Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Bitte Hilfe - Ich habe keine Ahnung!

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 22.02.2009, 13:19   #1
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Pfeil

Bitte Hilfe - Ich habe keine Ahnung!



Hallo!
Ich bitte um Hilfe. Bin ein unerfahrener User.
Und zwar habe ich mir gestern irgendetwas eingefangen - ich kann es leider nicht benennen. Jedenfalls ist mein Internet etwas langsamer geworden und es öffnen sich einige PopUp Fenster. Es sind zwar nicht viele, aber es nervt mich trotzdem.

Installiert habe ich die Programme "Spybot Search & Destroy", Avast! (mein Standart-Antiviren-Programm) und Ad-Aware... Alle finden *.dll Dateien (ronuruso.dll, zolatode.dll ...) und einige Registreirungseinträge. Im HijackThis Log findet man auch einige verdächtige DLL Einträge:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:08:37, on 22.02.2009
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1830)
Boot mode: Normal

Running processes:
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files (x86)\Bonjour\mDNSResponder.exe
C:\Program Files (x86)\Java\jre6\bin\jqs.exe
C:\Program Files (x86)\avmwlanstick\wlangui.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files (x86)\Java\jre6\bin\jusched.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files (x86)\Xfire\Xfire.exe
C:\Program Files (x86)\Trillian\trillian.exe
C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files (x86)\MediaMonkey\MediaMonkey.exe
C:\Program Files (x86)\mIRC\mirc.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files (x86)\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
F2 - REG:system.ini: UserInit=userinit
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre6\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {c0613aba-f356-4218-aa78-b494e0fcf3bc} - C:\WINDOWS\SysWow64\zolatode.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files (x86)\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [AVMWlanClient] "C:\Program Files (x86)\avmwlanstick\wlangui.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [hinuwolohi] Rundll32.exe "C:\WINDOWS\system32\biyosoru.dll",s
O4 - HKLM\..\Run: [Ad-Watch] "C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe"
O4 - HKLM\..\Run: [CPM7f539f7a] Rundll32.exe "c:\windows\system32\ronuruso.dll",a
O4 - HKLM\..\RunOnce: [SpybotDeletingA4505] command.com /c del "c:\windows\system32\guyubaha.dll_old"
O4 - HKLM\..\RunOnce: [SpybotDeletingC8039] cmd.exe /c del "c:\windows\system32\guyubaha.dll_old"
O4 - HKCU\..\Run: [EA Core] "C:\Program Files (x86)\Electronic Arts\EADM\Core.exe" -silent
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [SpybotDeletingB9785] command.com /c del "c:\windows\system32\guyubaha.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingD1322] cmd.exe /c del "c:\windows\system32\guyubaha.dll_old"
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
O8 - Extra context menu item: Append to existing PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\gubafubo.dll C:\WINDOWS\SysWow64\zolatode.dll c:\windows\system32\ronuruso.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\SysWow64\ronuruso.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\SysWow64\ronuruso.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files (x86)\Bonjour\mDNSResponder.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe (file missing)
O23 - Service: Event Log (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files (x86)\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Update Service (gupdate1c985e4c3a091c) (gupdate1c985e4c3a091c) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: HTTP SSL (HTTPFilter) - Unknown owner - C:\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files (x86)\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe (file missing)
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files (x86)\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Distributed Transaction Coordinator (MSDTC) - Unknown owner - C:\WINDOWS\system32\msdtc.exe (file missing)
O23 - Service: Net Logon (Netlogon) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: NT LM Security Support Provider (NtLmSsp) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - Unknown owner - C:\WINDOWS\system32\nvsvc64.exe (file missing)
O23 - Service: Plug and Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe (file missing)
O23 - Service: IPSEC Services (PolicyAgent) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: Protected Storage (ProtectedStorage) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: Remote Desktop Help Session Manager (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe (file missing)
O23 - Service: Security Accounts Manager (SamSs) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: Virtual Disk Service (vds) - Unknown owner - C:\WINDOWS\System32\vds.exe (file missing)
O23 - Service: Volume Shadow Copy (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe (file missing)
O23 - Service: WMI Performance Adapter (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe (file missing)

Ich habe hinter die, die ich so gefunden habe einen Smiley gemacht.
Die Programme, die diese Dateien finden, können sie auch löschen. Jedoch scheinen sie nicht gelöscht z werden, da sie sofort wieder da sind.


