hijacklog nach ps guard

Chris14

ne escan hat absolut garnix gelöscht. das kann er in der freewareversion gar net.
das musst schon du manuell erledigen.

fixe erstmal diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\xqndh.dll/sp.html#18463
R3 - Default URLSearchHook is missing
O2 - BHO: Class - {B1D3FEAA-D001-0277-F30C-211B057CB3F4} - C:\WINDOWS\IPYF32.DLL
O4 - HKLM\..\Run: [ASUSNBHK] C:\WINDOWS\VCONTROL.EXE
O4 - HKLM\..\Run: [HaMFrontPanel] C:\WINDOWS\hampanel.exe /B:Software\Ambient\HaM
O4 - HKLM\..\Run: [NTGS.EXE] C:\WINDOWS\NTGS.EXE
O4 - HKLM\..\Run: [NAVNet] "C:\WINDOWS\TEMP\9084.TMP" /m
O4 - HKLM\..\Run: [PSGuard] C:\Programme\PSGuard\PSGuard.exe
O4 - HKLM\..\RunServices: [ATLND.EXE] C:\WINDOWS\SYSTEM\ATLND.EXE /s

lass die dateien
C:\WINDOWS\VCONTROL.EXE, C:\WINDOWS\hampanel.exe, C:\WINDOWS\SYSTEM\ATLND.EXE und C:\WINDOWS\NTGS.EXE bei http://virusscan.jotti.org/de überprüfen und poste das ergebnis.

-lade dir den Internet Explorer 6 runter
-installiere ihn aber nicht sondern entpacke ihn bequem nach C:\ (mit winzip oder winrar - einfach nur nach c:\ das verzeichnis das in dem archiv ist)

lösche diese dateien und ordner im abgesicherten modus:
C:\WINDOWS\xqndh.dll
C:\WINDOWS\IPYF32.DLL
C:\WINDOWS\VCONTROL.EXE
C:\WINDOWS\hampanel.exe
C:\WINDOWS\NTGS.EXE
C:\WINDOWS\TEMP\9084.TMP
C:\Programme\PSGuard
C:\WINDOWS\SYSTEM\ATLND.EXE


dann ersetze die wininet.dll:
-start -> ausführen -> command
-cd .. eingeben
-cd .. eingeben
-cd .. eingeben (damit du auf c: bist)
-dann cd ie6sp1 eingeben
-gebe extract /a /e ie_s2.cab *.cab ein
-gebe extract /a /e ie_s3.cab *.cab ein
-gebe extract /a /e ie_2.cab wininet.dll ein
-start -> ausführen -> notepad -> OK
-gebe copy c:\ie6sp1\wininet.dll c:\windows\system ins leere textfeld ein
-datei -> speichern unter -> (ordner c:\windows\command auswählen) datei cmdinit.bat nennen -> dateityp: Alle dateien -> Speichern
Neustart
beim neustart wird warscheinlich dann kurz unterbrochen mit einer meldung, dass die datei bereits existiere. mit J bestätigen.
dann die datei cmdinit.bat löschen

deaktiviere die systemwiederherstellung im abgesicherten modus (rechtsklick arbeitsplatz, eigenschaften, dateisystem,erweitert,fehlerbehebung,systemwiederherstellung auf allen laufwerken deaktivieren haken hin)


anschließend führe die Smitfraud-C Anleitung durch.

anschließend eScan gemäß der Anleitung ausführen.

neues HJT-Logfile posten.

Ich weiß hört sich wie eine unschaffbare herausforderung an - ist aber sehr einfach