Hi
meine services.exe ist anscheinend verseucht worden. Könnt ihr euch mal meine HijackThis Log-File ansehen?
----------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 13:00:16, on 25.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\HJ\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\system32\msnscps.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [razer] C:\Programme\Razer\CopperHead\razerhid.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Copperhead] C:\Programme\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [RegistryDefrag Success Message] "C:\Programme\TuneUp Utilities 2006\RegistryDefrag.exe" /sm
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido anti-malware\ewidoguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Hilfe wäre dringend benötigt!

Servus!
Da hast Du dein Holzpferd

O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\system32\msnscps.dll

Ob die services.exe wirklich eine böse welche ist, würde ich so jetzt nicht hunderpro annehmen - dort wo sie derzeit liegt, liegt sie nicht falsch!
Aber das von mir zitierte Holzpferd hat wahrscheinlich noch ein paar Kumpels eingeladen.
Daher lass mal escan nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=24192 im abgesicherten Modus http://www.systemwiederherstellung-d...indows-xp.html laufen und poste anschließend das Ergebnis von Hauis45´s 'find.bat' (ist in der Anleitung ebenfalls beschrieben). Halte Dich genau an diese Anleitung (Speicherort von escan-entpacken nach C:\bases_x, Spracheinstellung "English", alle Häkchen wie beschrieben setzen) sonst funktioniert die find.bat nicht. Lies´ die Anleitung zuerst ganz durch, sonst übersiehst Du vielleicht etwas!

Das

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
...
R3 - Default URLSearchHook is missing
...
O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\system32\msnscps.dll

mit HJT im abgesicherten Modus fixen (siehe Anleitung zu HJT) und die dazugehörigen Dateien schon mal löschen

c:\secure32.html
C:\WINDOWS\system32\msnscps.dll

Dann poste ein HJT Log aus dem normalen Modus.

stupormundi

Vielen dank erstmal. Ich werde dann die Punkte abarbeiten. Ach übrings. Ich arbeite bereits im Abgeischertem Modus. Unter Normal stürzt das Baby ja immer ab.

also mit diesem Prog habe ich Probs. Da steht ich solle es entpacken... Aber das ist ne exe datei...
EDIT:Hat sich erledigt... Ich war mal wieder zu dumm. Ich poste dann gleich die Log File. Vielen Dank noch/schonmal!

So nach 2 Stunden ist der Rechner fertig
Welche log brauchtse denn jetzt genau? Diese total lange 'mwav.log' oder die kurze? Die der Kurzen oder?
Object "spyware Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "searchexe Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "spyware Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "spyware Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "spyware Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "lop.com Spyware/Adware" found in File System! Action Taken: No Action Taken.
Object "lop.com Spyware/Adware" found in File System! Action Taken: No Action Taken.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Microsoft Office\Microsoft Office Tools\". Action Taken: No Action Taken.
Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Microsoft Office\". Action Taken: No Action Taken.
Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".VIR". Action Taken: No Action Taken.
Entry "HKCR\CLSID\{78364D99-A640-4ddf-B91A-67EFF8373045}" refers to invalid object "C:\WINDOWS\system32\msnscps.dll". Action Taken: No Action Taken.
Entry "HKCR\.dcs" refers to invalid object "dcsfile". Action Taken: No Action Taken.
Entry "HKCR\.ecs" refers to invalid object "ecsfile". Action Taken: No Action Taken.
Entry "HKCR\.fcs" refers to invalid object "fcsfile". Action Taken: No Action Taken.
Entry "HKCR\.ncs" refers to invalid object "ncsfile". Action Taken: No Action Taken.
Entry "HKCR\.tcs" refers to invalid object "tcsfile". Action Taken: No Action Taken.
Entry "HKCR\.wcs" refers to invalid object "wcsfile". Action Taken: No Action Taken.
Entry "HKCR\Works.Word.Document.8\shell\open\command" refers to invalid object ""winword.exe" "%1"". Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\winsysban2.VIR infected by "Trojan-Clicker.Win32.VB.kc" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP20\A0005405.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP47\A0023333.exe infected by "Trojan-Downloader.Win32.PassAlert.i" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0031295.exe infected by "Trojan-Spy.Win32.Agent.jl" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032314.exe infected by "Trojan-Clicker.Win32.VB.kc" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032315.exe infected by "Trojan-Downloader.Win32.Adload.j" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032364.exe infected by "Trojan-Downloader.Win32.Small.cgl" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032366.exe infected by "Trojan-Spy.Win32.Small.dg" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032368.exe infected by "Trojan-Downloader.Win32.Adload.j" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032369.exe infected by "Trojan-Clicker.Win32.VB.kc" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP64\A0032378.exe infected by "Trojan-Downloader.Win32.Small.cgl" Virus! Action Taken: No Action Taken.
File C:\System Volume Information\_restore{67DCA695-3363-4BD6-8C35-498AF89F6188}\RP65\A0036439.exe tagged as "not-a-virus:AdWare.Win32.SaveNow.bo". Action Taken: No Action Taken.

Bitte lese die Anleitung zu escan genau durch - da ist ja eben beschrieben, welcher Teil des Logs interessant ist. Das gesamte ist natürlich (immer) zu groß um gepostet zu werden.
Also entweder mit Haui45's 'find.bat' (in der Anleitung ganz unten in den Fußnoten beschrieben) oder manuell im Logfile nach 'infected', 'tagged' und 'offending' suchen (ist als Alternative ebenfalls beschrieben) und die Funde mittels copy und paste hier posten!
Wenn Du im Übrigen mal vorübergehend Deine Systemwiederherstellung deaktivierst und damit die Widerherstellungspunkte löschst, und außerdem die Quarantäne Deines Antivir leerst, wären die allermeisten hier schon geposteten Probs weg. Mit diesem Programm (regseeker) kannst Du mit der Option 'clear registry' die fehlerhaften Einträge in der Registrierung korrigieren.
stupormundi