IE 7.0 öffnet sich von selbst + Absturz bei Spybot

ruemenko · 06.01.2008, 20:22

Ein freundliches Hallo an die Runde!!!

Ich benötige Hilfe! Würde mich sehr freuen wenn mir jemand helfen könnt!!!

Ich habe hier im Forum ähnlich gelagerte Fälle gefunden, und auch das ein oder andere schon unternommen, leider ohne Erfolg

Wie im Titel beschrieben macht sich seit gestern IE 7.0 selbstständig...
Spybot stürzt in der Hälfte ab, Vierenscan mit Kaspersky stürzt ebenfalls ab.

Hier zunächst mein Logfile:
Logfile of HijackThis v1.99.1
Scan saved at 19:28:01, on 06.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\Programme\xampp\FileZillaFTP\FileZillaServer.exe
C:\Programme\xampp\mysql\bin\mysqld-nt.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\FRITZ!DSL\StCenter.EXE
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Lavasoft\Ad-Aware 2007\Ad-Aware2007.exe
C:\Dokumente und Einstellungen\Rüdiger\Desktop\Vieren Tools\HijackThis.exe

R3 - URLSearchHook: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O2 - BHO: (no name) - {059947A2-838E-4773-9EE2-8AB8F53C2EDE} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows

Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: ToolHelper - {BBBE1C1A-89F7-4AF6-ABD1-F8FBCFA47408} - (no file)
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O3 - Toolbar: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [1&1 EasyLogin] "C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe" HIDE
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O9 - Extra 'Tools' menuitem: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security

7.0\SCIEPlgn.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {D717896C-27A3-4A76-BE13-42BF2EAFE997} -

C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {D717896C-27A3-4A76-BE13-42BF2EAFE997} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} - https:**www-secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 - DPF: {2F06D9C1-382D-43D8-A885-034C168D69BD} (AlapePlaner Control) - http:**www.innoplus.de/alapedemo/AlapePlaner.1.0.4.18.cab
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http:**tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-17.cab
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http:**www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

http:**v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1099954141587
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http:**security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http:**acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} (ScorchPlugin Class) - http:**www.sibelius.com/download/software/win/ActiveXPlugin.cab
O16 - DPF: {A922B6AB-3B87-11D3-B3C2-0008C7DA6CB9} (InetDownload Class) - http:**www.moviegroup.tv/activex/DownloadMgr.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) -

http:**messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https:**www-secure.symantec.com/techsupp/asa/SymAData.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{87AAA819-5A1E-4EEF-81DE-8CA64A155A36}: NameServer = 192.168.123.254
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O21 - SSODL: ampkfst - {3E1ED9D2-D4B3-48DA-B5DF-5C7DDD65C4D9} - C:\WINDOWS\ampkfst.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe Active File Monitor (AdobeActiveFileMonitor) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Apache2 - Unknown owner - C:\Programme\xampp\apache\bin\Apache.exe" -k runservice (file missing)
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation - C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - C:\Programme\xampp\FileZillaFTP\FileZillaServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: MySql - Unknown owner - C:/Programme/xampp/mysql/bin/mysqld-nt.exe
O23 - Service: Marmiko ZeroConfig Controller (MZCCntrl) - Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
O23 - Service: Photoshop Elements Device Connect (PhotoshopElementsDeviceConnect) - Unknown owner - C:\Programme\Adobe\Photoshop Elements

3.0\PhotoshopElementsDeviceConnect.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

VIELEN DANK für Eure Mühen!!!

myrtille · 06.01.2008, 20:39

Hallo

So direkt ist das Problem nicht aus deinem Log erkenntlich. Hattest du in letzter Zeit bereits Probleme mit Viren? Hast du irgendwas bereits gelöscht/per HijackThis gefixt?
Hast du gestern evtl etwas installiert, dass zu den Problemen führen könnte?

Ich sehe in deinem Log Adaware, läuft das durch? Wenn ja würden mich die gefunden Bedrohungen interessieren.
Hast du bereits Onlinescans gemacht? Was wurde dort gefunden? Liefen die Scans durch?

Lass bitte mal folgende Datei bei virustotal auswerten:

Zitat:

C:\WINDOWS\ampkfst.dll

Hoffentlich sidn wir dann schlauer.

lg myrtille

ruemenko · 06.01.2008, 20:55

Vielen Dank für die schnelle Rückmeldung!

