WINAMP.EXE og FIREWALL.EXE i Windows Registry RUN ?

Mine børns pc har haft det meget underligt med internetforbindelsen. Det startede med at maskinen i ny og næ ville genstarte med en underlig "Remote Procedure Call failure, system must be restartet" og en nedtælling på 60 sekunder som faktisk genstartede maskinen med hård hånd. Ingen mulighed for at afbryde genstarten. Efterfølgende var netforbindelsen ubrugelig.

En NETSTAT gav følgende (uddrag af >300 linier:

  Proto  Lokal adresse          Fjernadresse          Status
  TCP    bambi:1419            212.7.250.152:epmap    SYN_SENT
  TCP    bambi:1420            212.7.250.153:epmap    SYN_SENT
  TCP    bambi:1421            212.7.250.154:epmap    SYN_SENT
  TCP    bambi:1422            212.7.250.155:epmap    SYN_SENT
  TCP    bambi:1423            212.7.250.156:epmap    SYN_SENT

Det pågældende program der udførte forespørgslen var WINAMP.EXE. Jeg deaktiverede netkortet og maskinen opførte sig nogenlunde. Jeg søgte maskinen igennem og fandt i Windows\Prefetch en fil der hed WINAMP.EXE-1??????.pf
I Registry fandt jeg under Windows\CurrentVersion\Run en henvisning til "Windows\System32\Winamp.exe", men denne fil findes ikke.

Jeg kørte HiJackThis og det gav følgende:

Logfile of HijackThis v1.99.1
Scan saved at 20:14:33, on 17-06-2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmer\WZCBDL Service\WZCBDLS.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmer\D-Link\Air Utility\AirCFG.exe
C:\Programmer\Java\jre1.5.0_02\bin\jusched.exe
C:\Programmer\QuickTime\qttask.exe
C:\Programmer\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\winamp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmer\iPod\bin\iPodService.exe
C:\Documents and Settings\Lynn\Skrivebord\hijackthis\hjt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.dk/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [C-Media Mixer] C:\Programmer\PCI Audio Applications\Bin\AudioRack.exe /MixerStartup
O4 - HKLM\..\Run: [D-Link Air Utility] C:\Programmer\D-Link\Air Utility\AirCFG.exe
O4 - HKLM\..\Run: [Aminova WordSeeker] "C:\Programmer\Fælles filer\Aminova\WordSeeker\Controller.exe" SHORTCUT
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmer\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmer\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmer\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe
O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINDOWS\System32\firewall.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmer\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O23 - Service: WZCBDL Service (WZCBDLService) - D-Link - C:\Programmer\WZCBDL Service\WZCBDLS.exe


Jeg fjernede Winamp v.h.a. HJT og genstartede. Samme problem. Samt igen en genstart af systemet med 60 sekunders nedtælling.
Derefter viste det sig at FIREWALL.EXE havde overtaget WINAMP's opgave.

Jeg fjernede FIREWALL.EXE med HJT og nu er maskinen ok igen.

HVAD er det jeg oplever? Er det noget der er kommet ind via et klik (så skal jeg opdrage børnene lidt bedre :-), en virus eller er det et netangreb?