Virus ? Trojaner ? !!! HILFE !!!

[Kris]

Hi :)

jaja da bin ich wieder mal auf dem Rechner meines Vaters und schon hat sich wieder was anderes hier "breit" gemacht :/

Anzeichen :

• Taskmanager / Regedit und CO lassen sich nicht mehr öffnen ... bzw. öffnen tun sie sich, aber sie schliessen sich automatisch nach 1-3 Sekunden ! (Sogar HiJackThis konnte ich nicht ausführen)

Umgehen kann man das ganze indem man die EXE Dateien einfach umnennt und sie dann startet ... daher kann ich euch hier ein HiJackThis Log posten ... evtl könnt ihr mir sagen worans liegt :/

Prozesse finde ich keine falschen (evtl. bin ich blind -.-)

danke fürs drüber schauen ...

mfg

KRIS

Logfile of HijackThis v1.99.1
Scan saved at 18:19:23, on 02.10.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\ibmpmsvc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\security\FireDaemon.exe
C:\WINNT\security\FireDaemon.exe
C:\WINNT\security\netclient.exe
C:\WINNT\security\msagent.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\TpChrSrv.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\security\FireDaemon.exe
C:\WINNT\security\winsecure.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\PRPCUI.exe
C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
C:\WINNT\system32\dla\tfswctrl.exe
C:\WINNT\system32\dpmw32.exe
C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe
C:\WINNT\system32\NWTRAY.EXE
C:\Programme\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe
C:\WINNT\system32\atiptaxx.exe
C:\Programme\HP\HP Software Update\HPWuSchd.exe
C:\WINNT\system32\svsgrd.exe
C:\WINNT\AGRSMMSG.exe
C:\WINNT\system32\MSsvc32.exe
C:\Programme\Analog Devices\Teledat 300 USB Treiber\dslmon.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\hrhr.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\hijackthis\fufu.exe

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\pmnmk.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe
O4 - HKLM..\Run: [dla] C:\WINNT\system32\dla\tfswctrl.exe
O4 - HKLM..\Run: [ConfigSafe] C:\CFGSAFE\NTFSCLUP.EXE
O4 - HKLM..\Run: [CSScheduleCheck] C:\CFGSAFE\SCHWIZEX.EXE -CHECK
O4 - HKLM..\Run: [NDPS] C:\WINNT\system32\dpmw32.exe
O4 - HKLM..\Run: [NWTRAY] NWTRAY.EXE
O4 - HKLM..\Run: [ATIPTA] atiptaxx.exe
O4 - HKLM..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd.exe"
O4 - HKLM..\Run: [MSsvc322] C:\WINNT\system32\MSsvc32.exe
O4 - HKLM..\Run: [SVS Guard] svsgrd.exe
O4 - HKLM..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM..\Run: [Compaq Service Drivers] ntsys32.exe
O4 - HKLM..\RunServices: [SVS Guard] svsgrd.exe
O4 - HKLM..\RunServices: [Compaq Service Drivers] ntsys32.exe
O4 - HKCU..\Run: [Compaq Service Drivers] ntsys32.exe
O4 - HKCU..\RunServices: [Compaq Service Drivers] ntsys32.exe
O4 - Global Startup: DSLMON.lnk = C:\Programme\Analog Devices\Teledat 300 USB Treiber\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\microsoft office\Office\OSA9.EXE
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O20 - Winlogon Notify: pmnmk - C:\WINNT\SYSTEM32\pmnmk.dll
O20 - Winlogon Notify: tphotkey - C:\WINNT\SYSTEM32\tphklock.dll
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINNT\system32\ibmpmsvc.exe
O23 - Service: FireDaemon Service: msagent (msagent) - Sublime Solutions Pty Ltd - C:\WINNT\security\FireDaemon.exe
O23 - Service: FireDaemon Service: netclient (netclient) - Sublime Solutions Pty Ltd - C:\WINNT\security\FireDaemon.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe
O23 - Service: QCONSVC - Unknown owner - C:\WINNT\System32\QCONSVC.EXE
O23 - Service: SVC Module - Unknown owner - C:\WINNT\sysrs.exe
O23 - Service: ThinkPad PM (TpChrSrv) - Unknown owner - C:\WINNT\System32\TpChrSrv.exe
O23 - Service: FireDaemon Service: winsecure (winsecure) - Sublime Solutions Pty Ltd - C:\WINNT\security\FireDaemon.exe

[Kris]

C:\WINNT\system32\hrhr.exe

das ist der umbenannte TASKMANAGER ... daher keine Sorge ;)

C:\Programme\hijackthis\fufu.exe

Das ist die umbenannte HiJackThis.exe :)

[Alain]

hi,

C:\WINNT\system32\hrhr.exe

das ist der umbenannte TASKMANAGER ... daher keine Sorge ;)

C:\Programme\hijackthis\fufu.exe

Das ist die umbenannte HiJackThis.exe :)

und was sagt uns das jetzt?
Das Du ein minderjähriger looser bist, der eigentlich nichts am pc seines vaters zu suchen hat?
MfG
Alain

[Cheatah]

Hi,

und was sagt uns das jetzt?
Das Du ein minderjähriger looser bist, der eigentlich nichts am pc seines vaters zu suchen hat?

die Propagierung der eigenen Ignoranz durch Lemken's Law ist in diesem Forum nicht Pflicht. Es steht Dir also frei, auf Äußerungen dieser Art zu verzichten.

Cheatah, kopfschüttelnd

[Thomas J.S.]

Hallo,

Das Du ein minderjähriger looser bist, der eigentlich nichts am pc seines vaters zu suchen hat?

und was sagt uns das jetzt?

Dass persönlich und beleidigend wirst. Das ist nicht erwünscht.

Grüße
Thomas

[Alain]

hi,

Das Du ein minderjähriger looser bist, der eigentlich nichts am pc seines vaters zu suchen hat?

und was sagt uns das jetzt?

Dass persönlich und beleidigend wirst. Das ist nicht erwünscht.

Das war eine frage keine behauptung bzw. persönlich beleidigend ... oder was bedeutet "?" ?
MfG
Alain

[Cheatah]

Hi,

Das war eine frage keine behauptung bzw. persönlich beleidigend ... oder was bedeutet "?" ?

willst Du damit sagen, dass Du ein krankes, asoziales Arschloch bist, welches plumpe Beleidigungen unter dem Mantel formaler Realitätsverleugnisse zu verstecken sucht?

Ich bin sicher, Obiges hat Dir nicht gefallen. Mir übrigens auch nicht.

Cheatah

[Alain]

hi,

Das war eine frage keine behauptung bzw. persönlich beleidigend ... oder was bedeutet "?" ?

willst Du damit sagen, dass Du ein krankes, asoziales Arschloch bist, welches plumpe Beleidigungen unter dem Mantel formaler Realitätsverleugnisse zu verstecken sucht?

wenn das jetzt keine FRAGE wäre, dann würde ich glatt denken, du versuchst mich zu ärgern ;-)

Ich bin sicher, Obiges hat Dir nicht gefallen. Mir übrigens auch nicht.

warum schreibst du es dann?
Eigentlich wollte ich ja "loser" schreiben, was eigentlich das richtige wort gewesen wäre, nur haben es gewisse Leute ja dann doch so verstanden, wie ich es gemeint habe und die reaktion war dementsprechend.
Ich bin kein Freund von Leuten, die keinen Anstand besitzen, die sich allem bemächtigen, was ihnen NICHT gehört, egal ob minderjährige oder erwachsene, daraus entstand dann eben meine frage.
Oder würde es Dir gefallen, wenn ich einfach mal Deine autoschlüssel nehme und kurz mit 200km/h innerorts fahren würde und geblitzt werde und womöglich Dein auto zu schrott fahre?
So nach dem motto, was dein ist, ist auch meins?!
Sich auf kosten anderer zu amüsieren, finde ich einfach nur frech, so.
Alain

[Kris]

O23 - Service: QCONSVC - Unknown owner - C:\WINNT\System32\QCONSVC.EXE
O23 - Service: SVC Module - Unknown owner - C:\WINNT\sysrs.exe

Hier war der Hund begraben ...

• TASKMANAGER UMNENNEN
• SYSRS.EXE BEENDEN
• SYSRS.EXE LÖSCHEN
• FIXEN PER HIJACKTHIS

voila :)

danke fürs lesen :P

mfg

KRIS

[Jörg Lorenz]

Hi,

das _könnte_ böse aussehen:

C:\WINNT\system32\svsgrd.exe

Siehe hier: http://www3.ca.com/securityadvisor/virusinfo/virus.aspx?ID=47020

C:\WINNT\system32\MSsvc32.exe

Siehe hier: http://www.sophos.de/virusinfo/analyses/w32agobotme.html

Prüfe die beiden Dateien mal hier:
http://www.virustotal.com/flash/index_en.html

Wenn es sich herausstellt, daß es die bots sind, siehe hier:
http://sicher-ins-netz.info/wuermer/nw-wuermer.html

Dann hilft nur noch ein Neuaufsetzen (mit allen Service-Packs und Roll-Overs vor der ersten Internetverbindung), da Dein System nicht mehr unter Deiner Kontrolle ist.

Viele Grüße

Jörg