Zitat von Lea

An undoreal:

Ich habe nun drei Tage lang unter äusserst erschwerten Umständen (alles lief wahnsinnig langsam, z.b. Ad-Aware stürzte FÜNFMAL nach jeweils knapp 4 Stunden ab) deine tausende von Programmen downgeloadet und abgearbeitet und die einzige info, die ich daraufhin von dir bekomme ist dass MURKS auf meinen Rechner ist? Ich bin seit tagen völlig fertig mit den Nerven und ich finde Dich errlich gesagt absolut nicht OK !!!

Nun mal immer schön ruhig, tief durchatmen und nochmal über alles nachdenken was du da geschrieben hast.

Dieses Forum dient dem Zweck: User helfen User ...
Ich kann dich ja verstehen das dich die Sache nervt und du langsam am "Ende" bist, aber wir helfen hier freiwillig und wollen dafür auch keine finanzielle Entschädigung, daher dauert es manchmal etwas länger bis jeder die Hilfe bekommt welche er braucht oder auch nicht.

Zum Thema Neuaufsetzen kommen wir später noch, sofern überhaupt nötig, arbeite ein letztes Mal das ab was ich zuerst geschrieben habe.

Und immer schön tief durchatmen ..

Danke Sunny

@ Lea:

Willst du Neuaufsetzten?

das war eine einfache Frage und du hättest sie mit einem einfachen Ja oder Nein beantworten können.. ^^

Ich konnte deine Stimmung nur nicht recht interpretieren und wusste nicht ob es dir evtl. langsam viel zu viel wird

Du willst also nicht neuaufsetzten; gut. Dann arbeite doch bitte Sunnys Punkte ab. Dann sehen wir was den Rundumschlag überlebt hat.

lg

Undoreal

Liebe Sunny,

danke, dass du meine Bitte erhört hast!

das mit dem Zitieren krieg ich nicht hin, deshalb schreib ich es so:

Zitat Sunny:

Lade dir dieses Tool -> SmitfraudFix
-Starte es dann und lass das System durchsuchen. (Option 2 Bereinigung!)
-Poste danach wie in der Anleitung beschrieben, das Ergebnis des Scans






Das Tool musste ich ja schon auf UNDOREALS Geheiss downloaden und durchführen, aber diesmal - im Normal-Modus, hat es ruckizucki meinen Desktop repariert!!!!

Danke danke danke danke !! Wenn ich das doch nur vorher gewusst hätte, dann wären die letzten beiden Tage einfacher für mich gewesen!


SmitFraudFix v2.216

Scan done at 19:17:09,12, 27.08.2007
Run from C:\Dokumente und Einstellungen\Lea\Eigene Dateien\Virenbek„mpfung August 07\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CS2\Services\Tcpip\..\{F8176F8F-C725-4AF0-B34B-5140C5826852}: NameServer=194.97.173.124 194.97.173.125


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End



Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\mbicjwik

*******************

Script file located at: \??\C:\eeojgbje.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open file C:\DOKUME~1\Lea\Desktop\Error Cleaner.url for deletion
Deletion of file C:\DOKUME~1\Lea\Desktop\Error Cleaner.url failed!

Could not process line:
C:\DOKUME~1\Lea\Desktop\Error Cleaner.url
Status: 0xc000003a



Could not open file C:\DOKUME~1\Lea\Desktop\Privacy Protector.url for deletion
Deletion of file C:\DOKUME~1\Lea\Desktop\Privacy Protector.url failed!

Could not process line:
C:\DOKUME~1\Lea\Desktop\Privacy Protector.url
Status: 0xc000003a



Could not open file C:\DOKUME~1\Lea\Desktop\Spyware?Malware Protection.url for deletion
Deletion of file C:\DOKUME~1\Lea\Desktop\Spyware?Malware Protection.url failed!

Could not process line:
C:\DOKUME~1\Lea\Desktop\Spyware?Malware Protection.url
Status: 0xc000003a



File C:\WINDOWS\main_uninstaller.exe not found!
Deletion of file C:\WINDOWS\main_uninstaller.exe failed!

Could not process line:
C:\WINDOWS\main_uninstaller.exe
Status: 0xc0000034



File C:\WINDOWS\wmpconf.dll not found!
Deletion of file C:\WINDOWS\wmpconf.dll failed!

Could not process line:
C:\WINDOWS\wmpconf.dll
Status: 0xc0000034



File C:\WINDOWS\wmpenv.dll not found!
Deletion of file C:\WINDOWS\wmpenv.dll failed!

Could not process line:
C:\WINDOWS\wmpenv.dll
Status: 0xc0000034

File C:\WINDOWS\system32\tmp.reg deleted successfully.

