rechner neu aufsetzen. Beim Start wird u.a. auch angezeigt, dass manche Prozesse nicht gestartet werden können. Außerdem wird auf fehlende dll-Dateien hingewiesen. So dermaßen beschädigt, hält das sowieso nicht mehr lange.

Zur Sicherheit muss ich doch alle anderen Partitionen auch formatieren, oder?

Ich habe nur ein Problem. Win XP ist auf zwei Rechnern installiert. Nun habe ich die CD´s nicht gekennzeichnet und weiss daher auch nicht,welche CD auf welchem Rechner installiert wurde. Bekommt man das irgendwie raus?

Gruß

 

Hallo,

Gute Entscheidung.

Umstritten, wenn auf den anderen Partitionen nur Daten sind reicht es wenn du nur C:\ formatierst.

Bei mir zeigt das Programm Everest unter Betriebssystem>>Betriebssystem>>Lizenzinformationen sowohl die ProduktID wie auch den Produktschlüssel an.


Grüße Jasager

 

Danke für den Tipp. Everest hab ich ja installiert. Mal gucken.

Formatiert XP die Partition "C" bei der Installation automatisch oder muss ich da nen Befehl eingeben?

 

Hallo,
ach stimmt ich habe dir ja noch gar nicht die Anleitung verlinkt. Steht dort alles drin (Screenshotguide) außerdem steht dort wie du das System absicherst bevor du zum ersten mal onliner gehst.



Grüße Jasager

 

Vielen Dank für den Link. Das nenn ich mal umfangreiche Informationen. Nun wird mir einiges bezüglich des befallenen Rechners klar.
AntiVir hat währen der Virensuche rund 6000 mal gewarnt / gelöscht. Das Gepiepe war kaum auszuhalten. Ausserdem war auf dem Rechner ein Ordner mit dem Namen "Share" und ein zweiter, dessen Name mir entfallen ist,während der Virensuche zu sehen. In diesen befanden sich ( vermutlich virenverseuchte ) Zip-Dateien, die Key-Generatoren und andere merkwürdige Sachen enthielten. Niemand aus meiner Familie weiss, wie diese auf den Rechner kommen konnten. Die Inhalte wurde von AntiVir fast vollständig gelöscht.Gestern waren die Ordner verschwunden.
Ich vermute mal, da hat jemand unseren Rechner als zusätzlichen Speicherplatz genutzt.
Wenn sowas geht, dann gute Nacht.

 

Hallo,

durchaus möglich, aber das was du schilderst scheint ein neuer Wurm zu sein, ich habe die Symptome allein in der letzten Woche schon drei mal gehört, aber ich komme ddem Vieh nicht so richtig auf die Schliche. Wenn du Zeit hast kannst du mal noch folgendes machen (an der Notwendigkeit des Neuaufsetzen wird das nicht wirklich etwas ändern) :

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

Code:

cd\
dir "C:\Programme\Gemeinsame Dateien\Windows" >> files.txt
dir "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders" >> files.txt
dir "C:\Programme\Gemeinsame Dateien" >> files.txt
dir "C:\WINDOWS">> files.txt
notepad files.txt

Grüße Jasager

 

So, hoffentlich hilft das weiter.

Gruß Seppl





Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: A8AD-6557

Verzeichnis von C:\Programme\Gemeinsame Dateien\Windows

18.02.2006 17:37 <DIR> .
18.02.2006 17:37 <DIR> ..
04.02.2004 14:06 45.136 psapi.dll
1 Datei(en) 45.136 Bytes
2 Verzeichnis(se), 3.771.719.680 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: A8AD-6557

Verzeichnis von C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders

20.05.2005 15:04 <DIR> .
20.05.2005 15:04 <DIR> ..
20.05.2005 15:04 <DIR> 1031
20.05.2005 15:04 <DIR> 1033
14.02.2001 20:45 1.318.912 MSONSEXT.DLL
12.02.2001 23:23 58.784 MSOSV.DLL
20.03.1999 11:46 127.032 MSOWS407.DLL
05.06.1999 04:09 122.937 MSOWS409.DLL
06.08.2000 08:04 401.462 MSVCP60.DLL
22.01.2001 02:25 69.632 PKMAXCTL.DLL
22.01.2001 02:25 872.448 PKMCDO.DLL
22.01.2001 02:25 159.744 PKMCORE.DLL
07.02.2001 08:59 106.496 PKMFORMS.DLL
12.02.2001 03:01 692.224 PKMRES.DLL
22.01.2001 02:25 28.672 PKMSSTLB.DLL
22.01.2001 02:25 40.960 PKMTEMPL.DLL
22.01.2001 02:25 24.576 PKMTRACE.DLL
22.01.2001 02:25 86.016 PKMWS.DLL
22.01.2001 02:25 237.568 PROMDEMO.DLL
22.01.2001 02:25 184.320 SECMGR.DLL
22.01.2001 02:25 323.584 VAIDDMGR.DLL
22.01.2001 02:25 32.768 VAIMEM.DLL
18 Datei(en) 4.888.135 Bytes
4 Verzeichnis(se), 3.771.715.584 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: A8AD-6557

