Hallo,
gestern hatte ich ne LAN bei mir und wir haben auch im Internet gezockt (ich hab mein Internet freigegeben). Seitdem spinnt mein PC irgendwie, Spiele werden plötzlich minimiert etc. Und im Task-Manager is sone seltsame pokapoka70.exe...

Hier mal das HijackThis logfile:

Logfile of HijackThis v1.99.1
Scan saved at 16:53:42, on 31.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\csrss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINXP\System32\nvsvc32.exe
C:\WINXP\System32\svchost.exe
C:\WINXP\Explorer.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\ICQPlus\vplus.exe
C:\WINXP\System32\ctfmon.exe
C:\Programme\Microsoft Hardware\Game Controllers\SWTRAY.EXE
C:\Programme\NoPopUp 2001\nopopup.exe
C:\Programme\ArcorOnline\Arcor.exe
C:\PROGRA~1\MOZILL~2\firefox.exe
C:\WINXP\etb\pokapoka70.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Thomas\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = h**p://www.yoursearchspace.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://www.yoursearchspace.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.yoursearchspace.com/sp2.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://www.yoursearchspace.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310}_ - (no file)
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQLite\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Prein] C:\DOKUME~1\Thomas\LOKALE~1\Temp\app474.tmp
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [NeroCheck] C:\WINXP\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [9737a587bf44] C:\WINXP\System32\picn2055.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Nokia Check] nokiacheck.exe
O4 - HKLM\..\Run: [System service69] C:\WINXP\\etb\pokapoka69.exe
O4 - HKLM\..\Run: [System service70] C:\WINXP\etb\pokapoka70.exe
O4 - HKLM\..\RunServices: [Nokia Check] nokiacheck.exe
O4 - HKCU\..\Run: [ICQ Plus] "C:\Programme\ICQPlus\vplus.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\System32\ctfmon.exe
O4 - HKCU\..\Run: [Nokia Check] nokiacheck.exe
O4 - HKCU\..\RunServices: [Nokia Check] nokiacheck.exe
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: SwTray.lnk = C:\Programme\Microsoft Hardware\Game Controllers\SWTRAY.EXE
O4 - Global Startup: NoPopUp 2001 (minimiert).lnk = C:\Programme\NoPopUp 2001\nopopup.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQLite\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FLASHGET\jc_all.htm
O8 - Extra context menu item: Alles mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FLASHGET\jc_link.htm
O8 - Extra context menu item: Mit Net Transport herunterladen - C:\Programme\Xi\NetTransport 2\NTAddLink.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINXP\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINXP\System32\msjava.dll
O9 - Extra button: WebSpeech - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech20\LgxIEBar.dll
O9 - Extra 'Tools' menuitem: Seite/Markierung vorlesen (WebSpeech) - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech20\LgxIEBar.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE (file missing)
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} (Progetto1.int_ver32) - h**p://advnt01.com/dialer/int_ver32b.CAB
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - h**p://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c267.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - h**p://www.ea.com/downloads/rtpatch/EARTPX.cab
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - h**p://216.249.24.143/code/PWActiveXImgCtl.CAB
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - h**p://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C0B31326-2CBA-4110-84BE-D32515C6099F}: NameServer = 195.50.140.252 145.253.2.81
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINXP\System32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\PROGRA~1\GEMEIN~1\SONYSH~1\AVLib\Sptisrv.exe


Ich will nichts davon hören dass mein System veraltet is (das weiß ich selber) und formatiern will ich erst recht nich :P

[edit]
links entfernt
[/edit]

Hallo,
wenn du das nicht hören willst brauchen wir ja gar nicht erst anfangen, da du dein System veraltet lassen willst ist das vergebliche Liebesmüh´.


Grüße Wildone

So meinte ich das nich. Wenn es jetz noch was bringt mein winxp upzudaten mach ich das natürlich aber ich glaub dass ich wohl erst das Virus-oder-was-weiß-ich-Zeug loswerden sollte oder?

Hallo,
ach so, das ist was anderes.
Dann lass mal Escan drüberlaufen und poste dann das Ergebnis wie beschrieben. Schau mal in deine Systemsteuerung>>Software ob da ein Eintrag von Elite toolbar ist, wenn ja deinstallieren.


Grüße Wildone

Der Download-Link in dem Topic funktioniert nicht, also hab ich mir eScan von ner anderen Seite geholt und durchlaufen lassen... allerdings funktioniert das mit dieser find.bat nicht, da öffnet sich nur kurz die eingabeaufforderung und verschwindet dann wieder. Muss ich das unbedingt machen oder kann ich auch einfach den log von eScan posten? (wenn ich nach dem Scan auf "View Log" klicke... ist allerdings seehr lang dieser Log.)

Hallo,
dann suche(bearbeiten>>suchen) manuell in dem Log nach "infected" und "tagged" und poste die jeweiligen Einträge.


Grüße Wildone

Thu Mar 31 17:35:54 2005 => System found infected with FlashGet Spyware/Adware ({a5366673-e8ca-11d3-9cd9-0090271d075b})! Action taken: No Action Taken.
Thu Mar 31 17:35:54 2005 => System found infected with FlashGet Spyware/Adware ({e0e899ab-f487-11d5-8d29-0050ba6940e3})! Action taken: No Action Taken.
Thu Mar 31 17:35:56 2005 => System found infected with TurboDownload Spyware/Adware ({1a00c40b-da85-4aa3-a67f-582d9347eecd})! Action taken: No Action Taken.
Thu Mar 31 17:35:56 2005 => System found infected with WebSearch Toolbar Spyware/Adware ({15ad6789-cdb4-47e1-a9da-992ee8e6bad6})! Action taken: No Action Taken.
Thu Mar 31 17:35:56 2005 => System found infected with Hijacker Spyware/Adware ({8085E374-ACBB-42F9-873F-49EC7E244F97})! Action taken: No Action Taken.
Thu Mar 31 17:35:56 2005 => System found infected with UCmore toolbar Spyware/Adware ({ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D})! Action taken: No Action Taken.
Thu Mar 31 17:35:56 2005 => System found infected with UCmore toolbar Spyware/Adware ({53CBEE82-D747-11d3-9ED0-005004189684})! Action taken: No Action Taken.
Thu Mar 31 17:35:57 2005 => System found infected with TV Media/CleverIEHooker Spyware/Adware ({707E6F76-9FFB-4920-A976-EA101271BC25})! Action taken: No Action Taken.
Thu Mar 31 17:35:57 2005 => System found infected with UCmore Spyware/Adware ({267395c4-3cba-4e6e-8fe1-efaa33185685})! Action taken: No Action Taken.
Thu Mar 31 17:35:57 2005 => System found infected with UCmore Spyware/Adware ({67f59627-8b6d-4643-97f3-1c58b28d8b17})! Action taken: No Action Taken.
Thu Mar 31 17:37:16 2005 => System found infected with UCmore Spyware/Adware ({c347eca2-ef7d-46ba-ae8e-92a10e559514})! Action taken: No Action Taken.

Thu Mar 31 17:37:39 2005 => Offending file found: C:\WINXP\smdat32a.sys
Thu Mar 31 17:37:39 2005 => System found infected with altnet Spyware/Adware (smdat32a.sys)! Action taken: No Action Taken.

Thu Mar 31 17:39:20 2005 => Offending file found: C:\DOKUME~1\Thomas\LOKALE~1\Temp\r.exe
Thu Mar 31 17:39:20 2005 => System found infected with FlashTrack Spyware/Adware (r.exe)! Action taken: No Action Taken.

Thu Mar 31 17:39:57 2005 => Offending file found: C:\WINXP\DOWNLO~1
Thu Mar 31 17:39:57 2005 => System found infected with Media Pass Spyware/Adware (mediaaccx.dll)! Action taken: No Action Taken.

Thu Mar 31 17:40:15 2005 => Offending file found: C:\DOKUME~1\Thomas\STARTM~1\PROGRA~1\AUTOST~1\POWERR~1.EXE
Thu Mar 31 17:40:15 2005 => System found infected with PowerReg Scheduler Spyware/Adware (powerreg scheduler.exe)! Action taken: No Action Taken.

Thu Mar 31 17:40:22 2005 => Offending file found: C:\WINXP\System32\objsafe.tlb
Thu Mar 31 17:40:22 2005 => System found infected with roings Spyware/Adware (objsafe.tlb)! Action taken: No Action Taken.

Thu Mar 31 17:40:43 2005 => Offending file found: \svchost32.exe
Thu Mar 31 17:40:43 2005 => System found infected with vx2 Spyware/Adware (svchost32.exe)! Action taken: No Action Taken.

Thu Mar 31 17:40:45 2005 => Offending file found: C:\WINXP\syswast.exe
Thu Mar 31 17:40:45 2005 => System found infected with Wast Spyware/Adware (C:\WINXP\syswast.exe)! Action taken: No Action Taken.

Thu Mar 31 17:40:45 2005 => Offending file found: C:\WINXP\syswast.exe
Thu Mar 31 17:40:45 2005 => System found infected with Wast Spyware/Adware (syswast.exe)! Action taken: No Action Taken.

Thu Mar 31 17:40:47 2005 => Offending file found: C:\WINXP\webhdll.dll
Thu Mar 31 17:40:47 2005 => System found infected with WebHancer Spyware/Adware (webhdll.dll)! Action taken: No Action Taken.

Thu Mar 31 17:40:47 2005 => Offending file found: \uninstall.lnk
Thu Mar 31 17:40:47 2005 => System found infected with WebHancer Spyware/Adware (uninstall.lnk)! Action taken: No Action Taken.

Thu Mar 31 17:40:57 2005 => Offending file found: C:\WINXP\iun6002.exe
Thu Mar 31 17:40:57 2005 => System found infected with zipitpro Spyware/Adware (C:\WINXP\iun6002.exe)! Action taken: No Action Taken.

Thu Mar 31 17:41:54 2005 => Offending file found: C:\DOKUME~1\Thomas\LOKALE~1\Temp\cmdlineext02.dll
Thu Mar 31 17:41:54 2005 => System found infected with WhenU.SaveNow Spyware/Adware (cmdlineext02.dll)! Action taken: No Action Taken.

Thu Mar 31 17:42:03 2005 => Offending file found: C:\WINXP\TEMP
Thu Mar 31 17:42:03 2005 => System found infected with WhenU.SaveNow Spyware/Adware (show_ads[2].js)! Action taken: No Action Taken.

Thu Mar 31 17:42:39 2005 => Offending file found: C:\WINXP\ib.exe
Thu Mar 31 17:42:39 2005 => System found infected with AutoStartup Spyware/Adware (ib.exe)! Action taken: No Action Taken.

Thu Mar 31 17:42:39 2005 => Offending file found: C:\WINXP\TEMP
Thu Mar 31 17:42:39 2005 => System found infected with ClientSniffer Spyware/Adware (clientsniffer_2_0[1].js)! Action taken: No Action Taken.

Thu Mar 31 17:43:08 2005 => Offending file found: C:\WINXP\domlst.cch
Thu Mar 31 17:43:08 2005 => System found infected with VX2.cc Spyware/Adware (domlst.cch)! Action taken: No Action Taken.


Thu Mar 31 17:44:03 2005 => File C:\_RESTORE\ARCHIVE\FS49.CAB tagged as "not-a-virus:AdWare.WebHancer.222". Action Taken: No Action Taken.

Thu Mar 31 17:44:20 2005 => File C:\_RESTORE\ARCHIVE\FS50.CAB tagged as "not-a-virus:AdWare.WebHancer.222". Action Taken: No Action Taken.

Thu Mar 31 17:45:06 2005 => File C:\_RESTORE\ARCHIVE\FS129.CAB tagged as "not-a-virus:AdWare.Gator.1050". Action Taken: No Action Taken.

Thu Mar 31 17:45:10 2005 => File C:\_RESTORE\ARCHIVE\FS137.CAB tagged as "not-a-virus:AdWare.OnFlow". Action Taken: No Action Taken.

Thu Mar 31 17:45:22 2005 => File C:\_RESTORE\ARCHIVE\FS135.CAB tagged as "not-a-virus:AdWare.Gator.1050". Action Taken: No Action Taken.

Thu Mar 31 17:46:16 2005 => File C:\_RESTORE\ARCHIVE\FS200.CAB tagged as "not-a-virus:AdWare.OnFlow". Action Taken: No Action Taken.

