Hallo!

Hab gestern von AntiVir diese Meldungen bekommen:

07.05.2005,15:13:31 [WARNUNG] Ist das Trojanische Pferd TR/Drop.Agent.CP!
C:\PROGRAMME\QUICKTIME\QTTASK.EXE
[INFO] Die Datei wurde in das Quarantäneverzeichnis verschoben!


08.05.2005,00:02:30 [WARNUNG] Ist das Trojanische Pferd TR/Drop.Agent.CP!
C:\SYSTEM VOLUME INFORMATION\_RESTORE{89387A9B-5437-44A1-87A4-2A9DF478DDCA}\RP188\A0021587.EXE
[INFO] Die Datei wurde in das Quarantäneverzeichnis verschoben!


Hab mich zwar schon umgesehen, wie ich das lösen könnte, aber eine richtige Lösung habe ich noch nicht erhalten können. Wegen der zweiten Meldung hab ich gelesen, dass man bei den Systemwiederherstellungsoptionen irgendwas auf 0% setzen müsste, hab aber die Option nicht gefunden.

Deshalb hier mal die Logfile:


Logfile of HijackThis v1.99.1
Scan saved at 16:01:14, on 08.05.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\FRITZ!DSL\Awatch.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\AGFEO\ISDN Guard\agfguard.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\PROGRA~1\1&1INT~1\PROFI-~1\ProfiDialer.exe
C:\Dokumente und Einstellungen\S.P.\Eigene Dateien\Shit\Sicherheits Progs\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AWatch] C:\Programme\FRITZ!DSL\Awatch.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: ISDN Guard.lnk = C:\Programme\AGFEO\ISDN Guard\agfguard.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-18.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1103564869296
O16 - DPF: {EF58E341-49C3-4156-A3C4-5FFCA7C1EAB7} (EURAS_Portal.Gateway) - http://www.euras.com/euras/activex2/euras.CAB
O17 - HKLM\System\CCS\Services\Tcpip\..\{9599F65E-5788-449F-8E2C-6CC34196A582}: NameServer = 192.168.122.252,192.168.122.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{AC2624B7-1C06-4D24-90E7-1CA4927B3633}: NameServer = 217.237.149.161 217.237.151.225
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: RVS CommCenter (RvsCC) - Unknown owner - C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE
O23 - Service: RvscomSv - RVS Datentechnik GmbH, München - C:\Programme\Teledat\WCOM\SYSTEM\RVSCOMSV.EXE
O23 - Service: RVS Installer (RVSINST) - RVS Datentechnik GmbH, München - C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE

ja.. so wies aussieht ist ein trojaner in die systemwiederherstellung gelangt. also gehe so vor:
-rechtsklick arbeitsplatz, eigenschaften
-systemwiederherstellung, systemwiederherstellung auf allen laufwerken deaktivieren haken hin
-neustarten, haken weg machen
damit du auch wirklich sicher bist:
-lade dir escan runter und gehe genau nach dieser Anleitung vor
-gehe wieder in den normalen modus
-öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen
-gebe infected ein
-suche weiter,markiere die treffer und kopiere sie ins forum

Puuh...hat mit dem eScan über 2 Stunden gedauert, aber das isses Wert! Hier:


Funde für "infected"

Sun May 08 17:26:12 2005 => File C:\DOKUME~1\S.~1\LOKALE~1\TEMPOR~1\Content.IE5\87ZVM0T9\wow[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.
Sun May 08 18:04:41 2005 => File C:\Dokumente und Einstellungen\S.P.\Lokale Einstellungen\Temporary Internet Files\Content.IE5\87ZVM0T9\wow[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.
Sun May 08 18:22:29 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Sun May 08 18:22:29 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0021587.EXE.VIR
Sun May 08 18:22:29 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\QTTASK.EXE.VIR
Sun May 08 19:22:56 2005 => Total Disinfected Files: 0


Funde für "tagged"

Sun May 08 17:45:25 2005 => File C:\Dokumente und Einstellungen\S.P.\Desktop\Media\Media\Stuff & Linkz\TMPG.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Sun May 08 17:49:20 2005 => File C:\Dokumente und Einstellungen\S.P.\Eigene Dateien\mirc616.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
Sun May 08 18:16:42 2005 => File C:\Program Files\mIRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.


Statistiken:

Sun May 08 19:22:56 2005 => Total Virus(es) Found: 5
Sun May 08 19:22:56 2005 => Total Errors: 17
Sun May 08 19:22:56 2005 => Time Elapsed: 02:08:42
Sun May 08 19:22:56 2005 => Total Objects Scanned: 73305
Sun May 08 17:11:58 2005 => Virus Database Date: 2005/05/08
Sun May 08 19:22:56 2005 => Virus Database Date: 2005/05/08
Sun May 08 19:24:07 2005 => Virus Database Date: 2005/05/08

also zuerst leere mal den quarantäneordner von antivir.
lade dir dann clearprog runter und installiere es
starte es, haken hin bei "alles löschen" klick auf löschen
ansonsten seh ich keine probleme^^