Verzeichnis von C:\Programme\Gemeinsame Dateien

18.02.2006 13:06 <DIR> .
18.02.2006 13:06 <DIR> ..
20.05.2005 15:12 <DIR> Adobe
20.05.2005 15:07 <DIR> Ahead
20.05.2005 15:04 <DIR> Designer
20.05.2005 14:43 <DIR> Dienste
10.09.2005 11:21 <DIR> FotoWire
18.02.2006 13:23 <DIR> InetGet
13.07.2005 16:28 <DIR> InstallShield
26.07.2005 22:06 <DIR> Java
18.02.2006 13:23 <DIR> kiki
10.09.2005 11:20 <DIR> Logitech
20.05.2005 15:04 <DIR> Microsoft Shared
20.05.2005 14:43 <DIR> MSSoap
20.05.2005 15:30 <DIR> ODBC
20.05.2005 15:30 <DIR> SpeechEngines
20.05.2005 15:03 <DIR> System
18.02.2006 17:37 <DIR> Windows
07.01.2000 11:53 696.320 XCMHook.dll
06.01.2000 15:57 24.576 XCPCMenu.exe
06.11.2005 18:59 <DIR> XCPCSync.OEM
2 Datei(en) 720.896 Bytes
19 Verzeichnis(se), 3.771.715.584 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: A8AD-6557

