Mein Rechner versendet Spam Mails !

[HOL2001]

Hallo Leute !

Heute bekam ich Post von T-Online, dass mein Rechner Spammails versendet.
Trotz intensiver Suche konnte ich kein Schädlingsprogramm auf meinem Rechner finden.
Da ich aber in solchen Dingen auch nicht gerade der Crack bin, habe ich mal mein Hijack Protokoll mit angehängt:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:42:01, on 11.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\JMRaidTool.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\Programme\Shutdown\Shutdown.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\windows\ffpext\ffpsrv.exe
C:\Programme\Eset\nod32kui.exe
C:\Programme\Spamihilator\spamihilator.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\PTBSync\PTBSync.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\FreeMem Professional\Fmempro.exe
C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\Programme\DAEMON Tools Pro\DTProAgent.exe
C:\Programme\T-DSL Manager\DslMgr.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Eset\nod32krn.exe
C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\T-DSL Manager\DslMgrSvc.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Internet Explorer\iexplore.exe
P:\Vollinstallationen etc\Vollinstallationen\Emule und Co\emule0.48a-Xtreme6.1\emule.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\FlashGet\FlashGet.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: IE7Pro BHO - {00011268-E188-40DF-A514-835FCD78B1BF} - C:\Programme\IE7pro\IE7Pro.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Programme\FlashGet\jccatch_2.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {598F4775-6FB6-477B-9842-E0426824E077} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Programme\FlashGet\getflash.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Programme\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidTool.exe boot
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe" -H
O4 - HKLM\..\Run: [JoBe_Software_Shutdown] C:\Programme\Shutdown\Shutdown.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [ffpsrv] c:\windows\ffpext\ffpsrv.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Spamihilator] "C:\Programme\Spamihilator\spamihilator.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PTBSync] C:\Programme\PTBSync\PTBSync.exe /Start
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [FreeMem Pro] "C:\Programme\FreeMem Professional\Fmempro.exe" Startup
O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKCU\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKCU\..\Run: [RoboForm] "C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"
O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "C:\Programme\DAEMON Tools Pro\DTProAgent.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: T-DSL Manager.lnk = ? (User 'SYSTEM')
O4 - .DEFAULT Startup: T-DSL Manager.lnk = ? (User 'Default user')
O4 - Startup: DTProAgent.lnk = C:\Programme\DAEMON Tools Pro\DTProAgent.exe
O4 - Startup: T-DSL Manager.lnk = C:\Programme\T-DSL Manager\DslMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Shutdown.lnk = C:\Programme\Shutdown\Shutdown.exe
O8 - Extra context menu item: &Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: &Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Programme\IE7pro\IE7Pro.dll
O9 - Extra 'Tools' menuitem: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Programme\IE7pro\IE7Pro.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Programme\FlashGet\FlashGet.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Programme\FlashGet\FlashGet.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1164401841223
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1164406969593
O17 - HKLM\System\CCS\Services\Tcpip\..\{329B8479-599F-4A77-9727-C2FA93BE0D82}: NameServer = 217.237.151.205 217.237.148.70
O17 - HKLM\System\CS1\Services\Tcpip\..\{329B8479-599F-4A77-9727-C2FA93BE0D82}: NameServer = 217.237.151.205 217.237.148.70
O20 - Winlogon Notify: iwrps32 - C:\WINDOWS\SYSTEM32\iwrps32.dll
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Hotspot Manager (HotSpotFSvc) - T-Systems Enterprise Services GmbH - C:\Programme\Gemeinsame Dateien\T-COM\HotspotMgr\HotSpotFSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Programme\Eset\nod32krn.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: T-DSL Manager (TDslMgrService) - T-Systems - C:\Programme\T-DSL Manager\DslMgrSvc.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 9343 bytes

Vielleicht kann mal einer von euch drüberschauen!

 

[Phraser]

Folgende Massnahmen würde ich dir vorschlagen:

-Fixe das gelbe Kreuz inkl. die zwei Fragezeichen

-CCleaner drüber laufen lassen

-Aktueller Virentest

 

[Secula]

Hi,

Lass mal Spybot Serach & Destroyt, einen kompletten Online-Scann machen. Z.b.s. über Bitdefender.de. Achja Emule und Co. begünstigen es, das Dein Rechner zur Viren-Brut-Machiene umfunktioniert wird.

MfG
Secula

 

[HOL2001]

Folgende Massnahmen würde ich dir vorschlagen:

-Fixe das gelbe Kreuz inkl. die zwei Fragezeichen

-CCleaner drüber laufen lassen

-Aktueller Virentest

Vielen Dank für die schnelle Hilfe !

Aber ...
Gelbes Kreuz ? Fragezeichen ? Ähh ? Wie jetzt !

CCleaner habe ich bereits mehrfach drüber laufen lassen. Hat leider nichts gebracht...

Mache gerade einen Online Virentest. Mal schauen...

 

[Phraser]

Gelbes Kreuz ? Fragezeichen ? Ähh ? Wie jetzt !

Du hast ja das HJT Protokoll, wenn du das auf
http://www.hijackthis.de/de
eingibst, kannst du sehen ob was nicht in Ordnung ist.

Im Programm selber (HJT) kannst du es dann "fixen" (löschen)

 

[Phraser]

Hier das BIld wo du die Sachen fixen kannst:

 

[Hups]

Das blöde an der Sucherei ist ja, das man eigentlich nichts findet.
Und ob das versenden nach dem fixen aufhört, bekommt man auch nicht wirklich mit (und so wirklich böse sah das Ergebnis ja nicht aus).
Du solltest also auf jedenfall deinen Traffic am Rechner beobachten, versuchsweise eine Firewall installieren und hoffen, das es doch noch ein Programm gibt, welches dir den Übeltäter zeigt.

