Hallo, ich bin ein Austauschschüler in USA, Minnesota und ich habe seit einiger zeit probleme mit meinem Dell XPS 1710 Notebook.
Ich nutze Windows XP PRO SP2.

Wenn ich denn Computer starte, dann findet AntiVir Guard 7:

C:\DOKUME~\ADMINI~1\LOKALE~1\Temp\~4D.exe
Ist das Trojanische Pferd TR/Crypt.XPACK.Gen

Ich wähle dann Löschen. AntiVir findet den Trojaner dreimal hintereinander. Nur in anderen .exe dateien.
Ich wähle löschen, aber nach einer weile höre ich im Hintergrund den Windows Sound denn man bekommt wen man auf ein Feld klickt welches für den Cursor nicht freigegeben ist. Dieses kurze "Blong". Mehrere mahle hintereinander. Und nach einer weile hat AntiVir wider den besagten trojaner gefunden.

Hier ist mein HijackThis file. Ich hoffe jemand kann mir da helfen.

Logfile of HijackThis v1.99.1
Scan saved at 22:28:29, on 05.03.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
E:\Programme\Intel\Wireless\Bin\EvtEng.exe
E:\Programme\Intel\Wireless\Bin\S24EvMon.exe
E:\Programme\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\system32\spoolsv.exe
e:\programme\gemeinsame dateien\logitech\lvmvfm\LVPrcSrv.exe
E:\Programme\AntiVir PersonalEdition Classic\sched.exe
E:\Programme\AntiVir PersonalEdition Classic\avguard.exe
E:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
E:\Programme\Dell\QuickSet\NICCONFIGSVC.exe
C:\WINDOWS\system32\nvsvc32.exe
E:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
E:\Programme\Canon\CAL\CALMAIN.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
E:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\WINDOWS\system32\rundll32.exe
E:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
E:\Programme\Dell\QuickSet\Quickset.exe
E:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\stsystra.exe
C:\WINDOWS\System32\DLA\DLACTRLW.EXE
E:\Programme\Gemeinsame Dateien\Logitech\LComMgr\Communications_Helper.exe
E:\Programme\Logitech\QuickCam10\QuickCam10.exe
E:\Programme\Gemeinsame Dateien\Logitech\LComMgr\LVComSX.exe
E:\Programme\Java\jre1.5.0_11\bin\jusched.exe
E:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
E:\Programme\Gemeinsame Dateien\AOL\1171947451\ee\AOLSoftware.exe
E:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
E:\Programme\Winamp\winampa.exe
E:\Programme\CursorXP\CursorXP.exe
C:\WINDOWS\system32\ctfmon.exe
E:\Programme\LingoPad\LingoPad.exe
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\hidires\hidr.exe
E:\Programme\Nokia\Nokia Wireless Presenter\Wireless Presenter.exe
E:\Programme\MySpace\IM\MySpaceIM.exe
E:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\System32\svchost.exe
E:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
E:\Programme\Microsoft Office\Office10\POWERPNT.EXE
E:\Programme\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
E:\Programme\ICQLite\ICQLite.exe
E:\Programme\Winamp\winamp.exe
E:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe
E:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
E:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
E:\Programme\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe
E:\Programme\Toshiba\Bluetooth Toshiba Stack\tosOBEX.exe
E:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\exefld\5111390.exe
E:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE
E:\Programme\Canon\CameraWindow\CameraWindowMC\CameraLauncherMC.exe
E:\Programme\Canon\ZoomBrowser EX\Program\ZoomBrowser.exe
E:\Programme\Nokia\Nokia PC Suite 6\SeUpdateDb.exe
E:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
E:\Programme\Gemeinsame Dateien\Nokia\MPAPI\MPAPI3s.exe
E:\Programme\Adobe\Adobe Photoshop CS2\Photoshop.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Adobelm_Cleanup.0001
E:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Adobelm_Cleanup.0001
C:\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.myspace.com/dino_crisis
