DyFuCa.InternetOptimizer gemeldet!

Orca2 · 17.10.2005, 20:00

Hallo,

ich habe letztens einen Spybot S&D Scan gemacht, und er hat mir folgenden Threat ausgegeben, den er nicht entfernen kann:

DyFuCa.InternetOptimizer

User settings

HKEY_USERS\S-1-5-18\Software\Avenue Media

User settings

HKEY_USERS\DEFAULT\Software\Avenue Media

Mein Hijack-Log gibt mir folgende Auskünfte, die ich nicht deuten kann. Könnte mir jemand mal einen Tipp geben, ob ich mich von meinem jetztigen Betriebssystem verabschieden muss?

Logfile of HijackThis v1.99.1
Scan saved at 20:30:35, on 17.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\brss01a.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\htpatch.exe
C:\Programme\Generic\USB Card Reader\Disk_Monitor.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\PRISMSTA.EXE
C:\Programme\Winamp3\winampa.exe
C:\Programme\SurfAccuracy\SAcc.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\T-Eumex KommunikationsCenter\strtfx.exe
C:\Programme\T-Eumex KommunikationsCenter\sndml.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Telekom\Eumex 200\Capictrl.exe
C:\Programme\Sitecom\Sitecom Wireless Network PC Card 54G WL-112\Installer\WINXP\WLANUTL.exe
C:\Programme\Registrar Lite\rl.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Dokumente und Einstellungen\user\Eigene Dateien\Home\Anwendungen\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://w#wgmx.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: BHObj Class - {00000010-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINDOWS\nem220.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: BAHelper Class - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - C:\Programme\SideFind\sfbho.dll
O3 - Toolbar: ISTbar - {FAA356E4-D317-42a6-AB41-A3021C6E7D52} - C:\Programme\ISTbar\istbarcm.dll (file missing)
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [Disk Monitor] C:\Programme\Generic\USB Card Reader\Disk_Monitor.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp3\winampa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SurfAccuracy] C:\Programme\SurfAccuracy\SAcc.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [routcnf] C:\Programme\Telekom\Eumex 200\routcnf.exe /capiactive
O4 - HKLM\..\Run: [strtfx] "C:\Programme\T-Eumex KommunikationsCenter\strtfx.exe"
O4 - HKLM\..\Run: [sndml] "C:\Programme\T-Eumex KommunikationsCenter\sndml.exe"
O4 - HKLM\..\RunServices: [Win32 System Kernel] winservice.exe
O4 - HKCU\..\Run: [YAW starten] "C:\Programme\YAW 3.5\yawguard.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Sitecom WL-112 Utility.lnk = C:\Programme\Sitecom\Sitecom Wireless Network PC Card 54G WL-112\Installer\WINXP\WLANUTL.exe
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Programme\SideFind\sidefind.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Programme\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {3A6832E1-FCB7-4703-9038-0545B34DE204} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {3A6832E1-FCB7-4703-9038-0545B34DE204} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra button: MedionShop - {E05EC57C-ECD9-431C-981D-15573E34076E} - h**p://w#wmedionshop.de/ (file missing) (HKCU)
O15 - Trusted Zone: h**p://ny.contentmatch.net (HKLM)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Vielen Dank für Eure Hilfe und genauso viele Grüße

Orca2

cacatoa · 17.10.2005, 21:03

Hi, Orca,
der DyFuCa macht mir weniger Sorgen als das:
O4 - HKLM\..\RunServices: [Win32 System Kernel] winservice.exe
Ich empfehle Dir, als erstes mal im abgesicherten Modus einen eScan nach Anleitung durchzuführen und das Ergebnis der find.bat hier reinzuposten.
cacatoa

Orca2 · 19.10.2005, 10:44

Hallo Cacatoa,

vielen Dank für die erste Info. Ich werde das Log in Kürze hochladen!