Thu Mar 31 17:46:28 2005 => File C:\_RESTORE\ARCHIVE\FS219.CAB tagged as "not-a-virus:AdWare.WebHancer.222". Action Taken: No Action Taken.

Thu Mar 31 17:46:31 2005 => File C:\_RESTORE\ARCHIVE\FS220.CAB tagged as "not-a-virus:AdWare.WebHancer.222". Action Taken: No Action Taken.

Thu Mar 31 17:46:34 2005 => File C:\_RESTORE\ARCHIVE\FS229.CAB tagged as "not-a-virusialer.Win32.gen". Action Taken: No Action Taken.

Thu Mar 31 17:46:38 2005 => File C:\_RESTORE\ARCHIVE\FS240.CAB tagged as "not-a-virusialer.Win32.gen". Action Taken: No Action Taken.

Thu Mar 31 17:47:22 2005 => File C:\_RESTORE\ARCHIVE\FS309.CAB tagged as "not-a-virus:Porn-Dialer.Win32.Generic". Action Taken: No Action Taken.

Thu Mar 31 17:47:33 2005 => File C:\_RESTORE\ARCHIVE\FS308.CAB tagged as "not-a-virus:Porn-Dialer.Win32.Generic". Action Taken: No Action Taken.


OK, dass das so viel is vermute ich mal heißt gar nichts gutes
Dabei lasse ich eigentlich regelmäßig Antivir/ad-aware scannen...

Ganz schön viel Müll. Das kommt von einem unaktuellen Betriebssystem.

Lade und update Ad-aware und Spybot und lasse die Programme laufen.
http://www.comsafe.de/download.html
Installiere cleanup, rufe es auf und setze den Haken bei alles löschen und dann Löschen drücken.
http://www.clearprog.de/
Deaktiviere die Systemwiederherstellung, starte den PC neu, Systemwiederherstellung wieder einschalten.
Lösche im Verzeichnis c:\bases_x die Datei mwav.log.
Danach neuer escan. Halte dich genau an die Anleitung und poste das mit der find.bat erzeugte Log.
http://www.trojaner-board.de/showthread.php?t=17492

Hallo,
ich ergänze, bevor du Escan laufen läßt, läßt du noch die Trial Version von Ewido im abgesicherten Modus laufen, dann wie beschrieben ein neues Escan Log posten.


Grüße Wildone

Zitat von Wildone

Hallo,
ich ergänze, bevor du Escan laufen läßt, läßt du noch die Trial Version von Ewido im abgesicherten Modus laufen, dann wie beschrieben ein neues Escan Log posten.


Grüße Wildone

@Wildone
Habe gerade mal hingeschaut. Scheint nicht schlecht zu sein. Danke für den Link
Hatte mich mal eingemischt, weil Du abwesend warst. Aber mann kann ja auch nicht immer anwesend sein.

Hallo,
ja das taugt schon was, gerade wenn das Ad/Spyware Gewusel überhand nimmt. Ist kein Ersatz zu Escan, aber dadurch das es automatisch entfernt durchaus eine schicke Ergänzung.



Grüße Wildone

O4 - HKLM\..\Run: [Nokia Check] nokiacheck.exe

Gehört zu diesem Schädling: RBot.CDC
Um wieder einen vertrauenswürdigen Zustand herzustellen, muss das System neu aufgesetzt werden. Eine Anleitung findest du hier.

Also was nun? Lohnt es sich das zu machen was Wildone und felix1 vorgeschlagen haben oder is alles schon zu spät?
Formatiern wär nich so toll, will das ganze Zeug das ich drauf hab nich verliern

Es ist zu spät, das System ist als kompromittiert anzusehen. Siehe dazu auch http://faq.jors.net/virus

Zwingen kann ich dich natürlich nicht

Hallo,
schließe mich Haui45s Einschätzung an, hatte die nokiocheck.exe falsch eingeschätzt. Aber durch den Eintrag wird klar das ein Backdoorwurm bei dir aktiv war uns somit dein system nicht mehr zu retten ist, sorry wenn ich dir falsche Hoffnung gemacht habe. Befolge die Anleitung zum neu aufsetzen bitte genau, gerade wenn du öfters mal auf Lans unterwegs bist ist ein sicher konfiguriertes System Gold wert.


Grüße Wildone