Worm, Malware, Virus ?

#1 Mein Antivir zeigt Worm irgendwas... und PC rebootet sich von alleine und ein Programm versucht ins Internet zuzugreifen.... Was tun???

Zitat

Logfile of HijackThis v1.99.1
Scan saved at 22:06:36, on 26.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Dokumente und Einstellungen\luv\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/service/redir/ie_suche.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/service/redir/ie_t-online.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von T-Online International AG
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=www-proxy.t-online.de:80;ftp=ftp-proxy.t-online.de:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.t-online.de;localhost;<local>
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MSWORD~1\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MSWORD~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MSWORD~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MSWORD~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MSWORD~1\Office12\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de/service/redir/ie_t-online.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1145106904621
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F551} (Flatcast Viewer 4.15) - http://www.flatcast.com/de/download/NpFv415.dll
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MSWORD~1\Office12\GR99D3~1.DLL
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: SASWinLogon - D:\Programme\SUPERAntiSpyware\SASWINLO.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

datfind.bat Auszüge:

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Verzeichnis von C:\WINDOWS\system32

26.01.2007 21:58 2.206 wpa.dbl
26.01.2007 21:58 54.112 vsconfig.xml
26.01.2007 21:51 54.222 game.exe
23.01.2007 19:35 46.592 zlbw.dll
23.01.2007 19:34 54.403 game0.exe
23.01.2007 11:54 7.346 peers.ini
23.01.2007 11:54 32.387 game5.exe

03.01.2007 00:19 10.980.776 MRT.exe
01.01.2007 23:51 98.304 CmdLineExt.dll
07.12.2006 07:40 2.362.184 wmvcore.dll
03.12.2006 17:02 315.560 FNTCACHE.DAT
03.12.2006 15:28 314.508 perfh009.dat
03.12.2006 15:28 320.104 perfh007.dat
03.12.2006 15:28 40.836 perfc009.dat
03.12.2006 15:28 49.166 perfc007.dat
03.12.2006 15:28 724.842 PerfStringBackup.INI
14.11.2006 18:53 412 jupdate-1.4.2_13-b06.log
11.11.2006 19:22 4.212 zllictbl.dat
10.11.2006 11:59 87 ssprs.tgz
10.11.2006 11:59 16 servdat.slm
10.11.2006 11:59 73 ssprs.dll
10.11.2006 11:59 219 lsprst7.tgz
10.11.2006 11:59 205 lsprst7.dll
10.11.2006 11:53 1.025 sysprs7.dll
10.11.2006 11:53 1.025 sysprs7.tgz
10.11.2006 11:52 0 nsprs.tgz
10.11.2006 11:52 0 serauth2.dll
10.11.2006 11:52 0 serauth1.dll
10.11.2006 11:52 0 nsprs.dll
10.11.2006 11:52 1.024 clauth2.dll
10.11.2006 11:52 1.024 clauth1.dll
08.11.2006 06:06 679.424 inetcomm.dll
04.11.2006 14:14 1.245.696 msxml4.dll
26.10.2006 19:56 32.592 msonpmon.dll
26.10.2006 14:40 36.672 FM20DEU.DLL
26.10.2006 14:10 1.190.688 FM20.DLL
26.10.2006 14:10 33.088 FM20ENU.DLL
26.10.2006 13:45 207.360 INKED.DLL
26.10.2006 13:45 293.376 WISPTIS.EXE
25.10.2006 19:15 65.536 QuickTimeVR.qtx
25.10.2006 19:15 49.152 QuickTime.qts
23.10.2006 16:17 474.624 shlwapi.dll
23.10.2006 16:17 1.494.528 shdocvw.dll
23.10.2006 16:17 615.936 urlmon.dll
23.10.2006 16:17 664.576 wininet.dll
23.10.2006 16:17 3.076.096 mshtml.dll
23.10.2006 16:17 146.432 msrating.dll
23.10.2006 16:17 532.480 mstime.dll
23.10.2006 16:17 448.512 mshtmled.dll
23.10.2006 16:17 39.424 pngfilt.dll
23.10.2006 16:17 16.384 jsproxy.dll
23.10.2006 16:17 96.768 inseng.dll
23.10.2006 16:17 251.392 iepeers.dll
23.10.2006 16:17 152.064 cdfview.dll
23.10.2006 16:17 1.022.976 browseui.dll
23.10.2006 16:17 205.312 dxtrans.dll
23.10.2006 16:17 1.056.256 danim.dll
23.10.2006 16:17 55.808 extmgr.dll
23.10.2006 16:17 357.888 dxtmsft.dll
23.10.2006 12:42 123.392 xpsp3res.dll
22.10.2006 11:34 230 spupdsvc.inf
20.10.2006 02:38 715.776 sxs.dll
17.10.2006 12:01 13.312 ieudinit.exe
13.10.2006 13:35 146.432 nwprovau.dll
13.09.2006 06:02 1.084.416 msxml3.dll
06.09.2006 16:43 22.752 spupdsvc.exe
05.09.2006 13:38 28.859 x_dtrace_log
05.09.2006 11:37 0 00A92670_kds.xml
01.09.2006 07:44 8.798 icrav03.rat