Bitte helft mir!



edit:
MalwaryBytes hat ne Menge gefunden:

Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1792
Windows 5.2.3790 Service Pack 2

22.02.2009 14:27:45
mbam-log-2009-02-22 (14-27-42).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 54136
Laufzeit: 1 minute(s), 27 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 4
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 8
Infizierte Dateiobjekte der Registrierung: 8
Infizierte Verzeichnisse: 0
Infizierte Dateien: 8

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\WINDOWS\system32\gubafubo.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\SysWOW64\zolatode.dll (Trojan.Vundo.H) -> No action taken.
c:\WINDOWS\system32\ronuruso.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\biyosoru.dll (Trojan.Vundo.H) -> No action taken.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c0613aba-f356-4218-aa78-b494e0fcf3bc} (Trojan.BHO.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{c0613aba-f356-4218-aa78-b494e0fcf3bc} (Trojan.BHO.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c0613aba-f356-4218-aa78-b494e0fcf3bc} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\xpreapp (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hinuwolohi (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cpm7f539f7a (Trojan.Vundo.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb9785 (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd1322 (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletinga4505 (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingc8039 (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.BHO) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\gubafubo.dll -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\gubafubo.dll -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: system32\gubafubo.dll -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\syswow64\zolatode.dll -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\syswow64\zolatode.dll -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\ronuruso.dll -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: system32\ronuruso.dll -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\biyosoru.dll (Trojan.Vundo.H) -> No action taken.
c:\WINDOWS\system32\ronuruso.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\SysWOW64\zolatode.dll (Trojan.BHO.H) -> No action taken.
C:\WINDOWS\system32\gubafubo.dll (Trojan.Vundo.H) -> No action taken.
c:\WINDOWS\system32\guyubaha.dll_old (Trojan.Vundo) -> No action taken.
c:\WINDOWS\SysWOW64\ronuruso.dll (Trojan.BHO) -> No action taken.
C:\WINDOWS\system32\mapenelo.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\zolatode.dll (Trojan.Vundo.H) -> No action taken.

Geändert von matrix- (22.02.2009 um 13:29 Uhr)

Alt 22.02.2009, 13:35   #2
john.doe
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hallo und

Bitte deinstalliere (Start=>Einstellungen=>Systemsteuerung=>Software) folgendes:
  • AdAware (Schrott)
  • Spybot (Schrott)
  • Acrobat Reader (veraltet)
  • Google-Gelumpe (Datenkrake)
Arbeite anschliessend unsere Liste ab, es wird dir danach bedeutend besser gehen:
http://www.trojaner-board.de/69886-a...-beachten.html

ciao, andreas

Edit: Jetzt hole noch Punkt a und d nach. Dann geht es weiter. Lasse bei Malwarebytes auch mit Klick auf "Ausgewählte Entfernen" löschen.
__________________


Alt 22.02.2009, 13:38   #3
Larusso
/// Selecta Jahrusso
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!





Wie ich vermutete
VUNDO

Lass bitte Malwarebytes noch einmal laufen und lese dir die Anleitung genau durch
__________________

Alt 22.02.2009, 13:57   #4
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hallo, erstmal vielen Dank, dass ihr mir helft. Das freut mich wirklich!

Ich gehe mal chronologisch vor.

Ich habe mir CCleaner runtergeladen und bin nach Anleitung vorgegangen.
Jedoch kann ich in meiner Registry nicht alle Fehler beheben. Der folgende Eintrag erscheint immer wieder (hab da zur Übersichtlichkeit mal |'s zwischen gemacht) :
Fehlende Autostart Software | Rundll32.exe "C:\WINDOWS\system32\biyosoru.dll",s | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Was soll ich tun?


