und dann wars wieder keiner...help?

lynfury · 02.01.2006, 00:55

komm heute vom neujahrsfeierlichkeiten zurück und man sagt mir das der pc komische sachen macht, abba keiner wills gewesen sein...
hab ad aware und spybot drüber gelassen, abba die probleme kommen nach dem neustart wieder: windows kästchen im eck sagt "yor computer is infected" spyaxe lädt sich runter und blockt ziemlich den iexplorer, kenn mich leider zu wenig aus mit der materie, help anyone?

Logfile of HijackThis v1.99.1
Scan saved at 00:51:28, on 02.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\nvctrl.exe
C:\WINNT\system32\mssearchnet.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINNT\system32\RunDll32.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\system32\ctfmon.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\wscntfy.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\*****\Eigene Dateien\******\random shit\hijack_this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINNT\system32\hp64A5.tmp
O4 - HKLM\..\Run: [Seticon] C:\Program Files\Icons\Seticon.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {20050325-D35A-4233-926E-2E801AE25949} (NMJPStarter15 Class) - http://www.netmarble.jp/_common/cab/NMStarterJP5.cab
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {6FC19219-C47E-4880-9A79-D218A1C374F9} (NMJTransX Control) - http://file.netmarble.jp/Control/NMJTransX.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Tenebril antispyware satellite (TNBRLDS) - Unknown owner - C:\Programme\GhostSurf 2005\DeleteSvc.exe (file missing)

Haui45 · 02.01.2006, 01:33

Hallo,

führe bitte das aus, was hier beschrieben ist und poste alle geforderten Logs (eScan, HjT, smitrem)

lynfury · 02.01.2006, 21:24

hab jetzt alles ge,acht, hier die logs und noch 2 sachen:
.) spybot kann irgendwas mit smitfraud oder so nicht löschen, selbst gleich nach neustart nicht und
.) wann kann ich meine systemwiederherstellung wieder einschalten? (die probleme die ich bis jetzt hatte, also üble browser umlenkung und immer die warnung unten im eck, sind zwar weg, abba das war sicher nicht alles odeR?)

ALLERDINGS ist mein Escan log in word ca.3000 seiten lang...
sicher das ich das hier posten soll?

-----------------------------------------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 21:23:31, on 02.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\wscntfy.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINNT\system32\RunDll32.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Dokumente und Einstellungen\****\Eigene Dateien\****\****\hijack_this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
O4 - HKLM\..\Run: [Seticon] C:\Program Files\Icons\Seticon.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {20050325-D35A-4233-926E-2E801AE25949} (NMJPStarter15 Class) – h**p://www.netmarble.jp/_common/cab/NMStarterJP5.cab
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) – h**ps://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) – h**p://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) – h**p://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {6FC19219-C47E-4880-9A79-D218A1C374F9} (NMJTransX Control) – h**p://file.netmarble.jp/Control/NMJTransX.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) – h**p://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) – h**p://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) – h**p://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) – h**p://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Tenebril antispyware satellite (TNBRLDS) - Unknown owner - C:\Programme\GhostSurf 2005\DeleteSvc.exe (file missing)

smitRem © log file
version 2.8

by noahdfear

Microsoft Windows XP [Version 5.1.2600]

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

checking for ShudderLTD key

ShudderLTD key not present!

checking for PSGuard.com key

PSGuard.com key not present!

checking for WinHound.com key

WinHound.com key not present!

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

SpyAxeFix © by noahdfear

spyaxe directory present

spyaxe uninstaller present

Starting spyaxe uninstaller

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Winhound uninstaller NOT present
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Existing Pre-run Files

~~~ Program Files ~~~

~~~ Shortcuts ~~~

~~~ Favorites ~~~

Antivirus Test Online.url

~~~ system32 folder ~~~

wbeconm.dll
1024 dir
msvol.tlb
ld****.tmp
mssearchnet.exe
ncompat.tlb
nvctrl.exe
mscornet.exe
hp***.tmp

~~~ Icons in System32 ~~~

ts.ico
ot.ico

~~~ Windows directory ~~~

~~~ Drive root ~~~

~~~ Miscellaneous Files/folders ~~~

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 756 'explorer.exe'

Starting registry repairs

Deleting files

Remaining Post-run Files

~~~ Program Files ~~~

~~~ Shortcuts ~~~

~~~ Favorites ~~~

~~~ system32 folder ~~~

~~~ Icons in System32 ~~~

~~~ Windows directory ~~~

~~~ Drive root ~~~

~~~ Miscellaneous Files/folders ~~~

~~~ Wininet.dll ~~~

CLEAN!

Haui45 · 02.01.2006, 21:31

Zitat:

Zitat von lynfury

spybot kann irgendwas mit smitfraud oder so nicht löschen, selbst gleich nach neustart nicht und

Kannst du bitte die genaue Meldung von Spybot S&D hier posten?

Zitat:

wann kann ich meine systemwiederherstellung wieder einschalten?

Wenn wir fertig sind

Zitat:

ALLERDINGS ist mein Escan log in word ca.3000 seiten lang...
sicher das ich das hier posten soll?

→ s. Fußnote [5]

lynfury · 02.01.2006, 22:22

spybot sagt
"einige probleme konnten nicht behoben werden; grund könnte sein das die entsprechenden daten immer noch im speicher residieren.dies kann wahrscheinlch nach einem neustart behoben werden. spybot automatisch mit nächstem systemstart mitstarten?"

aber selbst nach dem mitstarten bleibt das problem unbehebbar, nennt sich:
smitfraud-c.
HKEY_USERS\s-1-5-21-2969962186-1183073070-501881172-1005\software\microsoft\windows\currentversion\internetsettings\zonemap\domains\free-spy-cam.net\*!=W=4

und das mit der find.bat funktioniert bei mir nicht , da auch kein ordnern c\bases oder das log file exisiert(zumindest find er es nicht) und ich den log nur ansehen kann wenn ich die mwav.exe doppelklick und den entsprechenden button drück

lynfury · 03.01.2006, 15:32

ich hab diesen reg eintrag jetzt einfach mal manuell gelöscht, hoffe ich hab damit den pc nicht geschrottet.
was mich aber noch beängstigt sind MASSIG einträge der selben art also ..\zonemap\domains\ hunderte sex,wett und was noch einträge! auswirkungen hab ich noch keine gespürtm, aber ich wollt das mal vermerken...
hab die systemwiederherstellung immer noch auf aus, trau mich garnicht sie wieder einzuschalten befürchte aber auch das wenn ichs nicht tu, irgendwann was böses passiert, hilfe?

Haui45 · 04.01.2006, 03:06

Zitat:

Zitat von lynfu

und das mit der find.bat funktioniert bei mir nicht , da auch kein ordnern c\bases oder das log file exisiert(zumindest find er es nicht) und ich den log nur ansehen kann wenn ich die mwav.exe doppelklick und den entsprechenden button drück

Du hast eScan falsch ausgeführt...

lynfury · 04.01.2006, 15:07

dacht ich mir schon, bin nur nicht auf den fehler gekommen, sollt abba jetzt hoffentlich

passen
sorry für die umstände

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Jan 02 16:10:42 2006 => System found infected with downseek Spyware/Adware (dsa.exe)! Action taken: No Action Taken.
Mon Jan 02 16:10:55 2006 => System found infected with ezula Spyware/Adware (internet.lnk)! Action taken: No Action Taken.
Mon Jan 02 16:10:55 2006 => System found infected with ezula Spyware/Adware (internet.lnk)! Action taken: No Action Taken.
Mon Jan 02 16:11:03 2006 => System found infected with downseek Spyware/Adware (dsa.exe)! Action taken: No Action Taken.
Mon Jan 02 16:16:04 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\jugscdrom.exe infected by "Trojan-Downloader.Win32.Swizzor.df" Virus! Action Taken: No Action Taken.
Mon Jan 02 16:16:06 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\MFCD HOLD.exe infected by "Trojan-Downloader.Win32.Swizzor.de" Virus! Action Taken: No Action Taken.
Mon Jan 02 16:16:08 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\Phone lies.exe infected by "Trojan-Downloader.Win32.Swizzor.de" Virus! Action Taken: No Action Taken.
Mon Jan 02 16:16:40 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DyFuCAInternetOptimizer8.zip infected by "Password-protected-EXE" Virus! Action Taken: No Action Taken.
Mon Jan 02 18:08:22 2006 => Scanning File C:\Dokumente und Einstellungen\****\Eigene Dateien\*****\*****\music\Techno-Trance - Infected Mushroom - Classical Mushroom 03 Sailing In The Sea Of Mushroom.mp3
Mon Jan 02 18:10:03 2006 => File C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temporary Internet Files\Content.IE5\R6KZR1OL\wbk60.tmp infected by "Exploit.VBS.Phel.i" Virus! Action Taken: No Action Taken.
Mon Jan 02 18:11:28 2006 => File C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temporary Internet Files\Content.IE5\STINWLUJ\wbk5D.tmp infected by "Exploit.VBS.Phel.i" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:41 2006 => File C:\Programme\Norton AntiVirus\Quarantine\272831F4.htm infected by "Trojan-Downloader.JS.Psyme.ap" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:41 2006 => File C:\Programme\Norton AntiVirus\Quarantine\29B7565C.htm infected by "Trojan-Downloader.JS.IstBar.u" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\3A8F7170.htm infected by "Trojan-Downloader.JS.Psyme.ap" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\410B6808.htm infected by "Exploit.HTML.Mht" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\413933D5.htm infected by "Trojan-Downloader.JS.IstBar.u" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\413C5DD2.htm infected by "Trojan-Downloader.JS.IstBar.u" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:18:43 2006 => File C:\Programme\Norton AntiVirus\Quarantine\6F7F345C.htm infected by "Trojan-Downloader.JS.IstBar.u" Virus! Action Taken: No Action Taken.
Mon Jan 02 19:58:41 2006 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Jan 02 16:16:01 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\BookBone.exe tagged as "not-a-virus:AdWare.Win32.Lop.z". Action Taken: No Action Taken.
Mon Jan 02 16:16:02 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\Dart 01.exe tagged as "not-a-virus:AdWare.Win32.Lop.z". Action Taken: No Action Taken.
Mon Jan 02 16:16:03 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\FLAP EXIT.exe tagged as "not-a-virus:AdWare.Win32.Lop.ab". Action Taken: No Action Taken.
Mon Jan 02 16:16:05 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\Mfcd Bows.exe tagged as "not-a-virus:AdWare.Win32.Lop.z". Action Taken: No Action Taken.
Mon Jan 02 16:16:07 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\Mix download.exe tagged as "not-a-virus:AdWare.Win32.Lop.z". Action Taken: No Action Taken.
Mon Jan 02 16:16:09 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\Phone loud.exe tagged as "not-a-virus:AdWare.Win32.Lop.ab". Action Taken: No Action Taken.
Mon Jan 02 16:16:11 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\ProxyView.exe tagged as "not-a-virus:AdWare.Win32.Lop.ab". Action Taken: No Action Taken.
Mon Jan 02 16:16:12 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK\this build.exe tagged as "not-a-virus:AdWare.Win32.Lop.ab". Action Taken: No Action Taken.
Mon Jan 02 19:18:41 2006 => File C:\Programme\Norton AntiVirus\Quarantine\29B7565C.exe tagged as "not-a-virus:Porn-Dialer.Win32.Intexdial". Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\413933D5.exe tagged as "not-a-virus:Porn-Dialer.Win32.Intexdial". Action Taken: No Action Taken.
Mon Jan 02 19:18:42 2006 => File C:\Programme\Norton AntiVirus\Quarantine\413C5DD2.exe tagged as "not-a-virus:Porn-Dialer.Win32.Intexdial". Action Taken: No Action Taken.
Mon Jan 02 19:18:43 2006 => File C:\Programme\Norton AntiVirus\Quarantine\4C680A58.exe tagged as "not-a-virus:AdWare.Win32.Xupiter.m". Action Taken: No Action Taken.
Mon Jan 02 19:18:43 2006 => File C:\Programme\Norton AntiVirus\Quarantine\63EF785D.exe tagged as "not-a-virus:Porn-Dialer.Win32.Intexdial". Action Taken: No Action Taken.
Mon Jan 02 19:18:43 2006 => File C:\Programme\Norton AntiVirus\Quarantine\7F3D2B1B.exe tagged as "not-a-virus:Porn-Dialer.Win32.Intexdial". Action Taken: No Action Taken.
Mon Jan 02 19:48:42 2006 => File C:\WINNT\system32\cjfms8t4.ini tagged as "not-a-virus:AdWare.Win32.Sahat.ao". Action Taken: No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "offending"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Jan 02 16:08:42 2006 => Offending Key found: HKLM\Software\kazaa !!!
Mon Jan 02 16:10:25 2006 => Offending Key found: HKCU\Software\kazaa !!!
Mon Jan 02 16:10:32 2006 => Offending Folder found: C:\Dokumente und Einstellungen\****\Favoriten\going places
Mon Jan 02 16:10:42 2006 => Offending file found: C:\Dokumente und Einstellungen\****\Eigene Dateien\****\****\something\dsa.exe
Mon Jan 02 16:10:55 2006 => Offending file found: C:\Dokumente und Einstellungen\****\Startmenü\programme\bibi und tina\sprechendes pferd\internet.lnk
Mon Jan 02 16:10:55 2006 => Offending file found: C:\Dokumente und Einstellungen\****\Startmenü\Programme\bibi und tina\sprechendes pferd\internet.lnk
Mon Jan 02 16:11:03 2006 => Offending file found: C:\Dokumente und Einstellungen\****\Eigene Dateien\****\****\something\dsa.exe
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Jan 02 19:58:41 2006 => Total Virus(es) Found: 35
Mon Jan 02 19:58:41 2006 => Total Errors: 682
Mon Jan 02 19:58:41 2006 => Time Elapsed: 03:49:04
Mon Jan 02 19:58:41 2006 => Total Objects Scanned: 90768
Mon Jan 02 16:07:39 2006 => Virus Database Date: 12/26/2005
Mon Jan 02 19:58:41 2006 => Virus Database Date: 12/26/2005
Mon Jan 02 20:15:41 2006 => Virus Database Date: 12/26/2005
Mon Jan 02 21:12:42 2006 => Virus Database Date: 12/26/2005
Mon Jan 02 21:27:53 2006 => Virus Database Date: 12/26/2005
Mon Jan 02 23:25:59 2006 => Virus Database Date: 12/26/2005
Wed Jan 04 15:03:19 2006 => Virus Database Date: 12/26/2005
Wed Jan 04 15:06:47 2006 => Virus Database Date: 12/26/2005
Wed Jan 04 15:07:07 2006 => Virus Database Date: 12/26/2005
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

Haui45 · 06.01.2006, 17:49

Lösche die Temp-Files von Windows und vom Internet-Explorer mit ClearProg.
Leere die Norton-Quarantäne.
Lösche diesen Ordner im Windows-Explorer: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\PROC MODE FLAP PEAK
Lösche dann noch die Datei C:\WINNT\system32\cjfms8t4.ini

Poste ein neues HjT-Log

lynfury · 06.01.2006, 18:39

danke, alles erledigt:

Logfile of HijackThis v1.99.1
