Hallo,

ich habe mir einige Trojaner eingefangen. Antivir XP meldete folgende: TR/Dldr.Agent.KI; TR/Dldr.Agent.LX1; TR/Drop.Small.TY.2; TR/Exploit.MS05-002.Ani.A; TR/Agent.CT.1 und Virtual Maid, wobei ich nicht weiß ob dies auch ein Trojaner ist. Auf die Frage von Antivir XP hin habe ich alle diese Dateien löschen lassen. Anschließend habe ich sowohl mit eScan als auch mit Ad-aware SE im abgesicherten Modus gescannt und es wurde nicht gefunden, bis auf zwei temporäre Viren-Files, welche ich durch leeren des Ordners entfernt habe. Nach erneutem Scan kam keine Fehlermeldung mehr.
Trotzdem stimmt was nicht! Erstens fährt mein Computer viel langsamer als sonst runter. Zweitens wollte ich meine E-Mail bei Hotmail abholen und anstatt der Anzeige einer sicheren Seite kam die Meldung nach der Eingabe meines Kennworts, das die Daten an "Internet" gesendet werden. Im Logfile steht auch noch qfind.net, eine Startseite welche auf den Trojaner zurückzuführen ist.
Was soll ich tun? Soll ich die qfind.net Sachen löschen? BITTE BITTE helft mir, ich weiß nicht mehr weiter, da ich nur ein normaler Anwender bin. Hier mein Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 22:45:29, on 01.05.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
C:\Programme\Trojancheck 6\tcguard.exe
C:\Programme\Browser USB MOUSE\mouse32a.exe
C:\WINDOWS\System32\LXSUPMON.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Realtek\Rtl8180\RtlWake.exe
C:\Programme\HiJack This\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.qfind.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://qfind.net/bar/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.qfind.net/search.php?qq=%s
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://qfind.net/bar/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.qfind.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://www.qfind.net/search.php?qq=%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://www.qfind.net/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://www.qfind.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IW ControlCenter] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programme\Browser USB MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\System32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: RtlWake.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:tsk.mht!http://69.50.171.149/5/s1//q.chm::/file.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

du liegst schon richtig...die "qfind" einträge gehören alle weg!

und der hier auch!
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:tsk.mht!http://69.50.171.149/5/s1//q.chm::/file.exe

@nightwalker

Antivir XP meldete folgende: TR/Dldr.Agent.KI; TR/Dldr.Agent.LX1; TR/Drop.Small.TY.2; TR/Exploit.MS05-002.Ani.A; TR/Agent.CT.1 und Virtual Maid, wobei ich nicht weiß ob dies auch ein Trojaner ist.

Schön wäre zu wissen, welche Dateien sind als Virenträger gemeldet, z.B.
C:\Windows\abc.def enthält TR/Dldr.Agent.KI.

ich weiß nicht mehr weiter, da ich nur ein normaler Anwender bin.

Normaler Anwender kümmert sich um Updates und Absicherung seines Systems:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Du musst umgehend entweder eine CD-ROM Bestellen oder SP 2 Direkt von Microsoft Homepage downloaden

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.qfind.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://qfind.net/bar/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.qfind.net/search.php?qq=%s
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://qfind.net/bar/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.qfind.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://www.qfind.net/search.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://www.qfind.net/search.php?qq=%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://www.qfind.net/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://www.qfind.net/
O4 - Global Startup: RtlWake.lnk = ?
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:tsk.mht!h**p://69.50.171.149/5/s1//q.chm::/file.exe

Diese alle bitte fixen.

O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe

Das Programm hat heutzutage keinen Sinn, denn enthält keine aktuellen Daten. Bitte deinstallieren
EDIT: Moin rock .

Danke euch erstmal.

Sorry Rene-gad, die Dateien welche als Virenträger agierten kann ich dir nicht mehr nennen, da ich sie in erster Panik sofort gelöscht habe.

Der SP1 ist wohl nicht mehr ausreichend??? Danke für den Tipp, werde dann mal ein Update machen auf SP2.

So, also muß ich jetzt die von euch beschriebenen Einträge mit HijackThis im abgesicherten Modus fixen bzw. löschen und meine Probleme mit dem langsamen runterfahren von Windows und der Sicherheit im Internet (E-Mail)wären behoben????

Trojancheck macht echt keinen Sinn mehr? Dann werde ich das Programm wohl deinstallieren. Gibt es alternative Programme, welche im Hintergrund laufen und die Starteinträge überprüfen?

Danke noch mal und Grüße
Nightwalker

@nightwalker

So, also muß ich jetzt die von euch beschriebenen Einträge mit HijackThis im abgesicherten Modus fixen bzw. löschen und meine Probleme mit dem langsamen runterfahren von Windows und der Sicherheit im Internet (E-Mail)wären behoben????

So ein Versprechen bekommst von keinem Mensch, der etwas Ahnung von der Sache hat . Eine Pflichtlektüre zum Thema: http://faq.underflow.de/

Gibt es alternative Programme, welche im Hintergrund laufen und die Starteinträge überprüfen?

Es gibt jede Menge Tools, Anbieter deren so was versprechen. Zuverlässigkeit von allen zusammen und jedem separat ist mehr als zweifelhaft. Guck mal die verlinkte Seite durch, dort findest du die Kapitel "Wie kann ich denn nun mein System vernünftig absichern?" . Mach' mit, Mach' nach, Mach' besser .