hab 3 würmer und die wollen nicht weg

#1 hi ich habe folgendes problem:

konnte heute morgen etwas nicht installieren und später viel auch die copy/link funktion aus.....später funktionierten installationen nur bis zu einem gewissen punkt, und zwar endet sie alle mit dem hinweis das der rpc-server nicht gestartet werden konnte.
ich ahnte das ich sowas wie einen virus auf meiner platte habe also hab ich einen scan drüber gejagt der sich natürlich auch positiv ergab. normalerweise hatte ich bis dato noch keine probleme da mein router eigentlich alles unerwünschte von vonerein abblockt. aber der virencheck ergab:
worm/lovesan b.
worm/lovesan e.
worm/randex.h.1.
und seit dem ich die dateien gelöscht hatte finden sich immer wieder neue dateien auf meinem rechenr wieder die infiziert sind....und irgendwie bekomm ich jetzt immer wieder eine meldung von wegen
datei msmsgri.exe hat trojanisches pferd tr/small.a2. diese datei finde ich trotz ansicht/versteckte ordner nicht und des weiteren ist auf meiner d partion ein ordner recycler mit dd. dateien die ebenfalls mit dem trojaner befallen sind...also dachte ich mir nix wie weg mit dem ordner aber so bald ich nur eine datei in diesem ordner lösche ist schon wieder eine neue drin...
ich hoffe ihr helft mir weiter denn eine format c: will ich nicht durchführen
mfg aeffchen

ps.: die datei svchost.exe macht nach dem neustart ca. 1 minute später einen fehler und wird beendet ist aber im task manager dabei
desweiteren sind da noch internat.exe
2x MSL32.exe und eine alte norten datei die permanent wiederkommt obwohl das progi nicht mehr existiert
pps.:ein weiter scan mir einem anderen programm ergab:
w32/sdbot.worm.gen
aber so wirklich will er nicht weggehen da meine nachträglich installierte firewall unheimlich viele aktivitäten anzeigt im bereich der lovesan ports 135,137. ect.
__________
[url=http://www.uptime-project.net/profile.php?uid=21926][img]http://img.uptime-project.net/img/8/21926.jpg[/img][/url]

#2 poste ein HiJackThis Log!

Roman
__________
(-- Rokop --)
www.rokop-security.de

#3 Logfile of HijackThis v1.97.7
Scan saved at 14:48:23, on 11.01.2004
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINNT\System32\internat.exe
C:\WINNT\System32\SysInt32.exe
C:\WINNT\system32\MSL32.exe
C:\WINNT\system32\MSL32.exe
C:\Programme\Opera7\opera.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
D:\wincmd\WinCmd32.exe
D:\Shareaza.exe
C:\Dokumente und Einstellungen\swen\Desktop\HijackThis.exe

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Microsoft Windows System Kernel Initializer] SysInt32.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\RunServices: [Microsoft Windows System Kernel Initializer] SysInt32.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
__________
[url=http://www.uptime-project.net/profile.php?uid=21926][img]http://img.uptime-project.net/img/8/21926.jpg[/img][/url]

#4 MSL32.exe
SysInt32.exe

Schick mal an virus@protecus.de
__________
(-- Rokop --)
www.rokop-security.de

#5 naja ich habe immernoch das problem mit dem nicht löschbaren 'recycler'
ordner mit dem unterverzeichniss
'S-1-5-21-1078081533-484763869-1343024091-1000' und dateien die sich nach
einem löschvorgang immer wieder neugenerieren quasi wenn ich dd1 lösche
steht dann dd2. mit einem bzw. 2 antiviren progis (antivir + stinger) bekomme ich die nicht weg. das gleiche finde ich dann aber auch im orginalen windows papierkorb wieder.
antivir sagt mir was von Dial/GlobCod
__________
[url=http://www.uptime-project.net/profile.php?uid=21926][img]http://img.uptime-project.net/img/8/21926.jpg[/img][/url]

#6 Also die Dateien die du an rokopo geschickt hast sind nichts "boeses". Du solltest erst einmal versuchen, dein Windows auf den neusten Stand zu bringen. Du bist wahrscheinlich in der Lage diese Dateien im abgesocherten Modus zu loeschen, wenn du moechtest.
__________
MfG Ralf
SEO-Spam Hunter

#7 ich hab es mal im abgesichertem modus versuchet, anfangs war ich fast am verzweifel weil der derl.count bis auf dd.4578 ging aber dann brach er den lösch vorgang mit der meldung fehler beim löschen ab. aber da kamen mir 1-2 ideen, was ist wenn ich den order nen neuen namen gebe...nothing....und dann bin ich in die eigenschaften geganfen und hab die attribute auf gleich löschen gestellt und siehe da es ging....
ein neuer test ergab das ich sauber bin....mal schauer
meine inet verbindung: arcor dsl-flat 1500 mit router smc7004br...
ich danke dir du bist ein retter...eigentlich ganz einfach....wenn man genau weis was man tut *gg*
super das es so was wie euch gibt da ich dachte ich muss meine festplatte formatieren

mfg ape

nachtrag :

okey hab jetzt die quelle allen übels ausschalten können , nun blockt mein router auch wieder ab und ich muss nicht noch ne extra firewall laufen lassen
im router war der dmz ip host auf meinen rechner geleitet......

trotzdem vielen bvielen dank
__________
[url=http://www.uptime-project.net/profile.php?uid=21926][img]http://img.uptime-project.net/img/8/21926.jpg[/img][/url]