Guten tag allerseits.

Ich hatte auf dem Geschäftsrechner dises Crypt.XPACK.GEN und konnte es mit avast! entfernen.
Dieser findet jetzt auf alle Fälle nichts mehr und der PC läuft wieder wie gewohnt ausser:

1. Beim Aufstrarten kommt jedes mal die Meldung, dass urqPjKcB.dll und ybphwavx.dll nicht gefunden werden konnte.

2. Wenn ich Ctrl Alt Del drücke kommt zwar das übliche Fenster jedoch ist der Taskmanager button nicht aktiv (die Schrift ist grau und nicht schwarz) und kann nicht ausgeführt werden.

Kann mir da jemand helfen?

Gruss 0bird

Erstelle als erstes ein HJT-Log nach dieser Anleitung dann sehen wir weiter.
Editiere das Log, so das keine aktiven Links und Klartnamen sichtbar sind. http:// durch h**p:// und Namen mit *** ersetzen.

Zitat von blow-in

Erstelle als erstes ein HJT-Log nach dieser Anleitung dann sehen wir weiter...

Also hier wäre das Ding ;-)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:01:37, on 08.04.2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINNT\Explorer.EXE
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINNT\system32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\Programme\MagicRotation\MagicPvt.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\Sesam\Servers\LicMon.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\Gemeinsame Dateien\Logitech\KHAL\KHALMNPR.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\DATA BECKER\web to date\web2date.exe
C:\Programme\DATA BECKER\web to date\web2date.exe
C:\Programme\DATA BECKER\web to date\apache\apache.exe
C:\Programme\DATA BECKER\web to date\apache\apache.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http:--www.google.ch/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer by Maxdata
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: GNX Bingo - {749AD228-6F07-4F39-BC03-432D4F13F20B} - C:\WINNT\svpekgonbpm.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {826A5ED9-1316-4EFD-87F8-AA400C5D551A} - C:\WINNT\system32\awtqnmNH.dll (file missing)
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de-ch\msntb.dll
O2 - BHO: (no name) - {BDE1F1D3-6B73-4E98-A8CC-AF503C011E31} - C:\WINNT\system32\urqPjKcB.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de-ch\msntb.dll
O3 - Toolbar: stfngdvw - {DA017E88-54D5-420E-88E3-60F00C7B7148} - C:\WINNT\stfngdvw.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [pdfFactory Dispatcher v2] "C:\WINNT\system32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [MagicRotation] C:\Programme\MagicRotation\MagicPvt.exe
O4 - HKLM\..\Run: [MMTray] "C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [antiviirus] C:\Programme\antiviirus.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [rugotycy] C:\WINNT\system32\zmrehefk.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\WINNT\system32\urqPjKcB.dll,c
O4 - HKCU\..\Run: [d0942648] rundll32.exe "C:\WINNT\system32\ybphwavx.dll",b
O4 - HKLM\..\Policies\Explorer\Run: [S2I3gxPGcw] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\yzcjyxud\mncjanon.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Sage Sesam Service Monitor.lnk = C:\Programme\Sesam\Servers\LicMon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http:--213.200.64.229/freestream/download/energy/sachsen/p2p/Rawflow.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http:--update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1132821827605
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http:--www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch
O20 - Winlogon Notify: awtqnmNH - awtqnmNH.dll (file missing)
O21 - SSODL: AlrtPrx - {30a12133-0ff7-4f6d-a64c-d47b03033007} - C:\WINNT\Installer\{30a12133-0ff7-4f6d-a64c-d47b03033007}\AlrtPrx.dll (file missing)
O21 - SSODL: zip - {ae222bfa-f631-41cf-b291-9bbd51d19e46} - C:\WINNT\Installer\{ae222bfa-f631-41cf-b291-9bbd51d19e46}\zip.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: SAGE SESAM Lizenzmanager (SESAM Licence Manager) - Sage Sesam Ltd - C:\Programme\Sesam\Security\SPISLMGR.exe
O23 - Service: SAGE SESAM Service Agent (SESAM Service Agent) - Sage Sesam Ltd - C:\Programme\Sesam\Security\SvcCtrl.exe

--
End of file - 7713 bytes

hi obird

diese meldung kommt weil der Trojaner in deinem Autostart ist/war und da du ihn gelöscht hast kann er die dateien nicht mehr auffinden
Bitte fixe mit HijackThis folgende Einträge:

O2 - BHO: GNX Bingo - {749AD228-6F07-4F39-BC03-432D4F13F20B} - C:\WINNT\svpekgonbpm.dll (file missing)

O2 - BHO: (no name) - {826A5ED9-1316-4EFD-87F8-AA400C5D551A} - C:\WINNT\system32\awtqnmNH.dll (file missing)

O2 - BHO: (no name) - {BDE1F1D3-6B73-4E98-A8CC-AF503C011E31} - C:\WINNT\system32\urqPjKcB.dll (file missing)

O3 - Toolbar: stfngdvw - {DA017E88-54D5-420E-88E3-60F00C7B7148} - C:\WINNT\stfngdvw.dll (file missing)

O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http:--www.adobe.com/products/acrobat/nos/gp.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = W31.--immobilien.ch

O20 - Winlogon Notify: awtqnmNH - awtqnmNH.dll (file missing)


Bitte lase folgende datein hier oder hier onlien checken (report bitte posten):

C:\WINNT\system32\zmrehefk.exe

C:\WINNT\system32\urqPjKcB.dll,c

C:\WINNT\system32\ybphwavx.dll",b

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\yzcjyxud\mncjanon.exe

Lass bitte auch einmal Malwarebytes laufen (link in meiner Signatur) und poste den Report

Bitte "fixe" die O17 Eintraege nicht, das kann dir u.U. deinen Internetzugang zerlegen.

Sollte das ein Firmenrechner sein, solltest du Fragen, wie dort mit infizierten PC umgegangen wird.

Ich hab jetzt mal das Malwarebytes laufen lassen. Hier das Logfile:

Malwarebytes' Anti-Malware 1.11
Datenbank Version: 603

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 119709
Scan Dauer: 47 minute(s), 36 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 19
Infizierte Registrierungswerte: 4
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 5
Infizierte Dateien: 7

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\msvps.msvpsapp (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{749ad228-6f07-4f39-bc03-432d4f13f20b} (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{749ad228-6f07-4f39-bc03-432d4f13f20b} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\stfngdvw.bmwe (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\stfngdvw.toolbar.1 (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{da017e88-54d5-420e-88e3-60f00c7b7148} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{2ed716a3-a6c1-4024-83e1-1255ad5ee1aa} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{358f9ea8-c6ae-492f-9fb1-c0933ffee560} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{73aab99c-aa2f-4864-8194-88e851245b75} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{7e757750-745b-4da0-9e90-7cc1abcc3343} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{c10b8afe-45aa-4466-bb8a-16d887d4421f} (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{346835cd-d439-41f7-a8d5-b4fab9547180} (Rogue.PC-Cleaner) -> No action taken.
HKEY_CURRENT_USER\Software\mwc (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AllFilesystemObjects\shellex\ContextMenuHandlers\pcsd (Rogue.PC-Cleaner) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\shellex\ContextMenuHandlers\pcsd (Rogue.PC-Cleaner) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\PC-Cleaner (Rogue.PC-Cleaner) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\stfngdvw.bmwe (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\stfngdvw.ToolBar.1 (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VideoPlugin (Trojan.Fakealert) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{da017e88-54d5-420e-88e3-60f00c7b7148} (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{346835cd-d439-41f7-a8d5-b4fab9547180} (Rogue.PC-Cleaner) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\zip (Trojan.Clicker) -> No action taken.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\antiviirus (Trojan.Downloader) -> No action taken.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
C:\WINNT\Installer\{30a12133-0ff7-4f6d-a64c-d47b03033007} (Trojan.Alphabet) -> No action taken.
C:\WINNT\Installer\{ae222bfa-f631-41cf-b291-9bbd51d19e46} (Trojan.Alphabet) -> No action taken.
C:\Programme\PC-Cleaner (Rogue.PC-Cleaner) -> No action taken.
C:\Programme\PC-Cleaner\com (Rogue.PC-Cleaner) -> No action taken.
C:\Dokumente und Einstellungen\aebi\Anwendungsdaten\PC-Cleaner (Rogue.PC-Cleaner) -> No action taken.