Completed script processing.

*******************

Finished! Terminate.



Hier kam dann sone Meldung von den Spybot-Programm, dass eine Registrierungsänderung verboten worden wäre





Zitat Sunny:

5.) Lass eScan nochmal laufen






eScan kenn ich nicht, wo gibts das? und wieso nochmal ? Hab das nie gemacht im Gegensatz zu Smidfraudfix :-(



vielen Dank erstmal bishierher,

Liebe Grüsse, Lea

[EDIT] ist egal. ^^ ich schweige

@LEA

/IRONIE AN:

Sei nicht so hart mit unserem undoreal, er wollte dir doch nur helfen.
Es ist eigentlich ein ganz lieber Mensch .. :aplaus:

/IRONIE AUS:

Sorry, wegen eScan, hatte die Anleitung falsch geschrieben, eScan ist ein Anti-Virenscanner, diesen nutzen wir aber momentan nicht.

Lass nun nochmal dein gesamtes System mit Antivir überprüfen, wenn nichts mehr gefunden bzw. beanstandet wird, und du selbst auch keine Probleme mehr hast, denke ich das es das gewesen ist.

Sunny

Liebe Sunny,

huch?

Ich hatte deine Liste doch noch gar nicht fertig abgearbeitet?
Ich musste doch nur erst klarstellen, dass ich das das escan noch nie gemacht hatte und es auch gar nicht kenne!
Hast die Anleitung für mich wohl aus einem Uralt-Beitrag rauskopiert, was ? *gg*



Aber das heisst doch nun nicht, dass ich auch das andere weglassen soll oder? Ich meine dieses Filelist-Programm, was ich mir downloaden sollte?

Hier poste ich dann mal den gewünschten Log davon, und zwar bevor ich mit Antivir scanne, weil das dauert sicher wieder die ganze Nacht durch.

----- Root -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 9C0E-2B4B

Verzeichnis von C:\

27.08.2007 19:28 8.980 OldSDB_log.txt
27.08.2007 19:27 402.231.296 hiberfil.sys
27.08.2007 19:27 603.979.776 pagefile.sys
27.08.2007 19:27 3.638 avenger.txt
27.08.2007 19:19 1.391 rapport.txt
27.08.2007 07:17 1.276 rollback.ini
26.08.2007 02:49 20.770 ComboFix.txt
26.08.2007 02:49 2.474 ComboFix-quarantined-files.txt
25.08.2007 18:08 212 boot.ini
23.08.2007 23:06 16 UsageTrack.txt
23.08.2007 01:15 13.944 TMPGEnc__2_7_VGA.mpg
12.08.2007 01:19 494 Easydivx_codec.txt
12.08.2007 01:19 2 Easydivx_length.txt
12.08.2007 01:19 2 Easydivx_sub.txt
12.08.2007 01:19 2 Easydivx_video.txt
12.08.2007 01:02 5.616 CLDMA.LOG
11.08.2007 18:29 31.067.084 mvinfo.bin
05.08.2007 11:14 86 SBCSTray.log


----- System32 -------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 9C0E-2B4B

