trojaner?

@Martin S.
Dein Log zeigt einen auffälligen Eintrag:
O17 - HKLM\System\CCS\Services\Tcpip\..\{63F3588C-E675-4BFE-984F-F9037F64E4E1}: NameServer = 217.15.97.20 194.158.37.196

Kennst du diese IP-Adresse?
Arbeite zur Kontrolle die folgenden Punkte ab:

1.
Checke deinen PC mit dem kostenlosen Tool BlackLight von F-Secure auf Rootkit:
https://europe.f-secure.com/exclude/blacklight/index.shtml
Gefundene Objekte sollte über den Button “Renamed“ neutralisiert werden.

2.
Scanne deinen PC mit dem Antivirustool "Dr.WEB Cureit".
Das kostenlose Programm muss nur herunter geladen, eine Installation ist nicht erforderlich und ist vollständig in Deutsch.
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
Wähle nach der kurzen Expressprüfung deine Systempartition aus, in der Regel ist das Laufwerk C und beginne den  vollständigen Scan. Poste bitte bei einen Malwarefund auf jeden Fall den ausführlichen Scanreport von Cureit hier !

3.
Benütze das Tool Spybot-S&D und berichte über das Ergebnis.
http://www.safer-networking.org/de/download/index.html
Nach der Installation ist erst mal eine Aktualisierung notwendig, erst dann scanne deinen PC !

 

Halo,

dein Internetzugang läuft über Malta....
Ja die kleine Insel im Mittelmeer.Wenn du dort nicht explizieht einen Zugang bestellt hast,dann haben das andere gemacht.Malta ist übrigens die neue Hochburg für Serverbetreiber die lieber ungenannt bleiben wollen....
Sozusagen direkte Konkurenz für die Ukrainer......

Hiermit wird dein PC gesteuert :

 

C:\Programme\OpenVPN\bin\openvpn-gui.exe
 

Ich würde dir ein ganz ganz schnelles Neuaufsetzen anraten...
Ein geradezu klassischer Konstrukt für Kinderbilder Verteilung
Die man zuletzt erwischt hat bei ihrem dreckigen Geschäft,sind nicht greifbar in Malta gesessen....
Na klingelts ?
Sir Reklov

Hallo,

kurzer Zwischenstatus, momentan wohne ich auf Malta, und openvpn benutze ich um weiterhin für meine Arbeit in Deutschland tätig sein zu können.

Blacklight hat 10 Einträge gerenamed

Wenn ich Spybot S&D installiere, verschwinden kurze Zeit danach die Exe-Dateien aus dem Verzeichnis...

Dr Web arbeitet noch, werd gleich posten was dabei rauskam.

Ich dank ich wirklich für eure Hilfe, wäre echt super wenn wir das hinbekommen, da ich enormen Druck von der Arbeit her habe

Dr. Web:

25exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
27exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
2exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
36exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
38exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
39exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
40exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
67exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
74exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
76exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
80exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
89exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
8exml32.9.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;möglicherweise BACKDOOR.Trojan;Gelöscht.;
93exinjs.aa.exe;C:\Dokumente und Einstellungen\TOSHIBA\Lokale Einstellungen\Temp;Trojan.Proxy.1985;Gelöscht.;
Dc39.exe;C:\RECYCLER\S-1-5-21-3125693821-3201450274-1991405442-1006;Trojan.DownLoader.30296;Gelöscht.;
Dc40.exe;C:\RECYCLER\S-1-5-21-3125693821-3201450274-1991405442-1006;Trojan.DownLoader.30296;Gelöscht.;
A0007359.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP128;Win32.HLLM.Beagle;Gelöscht.;
A0007360.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP128;Win32.HLLM.Beagle;Gelöscht.;
A0007426.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP128;Win32.HLLM.Beagle;Gelöscht.;
A0007427.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP128;Win32.HLLM.Beagle;Gelöscht.;
A0007517.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP132;Win32.HLLM.Beagle;Gelöscht.;
A0007519.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP132;Win32.HLLM.Beagle;Gelöscht.;
A0007557.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007558.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007566.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007567.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007572.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007573.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007582.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007583.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007593.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007594.sys;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP133;Win32.HLLM.Beagle;Gelöscht.;
A0007945.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Win32.HLLM.Beagle;Gelöscht.;
A0007946.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Win32.HLLM.Beagle;Gelöscht.;
A0007947.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Win32.HLLM.Beagle;Gelöscht.;
A0007948.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Trojan.DownLoader.30296;Gelöscht.;
A0007949.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Trojan.DownLoader.30296;Gelöscht.;
A0007950.dll;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Trojan.GhostKey;Gelöscht.;
A0007951.exe;C:\System Volume Information\_restore{73893670-4DD8-484B-9FA2-BB593F6EAD2C}\RP137;Trojan.GhostKey;Gelöscht.;
 