- Problem ist erst seit gestern aktuell
- Habe folgende Datei händisch aus dem Windowsverzeichnis gelöscht:dxpvqlmgtv.dll (das Original habe ich noch auf dem Desktop liegen)
- Habe gestern einige Tools (nach erkennen des Problem installiert)
- Onlinescans stürzen ebenfalls ca. in der Hälfte ab
- VundoFix.exe stürzt auch in der Hälfte ab
-
- Virustotal läuft seit 20:44 Uhr geht nicht weiter...

...
Rüdiger

myrtille · 06.01.2008, 21:09

Was sagt den Virustotal? Eigentlich sollte das nicht solange dauern. Alternativ kannst du auch mal jotti versuchen.
Lasse bitte auch die von dir gelöschte Datei auswerten.

Was sagt den das Log von Vundofix? Lade dir bitte nochmal die neue Version hier runter: klick
Und versuche sie durchlaufen zu lassen.

Arbeite auch bitte noch folgende Anleitung ab:

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

lg myrtille

ruemenko · 06.01.2008, 21:12

Vorab Virustotal:

Antwort auf den Rest... folgt gleich...

Datei ampkfst.dll empfangen 2008.01.06 20:44:53 (CET)
Status: Beendet
Ergebnis: 4/32 (12.50%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.5.11 2008.01.05 -
AntiVir 7.6.0.46 2008.01.06 -
Authentium 4.93.8 2008.01.06 -
Avast 4.7.1098.0 2008.01.06 -
AVG 7.5.0.516 2008.01.06 -
BitDefender 7.2 2008.01.06 -
CAT-QuickHeal 9.00 2008.01.05 -
ClamAV 0.91.2 2008.01.06 -
DrWeb 4.44.0.09170 2008.01.06 -
eSafe 7.0.15.0 2008.01.06 -
eTrust-Vet 31.3.5432 2008.01.04 -
Ewido 4.0 2008.01.06 -
FileAdvisor 1 2008.01.06 -
Fortinet 3.14.0.0 2008.01.06 -
F-Prot 4.4.2.54 2008.01.06 -
F-Secure 6.70.13030.0 2008.01.05 -
Ikarus T3.1.1.15 2008.01.06 AdWare.NetAdware.S
Kaspersky 7.0.0.125 2008.01.06 -
McAfee 5200 2008.01.04 -
Microsoft 1.3109 2008.01.06 Adware:Win32/SmitFraud
NOD32v2 2767 2008.01.06 -
Norman 5.80.02 2008.01.04 -
Panda 9.0.0.4 2008.01.06 -
Prevx1 V2 2008.01.06 -
Rising 20.25.62.00 2008.01.06 -
Sophos 4.24.0 2008.01.06 Troj/Zlob-AGV
Sunbelt 2.2.907.0 2008.01.05 -
Symantec 10 2008.01.06 Trojan.Zlob
TheHacker 6.2.9.182 2008.01.06 -
VBA32 3.12.2.5 2008.01.06 -
VirusBuster 4.3.26:9 2008.01.06 -
Webwasher-Gateway 6.6.2 2008.01.06 -
weitere Informationen
File size: 225280 bytes
MD5: 10e55c5c5674dfcfebca535ed3c9445d
SHA1: 0534d48dd31d0a53d36a654208b915783394fa3c
PEiD: -

ruemenko · 06.01.2008, 21:33

Hallo, und weiter geht's...

Auswertung:
Datei dxpvqlmgtv.dll empfangen 2008.01.03 20:38:54 (CET)
Status: Beendet
Ergebnis: 2/32 (6.25%)

Ikarus - - Generic.NetAdware
Kaspersky - - -
McAfee - - -
Microsoft - Adware:Win32/SmitFraud

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:...