Verzeichnis von C:\WINDOWS\system32

27.08.2007 19:29 58.727 vsconfig.xml
27.08.2007 19:17 0 tmp.txt
27.08.2007 14:52 4.212 zllictbl.dat
25.08.2007 11:58 2.206 wpa.dbl
13.08.2007 00:05 818.176 wodfamoh.dll
12.08.2007 00:52 16.832 amcompat.tlb
12.08.2007 00:52 23.392 nscompat.tlb
12.08.2007 00:51 2.272 w95inf16.dll
12.08.2007 00:51 4.608 w95inf32.dll
11.08.2007 18:49 321.928 FNTCACHE.DAT
06.08.2007 19:38 552 d3d8caps.dat
06.08.2007 19:09 40.128 perfc009.dat
06.08.2007 19:09 311.740 perfh009.dat
06.08.2007 19:09 316.924 perfh007.dat
06.08.2007 19:09 48.354 perfc007.dat
06.08.2007 19:09 722.222 PerfStringBackup.INI
06.08.2007 15:57 0 SBFC.dat
06.08.2007 15:57 0 SBRC.dat
05.08.2007 18:37 664 d3d9caps.dat
03.08.2007 06:34 16.789.464 MRT.exe
30.07.2007 19:20 30.040 wuaucpl.cpl.mui
30.07.2007 19:20 30.040 wuapi.dll.mui
30.07.2007 19:19 1.712.984 wuaueng.dll
30.07.2007 19:19 549.720 wuapi.dll
30.07.2007 19:19 325.976 wucltui.dll
30.07.2007 19:19 203.096 wuweb.dll
30.07.2007 19:19 216.408 wuaucpl.cpl
30.07.2007 19:19 92.504 cdm.dll
30.07.2007 19:19 53.080 wuauclt.exe
30.07.2007 19:19 43.352 wups2.dll
30.07.2007 19:19 271.224 mucltui.dll
30.07.2007 19:19 207.736 muweb.dll
30.07.2007 19:18 34.136 wucltui.dll.mui
30.07.2007 19:18 30.072 mucltui.dll.mui
30.07.2007 19:18 33.624 wups.dll
30.07.2007 19:18 20.824 wuaueng.dll.mui
30.07.2007 17:18 2.916.352 SET1B9.tmp
27.07.2007 01:06 518.904 pxdrv.dll
27.07.2007 01:06 120.056 pxcpyi64.exe
27.07.2007 01:06 72.440 pxhpinst.exe
27.07.2007 01:06 66.296 pxcpya64.exe
27.07.2007 01:06 64.760 pxinsa64.exe
27.07.2007 01:06 129.784 pxafs.dll
27.07.2007 01:06 187.128 pxmas.dll
27.07.2007 01:06 118.520 pxinsi64.exe
27.07.2007 01:06 88.824 vxblock.dll
27.07.2007 01:06 551.672 px.dll
27.07.2007 01:06 1.628.920 pxsfs.dll
27.07.2007 01:06 379.640 pxwave.dll
27.07.2007 01:03 352.401 DivXMedia.ax



Bitte lies dir das noch durch, ja? Ansonsten scanne ich nochmal über nacht und melde mich morgen dann noch mal.



Und Vielen Vielen Dank für die Riesenhilfe!

Ich hab kein Geld, würde mich aber gerne irgendwie revanchieren, evtl gibts ja Recherchen oder Zusammenstellungen oder sonstwas, was ich am PC tun könnte, kannst ja mal drüber nachdenken.


Liebe Grüße

Lea

Zitat von Lea

Hier poste ich dann mal den gewünschten Log davon, und zwar bevor ich mit Antivir scanne, weil das dauert sicher wieder die ganze Nacht durch.

Dann würde ich sagen, lass den Rechner über Nacht laufen und schlaf mal wieder in Ruhe aus ... ich sehe mir in der Zeit die Filelist an, und morgen geht es dann weiter ...

da bin ich wieder, auch ausgeschlafen aber das Antivir ist noch nicht ganz durch.

In der Zwischenzeit hab ich mich mal soweit es ging über iclean informiert und bin etwas durcheinander

Hier ein Zitat aus einem anderen Thread (war nicht bei mir, aber ich habe ähnliche Einträge):

Zitat von undoreal

-Starte iClean und mache ein Backup. Wenn im Folgend was schief geht, einfach auf Restore klicken..

-"Repair" folgende Registry Einträge:

* 000=HKCU\Run: PowerBar= *
* 031=Toolbar: {D593DE91-7B41-45C2-830E-E9A99AB142AA}=(null) *
* 031=Toolbar: {EF99BD32-C1FB-11D2-892F-0090271D4F88}=(null) *
* 031=Toolbar: ITBar7Layout=(null) *
* 032=RestrictedZOne: *.05p.com
032=RestrictedZOne: *.blazefind.com
032=RestrictedZOne: *.clickspring.net
032=RestrictedZOne: *.flingstone.com
032=RestrictedZOne: *.mt-download.com
032=RestrictedZOne: *.my-internet.info
032=RestrictedZOne: *.scoobidoo.com
032=RestrictedZOne: *.searchbarcash.com
032=RestrictedZOne: *.searchmiracle.com
032=RestrictedZOne: *.slotch.com
032=RestrictedZOne: *.xxxtoolbar.com
032=TrustedZone: *.frame.crazywinnings.com *

-Starte den Rechner neu und überprüfe, ob die Einträge weg sind.

Ich selber habe ca. 1000-1100 solche 032=RestrictedZOne - Einträge, was bedeuten die denn? Weiss das jemand von Euch?
Einen von denen hatte ich "repaired", daraufhin verschwanden alle, aber nach dem Neustart waren auch alle wieder da.

Den Eintrag * 031=Toolbar: {EF99BD32-C1FB-11D2-892F-0090271D4F88}=(null) * hatte ich auch in meinem Protokoll, aber ich sollte ihn nicht behandeln im Gegensatz zu dem Fall aus dem Zitat . Wurde der übersehen oder ist das doch nichts Schlimmes?

LG
Lea


Oh Antivir ist durch, kein Virus gefunden, aber einige Warnungen:


C:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\All Users\Dokumente\Virenjagd\InstallPREVX102010030.exe
[0] Archivtyp: ACE SFX (self extracting)
--> img\bins\2k_2k3_xp\lclbrk.cache.2k
[WARNUNG] Fehler beim Erzeugen der Datei
--> img\bins\AMD64\lclbrk.cache.2k
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
C:\My Shared Folder\download1139044670190194314.dat
[0] Archivtyp: ACE
--> Cafe del Mar - Volumen Ocho - 192Kbs (Full Album)\03 - Afterlife - Sunrise (dj thunda & the k-20 allstars remix).mp3
[WARNUNG] Eine Exception wurde abgefangen!
[WARNUNG] Eine Exception wurde abgefangen!

Hallöle.

Weiss das jemand von Euch?

Die Einträge zeigen einen Teil der Spybot-Immunisierung die du durch die Installation von SpybotSearchAndDestroy durchgeführt hast. Diese Einträge sind also nicht nur "nicht schädlich" sondern äußerst erwünscht. Das sie nach einem Neustart wieder da sind zeugt davon das Spybot immer eine gute Wahl ist.

Die Nullbyte Tolbar ist ein lästiger Eintrag der in vielen logs auftaucht.

Du kannst den iClean Eintrag markieren und dann auf "repair" drücken...

Die AntiVir Warnungen kannst du ignorieren. Damit würde ich sagen du bist sauber!

PS: Ich würde dir empfehlen SpywareFighter und AVG AntiSpyware vom Rechner zu werfen wenn du das nicht eh schon gemacht hast. Bei Spybot lässt du Wächter(TeaTimer) am besten an. Von deinem Lavasoft-AdAware deaktiviere den Autostart von AdWatch -> Rechtsklick auf das kleine Sysmbol in der Taskleiste -> Einstellungen.

mfg

Undoreal

Hallo Sunny und undoreal,

Zitat von undoreal

Damit würde ich sagen du bist sauber!

Das hört sich aber gut an, undoreal!
Die überflüssige Software werde ich gleich deinstallieren, danke für den Hinweis.

Dann möchte ich mich zum schönen Abschluss nochmal ganz herzlich bei euch beiden für eure Mühe bedanken, insbesondere für das mühsame Durchlesen all der "Hyroglyphen" in den vielen Protokollen!

Ihr habt mir beide sehr geholfen! :aplaus:

Ab jetzt bin ich gut gerüstet gegen alle bösen Hacker dieser Welt

Machts gut und viel Erfolg weiterhin bei eurer Arbeit, ich trink jetzt einen Piccolo auf euch und alle Erfinder dieser kleinen Rettungsprogramme


Liebe Grüße, Lea

Zitat von Lea

Machts gut und viel Erfolg weiterhin bei eurer Arbeit, ich trink jetzt einen Piccolo auf euch und alle Erfinder dieser kleinen Rettungsprogramme

Na dann mal Prost ..

Huhu ihr Lieben

ich bins nochmal. Hab doch zur Sicherheit nochmal PrevX drüberlaufen lassen und das hat mir was in Quarantäne gestellt, und zwar
C:\EASYDIVX\SOFTS\CK.EXE
Bei Doppelklick bekomme ich folgende Infos von der Prevx-Homepage:



KILL.EXE

Disagree with this determination?

This object has a file size of 21,468 bytes, it is most frequently called KILL.EXE and is most frequently located in the ?:\dvdstuff\claddvd\ folder.
The file header contains the following information:
Vendor : PC-WELT
Product: PC-WELT Task-Killer
Version: 1, 0, 0,

This file is considered unsafe. It was first seen on Thursday, May 17 2007. It has been seen frequently by 169 users in this section of the community. The file was first seen in The UNITED STATES but has been seen in other locations, including GERMANY.
KILL.EXE has been seen to perform the following behaviors:
- The Process is packed and/or encrypted using a software packing process
- Executes a Process
KILL.EXE has been the subject of the following behaviors:
- Process creation
- Process deletion
- Executed a Process


hier dann auch gleich das Protokoll von virustotal.

