Hi, seid einer Woche hab ich Probleme mit meinem Rechner.
IE startet automatisch (ich benutz aber Mozilla)
Downloads starten
AVG Free Edition findet 2 Trojaner... löscht sie... findet nix... 2 Stunden später sind wieder welche da.. immer im Temp Ordner

Hab schon im abgesicherten Modus die Temp dateien gelöscht und versuch seid 1 Woche das in den Griff zu bekommen. Vielleicht könnt ihr mir helfen.

Logfile of HijackThis v1.99.1
Scan saved at 22:54:33, on 11.06.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Free Download Manager\fdm.exe
C:\Programme\MSN Messenger\usnsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Downloads\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\qudtkfbk.dll",realset
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Free Download Manager] C:\Programme\Free Download Manager\fdm.exe -autorun
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Hallo Gaja.

Lasse bitte folgende Datei auf Virusttoal überprüfen und poste den Bericht:

" C:\WINDOWS\system32\qudtkfbk.dll "

mfg

Undo

Hey ihr,

Ihr habt mir doch schon so toll geholfen, nun isses doch nicht mehr weit
Ich müsst halt wissen woran ich erkenne dass mir das Programm (SmitfraudFix) ausgibt das es was gefunden hat, sonst bringt mir das allse nichts.

Oder wie soll ich den Virus denn sonst entfernen?

Gruss B4Gaja

Das kannst du im Log erkennen aber lasse es einfach vier mal durchlaufen dann passt das schon... hast du keine Probleme mehr?

Gruß

Undoreal

AhnLab-V3 2007.6.12.2 06.12.2007 no virus found
AntiVir 7.4.0.32 06.12.2007 no virus found
Authentium 4.93.8 06.12.2007 no virus found
Avast 4.7.997.0 06.12.2007 no virus found
AVG 7.5.0.467 06.12.2007 no virus found
BitDefender 7.2 06.12.2007 no virus found
CAT-QuickHeal 9.00 06.12.2007 no virus found
ClamAV devel-20070416 06.12.2007 no virus found
DrWeb 4.33 06.12.2007 no virus found
eSafe 7.0.15.0 06.12.2007 Suspicious Trojan/Worm
eTrust-Vet 30.7.3713 06.12.2007 no virus found
Ewido 4.0 06.12.2007 no virus found
FileAdvisor 1 06.12.2007 no virus found
Fortinet 2.85.0.0 06.12.2007 no virus found
F-Prot 4.3.2.48 06.12.2007 no virus found
F-Secure 6.70.13030.0 06.12.2007 no virus found
Ikarus T3.1.1.8 06.12.2007 no virus found
Kaspersky 4.0.2.24 06.12.2007 no virus found
McAfee 5051 06.12.2007 no virus found
Microsoft 1.2503 06.12.2007 no virus found
NOD32v2 2325 06.12.2007 no virus found
Norman 5.80.02 06.12.2007 no virus found
Panda 9.0.0.4 06.12.2007 Suspicious file
Prevx1 V2 06.12.2007 no virus found
Sophos 4.18.0 06.12.2007 no virus found
Sunbelt 2.2.907.0 06.09.2007 VIPRE.Suspicious
Symantec 10 06.12.2007 no virus found
TheHacker 6.1.6.132 06.11.2007 no virus found
VBA32 3.12.0.1 06.11.2007 no virus found
VirusBuster 4.3.23:9 06.12.2007 no virus found
Webwasher-Gateway 6.0.1 06.12.2007 Virus.Win32.FileInfector.gen (suspicious)



Da verbirgt sich doch was... Was soll ich tun?

Da verbirgt sich doch was...

das denke ich auch nur ist das bestimmt nicht alles.... und unser treuer Freund MWAVE ist zur Zeit Invalide...

Aber wir versuchen es mal..

Fixe bitte folgenden Eintrag:

* O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\qudtkfbk.dll",realset *

Dann lösche die folgende Datei mit Killbox "on reboot":

" C:\WINDOWS\system32\qudtkfbk.dll " (beachte evtl. den link in meiner Signatur zuum Suchen von Dateien..)


Dann befolge bitte die Anleitung zu MWAVE aus meiner Signatur mit folgenden Änderungen:

1. o.k.

Die Auswertdatei herunterladen: File-Upload.net - Ihr kostenloser File Hoster!

2. o.k. 3. o.k.