----- Root -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\

06.01.2008 20:37 1.039.716.352 hiberfil.sys
06.01.2008 20:37 1.560.281.088 pagefile.sys
06.01.2008 19:38 153 VundoFix.txt
05.01.2008 21:22 2.399 rapport.txt
05.01.2008 21:16 211 boot.ini
27.12.2007 19:51 23.336 partnerlinks.php
28.04.2007 11:35 161 TO_InstallLog.txt

61 Datei(en) 2.604.474.049 Bytes
0 Verzeichnis(se), 27.944.845.312 Bytes frei

----- System32 -------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\WINDOWS\system32

06.01.2008 20:40 13.646 wpa.dbl
05.01.2008 21:20 2.712 tmp.reg
05.01.2008 21:20 0 tmp.txt
04.01.2008 14:26 2.550 Uninstall.ico
04.01.2008 14:26 1.406 Help.ico
04.01.2008 14:26 30.590 pavas.ico
23.12.2007 08:53 453.928 FNTCACHE.DAT
20.12.2007 23:11 81.920 IEDFix.exe
20.12.2007 17:42 524.684 TZLog.log
19.12.2007 19:07 86.712 perfc009.dat
19.12.2007 19:07 456.912 perfh009.dat
19.12.2007 19:07 483.642 perfh007.dat
19.12.2007 19:07 105.786 perfc007.dat
03.12.2007 00:00 18.684.536 MRT.exe
24.11.2007 16:07 3.284 ANIWZCS{E0DC3E17-CC5D-454B-BEA5-00105C86848D}
24.11.2007 15:44 1.147.794 PerfStringBackup.INI
13.11.2007 12:31 60.416 tzchange.exe
29.10.2007 23:42 1.293.312 quartz.dll
29.10.2007 16:07 373.760 xpsp3res.dll
25.10.2007 17:42 8.501.248 shell32.dll
25.10.2007 09:28 222.720 wmasf.dll
03.10.2007 23:36 25.600 WS2Fix.exe

2767 Datei(en) 587.357.633 Bytes
0 Verzeichnis(se), 27.944.652.800 Bytes frei

----- Prefetch -------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\WINDOWS\Prefetch

13.09.2005 07:58 199.806 Layout.ini
1 Datei(en) 199.806 Bytes
0 Verzeichnis(se), 27.944.706.048 Bytes frei

----- Windows --------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\WINDOWS

06.01.2008 20:40 1.592.373 WindowsUpdate.log
06.01.2008 20:39 54.156 QTFont.qfn
06.01.2008 20:39 0 0.log
06.01.2008 20:38 159 wiadebug.log
06.01.2008 20:38 50 wiaservc.log
06.01.2008 20:37 2.048 bootstat.dat
06.01.2008 17:19 121.249 updspapi.log
06.01.2008 17:18 1.319 imsins.log
06.01.2008 17:18 31.176 ocgen.log
06.01.2008 17:18 3.333 msgsocm.log
06.01.2008 17:18 25.754 tsoc.log
06.01.2008 17:18 68.002 FaxSetup.log
06.01.2008 17:18 13.372 setupapi.log
06.01.2008 17:12 32.586 SchedLgU.Txt
06.01.2008 16:58 1.319 imsins.BAK
06.01.2008 16:58 10.277 iis6.log
06.01.2008 16:58 21.257 comsetup.log
06.01.2008 16:58 12.326 ntdtcsetup.log
06.01.2008 16:58 3.064 ocmsn.log
06.01.2008 16:58 14.430 KB931768-IE7Uninst.log
06.01.2008 16:55 13.760 KB933566-IE7Uninst.log
06.01.2008 13:07 10.491 KB937143-IE7Uninst.log
06.01.2008 13:06 2.188 KB938127-IE7Uninst.log
06.01.2008 12:59 9.923 KB939653-IE7Uninst.log
06.01.2008 12:52 8.577 KB942615-IE7Uninst.log
06.01.2008 12:49 17.083 KB928090-IE7Uninst.log
06.01.2008 12:05 47.339 ie7Uninst.log
06.01.2008 12:03 0 setuperr.log
06.01.2008 12:03 0 setupact.log
05.01.2008 21:26 1.409 QTFont.for
05.01.2008 21:16 1.277 win.ini
05.01.2008 21:16 227 system.ini
05.01.2008 17:53 544 dat.txt
04.01.2008 23:18 302 search_res.txt
04.01.2008 11:35 18.250 rs.txt
03.01.2008 12:53 81.920 foxflpd.exe
03.01.2008 12:53 176.128 ensfolr.dll
03.01.2008 12:53 225.280 ampkfst.dll
25.12.2007 00:41 202 NeroDigital.ini
22.12.2007 17:37 400 ODBC.INI
09.09.2007 09:58 290.816 Setup1.exe
09.09.2007 09:58 1.378 ST6UNST.000

