Hallo!

Ich hoffe, ihr könnt mir helfen, ich bin hier langsam am verzweifeln. Nachdem ich heute Mittag noch meine übliche Viren- und Spyware-Prüfung hab durchlaufen lassen (Norton, AdAware und Spybot) und nichts gefunden wurde, sieht das mittlerweile ganz anders aus!
Scheinbar hab ich mir vorhin irgendeinen Trojaner oder Virus oder so eingefangen und ich werde ihn nicht wieder los. Wenn ich meinen Explorer öffne, bekomm ich bis zu drei weitere Fenster zu irgendwelchen Seiten, die ich noch nie in meinem Leben gesehen habe und AdAware und Spybot finden bei jedem Durchlauf neue Probleme, die nach Beheben aber sofort wieder da sind.

Ich hab mir nun also dieses Hijack-Programm besorgt und drüberlaufen lassen. Mein Log sieht folgendermaßen aus:

Logfile of HijackThis v1.99.0
Scan saved at 20:42:08, on 04.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Messenger\msmsgs.exe
C:\Dokumente und Einstellungen\Baddie\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.angelinvestigations.de/index2.html
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/...lInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1102359609890
O18 - Filter: text/html - {4A1A51A9-34E4-403B-8AB2-E595D4D3613D} - C:\Dokumente und Einstellungen\Baddie\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.26.dat
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe


Ich wäre sehr dankbar, wenn mir jemand erzählen könnte, wo das Problem liegt und vor allem, wie genau ich das wieder weg bekomme. Und bitte ganz langsam Schritt für Schritt, denn ich bin eine PC-Blondine!

http://www.cexx.org/lspfix.htm lspfix runterladen und ausführen, und alles außer mswsock.dll, winrnr.dll, und rsvpsp.dll zu remove schießen und schließlich auf finish
gefixt werden sollte:
O1 - Hosts: 69.20.16.183 auto.search.msn.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.angelinvestigations.de/index2.html
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52...llInstaller.exe
O18 - Filter: text/html - {4A1A51A9-34E4-403B-8AB2-E595D4D3613D} - C:\Dokumente und Einstellungen\Baddie\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.26.dat

aber ich jedenfalls konnte keine anzeichen für viren finden.
deswegen lad dir mal escan runter und scanne mal, gib dann nachdem du das alles erledigt hast, einen erneuten log von hijack this und geb das Ergebnis von escan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren" her in einen beitrag

Ein HiJackThis - Log-File kannst du HIER
auch selbst auswerten lassen.

dass reicht doch nicht aus @chris47803 es gibt dinge die nicht mit hijack this beheben werden können. die automatische auswertung weiß außerdem manche dinge nicht. sie kann bspw. keine viren erkennen. und die autom. erkennung hat sich schonmal geirrt und einen bösen prozess als gut befunden. es ist besser die logs weiterhin hier zu posten

http://www.cexx.org/lspfix.htm lspfix runterladen und ausführen, und alles außer mswsock.dll, winrnr.dll, und rsvpsp.dll zu remove schießen und schließlich auf finish

erledigt

gefixt werden sollte:
O1 - Hosts: 69.20.16.183 auto.search.msn.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.angelinvestigations.de/index2.html
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52...llInstaller.exe
O18 - Filter: text/html - {4A1A51A9-34E4-403B-8AB2-E595D4D3613D} - C:\Dokumente und Einstellungen\Baddie\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.26.dat

erledigt

aber ich jedenfalls konnte keine anzeichen für viren finden.
deswegen lad dir mal escan runter und scanne mal, gib dann nachdem du das alles erledigt hast, einen erneuten log von hijack this und kopiere alle infizierten dateien aus dem log von escan hier rein.

Okay.
Hijack this sagt jetzt folgendes:

Logfile of HijackThis v1.99.0
Scan saved at 21:29:19, on 04.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\Baddie\LOKALE~1\Temp\mwavscan.com
C:\DOKUME~1\Baddie\LOKALE~1\Temp\kavss.exe
C:\Programme\Messenger\msmsgs.exe
C:\Dokumente und Einstellungen\Baddie\Desktop\HijackThis.exe

O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1102359609890
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe


Und escan hab ich mir runtergeladen und drüberlaufen lassen. Dabei hat er 24 Viren gefunden...
Soll ich jetzt hier den riesigen Log davon posten? Oder alle 24 mühsam per Hand raussuchen?

@Bad Cat
poste nur das ergebnis
EscanErgebnis
Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."
chaosman

Hmpf! Komm mir hier gerade total blöd vor. Ihr versucht mir hier zu helfen und ich check mal wieder nichts.


Also, @chaosman: Ich hab das jetzt mal gemacht und er hat mir gerade mal ein Problem markiert:
C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\R1ZGXN7O\loader2[1].ocx infected by

"Trojan-Downloader.Win32.Agent.ex" Virus. Action Taken: No Action Taken.


Das scheint zumindest EIN Problem von den 24 zu sein, die er als Virus gefunden hat.

@Bad Cat
denn wirst du leicht los
lade dir clearprog bei www.clearprog.de
programm starten, alle häkchen bei IE und windows setzen, löschen
poste bitte die andere escanergebnisse auch
chaosman

ich kann eigentlich schon darauf schließen, dass die meisten viren im ordner temporary internet files sind. hm.. geh in abgesicherten modus und lass mal den ordner leeren (start/programme/zubehör/systemprogramme/datenträgerbereinigung) dort c: auswählen und alles auswählen dort. dann auf OK. dann lass nochma escan drüber laufen und poste das ergebnis wie vorhin genannt. und wenn du das alles hast, update die virendefinitonen von norton antivirus -_- das gibts doch net dass ein (eigentlich recht teuerer) virenscanner wie norton antivirus diese viren nicht erkennt.
oh chaosman war schneller^^

Okay, ich hab mittlerweile noch einige andere Programme ausprobiert und wie es scheint auch einige Viren (?) wegbekommen, denn heute morgen waren es bereits 30, die escan mir angezeigt hat.
Ich hab mir jetzt mal die Mühe gemacht und die verbleibenden 24 per Hand (! - ging nicht anders) aus dem Logfile von escan rauszusuchen:

C:\WINDOWS\system32\guard.tmp infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\IEMenuExtension.exe infected by
"not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\akupd.dll infected by
"TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\aklsp.dll infected by
"TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\appsetup.exe infected by
"Trojan-Downloader.Win32.Small.aco" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\guard.tmp infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\kt4sl7h71.dll infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\gpj6l31s1.dll infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\akcore.dll infected by
"not-a-virus:AdWare.Coreak" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\inetFuel.exe infected by
"not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken.

C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\R1HU7NR7\AppWrap[1].exe infected by
"Trojan-Dropper.Win32.Small.of" Virus. Action Taken: No Action Taken.

C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\ZXPKXDNF\AppWrap[1].exe infected by
"Trojan-Dropper.Win32.Small.of" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\akupd.dll infected by
"TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\aklsp.dll infected by
"TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\appsetup.exe infected by
"Trojan-Downloader.Win32.Small.aco" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\guard.tmp infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\kt4sl7h71.dll infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\gpj6l31s1.dll infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\akcore.dll infected by
"not-a-virus:AdWare.Coreak" Virus. Action Taken: No Action Taken.

C:\WINDOWS\system32\inetFuel.exe infected by
"not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken.

C:\WINDOWS\Temp\nsdtmp09.dll infected by
"not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken.

C:\WINDOWS\Downloaded Program Files\WinServAdX.dll infected
by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken.

C:\WINDOWS\Downloaded Program Files\SAHAgent_.exe infected
by "not-a-virus:AdWare.ShopAtHome.b" Virus. Action Taken: No Action Taken.

C:\WINDOWS\IEMenuExtension.exe infected by
"not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken.


Norton ist auf dem neusten Stand, aber er findet nichts! Soviel also zu diesem ach so tollen Programm...

@ Bad Cat

Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK

Navigiere im linken Fenster zu dem besagten Ordnern bzw. Dateien und lösche diese (markieren -> F8 -> JA).

Okay, ich habe nun die meisten von den Sachen mit dem Total Commander gelöscht. Bei einigen von den Dateien zeigt er aber eine Warnung an, dass es sich um versteckte oder Systemdateien handelt.

Kann ich die denn so einfach löschen oder funktioniert dann anschließend gar nichts mehr bei mir?

Die kannst du alle bedenkenlos löschen.

Ich hab alles gelöscht bis auf dieses Exemplar:

C:\WINDOWS\system32\guard.tmp infected by
"not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken.


Wenn ich das löschen will, sagt mir Total Commander, dass das Programm womöglich schreibgeschützt sei und deswegen nicht gelöscht werden kann. Ich bin daraufhin mal manuell zu der Datei gegangen und hab unter "Eigenschaften" nachgeschaut, aber dort steht nicht, dass die Datei schreibgeschützt ist. Wie bekomme ich das Ding denn dann von meinem PC?

HJT öffnen -> Config -> Misc Tools -> Delete a File on reboot -> navigiere dann zur C:\WINDOWS\system32\guard.tmp -> Öffnen -> nächste Frage mit JA beantworten.