Hier eine Liste mit meiner installierten Software:

Add or Remove Adobe Creative Suite 3 Master Collection
Adobe After Effects CS3
Adobe After Effects CS3 Presets
Adobe After Effects CS3 Third Party Content
Adobe After Effects CS3 Third Party Content
Adobe Anchor Service CS3
Adobe Asset Services CS3
Adobe Bridge CS3
Adobe Bridge Start Meeting
Adobe BridgeTalk Plugin CS3
Adobe Camera Raw 4.0
Adobe CMaps
Adobe Color - Photoshop Specific
Adobe Color Common Settings
Adobe Color EU Extra Settings
Adobe Color JA Extra Settings
Adobe Color NA Recommended Settings
Adobe Creative Suite 3 Master Collection
Adobe Default Language CS3
Adobe Device Central CS3
Adobe Dreamweaver CS3
Adobe ExtendScript Toolkit 2
Adobe Extension Manager CS3
Adobe Flash CS3
Adobe Flash Player 10 Plugin
Adobe Flash Player ActiveX
Adobe Flash Video Encoder
Adobe Fonts All
Adobe Help Viewer CS3
Adobe InDesign CS3 Icon Handler
Adobe Linguistics CS3
Adobe MotionPicture Color Files
Adobe PDF Library Files
Adobe Photoshop CS3
Adobe Premiere Pro CS3
Adobe Premiere Pro CS3 Functional Content
Adobe Premiere Pro CS3 Third Party Content
Adobe Setup
Adobe Setup
Adobe SING CS3
Adobe Stock Photos CS3
Adobe Type Support
Adobe Update Manager CS3
Adobe Version Cue CS3 Client
Adobe Video Profiles
Adobe WAS CS3
Adobe WinSoft Linguistics Plugin
Adobe XMP DVA Panels CS3
Adobe XMP Panels CS3
AHV content for Acrobat and Flash
AMIP (remove only)
Apple Software Update
Assassin's Creed
Auto Shutdown 8.11
avast! Antivirus
AVM FRITZ!WLAN
Burnout(TM) Paradise The Ultimate Box
Call of Duty(R) 2
CCleaner (remove only)
CyberLink PowerDVD 8
DivX Codec
DivX Converter
DivX Player
DivX Plus DirectShow Filters
DivX Web Player
EVEREST Home Edition v2.20
F.E.A.R. 2 SP Demo
Flatcast 5.0
FUSSBALL MANAGER 09
Ghost Recon Advanced Warfighter
HijackThis 2.0.2
Java(TM) 6 Update 11
Malwarebytes' Anti-Malware
MediaMonkey 3.0
Microsoft Visual C++ 2005 Redistributable
mIRC
Mozilla Firefox (3.0.6)
NVIDIA PhysX v8.09.04
Oblivion
PDF Settings
PowerISO
Quake 4(TM)
QuickTime
RealSpeak Solo fur Deutsch - Steffi
REALTEK GbE & FE Ethernet PCI-E NIC Driver
Realtek High Definition Audio Driver
Security Update for Windows XP (KB923789)
TeamSpeak 2 RC2
TmNationsForever
Trillian
Visual C++ 2008 x86 Runtime - (v9.0.30729)
Visual C++ 2008 x86 Runtime - v9.0.30729.01
VLC media player 0.9.8a
Vuze
WinRAR
Xfire (remove only)



Einen Komplett-Scan von Malwarebytes lass ich gerade durchlaufen. Vielleicht könnt ihr mir in der zwischenzeit weiterhelfen.
Ich bin euch so dankbar, dass ihr mir helft!

Alt 22.02.2009, 14:02   #5
john.doe
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Zitat:
Der folgende Eintrag erscheint immer wieder
Ignorieren, der verschwindet wenn Malwarebytes fertig ist.

Lasse gleich im Anschluss SUPERAntiSpyware laufen.

ciao, andreas


Alt 23.02.2009, 11:00   #6
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Zitat:
Zitat von john.doe Beitrag anzeigen
Ignorieren, der verschwindet wenn Malwarebytes fertig ist.

Lasse gleich im Anschluss SUPERAntiSpyware laufen.

ciao, andreas
Habe ich gemacht!

Jedoch findet er heute wieder Bedrohungen durch Vundo und mein Internet ist wieder langsamer, nachdem es gestern eigentlich ganz gut ging.

Alt 23.02.2009, 11:20   #7
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Zudem bekomme ich jetzt, nachdem ich die verdächtigen Dateien von SUPERAntiSpyware löschen lies, andauernd diese Fehlermeldungen:

http://s11.directupload.net/file/d/1714/3zn8ukia_jpg.htm (Zum vergrößern, auf das Bild klicken).

Alt 23.02.2009, 13:24   #8
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Ich krieg dieses Mistding einfach nicht weg.