Verzeichnis von C:\WINDOWS

20.02.2006 19:23 <DIR> .
20.02.2006 19:23 <DIR> ..
21.02.2006 15:43 0 0.log
14.01.1999 07:04 231 AC3API.INI
20.05.2005 16:22 <DIR> addins
04.08.2004 13:00 17.336 Angler.bmp
20.05.2005 16:27 <DIR> AppPatch
16.07.2005 10:25 3.813 Ascd_tmp.ini
04.08.2004 13:00 1.272 Blaue Spitzen 16.bmp
04.08.2004 13:00 82.944 clock.avi
20.05.2005 14:36 200 cmsetacl.log
16.02.2006 21:19 134.838 comsetup.log
20.05.2005 16:22 <DIR> Config
20.05.2005 16:22 <DIR> Connection Wizard
20.05.2005 14:46 0 control.ini
04.12.1994 20:11 53.552 CTCCW.DLL
04.06.2002 00:58 49.152 CTDCRES.DLL
02.07.2002 07:35 3.373.917 CTDV10K1.CDF
15.11.2001 08:25 3.735.544 CTDV10K2.CDF
02.07.2002 07:38 3.206.822 CTDVAUDY.CDF
10.10.1999 18:01 41.984 CTRegRun.exe
22.05.1996 19:24 24.976 CTRES.DLL
07.01.2006 12:33 <DIR> Cursors
20.05.2005 15:29 <DIR> Debug
04.08.2004 13:00 2 desktop.ini
19.07.2002 04:08 94.208 DEVREG.DLL
20.05.2005 16:22 <DIR> Driver Cache
20.05.2005 14:42 133 DtcInstall.log
04.08.2004 13:00 1.035.264 explorer.exe
04.08.2004 13:00 80 explorer.scf
16.02.2006 21:19 363.423 FaxSetup.log
04.08.2004 13:00 16.730 Feder.bmp
04.08.2004 13:00 26.680 F„cher.bmp
20.02.2006 19:22 61.440 gimmygames10.exe
20.02.2006 19:22 0 gimmygames101.dat
04.08.2004 13:00 26.582 Granit.bmp
07.01.2006 12:33 <DIR> Help
27.05.2005 00:22 10.752 hh.exe
20.02.2006 19:37 42.736 icont.exe
16.02.2006 21:19 53.801 iis6.log
20.05.2005 14:46 <DIR> ime
16.02.2006 21:18 1.374 imsins.BAK
16.02.2006 21:19 1.374 imsins.log
03.01.2002 18:02 20.480 INRESGER.DLL
20.05.2005 16:22 <DIR> java
04.08.2004 13:00 17.062 Kaffeetasse.bmp
16.07.2005 11:27 20.619 KB873333.log
08.01.2006 13:49 9.151 KB873339.log
16.07.2005 11:27 26.581 KB883939.log
16.07.2005 11:28 24.573 KB885250.log
16.07.2005 11:28 24.952 KB885835.log
16.07.2005 11:28 23.536 KB885836.log
16.07.2005 11:26 6.942 KB885884.log
16.07.2005 11:26 9.596 KB886185.log
16.07.2005 11:27 23.615 KB887472.log
16.07.2005 11:27 24.353 KB887742.log
16.07.2005 11:27 23.667 KB888113.log
16.07.2005 11:26 18.200 KB888302.log
16.07.2005 11:27 22.018 KB890046.log
16.07.2005 11:27 23.551 KB890175.log
16.07.2005 11:26 22.278 KB890859.log
16.07.2005 11:27 21.145 KB891781.log
16.07.2005 11:27 20.935 KB893066.log
16.07.2005 11:26 18.701 KB893086.log
13.08.2005 17:44 17.563 KB893756.log
16.07.2005 10:32 8.154 KB893803v2.log
13.08.2005 17:43 13.687 KB894391.log
16.07.2005 11:27 22.420 KB896358.log
16.07.2005 11:28 24.906 KB896422.log
13.08.2005 17:44 16.844 KB896423.log
09.11.2005 20:13 11.937 KB896424.log
16.07.2005 11:26 17.573 KB896428.log
25.10.2005 20:17 15.201 KB896688.log
13.08.2005 17:44 18.252 KB896727.log
16.07.2005 11:27 11.076 KB898461.log
13.08.2005 17:44 17.203 KB899587.log
13.08.2005 17:43 13.812 KB899588.log
13.08.2005 17:44 17.375 KB899591.log
25.10.2005 20:17 13.678 KB900725.log
25.10.2005 20:17 21.148 KB901017.log
16.07.2005 11:27 18.921 KB901214.log
25.10.2005 20:17 24.769 KB902400.log
16.07.2005 11:26 7.930 KB903235.log
25.10.2005 20:17 11.311 KB904706.log
25.10.2005 20:17 13.686 KB905414.log
25.10.2005 20:16 11.951 KB905749.log
15.12.2005 15:48 16.554 KB905915.log
11.01.2006 14:06 10.165 KB908519.log
15.12.2005 15:48 9.439 KB910437.log
16.02.2006 21:18 8.436 KB911564.log
16.02.2006 21:17 8.663 KB911565.log
16.02.2006 21:19 10.761 KB911927.log
06.01.2006 22:21 11.075 KB912919.log
16.02.2006 21:17 6.658 KB913446.log
18.02.2006 13:06 <DIR> kiki
17.07.2005 10:59 <DIR> Media
14.01.2002 07:42 61.440 MIDIDEF.EXE
01.09.2005 10:55 <DIR> Minidump
18.09.2005 10:56 11.542 ModemLog_Motorola USB Modem #2.txt
28.01.2006 15:04 11.542 ModemLog_Motorola USB Modem #3.txt
02.12.2005 12:22 11.542 ModemLog_Motorola USB Modem #4.txt