Gruß
Orca2

Orca2 · 21.10.2005, 19:51

Hallo Cacatoa,

Habe den E-scan gemacht und hoffe, dass ich alle relevanten Infos aus dem Log-File extrahieren konnte. Nun habe ich zwei Fragen:

ERstens:
Wenn ich meine eigenen Dateien (docs, xls, ppt, mp3, was man halt so hat) auf CD sichere, können die dann einen neu aufgesetzten PC wieder verseuchen?

Zweitens:
Kann eine Verseuchung über ein Speichermedium (USB-Stick) übertragen werden?

Nun aber zum LOG. Hoffe, es ist nicht all zu schlimm! Vielen Dank für Deine Hilfe!!!

Ausschnitt LOG e-scan ------>

Thu Oct 20 19:07:37 2005 => ***** Scanning Registry and File system for Adware/Spyware *****
Thu Oct 20 19:07:37 2005 => Loading Spyware Signatures from new External Database (Size: 145160).
Thu Oct 20 19:07:39 2005 => Indexed Spyware Databases Successfully Created...

Thu Oct 20 19:07:39 2005 => System found infected with dyfuca Spyware/Adware ({00000010-6f7d-442c-93e3-4a4827c2e4c8})! Action taken: No Action Taken.
Thu Oct 20 19:07:39 2005 => System found infected with sidefind Spyware/Adware ({8cba1b49-8144-4721-a7b1-64c578c9eed7})! Action taken: No Action Taken.
Thu Oct 20 19:07:39 2005 => System found infected with sidefind Spyware/Adware ({a3fdd654-a057-4971-9844-4ed8e67dbbb8})! Action taken: No Action Taken.
Thu Oct 20 19:07:39 2005 => System found infected with istbar Spyware/Adware ({dc341f1b-ec77-47be-8f58-96e83861cc5a})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with istbar Spyware/Adware ({faa356e4-d317-42a6-ab41-a3021c6e7d52})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with istbar Spyware/Adware ({faa356e4-d317-42a6-ab41-a3021c6e7d52})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with dyfuca Spyware/Adware ({00000010-6f7d-442c-93e3-4a4827c2e4c8})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with sidefind Spyware/Adware ({a3fdd654-a057-4971-9844-4ed8e67dbbb8})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with istbar Spyware/Adware ({10e42047-deb9-4535-a118-b3f6ec39b807})! Action taken: No Action Taken.
Thu Oct 20 19:07:40 2005 => System found infected with alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Thu Oct 20 19:08:45 2005 => System found infected with sidefind Spyware/Adware ({58634367-d62b-4c2c-86be-5aac45cdb671})! Action taken: No Action Taken.
Thu Oct 20 19:08:45 2005 => System found infected with istbar Spyware/Adware ({d0288a41-9855-4a9b-8316-babe243648da})! Action taken: No Action Taken.
Thu Oct 20 19:08:45 2005 => System found infected with sidefind Spyware/Adware ({339d8aff-0b42-4260-ad82-78ce605a9543})! Action taken: No Action Taken.
Thu Oct 20 19:08:45 2005 => System found infected with sidefind Spyware/Adware ({a36a5936-cfd9-4b41-86bd-319a1931887f})! Action taken: No Action Taken.
Thu Oct 20 19:08:46 2005 => System found infected with istbar Spyware/Adware ({10e42047-deb9-4535-a118-b3f6ec39b807})! Action taken: No Action Taken.
Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\policies\ameopt !!!
Thu Oct 20 19:08:46 2005 => Object "ameopt Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\policies\ameopt !!!
Thu Oct 20 19:08:46 2005 => Object "ameopt Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\istbar !!!
Thu Oct 20 19:08:46 2005 => Object "istbar Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\kapabout !!!
Thu Oct 20 19:08:46 2005 => Object "kapabout Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\sacc !!!
Thu Oct 20 19:08:46 2005 => Object "surfaccuracy Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\sacc !!!
Thu Oct 20 19:08:46 2005 => Object "surfaccuracy Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\sidefind !!!
Thu Oct 20 19:08:46 2005 => Object "sidefind Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKCU\Software\avenue media !!!
Thu Oct 20 19:08:46 2005 => Object "180solutions Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKCU\Software\ist !!!
Thu Oct 20 19:08:46 2005 => Object "istbar Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\microsoft\sidefind !!!
Thu Oct 20 19:08:46 2005 => Object "sidefind Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKLM\Software\policies\avenue media !!!
Thu Oct 20 19:08:46 2005 => Object "180solutions Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending Key found: HKCU\Software\policies\avenue media !!!
Thu Oct 20 19:08:46 2005 => Object "180solutions Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:46 2005 => Offending value found in HKLM\Software\Microsoft\Windows\CurrentVersion\Run: surfaccuracy !!!
Thu Oct 20 19:08:46 2005 => Object "surfaccuracy Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:48 2005 => Offending Folder found: C:\Programme\istsvc
Thu Oct 20 19:08:48 2005 => Object "istbar Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:48 2005 => Offending Folder found: C:\Programme\sidefind
Thu Oct 20 19:08:48 2005 => Object "sidefind Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:08:48 2005 => Offending Folder found: C:\Programme\surfaccuracy
Thu Oct 20 19:08:48 2005 => Object "surfaccuracy Spyware/Adware" found in File System! Action Taken: No Action Taken.

