Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: html/rce.gen

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 14.03.2009, 14:55   #1
dethard
 
html/rce.gen - Standard

html/rce.gen



habe heute Antivir durchscannen lassen und dabei diesen Fehler gefunden. Habe schon im Forum geschaut, und auch die Schritte wie bei http://www.trojaner-board.de/58909-scriptvirus-html-rce-gen.html
befolgt. Ich bin nun bei Post#4, allerdings weicht es bei mir ein wenig ab. Habe alle Logfiles gespeichert und werde sie hier posten:

Antivir:
--


Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 14. März 2009 13:58

Es wird nach 1297221 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: SYSTEM
Computername: FNORD

Versionsinformationen:
BUILD.DAT : 8.2.0.337 16934 Bytes 18.11.2008 13:01:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 18.11.2008 08:21:23
AVSCAN.DLL : 8.1.4.0 48897 Bytes 09.05.2008 11:27:06
LUKE.DLL : 8.1.4.5 164097 Bytes 12.06.2008 12:44:16
LUKERES.DLL : 8.1.4.0 12545 Bytes 09.05.2008 11:40:42
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 12:57:35
ANTIVIR2.VDF : 7.1.2.152 749568 Bytes 11.03.2009 12:57:36
ANTIVIR3.VDF : 7.1.2.171 61952 Bytes 13.03.2009 12:57:37
Engineversion : 8.2.0.114
AEVDF.DLL : 8.1.1.0 106868 Bytes 14.03.2009 12:57:42
AESCRIPT.DLL : 8.1.1.63 364923 Bytes 14.03.2009 12:57:41
AESCN.DLL : 8.1.1.8 127346 Bytes 14.03.2009 12:57:40
AERDL.DLL : 8.1.1.3 438645 Bytes 04.11.2008 13:58:38
AEPACK.DLL : 8.1.3.10 397686 Bytes 14.03.2009 12:57:40
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 14.03.2009 12:57:39
AEHEUR.DLL : 8.1.0.104 1634679 Bytes 14.03.2009 12:57:39
AEHELP.DLL : 8.1.2.2 119158 Bytes 14.03.2009 12:57:38
AEGEN.DLL : 8.1.1.28 336244 Bytes 14.03.2009 12:57:38
AEEMU.DLL : 8.1.0.9 393588 Bytes 14.10.2008 10:05:56
AECORE.DLL : 8.1.6.6 176501 Bytes 14.03.2009 12:57:37
AEBB.DLL : 8.1.0.3 53618 Bytes 14.10.2008 10:05:56
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09.07.2008 08:40:02
AVPREF.DLL : 8.0.2.0 38657 Bytes 16.05.2008 09:27:58
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 12:02:15
AVREG.DLL : 8.0.0.1 33537 Bytes 09.05.2008 11:26:37
AVARKT.DLL : 1.0.0.23 307457 Bytes 12.02.2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12.06.2008 12:27:46
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22.01.2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12.06.2008 12:49:36
NETNT.DLL : 8.0.0.1 7937 Bytes 25.01.2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 12.06.2008 13:45:01
RCTEXT.DLL : 8.0.52.0 86273 Bytes 27.06.2008 13:32:05

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Samstag, 14. März 2009 13:58

