Hallo erstmal alle zusammen.

Also, als ich heute meine Festplatten (A: ; D mit AntiVir überprüft habe zeigt der mir an das ich auf der Festplatte D: einen, wie oben beschrieben, BDS/Agent.dlh habe, der sich in einer Backup FIle eingenestet habe.
Na ja, AntiVir hat geschrieben das ich den nicht löschen kann, also habe ich den in der Quarantäne verfrachtet.
Trotzdem habe ich, mehr oder weniger noch "Angst".
Ich finde keine Lösung was, das überhaupt ist, also dieser Virus und wie ich den wegbekomme.
NIERGENDWO ist dieser Virus verzeichnet und das macht mir halt Sorgen.

Ich würde mich wirklich sehr sehr freuen wenn mir jemand helfen kann.

DANKE

Btw. Vielleicht ist es unwichtig, aber ich will noch sagen das ich Vista nutze.^^

Sorry wegen Doppelpost, aber hat wirklich keiner ne Ahnung oder einen Rat??^^

moin

Bitte ein Hijacktis log erstellen und hier posten.
Programm gibts hier http://www.zdnet.de/downloads/prg/n/m/deGNNM-wc.html
Das Programm danach in einen neuen Ordner stecken und starten.
Nun auf "do a system scan and safe log.." auswählen und anschliesend das so erhaltene Log hier posten.

Zitat von TrojanHunter

moin

Bitte ein Hijacktis log erstellen und hier posten.
Programm gibts hier HijackThis 2.0.2 - Freeware - ZDNet.de, Downloads, Internet & Kommunikation, Sonstige
Das Programm danach in einen neuen Ordner stecken und starten.
Nun auf "do a system scan and safe log.." auswählen und anschliesend das so erhaltene Log hier posten.

Was meinst du damit??

Reicht das nicht wenn ich es downloade und dann gleich installiere und dann das System scannen lasse??^^



Logfile of Trend Micro HijackThis v2.0.2

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]

Du musst HijackThis nich installieren.
Downloaden , in einen Ordner packen (z.b Desktop/Hijackthis)
starten und das log hier posten

Zitat von TrojanHunter

Du musst HijackThis nich installieren.
Downloaden , in einen Ordner packen (z.b Desktop/Hijackthis)
starten und das log hier posten

Als ich geloadete habe habe ich die Install exe.Datei insaliert bzw. aufm Desktop entpackt.

Ist das jetzt das richtige??

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:46:59, on 27.01.2008
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16575)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\System32\SysMonitor.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Windows\WindowsMobile\wmdSync.exe
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Jägermeister\ps_agent.exe
C:\Program Files\Jägermeister\ps_timer.exe
C:\Program Files\Free Download Manager\FUM\fumoei.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\OpenOffice.org 2.2\program\soffice.exe
C:\Program Files\OpenOffice.org 2.2\program\soffice.BIN
C:\Acer\Empowering Technology\ACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EX E
C:\Acer\Empowering Technology\eRecovery\ERAGENT.EXE
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Yahoo! Deutschland
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = Yahoo! Deutschland
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = Yahoo! Deutschland
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = Yahoo! Deutschland
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Windows\system32\ActiveToolBand.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Windows\system32\SysMonitor.exe
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Windows Mobile-based device management] %windir%\WindowsMobile\wmdSync.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [?????????] ??????????????e
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [PhonostarAgent] C:\Program Files\Jägermeister\ps_agent.exe
O4 - HKCU\..\Run: [PhonostarTimer] C:\Program Files\Jägermeister\ps_timer.exe
O4 - HKCU\..\Run: [Free Uploader Oe Integration] C:\Program Files\Free Download Manager\FUM\fumoei.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Startup: OpenOffice.org 2.2.lnk = C:\Program Files\OpenOffice.org 2.2\program\quickstart.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Empowering Technology Launcher.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra button: Upload - {FD4E2FF8-973C-4A19-89BD-8E86B3CFCFE1} - C:\Program Files\Free Download Manager\FUM\fumiebtn.dll (file missing)
O13 - Gopher Prefix:
O17 - HKLM\System\CCS\Services\Tcpip\..\{8A2C587F-7DBD-4E9D-B07F-3A8B1412BA9C}: NameServer = 208.67.222.222,208.67.220.220
O23 - Service: ePerformance Service (AcerMemUsageCheckService) - Unknown owner - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

--
End of file - 8722 bytes

Is da jetzt was auffälliges dabei?? Außer
"O4 - HKCU\..\Run: [?????????] ??????????????e"??

Ich kenne mich da nämlich nicht all zu gut aus und dieses Problem mit den Chinesischen Zeichen und disen Fragezeichen wird ja in einen anderem Thread hier bereits behandelt.

