Hallo Leute,

ich brauche dringend Hilfe bei meinem Laptop. Ich habe seit gestern einen Trojaner auf dem Gerät, der sich nicht löschen lässt. Habe schon Ad-Aware, Spybot, Hijackthis etc. ausprobiert. Nichts hilft. Der Trojaner wird beim Scan gefunden (inkl. Registry-Einträge) und gelöscht. Beim erneuten Starten des IE aktiviert er sich wieder automatisch. Außerdem ist die Startseite des IE folgende: res://yvzdc.dll/index.html#96676

Hat jemand eine Idee ?!??!

Logfile of HijackThis v1.97.7
Scan saved at 09:53:32, on 24.06.04
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLACSD.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\cisvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\mspmspsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\netly.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\X-Micro\X-Micro WLAN\RtlWake.exe
C:\WINDOWS\System32\cidaemon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\mmc.exe
C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe
C:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\iern.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\SICHERHEIT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://yvzdc.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://yvzdc.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://yvzdc.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
O2 - BHO: (no name) - {2E2D7897-1172-FF76-05AC-D2C3DEAFA980} - C:\WINDOWS\system32\ntce.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [netly.exe] C:\WINDOWS\system32\netly.exe
O4 - HKCU\..\Run: [BootWarn] C:\Programme\Norton AntiVirus\BootWarn.exe /a
O4 - HKCU\..\Run: [Ultimate Popup Killer] C:\Programme\Ultimate Popup Killer\Popupkiller.exe
O4 - HKLM\..\RunOnce: [iern.exe] C:\WINDOWS\system32\iern.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: X-MicroWake.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Mobilen Favoriten erstellen (HKLM)
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... (HKLM)
O9 - Extra button: Recherchieren (HKLM)
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeup...ntent/opuc.cab
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - http://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {597C45C2-2D39-11D5-8D53-0050048383FE} (OPUCatalog Class) - http://office.microsoft.com/productu...ntent/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...578.0310185185
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

Hallo Blaschko,

Vorab:
bitte zuerst Systemsteuerung > Verwaltung > Dienste nach Network Security Service suchen.
Über re. Klick Eigenschaften deaktivieren!
Merk dir bitte den Pfad der dort angegeben ist.

Bitte folgende Dateien online bei
http://www.kaspersky.com/de/scanforvirus
prüfen lassen:

C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\cidaemon.exe
C:\WINDOWS\system32\mmc.exe


4.)Folgende Einträge in HijackThis fixen:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://yvzdc.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://yvzdc.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://yvzdc.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\yvzdc.dll/sp.html#96676
O2 - BHO: (no name) - {2E2D7897-1172-FF76-05AC-D2C3DEAFA980} - C:\WINDOWS\system32\ntce.dll

Ebenso:

O4 - HKLM\..\Run: [netly.exe] C:\WINDOWS\system32\netly.exe
O4 - HKLM\..\RunOnce: [iern.exe] C:\WINDOWS\system32\iern.exe


1.) Dieses Tool laden und updaten: http://www.trojaner-board.de/forum/u...c;f=6;t=005602
2.) Die Systemwiederherstellung von Windows XP deaktivieren: http://www.systemwiederherstellung-d...indows-xp.html
3.) Windows XP im abgesicherten Modus starten: http://www.bsi.de/av/texte/winsave.htm#WindowsXP

4.) Dort das Tool aus 1.) laufen lassen, zudem auch den CWShredder. Die Scan-Logfiles dieser beiden Tools sichern.
Der e-scan braucht ca. 1 Stunde
5.) Bitte folgende Dateien (im immer noch abgesicherten Modus) löschen:
C:\WINDOWS\system32\iern.exe
C:\WINDOWS\system32\netly.exe

6.) System im normalen Modus neu starten.
Neues logfile von hijack this posten.

Gruss Willy

</font><blockquote>Zitat:</font><hr />
...Ich habe seit gestern einen Trojaner auf dem Gerät [...] Der Trojaner wird beim Scan gefunden (inkl. Registry-Einträge) und gelöscht.
</font>[/QUOTE]...mit welchem Programm , welcher Trojaner und wo wurde entdeckt? Ohne diesen Angaben kann man nur das Neuaufsetzen des Windows vorschlagen, (was mit diesen Angaben auch nicht auszuschließen ist .

Hallo Blaschko,

hattest Du Erfolg?
Poste doch nochmal einen logfile zur Sicherheit.
Gruss Willy

Hallo Willy,

sieht glaube ich nicht so schlecht aus! AUf jeden Fall schaltet sich die Startseite des IE nicht mehr um!!!

Logfile of HijackThis v1.97.7
Scan saved at 09:57:54, on 25.06.04
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLACSD.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\cisvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\mspmspsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\X-Micro\X-Micro WLAN\RtlWake.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\SICHERHEIT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\BLASCH~1.BAV\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKLM\..\Run: [NORTON] C:\Programme\Norton AntiVirus\BOOTWARN.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: X-MicroWake.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Mobilen Favoriten erstellen (HKLM)
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... (HKLM)
O9 - Extra button: Recherchieren (HKLM)
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/s...irector/sw.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeup...ntent/opuc.cab
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - http://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {597C45C2-2D39-11D5-8D53-0050048383FE} (OPUCatalog Class) - http://office.microsoft.com/productu...ntent/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...578.0310185185
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab


Besten Dank für die Hilfe. Hast Du eine Idee, wie man so Schwierigkeiten demnächst vermeiden kann? Ich habe eigentlich den Norton2003 mit Live-update immer im Hintergrund laufen, scheint aber nicht wirklich was zu bringen ?!?

Vielen Dank nochmal.
Gruß
Christian

Hallo Christian,
ich kann bei deinem log nicht negatives erkennen.
Ein Browserwechsel bringt wirklich was!
Ich würde Dir Opera oder Mozilla empfehlen.
Kannst Du dir mal beide kostenlos aus dem Netz ziehen und schau mit welchem Du besser klar kommst!
Gruss Willy

OK, werde ich machen! Mozilla sieht nicht schlecht aus

Welcher Virenscanner macht denn deiner Meinung nach Sinn...

</font><blockquote>Zitat:</font><hr />
ich kann bei deinem log nicht negatives erkennen.
</font>[/QUOTE]..dann sag bitte, was hat diese *.com -Datei in Temp-Ordner zu suchen,, davon abgesehen, dass die mit dem Start des PC anläuft?
</font><blockquote>Zitat:</font><hr /> O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\BLASCH~1.BAV\LOKALE~1\Temp\mwavscan.com" /s </font>[/QUOTE]Der Name sagt mir eingentlich nichts.

</font><blockquote>Zitat:</font><hr />Original erstellt von Rene-gad:
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\BLASCH~1.BAV\LOKALE~1\Temp\mwavscan.com" /s - Der Name sagt mir eingentlich nichts. </font>[/QUOTE]Die Datei gehört, so sie Original ist, zu eScan. Allerdings der Run-Aufruf lässt mich auch stutzen.

</font><blockquote>Zitat:</font><hr />Original erstellt von Lutz:
...so sie Original ist...
</font>[/QUOTE] .

</font><blockquote>Zitat:</font><hr />Original erstellt von blaschko:
Welcher Virenscanner macht denn deiner Meinung nach Sinn...</font>[/QUOTE]1.) Brain 2004
2.) Kaspersky: http://www.kaspersky.com/de/download...link=149315208