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ICQ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WZQKPICK.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MacExp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wscript.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VCDDaemon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '32' Prozesse mit '32' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '51' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\X.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a31aa25.qua' verschoben!
C:\Dokumente und Einstellungen\admiral\Anwendungsdaten\Ubisoft\Assassin's Creed\Saved Games\AC_Savegame_Tool.exe
[FUND] Ist das Trojanische Pferd TR/Agent.166892.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1aaa46.qua' verschoben!
C:\Dokumente und Einstellungen\admiral\Desktop\Savegame\AC_Savegame_Tool.exe
[FUND] Ist das Trojanische Pferd TR/Agent.166892.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1aaa99.qua' verschoben!
C:\Dokumente und Einstellungen\admiral\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WQS02EIP\swflash[1].cab
[0] Archivtyp: CAB (Microsoft)
--> FP_AX_CAB_INSTALLER.exe
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
C:\downloads\AC_Savegame.rar
[0] Archivtyp: RAR
--> Savegame\AC_Savegame_Tool.exe
[FUND] Ist das Trojanische Pferd TR/Agent.166892.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1aab0f.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP141\A0007011.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacaa.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP141\A0007012.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacad.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP141\A0007014.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacb1.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP141\A0007018.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacb6.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP141\A0007019.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacbc.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP142\A0007066.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacc4.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP142\A0007067.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacc8.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP142\A0007069.vbs
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Silly.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebaccb.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP142\A0007070.exe
[FUND] Ist das Trojanische Pferd TR/Agent.166892.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacce.qua' verschoben!
C:\System Volume Information\_restore{312B9FA3-0330-47F4-BD46-F7001C2CAEFD}\RP142\A0007071.exe
[FUND] Ist das Trojanische Pferd TR/Agent.166892.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49ebacd1.qua' verschoben!


Ende des Suchlaufs: Samstag, 14. März 2009 14:17
Benötigte Zeit: 18:55 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

2852 Verzeichnisse wurden überprüft
180636 Dateien wurden geprüft
14 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
14 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
180621 Dateien ohne Befall
1841 Archive wurden durchsucht
2 Warnungen
14 Hinweise


Avenger:
--
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: file "C:\WINDOWS\system32\FNORD.vbs" not found!
Deletion of file "C:\WINDOWS\system32\FNORD.vbs" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\FNORD.vbs" not found!
Deletion of file "C:\FNORD.vbs" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

||--||--|| Hier weicht es etwas ab, da ich nur eine Partition habe. Ausserdem sagt der Log, dass das File nicht gelöscht werden konnte.

Der Rapidshare link zu der Zip:
-- http://rapidshare.com/files/209147427/avz_sysinfo.zip.html --

Nun bin ich beim Schritt, wo ich Virustotal ausführen soll, allerdings bin ich mir nicht sicher, wie ich das handhaben soll. Wäre über eine Antwort froh.
Vielen Dank schon im Vorraus

Dethard

Alt 14.03.2009, 16:56   #2
dethard
 
html/rce.gen - Standard

html/rce.gen



habe noch keine lösung gefunden, stecke sozusagen fest.
Wenn dieser Beitrag nicht hier hingehört bitte ich dies zu verzeihen und den Thread zu verschieben. Danke schonmal im Vorraus.
Ich weiß nichtmal was dieser Scriptfehler bewirkt.
Auf jeden Fall kann ich auf C: nicht mehr per doppelklick zugreifen:
--- Fenster Anfang ---
"Windows Script Host" -Menüleiste
Rotes Kreuz
"Die Skriptdatei "C:\FNORD.vbs" wurde nicht gefunden"
OK -Eingabefeld
--- Fenster Ende ---
Hoffe jemand kann mir helfen, oder zumindest sagen was der scripterror bewirkt / wo ich mir den eingefangen habe.
Bei Google wurde dieser Fehler öfters als ".../HTML/Silly.gen" bezeichnet.
Bitte um Rat.
Danke

Dethard
__________________


Alt 15.03.2009, 14:34   #3
dethard
 
html/rce.gen - Standard

html/rce.gen



bitte um hilfe

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:39:32, on 15.03.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQ6.5\ICQ.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://de.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by FNORD
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

--
End of file - 4168 bytes
__________________

Geändert von dethard (15.03.2009 um 14:40 Uhr)