173 Datei(en) 26.019.970 Bytes
0 Verzeichnis(se), 27.944.710.144 Bytes frei

----- Tasks ----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\WINDOWS\tasks

06.01.2008 20:38 6 SA.DAT
04.01.2008 17:40 454 1-Klick-Wartung.job
27.10.2007 16:03 276 AppleSoftwareUpdate.job

5 Datei(en) 1.065 Bytes
0 Verzeichnis(se), 27.944.714.240 Bytes frei

----- Wintemp --------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\WINDOWS\temp

06.01.2008 20:40 409 WGANotify.settings
06.01.2008 20:38 10 ZendOptimizer.MemoryBase@SYSTEM
06.01.2008 20:38 255 WGAErrLog.txt
06.01.2008 20:38 0 ib28
06.01.2008 20:38 0 ib27
06.01.2008 20:38 0 ib26
06.01.2008 20:36 8.192 cch~7d29c8602.htp
06.01.2008 20:36 8.192 cch~7d29be339.htp
06.01.2008 20:34 8.192 cch~7b4e277cd.htp
06.01.2008 20:34 8.192 cch~7b4df6fff.htp
06.01.2008 19:21 16.384 Perflib_Perfdata_784.dat
06.01.2008 18:01 0 ib25
06.01.2008 18:01 0 ib24
06.01.2008 18:01 0 ib23
06.01.2008 17:22 8.192 cch~76e8c63e.htp
06.01.2008 17:22 8.192 cch~76e8ca20.htp
06.01.2008 17:14 0 ib22
06.01.2008 17:14 0 ib21
06.01.2008 17:14 0 ib20
06.01.2008 16:10 0 ib19
06.01.2008 16:10 0 ib18
06.01.2008 16:10 0 ib17
06.01.2008 13:06 8.192 cch~5092940e.htp
06.01.2008 13:06 8.192 cch~508c5290.htp
06.01.2008 13:01 0 ib16
06.01.2008 13:01 0 ib15
06.01.2008 13:01 0 ib14
06.01.2008 12:42 0 ib13
06.01.2008 12:42 0 ib12
06.01.2008 12:42 0 ib11
06.01.2008 12:11 0 ib10
06.01.2008 12:11 0 ib9
06.01.2008 12:11 0 ib8
06.01.2008 10:54 0 ib7
06.01.2008 10:54 0 ib6
06.01.2008 10:54 0 ib5
05.01.2008 21:24 0 ib4
05.01.2008 21:24 0 ib3
05.01.2008 21:24 0 ib2
39 Datei(en) 82.594 Bytes
0 Verzeichnis(se), 27.944.714.240 Bytes frei

