DSO Expoit - Backdoor.Rbot.gen

#1 Hallo,

erstmal besten Dank @ Sabina für die umfassende Hilfe.

Das Problem mit Spybot habe ich jedoch noch immer. Es wird angezeigt, dass ein DSO Exploit auf meinem Rechner ist. Nach dem Entfernen erscheint bei der nächsten Suche die Fehlermeldung wieder.

Ich hatte wohl explore32.exe auf meinem Rechner, den ich mit Hilfe von Sabina und E-Scan entfernt habe.

Anbei mein Log von Hijackthis sowie die "renamed" und "no action taken" Auszüge aus E-Scan.

Könntet ihr bitte einen Blick darauf werfen? Heeeeeeeeeeeeeeeeeelp!

Gruß

Slim



Log Hijackthis:
Platform: Windows 2000 SP4
MSIE: Internet Explorer v6.00 SP1

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
D:\Systemprogramme\AntiVir\AVWUPSRV.EXE
C:\WINNT\System32\cisvc.exe
C:\WINNT\System32\svchost.exe
D:\Systemprogramme\Norton AntiVirus\navapsvc.exe
C:\WINNT\System32\nvsvc32.exe
D:\Systemprogramme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\slserv.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\system32\internat.exe
D:\Systemprogramme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\WINNT\System32\cidaemon.exe
E:\Sources\anti trojaner\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\systemprogramme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Systemprogramme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Systemprogramme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Systemprogramme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Acrobat Assistant.lnk = D:\Systemprogramme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O12 - Plugin for .swf: D:\Systemprogramme\Netscape\Communicator\Program\PLUGINS\npswf32.dll


"renamed" und "no action taken" Auszüge aus E-Scan:

File C:\WINNT\localNRD.dll infected by "not-a-virus:AdvWare.BiSpy.n" Virus. Action Taken: File Renamed.

File C:\WINNT\preInsln.exe infected by "not-a-virus:AdvWare.BiSpy.o" Virus. Action Taken: File Renamed.

File C:\Programme\Online Services\AT&T\ATTSETUP.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

***** Scanning Memory Files *****
Scanning File C:\WINNT\system32\services.exe
ERROR!!! MS_WaitForScanComplete return 80004005...
Some internal problem (0x80004005)! Exiting Application now... Try Again
AV Library Unloaded (4)...
possibly infected and removed by background antivirus package!
File infected by "BkCln.Unknown" Virus. Action Taken: No Action Taken

File D:\Systemprogramme\Norton AntiVirus\Quarantine\15EF1EE2 infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.

File D:\Systemprogramme\Norton AntiVirus\Quarantine\65A814D7.exe infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.

File D:\Systemprogramme\Norton AntiVirus\Quarantine\71AD0BE6.htm infected by "Exploit.CodeBaseExec" Virus. Action Taken: File Renamed.

File C:\Programme\Online Services\AT&T\ATTSETUP.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

D:\Systemprogramme\Norton AntiVirus\Quarantine\65A814D7.exe.mwt File already Scanned once... not able to clean.

D:\Systemprogramme\Norton AntiVirus\Quarantine\71AD0BE6.htm.mwt File already Scanned once... not able to clean.

File C:\RECYCLED\Dc3332.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

#2

Zitat

Das Problem mit Spybot habe ich jedoch noch immer. Es wird angezeigt, dass ein DSO Exploit auf meinem Rechner ist. Nach dem Entfernen erscheint bei der nächsten Suche die Fehlermeldung wieder.

Das ist ein Bug in Spybot, kannst du ignorieren. Steht auch schon ungefähr 268 mal hier im Forum.

Zu dem Log:
Dein IE ist nicht aktuell, besuch www.windowsupdate.com oder verwende am besten einen anderen.

C:\WINNT\system32\slserv.exe
Kann ein Virus sein, muss aber nicht. Am besten per http://www.kaspersky.com/de/remoteviruschk.html checken. Wenn es einer ist den Task beenden und die Datei löschen.

Den Virus in der laufenden Services.exe wirst du nur los, wenn du im abgesicherten Modus scannst.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#3 Hi asdrubael

vielen Dank für die Antwort.

Laut Kaspersky ist slserv.exe kein Virus.

Was meinst du mit dem Virus im Services.exe?

Gruß

Slim

Zitat

C:\WINNT\system32\slserv.exe
Kann ein Virus sein, muss aber nicht. Am besten per http://www.kaspersky.com/de/remoteviruschk.html checken. Wenn es einer ist den Task beenden und die Datei löschen.

Den Virus in der laufenden Services.exe wirst du nur los, wenn du im abgesicherten Modus scannst.

#4 Scanning File C:\WINNT\system32\services.exe
ERROR!!! MS_WaitForScanComplete return 80004005...
Some internal problem (0x80004005)! Exiting Application now... Try Again
AV Library Unloaded (4)...
possibly infected and removed by background antivirus package!
File infected by "BkCln.Unknown" Virus. Action Taken: No Action Taken

Das hier macht mich stutzig. Wenn ich das recht verstehe kann er diese Datei nicht normal scannen und vermutet das es sich um einen laufenden Virus handelt. Wie gesagt probier´s mal im abgesicherten Modus ob die Meldung dann auch kommt.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#5 Hi

Kaspersky sagt alles ok. Die Fehlermeldung bekomme ich jedoch wieder. Was kann ich machen?

Anbei mein Log von Hijackthis. Ist sonst alles Ok?

Gruß

Slim

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
D:\Systemprogramme\AntiVir\AVWUPSRV.EXE
C:\WINNT\System32\cisvc.exe
C:\WINNT\System32\svchost.exe
D:\Systemprogramme\Norton AntiVirus\navapsvc.exe
C:\WINNT\System32\nvsvc32.exe
D:\Systemprogramme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\slserv.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\system32\internat.exe
D:\Systemprogramme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
E:\Sources\anti trojaner\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\systemprogramme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Systemprogramme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Systemprogramme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Systemprogramme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Acrobat Assistant.lnk = D:\Systemprogramme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O12 - Plugin for .swf: D:\Systemprogramme\Netscape\Communicator\Program\PLUGINS\npswf32.dll