Kann jemand bitte diesen Log (der unten steht) mal auswerten???^^

jaja, immer langsam ;-)

1. du bist allem anschein nach mit IRC/BackDoor.SdBot3.XUJ infiziert, einem backdoor trojaner der zugriff auf dein system hat und jegliche tastatur/mausaktionen etc. aufzeichnet und an dritte weitersendet.
Folgendes sag ich dir gleich: ohne ein Neuaufsetzen des systems wird dein pc weiterhin unsicher bleiben! wenn du willst, kannst du es natürlich auch mit einer reinigung probieren!

überprüfe bitte zur sicherheit folgende datei bei VIRUSTOTAL :

C:\Program Files\Free Download Manager\FUM\fumoei.exe

sollten sich noch andere *.exe dateien im verzeichnis

C:\Program Files\Free Download Manager\FUM\

befinden, so überprüfe diese bitte ebenfalls bei virustotal und poste ALLE logs hier!

moin
Ändere auf jedem Fall deine Kennwörter für email etc. und logge dich mit diesem PC nicht auf Seiten wie ebay.de o.ä ein!
Solltest du keinen sauberen Zweitrechner zum Ändern der Passwörter etc haben, so benutze doch eine Live CD ( z.b Knoppix)
Die Iso downloaden,
Als Iso auf CD brennen,
Im BIOS Booten von CD/DVD einstellen,
von CD booten,

Zitat von VolkerRacho

jaja, immer langsam ;-)

1. du bist allem anschein nach mit IRC/BackDoor.SdBot3.XUJ infiziert, einem backdoor trojaner der zugriff auf dein system hat und jegliche tastatur/mausaktionen etc. aufzeichnet und an dritte weitersendet.
Folgendes sag ich dir gleich: ohne ein Neuaufsetzen des systems wird dein pc weiterhin unsicher bleiben! wenn du willst, kannst du es natürlich auch mit einer reinigung probieren!

überprüfe bitte zur sicherheit folgende datei bei VIRUSTOTAL :

sollten sich noch andere *.exe dateien im verzeichnis

befinden, so überprüfe diese bitte ebenfalls bei virustotal und poste ALLE logs hier!

Sorry wenn ich frage, aber wie poste ich dann das Ergebniss am besten hier?^^

Kann ich den Link posten??

Antivirus Version letzte aktualisierung Ergebnis

AhnLab-V3 2008.1.24.10 2008.01.23 -
AntiVir 7.6.0.48 2008.01.23 -
Authentium 4.93.8 2008.01.22 -
Avast 4.7.1098.0 2008.01.23 -
AVG 7.5.0.516 2008.01.23 -
BitDefender 7.2 2008.01.23 -
CAT-QuickHeal 9.00 2008.01.23 -
ClamAV 0.91.2 2008.01.23 -
DrWeb 4.44.0.09170 2008.01.23 -
eSafe 7.0.15.0 2008.01.16 -
eTrust-Vet 31.3.5479 2008.01.23 -
Ewido 4.0 2008.01.23 -
FileAdvisor 1 2008.01.23 High threat detected
Fortinet 3.14.0.0 2008.01.23 -
F-Prot 4.4.2.54 2008.01.23 W32/Heuristic-KPP!Eldorado
F-Secure 6.70.13260.0 2008.01.23 -
Ikarus T3.1.1.20 2008.01.23 -
Kaspersky 7.0.0.125 2008.01.23 -
McAfee 5214 2008.01.23 -
Microsoft 1.3109 2008.01.23 Trojan:Win32/AgentBypass.gen!K
NOD32v2 2818 2008.01.23 -
Norman 5.80.02 2008.01.23 -
Panda 9.0.0.4 2008.01.23 -
Prevx1 V2 2008.01.23 -
Rising 20.28.22.00 2008.01.23 Trojan.Win32.Mnless.zjy
Sophos 4.24.0 2008.01.23 -
Sunbelt 2.2.907.0 2008.01.23 -
Symantec 10 2008.01.23 -
TheHacker 6.2.9.195 2008.01.23 -
VBA32 3.12.2.5 2008.01.21 -
VirusBuster 4.3.26:9 2008.01.23 -
Webwasher-Gateway 6.6.2 2008.01.23 -
weitere Informationen

File size: 40960 bytes
MD5: 99528ac475755a70f130e4f5b956a395
SHA1: e9beed2696499e0a31ff55489b4e5f1306742f90
PEiD: Armadillo v1.71
Bit9 info: h**p://fileadvisor.bit9.com/services/extinfo.aspx?md5=99528ac475755a70f130e4f5b956a395]Bit9 FileAdvisor - Search Results

Edit: Währe der Virus zu 100% weg wenn ich den Rechner neu aufsetzen würde??

ergebnisse kopieren und hier einfach posten!
nicht zu vergessen: als zitat!
also mit ["quote"]["/quote"] (naütrlich ohne' " ')

Zitat von /Shorty\

Edit: Währe der Virus zu 100% weg wenn ich den Rechner neu aufsetzen würde??

Ja wäre er .

Erstell doch bitte noch ein neues HijackThis Log und ein escan log.