@Martin S.
Das sieht aber nicht gut aus !

Gehe wie folgt weiter vor:

1.
Deaktiviere zuerst die Systemwiederherstellung von Windows.
Eine Anleitung dazu findet man unter: http://www.bsi.de/av/texte/wiederher.htm

2.
Lösche bitte deinen Browser-Cache und alle sonstigen Temporären Dateien,
ebenso den Papierkorb. Benutze dazu einfach die Freeware CCleaner,
http://www.ccleaner.com/ccdownload.asp
und führe den Befehl Cleaner aus.
Achte darauf dass der Browser geschlossen ist und keine Internetverbindung besteht!

3.
F-Secure Online Scanner
http://support.f-secure.de/ger/home/ols.shtml
(Einige wenige Teile der Software sind in Englisch)
Wähle die Option “Vollständiger Systemscan“.
Poste bitte auf jeden Fall den ausführlichen Scanreport von F-Secure hier !

4.
Nach einen Reboot versuche es erneut mit dem Tool Spybot-S&D und berichte über das Ergebnis.

danke für die Antwort und hier die Ausgabe von F-Secure

Scanning Report
Friday, August 24, 2007 22:18:50 - 00:55:09
Computer name: YOUR-WE00MBDWHN
Scanning type: Scan system for viruses, rootkits, spyware
Target: C:\


--------------------------------------------------------------------------------

Result: 2 malware found
Tracking Cookie (spyware)
System
W32/Horst.gen28 (virus)
C:\WINDOWS\SYSTEM\SMSS.EXE (Submitted)

--------------------------------------------------------------------------------

Statistics
Scanned:
Files: 26247
System: 3484
Not scanned: 4
Actions:
Disinfected: 0
Renamed: 0
Deleted: 0
None: 2
Submitted: 1
Files not scanned:
C:\PAGEFILE.SYS
C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
C:\DOKUMENTE UND EINSTELLUNGEN\TOSHIBA\LOKALE EINSTELLUNGEN\TEMP\~ROMFN_00000458
C:\DOKUMENTE UND EINSTELLUNGEN\TOSHIBA\ANWENDUNGSDATEN\ICQ\APPLICATION.MDB

--------------------------------------------------------------------------------

Options
Scanning engines:
F-Secure Libra: 2.4.2, 2007-08-24
F-Secure AVP: 7.0.171, 2007-08-24
F-Secure Orion: 1.2.37, 2007-08-24
F-Secure Blacklight: 1.0.64
F-Secure Draco: 1.0.35, 0597-150-72
F-Secure Pegasus: 1.19.0, 2007-07-20
Scanning options:
Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB BAT LNK ANI AVB CEO CMD LSP MAP MHT MIF PDF PHP POT WMF NWS TAR TGZ WSF ZL? {* ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2 HQX
Use Advanced heuristics

--------------------------------------------------------------------------------

Copyright © 1998-2006 Product support |Send virus sample to F-Secure
F-Secure assumes no responsibility for material created or published by third parties that F-Secure World Wide Web pages have a link to. Unless you have clearly stated otherwise, by submitting material to any of our servers, for example by E-mail or via our F-Secure's CGI E-mail, you agree that the material you make available may be published in the F-Secure World Wide Pages or hard-copy publications. You will reach F-Secure public web site by clicking on underlined links. While doing this, your access will be logged to our private access statistics with your domain name.This information will not be given to any third party. You agree not to take action against us in relation to material that you submit. Unless you have clearly stated otherwise, by submitting material you warrant that F-Secure may incorporate any concepts described in it in the F-Secure products/publications without liability.