----- Temp -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 2C5E-9078

Verzeichnis von C:\DOKUME~1\RDIGER~1\LOKALE~1\Temp

06.01.2008 21:19 151.251 filelist.txt
06.01.2008 21:18 0 BIT18.tmp
06.01.2008 21:18 0 BIT17.tmp
06.01.2008 21:15 85.946 BITF.tmp
06.01.2008 21:14 85.946 BIT9.tmp
06.01.2008 21:14 85.946 BIT2E.tmp
06.01.2008 21:10 0 BIT44.tmp
06.01.2008 21:10 0 BIT2.tmp
06.01.2008 21:10 0 BIT15.tmp
06.01.2008 21:09 0 BIT1A.tmp
06.01.2008 21:09 0 BIT12.tmp
06.01.2008 21:08 0 BIT13.tmp
06.01.2008 21:08 322.933 BIT5E.tmp
06.01.2008 21:08 85.946 BITB.tmp
06.01.2008 21:06 85.946 BITC.tmp
06.01.2008 21:06 0 BIT5A.tmp
06.01.2008 21:05 85.946 BIT2C.tmp
06.01.2008 21:05 85.946 BIT1.tmp
06.01.2008 21:04 85.946 BITD.tmp
06.01.2008 20:59 85.946 BIT3E.tmp
06.01.2008 20:59 0 BIT4E.tmp
06.01.2008 20:58 85.946 BIT33.tmp
06.01.2008 20:56 512 ~DFBF26.tmp
06.01.2008 20:56 0 BITE.tmp
06.01.2008 20:55 85.946 BIT22.tmp
06.01.2008 20:55 85.946 BITA.tmp
06.01.2008 20:53 85.946 BIT11.tmp
06.01.2008 20:53 322.933 BIT5F.tmp
06.01.2008 20:52 85.946 BIT60.tmp
06.01.2008 20:52 85.946 BIT8.tmp
06.01.2008 20:51 85.946 BIT16E8.tmp
06.01.2008 20:48 325 WcesView.log
06.01.2008 20:46 0 BIT10.tmp
06.01.2008 20:45 0 BIT6.tmp
06.01.2008 20:44 85.946 BIT3.tmp
06.01.2008 20:44 85.946 BIT7.tmp
06.01.2008 20:43 85.946 BIT16.tmp
06.01.2008 20:43 0 BIT19.tmp
06.01.2008 20:40 85.946 BIT14.tmp
06.01.2008 20:40 32.768 ~DF45EF.tmp
06.01.2008 20:39 224 WCESCOMM.LOG
06.01.2008 20:33 284 ac8zt2.dat
06.01.2008 20:33 0 BIT53.tmp
06.01.2008 20:16 0 BIT50.tmp
06.01.2008 20:02 512 ~DF5A6A.tmp
06.01.2008 19:38 32.768 ~DFEACF.tmp
06.01.2008 19:37 0 BIT2D.tmp
06.01.2008 19:13 0 BIT29.tmp
06.01.2008 18:19 32.768 ~DFCEE0.tmp
06.01.2008 17:15 32.768 ~DFDE9A.tmp
06.01.2008 17:11 0 BIT6B.tmp
06.01.2008 17:05 32.768 ~DFD57D.tmp
06.01.2008 16:50 0 BIT61.tmp
06.01.2008 16:47 0 BIT4F.tmp
06.01.2008 16:42 0 BIT34.tmp
06.01.2008 16:13 32.768 ~DFCDEF.tmp
06.01.2008 13:02 32.768 ~DF1B12.tmp
06.01.2008 12:56 32.768 ~DFBFFA.tmp
06.01.2008 12:43 32.768 ~DF1942.tmp
06.01.2008 12:40 0 BIT97.tmp
06.01.2008 12:40 496 tmp96.tmp
06.01.2008 12:40 185 tmp96.tmp.bat
06.01.2008 12:40 596 tmp95.tmp
06.01.2008 12:40 185 tmp95.tmp.bat
06.01.2008 12:34 0 BITC6.tmp
06.01.2008 12:12 32.768 ~DFFA1.tmp
06.01.2008 12:07 0 BITC5.tmp
06.01.2008 12:04 0 BIT42.tmp
06.01.2008 12:02 0 BIT41.tmp
06.01.2008 12:00 0 BIT40.tmp
06.01.2008 11:59 0 BIT3F.tmp
06.01.2008 11:57 0 BIT2F.tmp
06.01.2008 11:53 0 BIT28.tmp
06.01.2008 11:43 512 ~DF35C9.tmp
06.01.2008 11:39 0 BIT25.tmp
06.01.2008 11:24 0 BIT23.tmp
06.01.2008 11:17 0 BIT21.tmp
06.01.2008 10:55 32.768 ~DF7620.tmp
05.01.2008 22:57 0 BIT5.tmp
05.01.2008 22:35 0 BIT4.tmp
05.01.2008 22:27 0 BIT27.tmp
05.01.2008 22:21 32.768 ~DF5C6B.tmp
05.01.2008 22:13 0 BIT26.tmp
05.01.2008 21:26 32.768 ~DF7D04.tmp
03.01.2008 00:57 99 D653F3EC.TMP
85 Datei(en) 2.945.951 Bytes
0 Verzeichnis(se), 27.944.710.144 Bytes frei

myrtille · 06.01.2008, 21:37

Ok, das ist ja schomal ne klare Ansage.

Vundo war einfach der falsche Ansatz.