4. Als Sprache ENGLISCH wählen

5.-10. o.k.

Wenn was nicht klappt liegt das wahrscheinlich nicht an dir; melde dich dann einfach..


Gruß

Undoreal

hmm

O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\qudtkfbk.dll",realset

gibts nicht mehr, dafür aber

O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\ssiityur.dll",realset

ich versusuchs mal mit der Datei, scheint ja der nachfolger zu sein (AVG löscht dauernd Trojaner momentan wie schon beschrieben)


Bevor ich damit anfange.... dauernd springen momentan bei mir Fenster auf vom IE sowas ***

ich wunder mich dass dies ein antivirus werbung ist...seltsam

Wahaaaaaaaaaa LEUTE ihr könnt doch nicht andauernd auf Schadseiten verlinken!!!

Nicht auf den SystemDoctor klicken ! ! ! 404DNS.COM - SystemDoctor 2006 Free

Lasse vor dem eScan mal SmitFraudFix über deinen Rechner bügeln. Anleitung ist dabei. Starte dein AV NICHT wenn du in den abgesicherten wechselst! Beim eScan auch nicht. Lasse SmitfraudFix solange laufen bis er nichts mehr findet.

mfg

Undoreal

Öhm sorry, wusste nicht dass das schädlich ist...
ich such gerade verzweifelt den EDIT Button um das rauszumachen bin aber zu blöd den zu finden. Wo isser denn?

Ich hab dein Programm durchlaufen lassen, hat aber ewig gedauert bis nachts um 2 Weiss nicht ob ichs neu machen soll oder ob ich einfach in den abgesicherten Modus gehen soll und weiter machen soll ?

soll ich SmitFraudFix im abgesicherten Modus starten?

Und meinen AV (Antivirusscanner?) hab ich auch im abgesicherten modus niicht gestartet. Wie kamst du darauf?

Hi,
der Button bei "scan only" ist grau hinterlegt (war er schon die ganze Zeit)
Ne andere Idee?

Hmm alte log gekrallt... ok hab alles durchsucht.. es gibt nur 2 logfiles und die liegen in dem bases_x Ordner. Beide sind alte logs (Wed 13) ich hab sie gelöscht und werd neu scannen. dauert 2-3 stunden, danach log speichern und das andere program drüberlaufen lassen (VudoFix) und mich dann nochmal meldn...
So nen Müll... Mal ne Frage. Das Problem lässt sich warscheinlich nicht damit umgehen dass ich alles auf ne Externe Platte ziehe und formatiere und neuinstalliere? Warscheinlich kopier ich dann den Virus mit, oder? hmm