Infizierte Dateien:
C:\Dokumente und Einstellungen\aebi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\QD9QJ6D0\CA1G4ZLT (Trojan.Vundo) -> No action taken.
C:\WINNT\fkdnrwsv.dll (Trojan.FalkeAlert) -> No action taken.
C:\Programme\PC-Cleaner\com\pcsd.dll (Rogue.PC-Cleaner) -> No action taken.
C:\Dokumente und Einstellungen\aebi\Anwendungsdaten\PC-Cleaner\log.dat (Rogue.PC-Cleaner) -> No action taken.
C:\Dokumente und Einstellungen\aebi\Anwendungsdaten\PC-Cleaner\settings.dat (Rogue.PC-Cleaner) -> No action taken.
C:\WINNT\rs.txt (Malware.Trace) -> No action taken.
C:\WINNT\dwltqnmx.exe (Trojan.FakeAlert) -> No action taken.

Um die Einträge von HijackThis zu fixen, muss da nochmals ein scan durchgeführt werden? Und soll ich jetzt die O17 Einträge fixen oder nicht?

Vielen dank soweit ...

Folge der Anleitung (link in meiner Signatur) dort ist alles genau beschrieben
die 017 nicht fixen.

Bitte lösche die von Malwarebytes infizierten datein
Bitte lass mal ComboFix laufen vorher aber ccleaner benutzen. Das Logfile von ComboFix bitte posten danke.
Bitte poste auch noch die Ergebnisse der Online scans...

Die HJT und Malwarebytes Dateien habe ich gelöscht.
Ccleaner konnte ich auch ausführen aber beim ComboFix hatte ich meine Probleme.

avast! habe ich deaktiviert, das .exe ausgeführt, die Warnmeldung akzeptiert. Dann ging ein blaues fenster auf mit der meldung das diese Anwendung 10 minuten oder auch etwas länger dauern kann. Darauf startete der Rechner neu ...

Ich nehme mal an das das combofix nicht ausgeführt wurde. Richtig?

Welche Online scans soll ich noch posten?

Was hab ich da bloss eingefangen?

Starte combofix einfach noch einmal. Dann macht es da weiter, wo es vorher abgestuezt ist, wenn das der Fall war.

Hallo Obird!

Also, dein System ist definitiv infiziert. Jetzt kannst du natürlich versuchen, mit einem nicht unerheblichen Aufwand, die Schädlinge zu entfernen.

Das wirft aber zwei Fragen auf:

1) Wer versichert dir, dass du alle Schädlinge gefunden hast (das nämlich kann dir keine Schädlingsbeseitigungssoftware garantieren). Nicht entdeckte Schädlinge können dann noch ungehinderter (das System scheint ja "virenfrei" zu sein) ihr Unwesen treiben.

2) Irgendwie müssen die Schädlinge auf dein System gekommen sein. Es scheint also mit den Sicherheitsmaßnahmen (wahrscheinlich nicht nur) für dieses System irgendetwas im Argen zu liegen. Die Wahrscheinlichkeit ist groß, dass du dir sofort wieder einen neuen Schädling einfängst.

Wäre es nicht an der Zeit einmal über ein sicheres Neuaufsetzen des Systems nachzudenken? Also die Daten (und nur diese) sichern, den PC platt machen (formatieren) und anschließend sicher neu konfigurieren. Wie das geht findest du in den Links beschrieben.

Letztendlich sparst du dir mit dieser Vorgehensweise, auch wenn sie erstmal etwas aufwändiger erscheint, auf Dauer betrachtet, Einiges an Zeit, Geld und Nerven!

@ big surfer

Würde ich sofort machen, wenn noch alle software vorhanden wäre. Ist leider so dass nicht mehr alle Installations CD, insbesondere von Grafikprogrammen, vorhanden sind. Desshalb will ich vorerst nochmal versuchen mit combofix und konsorten diese Problem zu bewältigen.

Gruss und Danke Euch allen für die Hilfe ...

Ich hab jetzt das ComboFix etwas 10 mal gestartet und es ist immer spätestens bei der Stufe 3 "abgestürtzt" respektive der PC hat neu gestartet.

Was nun?

Sofern du den Tipp mit neu aufsetzen aus irgendwelchen Gruenden nicht machen willst/kannst, dann Du kannst 2 Dinge versuchen.

Als erstes starte Combofix via Start ausfuehren. Gebe dort

combofix /killall

ein und druecke Enter. Sollte das nicht funktionieren, gebe wiederrum ueber start/Ausfuehren

combofix /u

ein und deinstalliere es so. Dann muesste man mit Hilfe von HijackThis noch einige Vorarbeit leisten und es mit einer Neuen Combofix Version "nacharbeiten".