Scan saved at 18:42:08, on 06.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINNT\system32\RunDll32.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\system32\ctfmon.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\wscntfy.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\eMule\emule.exe
C:\WINNT\system32\wuauclt.exe
C:\Dokumente und Einstellungen\****\Eigene Dateien\****\****\hijack_this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
O4 - HKLM\..\Run: [Seticon] C:\Program Files\Icons\Seticon.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {20050325-D35A-4233-926E-2E801AE25949} (NMJPStarter15 Class) - http://www.netmarble.jp/_common/cab/NMStarterJP5.cab
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {6FC19219-C47E-4880-9A79-D218A1C374F9} (NMJTransX Control) - http://file.netmarble.jp/Control/NMJTransX.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {A16C2BF4-501E-45FA-8A14-F26E022D5E16} (MidRadioCtrl Class) - http://adweb.music-eclub.com/php/adweb.php3?aid=143&arg=win%2Fmrinste.cab&ptx=mratdl
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Filter: text/x-mrml - {C51721BE-858B-4A66-A8BF-D2882FF49820} - C:\Program Files\YAMAHA\MidRadio Player\MidRadio.ocx
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Tenebril antispyware satellite (TNBRLDS) - Unknown owner - C:\Programme\GhostSurf 2005\DeleteSvc.exe (file missing)

lynfury · 09.01.2006, 20:23

passt das jetzt so?
kann ich system wiederherstellung wieder einschalten(wozu is die überhaupt notwendig?)
is sonst noch was zu erledigen?

lynfury · 17.01.2006, 22:08

pitte noch einen abschlusscheck

Haui45 · 17.01.2006, 22:14

Zitat:

O16 - DPF: {20050325-D35A-4233-926E-2E801AE25949} (NMJPStarter15 Class) - http://www.netmarble.jp/_common/cab/NMStarterJP5.cab
O16 - DPF: {6FC19219-C47E-4880-9A79-D218A1C374F9} (NMJTransX Control) - http://file.netmarble.jp/Control/NMJTransX.cab
O16 - DPF: {A16C2BF4-501E-45FA-8A14-F26E022D5E16} (MidRadioCtrl Class) - http://adweb.music-eclub.com/php/adweb.php3?aid=143&arg=win%2Fmrinste.cab&ptx=mratd l
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

Das kannst du noch fixen.

Die SWH kannst du auch wieder deaktivieren.

lynfury · 18.01.2006, 00:13

vielen dank für die hilfe!
lediglich "Die SWH kannst du auch wieder deaktivieren" verwirrt mich...soll ich sie jetzt aktivieren, oder deaktiviert lassen?

sonst siehsts jetzt so aus

Logfile of HijackThis v1.99.1
Scan saved at 00:16:24, on 18.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINNT\system32\RunDll32.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINNT\system32\ctfmon.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\wscntfy.exe
C:\Programme\eMule\emule.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\*****\Eigene Dateien\****\****\hijack_this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.at/
O4 - HKLM\..\Run: [Seticon] C:\Program Files\Icons\Seticon.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINNT\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Tenebril antispyware satellite (TNBRLDS) - Unknown owner - C:\Programme\GhostSurf 2005\DeleteSvc.exe (file missing)

MightyMarc · 18.01.2006, 00:15

Zitat:

Zitat von lynfury

vielen dank für die hilfe!
lediglich "Die SWH kannst du auch wieder deaktivieren" verwirrt mich...soll ich sie jetzt aktivieren, oder deaktiviert lassen?

sonst siehsts jetzt so aus

Schaut gut aus. Haui45 meinte sicherlich, dass Du die Systemwiederherstellung wieder aktvieren kannst (sofern Du sie benötigst).

und dann wars wieder keiner...help?

Log-Analyse und Auswertung: und dann wars wieder keiner...help?