nun habe ich mir Trojaner mit Namen tool1.exe-tool5.exe, sowie country.exe eingefangen.

Treten immer beim Verbinden zum Internet im C:\-Ordner auf (Hauptfestplatte). Dann darf ich mir immer minutenlang einen mit Löschen, AntiVIR und Taskmanager abkacken, mit dem Ergebnis, dass alles beim nächsten Mal wieder genauso ist.

Wer kann mir helfen, diese Bastarde dauerhaft zu entfernen?

es handelt sich um einen Troj/Dloadr-AAI

Hallo,
na dann wollen wir mal. Poste mal ein HijackThis Logfile.

Außerdem löschst du mal deine Temp Dateien mit Cleanup! und postest die vier Logfiles der Datfind.bat, aber nur die Dateien des letzten Monats abkopieren!


Grüße Wildone

Logfile of HijackThis v1.99.1
Scan saved at 17:01:44, on 17.04.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Browser MOUSE\mouse32a.exe
C:\Programme\Muiltmedia keyboard Utility\1.3\KbdAp32A.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\System32\cnkdsk.exe
C:\Programme\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
E:\Spyware Doctor\swdoctor.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Dokumente und Einstellungen\Antisemitex\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
F2 - REG:system.ini: Shell=explorer.exe "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00039.exe"
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {196B9CB5-4C83-46F7-9B06-9672ECD9D99B} - C:\WINDOWS\system32\winbrume.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - E:\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - E:\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programme\Browser MOUSE\mouse32a.exe
O4 - HKLM\..\Run: [FLMK08KB] C:\Programme\Muiltmedia keyboard Utility\1.3\KbdAp32A.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [3dfx Tools] rundll32.exe 3dfxCmn.dll,CMNUpdateOnBoot
O4 - HKLM\..\Run: [3dfx Task Manager] "C:\Programme\3dfx Interactive\3dfx Tools\Apps\3dfxMan.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [cnkdsk] C:\WINDOWS\System32\cnkdsk.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\RunServices: [cnkdsk] C:\WINDOWS\System32\cnkdsk.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [cnkdsk] C:\WINDOWS\System32\cnkdsk.exe
O4 - HKCU\..\Run: [Spyware Doctor] "E:\Spyware Doctor\swdoctor.exe" /Q
O4 - HKCU\..\Run: [Uniblue Registry Booster] E:\Registry Booster\RegistryBooster.exe /S
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - E:\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1138564832173
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: xptptt - xptptt.dll (file missing)
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MP4VideoDriver (MP4Video16) - Unknown owner - C:\WINDOWS\KernelUpdate (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - E:\Spyware Doctor\sdhelp.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - E:\WinStylerThemeSvc.exe
O23 - Service: Windows Update Service (UpdateSvc) - Unknown owner - C:\WINDOWS\update\wuauclt.exe (file missing)
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe (file missing)
O23 - Service: Win32 Update (Win32Update) - Unknown owner - C:\WINDOWS\oswinupdate.exe (file missing)
O23 - Service: Windows Functional - Unknown owner - C:\WINDOWS\winx.exe