Soweit OK!

Wie sieht es mit Spybot-S&D aus?

Was macht die Bandbreite?
Kann AntiVir installiert werden?

Hallo,
was heißt eigentlich "soweit ok" genau ?

Ist der hier "soweit ok " deiner Meinung nach?
 

W32/Horst.gen28

Wie würdest du diese Mitteilung gewichten ?
 

Blacklight hat 10 Einträge gerenamed

Passt auch ,oder wie ?
 

Not scanned: 4

Wie kann man nur seine Kiste so derart zurichten ,wenn man darauf beruflich angewiesen ist ?
Wo hast du eigentlich den Server her ?
Zumindest dessen Absicherung ist mangelhaft.Desweiteren solltest du über ICQ nicht jeden Mist annehmen/klicken/anguggen....bzw.die Email-Anhänge anklicken....
Neuaufsetzen nach wie vor,ist die einzige sichere Möglichkeit,egal was du jetzt noch löschen magst...Blacklight war da sehr auskunftsfreudig.Nur hast du es ja vorgezogen ,lieber kein Log zu zeigen...

Btw. An der Kiste ist einiges "komisch"....
Sir Reklov
 

Den Eintrag "O17 - HKLM\System\CCS\Services\Tcpip\..\{63F3588C-E675-4BFE-984F-F9037F64E4E1}: NameServer = 217.15.97.20 194.158.37.196" löschen der ist eventuell gefärhlich (trojaner!)

Hallo,

leider scheint sich ein mir nicht gesonnenes programm bei mir eingenisstet zu haben... ich komm nicht drauf, was und wo es ist, ggf kann mir jemand helfen? merke ua das die bandbreite eingeschränkt ist, das sich antivir verabschiedet hat und nicht mehr installieren lässt und das ich mein windows nicht mehr im abgesichertem modus starten, weder zu einem gewissen zeitpunkt wiederherstellen kann...

Logfile of HijackThis v1.99.1
Scan saved at 09:09:07, on 24.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\LTSMMSG.exe
C:\Programme\SigmaTel\SigmaTel AC97 Audio-Treiber\stacmon.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Programme\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\OpenVPN\bin\openvpn-gui.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\msiexec.exe
C:\WINDOWS\System32\svchost.exe
C:\Dokumente und Einstellungen\TOSHIBA\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Programme\SigmaTel\SigmaTel AC97 Audio-Treiber\stacmon.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [TouchED] C:\Programme\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [openvpn-gui] C:\Programme\OpenVPN\bin\openvpn-gui.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1183486676991
O17 - HKLM\System\CCS\Services\Tcpip\..\{63F3588C-E675-4BFE-984F-F9037F64E4E1}: NameServer = 217.15.97.20 194.158.37.196
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Programme\OpenVPN\bin\openvpnserv.exe

 

 

Der nächste De.pp ist auch schon eingetroffen...

...und liest nichtmal die vorangegangenen Post`s



Wenn die Klugen nachgeben ,regieren die Dumm.en

..und ich will nicht von myremix und help regiert werden...
Damit stünde der Untergang des Abendlandes bevor...
Sir Reklov

Hier sieht man wieder das Fachwissen von Sir Reklov im vollen Ausmaß.
Ergebnis = Wenig bis keine Ahnung von der Materie.

Wie man das Forum beleidigt, das weiß er, unser Sir Reklov!

Auch wenn Sir Reklov manchmal SEHR DIREKT ist, hilft er manchen mehr als die, die alles schön reden.

Das ist jetzt nichts gegen bestimmte User  

Eine frage hab Ich aber: Was ist das hier für ein eintrag???

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet