Sehr Wichtig !!! Bitte alle mal hier reinschauen

[Schloti]

Hi Tino
deine Tipps sind echt klasse.
Habe mit ebenfalls AVG runtergeladen. Nur leider klappt das Updaten überhaupt nicht. Ich dachte zuerst das läge an der Firewall vom Norton. Hatte das Problem aber auch nach dem deaktivieren.
Hast du vielleicht ne Idee.
PS: Konnte nach dem ersten Einsatz ein Virus in zwei Dateien dingfest machen.
Mein Auszug aus der Report datei meines letzten Update versuch:
[color=green]28.05.2007,08:53:24 - Installation Directory: C:\Programme\AntiVir PersonalEdition Classic\
28.05.2007,08:53:24 - Backup Directory: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\BACKUP\
28.05.2007,08:53:24 - Temp Directory: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\Update\AVUPDATE_465a7c5e\
28.05.2007,08:53:24 - Update GUI wird gestartet... Displaymode: 0

28.05.2007,08:53:24 - Installation Directory: C:\Programme\AntiVir PersonalEdition Classic\
28.05.2007,08:53:24 - Backup Directory: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\BACKUP\
28.05.2007,08:53:24 - Temp Directory: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\Update\AVUPDATE_465a7c5e\
28.05.2007,08:53:24 - Update GUI wird gestartet... Displaymode: 0

28.05.2007,08:54:00 - Lizenzdatei: OK [Kompletter Modus]

28.05.2007,08:54:00 - Avira AntiVir PersonalEdition Classic

28.05.2007,08:54:49 - Connection failed while downloading the file http://dl1.avgate.net/upd/idx/master.idx.
28.05.2007,08:54:49 - Switching to next update server
28.05.2007,08:55:10 - Connection failed while downloading the file http://dl5.avgate.net/upd/idx/master.idx.
28.05.2007,08:55:10 - Switching to next update server
28.05.2007,08:55:32 - Connection failed while downloading the file http://dl2.avgate.net/upd/idx/master.idx.
28.05.2007,08:55:32 - Switching to next update server
28.05.2007,08:55:55 - Connection failed while downloading the file http://dl6.avgate.net/upd/idx/master.idx.
28.05.2007,08:55:55 - Switching to next update server
28.05.2007,08:56:21 - Critical error: Connection failed while downloading the file http://dl3.avgate.net/upd/idx/master.idx


Gruß Sven

[Stör-Angler]

Moin Schloti,
sorry für die späte Antwort, war leider Gesundsheitsbedingt verhindert.

Ja, das mit dem Avira update ist so ne Sache - ich hatte früher fast ausschliesslich Avira ( Damals hiess es noch Antivir ) und auch da war es öfters ohne Grund so , das die Verbindung zum Updateserver nur mit Glück klappte.

Ein Rezept dagegen gibts leider nicht - evtl. eine Neuinstallation von Avira.
Versuche es dochmal mit AVG Free - da klappt das es gut und es kommt auch keine Werbung mehr beim Updaten.

Allerdings könnte es auch mit dem Virus zu tun haben , denn einige versuchen Virenscanner und Firewalls zu behindern oder sogar zu beenden.

[Schloti]

Hi Tino,
Vielen Dank für die Tipps , werde jeztz neu installieren. Habe in zwei Wochen Urlaub dann kann ich mich mal mit diesen PC so richtig auseinandersetzten.
Viele nette Grüße
Sven

[mmk]

Hallo und einen schönen Guten Tag!

Ich bin über ein anderes Forum in diesen Thread gestolpert, und habe ihn mir mal Posting für Posting durchgelesen.

Leider scheint allgemein ein Trugschluss vorzuherrschen, nämlich, dass man infizierte Systeme bereinigen könne, indem man einfach die gefundenen Schad-Dateien und ihre Starteinträge löscht. Dem ist leider nicht so.

Moderne Schädlinge - allgemein und im Folgenden auch "Malware" genannt - verfügen über Techniken (z.B. Rootkit-Techniken), die dazu verwendet werden, sich im System unentdeckt zu halten und Virenscanner sowie andere "Schutzprogramme" auszutricksen, um eine Erkennung durch sie oder den Nutzer zu verhindern. Nach jeder Infektion besteht also immer das erhebliche Risiko, dass nicht entdeckte "Reste" aktiv zurückbleiben und - für den Nutzer zunächst unbemerkt - weiteren Schaden anrichten (z.B. das permanente Auslesen von Passwörtern und Zugangsdaten).

Insofern kann ich jedem, dessen System mit so einer (oder einer anderen) Malware infiziert wurde, nur dringend dazu raten, das System neu aufzusetzen.