Thu Oct 20 19:09:12 2005 => Offending file found: C:\WINDOWS\iun6002.exe
Thu Oct 20 19:09:12 2005 => System found infected with zipitpro Spyware/Adware (C:\WINDOWS\iun6002.exe)! Action taken: No Action Taken.

Thu Oct 20 19:39:51 2005 => File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\53NGA56P\stubinstaller5041[1].ex_ infected by "Trojan-Downloader.Win32.Small.asf" Virus! Action Taken: No Action Taken.

Thu Oct 20 19:39:51 2005 => Scanning File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\desktop.ini [**]
Thu Oct 20 19:39:51 2005 => Scanning Folder: C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\FUXOWOJ8\*.*
Thu Oct 20 19:39:51 2005 => Scanning File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\FUXOWOJ8\adv[1].css
Thu Oct 20 19:39:51 2005 => Scanning File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\FUXOWOJ8\cmctl[1].dll
Thu Oct 20 19:39:51 2005 => File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\FUXOWOJ8\cmctl[1].dll tagged as "not-a-virus:AdWare.Win32.AdMir.a". Action Taken: No Action Taken.

cacatoa · 22.10.2005, 15:30

Hi,
erst mal clearprog 1.4.1 final runterladen und clicke auf "alles löschen". Wenn fertig, auf "beenden".
DAmit sind die temp. Internet files weg.
Anschließend spybot 1.4 und AdAware SE runterladen, beide Progs updaten und im abgesicherten Modus laufen lassen. Lasse alles löschen was sie finden.
Regseeker 1.45 runterladen und die Registrierung säubern.
Dann neues Logfile posten.
cacatoa

Orca2 · 23.10.2005, 13:54

Hallo Cacatoa, da ich das Log hier nicht direkt posten kann (warum auch immmer) habe ich es als 2 txt Dateien angehängt. Hoffe, es funktioniert!

Gruß Orca2

cacatoa · 23.10.2005, 17:26

Hi,
ich hatte Schwierigkeiten ins board zu kommen.
Folgende bitte bei deaktivierter Systemwiederherstellung im abgesicherten Modus manuell löschen:
C:\WINDOWS\system32\drivers\svchost.exe (Dies ist ein Relikt; der wurm hat sich bereits im Juni 2004 selbst deinstalliert)
C:\WINDOWS\system32\i
Dann mit clearprog alles löschen (immer im Normal-Modus!)
Hast Du regseeker angewendet?
Dann nochmal prüfen und HJT-Logfile mit anhängen.
Servus
cacatoa

Orca2 · 26.10.2005, 10:29

Hallo Cacatoa,

hab die zwei Dateien entfernt. Regseaker hatte ich beim ersten mal angewendet. Der hatte auch einiges gefunden. Ich habe das alles gelöscht. Jetzt habe ich Regseaker nach „Clearprog“ noch mal angewendet und er hat wieder über 800 Einträge in der Registry gefunden. Ich habe wieder alle gelöscht.