(trotzdem würde mich interessieren was in folgender Datei steht: C:\vundofix.txt)
Dann folge bitte mal noch dieser Anleitung:
Anleitung SmitfraudFix:

Lade dir dieses Tool -> SmitfraudFix
-Starte es dann und lass das System durchsuchen. (Option 1)

-Poste danach wie in der Anleitung beschrieben, das Ergebnis des Scans

Ich fürchte allerdings, dass die Variante zu neu ist um automatisch entfernt werden zu können.

lg myrtille

ruemenko · 06.01.2008, 21:51

- C:\vundofix.txt) wurde nicht erstellt... ,da abgestürzt

hier das Logfile von:
SmitFraudFix v2.274

Scan done at 21:45:23,60, 06.01.2008
Run from C:\Dokumente und Einstellungen\Rdiger\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\Programme\xampp\FileZillaFTP\FileZillaServer.exe
C:\Programme\xampp\mysql\bin\mysqld-nt.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\FRITZ!DSL\StCenter.EXE
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\PROGRA~1\MICROS~4\OFFICE11\OUTLOOK.EXE
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\WINDOWS\system32\notepad.exe
C:\Dokumente und Einstellungen\Rüdiger\Desktop\VundoFix.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Rdiger

»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Rdiger\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Start Menu

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\RDIGER~1\FAVORI~1

»»»»»»»»»»»»»»»»»»»»»»»» Desktop

»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme

»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys

»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix.exe by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_Dlls"="C:\\PROGRA~1\\KASPER~1\\KASPER~1.0\\adialhk.dll"

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: D-Link AirPlus DWL-G650 Wireless Cardbus Adapter(rev.C) - Paketplaner-Miniport
DNS Server Search Order: 192.168.178.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{87AAA819-5A1E-4EEF-81DE-8CA64A155A36}: NameServer=192.168.123.254
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E0DC3E17-CC5D-454B-BEA5-00105C86848D}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{07D80C05-6447-412D-A7C7-33D61DA6F364}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{87AAA819-5A1E-4EEF-81DE-8CA64A155A36}: NameServer=192.168.123.254
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E0DC3E17-CC5D-454B-BEA5-00105C86848D}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{87AAA819-5A1E-4EEF-81DE-8CA64A155A36}: NameServer=192.168.123.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{E0DC3E17-CC5D-454B-BEA5-00105C86848D}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1

»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection

»»»»»»»»»»»»»»»»»»»»»»»» End

ruemenko · 06.01.2008, 22:03

Habe Schritt 2. (von SmitfraudFix) versucht durchzuführen, endete leider in einem bluescreen...
automatisches entfernen wie Du vermutest so nicht möglich

werde das morgen mal im Abgesicherten Modus versuchen...
muss jetzt leider zu Bett gehen, muß morgen um 5:30 Uhr raus

Würde mich sehr freuen wenn Du mir Morgen Abend noch einmal helfen könntest!
Ich sage jetzt erst einmal GUTE NACHT

Rüdiger

myrtille · 06.01.2008, 22:23

Hi

Bitte unternimm nichts was nicht vorher abgesprochen wurde. Smitfraudfix findet nichts und wird das ganze daher auch nicht im abgesicherten Modus entfernen können.
Damit sich das in Zukunft aber ändert, würde ich dich bitten folgende Anleitung abzuarbeiten:

besuche folgende Netz-Adresse:

Uploads

du brauchst dich nicht zu registrieren.

Eröffne einen neuen Thread mit dem Button (1) "New Topic"

Damit klappt ein neues Fenster auf:

Gib deinen Namen (2) und deine Email-Adresse (3) an.
Gib in der Betreffzeile ("Subject") (4) an, um welche Malware es sich handelt:
nwe (random) Trojan for S!Ri
Verweise auf deinen Thread bei uns (5), gib die URL deines Threads bei uns an:
Code:
ATTFilter
http://www.trojaner-board.de/47855-ie-7-0-oeffnet-sich-von-selbst-absturz-bei-spybot.html
         
Suche nun mit der Funktion "Browse" (6) die Datei

C:\windows\foxflpd.exe
C:\Windows\ensfolr.dll
C:\Windows\ampkfst.dll
und die Datei, die du bereits gelöscht hattest:dxpvqlmgtv.dll

und lade sie hoch.