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Verzeichnis von C:\DOKUME~1\luv\LOKALE~1\Temp

26.01.2007 21:59 512 ~DF658A.tmp
26.01.2007 21:59 524.288 ~DF6561.tmp
26.01.2007 21:59 512 ~DF5A09.tmp
26.01.2007 21:59 524.288 ~DF59E9.tmp
4 Datei(en) 1.049.600 Bytes
0 Verzeichnis(se), 12.054.773.760 Bytes frei

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Verzeichnis von C:\WINDOWS

26.01.2007 21:57 0 0.log
26.01.2007 21:57 1.423.727 WindowsUpdate.log
26.01.2007 21:56 157 wiadebug.log
26.01.2007 21:56 50 wiaservc.log
26.01.2007 21:56 2.048 bootstat.dat
26.01.2007 13:57 32.574 SchedLgU.Txt
25.01.2007 11:26 1.409 QTFont.for
25.01.2007 11:26 54.156 QTFont.qfn
23.01.2007 19:37 1.173 ie7_main.log
10.01.2007 18:04 5.972 iis6.log
10.01.2007 18:04 12.097 comsetup.log
10.01.2007 18:04 1.374 imsins.log
10.01.2007 18:04 2.052 ocmsn.log
10.01.2007 18:04 14.154 tsoc.log
10.01.2007 18:04 7.356 ntdtcsetup.log
10.01.2007 18:04 10.611 KB929969.log
10.01.2007 18:04 17.496 ocgen.log
10.01.2007 18:04 1.854 msgsocm.log
10.01.2007 18:04 37.095 FaxSetup.log
10.01.2007 18:04 62.199 setupapi.log
08.01.2007 14:30 751 win.ini
08.01.2007 14:30 227 system.ini
02.01.2007 10:16 10.770 DirectX.log
30.12.2006 16:46 500 GEARInstall.log
17.12.2006 16:36 720.896 iun6002.exe
17.12.2006 12:40 361 wmsetup.log
16.12.2006 13:06 1.393 imsins.BAK
16.12.2006 13:06 19.420 KB925454.log
16.12.2006 13:06 3.471 updspapi.log
16.12.2006 13:06 10.673 KB925398.log
16.12.2006 13:05 11.970 KB923689.log
16.12.2006 13:03 11.453 KB926255.log
16.12.2006 13:03 12.210 KB923694.log
16.12.2006 13:03 0 setuperr.log
16.12.2006 13:03 0 setupact.log
11.12.2006 19:52 1.140 SimpleScreenshot_Uninstall.in
29.11.2006 19:51 211 uno.ini
18.11.2006 09:31 400 ODBC.INI
27.10.2006 11:29 8.076 mozver.dat
23.08.2006 20:50 316.640 WMSysPr9.prx