R3 - URLSearchHook: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Adobe\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: XBTP04910 - {4D24F0A0-EE10-4edb-A2DD-C739C954C07F} - E:\PROGRA~1\CONGOO~1\congoo.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Congoo NetPass - {645FCD0C-EADE-4B52-8CDB-EF33692A2E75} - E:\Programme\Congoo NetPass\congoo.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [NVHotkey] rundll32.exe nvHotkey.dll,Start
O4 - HKLM\..\Run: [IntelZeroConfig] "E:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "E:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [Dell QuickSet] E:\Programme\Dell\QuickSet\Quickset.exe
O4 - HKLM\..\Run: [avgnt] "E:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [OSSelectorReinstall] E:\Programme\Gemeinsame Dateien\Acronis\Acronis Disk Director\oss_reinstall.exe
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "E:\Programme\Gemeinsame Dateien\Logitech\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "E:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide
O4 - HKLM\..\Run: [LVCOMSX] "E:\Programme\Gemeinsame Dateien\Logitech\LComMgr\LVComSX.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "E:\Programme\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [PCSuiteTrayApplication] E:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [HostManager] E:\Programme\Gemeinsame Dateien\AOL\1171947451\ee\AOLSoftware.exe
O4 - HKLM\..\Run: [IPHSend] E:\Programme\Gemeinsame Dateien\AOL\IPHSend\IPHSend.exe
O4 - HKLM\..\Run: [WinampAgent] E:\Programme\Winamp\winampa.exe
O4 - HKCU\..\Run: [CursorXP] "E:\Programme\CursorXP\CursorXP.exe" -s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LingoPad] E:\Programme\LingoPad\LingoPad.exe /min
O4 - HKCU\..\Run: [drvsyskit] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\hidires\hidr.exe
O4 - HKCU\..\Run: [Wireless Presenter] E:\Programme\Nokia\Nokia Wireless Presenter\Wireless Presenter.exe /NOSPLASH
O4 - HKCU\..\Run: [MySpaceIM] E:\Programme\MySpace\IM\MySpaceIM.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: ICQ 5.1.lnk = E:\Programme\ICQLite\ICQLite.exe
O4 - Startup: Winamp.lnk = E:\Programme\Winamp\winamp.exe
O4 - Global Startup: Adobe Gamma.lnk = E:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search - res://E:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Congoo NetPass - {645FCD0C-EADE-4B52-8CDB-EF33692A2E75} - E:\Programme\Congoo NetPass\congoo.dll
O9 - Extra 'Tools' menuitem: Congoo NetPass - {645FCD0C-EADE-4B52-8CDB-EF33692A2E75} - E:\Programme\Congoo NetPass\congoo.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{952CAB04-FDF2-4F65-83A4-77D8325C37E1}: NameServer = 192.168.0.1,192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{AACE5B54-BA85-4E76-A1AE-3E768064C168}: NameServer = 192.168.0.1,192.168.1.1
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - E:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O20 - Winlogon Notify: WBSrv - E:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\wbsrv.dll
O23 - Service: Adobe LM Service - Adobe Systems - E:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - E:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - E:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - E:\Programme\Canon\CAL\CALMAIN.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - E:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - E:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - e:\programme\gemeinsame dateien\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - E:\Programme\Gemeinsame Dateien\Logitech\SrvLnch\SrvLnch.exe
O23 - Service: NICCONFIGSVC - Dell Inc. - E:\Programme\Dell\QuickSet\NICCONFIGSVC.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - E:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - E:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: ServiceLayer - Nokia. - E:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - E:\Programme\Intel\Wireless\Bin\WLKeeper.exe
         

Halli hallo.

Na das ist natürlich blöd wenn man im Ausland ohne original Disks sitzt; wenn ich deine Einleitung richtig verstanden habe..

Lasse mal bitte folgende Dateien auf Virustotal scannen und poste den Bericht mit ALLEN Angaben:

"C:\WINDOWS\exefld\5111390.exe"
"E:\PROGRA~1\CONGOO~1\congoo.dll"
"C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\hidires\hidr.exe"

Du bist wahrscheinlich mit dem Trojaner Beagle infiziert der mit einem Rootkit *m_hook.sys* im System festsitzt. Normalerweise müsstest du auf jeden Fall neuaufsetzten! Hast du die Möglichkeiten dazu? Eine gute Anleitung findest du hier im Forum unter Anleitungen usw..

Anderen Falls scanne dein System bitte noch mit Blacklight und poste auch hier ALLE Angaben!

Dann sehen wir weiter.

Gruss

Undoreal

Ja... das mit dem Neuausetzen ist so eine sache. Ich habe hier DSL also würde es mit Aufwand wohl möglich sein das was ich brauche von meinem Computer in Germany hier rüber zu laden.

Gerade habe ich noch vestgestellt das AntiVir mir noch anzeigt nach dem Start:
C:\Dokumente und Einstellungen\...\m_hook.sys
Ist das Trojanische Pferd TR/Rkit.Bagle.GL

Ok... aber wie auch immer, hier sind erstmal die Ergebnisse (ich habe Screenshots gemacht, weil ich nicht wusste wie ich den hier am besten HTML darstelle, und sonst währe das nur reines text durcheinander):

Die Aussage:

Du bist wahrscheinlich mit dem Trojaner Beagle infiziert der mit einem Rootkit *m_hook.sys* im System festsitzt.

ist damit bestätigt. Die Meldung von AntiVir passt auch.
Das bedeutet im normal Fall, dass du neuaufsetzten musst..
Wir können versuchen den zu beseitigen aber dein System ist kompromitiert und damit nicht mehr sicher.

PS:
scanne dein System bitte noch mit Blacklight und poste auch hier ALLE Angaben!

mfg

Undoreal

Ok... BlackLight hat keine hidden Prozesse gefunden... in der zeit mache ich mir mal Gedanken wie ich den aus dem Schlamassel am besten rauskomme.

Wen ich mein System neu Aufsetze, muss ich ja eigentlich alles wider neu Installieren. Ich habe aber schon vor einiger zeit ein bisschen vorausgedacht im Falle eines Partition Verlustes.

Also mein System ist folgendermaßen aufgebaut:


Auf der System Partition habe ich nur das System und die Dokumente und Einstellungen.
In der Regestry hatte ich direkt vom beginn an geändert das der Standard Programm Ordner auf E:\Programme\ liegt. Also keine Programme auf C: . In F:\Programme\ befinden sich die Games.
Auf G: befinden sich meine Eigenen Dateien. Dieses habe ich auch in der Regestry geändert. Mein Eigene Dateien Ordner ist G:\Eigene Dateien\ .
Auf Z: befindet sich temporeller Backup kram.

Meine frage ist, wen ich die Regestry sichere, das System auf C: neu installiere und dann die Regestry wider zurück lade, würde dann nicht alles wider so sein wie vorher?

Oder gibt es eine andere Möglichkeit zu vermeiden 30 Programme neu zu Installieren?

Zitat von Dino Crisis

Meine frage ist, wen ich die Regestry sichere, das System auf C: neu installiere und dann die Regestry wider zurück lade, würde dann nicht alles wider so sein wie vorher?

Mach dich nicht unglücklich!

Machen wir doch mal ein büschen Flickschusterei. Meldet sich AntiVir bei jedem Systemstart mit der Bagle-Meldung, oder war das eine einmalige Sache?

Bei jedem System start.

Wen ich den dann lösche, dann meldet sich Crypt.XPACK.Gen dreimal...

Wäre echt schön wen man das System soweit flicken könnte. Ab dem 8.07.07 bin ich dann wider zuhause in Deutschland. Dann habe ich zeit die ich investieren kann.

Edit:
... dumme Zeit Verschiebung... ganz vergessen das es bei euch ja schon 2 Uhr morgens ist. Ich hinke 7 Stunden hinterher (Minnesota)... und mach mir jetzt erstmal eine Pizza.

Hast Du ein englisches oder ein deutsches Windows?
Teile mir die Antwort und Deine Email-Adresse bitte per PN mit.

Ok... ich habe dir eine PN geschickt...

Was ich jetzt ein bischen komisch ist folgendes:

Gerade habe ich noch vestgestellt das AntiVir mir noch anzeigt nach dem Start:
C:\Dokumente und Einstellungen\...\m_hook.sys

aber blacklight findet keinen Rootkit, gut das mag noch nichts bedeuten aber normalerweise sollte Bagle alle AntiViren.exe löschen. Und die Progs beenden. AntiVir läuft aber. Evtl. wurde er ja doch soweit geblockt, dass eine Rettung noch funktioniert..

Lasse doch mal ein removal tool drüber schauen:

-Ziehe dir http://www.twaibel.de/Download/BeagelB/fxbeagle.exe.
-Wechsel in den abgesicherten Modus und mache dort einen scan.
-Starte im normalen MOdus und mache auch hier einen scan.

Poste danach ein neues HijackThis logFile.

Sauge dir schon mal: MWAVE (noch nicht benutzen!)

Gruss

Undoreal