Bei Malwarebytes wird immer noch dieser Eintrag angezeigt. Selbst wenn ich den per Hand aus der Registry lösche, ist er sofort beim nächsten Mal nachschauen wieder da.

Ich wollte es mit ComboFix probieren, das läuft nur leider nicht auf meinem OS (XP x64)..

Ich würde nur sehr ungerne mein System neu aufsetzen!
Gibt es noch Möglichkeiten?

Alt 23.02.2009, 13:55   #9
Chris4You
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi,

gebegimi.dll -> http://www.prevx.com/filenames/X178434978747558495-X1/GEBEGIMI2EDLL.html

Blindflug:
KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html
oder
http://www.wintotal.de/Software/index.php?id=4101

Options: Delete on Reboot --> anhaken
reinkopieren:
C:\windows\system32\gebegimi.dll
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "yes"

PC neustarten

RSIT:
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 23.02.2009, 14:38   #10
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi,

funktioniert leider beides nicht.
Bei KillBox:
Die Fehlermeldung "PendingFileRenameOperations Registry Data has been Removed by External Process!" erscheint, wenn der PC neugestartet werden soll.

Und bei RSIS erscheint beim Starten:

Autolt Error
__
Line -1:

Error: Error parsing function call.

Alt 23.02.2009, 14:46   #11
Chris4You
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi,

abgesicherter Modus mit Killbox ausprobieren;
Hah, sehe gerade Du hast Spybot am laufen, unbedingt vollständig abschalten (am Besten deinstallieren),
der verhinder solche Reg.-Aktionen ....


sonst Avenger (ebenfalls abgesicherter Modus):
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:



2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")


Code:
ATTFilter
Files to delete:
C:\windows\system32\gebegimi.dll
         

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.


4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Probieren wir Silentrunner:
Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen.
Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten.
http://www.silentrunners.org/Silent%20Runners.zip

Falls Silentrunner nicht läuft:
Falls das Script eine Fehlermeldung ausgibt:
- starte regedit.exe über Start => Ausführen (oder Windowstaste+R)
- navigiere zu HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
- stell sicher, dass dort die Zeichenfolge "Enabled" ist und den Wert 1 hat

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 23.02.2009, 14:54   #12
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi!

Spybot habe ich schon deinstalliert, wurde mir ja bereits zu geraten.

Avenger habe ich auch wie beschrieben runtergeladen, allerdings erscheint die Meldung, dass es auf meinem Betriebssystem nicht läuft (habe x64 XP).

Dafür lief SilentRunner. Hier das Logfile:

Code:
ATTFilter
"Silent Runners.vbs", revision 59, http://www.silentrunners.org/
Operating System: Windows Server 2003 (interpreted as Windows XP)
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"SUPERAntiSpyware" = "C:\Program Files (x86)\SUPERAntiSpyware\SUPERAntiSpyware.exe" ["SUPERAntiSpyware.com"]
"ctfmon.exe" = "C:\WINDOWS\system32\ctfmon.exe" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"RTHDCPL" = "RTHDCPL.EXE" ["Realtek Semiconductor Corp."]
"SkyTel" = "SkyTel.EXE" ["Realtek Semiconductor Corp."]
"SoundMan" = "SOUNDMAN.EXE" ["Realtek Semiconductor Corp."]
"AlcWzrd" = "ALCWZRD.EXE" ["RealTek Semicoductor Corp."]
"Alcmtr" = "ALCMTR.EXE" ["Realtek Semiconductor Corp."]
"NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup" [MS]
"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]
"NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "HyperTerminal Icon Ext"
  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{EFA24E62-B078-11d0-89E4-00C04FC9E26E}" = "History Band"
  -> {HKLM...CLSID} = "History Band"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\shdocvw.dll" [MS]
"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"
  -> {HKLM...CLSID} = "DesktopContext Class"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"
  -> {HKLM...CLSID} = "NVIDIA CPL Extension"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"
  -> {HKLM...CLSID} = "Desktop Explorer"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
  -> {HKLM...CLSID} = (no title provided)
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"
  -> {HKLM...CLSID} = "nView Desktop Context Menu"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{472083B0-C522-11CF-8763-00608CC02F24}" = "avast"
  -> {HKLM...CLSID} = "avast"
                   \InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShA64.dll" ["ALWIL Software"]
"{967B2D40-8B7D-4127-9049-61EA0C2C6DCE}" = "PowerISO"
  -> {HKLM...CLSID} = "PowerISO"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\PowerISO\PWRISOSH.DLL" ["PowerISO Computing, Inc."]
"{D25B2CAB-8A9A-4517-A9B2-CB5F68A5A802}" = "Adobe.Acrobat.ContextMenu"
  -> {HKLM...CLSID} = "Acrobat Elements Context Menu"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\..\Acrobat Elements\ContextMenu64.dll" ["Adobe Systems Inc."]

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
<<!>> "Notification Packages" = "scecli"|"C:\WINDOWS\system32\gubafubo.dll"|"C:\WINDOWS\SysWow64\zolatode.dll"

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\
<<!>> ("msapsspc.dll" [file not found], "msnsspc.dll" [file not found]) "SecurityProviders" = "msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
Adobe.Acrobat.ContextMenu\(Default) = "{D25B2CAB-8A9A-4517-A9B2-CB5F68A5A802}"
  -> {HKLM...CLSID} = "Acrobat Elements Context Menu"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\..\Acrobat Elements\ContextMenu64.dll" ["Adobe Systems Inc."]
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
  -> {HKLM...CLSID} = "avast"
                   \InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShA64.dll" ["ALWIL Software"]
PowerISO\(Default) = "{967B2D40-8B7D-4127-9049-61EA0C2C6DCE}"
  -> {HKLM...CLSID} = "PowerISO"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\PowerISO\PWRISOSH.DLL" ["PowerISO Computing, Inc."]
WinRAR\(Default) = "{B41DB860-64E4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\WinRAR\rarext64.dll" [null data]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
PowerISO\(Default) = "{967B2D40-8B7D-4127-9049-61EA0C2C6DCE}"
  -> {HKLM...CLSID} = "PowerISO"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\PowerISO\PWRISOSH.DLL" ["PowerISO Computing, Inc."]
WinRAR\(Default) = "{B41DB860-64E4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\WinRAR\rarext64.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
Adobe.Acrobat.ContextMenu\(Default) = "{D25B2CAB-8A9A-4517-A9B2-CB5F68A5A802}"
  -> {HKLM...CLSID} = "Acrobat Elements Context Menu"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\Adobe\Acrobat 8.0\Acrobat\..\Acrobat Elements\ContextMenu64.dll" ["Adobe Systems Inc."]
avast\(Default) = "{472083B0-C522-11CF-8763-00608CC02F24}"
  -> {HKLM...CLSID} = "avast"
                   \InProcServer32\(Default) = "C:\Program Files\Alwil Software\Avast4\ashShA64.dll" ["ALWIL Software"]
PowerISO\(Default) = "{967B2D40-8B7D-4127-9049-61EA0C2C6DCE}"
  -> {HKLM...CLSID} = "PowerISO"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\PowerISO\PWRISOSH.DLL" ["PowerISO Computing, Inc."]
WinRAR\(Default) = "{B41DB860-64E4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files (x86)\WinRAR\rarext64.dll" [null data]


Default executables:
--------------------

HKLM\SOFTWARE\Classes\.hta\(Default) = "htafile"
<<!>> HKLM\SOFTWARE\Classes\htafile\shell\open\command\(Default) = "C:\WINDOWS\SysWOW64\mshta.exe "%1" %*" [MS]


Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\

"NoActiveDesktop" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"ForceActiveDesktopOn" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

"NoActiveDesktopChanges" = (REG_DWORD) dword:0x00000000
{unrecognized setting}

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\

"DisableRegistryTools" = (REG_DWORD) dword:0x00000000
{User Configuration|Administrative Templates|System|
Prevent access to registry editing tools}

HKCU\Software\Policies\Microsoft\Windows\System\

"DisableCMD" = (REG_DWORD) dword:0x00000000
{User Configuration|Administrative Templates|System|
Disable the command prompt}

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\WINDOWS\web\wallpaper\Windows XP.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Desktop Hintergrund.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]


Windows Portable Device AutoPlay Handlers
-----------------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\Handlers\

MSPlayCDAudioOnArrival\
"Provider" = "@C:\WINDOWS\SysWOW64\wmploc.dll,-6502"
"InvokeProgID" = "WMP.AudioCD"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\WMP.AudioCD\shell\play\command\(Default) = ""C:\Program Files (x86)\Windows Media Player\wmplayer.exe" /prefetch:3 /device:AudioCD "%L"" [MS]

MSPlayDVDMovieOnArrival\
"Provider" = "@C:\WINDOWS\SysWOW64\wmploc.dll,-6502"
"InvokeProgID" = "WMP.DVD"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\WMP.DVD\shell\play\command\(Default) = ""C:\Program Files (x86)\Windows Media Player\wmplayer.exe" /prefetch:4 /device:DVD "%L"" [MS]

MSPlayMediaOnArrival\
"Provider" = "@C:\WINDOWS\SysWOW64\wmploc.dll,-6502"
"InvokeProgID" = "WMP.PlayMedia"
"InvokeVerb" = "play"
HKLM\SOFTWARE\Classes\WMP.PlayMedia\shell\play\DropTarget\CLSID = "{CE3FB1D1-02AE-4a5f-A6E9-D9F1B4073E6C}"
  -> {HKLM...CLSID} = "WMP Play As Playlist Launcher"
                   \InProcServer32\(Default) = "C:\WINDOWS\system32\wmpshell.dll" [MS]

MSRipCDAudioOnArrival\
"Provider" = "@C:\WINDOWS\SysWOW64\wmploc.dll,-6502"
"InvokeProgID" = "WMP.RipCD"
"InvokeVerb" = "Rip"
HKLM\SOFTWARE\Classes\WMP.RipCD\shell\Rip\Command\(Default) = ""C:\Program Files (x86)\Windows Media Player\wmplayer.exe" /prefetch:3 /RipAudioCD "%L"" [MS]

MSVideoCameraArrival\
"Provider" = "@C:\Program Files (x86)\Movie Maker\wmm2res.dll,-100"
"ProgID" = "Shell.HWEventHandlerShellExecute"
"InitCmdLine" = ""C:\Program Files (x86)\Movie Maker\moviemk.exe" /RECORD"
HKLM\SOFTWARE\Classes\Shell.HWEventHandlerShellExecute\CLSID\(Default) = "{FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}"
  -> {HKLM...CLSID} = "ShellExecute HW Event Handler"
                   \LocalServer32\(Default) = "C:\WINDOWS\system32\rundll32.exe shell32.dll,SHCreateLocalServerRunDll {FFB8655F-81B9-4fce-B89C-9A6BA76D13E7}" [MS]

MSWMDMHandler\
"Provider" = "@%SystemRoot%\SysWOW64\wmploc.dll,-6502"
"ProgID" = "WMP.Device"
HKLM\SOFTWARE\Classes\WMP.Device\CLSID\(Default) = "{94E03510-31B9-47a0-A44E-E932AC86BB17}"
  -> {HKLM...CLSID} = "Windows Media Player Device Autoplay"
                   \LocalServer32\(Default) = ""C:\Program Files (x86)\Windows Media Player\wmlaunch.exe"" [MS]

MSWMPBurnCDOnArrival\
"Provider" = "@C:\WINDOWS\SysWOW64\wmploc.dll,-6502"
"InvokeProgID" = "WMP.BurnCD"
"InvokeVerb" = "Burn"
HKLM\SOFTWARE\Classes\WMP.BurnCD\shell\Burn\Command\(Default) = ""C:\Program Files (x86)\Windows Media Player\wmplayer.exe" /prefetch:3 /Task:CDWrite /Device:"%L"" [MS]

PDVD8PlayCDAudioOnArrival\
"Provider" = "PowerDVD 8"
"InvokeProgID" = "AudioCD"
"InvokeVerb" = "PlayWithPowerDVD8"
HKLM\SOFTWARE\Classes\AudioCD\shell\PlayWithPowerDVD8\Command\(Default) = ""C:\Program Files (x86)\CyberLink\PowerDVD8\PowerDVD8.exe" "%L"" ["CyberLink Corp."]

PDVD8PlayDVDMovieOnArrival\
"Provider" = "PowerDVD 8"
"InvokeProgID" = "DVD"
"InvokeVerb" = "PlayWithPowerDVD8"
HKLM\SOFTWARE\Classes\DVD\shell\PlayWithPowerDVD8\Command\(Default) = ""C:\Program Files (x86)\CyberLink\PowerDVD8\PowerDVD8.exe"  "%L"" ["CyberLink Corp."]