AntiVir 7.4.1.66 2007.08.29 -
Authentium 4.93.8 2007.08.29 -
Avast 4.7.1029.0 2007.08.29 -
AVG 7.5.0.484 2007.08.28 -
BitDefender 7.2 2007.08.29 Application.Prockill.AN
CAT-QuickHeal 9.00 2007.08.25 Tool.Pcwelt.a (Not a Virus)
ClamAV 0.91.2 2007.08.29 -
DrWeb 4.33 2007.08.29 -
eSafe 7.0.15.0 2007.08.29 suspicious Trojan/Worm
eTrust-Vet 31.1.5093 2007.08.29 -
Ewido 4.0 2007.08.29 -
FileAdvisor 1 2007.08.29 High threat detected
Fortinet 3.11.0.0 2007.08.29 Misc/ProcKill
F-Prot 4.3.2.48 2007.08.29 -
F-Secure 6.70.13030.0 2007.08.29 -
Ikarus T3.1.1.12 2007.08.29 -
Kaspersky 4.0.2.24 2007.08.29 -
McAfee 5107 2007.08.28 potentially unwanted program ProcKill-AN
Microsoft 1.2803 2007.08.29 -
NOD32v2 2490 2007.08.29 -
Norman 5.80.02 2007.08.29 -
Panda 9.0.0.4 2007.08.29 Application/KillApp.B
Prevx1 V2 2007.08.29 Generic.Malware
Rising 19.38.22.00 2007.08.29 Hack.PSKILL
Sophos 4.21.0 2007.08.29 Task-Killer
Sunbelt 2.2.907.0 2007.08.25 -
Symantec 10 2007.08.29 -
TheHacker 6.1.9.175 2007.08.29 -
VBA32 3.12.2.3 2007.08.28 -
VirusBuster 4.3.26:9 2007.08.29 Riskware.Prockill.B
Webwasher-Gateway 6.0.1 2007.08.29 Riskware.Tool.ProcKill.1
weitere Informationen
File size: 21468 bytes
MD5: a0be5f4f4b7e01c85bbbab41f892cf75
SHA1: e47ef11d67d1b3fc6651a960880e0889e3805db2
packers: UPX
packers: UPX
Bit9 info: h**p://fileadvisor.bit9.com/services/extinfo.aspx?md5=a0be5f4f4b7e01c85bbbab41f892cf75
packers: UPX
Prevx info: h**p://fileinfo.prevx.com/fileinfo.asp?PX5=07E4FD62DCD2998A53EC003DA048C800E9CF1BAC



Was tu ich damit nun? Einfach löschen und gut is?

LG
Lea

Hey Lea.

Nutzt du das Programm " EASYDIVX " ?

Ich denke es ist nicht unbedingt schädlich aber gefährlich.

Lasse die exe in der Quarantäne und suche dir bitte über Start->Systemsteuerung->Software das obern genannte Prog raus. Deinstalliere es. Danach lösche die Quarantäne von PrevX und lasse es nochmal deinen Rechner durchsuchen.

Jaja, PrevX ist nicht zu schlagen..

Gruß

Undoreal

Hey Undoreal,

Zitat von undoreal

Nutzt du das Programm " EASYDIVX " ?

Ja irgendwie nutze ich es schon. Hab nur eine (dafür die allerbeste - weil seltene - DVD der Welt) und keinen DVD-Spieler und alleVersuche sie irgendwie abzuspielen klappten nicht und überall las ich was von "Codecs mit bestimmten Programmen installieren" und da hab ich mir einige Player und Programme downgeloaded und plötzlich ging es dann eben auch. Ist mir alles ziemlich undurchsichtig

Bevor ich diese Viren/Pferde/Würmer (tja, was wars denn nun eigentlich ???) bekam, war ich gerade dabei die DVD als SVCD zu brennen, was ein ganz schön schweres Unterfangen für eine ist, die sich an sich nicht auskennt, aber nun bin ich eigentlich fast fertig und würde das auch gerne beenden, insofern weiss ich nicht ob ich das Programm noch nutze. Ist das denn nun wirklich böse oder nicht? Selbst PrevX sagt soweit ich das richtig verstehe bei dem Link im virustotal-Protokoll dass das gar nix böses ist ???

Ansonsten hab ich ja ne frische Trialversion von PrevX, die mir NOCH erlaubt, aus der Quarantäne direkt zu löschen, ginge dann doch auch so oder ?

LG
Lea

"Codecs mit bestimmten Programmen installieren" und da hab ich mir einige Player und Programme downgeloaded

das hört sich nach der Quelle deiner Probleme an.

Lade dir NIE Codecs runter ohne das du ganz genau weisst was du tust. Der VLC (VideoLanPlayer) spielt alles ohne Codecs!

Ansonsten hab ich ja ne frische Trialversion von PrevX, die mir NOCH erlaubt, aus der Quarantäne direkt zu löschen, ginge dann doch auch so oder ?

verstehe ich nicht.

Ich würde meiner Anleitung folgen... *hmm.. deshalb ist es ja auch meine.. *

Undoreal