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Verzeichnis von C:\WINDOWS\Temp

26.01.2007 21:57 256 ZLT074e2.TMP
26.01.2007 21:56 256 ZLT074b8.TMP
2 Datei(en) 512 Bytes
0 Verzeichnis(se), 12.054.773.760 Bytes frei

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Verzeichnis von C:\WINDOWS\Downloaded Program Files

13.10.2006 16:40 719.064 NpFv415.dll
15.04.2006 11:17 65 desktop.ini
11.04.2006 16:10 135.168 asinst.dll
03.04.2006 10:00 537 asinst.inf
27.03.2006 12:00 5.019 swflash.inf
26.05.2005 03:19 291 wuweb.inf
6 Datei(en) 860.144 Bytes
0 Verzeichnis(se), 12.054.777.856 Bytes frei

Könnt ihr mir helfen????

Danke im Voraus !!

#2 luv

Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

Zitat

Files to delete:
C:\WINDOWS\system32\game.exe
C:\WINDOWS\system32\zlbw.dll
C:\WINDOWS\system32\game0.exe
C:\WINDOWS\system32\peers.ini
C:\WINDOWS\system32\game5.exe

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

««
http://virus-protect.org/artikel/tools/sdfix.html
SDFix.zip entpacken

es erscheint folgende Meldung:

"The SDFix Folder has been extracted to %systemdrive% - Please run from that location.
(%systemdrive% = drive that contains the Windows directory - typically C:\SDFix )"

unter C:\ findet man nun den SDFix-Ordner

boote in den abgesicherten Modus (die Taste F8 drücken, während der Rechner neustartet)

gehe in den Ordner C:\SDFix

RunThis.bat doppelt klicken

schreibe: Y

folge allen Anweisungen, während gescannt wird - dann wird der Rechner neustarten
kopiere mit der rechten Maustaste den Text ab, der erscheint - und in den Beitrag
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo Sabina !

Habe deine Anweisungen befolgt, hier is der Report von SDFix:

Zitat

SDFix: Version 1.62

07-01-27 - 10:22:09.46

Microsoft Windows XP [Version 5.1.2600]

Running From: C:\Dokumente und Einstellungen\luv\Desktop\SDFix

Safe Mode:
Checking Services:

Name:
wincom32

Path:
\??\C:\WINDOWS\system32\wincom32.sys

wincom32 Deleted

Restoring Windows Registry Entries
Restoring Default Hosts File


Rebooting...

Normal Mode:
Checking Files:

Files will be copied to Backups folder and removed:

C:\WINDOWS\regedit.com - Deleted
C:\WINDOWS\system32\wincom32.ini - Deleted
C:\WINDOWS\system32\wincom32.sys - Deleted



Alternate Streams Check:

C:\WINDOWS\system32
No streams found.

Final Check:

Remaining Services:
------------------


Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\\WINDOWS\\system32\\sessmgr.exe"="C:\\WINDOWS\\system32\\sessmgr.exe:*isabled:@xpsp2res.dll,-22019"
"C:\\Programme\\ICQLite\\ICQLite.exe"="C:\\Programme\\ICQLite\\ICQLite.exe:*:Enabled:ICQ Lite"
"C:\\Programme\\Yahoo!\\Messenger\\YahooMessenger.exe"="C:\\Programme\\Yahoo!\\Messenger\\YahooMessenger.exe:*:Enabled:Yahoo! Messenger"
"C:\\Programme\\Yahoo!\\Messenger\\YServer.exe"="C:\\Programme\\Yahoo!\\Messenger\\YServer.exe:*:Enabled:Yahoo! FT Server"
"C:\\Programme\\MSN Messenger\\msnmsgr.exe"="C:\\Programme\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.0"
"C:\\Programme\\MSN Messenger\\msncall.exe"="C:\\Programme\\MSN Messenger\\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"
"D:\\Programme\\ICQLite\\ICQLite.exe"="D:\\Programme\\ICQLite\\ICQLite.exe:*:Enabled:ICQ Lite"
"C:\\Programme\\MS Word\\Office12\\OUTLOOK.EXE"="C:\\Programme\\MS Word\\Office12\\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\\Programme\\MS Word\\Office12\\GROOVE.EXE"="C:\\Programme\\MS Word\\Office12\\GROOVE.EXE:*:Enabled:Microsoft Office Groove"
"C:\\Programme\\MS Word\\Office12\\ONENOTE.EXE"="C:\\Programme\\MS Word\\Office12\\ONENOTE.EXE:*:Enabled:Microsoft Office OneNote"
"D:\\Programme\\Skype\\Phone\\Skype.exe"="D:\\Programme\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"
"C:\\Programme\\LimeWire\\LimeWire.exe"="C:\\Programme\\LimeWire\\LimeWire.exe:*:Enabled:LimeWire"


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Programme\\MSN Messenger\\msnmsgr.exe"="C:\\Programme\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.0"
"C:\\Programme\\MSN Messenger\\msncall.exe"="C:\\Programme\\MSN Messenger\\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"


Remaining Files:
---------------

Backups Folder: - C:\DOKUME~1\luv\Desktop\SDFix\backups\backups.zip


Checking For Files with Hidden Attributes :

C:\NTDETECT.COM
C:\Programme\Gemeinsame Dateien\Adobe\ESD\DLMCleanup.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Windows Media Player\mplayer2.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\cdplayer.exe.manifest
C:\WINDOWS\system32\logonui.exe.manifest
C:\IO.SYS
C:\MSDOS.SYS
C:\pagefile.sys

Finished

Habe mit ComboFix auch noch gescannt..... [im normalen Modus]

Zitat

"luv" - 07-01-27 11:09:47 Service Pack 2
ComboFix 07-01-25 - Running from: "C:\Dokumente und Einstellungen\luv\Desktop"

(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\taskmgr.com


((((((((((((((((((((((((((((((( Files Created from 2006-12-27 to 2007-01-27 ))))))))))))))))))))))))))))))))))


2007-01-27 10:20 <DIR> d-------- C:\DOKUME~1\ADMINI~1\Anwendungsdaten\T-Online
2007-01-27 10:19 <DIR> dr-h----- C:\DOKUME~1\ADMINI~1\Anwendungsdaten
2007-01-27 10:19 <DIR> dr------- C:\DOKUME~1\ADMINI~1\Startmen�
2007-01-27 10:19 <DIR> d--h----- C:\DOKUME~1\ADMINI~1\Vorlagen
2007-01-27 10:19 <DIR> d--h----- C:\DOKUME~1\ADMINI~1\Netzwerkumgebung
2007-01-27 10:19 <DIR> d--h----- C:\DOKUME~1\ADMINI~1\Lokale Einstellungen
2007-01-27 10:19 <DIR> d--h----- C:\DOKUME~1\ADMINI~1\Druckumgebung
2007-01-27 10:19 <DIR> d-------- C:\DOKUME~1\ADMINI~1\Favoriten
2007-01-27 10:10 60,416 --a------ C:\WINDOWS\system32\drivers\aksepibp.sys
2007-01-27 10:10 126,976 --a------ C:\zip.exe
2007-01-27 10:10 1,080 --a------ C:\wtfjqqgv.bat
2007-01-27 10:07 <DIR> d-------- C:\Avenger
2007-01-21 14:42 <DIR> d-------- C:\Programme\LimeWire
2007-01-11 16:26 <DIR> d-------- C:\DOKUME~1\luvC\Anwendungsdaten\Help
2007-01-11 16:25 <DIR> d--h----- C:\WINDOWS\PIF
2007-01-07 01:49 <DIR> d-------- C:\Programme\PokerStars
2007-01-01 23:51 98,304 --a------ C:\WINDOWS\system32\CmdLineExt.dll
2007-01-01 23:28 <DIR> d-------- C:\Programme\Aspyr Media, Inc
2006-12-30 16:46 <DIR> d-------- C:\DOKUME~1\luvE\Anwendungsdaten\Apple Computer
2006-12-30 16:42 <DIR> d-------- C:\Programme\QuickTime
2006-12-30 16:42 <DIR> d-------- C:\DOKUME~1\ALLUSE~1\Anwendungsdaten\Apple Computer
2006-12-28 22:45 <DIR> d-------- C:\Programme\Microsoft AutoRoute


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2007-01-27 10:43 -------- d-------- C:\Programme\mozilla firefox
2007-01-25 18:18 -------- d-------- C:\DOKUME~1\luv\Anwendungsdaten\openoffice.org2
2007-01-21 14:27 -------- d-------- C:\Programme\mozilla thunderbird
2007-01-21 14:26 -------- d-------- C:\Programme\emule
2007-01-14 09:12 -------- d---s---- C:\DOKUME~1\luv\Anwendungsdaten\microsoft
2007-01-08 00:51 -------- d-------- C:\Programme\sss
2006-12-28 16:38 -------- d-------- C:\DOKUME~1\luv\Anwendungsdaten\skype
2006-12-26 15:25 -------- d-------- C:\Programme\ea sports
2006-12-26 14:32 -------- d--h----- C:\Programme\installshield installation information
2006-12-26 14:32 -------- d-------- C:\Programme\vid_0e8f&pid_0003
2006-12-26 14:32 -------- d-------- C:\Programme\Gemeinsame Dateien\vid_0e8f&pid_0003
2006-12-25 20:41 -------- d-------- C:\Programme\antivir personaledition classic
2006-12-24 23:32 -------- d-------- C:\Programme\jap
2006-12-24 10:46 -------- d-------- C:\Programme\cossacks - back to war
2006-12-17 16:36 720896 --a------ C:\WINDOWS\iun6002.exe
2006-12-17 12:54 -------- d-------- C:\Programme\daemon tools
2006-12-17 12:48 639224 --a------ C:\WINDOWS\system32\drivers\sptd.sys
2006-12-17 10:41 -------- d-------- C:\DOKUME~1\luv\Anwendungsdaten\dvdcss
2006-12-13 18:19 -------- d-------- C:\Programme\pdfcreator
2006-12-07 15:25 -------- d-------- C:\Programme\cib software gmbh
2006-12-07 07:40 2362184 --a------ C:\WINDOWS\system32\wmvcore.dll
2006-12-03 15:04 -------- d-------- C:\Programme\msbuild
2006-12-03 15:04 -------- d-------- C:\Programme\microsoft works
2006-12-03 15:03 -------- d-------- C:\Programme\ms word
2006-12-03 13:35 64616 --a------ C:\DOKUME~1\luv\Anwendungsdaten\gdipfontcachev1.dat
2006-11-27 18:17 -------- d-------- C:\Programme\icqlite
2006-11-10 11:59 73 --a------ C:\WINDOWS\system32\ssprs.dll
2006-11-10 11:59 205 --a------ C:\WINDOWS\system32\lsprst7.dll
2006-11-10 11:53 1025 --a------ C:\WINDOWS\system32\sysprs7.dll
2006-11-10 11:52 1024 --a------ C:\WINDOWS\system32\clauth2.dll
2006-11-10 11:52 1024 --a------ C:\WINDOWS\system32\clauth1.dll
2006-11-10 11:52 0 --a------ C:\WINDOWS\system32\serauth2.dll
2006-11-10 11:52 0 --a------ C:\WINDOWS\system32\serauth1.dll
2006-11-10 11:52 0 --a------ C:\WINDOWS\system32\nsprs.dll
2006-11-08 06:06 679424 --a------ C:\WINDOWS\system32\inetcomm.dll
2006-11-04 14:14 1245696 --a------ C:\WINDOWS\system32\msxml4.dll


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"Microsoft Works Update Detection"="C:\\Programme\\Microsoft Works\\WkDetect.exe"
"ctfmon.exe"="C:\\WINDOWS\\system32\\ctfmon.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"ToADiMon.exe"="C:\\Programme\\T-Online\\T-Online_Software_5\\Basis-Software\\Basis1\\ToADiMon.exe -TOnlineAutodialStart"
"Zone Labs Client"="\"D:\\Programme\\Zone Labs\\ZoneAlarm\\zlclient.exe\""
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"
"QuickTime Task"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"TkBellExe"="\"C:\\Programme\\Gemeinsame Dateien\\Real\\Update_OB\\realsched.exe\" -osboot"
"^ZUXUZKK"="C:\\wtfjqqgv.bat"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmenü\\Programme\\Autostart\\Microsoft Office.lnk"
"backup"="C:\\WINDOWS\\pss\\Microsoft Office.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\MSWORD~1\\Office10\\OSA.EXE -b -l"
"item"="Microsoft Office"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^luv^Startmenü^Programme^Autostart^OpenOffice.org 2.0.lnk]
"path"="C:\\Dokumente und Einstellungen\\luv\\Startmenü\\Programme\\Autostart\\OpenOffice.org 2.0.lnk"
"backup"="C:\\WINDOWS\\pss\\OpenOffice.org 2.0.lnkStartup"
"location"="Startup"
"command"="C:\\PROGRA~1\\OPENOF~1.0\\program\\QUICKS~1.EXE "
"item"="OpenOffice.org 2.0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^luvE^Startmenü^Programme^Autostart^OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk]
"path"="C:\\Dokumente und Einstellungen\\luvE\\Startmenü\\Programme\\Autostart\\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk"
"backup"="C:\\WINDOWS\\pss\\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnkStartup"
"location"="Startup"
"command"="C:\\PROGRA~1\\MSWORD~1\\Office12\\ONENOTEM.EXE /tsr"
"item"="OneNote 2007 Bildschirmausschnitt- und Startprogramm"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^luvE^Startmenü^Programme^Autostart^OpenOffice.org 2.0.lnk]
"path"="C:\\Dokumente und Einstellungen\\luvE\\Startmenü\\Programme\\Autostart\\OpenOffice.org 2.0.lnk"
"backup"="C:\\WINDOWS\\pss\\OpenOffice.org 2.0.lnkStartup"
"location"="Startup"
"command"="C:\\PROGRA~1\\OPENOF~1.0\\program\\QUICKS~1.EXE "
"item"="OpenOffice.org 2.0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BDMCon]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="bdmcon"
"hkey"="HKLM"
"command"="\"C:\\Programme\\Softwin\\BitDefender8\\bdmcon.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BDNewsAgent]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="bdnagent"
"hkey"="HKLM"
"command"="\"C:\\Programme\\Softwin\\BitDefender8\\bdnagent.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="daemon"
"hkey"="HKLM"
"command"="\"C:\\Programme\\DAEMON Tools\\daemon.exe\" -lang 1033"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="GrooveMonitor"
"hkey"="HKLM"
"command"="\"C:\\Programme\\MS Word\\Office12\\GrooveMonitor.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="ICQLite"
"hkey"="HKLM"
"command"="\"D:\\Programme\\ICQLite\\ICQLite.exe\" -minimize"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Update Detection]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="WkDetect"
"hkey"="HKCU"
"command"="C:\\Programme\\Microsoft Works\\WkDetect.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="msnmsgr"
"hkey"="HKCU"
"command"="\"C:\\Programme\\MSN Messenger\\msnmsgr.exe\" /background"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="qttask"
"hkey"="HKLM"
"command"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="Skype"
"hkey"="HKCU"
"command"="\"D:\\Programme\\Skype\\Phone\\Skype.exe\" /nosplash /minimized"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="realsched"
"hkey"="HKLM"
"command"="\"C:\\Programme\\Gemeinsame Dateien\\Real\\Update_OB\\realsched.exe\" -osboot"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="winampa"
"hkey"="HKLM"
"command"="C:\\Programme\\Winamp\\winampa.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Zone Labs Client]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="zlclient"
"hkey"="HKLM"
"command"="\"D:\\Programme\\Zone Labs\\ZoneAlarm\\zlclient.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"=""
"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"="Groove GFS Stub Execution Hook"

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\SASWinLogon

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


[HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost]
LocalService REG_MULTI_SZ Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0
NetworkService REG_MULTI_SZ DnsCache\0\0
rpcss REG_MULTI_SZ RpcSs\0\0
imgsvc REG_MULTI_SZ StiSvc\0\0
termsvcs REG_MULTI_SZ TermService\0\0
HTTPFilter REG_MULTI_SZ HTTPFilter\0\0
DcomLaunch REG_MULTI_SZ DcomLaunch\0TermService\0\0
Usnsvc REG_MULTI_SZ usnsvc\0\0



Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\1-Klick-Wartung.job

Completion time: 07-01-27 11:27:31

Was tun?

#4 luv

Download Registry Search by Bobbi Flekman
http://virus-protect.org/artikel/tools/regsearch.html

und doppelklicken, um zu starten.
in: "Enter search strings" (reinschreiben oder reinkopieren)

wincom32

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.
__________
MfG Sabina

rund um die PC-Sicherheit

#5

Zitat

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.2.0

; Results at 27.01.2007 23:03:48 for strings:
; 'wincom32'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


; End Of The Log...

Ich hoffe, dass das richtige war...





Nach dem Hochfahren gerade ist das gekommen:

Zitat

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\^thuqwwc

*******************

Script file located at: \??\C:\WINDOWS\system32\umpsqbqh.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\game.exe deleted successfully.
File C:\WINDOWS\system32\zlbw.dll deleted successfully.
File C:\WINDOWS\system32\game0.exe deleted successfully.
File C:\WINDOWS\system32\peers.ini deleted successfully.
File C:\WINDOWS\system32\game5.exe deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Was tun?

Was ist es denn überhaupt? Trojaner, Wurm, Virus??

#6 luv

««
es ist das hier:
http://virus-protect.org/artikel/dienste/wincom32_sys.html

««
RootkitRevealer
http://www.sysinternals.com/Utilities/RootkitRevealer.html
poste den report (File - Save)

»
Start > Ausfuehren --> reinschreiben --> cmd
und ok. kopiere rein und poste alles, was im Texteditor erscheint

dir /s /a "c:\wincom32*.*" > c:\find.txt & start notepad c:\find.txt

und poste alles, was im Texteditor erscheint
__________
MfG Sabina

rund um die PC-Sicherheit

#7 Sabina

RootkitRevealer hat gar nix gebracht, da es keine Logfile macht...


Beim anderen weiß ich nicht, wo der Text erscheinen soll, falls wirklich einer erscheint....

luv

#8 wenn du das in das schwarze dos-Fenster kopierst, wird sich der texteditor oeffnen

dir /s /a "c:\wincom32*.*" > c:\find.txt & start notepad c:\find.txt
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Sabina

Ich kopiere den Text rein in die Konsole (Terminal), aber weder öffnet sich JEdit, noch wird eine .txt datei gespeichert.


luv

#10 ich habs reinkopiert:



dann habe ich 2 minuten gewartet:

Zitat

Volume in drive C has no label.
Volume Serial Number is 38FD-EEA4

Directory of c:\Documents and Settings\Sabine\Desktop\org\artikel\dienste

28-01-2007 13:02 14.568 wincom32_sys.html
1 File(s) 14.568 bytes

Directory of c:\Documents and Settings\Sabine\Desktop\org\artikel\spyware

23-01-2007 15:18 2.818 wincom32_sys.html
1 File(s) 2.818 bytes

Directory of c:\Documents and Settings\Sabine\Recent

27-01-2007 20:17 783 wincom32_sys.html.lnk
1 File(s) 783 bytes

Total Files Listed:
3 File(s) 18.169 bytes
0 Dir(s) 226.185.216 bytes free

__________
MfG Sabina

rund um die PC-Sicherheit

#11 zum Schluss ist dann doch noch was kommen

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B1-F2F5

Ist dieser Trojaner schon weg????

#12 http://virus-protect.org/artikel/tools/gmer.html
nutze Gmer Starte es und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit nein beantworten, auf den Reiter rootkit gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfuegen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. ist dieser beendet, wähle Copy und füge den Bericht ein.
__________
MfG Sabina

rund um die PC-Sicherheit

#13 Guten Abend Sabine

Hab laufen lassen, aber wurde nichts gefunden..... Scheint der PC wieder clean zu sein?

luv

#14 im Normalmodus (waehle sophos, scanne mit option 6 und poste den report)
http://virus-protect.org/artikel/tools/sdfix.html
__________
MfG Sabina

rund um die PC-Sicherheit

#15 Sabina

Hier ist der Scan von Sophos :

Zitat

Sophos Anti-Virus
Version 4.13.0 [Win32/Intel]
Virus data version 4.13, January 2007
Includes detection for 208529 viruses, trojans and worms
Copyright (c) 1989-2007 Sophos Plc, www.sophos.com

Could not open LOGICAL:0002:00000000
Could not open C:\boot.ini
Password protected file C:\Dokumente und Einstellungen\luvE\Anwendungsdaten\Adobe\Acrobat\7.0\Messages\DEU\read0600win_DEUyhoo0010.pdf
Password protected file C:\Dokumente und Einstellungen\luvE\Anwendungsdaten\Adobe\Acrobat\7.0\Messages\DEU\read0700win_DEUadbe0700.pdf
>>> Virus 'Mal/Packer' found in file C:\Dokumente und Einstellungen\luvE\Eigene Dateien\Alc\Alcohol 120% CD & DVD Burning Software (Includes Keygen)\tsrh-alc120-140b114_incl_kg\tsrh-alcohol120-140_kg\tsrh-alc120-140_kg.exe
Removal successful
>>> Virus 'Mal/Packer' found in file C:\Dokumente und Einstellungen\luvE\Eigene Dateien\ICQ Lite\luvE\Razor\Keygen.exe
Removal successful
Could not open C:\NTDETECT.COM
Could not open C:\ntldr
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\DEU\RdrMsgDEU.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\ENU\RdrMsgENU.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\RdrMsgSplash.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\WebSearch\WebSearchENU.pdf
Could not open C:\WINDOWS\repair\default
Could not open C:\WINDOWS\repair\sam
Could not open C:\WINDOWS\repair\security
Could not open C:\WINDOWS\repair\software
Could not open C:\WINDOWS\repair\system
Could not open C:\WINDOWS\system32\config\userdiff
Could not open C:\WINDOWS\system32\drivers\sptd.sys
Could not open LOGICAL:0003:00000000

2 boot sectors swept.
38343 files swept in 40 minutes and 12 seconds.
18 errors were encountered.
2 viruses were discovered.
2 files out of 38343 were infected.
Please send infected samples to Sophos for analysis.
For advice consult www.sophos.com, email support@sophos.com
or telephone +44 1235 559933
6 encrypted files were not checked.
Ending Sophos Anti-Virus.

Wie steht es mit dem PC? Ist er arg verseucht? Wo könnte ich mir den Wincom32 eingefangen haben? Und ist Sophos ein gutes Antivirprogramm?


luv