Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Kann Smitfraud-C. nicht komplett löschen

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 16.08.2005, 00:27   #1
grodrigo
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Hallo Forum,

ich hoffe, dass ihr mir weiterhelfen könnt?! Ich habe mir vor kurzem üble Sachen im inet eingefangen. Einmal PSGuard (Smitfraud) mit Warnmeldung, die meinen desktop überlagerte; weiterhin hatte ich noch über Spybot CoolWWWSearch.toon.comics gefunden. Ich habe mir ziemlich viele eurer Beiträge angeschaut und mit euren Tipps und den Programmen Adaware, Spybot, smitrem, killbox und HijackThis gut aufgeräumt. Smitfraud und CoolWWWSearch habe ich weitestgehend beseitigt. Vielen Dank schon einmal für die vielen guten Tipps.
Ein Wermutstropfen bleibt allerdings, und zwar scheint Smitfraud-C. ziemlich hartnäckig zu sein. Spybot zeigt mir weiterhin den Smitfraud-C. mit 7 Hinweisen (Einträge in HKEY_USERS), die ich nicht entfernt bekomme. Diese scheinen zwar momentan keinen Schaden mehr anzurichten, aber ich würde mich wohler fühlen, wenn mein System wieder sauber wäre. Zur zeit benutze ich nur Firefox oder Opera und verzichte auf den IE.
Ich möchte euch bitten, euch mein HijackThis-Log anzuschauen und mir evtl. einen Tipp zu geben, wie ich die restlichen Fehlermeldungen wegbekomme.
Ich habe die oberen Einträge unter R1 und R0 im abgesicherten Modus gefixt, aber entfernen lassen sich die Einträge bisher nicht. Spybot findet sie immer wieder auf's Neue.

Logfile of HijackThis v1.99.1
Scan saved at 00:12:52, on 16.08.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\WINDOWS\system32\bcmwltry.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SCARDS32.EXE
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programme\FRITZ!DSL\FritzDsl.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h***://www.bestwebslinks.com/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h***://www.bestwebslinks.com/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h***://www.bestwebslinks.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O2 - BHO: (no name) - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C82 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C82 Series" /O5 "LPT1:" /M "Stylus C82"
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [bcmwltry] bcmwltry.exe
O4 - HKLM\..\Run: [removecpl] RemoveCpl.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\system32\msmsgs.exe
O4 - HKLM\..\Run: [PSGuard] C:\Programme\PSGuard\PSGuard.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\googletoolbar.dll/cmsearch.html
O8 - Extra context menu item: &Preispiratensuche nach markiertem Text - C:\\Programme\\Preispiraten\\Preispiraten2\\preispiraten.html
O8 - Extra context menu item: amazon Suche - C:\Programme\Preispiraten\Preispiraten2\Searchamazon.htm
O8 - Extra context menu item: amazon Suche starten - C:\Programme\Preispiraten\Preispiraten2\Searchamazon.htm
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\googletoolbar.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\googletoolbar.dll/cmcache.html
O8 - Extra context menu item: eBay - Mein eBay - C:\Programme\Preispiraten\Preispiraten2\SearchEbaymein.htm
O8 - Extra context menu item: eBay - Powersuche - C:\Programme\Preispiraten\Preispiraten2\SearchEbaypower.htm
O8 - Extra context menu item: eBay - Startseite - C:\Programme\Preispiraten\Preispiraten2\SearchEbay.htm
O8 - Extra context menu item: eBay Suche starten - C:\Programme\Preispiraten\Preispiraten2\SearchEbay.htm
O8 - Extra context menu item: Google Suche - C:\Programme\Preispiraten\Preispiraten2\SearchGoogle.htm
O8 - Extra context menu item: Google Suche starten - C:\Programme\Preispiraten\Preispiraten2\SearchGoogle.htm
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\googletoolbar.dll/cmsimilar.html
O9 - Extra button: Preispiraten 2.5 - {2638A03E-1669-43BE-8119-B47087629A7F} - C:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O15 - Trusted Zone: *.chip.de
O16 - DPF: {271A3CF5-5A54-447B-A08F-BE805F0DA60B} (DataDesign DDBAC Plug-In) - h***://banking.***.de/hbci/******
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h***://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123874693492
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB2FB8AA-B0B5-4C82-86CE-8BE4826F8144}: NameServer = ***.***.***.***.***.***.***.***.***
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: CHIPDRIVE SCARD Service (TWKSCARDSRV) - SCM Microsystems - C:\WINDOWS\SCARDS32.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Scheinbar handelt es sich bei den Fehlermeldungen um die Angaben mit **w.bestweblinks.com/...
Im mittleren Teil unter O4 sind noch PSGuard.exe. und msmsgs.exe aufgeführt, die aber nicht mehr auf der HDD existieren. Weiterhin habe ich vorsichtshalber C:\Programme\Messenger\msmsgs.exe umbenannt in msmsgs.old

Ich hoffe, ihr habt noch den ein oder anderen Tipp für mich auf Lager.
Vielen Dank!

grodrigo

Alt 16.08.2005, 00:44   #2
Haui45
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Hallo,

lade bitte eScan herunter. Entpacke "ihn" richtig und führe das Update aus (Anleitung genau beachten!).

Fixe im abgesicherten Modus bei deaktivierter Systemwiederherstellung mit HijackThis:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h***://www.bestwebslinks.com/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h***://www.bestwebslinks.com/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h***://www.bestwebslinks.com/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h***://www.bestwebslinks.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O2 - BHO: (no name) - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - (no file)
O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\system32\msmsgs.exe
O4 - HKLM\..\Run: [PSGuard] C:\Programme\PSGuard\PSGuard.exe

Lösche den Ordner C:\Programme\PSGuard manuell.

Scanne mit eScan und entferne - immer noch im abgesicherten Modus - die gefundene Maware wie beschrieben.

Scanne nochmals mit Spybot S&D u. Ad-Aware.

Neustart.

Problem behoben?

Wenn ja:
Neues HjT-Log und die Virus-Log-Information von eScan posten.

Wenn nein:
Neues HjT-Log, die Virus-Log-Information von eScan und die genaue Meldung von Spybot S&D posten.


Zitat:
Weiterhin habe ich vorsichtshalber C:\Programme\Messenger\msmsgs.exe umbenannt in msmsgs.old
Dürfte harmlos sein.



BTW: Wenn dir die O8- bzw. O9-Einträge unbekannt sind, solltest du sie ebenfalls fixen.
__________________


Alt 16.08.2005, 01:22   #3
cronos
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Sorry Haui

folgendes sollte doch die bessere Alternative sein:
__________________
__________________

Alt 16.08.2005, 01:23   #4
Haui45
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



[QUOTE=cronos]Sorry Haui

folgendes sollte doch die bessere alternative sein:


Hat er schon gemacht

Zitat:
Zitat von grodrigo
den Programmen Adaware, Spybot, smitrem, killbox und HijackThis gut aufgeräumt.
BTW:
@grodrigo
Poste doch auch mal das "smitrem-Log".

Alt 16.08.2005, 01:27   #5
cronos
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Upps-dennoch Lesen und umsetzen !
Mein Fehler -

__________________
Only cronos endures

Geändert von cronos (16.08.2005 um 01:33 Uhr)

Alt 16.08.2005, 02:42   #6
Passat2002
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Hi
eventuell könnte hier dieser remover helfen
( nach anleitung ausführen )
__________________
--> Kann Smitfraud-C. nicht komplett löschen

Alt 17.08.2005, 00:44   #7
grodrigo
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Hallo Leute,

also ich bin noch nicht viel weiter gekommen.
Zunächst hatte ich der Einfachheit halber den remover (Tipp von Passat2002) geladen und laufen lassen. Danach konnte ich Windows nicht mehr starten, weil die wininet.dll fehlte. Ich habe dann das System über meine zweite HDD gestartet (WIN98 - schien mir momentan am einfachsten) und auf der anderen Platte die wininet.dll aus dem Verzeichnis .../Windows/ServicePackFiles rüberkopiert. Danach hat der Start über die erste HDD wieder funktioniert.

HiJackThis lieferte mir vorher immer 7 Probleme mit Smithfraud-C.
Dieser Eintrag war jetzt weg, dafür aber 10 Probleme mit PSGuard, obwohl auf meinem System keine Verzeichnisse oder Dateien mit "PSGuard" mehr existieren.
Scheinbar sind das wohl nur noch die Einträge in der Registry.

Also bin ich wieder in den abgesicherten Modus (Systemwiederherstellung natürlich deaktiviert) und habe laut den Angaben von Haui45 die Einträge gefixt und mit escan (mwav.exe - richtig?) gescannt.
Dazu drei Anmerkungen:
1. Update escan war vorher nicht möglich, da die Schaltfläche "Update" nicht aktiv ist
2. Angeblich wurden 2 Viren gefunden und mehrere falsche Einträge in der Registry. Kann ich diese löschen oder besser erst einmal nicht?
Die Log-Datei ist sehr umfangreich und wollte sie deshalb erst einmal nicht hier posten.
Kann ich überhaupt etwas an den gefundenen Fehlern über escan basteln, da zwischendurch auch einmal die Meldung kam, dass ich escan kaufen könne, um Änderungen durchzuführen zu können?
3. Nach der Aktion mit escan habe ich WinXP wieder normal gestartet. Dann kamen Hinweise von Spybot von Registry-Änderungen und anschliessend Meldungen, dass Änderungen von diesen Einträgen verboten seien. Kann es sein, dass Spybot Änderungen unterdrückt, auch gewünschte? (Die unterdrückten Änderungen scheinen vom fixen mit HijackThis her zu kommen).
Also, wie soll's weitergehen?
Das ellenlange escan-log posten? Die Fehlermeldungen von escan über "löschen" bearbeiten?

Gruss
grodrigo

Alt 17.08.2005, 00:51   #8
Haui45
 
Kann Smitfraud-C. nicht komplett löschen - Standard

Kann Smitfraud-C. nicht komplett löschen



Zitat:
Zitat von Haui45
Entpacke "ihn" richtig und führe das Update aus (Anleitung genau beachten!).
Hast du anscheinend nicht gemacht, siehe:
Zitat:
Zitat von grodrigo
1. Update escan war vorher nicht möglich, da die Schaltfläche "Update" nicht aktiv ist
Die Log-Datei ist sehr umfangreich und wollte sie deshalb erst einmal nicht hier posten.
Zitat:
Zitat von Haui45
Wenn nein:
Neues HjT-Log, die Virus-Log-Information von eScan und die genaue Meldung von Spybot S&D posten.
Hast du offensichtlich nicht gemacht.

Zitat:
Zitat von Haui45
@grodrigo
Poste doch auch mal das "smitrem-Log".
Dito.

Darum greift der Satz in meiner Sig.

Antwort

Themen zu Kann Smitfraud-C. nicht komplett löschen
abgesicherten modus, antivir, avg, bho, desktop, drivers, dsl, ebay, entfernen, explorer, firefox, fraud, google, handel, hijack, hijackthis, immer wieder, internet, internet explorer, komplett löschen, monitor, nvidia, opera, regsvr32, rundll, smitfraud, software, starten, system, vielen dank, windows, windows xp



Ähnliche Themen: Kann Smitfraud-C. nicht komplett löschen


  1. Win 8.1 - Pokki komplett löschen
    Log-Analyse und Auswertung - 24.03.2015 (34)
  2. Nationzoom Virus komplett löschen
    Plagegeister aller Art und deren Bekämpfung - 10.02.2014 (13)
  3. (Login) Log bei der Bank zeigt Zeiten wo ich nicht Online gewesen sein kann - Komplett Durchsuchung meines Systems
    Plagegeister aller Art und deren Bekämpfung - 04.11.2013 (11)
  4. Win 7 - PC Performer komplett löschen - aber wie?
    Log-Analyse und Auswertung - 15.10.2013 (9)
  5. Schädling auf SSD / komplett löschen - neuaufsetzen von Win7 ohne erfolg / MBR NICHT befallen
    Plagegeister aller Art und deren Bekämpfung - 04.04.2013 (1)
  6. Virenbefall. Kann sie nicht löschen! :/
    Plagegeister aller Art und deren Bekämpfung - 15.07.2011 (1)
  7. spyeye komplett löschen?
    Plagegeister aller Art und deren Bekämpfung - 16.02.2011 (6)
  8. finde recycler Datei nicht/kann Ordner nicht löschen
    Plagegeister aller Art und deren Bekämpfung - 09.06.2009 (1)
  9. Kann trojaner nicht löschen
    Mülltonne - 22.11.2008 (0)
  10. Kann Cookies nicht löschen.
    Plagegeister aller Art und deren Bekämpfung - 08.10.2008 (7)
  11. Kann Virus nicht löschen ?!?
    Plagegeister aller Art und deren Bekämpfung - 30.03.2008 (2)
  12. VirusProtectPro - kann es nicht löschen !!!
    Plagegeister aller Art und deren Bekämpfung - 30.07.2007 (2)
  13. kann versch. trojaner nicht löschen Sicherung meiner Dateien durch Nero geht nicht
    Plagegeister aller Art und deren Bekämpfung - 24.06.2005 (0)
  14. Spybot S&D kann nicht löschen
    Antiviren-, Firewall- und andere Schutzprogramme - 11.01.2005 (3)
  15. kann nicht löschen?????
    Plagegeister aller Art und deren Bekämpfung - 29.11.2004 (6)
  16. Kann Trojaner nicht löschen
    Plagegeister aller Art und deren Bekämpfung - 12.11.2004 (10)
  17. NAV kann aupdate.exe nicht löschen
    Plagegeister aller Art und deren Bekämpfung - 05.06.2003 (6)

Zum Thema Kann Smitfraud-C. nicht komplett löschen - Hallo Forum, ich hoffe, dass ihr mir weiterhelfen könnt?! Ich habe mir vor kurzem üble Sachen im inet eingefangen. Einmal PSGuard (Smitfraud) mit Warnmeldung, die meinen desktop überlagerte; weiterhin hatte - Kann Smitfraud-C. nicht komplett löschen...
Archiv
Du betrachtest: Kann Smitfraud-C. nicht komplett löschen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.