| |
| |||||||
Log-Analyse und Auswertung: Bitte helft mir: TR/Dldr.Small.ayl.0Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
08.03.2006, 14:04
| #1 |
| |  Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo! AntiVir meldet den Trojaner TR/Dldr.Small.ayl.0, kann aber nicht entfernt werden! Hab dann mal gegoogelt und bin auf dieses Board hier gestoßen. Hier ist das Logfile von HijackThis (aber leider steig ich da net so durch, v.a. wie geht's jetzt weiter?) : Logfile of HijackThis v1.99.1 Scan saved at 13:43:45, on 08.03.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\ewido anti-malware\ewidoctrl.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Gaim\gaim.exe C:\WINDOWS\CURITY~1\logonui.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\WINDOWS\??sks\j?vaw.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\*BENUTZER*\LOKALE~1\Temp\Rar$EX00.016\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://de.geocities.com/cashlinkcash R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com/fsc/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com/fsc/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/fuji/defaults/su/*http://www.yahoo.com O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: XBTP00885 Class - {54F33362-1828-4181-9CC7-4BC727C38B78} - C:\PROGRA~1\MEINPO~1\MEINPO~1.DLL O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: (no name) - {92D87C1F-E981-E174-A4AE-E5CB5998589C} - C:\WINDOWS\system32\qkjg.dll (file missing) O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: Mein PONSline - {A6F74643-242A-A7A4-8DD5-AB40B9E25345} - C:\Programme\Mein PONSline\MeinPONSline.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn0\yt.dll (file missing) O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [Bier] "C:\WINDOWS\CURITY~1\logonui.exe" -vt yax O4 - HKCU\..\Run: [Jtghpkpi] C:\WINDOWS\??sks\j?vaw.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O12 - Plugin for .csm: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .csml: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .cub: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .cube: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .dx: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .emb: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .embl: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .gau: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .jdx: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .mol: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .mop: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .pdb: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .rxn: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .scr: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .skc: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .spt: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .tgf: C:\Programme\Internet Explorer\Plugins\npchime.dll O12 - Plugin for .xyz: C:\Programme\Internet Explorer\Plugins\npchime.dll O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} (YazzleActiveX Control) - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123 O17 - HKLM\System\CCS\Services\Tcpip\..\{E073C68A-89C7-4E71-94CF-FE01A177E4D5}: NameServer = 192.168.1.1 O17 - HKLM\System\CCS\Services\Tcpip\..\{F5E05C11-2598-444B-A6DD-7C7756E79E49}: NameServer = 192.168.1.1 O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll O20 - Winlogon Notify: winuqw32 - C:\WINDOWS\SYSTEM32\winuqw32.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Machine Debug Manager (MDM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE (file missing) O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing) O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe Bitte helft mir dieses lästige Ding wegzukriegen! Und: Kann der Trojaner eigentlich Daten nach außen senden, wenn ich hier hinter einer Hardwarefirewall (Router) sitze? Danke schon mal Voraus, Manuel |
|
09.03.2006, 12:57
| #2 |
 | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo caligano,
__________________beende folgende Datei über den Taskmanager (wenn möglich/vorhanden): C:\WINDOWS\CURITY~1\logonui.exe C:\WINDOWS\??sks\j?vaw.exe C:\WINDOWS\SYSTEM32\winuqw32.dll hier online: http://virusscan.jotti.org/de Teile bitte das jeweilige Ergebnis mit. dartus
__________________ |
|
09.03.2006, 15:00
| #3 | |
  | Bitte helft mir: TR/Dldr.Small.ayl.0 caligano