Ich persönlich würde lieber meinen Rechner neu aufsetzen, als wenn ich mich nachher mit T-Online über eine gekappte Leitung streiten muss.

 

[Tobias28]

Das blöde an der Sucherei ist ja, das man eigentlich nichts findet.
Und ob das versenden nach dem fixen aufhört, bekommt man auch nicht wirklich mit (und so wirklich böse sah das Ergebnis ja nicht aus).
Du solltest also auf jedenfall deinen Traffic am Rechner beobachten, versuchsweise eine Firewall installieren und hoffen, das es doch noch ein Programm gibt, welches dir den Übeltäter zeigt.

Ich persönlich würde lieber meinen Rechner neu aufsetzen, als wenn ich mich nachher mit T-Online über eine gekappte Leitung streiten muss.

Ich empfehle hiernach vorgehen (und zwar Punkt für Punkt):
http://www.hijackthis-forum.de/showthread.php?t=2912

 

[Hups]

Sag ich doch

Zitat:
Man kann trotz intensiver Reinigung nie ganz sicher sein, dass wirklich alles entfernt werden konnte. Bitte denke nicht, dass eine Bereinigung im Vergleich zum Neuaufsetzen des Systems viel schneller abgeschlossen ist. Um Dein System gründlich von Malware zu befreien, solltest Du Dir schon 6-8 Stunden Zeit nehmen. Dem Gegenüber steht das Formatieren und Neuaufsetzen. Vorteil: Die Methode ist deutlich sicherer und Du solltest ihr auf jeden Fall den Vorzug geben, wenn Du Online-Banking u.ä. mit Deinem Rechner machst. Der Nachteil liegt klar auf der Hand: Mit der Malware verschwinden auch alle Einstellungen und eigene Daten, sofern diese nicht vorher mit einer Backup-Lösung gesichert wurden.

 

[HOL2001]

OK. Ich habe mal alles entsprechend der Anweisungen von HJT gefixt.
Mal shen ob der Spuk nun ein Ende hat, ansonsten setze ich den Rechner eben neu auf.
Trotzdem vielen Dank euch allen !

 

[Hups]

Und womit bzw. wie kontrollierst du das?

 

[Bullayer]

Und womit bzw. wie kontrollierst du das?

Na, er wartet, ob er nochmal Post von T-Online bekommt.

 

[Hups]

Das befürchte ich auch.

 

[GaxOely]

Ich empfehle auf jedenfall Spybot - Search & Destroy 1.5
zu installieren.
Das findet ne ganze Menge!

Was hast du für ein Antivirusprogramm?

 

[Raffael]

@GaxOely
Er hat Nod32.

Mal ne ganz andere Frage: Bist Du sicher, das die Email von der Telekom kommt ?

Zum Thema:
Teste doch mal bitte mit Spyware-Doctor ( leider keine Freeware ) Dein System.http://www.pctools.com/de/spyware-doctor/ Dieser ist sehr sehr gut im Entdecken von Dingen, wo Nod32 gänzlich versagt. Saug die Testversion und lass mal einen Full-Scan machen. Die entdeckten "Probleme" lassen sich zwar mit der Testversion nicht beheben aber Du wärst Dir dann zumindest etwas sicherer.

 

[HOL2001]

@GaxOely
Er hat Nod32.

Mal ne ganz andere Frage: Bist Du sicher, das die Email von der Telekom kommt ?

Zum Thema:
Teste doch mal bitte mit Spyware-Doctor ( leider keine Freeware ) Dein System.http://www.pctools.com/de/spyware-doctor/ Dieser ist sehr sehr gut im Entdecken von Dingen, wo Nod32 gänzlich versagt. Saug die Testversion und lass mal einen Full-Scan machen. Die entdeckten "Probleme" lassen sich zwar mit der Testversion nicht beheben aber Du wärst Dir dann zumindest etwas sicherer.

Ich habe erst Ne Email und dann Post (in Papierform) von der Telekom bekommen. Scheint also authentisch zu sein.
OK, ich lasse den Spyware-Doctor auch nochmal drüberlaufen.

 

[Larix]

Und die haben dir ein Log gezeigt das dem wirklich so ist, und nicht einfach nur Spammails mit deiner Mailadresse als Absender genommen werden?

 

[Digit]

Hallo,

erstmal hat er ja Spybot S&D schon installiert.

Diser O2 Eintrag bestätigt, dass er zumindest Adware über ein PlugIn inst. hatte oder noch hat.

http://www.castlecops.com/tk30737-DP_dll_random_digit.html

http://research.sunbelt-software.com/threatdisplay.aspx?threatid=90975

Möglicherweise wurde damit was umgebogen.

 

[buma]

Also gegen sowas hilft wircklich nur Neuaufsetzen

Dann sofort Antivirensoftware drauf (z.B Kaspersky V von ComputerBild ), Updates rauf, Firewall an, Spamfilter an usw..

Denn.. Tools finden vllt den Schädling doch Backdoors, Lücken die durch den Schädling geöffnet wurden bleiben erhalten. Und in paar Stunden hast du schon einen neuen Besucher


.. also alles vorher sichern (möglichst auf CD/DVD!) und Windows neuinstallieren

 

[Fireblade]

Heute bekam ich Post von T-Online, dass mein Rechner Spammails versendet

Hi grüß dich
vielleicht ist dieses Schreiben nur ein Fake.Ich habe noch nie gehört das der Provider sich mit einem User auseinandersetzt und über diesen behauptet das sein Pc eine Spamschleuder ist.
Da ist garantiert was faul.

Gruß

F