Das heißt grob gesagt:

1.) Wichtige Daten können noch, z.B. durch Brennen auf CD oder DVD, gesichert werden.
2.) Danach sollte von der Windows CD gestartet und die Festplatte formatiert werden (nicht gesicherte Daten gehen dabei verloren).
3.) Windows ist von der CD neu zu installieren.
4.) Alle wichtigen Service-Packs und Patches sind zu installieren (kann man sich vorher von einem sauberen PC beim Nachbarn, eines Verwandten oder guten Freundes laden).
5.) Zudem müssen die Treiber installiert werden.

Genauer nachzulesen ist das z.B. hier:
http://www.trojaner-info.de/report_inst ... tung.shtml
http://www.trojaner-info.de/report_inst ... g_02.shtml

Erst dann sollte man wieder online gehen und alle Passwörter ändern. Und für die Zukunft: Vorbeugung ist der beste Schutz!

[Stör-Angler]

Hallo mmk,
ersteinmal vielen Dank für Deinen Beitrag.

Leider scheint allgemein ein Trugschluss vorzuherrschen, nämlich, dass man infizierte Systeme bereinigen könne, indem man einfach die gefundenen Schad-Dateien und ihre Starteinträge löscht. Dem ist leider nicht so.

Der hier behandelte Schädling installiert kein Rootkit - von daher sind die angegebenen Schritte ausreichend.Dieser Thread ist auch kein Allheilmittel gegen Badware aller Art.

Natürlich hast Du im Prinzip recht, das eine Neuinstallation eine sehr sichere Methode ist .Dennoch bietet auch eine Neuinstallation keine hundertprozentige Sicherheit - ebensowenig die Virenscanner auf dem neuesten Stand zu halten. Nicht einmal das Formatieren unter einem Windowssystem ist sicher.

Ein weiterer Schwachpunkt wäre das besorgen von Updates von Nachbarn/Verwandten oder Freunden. Wie Du schon beschreiben hast gibt es sehr tückische Exemplare und auch dort könnte das System bereits komprimitiert sein ohne das es bemerkt wurde.

____________________________________________________

Noch was in eigener Sache , bitte nicht böse sein :
1) Ich weiss ja nicht wie Du mit den Domaineignern von trojaner-info.de in Verbindung stehst , aber ein Impressum würde mir persönlich viel mehr Vertrauen geben.

2) Ist laut Denic der Domaineigner die Firma Adcommunications - ein Vermarkter von Onlinewerbung. Ebenfalls nicht sehr vertrauenswürdig - jedenfalls nicht in Bezug auf Sicherheitsfragen.

3) Wenn man 1) & 2) im Kontext sieht ist sogar eine Impressumspflicht gegeben da es ziemlich offensichtlich ist das eine Gewinnerzielungsabsicht vorliegt.

[Tobe]

Hallo zusammen,

durch Zufall bin ich auf diesen Thread gestoßen, und habe mich durch die ganzen Anweisungen gehangelt, da ich auch Torpig auf meinem Rechner habe.
Ich finde die ntos.exe nicht, die scheint es nicht zugeben, auf meinem Rechner. Die ibm????.dll habe ich gestern geschafft zu löschen, mit hilfe von Killbox. Danach habe ich Spybot durchlaufen lassen und er konnte die beiden Tem-Dateien $__2341233.TMP und $_2341234.TMP löschen.

Doch als ich vorhin Spybot durchlaufen lasse haben, waren die beiden wieder da , löschen konnte ich sie aber mit Spybot. Es war aber keine Spur von ibm.dll und ntos.exe zu sehen. Den beschriebenen Explorer-Patch habe ich drauf, hat jemand eine Idee, wie die beiden Dateien nicht mehr wiederkommen.

Ich bin zwar nicht der größte PC-Fachmann, auch nicht der kleinste aber jetzt habe ich keinen Rat mehr.
Gruss Tobe

[mmk]

Wie bereits erläutert - das System gehört neu aufgesetzt.
Wichtig: Alle Passwörter / Zugangsdaten sind danach zu ändern, um Missbrauch durch Dritte, soweit möglich, zu verhindern.

[mmk]

Nichts desto weniger kann ich mir Dein System einmal genauer anschauen, um dann auf (eventuell weitere) Infektionen und Schwachstellen hinweisen zu können. Poste dazu bitte zunächst so ein LofgFile:

http://sicher-ins-netz.info/analyse/hjt.html

[Tobe]

Erstmal danke für die schnelle Antwort,

so schaut das Logfile aus

ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:48:08, on 25.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\MSN Messenger\livecall.exe
C:\Programme\AOL 9.0 VRb\waol.exe
C:\Programme\Gemeinsame Dateien\AOL\1181575746\ee\aolsoftware.exe
C:\Programme\AOL 9.0 VRb\shellmon.exe
C:\Programme\Gemeinsame Dateien\AOL\Topspeed\3.0\aoltpsd3.exe
C:\DOKUME~1\Tobi\LOKALE~1\Temp\Temporäres Verzeichnis 2 für HiJackThis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=localhost:8118;https=localhostz:8118
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - AOL LLC - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe

--
End of file - 5778 bytes