Trojanisches Pferd "Qhost.AA"

#1 Hallo,

Mit der selben Frage wie Herr/Frau tick vom 01.07.05
(wie werde ich das trojanische Pferd "Qhost.AA" los)

sende ich die Log Datei an erfahrenere leute.
Ich danke für die Ratschläge im Voraus.
Grüße

Logfile of HijackThis v1.99.1
Scan saved at 16:45:35, on 07/25/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\hidserv.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\ZoneAlarm\ZoneAlarm\zlclient.exe
C:\WINNT\system32\skybot.exe
C:\Programme\AGFEO\ISDN Guard\agfguard.exe
E:\downloads\virenscanner\HijackThis.exe
C:\WINNT\system32\ZONELABS\vsmon.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.oemji.com/side_search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oemji.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oemji.com/side_search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oemji.com/side_search.html
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: PBHelper - {4115122B-85FF-4DD3-9515-F075BEDE5EB5} - C:\Programme\Oemji\Toolbar\PopupBlocker\PBHelper.dll
O2 - BHO: OemjiSearchPlus - {D240DC29-C093-4388-B71F-A7103C796B0C} - C:\Programme\Oemji\OemjiSearchPlus\OemjiPls.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Oemji - {804DB5C7-31E6-4885-850A-F1941B58A4C7} - C:\Programme\Oemji\Toolbar\OemjiSrc.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Microsoft Inet Xp..] teekids.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ winsystem.sys] C:\WINNT\msagent\win32\smss.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\ZoneAlarm\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVGNT.EXE /min
O4 - HKLM\..\Run: [WINDOWS SYSTEM] skybot.exe
O4 - HKLM\..\RunServices: [WINDOWS SYSTEM] skybot.exe
O4 - HKCU\..\Run: [ATI Launchpad] "C:\Programme\ATI Multimedia\main\launchpd.exe"
O4 - HKCU\..\Run: [_winsystem.sys] C:\WINNT\msagent\win32\smss.exe
O4 - Global Startup: ISDN Guard.lnk = C:\Programme\AGFEO\ISDN Guard\agfguard.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINNT\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O12 - Plugin for .asp: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O17 - HKLM\System\CCS\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{37B09ACC-AF74-42FB-AF3D-F7E6AFC5B528}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O20 - Winlogon Notify: nwprovau - C:\WINNT\SYSTEM32\nwprovau.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINNT\system32\ZONELABS\vsmon.exe

#2 Internet Explorer unbedingt auf den aktuellen Stand bringen!

Möglicherweise böse:
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\msagent\win32\smss.exe

Bei http://www.virustotal.com prüfen!

Höchstwahrscheinlich böse:
C:\WINNT\system32\skybot.exe (Mytob-Wurm - W32.Mytob.EB@mm)

Irgendwo befindet sich eine Datei namens teekids.exe. Die könnte der Blaster.C sein.


Unbedingt fixen:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.oemji.com/side_search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oemji.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oemji.com/side_search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oemji.com/side_search.html
O2 - BHO: PBHelper - {4115122B-85FF-4DD3-9515-F075BEDE5EB5} - C:\Programme\Oemji\Toolbar\PopupBlocker\PBHelper.dll
O2 - BHO: OemjiSearchPlus - {D240DC29-C093-4388-B71F-A7103C796B0C} - C:\Programme\Oemji\OemjiSearchPlus\OemjiPls.dll
O3 - Toolbar: Oemji - {804DB5C7-31E6-4885-850A-F1941B58A4C7} - C:\Programme\Oemji\Toolbar\OemjiSrc.dll
O4 - HKLM\..\Run: [Microsoft Inet Xp..] teekids.exe
O4 - HKLM\..\Run: [ winsystem.sys] C:\WINNT\msagent\win32\smss.exe
O4 - HKLM\..\Run: [WINDOWS SYSTEM] skybot.exe
O4 - HKLM\..\RunServices: [WINDOWS SYSTEM] skybot.exe
O4 - HKCU\..\Run: [_winsystem.sys] C:\WINNT\msagent\win32\smss.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{37B09ACC-AF74-42FB-AF3D-F7E6AFC5B528}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{02397341-17DB-4C93-B619-F43DDFA1A15D}: NameServer = 1.1.1.1,3.3.3.3
O20 - Winlogon Notify: nwprovau - C:\WINNT\SYSTEM32\nwprovau.dll

Also... ganz ehrlich: Die Festplatte formatieren und Windows neu installieren ist wohl am einfachsten, so verseucht, wie Dein PC erscheint. Eine Säuberung würde vermutlich zu viel Zeit beanspruchen und es ist nicht garantiert, dass Dein PC danach noch richtig funktioniert.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser