hallo leute ich hab ein großes problem.
wie ich schon hier gelesen habe, haben viele dieses problem.
bei mir ist dauernd die cpu auslastung auf 100%.
mein rechner ist voll langsam, das nervt voll.
dieses hijacktthis habe ich auch durchgeführt.
ich hoffe ihr könnt mir helfen
danke schonmal im vorraus


Logfile of HijackThis v1.99.0
Scan saved at 23:02:19, on 24.01.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\winasp.exe
C:\WINDOWS\System32\NVATray.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\System32\Studio.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\Program Files\Internet Optimizer\optimize.exe
C:\Program Files\AdStatus Service\AdStatServ.exe
C:\Program Files\Admanager Controller\AdManCtl.exe
C:\Program Files\AdStatus Service\AdStatKeep.exe
C:\Program Files\Admanager Controller\AdManKeep.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\taskmgr.exe
C:\Dokumente und Einstellungen\Metin Bilge\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Search Relevancy - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\PROGRA~1\SEARCH~1\SEARCH~2.DLL
O2 - BHO: BHObj Class - {8F4E5661-F99E-4B3E-8D85-0EA71C0748E4} - C:\WINDOWS\wsem303.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Sygate Personal Block] Studio.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [eDonkey2000] C:\Programme\eDonkey2000\eDonkey2000.exe -t
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [NvCplScan] winasp.exe
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [AdStatus Service] C:\Program Files\AdStatus Service\AdStatServ.exe
O4 - HKLM\..\Run: [Power Scan] C:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\Run: [Admanager Controller] C:\Program Files\Admanager Controller\AdManCtl.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\RunServices: [Sygate Personal Block] Studio.exe
O4 - HKLM\..\RunServices: [NvCplScan] winasp.exe
O4 - HKLM\..\RunOnce: [NvCplScan] winasp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Sygate Personal Block] Studio.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [NvCplScan] winasp.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKCU\..\RunOnce: [NvCplScan] winasp.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by1fd.bay1.hotmail.msn.com/resou ... nPUpld.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnme ... loader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{22D77D59-393D-462B-8B46-DCB6CADE1A1D}: NameServer = 217.237.151.225 217.237.150.225
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

du solltest unnötige Prozesse beenden, aber unter keinen umständen system prozesse beenden, sonst fährt dein PC runter.

und welche prozesse sollte ich den beenden also bei mir laufen voll viele.
ich will da nix falsch machen??

hey schau mal im task manager ob deine svchost.exe die ganze auslastung produziert wenn ja hast du genau das selbe problem wie ich

alslso taskmanager, dann auf prozesse. klickst auf benutzername, und dann siehst du welche vom system sind und welche von dir. diese von dir kannst du schliesen, die von dem system lass ich immer sein.

Hallo@metin_83

Backdoor.Win32.Rbot.gen
* W32/Sdbot.worm.gen.y
Typ
* Wurm
Verbreitungsweise
* Netzwerkfreigaben
Anfällige Betriebssysteme
* Windows
Nebeneffekte
* Schaltet Antiviren-Anwendungen aus
* Ermöglicht Dritten den Zugriff auf den Computer
* Stiehlt Daten
* Verwendet seine eigene E-Mail-Engine
* Reduziert die Systemsicherheit
* Speichert Tastenfolgen

Alias
* Backdoor.Win32.Rbot.gen
* W32/Sdbot.worm.gen.y

Wenn er erstmals ausgeführt wird, kopiert sich W32/Rbot-TW als STUDIO.EXE in den Windows-Systemordner und startet diese Kopie des Wurms. Die Kopie versucht, die originale Datei zu löschen. Damit er gestartet wird, sobald sich ein Benutzer anmeldet, erstellt W32/Rbot-TW die folgenden Registrierungseinträge:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
Sygate Personal Block
Studio.exe

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunServices
Sygate Personal Block
Studio.exe

HKCUSOFTWAREMicrosoftWindowsCurrentVersionRun
Sygate Personal Block
Studio.exe

Der Wurm läuft kontinuierlich im Hintergrund und ermöglicht Backdoor-Zugriff auf den infizierten Computer.

Mit der Backdoor-Komponente von W32/Rbot-TW können folgende Funktionen gestartet werden:

Starten von Distributed-Denial-of-Service (DDoS)-Attacken.
Umleiten von TCP- und SOCKS4-Verkehr.
Remote-Login-Commandshell.
Herunterladen, Hochladen, Löschen und Ausführen von Dateien.
Einrichten eines HTTP-, TFTP- und FTP-Fileservers.
Stehlen von Kennwörtern (u. a. PayPal-Kontodaten).
Speichern von Tastenfolgen und Daten aus der Zwischenablage.
Erstellen von Bildschirmaufnahmen, Webcam-Aufnahmen und Videos.
Auflisten und Beenden von Prozessen.
Stoppen, Starten, Anhalten und Löschen von Diensten.
Öffnen und Schließen von Schwachstellen.
Portscan nach Schwachstellen auf remoten Computern.
Senden von E-Mails wie von dem remoten Anwender angegeben.
Leeren der DNS- und ARP-Caches.
Herunterfahren und Neustarten des Computers.
Hinzufügen und Löschen von Netzwerkfreigaben, Gruppen und Benutzern.
Schnüffeln in Netzwerkverkehr nach Kennwörtern.
Senden von Net-Messages.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Alias: W32/Agobot-IS, Backdoor.Agobot.hr, W32/Gaobot.worm.gen.d virus, Win32/Agobot.3.XW trojan,
W32.HLLW.Gaobot.gen, WORM_AGOBOT.KB
Backdoor.Agobot.IS ist ein Wurm, der sich remote über IRC-Kanäle verbreitet.
Wenn das lokale Netzwerk nicht durch ausreichende Kennwörter geschützt ist, kopiert sich der
Backdoor.Agobot.IS als winasp.exe in den Windows-Systemordner.

Es wird folgender Registrierungseintrag erstellt:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[NvCplScan]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
[NvCplScan]

Backdoor.Agobot.IS versucht Prozesse, Dienste und Antivirensicherheits-Progamme zu beenden
bzw. zu deaktivieren.
___________________________________________________________

Deaktivieren Wiederherstellung
«XP
Arbeitsplatz-->rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(kannst du nach der Reinigung wieder aktivieren)

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

O2 - BHO: Search Relevancy - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - C:\PROGRA~1\SEARCH~1\SEARCH~2.DLL
O2 - BHO: BHObj Class - {8F4E5661-F99E-4B3E-8D85-0EA71C0748E4} - C:\WINDOWS\wsem303.dll
O4 - HKLM\..\Run: [Sygate Personal Block] Studio.exe -->W32/Rbot-TW
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [AdStatus Service] C:\Program Files\AdStatus Service\AdStatServ.exe
O4 - HKLM\..\Run: [Power Scan] C:\Programme\Power Scan\powerscan.exe
O4 - HKLM\..\Run: [Admanager Controller] C:\Program Files\Admanager Controller\AdManCtl.exe
O4 - HKLM\..\RunServices: [Sygate Personal Block] Studio.exe
O4 - HKLM\..\RunServices: [NvCplScan] winasp.exe
O4 - HKLM\..\RunOnce: [NvCplScan] winasp.exe -->Exploit-DcomRpc.gen trojan
O4 - HKCU\..\Run: [Sygate Personal Block] Studio.exe
O4 - HKCU\..\Run: [NvCplScan] winasp.exe
O4 - HKCU\..\RunOnce: [NvCplScan] winasp.exe

PC neustarten

KillBox
http://www.bleepingcomputer.com/files/killbox.php
<Delete File on Reboot

und klick auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\PROGRA~1\SEARCH~1\SEARCH~2.DLL
C:\WINDOWS\System32\Studio.exe
C:\Program Files\Internet Optimizer\optimize.exe
C:\Program Files\AdStatus Service\AdStatServ.exe
C:\Programme\Power Scan\powerscan.exe
C:\Program Files\Admanager Controller\AdManCtl.exe
C:\WINDOWS\System32\winasp.exe
C:\WINDOWS\wsem303.dll

PC neustarten--> in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt und melde dich als Administrator an)

Datenträgerbereinigung: und Löschen der Temporary-Dateien
<Start<Ausfuehren--> reinschreiben : cleanmgr
loesche nur:
#Click:Temporäre Internet Files/Temporäre Internet Dateien, o.k.
#Click:Temporäre Dateien, o.k

C:\Program Files\Internet Optimizer\ <--loeschen
C:\Program Files\AdStatus Service\ <---loeschen
C:\Program Files\Admanager Controller\ <--loeschen
C:\Programme\Power Scan\ <--loeschen

Gehe wieder in den Normalmodus

#Stinger
http://vil.nai.com/vil/stinger/

das Tool loescht: D:\winasp.exe\winasp.exe
Found the Exploit-DcomRpc.gen trojan !!!
C:\winasp.exe\winasp.exe has been delete



Deinstalliere den Antivirus und lade:

#Testversion "Antivirus Personal 5.0"
http://www.computerbase.de/downloads/so ... nti-virus/
Kaspersky-Antivirus-Final 5.0 [(Deutsch,10.062 KB, Windows)]

mache einen Komplettscann im abgesicherten und dann noch einen im Normalmodus und poste das neue Log vom HijackThis