Hallo, habe ein Problem mit meinem Rechner. Habe vor kurzem von meinem Virenprogramm (Norton Antivirus 2003) die Meldung von einem nicht-löschbarem Trojaner ("keylogger.trojan") in einer meiner win\system32 dateien gehabt. Das Problem konnte ich mit Löschen der Datei im abgesicherten Modus beheben, seitdem habe ich allerdings ein anderes: Bei Einwahl ins Netz wird sofort fast mein gesamter Up- und und Teile meines Downloads verwendet, so dass ich nicht nur davon ausgehen muss ausspioniert zu werden sondern auch selber fast gar nicht surfen kann. Ich habe bereits versucht dem Problem mit "AntiVir XP", "Norton Antivirus 2003", "Ants2", "TrojanHunter Guard" (als Demo) und durch Formation von C:\ und Neuinstallation von WinXP beizukommen. Leider alles ohne Erfolg. Deshalb habe ich mal HijackThis laufen lassen. Kann mir jemand vielleicht anhand des Logfiles weiterhelfen? Wäre Super! Danke, Jonathan

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\winssv.exe
C:\WINDOWS\explorer.exe
D:\Install\hijackthis\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [Win32 SSL Driver] winssv.exe
O4 - HKLM\..\RunServices: [Win32 SSL Driver] winssv.exe
O4 - HKLM\..\RunOnce: [Win32 SSL Driver] winssv.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

Hallo@Bobmarley83

Gehe in die Registry
Start<Ausfeuhren
schreib rein: regedit
die Registry oeffnet sich

klicke dich durch zum Schluessel:

<HKEY_CURRENT_USER>Software>Microsoft>Windows>
CurrentVersion>Run
loesche:-->mit rechtsklick-->loeschen
[Win32 SSL Driver] = "WINSSV.EXE"

<HKEY_CURRENT_USER>Software>Microsoft>Windows>
CurrentVersion>Runonce
loesche:
[Win32 SSL Driver] = "WINSSV.EXE"

<HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>
CurrentVersion>Run
loesche:
[Win32 SSL Driver] = "WINSSV.EXE"

<HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>
CurrentVersion>RunOnce
loesche:
[Win32 SSL Driver] = "WINSSV.EXE"

<HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>
CurrentVersion>RunServices
loesche:
[Win32 SSL Driver] = "WINSSV.EXE"

<HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services\
loesche:-->Cronation

13. Close Registry Editor.
-----------------------------------------------------------------------------------
Deaktivieren Wiederherstellung
«XP
http://service1.symantec.com/SUPPORT/IN ... 7105707924

Gehe in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt und melde dich als Administrator an)

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->>

falls es ueberhaupt noch da ist ......

O4 - HKLM\..\Run: [Win32 SSL Driver] winssv.exe -->WORM_RBOT.QQ
O4 - HKLM\..\RunServices: [Win32 SSL Driver] winssv.exe
O4 - HKLM\..\RunOnce: [Win32 SSL Driver] winssv.exe

loesche:
C:\WINDOWS\System32\winssv.exe

Gehe wieder in den Normalmodus

#BitDefender Scan
www.bitdefender.com/scan/Msie/index.php

#Trend-Micro (Online)
http://de.trendmicro-europe.com/enterpr ... ll_pre.php
-----------------------------------------------------------------------------------------------------------
#eScan-Erkennungstool[/u]
http://bilder.informationsarchiv.net/Nikitas_Tools/
erstelle den Ordner c:\bases
mwav.exe runterladen, die Datei in den Ordner c:\bases (wichtig!) entpacken und danach kavupd.exe (Update- in DOS) ausführen

und den Scanner mit der "mwav.exe"[oder:MWAVSCAN.COM] starten. Alle Häkchen setzen :
Auswählen: "all files", Memory, Startup-Folders, Registry, System Folders,
Services, Drive/All Local drives, Folder [C:\WINDOWS], Include SubDirectory
-->und "Scan " klicken.

mache bitte folgendes:
nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du infected ein



jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
und ganz unten steht die zusammenfassung, diese auch hier posten
------------------------------------------------------------------------------------------------------------------
danach:
#Internet Explorer 6 Service Pack 1
http://www.microsoft.com/downloads/deta ... B602228DE6

#Patches, Service Packs und Tools (XP)
http://www.rz.uni-freiburg.de/pc/sys/winxp/index.php
Lade SP1 oder SP2 (die Sicherheitsupdates von Microsoft) -->wenn du eine gueltige XP-cdkey hast

#TuneUp2004 (30 Tage free)
http://www.tuneup.de/products/tuneup-utilities/
Cleanup repair -->TuneUp Diskcleaner
Cleanup repair -->Registry Cleaner

<Zone Labs
ZoneAlarm von Zone Labs ist in der Grundversion kostenlos und besonders für Einsteiger geeignet.
http://www.zonelabs.de/download/znalm.html
<Zone Alarm Deutsche Bedienungsanleitung
Kleines Manual auf trojaner-info.de, auch zum Download.
http://www.trojaner-info.de/zone/zonealarm.html

dann poste das neue Log noch mal

Vielen Dank für Deine Antwort, habe soweit alles gemacht.
Das Scan Ergebnis ist:

Wed Jan 05 19:21:14 2005 => *** Killing Infected Process C:\WINDOWS\System32\wuampd.exe...
Wed Jan 05 19:21:15 2005 => *** Killing Successful.

