Hallo,

habe heute meinen Rechenr einer detaillierten Scanner Anlayse unterzogen.

Mein Betriebssystem ist Win XP SP 2 home
Standart Vierenscanner ist Antivir
Zusatzscanner Kapersky Online (mit Malware Erweiterung)
Desweiteren läuft bei mir AVG Anti Spyware & Ad Aware SE Personal

Alle haben keine größeren Probleme angezeigt. Lediglich Kapersky Online hat einen Befall in einem Cookie gemeldet der sich problemlos löschen ließ. Der darauffolgende Test ergab einen sauberen Rechner.

Dann hab ich mir spasseshalber die Testversion von Ashampoo Anti SpyWare geladen und bin aus dem Staunen nicht mehr herausgekommen. Laut Ashampoo ist mein Rechner Trojaner verseucht. Kann es sein das alle anderen Programme nichts bemerken oder will Ashampoo mit Macht Produkte verkaufen?

Die meißten Meldungen waren einfache Cookies. Kein Problem zu löschen.

Bei diesen hier sieht das leider schon anders aus:
09.11.2006 11:16:58 Trojan-Dropper.Win32.Agent.ano C: \ WINDOWS \ system32 \ calc.exe
09.11.2006 11:17:16 Trojan-Dropper.Win32.Agent.ano C: \ WINDOWS \ system32 \ dllcache \ calc.exe

Ich habe versucht die zu löschen. Also XP CD rein und aus der Quarantäne gelöscht. XP hat die Datein dann sofort neu installiert und die waren dann auch genau so schnell wieder befallen.

Was kann ich nun tun ?

Edit: stelle den HiJack Log mit ein:
Logfile of HijackThis v1.99.1
Scan saved at 20:25:47, on 09.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Dit.exe
C:\Programme\Microsoft Hardware\Mouse\point32.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\SPAMfighter\SFAgent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\FRITZ!\IWatch.exe
C:\WINDOWS\DitExp.exe
C:\Programme\FRITZ!\FriFax32.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\TuneUp Utilities 2006\RegistryCleaner.exe
C:\Programme\Ashampoo\Ashampoo AntiSpyWare\AntiSpyWare.exe
C:\Programme\Ashampoo\Ashampoo AntiSpyWare\AntiSpyWareControl.exe
C:\Programme\Ashampoo\Ashampoo AntiSpyWare\AntiSpyWareGuard.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\PROGRA~1\MICROS~3\Office10\OUTLOOK.EXE
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\J..\LOKALE~1\Temp\Rar$EX00.547\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h..p://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SPAMfighter Agent] "C:\Programme\SPAMfighter\SFAgent.exe" update delay 60
O4 - HKLM\..\Run: [Ashampoo AntiSpyWare Guard] C:\Programme\Ashampoo\Ashampoo AntiSpyWare\AntiSpyWareGuard.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - Startup: Fax.lnk = C:\Programme\FRITZ!\FriFax32.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h..p://www.kaspersky.com/kos/german/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) -

h..p://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

h..p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104250113577
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - h..p://cdn2.zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IP-Uploader Control) -

h..p://asp02.photoprintit.de/microsite/defaults/activex/ImageUploader3.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - h..p://fdl.msn.com/zone/datafiles/heartbeat.cab
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities

2006\WinStylerThemeSvc.exe

Hallo,

Was kann ich nun tun ?

Stellt sich dir diese Frage wirklich ?
Gut ... du könntest noch diverse Onlinescanner nutzen.Google weiß wo die zu finden sind...
Ich für meinen Teil würde den Ashampoo-Mist schnell deinstallieren und die ankommenden Mails von Herrn Lesani postwendend in den Spamordner weiterleiten....
Irrlicht

Zitat von irrlicht

Hallo,

Stellt sich dir diese Frage wirklich ?
Gut ... du könntest noch diverse Onlinescanner nutzen.Google weiß wo die zu finden sind...
Ich für meinen Teil würde den Ashampoo-Mist schnell deinstallieren und die ankommenden Mails von Herrn Lesani postwendend in den Spamordner weiterleiten....
Irrlicht

Hui,
also ich folger aus Deiner Antwort das ich es mit einem Mail Problem zu tun hatte. Antivir hat nicht angeschlagen da es Outlook wenn überhaupt nur bedingt überwacht. Der Spamschutz war offensichtlich nicht aktiv genug.

Ok, so weit so gut.

Ashampoo werde ich auf jeden fall wieder löschen. Ist ja auch nur eine Trialversion.

Nichtsdesto trotz würde ich gern die infizierte calc.exe wieder säubern. Hilft es mir, die Systemwiederherstellung zu deaktivieren, im abgesicherten Modus hochzufahren, calc.exe löschen und dann neu zu installieren?

Danke für jede Antwort

Hallo,

Tschuldigung...wollte dich nicht verwirren...

also ich folger aus Deiner Antwort das ich es mit einem Mail Problem zu tun hatte

Nein. Ein Mailproblem ergibt sich dann,wenn du die Trialversion direkt bei Ashampoo gezogen hast,allerdings "nur" in der Form, das du viele viele Mails von Ashanpoo erhältst,mit Werbebotschaften von denen...
Mal nach Onlinescannern gegoogelt ? Die können deinen PC auch überprüfen.
Bei www.virustotal kannst du deine von Ashampoo angemeckerten Prozesse überprüfen lassen...
Mein Gefühl sagt mir aber das daß eine "Kauf-mich-ich-finde-viel-mehr-als-alle-anderen"-Meldung ist...
Jedoch ist Irren menschlich,prüfe es halt ...
Irrlicht