Gib bitte folgende Information dazu an:
Code:
ATTFilter
Additional information
Datei ampkfst.dll empfangen 2008.01.06 20:44:53 (CET)
Status: Beendet
Ergebnis: 4/32 (12.50%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.5.11 2008.01.05 -
AntiVir 7.6.0.46 2008.01.06 -
Authentium 4.93.8 2008.01.06 -
Avast 4.7.1098.0 2008.01.06 -
AVG 7.5.0.516 2008.01.06 -
BitDefender 7.2 2008.01.06 -
CAT-QuickHeal 9.00 2008.01.05 -
ClamAV 0.91.2 2008.01.06 -
DrWeb 4.44.0.09170 2008.01.06 -
eSafe 7.0.15.0 2008.01.06 -
eTrust-Vet 31.3.5432 2008.01.04 -
Ewido 4.0 2008.01.06 -
FileAdvisor 1 2008.01.06 -
Fortinet 3.14.0.0 2008.01.06 -
F-Prot 4.4.2.54 2008.01.06 -
F-Secure 6.70.13030.0 2008.01.05 -
Ikarus T3.1.1.15 2008.01.06 AdWare.NetAdware.S
Kaspersky 7.0.0.125 2008.01.06 -
McAfee 5200 2008.01.04 -
Microsoft 1.3109 2008.01.06 Adware:Win32/SmitFraud
NOD32v2 2767 2008.01.06 -
Norman 5.80.02 2008.01.04 -
Panda 9.0.0.4 2008.01.06 -
Prevx1 V2 2008.01.06 -
Rising 20.25.62.00 2008.01.06 -
Sophos 4.24.0 2008.01.06 Troj/Zlob-AGV
Sunbelt 2.2.907.0 2008.01.05 -
Symantec 10 2008.01.06 Trojan.Zlob
TheHacker 6.2.9.182 2008.01.06 -
VBA32 3.12.2.5 2008.01.06 -
VirusBuster 4.3.26:9 2008.01.06 -
Webwasher-Gateway 6.6.2 2008.01.06 -
weitere Informationen
File size: 225280 bytes
MD5: 10e55c5c5674dfcfebca535ed3c9445d
SHA1: 0534d48dd31d0a53d36a654208b915783394fa3c
PEiD: -
Auswertung:
Datei dxpvqlmgtv.dll empfangen 2008.01.03 20:38:54 (CET)
Status: Beendet
Ergebnis: 2/32 (6.25%)

Ikarus - - Generic.NetAdware
Kaspersky - - -
McAfee - - -
Microsoft - Adware:Win32/SmitFraud
         
Drücke auf "Post" (7).

Nun hast du einen neuen Thread mit dem Anhang deiner Datei
bei "thespykiller" eröffnet, man wird die Datei finden, analysieren und
an die Hersteller von Antivirus- und Anti-Spyware-Programmen weiterleiten.

Somit haben du und andere User eine Chance,
dass diese neue Infektion erkannt und entfernt werden kann.

Hinweis: nur authorisierte User können die hochgeladenen Dateien sehen. Bitte vermeide es, Dateien mehr als einmal hochzuladen.
Danke

Sei so nett und poste den Link zu deinem neuen Thread bei The Spykiller hier in deinen Thread.

Vielen Dank für diese Anleitung an das Hijackthisboard und besonders Ruby

EDIT:

Erstelle bitte auch noch ein weiteres Log mit diesem script:

- Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
- Doppelklick auf listing7.cmd auf dem Desktop
- nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

lg myrtille

ruemenko · 07.01.2008, 17:03

Hallo, auf zum nächsten Teil...

zunächst eine kurze zwischen Info, heute Früh meldetet sich Kaspersky mit folgender Meldung:
gefunden: trojanisches Programm Trojan-Downloader.Win32.Tibs.tc URL: http*:*//scanner.adwareremover2007.com/a/install1216.cab/setup.exe
vielleicht hilft uns das weiter!? Zudem öffnete sich IE 7.0 von selbst und bescherte mir einen roten Desktop mit einem roten Logo "Spayware Killer" oder so ähnlich.

- Ich arbeite wie beschrieben jetzt meine to do Liste von gestern Abend ab...

bis gleich

ruemenko · 07.01.2008, 17:45

Hallo,

hier zunächst der LinK zum Thread bei The Spykiller:

http://thespykiller.co.uk/index.php/topic,5667.new.html#new?PHPSESSID=39747bdfdf53cf1d0494e9eb535248d6

Bis später...

arbeite am nächster Step...

ruemenko · 07.01.2008, 17:57

hier nun der Link für Script listing.txt

http://www.file-upload.net/download-597919/listing.txt.html

zwischendurch einfach einmal DANKE für die Hilfe!!!!!!!!!!!!

myrtille · 07.01.2008, 19:40

Hi,
das was ich dir als nächstes empfehle, ist ein Tool, das ich persönlich nicht so gut kenne.
Habe es bei mir problemlos durchlaufen lassen (es verlangt evtl einen Neustart) auch wenn jede Menge Meldungen angezeigt werden.