17.04.2006 17:03 12.608 eventwvr.exe
17.04.2006 17:01 3.931 ikhcore.log
17.04.2006 16:34 77 i
17.04.2006 15:35 51.185 wmedia32.exe
17.04.2006 15:33 75.264 winbrume.dll
17.04.2006 13:46 41.832 eraseme_54713.exe
15.04.2006 20:29 176.640 bitsec.exe
15.04.2006 14:38 177.152 01384.exe
13.04.2006 20:06 0 bin29a.log
13.04.2006 20:06 12.608 cnkdsk.exe
13.04.2006 14:04 177.152 wssec.exe
13.04.2006 13:17 0 TFTP1728
06.04.2006 12:48 5.143.456 MRT.exe
05.04.2006 16:48 0 77474.exe
04.04.2006 16:28 2.083 info.txt
04.04.2006 12:20 39.873 form.txt
30.03.2006 15:22 2.240 wpa.dbl
26.03.2006 14:19 48.354 perfc007.dat
26.03.2006 14:19 316.924 perfh007.dat
26.03.2006 14:19 311.740 perfh009.dat
26.03.2006 14:19 40.128 perfc009.dat
26.03.2006 14:19 723.744 PerfStringBackup.INI
24.03.2006 23:34 112.584 FNTCACHE.DAT
24.03.2006 22:45 132.608 fxsocm.dll
18.03.2006 15:23 12 dllsys.dll
12.02.2006 22:09 176.167 rmoc3260.dll
12.02.2006 22:09 5.632 pndx5032.dll
12.02.2006 22:09 6.656 pndx5016.dll
12.02.2006 22:09 278.528 pncrt.dll
30.01.2006 20:10 16.832 amcompat.tlb
30.01.2006 20:10 23.392 nscompat.tlb
29.01.2006 23:11 108.544 pxcpyi64.exe
29.01.2006 23:11 56.832 pxcpya64.exe
29.01.2006 23:11 104.960 pxinsi64.exe
29.01.2006 23:11 54.272 pxinsa64.exe
29.01.2006 23:11 28.672 vxblock.dll
29.01.2006 23:11 1.093.632 pxsfs.dll
29.01.2006 23:11 57.344 pxhpinst.exe
29.01.2006 23:11 339.968 pxwave.dll
29.01.2006 23:11 155.648 pxmas.dll
29.01.2006 23:11 397.312 pxdrv.dll
29.01.2006 23:11 360.448 px.dll
29.01.2006 23:03 7.006 jupdate-1.5.0_06-b05.log
29.01.2006 20:35 25.065 wmpscheme.xml
29.01.2006 20:27 557 $winnt$.inf
29.01.2006 20:23 2.951 CONFIG.NT
29.01.2006 20:21 488 logonui.exe.manifest
29.01.2006 20:21 488 WindowsLogon.manifest
29.01.2006 20:21 749 ncpa.cpl.manifest
29.01.2006 20:21 749 wuaucpl.cpl.manifest
29.01.2006 20:21 749 cdplayer.exe.manifest
29.01.2006 20:21 749 sapi.cpl.manifest
29.01.2006 20:21 749 nwc.cpl.manifest
29.01.2006 20:19 21.740 emptyregdb.dat
29.01.2006 19:52 0 h323log.txt
24.01.2006 19:34 118.784 sirenacm.dll
18.01.2006 14:05 57.344 avsda.dll
12.01.2006 12:32 543.496 LegitCheckControl.DLL


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 88A5-7FB2

Verzeichnis von C:\DOKUME~1\ANTISE~1\LOKALE~1\Temp

17.04.2006 17:02 0 $b17a2e8.tmp
17.04.2006 17:01 16.384 Perflib_Perfdata_658.dat
13.04.2006 22:20 112 A599F0E2.TMP
12.04.2006 01:00 111 DFC5A2B2.TMP
4 Datei(en) 16.607 Bytes
0 Verzeichnis(se), 16.636.788.736 Bytes frei


