hi,

computer-allergiker braucht dringend hilfe. habe ein nerviges "only the best"-popup und eine internet explorer einstiegsseite "about blank", die ich nicht korrigieren kann.

habe versucht anhand der angaben zu ähnlichen problemfällen im forum mit escan und HijackThis das problem zu entfernen. bisher erfolglos.

hier der aktuelle log:

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\LEXBCES.EXE
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\LEXPPS.EXE
C:\WINNT\System32\svchost.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\VirusScan\mcshield.exe
C:\Programme\Network Associates\VirusScan\vstskmgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\cdplayer.exe
C:\Programme\Network Associates\VirusScan\SHSTAT.EXE
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\Programme\Dell AIO Printer A920\dlbkbmgr.exe
C:\Programme\Dell AIO Printer A920\dlbkbmon.exe
C:\WINNT\system32\cryf.exe
C:\WINNT\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\WINNT\ntel.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\tvfuj.dll/sp.html#12345
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {38FA6509-BE21-7848-BD9F-8CA22B4CB538} - C:\WINNT\iedc32.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DeluxeCD] C:\WINNT\system32\cdplayer.exe -tray
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Dell AIO Printer A920] "C:\Programme\Dell AIO Printer A920\dlbkbmgr.exe"
O4 - HKLM\..\Run: [cryf.exe] C:\WINNT\system32\cryf.exe
O4 - HKLM\..\RunOnce: [ntel.exe] C:\WINNT\ntel.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8E74C34-E5C3-4776-B06A-DA30D96EE8B2}: NameServer = 160.45.10.12,160.45.8.8,130.133.1.157
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = zedat.fu-berlin.de,fu-berlin.de
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = zedat.fu-berlin.de,fu-berlin.de
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = zedat.fu-berlin.de,fu-berlin.de
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINNT\system32\LEXBCES.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\vstskmgr.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe

für jede hilfe dankbar, gid

Moin,

da sind mindestens 2 Verdächtige Prozesse:

C:\WINNT\system32\cryf.exe
C:\WINNT\ntel.exe

Überprüfe die mal hier -> http://virusscan.jotti.org/ oder noch besser:
Mach mal einen Scan mit eScan (siehe Signatur - Anleitung genau beachten!) und poste anschließend, was gefunden wurde.
Öffne dazu die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Zitat von Lutz

Moin,

da sind mindestens 2 Verdächtige Prozesse:


Überprüfe die mal hier -> http://virusscan.jotti.org/ oder noch besser:
Mach mal einen Scan mit eScan (siehe Signatur - Anleitung genau beachten!) und poste anschließend, was gefunden wurde.
Öffne dazu die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

erstmal vielen dank für die schnelle antwort, auch wenn ich erst jetzt zur bearbeitung komme.

cryf.exe hatte ich gestern auch in verdacht, wird auch von mcafee virusscan angezeigt. von escan allerdings weder gestern noch heute als infiziert gekennzeichnet.
der restliche escan-log folgt hier:
File C:\WINNT\iedc32.dll infected by "Trojan-Downloader.Win32.Agent.jb" Virus. Action Taken: No Action Taken.
File C:\WINNT\ntel.exe infected by "Backdoor.Win32.Small.dc" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\apprf32.exe infected by "Backdoor.Win32.Small.dc" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\tvfuj.dll infected by "not-a-virus:AdWare.JS.OneMoreSearch.a" Virus. Action Taken: No Action Taken.
File C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\SetupEstimateS700Win.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Desktop\ZippedSetupEstimates700Win\SetupEstimateS700Win.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Desktop\ZippedSetupEstimates700Win\ZippedSetupEstimates700Win.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\SetupEstimateS700Win.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\WINNT\ntel.exe infected by "Backdoor.Win32.Small.dc" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\apprf32.exe infected by "Backdoor.Win32.Small.dc" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\tvfuj.dll infected by "not-a-virus:AdWare.JS.OneMoreSearch.a" Virus. Action Taken: No Action Taken.

Estimates700 ist ein programm was ich schon seit einiger zeit ohne probleme nutze und nur ungern löschen würde. aber den rest einfach löschen?

gruß, gid

Ich habe es befürchtet...

Zitat von gid

File C:\WINNT\system32\apprf32.exe infected by "Backdoor.Win32.Small.dc" Virus. Action Taken: No Action Taken.

Bei einem derartigen Trojaner wird Dir hier Format C: empfohlen, um wieder ein vertrauenswürdiges System herzustellen. Sorry, aber einen anderen Rat kann ich Dir nicht geben.

Halte Dich am Besten an diese Anweisung:

http://www.trojaner-board.de/showthread.php?t=12154

Thema Datensicherung:

http://www.trojaner-board.de/showpos...8&postcount=11

Estimates700 ist imho unbedenklich, kannst Du nach dem Formatieren wieder installieren. Es wurde nur die Reboot-Funktion der Datei SetupEstimateS700Win.exe durch eScan bemängelt. Dies ist nicht kritisch.

Da eScan die Datei cryf.exe nicht als kritisch einschätzt, sende diese doch bitte per mail an Kaspersky. Adresse = newvirus@kaspersky.com Dort wird die Datei überprüft und ggf. in die künftigen Signaturen übernommen. eScan nutzt die gleichen Definitionen wie Kaspersky.

Zitat von Lutz

Ich habe es befürchtet...



Bei einem derartigen Trojaner wird Dir hier Format C: empfohlen, um wieder ein vertrauenswürdiges System herzustellen. Sorry, aber einen anderen Rat kann ich Dir nicht geben.

trotzdem danke (aus fehlern lernt man - hoffentlich), gruß, gid