Zu escan muss ich noch sagen, dass die Protokolle, die ich Dir immer gepostet habe, nicht durch die „find.bat“ erstellt wurden, weil sie bei mir nicht funktioniert hat. Ich habe immer die Angaben von e-scan zu den gefundenen Viren (unteres Fenster) per copy and paste gepostet. Ich hoffe, dass das zu den gleichen Ergebnissen führt, wie die „find.bat“.

E-Scan hat diesmal nur noch 4 Viren gefunden. Langsam wird es.

LG

Orca2

----------> DAS E-SCAN LOGFILE
Object "surfaccuracy Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "zipitpro Spyware/Adware" found in File System! Action Taken: No Action Taken.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" refers to invalid object "C:\WINDOWS\System32\iuctl.dll". Action Taken: No Action Taken.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\HL-1430" refers to invalid object ".\HL-1430". Action Taken: No Action Taken.
Entry "HKCR\TypeLib\{F57B25DE-1945-4BE1-8B3D-A1065F8B31A9}" refers to invalid object "F:\player\WMMP.EXE". Action Taken: No Action Taken.
Entry "HKCR\.386" refers to invalid object "vxdfile". Action Taken: No Action Taken.
Entry "HKCR\.cov" refers to invalid object "Deckblatt". Action Taken: No Action Taken.
Entry "HKCR\.cpe" refers to invalid object "Deckblatt". Action Taken: No Action Taken.
Entry "HKCR\.ppi" refers to invalid object "ppifile". Action Taken: No Action Taken.
Entry "HKCR\.ssc" refers to invalid object "Siemens.SearchConfig". Action Taken: No Action Taken.
Entry "HKCR\.vxd" refers to invalid object "vxdfile". Action Taken: No Action Taken.
Entry "HKCR\ESWCTRL.EswCtrlCtrl.1" refers to invalid object "{3FC67652-F33D-4EC6-9D72-3479D576CC70}". Action Taken: No Action Taken.
Entry "HKCR\LiveUpdate.LuCallBack" refers to invalid object "{E9996309-363E-4AE4-B012-B5F8BB638FF7}". Action Taken: No Action Taken.
Entry "HKCR\LiveUpdate.LuCallBack.1" refers to invalid object "{E9996309-363E-4AE4-B012-B5F8BB638FF7}". Action Taken: No Action Taken.
Entry "HKCR\MicrosoftWorks.Calendar" refers to invalid object "{9DB6C03C-C511-11D2-A9AE-00C04F72DAEB}". Action Taken: No Action Taken.
Entry "HKCR\MicrosoftWorks.Calendar.5" refers to invalid object "{9DB6C03C-C511-11D2-A9AE-00C04F72DAEB}". Action Taken: No Action Taken.
Entry "HKCR\MicrosoftWorks.Launcher.WksSvc" refers to invalid object "{597624C4-BBDB-11D2-A65D-00C04F72E035}". Action Taken: No Action Taken.
Entry "HKCR\MicrosoftWorks.Launcher.WksSvc.5" refers to invalid object "{597624C4-BBDB-11D2-A65D-00C04F72E035}". Action Taken: No Action Taken.
Entry "HKCR\Mindjet.MindManager.Application" refers to invalid object "{C724AEB1-C1D7-4039-1010-DD8306BD9906}". Action Taken: No Action Taken.
Entry "HKCR\Mindjet.MindManager.Application.4.5" refers to invalid object "{C724AEB1-C1D7-4039-1010-DD8306BD9906}". Action Taken: No Action Taken.
Entry "HKCR\Mindjet.MindManager.Font" refers to invalid object "{C724AEB1-C1D7-4039-1006-DD8306BD9906}". Action Taken: No Action Taken.
Entry "HKCR\Mindjet.MindManager.Font.4.5" refers to invalid object "{C724AEB1-C1D7-4039-1006-DD8306BD9906}". Action Taken: No Action Taken.
Entry "HKCR\RTCIMSP.RTCIMService" refers to invalid object "{83D4679F-B6D7-11D2-BF36-00C04FB90A03}". Action Taken: No Action Taken.
Entry "HKCR\RTCIMSP.RTCIMService.1" refers to invalid object "{83D4679F-B6D7-11D2-BF36-00C04FB90A03}". Action Taken: No Action Taken.
Entry "HKCR\WordEEFonts.Connect" refers to invalid object "{DAD90BC7-5321-4048-939A-694B0A274C02}". Action Taken: No Action Taken.
Entry "HKCR\WordEEFonts.EEFonts" refers to invalid object "{FF044937-3BF1-49B2-8DB1-E0CAE8B9A3DC}". Action Taken: No Action Taken.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\53NGA56P\stubinstaller5041[1].ex_ infected by "Trojan-Downloader.Win32.Small.asf" Virus! Action Taken: No Action Taken.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\53NGA56P\stubinstaller5041[1].ex_ infected by "Trojan-Downloader.Win32.Small.asf" Virus! Action Taken: No Action Taken.