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 88A5-7FB2

Verzeichnis von C:\WINDOWS

17.04.2006 17:03 780 hosts
17.04.2006 17:02 0 0.log
17.04.2006 17:02 1.271.322 WindowsUpdate.log
17.04.2006 17:00 2.048 bootstat.dat
17.04.2006 17:00 452 SchedLgU.Txt
17.04.2006 16:29 658 ntbtlog.txt
17.04.2006 15:37 54.156 QTFont.qfn
17.04.2006 15:25 1.409 QTFont.for
17.04.2006 14:41 58.300 wmsetup.log
16.04.2006 22:26 41.832 winx.exe
16.04.2006 14:08 116 NeroDigital.ini
15.04.2006 11:40 159 wiadebug.log
15.04.2006 11:40 50 wiaservc.log
13.04.2006 20:05 63.192 dwj.exe
06.04.2006 17:04 196 cdPlayer.ini
31.03.2006 14:49 424.040 setupapi.log
31.03.2006 14:48 316.640 WMSysPr9.prx
25.03.2006 18:44 178.086 iis6.log
25.03.2006 18:44 41.050 comsetup.log
25.03.2006 18:44 51.353 tsoc.log
25.03.2006 18:44 25.733 ntdtcsetup.log
25.03.2006 18:44 3.739 imsins.log
25.03.2006 18:44 2.460 tabletoc.log
25.03.2006 18:44 4.755 ocmsn.log
25.03.2006 18:44 5.315 msgsocm.log
25.03.2006 18:44 79.907 ocgen.log
25.03.2006 18:44 85.054 FaxSetup.log
25.03.2006 18:43 11.528 netfxocm.log
25.03.2006 18:43 50.378 msmqinst.log
24.03.2006 22:48 3.739 imsins.BAK
10.02.2006 17:47 810 Rtcw.INI
05.02.2006 23:07 400 ODBC.INI
05.02.2006 13:58 6.085 KB893803v2.log
05.02.2006 13:57 7.480 KB898461.log
01.02.2006 14:34 1.165 OEWABLog.txt
01.02.2006 14:30 179.630 svcpack.log
01.02.2006 14:28 6.018 xpsp1hfm.log
01.02.2006 14:28 117.496 KB826939.log
30.01.2006 20:20 376 wmsetup10.log
30.01.2006 20:11 503 win.ini
30.01.2006 20:11 503 win.tmp
29.01.2006 23:14 299.552 WMSysPrx.prx
29.01.2006 23:08 19 wininit.ini
29.01.2006 22:19 0 nsreg.dat
29.01.2006 22:19 107.132 UninstallFirefox.exe
29.01.2006 22:19 2.258 mozver.dat
29.01.2006 22:03 6.245 KB842773.log
29.01.2006 22:03 178.169 setupact.log
29.01.2006 20:28 8.192 REGLOCS.OLD
29.01.2006 20:26 622 setuperr.log
29.01.2006 20:23 0 control.ini
29.01.2006 20:23 4.161 ODBCINST.INI
29.01.2006 20:22 240 Windows Update.log
29.01.2006 20:21 749 WindowsShell.Manifest
29.01.2006 20:19 1.060 sessmgr.setup.log
29.01.2006 20:19 36 vb.ini
29.01.2006 20:19 37 vbaddin.ini
29.01.2006 20:18 128 DtcInstall.log
29.01.2006 19:51 0 Sti_Trace.log
29.01.2006 19:40 1.348 regopt.log
29.01.2006 19:40 231 system.tmp
29.01.2006 19:40 231 system.ini


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 88A5-7FB2

Verzeichnis von C:\

17.04.2006 17:10 0 sys.txt
17.04.2006 17:10 4.823 system.txt
17.04.2006 17:10 458 systemtemp.txt
17.04.2006 17:09 91.938 system32.txt
17.04.2006 17:00 536.399.872 hiberfil.sys
17.04.2006 17:00 805.306.368 pagefile.sys
01.02.2006 14:18 47.580 NTDETECT.COM
01.02.2006 14:18 235.296 ntldr
29.01.2006 20:23 0 IO.SYS
29.01.2006 20:23 0 CONFIG.SYS
29.01.2006 20:23 0 AUTOEXEC.BAT
29.01.2006 20:23 0 MSDOS.SYS
29.01.2006 19:52 194 boot.ini
03.09.2001 12:55 4.952 bootfont.bin
14 Datei(en) 1.342.091.481 Bytes
0 Verzeichnis(se), 16.636.772.352 Bytes frei

Hallo,

dein System ist so stark verseucht das ein Neuaufsetzen meiner Meinung nach das sinnvollste wäre. Nur mal ein Ausschnitt der verseuchten Dateien und Einträge auf deinem Rechner:

17.04.2006 17:03 12.608 eventwvr.exe
17.04.2006 17:01 3.931 ikhcore.log
17.04.2006 16:34 77 i
17.04.2006 15:35 51.185 wmedia32.exe
17.04.2006 15:33 75.264 winbrume.dll
17.04.2006 13:46 41.832 eraseme_54713.exe
15.04.2006 20:29 176.640 bitsec.exe
15.04.2006 14:38 177.152 01384.exe
13.04.2006 20:06 0 bin29a.log
13.04.2006 20:06 12.608 cnkdsk.exe
13.04.2006 14:04 177.152 wssec.exe
13.04.2006 13:17 0 TFTP1728 <-- deutet auf einen Backdoor hin der per TFP kommunizieren will
05.04.2006 16:48 0 77474.exe
17.04.2006 17:03 780 hosts
17.04.2006 17:02 0 0.log
C:\WINDOWS\System32\cnkdsk.exe
F2 - REG:system.ini: Shell=explorer.exe "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00039.exe"
O4 - HKLM\..\Run: [cnkdsk] C:\WINDOWS\System32\cnkdsk.exe
O23 - Service: Windows Update Service (UpdateSvc) - Unknown owner - C:\WINDOWS\update\wuauclt.exe (file missing)
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe (file missing)
O23 - Service: Win32 Update (Win32Update) - Unknown owner - C:\WINDOWS\oswinupdate.exe (file missing)
O23 - Service: Windows Functional - Unknown owner - C:\WINDOWS\winx.exe

Hier mal eine Anleitung wie du bei dem Neuaufsetzen und anschließenden absicheren vorgehen solltest.


Grüße Wildone

na super ...die letzte Neuaufsetzung geschah erst vor geraumer Zeit

Das Tolle ist, dass ich zig Programme fand, die viel finden und auch löschen können, aber nur einen geringen Teil entfernen, da ich sie gegen Gebühr registrieren lassen müsste -_-

Hallo,
du solltest mal einen Neuanfang machen und dir überlegen woher du dir den Kram immer einfängst. Ein Ansatz wäre weil dein System total veraltet ist, siehe:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Inwiefern dein Verhalten im internet auch dazu beiträgt musst du wissen, nur soviel, Programme aus unseriösen Quellen (Crackseiten, P2P, usw.) haben auf einem sicheren system nichts zu suchen.
Wenn erstmal der Trojaner auf dem System ist hilft dir ein Antivirenprogramm meist nicht mehr weiter, es gilt zu verhindern das er überhaupt auf dein System kommt.


Grüße Wildone

klar, nur scheinen meine Präventivmaßnahmen nicht dem heutigen Standard zu genügen ...-_-

SP II lade ich grundsätzlich nicht, zu viele Fehler.
Als Browser benutze ich des Weiteren den Mozilla Firefox, also brauche ich keinen aktuellen IE

Zitat von Pestnebel

SP II lade ich grundsätzlich nicht, zu viele Fehler.
Als Browser benutze ich des Weiteren den Mozilla Firefox, also brauche ich keinen aktuellen IE

Du hast spätestens jetzt gerade hinreichend bewiesen, dass du dich nicht auskennst. Denn in beiden Punkten hast du unrecht!
Eigentlich war das aber schon vorher klar, denn wenn du dich auskennen würdest, dann müsstest du nicht hier um Hilfe fragen.

Du kannst dich jetzt entscheiden: Hilfe annehmen (dazu wurde genug gepostet!), oder auf deinen falschen Annahmen bestehen und weiter rumwurschteln. Aber für die weitere Wurschtelei solltest du dir ein anderes Forum suchen.

Gruß
Yopie

Zitat von Pestnebel

klar, nur scheinen meine Präventivmaßnahmen nicht dem heutigen Standard zu genügen ...-_-

SP II lade ich grundsätzlich nicht, zu viele Fehler.
Als Browser benutze ich des Weiteren den Mozilla Firefox, also brauche ich keinen aktuellen IE

Zieh Dir doch mal das hier rein.