__________________C:\WINDOWS\system32\winuqw32.dll Infected: Trojan-Clicker.Win32.Small.kb Adware-Spyware/PuritySca.ak2 Adware.ClickSpring C:\WINDOWS\CURITY~1\logonui.exe C:\WINDOWS\??sks\j?vaw.exe ----------------------------------------------------------------------------------------- Versteckte- und Systemdateien sichtbar machen http://virus-protect.org/invisible.html 1. mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere hier den Text, der erscheint Zitat:
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten O2 - BHO: XBTP00885 Class - {54F33362-1828-4181-9CC7-4BC727C38B78} - C:\PROGRA~1\MEINPO~1\MEINPO~1.DLL O2 - BHO: (no name) - {92D87C1F-E981-E174-A4AE-E5CB5998589C} - C:\WINDOWS\system32\qkjg.dll (file missing) O3 - Toolbar: Mein PONSline - {A6F74643-242A-A7A4-8DD5-AB40B9E25345} - C:\Programme\Mein PONSline\MeinPONSline.dll O4 - HKCU\..\Run: [Bier] "C:\WINDOWS\CURITY~1\logonui.exe" -vt yax O4 - HKCU\..\Run: [Jtghpkpi] C:\WINDOWS\??sks\j?vaw.exe O20 - Winlogon Notify: winuqw32 - C:\WINDOWS\SYSTEM32\winuqw32.dll O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing) PC neustarten 3. KILLBOX - Pocket KillBox http://virus-protect.org/killbox.html Options: Delete on Reboot --> anhaken und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes" reinkopieren: ......... C:\WINDOWS\system32\winuqw32.dll C:\WINDOWS\CURITY~1\logonui.exe C:\WINDOWS\system32\qkjg.dll C:\WINDOWS\??sks\j?vaw.exe PC neustarten 4. stelle den Cleaner genauso ein, wie hier angegeben: http://virus-protect.org/cleanup.html 5. (ist nicht der komplette Name, du musst suchen) und loeschen - C:\WINDOWS\CURITY.... - C:\WINDOWS\??sks 6. scanne mit kaspersky und loesche dann alles manuell, was noch angezeigt wird (und poste den Scanreport) http://virus-protect.org/onlinescan.html
__________________ Geändert von Sabina (09.03.2006 um 15:08 Uhr) |
|
09.03.2006, 19:38
| #4 | ||
| | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo Sabina! Danke für deine Antwort. Hier ist das Ergebnis von list.bat: Zitat:
Zitat:
C:\WINDOWS\system32\oins.exe hab ich gelöscht, was ist jetzt zu tun? Danke, Manuel |
|
10.03.2006, 01:02
| #5 |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo Sabina, es wäre nett, wenn Du mich als Unwissenden persönlich ansprechen würdest, was mein Fehler ist. Man will ja dazu lernen. So wie Du postest, fühlt man sich mehr als ignoriert. dartus
__________________ Kein Support per PN |
|
10.03.2006, 01:25
| #6 |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 dartus Unwissenden ? Wieso ? Jotti war nicht notwendig, man sah gleich, dass es PuritySca ist  ----------------------------------------------------------------------------------- caligano 1. Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren. (nach der Reinigung wieder aktivieren) 2. Killbox: http://virus-protect.org/killbox.html suche mit der Killbox, Delete on Reboot anhaken C:\WINDOWS\CURITY.....\logonui.exe C:\WINDOWS\CURITY..... (?... komplette Bezeichnung ??? ) C:\WINDOWS\??sks\j?vaw.exe C:\WINDOWS\??sks und versuche es so zu loeschen, indem du auf das rote Kreuz klickst und den PC neustartest. 3. stelle den CleanUp genauso ein, wie hier angegeben: http://virus-protect.org/cleanup.html 4. Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab) http://virus-protect.org/datfindbat.html 5. Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint cd\ dir "C:\WINDOWS">> files.txt notepad files.txt **
__________________ --> Bitte helft mir: TR/Dldr.Small.ayl.0 |
|
10.03.2006, 14:54
| #7 | ||||
| | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo! Hier sind die Daten: system32.txt: Zitat:
systemtemp.txt: Zitat:
system.txt: Zitat:
sys.txt: Zitat:
|
|
10.03.2006, 14:58
| #8 | ||||
| | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo! Hier sind die Daten: system32.txt: Zitat:
systemtemp.txt: Zitat:
system.txt: Zitat:
sys.txt: Zitat:
mfg Manuel |
|
10.03.2006, 15:26
| #9 | |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 Hallo avenger http://filepony.de/download-the_avenger/ kopiere rein: Zitat:
scanne mit ewido (im abgesicherten Modus) und poste den scanreport http://virus-protect.org/ewido.html
__________________ MfG Sabina Geändert von Sabina (10.03.2006 um 15:39 Uhr) |
|
12.03.2006, 00:43
| #10 | |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 So, habe diese Schritte nun durchgeführt. Avenger meldet: Zitat:
Ich denke mal, dass damit der Säuberungsprozess abgeschlossen ist (bis auf die leeren Ordner "??curity" und "??sks", die aber weiter nicht stören). Danke Sabina, du hast mir wirklich sehr geholfen! mfg Manuel |
|
12.03.2006, 01:55
| #11 | |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 @Sabina, Zitat:
dartus
__________________ Kein Support per PN |
|
12.03.2006, 15:02
| #12 |
| | Bitte helft mir: TR/Dldr.Small.ayl.0 caligano 1. Please download Finditnt2000xp http://virus-protect.org/artikel/too...dItNt2kXP.html laden, enzippen--> find.bat --> der scane wird eine Weile dauern, warte --> output.txt posten 2. Please download the RKFiles.zip http://skads.org/special/rkfiles.zip *gehe in den abgesicherten Modus http://www.trojaner-board.de/63335-w...s-starten.html *Doppelklick (Ausführen)-- rkfiles.bat -- im dos-Fenster steht : angegebener Pfad nicht gefunden ! checking the folder -- warten bis sich das DOS-Fenster schliesst (auch wenn es sehr lange dauert) --- poste C:\log.txt
__________________ MfG Sabina |
|
| Themen zu Bitte helft mir: TR/Dldr.Small.ayl.0 |
| adobe, bho, computer, excel, explorer, firefox, google, hijack, hijackthis, internet, internet explorer, logfile, mdm.exe, microsoft, mozilla, mozilla firefox, programme, router, security, security suite, senden, software, system, temp, trojaner, uleadburninghelper, windows, windows xp |
Linear-Darstellung