--------> DAS HIJACK LOGFILE
Logfile of HijackThis v1.99.1
Scan saved at 22:04:32, on 24.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\brss01a.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\htpatch.exe
C:\Programme\Generic\USB Card Reader\Disk_Monitor.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\PRISMSTA.EXE
C:\Programme\Winamp3\winampa.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\T-Eumex KommunikationsCenter\strtfx.exe
C:\Programme\T-Eumex KommunikationsCenter\sndml.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Telekom\Eumex 200\Capictrl.exe
C:\Programme\Sitecom\Sitecom Wireless Network PC Card 54G WL-112\Installer\WINXP\WLANUTL.exe
C:\Dokumente und Einstellungen\USER\Eigene Dateien\Home\Anwendungen\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [Disk Monitor] C:\Programme\Generic\USB Card Reader\Disk_Monitor.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp3\winampa.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [strtfx] "C:\Programme\T-Eumex KommunikationsCenter\strtfx.exe"
O4 - HKLM\..\Run: [sndml] "C:\Programme\T-Eumex KommunikationsCenter\sndml.exe"
O4 - HKLM\..\RunServices: [Win32 System Kernel] winservice.exe
O4 - HKCU\..\Run: [YAW starten] "C:\Programme\YAW 3.5\yawguard.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Sitecom WL-112 Utility.lnk = C:\Programme\Sitecom\Sitecom Wireless Network PC Card 54G WL-112\Installer\WINXP\WLANUTL.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Programme\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {3A6832E1-FCB7-4703-9038-0545B34DE204} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {3A6832E1-FCB7-4703-9038-0545B34DE204} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra button: MedionShop - {E05EC57C-ECD9-431C-981D-15573E34076E} - http://www.medionshop.de/ (file missing) (HKCU)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

cacatoa · 26.10.2005, 12:30

Hi, mittlerweile sehe ich noch ein prob in deinen temporary internetfiles:

Zitat:

File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\53NGA56P\stubinstaller5041[1].ex_ infected by "Trojan-Downloader.Win32.Small.asf" Virus! Action Taken: No Action Taken.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\53NGA56P\stubinstaller5041[1].ex_ infected by "Trojan-Downloader.Win32.Small.asf"

Geh mal bei clearprog auf "alles löschen".
Dann fixe mal im HJT diesen Eintrag im abgesicherten Modus bei deaktivierter Systemwiederherstellung und poste ein neues Logfile:
O4 - HKLM\..\RunServices: [Win32 System Kernel] winservice.exe
Ich komme allerdings zu dem Schluß, daß wahrscheinlich ein Neuaufsetzen des Systems die sicherste Lösung ist.
cacatoa

DyFuCa.InternetOptimizer gemeldet!

Log-Analyse und Auswertung: DyFuCa.InternetOptimizer gemeldet!