nachwehen von smitfraud .c

#1 Hallo zusammen,

ich habe gestern mit einer Anleitung vom Trojaner-Board (www.trojaner-board.de/showthread.php?t=17863) den Trojaner smitfraud.c aka Troj/Fake Ale-c entfernt.

Als ich gestern Abend den PC dann wieder aufgestartet habe, ist alle 5 Sekunden die Meldung:

"explorer.exe hat ein Problem festgestellt und muss beendet werden" über den Bildschirm geflimmert. Man kann zwar weiterarbeiten, aber es gestaltet sich sehr mühsam!!!

Ich habe keine Ahnung, ob ich vielleicht mit hjacker zu viel gefixt oder evtl. einen wichtigen Eintrag in der Registry gelöscht habe.

Wäre sehr froh, wenn mir jemand helfen könnte! Entweder gibt es eine Lösung für das Problem oder ich würde die Kiste gern in den Lieferzustand zurückversetzen.

Ich poste hier mal noch mein letztes hijack-file:

Logfile of HijackThis v1.99.1
Scan saved at 15:15:01, on 05.07.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\netddeclnt.exe
C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe
C:\Programme\Hewlett-Packard\Toolbox\jre\bin\javaw.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Programme\CleanMyPC\Registry Cleaner\RCScheduler.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\System32\dwwin.exe
C:\Dokumente und Einstellungen\pc\Lokale Einstellungen\Temp\Temporäres Verzeichnis 6 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ch/
O4 - HKLM\..\Run: [ATIPTA] C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [StatusClient 2.6] C:\Programme\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [TomcatStartup 2.5] C:\Programme\Hewlett-Packard\Toolbox\hpbpsttp.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"
O4 - HKCU\..\Run: [Registry Cleaner Scheduler] "C:\Programme\CleanMyPC\Registry Cleaner\RCScheduler.exe" /startup
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120551993250
O17 - HKLM\System\CCS\Services\Tcpip\..\{7AE39D40-E2A8-40F9-A411-A5A186B026BD}: NameServer = 195.186.4.109 195.186.1.109
O20 - Winlogon Notify: style2 - C:\WINDOWS\q4704421_disk.dll
O23 - Service: Workstation Service Library (Microsoft Locator Service) - Unknown owner - C:\WINDOWS\wkssvc.exe
O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINDOWS\System32\netddeclnt.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

Vielen Dank schon mal!

#2 Immerhin hast Du noch Gator drauf
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe

und was das folgende ist, weiß ich nicht:
O20 - Winlogon Notify: style2 - C:\WINDOWS\q4704421_disk.dll

Ansonsten solltest Du evtl. mal das SP2 installieren, dabei werden auch - so denke ich - Systemeinstellungen repariert bzw. veraltete dlls ersetzt, die evtl. für den Absturz verantwortlich sind.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#3 Da ist noch erheblich mehr drauf! Unter anderem dieser üble Bursche:
C:\WINDOWS\System32\netddeclnt.exe = W32/Codbot-M

http://www.sophos.com/virusinfo/analyses/w32codbotm.html

Zitat

W32/Codbot-M is a worm and IRC backdoor Trojan for the Windows platform.

W32/Codbot-M runs continuously in the background, providing a backdoor server which allows a remote intruder to gain access and control over the computer via IRC channels.

W32/Codbot-M can spread to remote network shares and computers vulnerable to the following exploits: LSASS (MS04-011), RPC-DCOM (MS04-012) and MSSQL (MS02-039) (CAN-2002-0649). For patches for these vulnerabilities, see:

http://www.microsoft.com/technet/security/bulletin/MS02-039.mspx
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx
http://www.microsoft.com/technet/security/bulletin/MS04-012.mspx

When first run W32/Codbot-M copies itself to <System>\netddeclnt.exe.

W32/Codbot-M is registered as a new system driver service named "NetDDEclnt", with a display name of "Network DDE Client" and a startup type of automatic, so that it is started automatically during system startup. Registry entries are created under:

HKLM\SYSTEM\CurrentControlSet\Services\NetDDEclnt\

W32/Codbot-M also creates the following registry entries in order to run as a service process in safe mode:

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NetDDEclnt

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEclnt

Deswegen meine Empfehlung: Format C: und Neuaufsetzen des Systems.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#4 Ok, habe gemerkt, dass jetzt auch noch Word defekt ist, ich glaube ich gebe einfach auf und installiere Windows neu. Vielen Dank auf jeden Fall, auch wenns leider nichts mehr gebracht hat.... :-(

lusor