Alt 15.03.2009, 15:21   #4
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



Hallo dethard,

erstmal eine Frage: kann es sein, dass FNORD Dein Computername ist? Lustig

- gehe bitte unter Start -> Ausführen -> gebe "regedit" ein (ohne "") -> ok
- gehe dann unter Bearbeiten auf Suchen und gebe "fnord.vbs" (ohne "") ein.
- wenn ein Registrierungsschlüssel gefunden wird, dann klicke bitte im linken Fenster auf den "Ordner" mit der rechten Maustaste und wähle exportieren. Speichere den Schlüssel (z.B. auf Deinem Desktop) -> Namen für die Datei eingeben
- klicke bitte nun im rechten Fenster auf die "Datei" mit der rechten Maustaste und wähle löschen
- drücke danach F3 - damit suchst Du weitere Einträge. Sollten weitere Einträge gefunden werden, dann gehe bitte wie oben vor (speichern unter anderem Dateinamen)
- starte den Computer neu
- wenn das Problem gelöst ist, dann bitte die exportierten Registrierungsschlüssel in Notepad öffnen und den Inhalt hier posten (Klick mit rechter Maustaste auf Datei -> Öffnen -> Programm auswählen -> Editor (Notepad) auswählen. Nicht auf die Datei einfach doppelklicken!!!, sonst hast Du die Einträge wieder in der Registry).

Grüße
a5cl3p1o5
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 15:27   #5
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



Zitat:
Hoffe jemand kann mir helfen, oder zumindest sagen was der scripterror bewirkt / wo ich mir den eingefangen habe.
Du solltest dringend das Service Pack 3 für Windows XP aufspielen und danach alle weiteren Updates!
Aktiviere bitte die automatischen Updates, damit Du in Zukunft up-to-date bist.

Grüße
a5cl3p1o5

__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 15:53   #6
dethard
 
html/rce.gen - Standard

html/rce.gen



2 einträge in regedit als fnord.vbs
habe beide einträge auf dem desktop wie beschrieben exportiert. nach einem neustart nicht geöffnet, sondern mit editor eingelesen.

erste datei inhalt:
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}\Shell\AutoRun\command]
@="C:\\WINDOWS\\system32\\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe FNORD.vbs"

zweite datei inhalt:
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d0874918-fd3c-11dd-af8f-001fd05ac977}\Shell\AutoRun\command]
@="C:\\WINDOWS\\system32\\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe FNORD.vbs"

---
vielen dank für die hilfe schonmal. meine Hdd lässt sich weiterhin nicht per Doppelklick öffnen. Da mit geraten wurde Servicepack 3 schnell zu installieren + updates, stelle ich mir die frage ob die avir und hjt logs überhaupt hilfreich sind. sollte ich service pack 3 evtl erst installieren, updates ebenso, dann alles nochmal scannen und inhalte neu posten? ich befürchte es..
Hab dank
mfG
Dethard

Alt 15.03.2009, 16:07   #7
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



kannst Du bitte im Registrierungs-Editor in folgenden Pfad gehen:
Code:
ATTFilter
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2
         
und diesen wie vorhin exportieren und hier posten. NICHT LÖSCHEN.

Du brauchst von Avira und HijackThis keine neuen Logfiles erstellen.

Grüße
a5cl3p1o5
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 16:49   #8
dethard
 