Lade dir folgendes Zip-Archiv runter: rvaxo.
Entpacke es in einen eigenen Ordner und führe in dem Ordner die Datei rvaxo.cmd aus.
Es wird ein Fenster aufpoppen in dem allerlei Text erscheint, das ist normal. Sollte das Fenster dich auffordern den Rechner neuzustarten, tue dies bitte.

Poste nach dem Durchlaufen von Rvaxo bitte das log C:\RVAXO-results.log und ein neues Hijackthisfile.

lg myrtille

ruemenko · 07.01.2008, 20:00

Hi,

vorab: Nach dem Neustart habe ich eine neuen Ordner und eine neue Datei auf dem Desktop (Nicht von mir angelegt!)

1.) %USERPROFILE% (Erscheinungsform halbtransparent) Inhalt:Ordner Lokale Einstellungen

2.) Datei, Thumbs.db

hier das Ergebnis .log:

----------------RVAXO.exe first run-------------

Files found:

C:\WINDOWS\ensfolr.dll
C:\WINDOWS\ampkfst.dll
C:\WINDOWS\dat.txt
C:\WINDOWS\rs.txt
C:\WINDOWS\foxflpd.exe
C:\WINDOWS\search_res.txt

Uninstallers Rogue scanners:

Folders Found:

C:\WINDOWS\privacy_danger

Hosts-file was reset, If you use a custom hosts file please replace it...

--------------RVAXO.exe last run---------------

Files found:

Folders Found:

--------------RVAXO.exe finished----------------

Logfile of HijackThis v1.99.1
Scan saved at 19:58:34, on 07.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\Programme\xampp\FileZillaFTP\FileZillaServer.exe
C:\Programme\xampp\mysql\bin\mysqld-nt.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\xampp\apache\bin\Apache.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\FRITZ!DSL\StCenter.EXE
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Rüdiger\Desktop\Vieren Tools\HijackThis.exe

R3 - URLSearchHook: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: ToolHelper - {BBBE1C1A-89F7-4AF6-ABD1-F8FBCFA47408} - (no file)
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O3 - Toolbar: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [1&1 EasyLogin] "C:\Programme\1&1\1&1 EasyLogin\EasyLogin.exe" HIDE
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Update Service] "C:\Programme\Gemeinsame Dateien\Teknum Systems\update.exe" /startup
O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O9 - Extra 'Tools' menuitem: olado Toolbar von Ashampoo - {1CBF31FC-3C23-4BA6-AF16-2CEC501BD837} - (no file)
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {D717896C-27A3-4A76-BE13-42BF2EAFE997} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {D717896C-27A3-4A76-BE13-42BF2EAFE997} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-17.cab
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1099954141587
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} (ScorchPlugin Class) - http://www.sibelius.com/download/software/win/ActiveXPlugin.cab
O16 - DPF: {A922B6AB-3B87-11D3-B3C2-0008C7DA6CB9} (InetDownload Class) - http://www.moviegroup.tv/activex/DownloadMgr.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://www-secure.symantec.com/techsupp/asa/SymAData.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{87AAA819-5A1E-4EEF-81DE-8CA64A155A36}: NameServer = 192.168.123.254
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe Active File Monitor (AdobeActiveFileMonitor) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Apache2 - Unknown owner - C:\Programme\xampp\apache\bin\Apache.exe" -k runservice (file missing)
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation - C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - C:\Programme\xampp\FileZillaFTP\FileZillaServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: MySql - Unknown owner - C:/Programme/xampp/mysql/bin/mysqld-nt.exe
O23 - Service: Marmiko ZeroConfig Controller (MZCCntrl) - Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
O23 - Service: Photoshop Elements Device Connect (PhotoshopElementsDeviceConnect) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

IE 7.0 öffnet sich von selbst + Absturz bei Spybot

Log-Analyse und Auswertung: IE 7.0 öffnet sich von selbst + Absturz bei Spybot