Virus? Trojaner? *Ratlos*

Hallo zusammen,

ich habe folgendes Problem. Von einem auf den anderen Moment wollte Counterstrike nicht starten, obwohl es im Task Manager angezeigt wurde. Das selbe mit Battlefield. Seltsam. Ich öffne den Arbeitsplatz und möchte eine CD abspielen, keine Rückmeldung vom Arbeitsplatz, alles hängt sich auf, der Explorer beendet. Hört sich für mich alles nach einem Virus an. Da ich mich da natürlich nicht so gut auskenne, suche ich hier nach Hilfe. Angehängt habe ich die Logfile von hijackthis. Ich hoffe auf schnelle Antwort, vielen vielen Dank im Vorraus.



EDIT: Als ich gerade WoW startet, teilte mir das Spiel mit, dass der Trojaner "Trojan-Downloader.Win32.Agent variant" gefunden wurde, und dadurch das Spiel gefährdet werden könnte.

 

Hallo

Laut dem Log ist deine Betriebssystem Windows XP SP2. Was macht dann bitteschön ein Vista-Prozess (WUDFHost.exe) auf deinem Rechner?

Die folgenden Einträge bitte mal fixen:

• O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.44 85.255.112.200
• O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.44 85.255.112.200
• O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.44 85.255.112.200

Die folgenden Einträge bitte mal dahingehend prüfen, ob dir die IP-Adresse bekannt vorkommt:

• O17 - HKLM\System\CS2\Services\Tcpip\..\{0036A2B6-8F83-4722-8996-DFAB3C28F0FB}: NameServer = 85.255.115.44,85.255.112.200
• Unbekannt
• O17 - HKLM\System\CS1\Services\Tcpip\..\{0036A2B6-8F83-4722-8996-DFAB3C28F0FB}: NameServer = 85.255.115.44,85.255.112.200
• O17 - HKLM\System\CCS\Services\Tcpip\..\{E48C0F12-3292-4F36-9CDB-6446640795C1}: NameServer = 85.255.115.44,85.255.112.200
• O17 - HKLM\System\CCS\Services\Tcpip\..\{82EF3D50-638B-49C4-8522-664D687DF6DF}: NameServer = 85.255.115.44,85.255.112.200
• O17 - HKLM\System\CCS\Services\Tcpip\..\{52F36381-B6A8-4CEF-A7E2-6FCE5A52E7ED}: NameServer = 85.255.115.44,85.255.112.200
• Unbekannt
• O17 - HKLM\System\CCS\Services\Tcpip\..\{202CD140-5D21-409C-AE85-F0406AC95DE1}: NameServer = 85.255.115.44,85.255.112.200
• Unbekannt
• O17 - HKLM\System\CCS\Services\Tcpip\..\{114DA8DF-3C5C-4FE0-BC54-BB744CDBFECD}: NameServer = 85.255.115.44,85.255.112.200
• O17 - HKLM\System\CCS\Services\Tcpip\..\{0036A2B6-8F83-4722-8996-DFAB3C28F0FB}: NameServer = 85.255.115.44,85.255.112.200

Wenn nicht, dann ebenfalls fixen. Was "fixen" heißt, kannst du hier nachlesen:

http://members.linzag.net/680262/HJT/HijackThis.html#Was_bedeutet_FIXEN

Anschließend bitte nochmal ein neues Log in der gleichen Weise wie im Eröffnungsbeitrag posten.

Gruß
Nevok

 

So, hab nu den ganzen 017 Mist gelöscht (Hoffe ich) Angehängt wieder die Logfile von hijackthis

EDIT: Was den Vista Prozess angeht, ich hab das Costumation Pack drauf, also dass die Symbole und Leisten Vista-like aussehen, vielleicht könnte es daran liegen...

 

So, das Log ist dann soweit OK. Allerdings ist dein Adobe Reader total veraltet. Bitte mal Version 8 besorgen. Ebenso könnte dein Java Runtime Environment eine Update vertragen.

Die folgenden Einträge sind zwar harmlos, würde ich aber trotzdem fixen:

• C:\DOKUME~1\Schmid\LOKALE~1\Temp\Rar$DI00.984\CLRAV.COM
• C:\DOKUME~1\Schmid\LOKALE~1\Temp\Rar$DI00.984\chp3E.tmp

Im zweiten Log taucht der Vista-Prozess nicht mehr auf. Hast du das Costumation Pack deaktiviert?

 

Habe nun die Programme aktualisiert..., weiß aber nicht wie ich die Prozesse

* C:\DOKUME~1\Schmid\LOKALE~1\Temp\Rar$DI00.984\CLRAV.COM
* C:\DOKUME~1\Schmid\LOKALE~1\Temp\Rar$DI00.984\chp3E.tmp

entfernen soll, die sind nämlich zwar in der Logfile verzeichnet, aber nicht dort, wo man die Einträge "fixen" kann. Ja nur leider habe ich den Trojaner immer noch aufm PC. Und das Customation Pack hab ich nicht entfernt, nein. Ich hänge hier mal trotzdem noch die Logfile an.


:nixwissen

 

Wer hat denn den Trojaner gemeldelt? Und wo (bitte Pfad angeben)? Laut HJT-Log ist kein Trojaner auf deinem Rechner.

 

*Hust*, ja also es scheint so als gäbe es wirklich keinen Trojaner mehr, hab noch n paar Progs durchlaufen lassen, die ham auch was gefunden. Ok, also dann würde ich vllt. noch gerne wissen ob die Logfile hier nun auch wirklich sauber ist? Es scheint nämlich wieder alles zu funktionieren!

Im Vorraus will ich auf jeden Fall meinen besten Dank an meinen Meister ausprechen!

 

Das verstehe ich jetzt nicht ganz. Wenn es keinen Trojaner mehr gibt, wie du schreibst, was haben dann die anderen Programme (welche waren das?) gefunden?

Ja, das Logfile ist sauber.

Nun übertreib mal nicht. Ich bin auch nicht allwissend. Ich weiß aber, wo ich suchen muss.

 

Also das war eigentlich nur AVG Anti Spyware, den Bericht hab ich hier...

 

AVG Anti-Spyware hat aber überwiegend Cookies entfernt, außer beim letzten Eintrag im Bericht, da wurde wohl ein Wurm entfernt.

 

Jo, das wird er wohl gewesen sein. Also

 

@ Deaty

War mir ein Vergnügen.

 

Ja ich hoffe doch mal, dass jetzt alles in Ordnung bleibt....

 

Wenn du die Hinweise auf der nachfolgenden Seite beherzigst, dann sollte es so bleiben wie es jetzt ist:

http://www.cidres-security.de/sicherheitskonzept.html