Besuch von Worm/RBot80503

#1 Hallo,
es ist wieder soweit, leider, bitte um hilfe, hier mein Logfile von HijackThis der eScan läuft gerade und folgt:


Logfile of HijackThis v1.99.1
Scan saved at 23:03:35, on 09.08.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\eMule\emule.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Dokumente und Einstellungen\EA\Eigene Dateien\Neuer Ordner (3)\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [steam] steam.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\RunServices: [steam] steam.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123065066959
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1123366105209
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4549/mcfscan.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

EDIT

Also jetzt wirds gruselig für mich! Der eScan ist fertig, nun möchte ich im Scan.Check den MWAV-Log öffnen, doch dann sagt er 'keine Datei zum Löschen gefunden'. Wie soll ich den hier veröffentlichen? Warum tut er das? Vor kurzem hatte ich ja schonmal so ein ähnliches Problem da lief noch alles, aber jetzt...

Was soll ich machen, hat der Virus schon meine Programme verändert????

#2 Hallo@dslsiemens

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

O4 - HKLM\..\Run: [steam] steam.exe
O4 - HKLM\..\RunServices: [steam] steam.exe

PC neustarten

winpfind (poste alles)
http://virus-protect.org/winpfind.html


Start--> Ausfuehren--> cmd--> DOS oeffnet sich-->kopiere nur die Eintraege der letzten 30 Tage raus-->mit pfad

einzeln reinkopieren: (der Editor wird sich oeffnen)

cd\
cd %windir%\system32
dir /a:-d /o:-d > %systemdrive%\system32.txt
start %systemdrive%\system32.txt
cls
exit

cd\
cd %temp%\
dir /a:-d /o:-d > %systemdrive%\systemtemp.txt
start %systemdrive%\systemtemp.txt
cls
exit

cd\
cd %windir%
dir /a:-d /o:-d > %systemdrive%\system.txt
start %systemdrive%\system.txt
cls
exit

cd\
dir /a:-d /o:-d > %systemdrive%\sys.txt
start %systemdrive%\sys.txt
cls
exit
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hi,
hab jetzt meine Platte formatiert um win me zu installieren (XP=unsicherheitfaktor!) doch es werden viele Fehler festgestellt es kommt nicht zu einer installation. Zudem erscheinen dann ganz merkwürdige Symbole (zB.:Herzchen!) in verbindung mit Zahlen und Buchstaben. Sind das auswirkungen vom Virus Worm/RBot80503, der war ja noch auf der Platte? Mit format c: hätte ich gedacht werde ich ihn los... kann ich jetzt die Festplatte wegschmeissen?

#4

Zitat

dslsiemens postete
Hi,
hab jetzt meine Platte formatiert um win me zu installieren (XP=unsicherheitfaktor!) doch es werden viele Fehler festgestellt es kommt nicht zu einer installation. Zudem erscheinen dann ganz merkwürdige Symbole (zB.:Herzchen!) in verbindung mit Zahlen und Buchstaben. Sind das auswirkungen vom Virus Worm/RBot80503, der war ja noch auf der Platte? Mit format c: hätte ich gedacht werde ich ihn los... kann ich jetzt die Festplatte wegschmeissen?

1. Brauchst die Festplatte nicht wegzuschmeißen. Formatieren reicht. Es kann allerdings sein, wenn du Daten gesichert hast, du den Wurm wieder zurückgespielt hast. (z.B. zweite Partition, Backup usw.)

2. XP durch Me zu ersetzten ist unsinn. Es gibz kein sichereres (Windows) Betriebssystem als XP. Allerdings gilt das halt nicht für die Standardkonfiguration. Aber dazu, wie man XP am besten konfiguriert, gibt es hier im Forum schon genug.
Außerdem hat Me von Haus aus schon jede Menge Bugs. Ich bezeichne Me jetzt einfach mal als das misserabelste Windows-System aller Zeiten. Hat es sogar geschafft mich zu Linux zu bekehren

#5 Hallo@dslsiemens
wenn du ausgefuehrt haettest, was ich geschrieben habe, haetten wir den backdoor entfernt,und alles waere in Butter.

Nun, du musst wissen, was du tust, aber WINMe auf XP ?????????????Das kann doch nicht gutgehen.....
__________
MfG Sabina

rund um die PC-Sicherheit

#6 Hi,
erstmal danke für Eure Hinweise. Ich hab jetzt wieder XP drauf, das mit winMe war wohl unüberlegt!
Ganz speziellen dank an Sabina für die kompotente hilfe, ganz sicher werde ich bald wieder drauf zürückgreifen müssen!

mfG
dslsiemens