PDVD8PlayVCDMovieOnArrival\
"Provider" = "PowerDVD 8"
"InvokeProgID" = "VCD"
"InvokeVerb" = "PlayWithPowerDVD8"
HKLM\SOFTWARE\Classes\VCD\shell\PlayWithPowerDVD8\Command\(Default) = ""C:\Program Files (x86)\CyberLink\PowerDVD8\PowerDVD8.exe"  "%L"" ["CyberLink Corp."]


Enabled Scheduled Tasks:
------------------------

"Ad-Aware Update (Weekly)" -> launches: "C:\Program Files (x86)\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe update all silent" [file not found]
"AppleSoftwareUpdate" -> launches: "C:\Program Files (x86)\Apple Software Update\SoftwareUpdate.exe -task" ["Apple Inc."]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000004\LibraryPath = "C:\Program Files (x86)\Bonjour\mdnsNSP.dll" ["Apple Computer, Inc."]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
00000000000#\PackedCatalogItem (contains) DLL [Company Name], (at) # range:
%SystemRoot%\system32\mswsock.dll [MS], 1 - 5


Toolbars, Explorer Bars, Extensions:
------------------------------------

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762##, Bonjour Service, ""C:\Program Files (x86)\Bonjour\mDNSResponder.exe"" ["Apple Computer, Inc."]
Application Experience Lookup Service, AeLookupSvc, "C:\WINDOWS\system32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\aelupsvc.dll" [MS]}
avast! Antivirus, avast! Antivirus, ""C:\Program Files\Alwil Software\Avast4\ashServ.exe"" ["ALWIL Software"]
avast! iAVS4 Control Service, aswUpdSv, ""C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe"" ["ALWIL Software"]
avast! Mail Scanner, avast! Mail Scanner, ""C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service" ["ALWIL Software"]
avast! Web Scanner, avast! Web Scanner, ""C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service" ["ALWIL Software"]
Java Quick Starter, JavaQuickStarterService, ""C:\Program Files (x86)\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files (x86)\Java\jre6\lib\deploy\jqs\jqs.conf"" ["Sun Microsystems, Inc."]
NVIDIA Display Driver Service, NVSvc, "C:\WINDOWS\system32\nvsvc64.exe" ["NVIDIA Corporation"]


Print Monitors:
---------------

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\
Adobe PDF\Driver = "C:\WINDOWS\system32\AdobePDF64.dll" ["Adobe Systems Incorporated."]


---------- (launch time: 2009-02-23 15:50:27)
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
  launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
  DLL launch points, use the -supp parameter or answer "No" at the
  first message box and "Yes" at the second message box.
---------- (total run time: 29 seconds, including 15 seconds for message boxes)
         
Ich hoffe, es ist alles korrekt soweit!

Alt 23.02.2009, 15:43   #13
Chris4You
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi,

Silentrunner hat ihn gefunden, muss mich mal schlau machen wie wir ihn da raus bekommen:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
<<!>> "Notification Packages" = "scecli"|"C:\WINDOWS\system32\gubafubo.dll"|"C:\WINDOWS\SysWow64\zolatode.dll"

Schade das weder Combofix noch Avenger läuft...
Bitte in den abgesicherten Modus booten, ohne Netzwerkunterstützung.
Folgenden Text als LSA.reg vorher auf dem Desktop speichern.
Code:
ATTFilter
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"Notification Packages"=hex(7):73,00,63,00,65,00,63,00,6c,00,69,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet001\Control\Lsa]
"Notification Packages"=hex(7):73,00,63,00,65,00,63,00,6c,00,69,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet002\Control\Lsa]
"Notification Packages"=hex(7):73,00,63,00,65,00,63,00,6c,00,69,00,00,00,00,00
         
Doppel anklicken und einer Zusammenführung zustimmen (Oh, ich liebe Operationen am offenen Herzen)...

Danach sollte im Regeditor unter dem angegebenen Schlüssel das hier stehen:
"Notification Packages" = "scecli"

chris
Ps.: Bitte beim kopieren acht geben, das wird in die Reg. eingetragen, und die wollen wir doch nicht
zerschießen....
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Geändert von Chris4You (23.02.2009 um 15:52 Uhr)

Alt 23.02.2009, 15:58   #14
matrix-
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hab ich gemacht.
Steht auch alles so da, wie du es beschrieben hast!