Wed Jan 05 19:21:16 2005 => *** SOFTWARE\Microsoft\Windows\CurrentVersion\Run has RunningProcess defined as C:\WINDOWS\System32\wuampd.exe.mwt (which is infected)!
Wed Jan 05 19:21:16 2005 => *** Reg Value SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Update deleted because it is infected by a Virus

Wed Jan 05 19:21:16 2005 => *** SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices has RunningProcess defined as C:\WINDOWS\System32\wuampd.exe.mwt (which is infected)!
Wed Jan 05 19:21:16 2005 => *** Reg Value SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\Microsoft Update deleted because it is infected by a Virus

Wed Jan 05 19:44:55 2005 => Scanning File C:\Dokumente und Einstellungen\BobMarley\Desktop\Thema anzeigen - [Win32 SSL Driver] winssv_exe -- WORM_WOOTBOT_CA - Computer-Forum - Computer Hilfe und PC Support-Dateien\infected6xz.gif

Wed Jan 05 19:46:03 2005 => Scanning File C:\Dokumente und Einstellungen\BobMarley\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OLE3C1YR\infected6xz[1].gif

Wed Jan 05 19:47:35 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*

Wed Jan 05 19:52:43 2005 => File C:\Programme\Norton SystemWorks\Norton AntiVirus\Quarantine\17EB2E8F infected by "Trojan-Downloader.BAT.Ftp.c" Virus. Action Taken: File Deleted.

Wed Jan 05 19:52:44 2005 => File C:\Programme\Norton SystemWorks\Norton AntiVirus\Quarantine\45F415E5 infected by "Trojan-Downloader.BAT.Ftp.c" Virus. Action Taken: File Deleted.



Wed Jan 05 20:07:03 2005 => ***** Scanning complete. *****

Wed Jan 05 20:07:03 2005 => Total Number of Files Scanned: 16123
Wed Jan 05 20:07:03 2005 => Total Number of Virus(es) Found: 3
Wed Jan 05 20:07:03 2005 => Total Number of Disinfected Files: 0
Wed Jan 05 20:07:03 2005 => Total Number of Files Renamed: 1
Wed Jan 05 20:07:03 2005 => Total Number of Deleted Files: 2
Wed Jan 05 20:07:03 2005 => Total Number of Errors: 43
Wed Jan 05 20:07:03 2005 => Time Elapsed: 00:45:49
Wed Jan 05 20:07:03 2005 => Virus Database Date: 2005/01/05
Wed Jan 05 20:07:03 2005 => Virus Database Count: 114749

Wed Jan 05 20:07:03 2005 => Scan Completed.

Das Service Pack für Win kann ich mir nicht runterladen, da ich nur ISDN habe und nächste Woche nen neuen Rechner bekommen, ich will den alten nur bis dahin sauber bekommen um Problemlos meine Daten übertragen zu können. Das Pack für den IE lass ich auch weg, da ich nur noch mozilla nehme (bis jetzt opera).
Inwieweit brauche ich denn die anderen Programme (ZoneAlarm & TuneUp) noch - in anbetracht meines Rechnerwechsels - um den alten bis dahin sauber zu halten?
Mille Grazie
Jonathan

Hallo@Bobmarley83

Poste bitte das neue Log vom HijackThis

Das ist der neueste Stand:

Logfile of HijackThis v1.99.0
Scan saved at 17:13:56, on 06.01.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\WINDOWS\System32\hphmon04.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programme\TrojanHunter 4.0\TrojanHunter.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\HPHipm11.exe
D:\Install\hijackthis\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [HPHmon04] C:\WINDOWS\System32\hphmon04.exe
O4 - HKLM\..\Run: [HPHUPD04] "C:\Programme\HP Photosmart 11\hphinstall\UniPatch\hphupd04.exe"
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [THGuard] "C:\Programme\TrojanHunter 4.0\THGuard.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: Pml Driver HPH11 - HP - C:\WINDOWS\System32\HPHipm11.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

Hallo@Bobmarley83

Sehr schoen

Nun solltest du noch die WindowsUpdates machen (SP1 oder SP2 )...falls du eine gueltige XP-cdkey hast.

Diesmal bist du noch mit einem blauen Auge davongekommen, aber das escan-Tool ist nur 30 Tage wirksam und dein PC ist voellig ungeschuetzt, auf Grund der fehlenden SicherheitsUpdates.