Gruss B4Gaja

hier mal der Log BEVOR ich das andere Programm benutze:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Sun Jun 17 22:52:32 2007 => System found infected with banker.d Worm (hkey_local_machine\software\helper)! Action taken: No Action Taken.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Sun Jun 17 22:52:52 2007 => File C:\WINDOWS\system32\aynvtbcp.dll//Virtumonde//PE_Patch.UPX//UPX infected by "Trojan.Win32.BHO.bd" Virus! Action Taken: No Action Taken.
Mon Jun 18 00:08:19 2007 => File C:\WINDOWS\system32\aynvtbcp.dll//Virtumonde//PE_Patch.UPX//UPX infected by "Trojan.Win32.BHO.bd" Virus! Action Taken: No Action Taken.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Sun Jun 17 22:51:59 2007 => File C:\WINDOWS\system32\sstqq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.fp". Action Taken: No Action Taken.
Sun Jun 17 22:52:00 2007 => File C:\WINDOWS\system32\iifdaba.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Sun Jun 17 22:52:10 2007 => File C:\WINDOWS\system32\iifdaba.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Sun Jun 17 22:52:10 2007 => File C:\WINDOWS\system32\sstqq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.fp". Action Taken: No Action Taken.
Sun Jun 17 22:52:16 2007 => File C:\WINDOWS\system32\iifdaba.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Sun Jun 17 22:52:16 2007 => File C:\WINDOWS\system32\sstqq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.fp". Action Taken: No Action Taken.
Sun Jun 17 22:53:05 2007 => File C:\WINDOWS\system32\hhajhctq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.ki". Action Taken: No Action Taken.
Sun Jun 17 22:53:07 2007 => File C:\WINDOWS\system32\iifdaba.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Sun Jun 17 22:53:13 2007 => File C:\WINDOWS\system32\laajxrli.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.ki". Action Taken: No Action Taken.
Sun Jun 17 22:53:13 2007 => File C:\WINDOWS\system32\ljjhgef.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Sun Jun 17 22:53:47 2007 => File C:\WINDOWS\system32\sstqq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.fp". Action Taken: No Action Taken.
Sun Jun 17 22:54:12 2007 => File C:\!KillBox\ssiityur.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.ki". Action Taken: No Action Taken.
Sun Jun 17 22:55:26 2007 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan\prflcmsg.dll.q_8046037_q//UPX tagged as "not-a-virus:AdWare.Win32.Stud.a". Action Taken: No Action Taken.
Sun Jun 17 23:01:35 2007 => File C:\Downloads\SmitfraudFix\Reboot.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: No Action Taken.
Sun Jun 17 23:01:36 2007 => File C:\Downloads\SmitfraudFix.exe//data.rar/SmitfraudFix\Reboot.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: No Action Taken.
Mon Jun 18 00:10:17 2007 => File C:\WINDOWS\system32\hhajhctq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.ki". Action Taken: No Action Taken.
Mon Jun 18 00:10:19 2007 => File C:\WINDOWS\system32\iifdaba.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Mon Jun 18 00:10:25 2007 => File C:\WINDOWS\system32\laajxrli.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.ki". Action Taken: No Action Taken.
Mon Jun 18 00:10:25 2007 => File C:\WINDOWS\system32\ljjhgef.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.jp". Action Taken: No Action Taken.
Mon Jun 18 00:11:09 2007 => File C:\WINDOWS\system32\sstqq.dll//PE_Patch.PECompact tagged as "not-a-virus:AdWare.Win32.Virtumonde.fp". Action Taken: No Action Taken.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Mon Jun 18 00:19:32 2007 => Total Errors: 43
Mon Jun 18 00:19:32 2007 => Time Elapsed: 01:26:13
Mon Jun 18 00:19:32 2007 => Total Objects Scanned: 115821
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Sun Jun 17 22:51:43 2007 => Memory Check: Enabled
Sun Jun 17 22:51:43 2007 => Registry Check: Enabled
Sun Jun 17 22:51:43 2007 => System Folder Check: Enabled
Sun Jun 17 22:51:43 2007 => System Area Check: Disabled
Sun Jun 17 22:51:43 2007 => Services Check: Enabled
Sun Jun 17 22:51:43 2007 => Drive Check: Disabled
Sun Jun 17 22:51:43 2007 => All Drive Check :Enabled
Sun Jun 17 22:51:43 2007 => All Drive Check :Enabled

Hi,
genau das ist die Frage... WO im Log seh ich dass, ich hab ja eins schonmal gepostet. Wo seh ich da was?

Und die Probleme sind immernoch da....

Ok ich lasses jetzt 4 mal durchlaufen...

Edit: Habs jetzt nen paar mal durchlaufen lassen und jedes mal kam beim clearen:

"Löschen der infizierten Dateien....
Das System kann die Datei ma angegebenen Pfad nicht finden"

Hört sich nicht so an als würde es irgendetwas machen...

Ne idee?

"Löschen der infizierten Dateien....
Das System kann die Datei ma angegebenen Pfad nicht finden"

das mag daran liegen, dass nichts gefunden wurde..

poste halt nochmal ein log aber prinzipiell brauchst du im log nur zu gucken ob z.B. unter diesem Punkt:

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

......................... also hier................................


etwas steht. Wenn unter keinem der Punkte etwas steht ist gut, wenn nicht ist schlecht und er haut es beim Cleanen weg.

Die DNS Einträge im ersten log sind i.O. sonst hätte ich und Hijack schon lange gemeckert und an sonsten sah schon das erste log unauffällig aus.

Hast du denn überhaupt noch Probleme?

Gruß

Undoreal

Dashört sich doch schonmal gut an. Probleme habe ich noch 2:

1) Ab und zu poppt immernoch nen IE Fenster mit dem Link auf den ich mal gepostet hatte.

2) AVG Virenscanner findet immer wieder... so einmal am Tag... nen Trojaner unter /Temp oder /system32, sind irgendwelche .dll oder.exe dateien. Die löscht er dann schön aber sie kommen schnell wieder.

K.A. wie ich das weg bekomme.

Gruss B4Gaja