Alt 23.02.2009, 16:04   #15
Chris4You
 
Bitte Hilfe - Ich habe keine Ahnung! - Standard

Bitte Hilfe - Ich habe keine Ahnung!



Hi,

okay, versuche jetzt die Datei zu löschen bzw. MAM updaten und nochmal laufen lassen...

Kommen noch Fehlermeldungen?

chris
(bin jetzt auf dem Weg nachhause (ja, es gibt tatsächlich welche die heute und morgen arbeiten dürfen (solange es noch welche gibt... ( ))
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Antwort

Themen zu Bitte Hilfe - Ich habe keine Ahnung!
.dll dateien, ad-watch, adobe, antivirus, avast!, bho, bonjour, browser, c:\windows\system32\services.exe, computer, desktop, firefox, google, google update, gupdate, helper, hijack, hijack.displayproperties, hijackthis, hijackthis log, hkus\s-1-5-18, internet, internet explorer, malware.trace, mozilla, notification, performance, policyagent, popup, registrierungsschlüssel, rundll, security, services.exe, software, stick, system, syswow64, windows



Ähnliche Themen: Bitte Hilfe - Ich habe keine Ahnung!


  1. Ich, (weiblich .und habe eigentlich keine Ahnung ;) habe mir Keylogger und änliches eingefangen
    Plagegeister aller Art und deren Bekämpfung - 01.03.2013 (3)
  2. bitte mein logfile auswerten, danke ! habe keine ahnung :-(
    Log-Analyse und Auswertung - 12.09.2009 (4)
  3. Virus bitte hilfe hab keine ahnung
    Plagegeister aller Art und deren Bekämpfung - 05.09.2009 (2)
  4. Hab HJT log aber keine ahnung! hilfe bitte!
    Mülltonne - 14.11.2008 (1)
  5. keine Ahnung bitte um Hilfe!!!!
    Plagegeister aller Art und deren Bekämpfung - 12.06.2008 (4)
  6. bei Internet start hoher Datentransfer, aber keine Ahnung!? Bitte um Hilfe!
    Log-Analyse und Auswertung - 04.12.2007 (0)
  7. Bitte Helfen;habe Keine Ahnung!!!
    Plagegeister aller Art und deren Bekämpfung - 13.12.2006 (11)
  8. Bitte um Hilfe! drwatsn32.exe aber keine ahnung wie der weg geht
    Plagegeister aller Art und deren Bekämpfung - 15.11.2006 (6)
  9. LogFile: Vermute "Bösewichte" habe aber leider keine Ahnung,..bitte um Überprüfung
    Log-Analyse und Auswertung - 07.09.2006 (3)
  10. Hilfe!Habe Trojaner! Hab keine Ahnung wie zu löschen
    Log-Analyse und Auswertung - 29.08.2006 (6)
  11. Ich brauch dringend Hilfe, habe allerdings keine Ahnung von Computern...
    Log-Analyse und Auswertung - 20.08.2006 (2)
  12. Habe keine Ahnung was los ist Hilfe bitte
    Log-Analyse und Auswertung - 11.10.2005 (6)
  13. Einmal bitte durchgucken.Habe leider keine Ahnung
    Log-Analyse und Auswertung - 16.08.2005 (2)
  14. Keine Ahnung was es ist, aber ich bekomme es nicht weg. Bitte um Hilfe
    Plagegeister aller Art und deren Bekämpfung - 07.07.2005 (5)
  15. habe keine ahnung mehr - könnte sich bitte jemand mein log-file anschauen
    Log-Analyse und Auswertung - 28.02.2005 (8)
  16. Habe keine Ahnung von Viren, o.ä. und habe ein Problem mit about:blank als Startseite
    Plagegeister aller Art und deren Bekämpfung - 01.02.2005 (8)
  17. Logfile, habe keine Ahnung..
    Log-Analyse und Auswertung - 07.08.2004 (2)

Zum Thema Bitte Hilfe - Ich habe keine Ahnung! - Hallo! Ich bitte um Hilfe. Bin ein unerfahrener User. Und zwar habe ich mir gestern irgendetwas eingefangen - ich kann es leider nicht benennen. Jedenfalls ist mein Internet etwas langsamer - Bitte Hilfe - Ich habe keine Ahnung!...
Archiv
Du betrachtest: Bitte Hilfe - Ich habe keine Ahnung! auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.