@ Stephan325

Der PC ist sicherlich noch nicht sauber.
Lass zunächst im abgesicherten Modus den About:Buster laufen.
Sicherlich ist es nicht falsch den Rechner auf Reste einer evtl. vorhandenen CWS-Infektion zu untersuchen.
Mache das mit dem CWShredder .
Teile uns die Ergebnisse mit, poste erneut einen aktuellen Hijackthis-Log.
Dann kümmern wir uns um den Rest.

BTW-Meckert Antivir immer noch?Wenn ja, was beanstandet Antivir?
Ich denke schon, das du dir das Service Pack 2 aufspielen solltest.

Morgen,
jedes mal wenn ich einen browser bekomme ich folgende meldung, können auch noch verschiedene mehr sein :

24.08.2005,08:42:10 [INIT] Der AVGuard Dienst wurde erfolgreich gestartet!
24.08.2005,08:45:07 [WARNUNG] Ist das Trojanische Pferd TR/StartPa.DU.DLL.1!
C:\WINDOWS\SYSTEM32\WUHQK.DLL
[INFO] Die Datei wurde überschrieben und gelöscht!
24.08.2005,08:45:14 [WARNUNG] Ist das Trojanische Pferd TR/Agent.BI!
C:\WINDOWS\SYSTEM32\D3UE.EXE
[INFO] Die Datei wurde überschrieben und gelöscht!
24.08.2005,08:45:28 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Small.bcj.1!
C:\WINDOWS\CRCZ32.EXE
[INFO] Die Datei wurde überschrieben und gelöscht!
24.08.2005,08:47:11 [WARNUNG] Ist das Trojanische Pferd TR/StartPa.DU.DLL.1!
C:\WINDOWS\SYSTEM32\WUHQK.DLL
24.08.2005,08:47:25 [WARNUNG] Ist das Trojanische Pferd TR/Agent.BI!
C:\WINDOWS\SYSTEM32\APIIH.EXE
24.08.2005,08:47:39 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Small.bcj.1!
C:\WINDOWS\SYSTEM32\MFCQB32.EXE
[INFO] Die Datei wurde überschrieben und gelöscht!

Um den rest kümmere ich nich im laufe des tages.

MFG
Stephan

Hi,
hab about:buster und CWShredder durchlaufen lassen, soweit ich das mitbekommen haben haben beide nix gefunden. Hier nochmal ein neues escan- und hijacklog.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Wed Aug 24 15:04:03 2005 => System found infected with alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Wed Aug 24 15:13:21 2005 => System found infected with zipitpro Spyware/Adware (C:\WINDOWS\iun6002.exe)! Action taken: No Action Taken.
Wed Aug 24 15:40:50 2005 => Scanning Folder: C:\Programme\AVPersonal6\INFECTED\*.*
Wed Aug 24 15:56:34 2005 => File C:\Programme\The Bat!\MAIL\service@******.de\Inbox\MESSAGES.TBB infected by "Email-Worm.Win32.Lentin.g" Virus! Action Taken: No Action Taken.
Wed Aug 24 15:56:35 2005 => File C:\Programme\The Bat!\MAIL\service@******.de\Trash\MESSAGES.TBB infected by "Email-Worm.Win32.NetSky.b" Virus! Action Taken: No Action Taken.
Wed Aug 24 16:54:20 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Wed Aug 24 15:26:28 2005 => File C:\Downloads\DivXPro511Adware.exe tagged as "not-a-virus:AdWare.Gator.3202". Action Taken: No Action Taken.
Wed Aug 24 15:26:32 2005 => File C:\Downloads\GDiVX1.9.9.2.exe tagged as "not-a-virus:AdWare.NewDotNet". Action Taken: No Action Taken.
Wed Aug 24 15:30:33 2005 => File C:\Downloads\mirc616.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Wed Aug 24 15:31:30 2005 => File C:\Downloads\Patches,Cracks\PC\napster2b9.exe tagged as "not-a-virus:AdWare.Bonzo.b". Action Taken: No Action Taken.
Wed Aug 24 15:51:13 2005 => File C:\Programme\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Wed Aug 24 15:56:54 2005 => File C:\Programme\The Bat!\MAIL\stephan@*******.de\Inbox\MESSAGES.TBB tagged as "not-a-virus:PSWTool.HTML.Fraud.gen". Action Taken: No Action Taken.
Wed Aug 24 15:57:52 2005 => File C:\Programme\The Bat!\MAIL\stephan@********.de\Trash\MESSAGES.TBB tagged as "not-a-virus:PSWTool.HTML.Fraud.gen". Action Taken: No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Wed Aug 24 15:13:21 2005 => Offending file found: C:\WINDOWS\iun6002.exe
Wed Aug 24 16:54:20 2005 => Total Virus(es) Found: 15
Wed Aug 24 16:54:21 2005 => Total Errors: 276
Wed Aug 24 16:54:21 2005 => Time Elapsed: 01:51:01
Wed Aug 24 16:54:20 2005 => Total Objects Scanned: 104339
Wed Aug 24 16:54:21 2005 => Virus Database Date: 2005/08/22
Wed Aug 24 18:32:33 2005 => Virus Database Date: 2005/08/22
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~
________________________________________________________________

Logfile of HijackThis v1.99.1
Scan saved at 18:46:17, on 24.08.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal6\AVGUARD.EXE
C:\Programme\AVPersonal6\AVWUPSRV.EXE
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\PROGRA~1\MICROS~4\GAMECO~1\common\swtrayv4.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AVPersonal6\AVGNT.EXE
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\OnlineCounter 2004\OnlineCounter.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\1&1 Internet\Profi-Dialer\ProfiDialer.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\mIRC\mirc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\willi\Desktop\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von freenet.de
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar.dll
O2 - BHO: Class - {BA6CDF83-83F4-8F6A-F90C-8A66A4857735} - C:\WINDOWS\system32\javavl32.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton\Norton Antivirus\NavShExt.dll (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton\Norton Antivirus\NavShExt.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [SideWinderTrayV4] C:\PROGRA~1\MICROS~4\GAMECO~1\common\swtrayv4.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [routcnf] C:\Programme\Telekom\Eumex 504PC USB\routcnf.exe
O4 - HKLM\..\Run: [mmtask] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal6\AVGNT.EXE /min
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [YAW starten] "c:\programme\yaw 3.5\fast.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: OnlineCounter 2004-Autostart.lnk = C:\Programme\OnlineCounter 2004\OnlineCounter-Autostart.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\googletoolbar.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\googletoolbar.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\googletoolbar.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\googletoolbar.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O14 - IERESET.INF: START_PAGE_URL=h**p://www.freenet.de
O15 - Trusted Zone: h**p://Download.Windowsupdate.com
O16 - DPF: {11111111-1111-1111-1111-111111113456} - file://c:\info6_s.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://h**p://software-dl.real.com/2...dxIE601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://h**p://v5.windowsupdate.micro...?1092945182437
O17 - HKLM\System\CCS\Services\Tcpip\..\{BF674895-F30D-4C1E-BFEA-EB7B3B253FB2}: NameServer = 217.237.150.97 217.237.149.161
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal6\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal6\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Programme\Norton Personal Firewall\ccPxySvc.exe
O23 - Service: Norton Personal Firewall Accounts Manager (NISUM) - Symantec Corporation - C:\Programme\Norton Personal Firewall\NISUM.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: RadClock - Unknown owner - C:\Programme\RadLinker\RadClock.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Programme\Sandra Lite 2005\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Programme\Sandra Lite 2005\RpcSandraSrv.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Zumindest der About:Buster hat was gefunen

Im abgesicherten Modus wie folgt vorgehen:

Fixe mit HijackThis folgende Einträge:

R3 - Default URLSearchHook is missing
O2 - BHO: Class - {BA6CDF83-83F4-8F6A-F90C-8A66A4857735} - C:\WINDOWS\system32\javavl32.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton\Norton Antivirus\NavShExt.dll (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton\Norton Antivirus\NavShExt.dll (file missing)
O16 - DPF: {11111111-1111-1111-1111-111111113456} - file://c:\info6_s.cab

Lösche :C:\WINDOWS\system32\javavl32.dll



Lösche die von Escan beantstandeten Dateien, bis auf die mit IRC im Namen, im abgesicherten Modus mittels Killbox:

Lade und öffne Killbox . Kopiere den Pfad der Malware Datei z.B. C:\WINDOWS\system32\fltmgr.dll -> füge diesen in KillBox ein -> wähle die Option 'Delete on reboot' -> rotes X anklicken -> die zwei folgenden Fragen mit 'JA' und 'NEIN' beantworten -> nächsten Pfad einfügen usw. -> wenn du bei der letzten Datei angekommen bist, dann beantworte beide Fragen mit 'JA' und ein Neustart deines Systems wird durchgeführt.

Hier eine Entfernungsanleitung für ZipItPro .

Melde dich mit einem neuen Hijackthis-Log zurück.
Wenn du möchtest kannst du dein System auch nochmal mit Escan im abgesicherten Modus gegenprüfen.Dann aktualisiere es aber vorher.

Hi,
vielen dank nochmal für eure hilfe, speziell an cronos.
Ich habe aber beschlossen auf nummer sicher zu gehen indem ich mein system neu aufsetze.
Mfg
Stephan

Dann aber richtig
Neuaufsetzens des Systems