Dropper DR/Bridge.A.2

Scanne mal im abgesicherten Modus!!!da werden die .exe nicht automatisch ausgeführt!!!

Werte Dein Log bitte bei HJT aus!!

Habe nun im Abgesicherten Modus gescannt. Hier das Logfile:


Logfile of HijackThis v1.99.1
Scan saved at 12:16:32, on 16.08.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
C:\Setups\Tools\Sicherheit\HijackThis.exe

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - D:\Programme\Tools\Yahoo!\Messenger\ycomp.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\Tools\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Programme\Tools\Yahoo!\Messenger\ycomp.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] C:\WINNT\system32\spool\DRIVERS\W32X86\3\fpdisp5a.exe
O4 - HKLM\..\Run: [WinampAgent] "D:\Programme\Tools\Media\Audio\Winamp3\\winampa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Programme\Tools\Browser\Mozilla\plugins\java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [Picasa Media Detector] D:\Programme\Tools\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [AVGCtrl] "D:\Programme\Tools\Antivirus\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Yahoo! Pager] D:\PROGRA~1\TOOLS\YAHOO!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [nuxovere] wosap.exe
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
O4 - Global Startup: Exif Launcher.lnk = C:\Programme\FinePixViewer\QuickDCF.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\TOOLS\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\TOOLS\YAHOO!\MESSEN~1\YPAGER.EXE
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-18.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/de/win/QuickTimeInstaller.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7E0EE39-73FB-4F87-B525-C2B2DB95CA9A}: NameServer = 217.237.151.33 217.237.149.225
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programme\Tools\Antivirus\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\Tools\Antivirus\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: ArGoSoft Mail Server (msServerForm) - ArGo Software Design - c:\Programme\ArGo Mail Server\mlsrvnt.exe
O23 - Service: PSEXESVC - Sysinternals - C:\WINNT\System32\PSEXESVC.EXE
O23 - Service: VMware Authorization Service (VMAuthdService) - Unknown owner - D:\Programme\Tools\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINNT\System32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - Unknown owner - C:\WINNT\System32\vmnat.exe
O23 - Service: AntiSpyUltra (Zonelaps) - Unknown owner - C:\WINNT\vsmom.exe (file missing)


(Dobber muss natürlich Dropper heissen  )

Dirk

Die letzten drei Einträge betreffen meine VMware,die ich selbst installiert habe. Hiermit kann ich ein anderes Betriebssystem emulieren (bspw. XP, obwohl ich 2000 habe...).

Bislang habe ich den Dropper nicht mehr gehabt bzw. er wurde nicht mehr erkannt vom Virenscanner. Habe bspw. PSEXESVC.EXE aus C:\WINNT\system32 gelöscht, der isch auch als Service eingerichtet hatte.

Trotzdem erhalte ich folgende Meldung, aber nur, wenn ich im Internet bin:

Das System wird herunter gefahren. Speichern Sie alle Daten,
und melden Sie sich ab. Alle Änderungen, die nicht gespeichert wurden, gehen verloren.
Das Herunterfahren wurde von NT-AUTORITÄT\SYSTEM ausgelöst.

Zeit bis zum Herunterahren: 00:00:60

Nachricht
'C:\WINNT\system32\services.exe' wurde unerwrteterweise mit dem Statuscod 128 beendet.
Das System wird heruntergefahren und neu gestartet.

Tja, und das passiert dann auch nach 60 sekunden. Das hatte doch der Blaster damals auch getan, nicht wahr? Danmanch habe ich aber gescannt, den habe ich mir nicht eingefangen.

Dirk

Könnte aber eine Variante sein!! Ich weiß leider nicht,wie aktuell Du mit deinen Windows-updates bist...

http://www.supportnet.de/discussion/listmessages.asp?autoid=195653

Ich versuch es mal mit dem Update.
Na´ch dem Sasser habe ich auch schon gescannt, der wurde aber nicht gefunden.
Mal sehen. Schlimmstenfalls melde ich mich wieder.

avserve.exe oder ????_up.exe konnte ich in der Registry auch nicht finden.

Dirk

avserve.exe ist richtig. Mußte nach suchen.

Kannste den PC mit "shutdown-a" am runterfahren hindern???Also über >>>Start>>>>ausführen>>>> shutdown -a" ...

avserve.exe finde ich nicht auf dem System.
Der Befehl shutdown ist auf meinem Win 2000 unbekannt.

Einziger Workaround z.Zt.: Uhrzeit zurücksetzen. So bekomme ich einige Stunden bzw. Tage Zeit ehe das System herunter faährt. Aber das Speichern von Dateien bspw. im Texteditor funktioniert nicht. Dabei hängt sich der Editor auf.

Gruß,

Dirk

Gibt es beim 2000 auch den abgesicherten Modus ? Dann dort scannen usw
http://www.hijackthis.de/               und LOG da auch auswerten ... http://www.kaspersky.com/de/remoteviruschk.html

Und mach mal die Temp-Files leer (Internetoptionen) .
DR/Bridge.A.2   <<<<  googeln  , viele Tipps da !!!