Absolutes Chaos auf Notebook - Trojaner??

#1 hallo leute!

ich hoffe jemand von euch kann uns weiterhelfen...
nun ist es schon 6:00 früh und das problem ist leider noch immer nicht gelöst...langsam hab ich die nase echt voll...

ich fand folgendes am notebook:

wupdater.exe
und gmt.exe (gator)

alles gelöscht nach den angaben in den foren..

doch leider spinnt der rechner immer noch...

maus geht nur stockend, prozessorleistung auf über 80% ausgelastet obwohl nix läuft, windowsupdate.com blockiert durch einen sch** virus oder was auch immer..

habe einmal die software hijack runtergeladen.

hier nun das log-file:

Logfile of HijackThis v1.97.7
Scan saved at 06:11:57, on 27.12.2003
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\tp4mon.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\evntsvc.exe
D:\programme\quicktime\qttask.exe
C:\WINNT\system32\P2P Networking\P2P Networking.exe
C:\WINNT\system32\conntr.exe
C:\WINNT\system32\internat.exe
C:\Programme\AntiVirenKit professional trial\AVKWCtl.exe
C:\Programme\AntiVirenKit professional trial\avk.exe
C:\Programme\AntiVirenKit professional trial\AVKService.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\bilge1\Lokale Einstellungen\Temp\HijackThis.exe

R3 - URLSearchHook: PerfectNavBHO Class - {A045DC85-FC44-45be-8A50-E4F9C62C9A84} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL (file missing)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NavErrRedir Class - {A045DC85-FC44-45be-8A50-E4F9C62C9A84} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL (file missing)
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [TrackPointSrv] tp4mon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [QuickTime Task] "D:\programme\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [P2P Networking] C:\WINNT\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [Drctconn] C:\WINNT\system32\conntr.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Homepage\FrontPage\Program\Office\OSA9.EXE
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1AA79252-7CE2-4FC8-9B9A-7D038533B130}: NameServer = 192.168.0.1


BITTE BITTE BITTE - kann uns jemand weiterhelfen??

DANKE!

#2 Fixe mal folgendes:
R3 - URLSearchHook: PerfectNavBHO Class - {A045DC85-FC44-45be-8A50-E4F9C62C9A84} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL (file missing)
O2 - BHO: NavErrRedir Class - {A045DC85-FC44-45be-8A50-E4F9C62C9A84} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL (file missing)
O4 - HKLM\..\Run: [TkBellExe] C:\Programme\Gemeinsame Dateien\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [QuickTime Task] "D:\programme\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [P2P Networking] C:\WINNT\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - Global Startup: Microsoft Office.lnk = D:\Homepage\FrontPage\Program\Office\OSA9.EXE
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

Im Zweifelsfalle das auch raus(Es sei den, du gehst nicht direkt mit dem Notebook ins internet oder nutzt ein Netzwerk):
O17 - HKLM\System\CCS\Services\Tcpip\..\{1AA79252-7CE2-4FC8-9B9A-7D038533B130}: NameServer = 192.168.0.1

Diese Datei: O4 - HKLM\..\Run: [Drctconn] C:\WINNT\system32\conntr.exe mal hier testen: http://www.kaspersky.com/remoteviruschk.html
Im Zweifelsfalle mit Hilfe von MSCONFIG deaktivieren.

Naechstes Proble, du hast zwei Hintergrundwaechter von verschiedenen Herstellern( AVPE und AVK) gleichzeitig laufen. Du musst einen davon deaktivieren, sonst kann es nur ein Chaos geben.
__________
MfG Ralf
SEO-Spam Hunter

#3 hallo raman,

vorerst danke für deine hilfe!

ich habe die zwei wächter wohl unsabsichtlich nebeneinander laufen lassen, da ich mehrere programme das notebook testen lassen. das andere wird sich wohl unbemerkt wieder gestartet haben..

ich habe zb. mit adaware getestet (wegen diesem wupdater) der hat einiges gefunden und gereinigt/gelöscht. heute wurde wieder getestet und er hat schon wieder etwas bei den reg codes gefunden - gibts das ?!?

conntr.exe habe ich getestet, keine infizierung - trotzallem weiß ich bis jetzt nicht was das für eine datei ist - habe auch im internet nichts zu dieser datei gefunden

jetzt läuft mal von diesem kapersky - wie in diesem forum gepostet - das testprogramm

kannst du mir sagen, wie ich diese dinge fixe die bei mir nicht korrekt sind?

zb. bei fehlender datei - nochmal die win 200 cd einlegen?

das notebook geht indirekt über einen rechner ins internet.

und was ist mit diesem p2p installer? ist das etwas von kazaa?

wäre es besser und würde alles lösen wenn ich das notebook einfach neu aufsetze oder habe ich dann wieder dasselbe problem?



------------------------------------------------------------------------

meine cpu-nutzung ist ohne irgendeinem programm bei über 80% auslastung - damit natürlich auch die maus usw. enorm beeinträchtigt.

ich habe, weil es wirklich der einzige prozess ist, über den ich nichts finde, endlich mal diesen sch** conntr.exe beendet und die cpu-nutzung ist wieder normal und alles funktioniert wieder..

soll ich diese anwendung einfach löschen?
ist sie dann auch für immer weg?

vielleicht sollte ich diese anwendung melden?
wenn ja wo?

#4 Ja, die meisten Sachen werden wohl mit Kazaa installiert worden sein. Wenn du nicht genau ausmachen kannst, woher deine Probleme kommen, ist ein Neuaufsetzen des Notebooks nicht die schlechteste Variante. Wichtig ist danach erst sein Windows/IE auf den neusten Stand zu bringen, nicht das einem Malware via einiger Sicherheitsluecken gleich wieder auf den Rechner kommen.
__________
MfG Ralf
SEO-Spam Hunter

#5 sagt dir die anwendung conntr.exe etwas?


werde ich wohl machen, denn das ist wirklich kein zustand mehr..

danke für deine hilfe
und ein schönes we noch