13.07.2005 16:54 6.934 ModemLog_Motorola USB Modem.txt
23.07.2005 11:55 3.350 mozver.dat
16.07.2005 11:41 <DIR> msagent
20.05.2005 16:22 <DIR> msapps
04.08.2004 13:00 1.405 msdfmap.ini
16.02.2006 21:19 19.892 msgsocm.log
10.09.2005 11:21 101 msxmlcab.log
20.05.2005 16:22 <DIR> mui
15.02.2006 19:26 116 NeroDigital.ini
04.08.2004 13:00 70.144 NOTEPAD.EXE
09.07.2005 11:50 0 nsreg.dat
15.07.2005 17:32 675 nsw.log
16.02.2006 21:19 84.718 ntdtcsetup.log
16.02.2006 21:19 229.788 ocgen.log
16.02.2006 21:19 21.967 ocmsn.log
20.05.2005 15:04 400 ODBC.INI
20.05.2005 14:45 4.161 ODBCINST.INI
20.05.2005 14:52 829 OEWABLog.txt
20.05.2005 14:44 <DIR> Offline Web Pages
16.07.2005 10:28 <DIR> OPTIONS
02.08.2005 12:23 <DIR> pchealth
20.05.2005 16:27 <DIR> PeerNet
21.02.2006 15:45 <DIR> Prefetch
20.05.2005 16:22 <DIR> Provisioning
04.08.2004 13:00 65.954 Pr„riewind.bmp
19.07.2002 04:08 184.320 PSCONV.EXE
12.02.2006 20:56 <DIR> pss
19.07.2002 04:07 176.128 READREG.EXE
04.08.2004 13:00 153.600 regedit.exe
09.07.2005 12:34 <DIR> Registration
20.05.2005 14:49 8.192 REGLOCS.OLD
20.05.2005 15:30 1.348 regopt.log
20.05.2005 14:46 <DIR> repair
20.05.2005 16:22 <DIR> Resources
04.08.2004 13:00 17.362 Rhododendron.bmp
04.08.2004 13:00 65.832 Santa Fe-Stuck.bmp
17.07.2005 11:00 73 SBWIN.INI
20.02.2006 22:32 32.622 SchedLgU.Txt
07.01.2006 16:23 <DIR> security
04.08.2004 13:00 65.978 Seifenblase.bmp
20.05.2005 14:42 1.023 sessmgr.setup.log
04.08.2004 13:00 1.014.663 SET3.tmp
04.08.2004 13:00 1.086.058 SET4.tmp
04.08.2004 13:00 14.043 SET8.tmp
15.02.2006 20:00 182.111 setupact.log
19.02.2006 18:09 832.279 setupapi.log
20.05.2005 15:29 0 setuperr.log
20.05.2005 15:34 832.538 setuplog.txt
20.05.2005 15:04 <DIR> ShellNew
07.01.2006 12:16 <DIR> SoftwareDistribution
17.02.2006 17:32 923 spupdsvc.log
20.05.2005 14:44 <DIR> srchasst
20.05.2005 15:33 0 Sti_Trace.log
26.07.2005 22:09 <DIR> Sun
20.05.2005 15:01 <DIR> system
18.02.2006 17:03 227 system.ini
04.08.2004 13:00 15.872 TASKMAN.EXE
20.02.2006 19:23 40 teller2.chk
21.02.2006 15:43 <DIR> Temp
16.02.2006 21:19 153.100 tsoc.log
04.08.2004 13:00 94.800 twain.dll
10.09.2005 11:23 <DIR> twain_32
04.08.2004 13:00 50.688 twain_32.dll
04.08.2004 13:00 49.680 twunk_16.exe
04.08.2004 13:00 25.600 twunk_32.exe
09.07.2005 13:40 99.970 UninstallFirefox.exe
11.05.2000 00:00 90.112 Updreg.EXE
16.02.2006 21:19 20.637 updspapi.log
20.05.2005 14:42 36 vb.ini
20.05.2005 14:42 37 vbaddin.ini
04.08.2004 13:00 18.944 vmmreg32.dll
20.05.2005 14:44 <DIR> Web
21.02.2006 15:43 159 wiadebug.log
21.02.2006 15:43 50 wiaservc.log
18.02.2006 17:03 573 win.ini
17.07.2005 10:41 95 winamp.ini
21.02.2006 15:43 1.688.531 WindowsUpdate.log
04.08.2004 13:00 257.568 winhelp.exe
04.08.2004 13:00 288.768 winhlp32.exe
20.05.2005 15:29 <DIR> WinSxS
20.02.2006 19:22 90.112 winsysban10.exe
16.02.2006 18:15 90.112 winsysban9.exe
20.02.2006 19:22 20.480 winsysupd10.exe
20.02.2006 19:23 0 winsysupd101.dat
13.02.2006 17:02 0 winsysupd71.dat
16.02.2006 18:15 0 winsysupd81.dat
16.02.2006 18:15 40.960 winsysupd9.exe
20.02.2006 19:22 0 winsysupd91.dat
04.08.2004 13:00 34.818 wmprfDEU.prx
19.02.2006 18:17 63.116 wmsetup.log
10.09.2005 11:21 316.640 WMSysPr9.prx
04.08.2004 13:00 9.522 Zapotek.bmp
04.08.2004 13:00 707 _default.pif
21.02.2006 15:43 3.374.719 {00000001-00000000-0000000A-00001102-00000002-80651102}.BAK
21.02.2006 15:43 3.374.719 {00000001-00000000-0000000A-00001102-00000002-80651102}.CDF
158 Datei(en) 28.841.248 Bytes
38 Verzeichnis(se), 3.771.703.296 Bytes frei

 

Hallo,
bringt mich leider nicht viel weiter sind nur die Virendrauf zu erkennen, die ich auch schon im Hijack'This Log gesehen habe.
Ansonsten sollte ja zum Neuaufsetzen jetzt alles klar sein.


Grüße Jasager