LowZones.A und ander lowzones die sich nicht löschen lassen

#1 hi alle miteinander also ich hab mit antivir schon was weis ich wie oft gescnned doch beim nächsten scan sind die trojaner immernoch da und jetz hab ich ma mithijackthis gescaned und da kamm unten stehendes bei raus....auch hab ich mit a²squared und ad-aware se persional editon gescaned doch auch dort geht die spyware nicht weg....




Logfile of HijackThis v1.99.1
Scan saved at 15:57:38, on 23.06.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\navupdate64.exe
C:\Programme\RFA\rfagent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\programme\steam\steam.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWIN.EXE
C:\PROGRAMME\T-ONLINE\T-ONLINE_SOFTWARE_5\BROWSER\BROWSER.EXE
c:\programme\t-online\t-online_software_5\browser\dlman.exe
C:\Dokumente und Einstellungen\Ed\Eigene Dateien\downloads\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.de/0SEDEDE/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://my.freeze.com/start.shtml
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\WINDOWS\PCHealth\HelpCtr\System\panels\blank.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://g.msn.com/8SE/1?http://toolbar.msn.de/installsuccess.aspx&&FORM=TOOLBR&DI=3021&CM=MsgrInstall
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [MS UniX] navupdate64.exe
O4 - HKLM\..\Run: [rfagent] "C:\Programme\RFA\rfagent.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
O4 - HKLM\..\RunServices: [MS UniX] navupdate64.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Steam] "c:\programme\steam\steam.exe" -silent
O4 - HKCU\..\Run: [MS UniX] navupdate64.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: ppctlcab - http://ppupdates.ca.com/downloads/scanner/ppctlcab.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://ppupdates.ca.com/downloads/scanner/axscanner.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1118579247415
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4EDFAB30-F910-4D2B-BA1A-3C28BF9FF3CB}: NameServer = 217.237.150.33 217.237.151.161
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Hardware Clock Driver (hwclock) - Unknown owner - C:\WINDOWS\System32\hwclock.exe (file missing)
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe




_____________________
ps ich kann kein sp2 installieren weil dan der pc nicht mehr hochfährt und er braucht jetz schon lange...an knopf--->ladebildschirm von windows-->dann kommt bildschirm wo steht "windows wird gestartet bitte warten" des dauert dann bestimmt 30sec un dann is er erst im desktop des war vorher nie.....
ich hoff ihr koennt mir helfen hatte auch schon mal vor kurzem formatiert aber die trojaner waren nicht weg

#2 Da is noch ganz anderes Zeug abei, z.B. "W32/Sdbot". Am besten noch mal formatieren und beim Aufsetzten das beachten: siehe Link unten!


Ach ja, wenn du backupen willst, VOR dem zurückspielen ALLE Dateien überprüfen lassen.

http://board.protecus.de/t13019.htm

#3 ja ok danke aber ich hab ne frage kann ich das formatieren nicht umgehen? weil ich will nicht schon wieder formatieren und des alles runterladen und installieren und bla..........gehts nicht noch auf einem anderen weg?

#4 Es wäre zwar möglich den Wurm zu löschen, aber bei SdBot handelt es sich um ein Backdoorprogramm. Das heist, dass das System nicht wieder Vertrauenswürdig sein wird. Falls du's reinigen willst siehe hier:

http://www.sophos.de/virusinfo/analyses/w32sdbotzm.html

Zu den Problemen:

http://www.microsoft.com/technet/community/columns/secmgmt/sm0504.mspx

#5 ja aber ich hab ja schon mal formatiert und dann war ja des problem imemrnoch da........also mit den trojanern....nix weg was soll ich denn da machen?! oO

#6 Hast du da Daten gesichert?

#7 nee ich hab bis jetz noch gar nix gemacht......weil wenn ich formatier so wie es oben steht fallen mir bestimmt nach dem 3 schritt oder so die restlichen schritte nicht mehr ein......

#8 Ich mein ja nicht jetzt, sondern da wo du ihn schonmal formatiert hast?

#9 Hallo,
ich habe mir auf dem PC den Rootkit / Trojaner TR/Spy.Agent.dg.2B eingefangen.
Wer kann mir sagen, wie ich den wieder los werde damit mein PC wieder richtig funktioniert und nicht immer Programme von selbst ausführt oder der blaue Bildschim erscheint und sagt das Windows (XP mit allen SP) aus Sicherheitsgründen runter gefahren wird.

#10 nee gar nix gesaved an daten......ich hatte nur windows nochma ueber mein altes drüber installiert mehr nicht

#11 Dann ist klar warum die Trojaner nicht weg waren. Musst wenn dann schon mit format c: vorgehen. Einfach drüber installieren bringt da nichts.
-----------------------------------------------------------------------------
Für Rootkit's siehe hier:

http://board.protecus.de/t16624.htm

#12 aja ich hab mir des ma gesaugt des tool un hab au gescanned also finden tut er nix ...aber auch rein garnix....

#13

Zitat

SnaRe postete
aja ich hab mir des ma gesaugt des tool un hab au gescanned also finden tut er nix ...aber auch rein garnix....

Warst ja eigentlich auch nicht du gemeint, sondern "Zimtstern". Tut mir Leid, wenn ich mich missverständlich ausgedrückt hab. BlackLight ist nämlich rein gegen Rootkits. Aber jetzt weißt du zumindest schon mal, dass du wahrscheinlich kein Rootkit hast.

#14 haha macht nix lieber einmal mehr gescanned als einmal zu wenig =P naja jetz hab ich nochmal ad-aware und antivir geupdated un drüber laufen gelassen un des findet nix mehr bei anti vir stehn 25 warnungen soll ich den report ma reinposten?

#15 Kannste machen. Solltest aber am besten auch noch mal ein oder zwei Online-Scans durchführen, z. B.
http://www.bitdefender.de/scan/licence.html oder
http://www.pandasoftware.com/activescan/com/activescan_principal.htm oder
http://de.trendmicro-europe.com/enterprise/products/housecall_pre.php

Funzen übrigends nur mit dem IE.

Poste außerdem bitte mal ein aktuelles Hijack-This Log.