html/rce.gen - Standard

html/rce.gen



wie ihr wünscht:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\A]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\D]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,01,00,01,01,ee,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,00,00,20,00,00,00,09,\
00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\F]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3fba7fc3-fec1-11dd-af91-001fd05ac977}]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,df,5f,5f,5f,5f,df,df,5f,5f,\
df,df,df,5f,5f,df,df,df,5f,5f,df,5f,5f,5f,5f,5f,cf,5f,5f,5f,5f,cf,5f,5f,5f,\
01,00,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,00,00,00,10,00,00,09,\
00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3fba7fc3-fec1-11dd-af91-001fd05ac977}\shell]
@="None"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3fba7fc3-fec1-11dd-af91-001fd05ac977}\shell\Autoplay]
"MUIVerb"="@shell32.dll,-8504"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3fba7fc3-fec1-11dd-af91-001fd05ac977}\shell\Autoplay\DropTarget]
"CLSID"="{f26a669a-bcbb-4e37-abf9-7325da15f931}"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e0538-f311-11dd-aed5-806d6172696f}]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e0539-f311-11dd-aed5-806d6172696f}]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,01,00,01,01,ee,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,00,00,e0,00,00,00,09,\
00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}]
"BaseClass"="Drive"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}\Shell]
@="AutoRun"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}\Shell\AutoRun]
@="Auto&Play"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}\Shell\AutoRun\command]
@="C:\\WINDOWS\\system32\\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe FNORD.vbs"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{67aee102-f3a1-11dd-af83-956d14735df4}]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,df,5f,5f,5f,5f,df,df,5f,5f,\
df,df,df,5f,5f,df,df,df,5f,5f,df,5f,5f,5f,5f,5f,cf,5f,5f,5f,5f,cf,5f,5f,5f,\
01,01,00,5f,01,5f,01,01,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,00,00,00,10,00,00,09,\
00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6a2f2bb2-0efb-11de-afa8-001fd05ac977}]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,01,00,01,01,ee,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,\
ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,\
ff,ff,00,20,00,00,00,09,00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6a2f2bb2-0efb-11de-afa8-001fd05ac977}\_Autorun]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6a2f2bb2-0efb-11de-afa8-001fd05ac977}\_Autorun\DefaultIcon]
@="F:\\autorun.ico"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d0874918-fd3c-11dd-af8f-001fd05ac977}]
"BaseClass"="Drive"
"_AutorunStatus"=hex:01,00,01,00,00,01,00,df,df,5f,df,5f,5f,5f,5f,df,df,5f,5f,\
5f,df,df,df,5f,5f,5f,df,df,df,5f,5f,df,5f,5f,5f,5f,5f,cf,5f,5f,5f,5f,5f,00,\
01,00,01,01,ee,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,\
ff,ff,00,01,00,00,00,09,00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d0874918-fd3c-11dd-af8f-001fd05ac977}\Shell]
@="AutoRun"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d0874918-fd3c-11dd-af8f-001fd05ac977}\Shell\AutoRun]
@="Auto&Play"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d0874918-fd3c-11dd-af8f-001fd05ac977}\Shell\AutoRun\command]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\{495e0538-f311-11dd-aed5-806d6172696f}]
"Data"=hex:00,00,00,00,5c,00,5c,00,3f,00,5c,00,46,00,44,00,43,00,23,00,47,00,\
45,00,4e,00,45,00,52,00,49,00,43,00,5f,00,46,00,4c,00,4f,00,50,00,50,00,59,\
00,5f,00,44,00,52,00,49,00,56,00,45,00,23,00,35,00,26,00,31,00,38,00,35,00,\
31,00,31,00,34,00,30,00,32,00,26,00,30,00,26,00,30,00,23,00,7b,00,35,00,33,\
00,66,00,35,00,36,00,33,00,30,00,64,00,2d,00,62,00,36,00,62,00,66,00,2d,00,\
31,00,31,00,64,00,30,00,2d,00,39,00,34,00,66,00,32,00,2d,00,30,00,30,00,61,\
00,30,00,63,00,39,00,31,00,65,00,66,00,62,00,38,00,62,00,7d,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,5c,00,5c,00,3f,00,5c,00,56,00,6f,00,6c,00,75,00,6d,00,\
65,00,7b,00,34,00,39,00,35,00,65,00,30,00,35,00,33,00,38,00,2d,00,66,00,33,\
00,31,00,31,00,2d,00,31,00,31,00,64,00,64,00,2d,00,61,00,65,00,64,00,35,00,\
2d,00,38,00,30,00,36,00,64,00,36,00,31,00,37,00,32,00,36,00,39,00,36,00,66,\
00,7d,00,5c,00,00,00,49,00,6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,49,00,\
6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,01,10,00,\
00,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,00,00,00,00,\
00,00,00,00,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,\
00
"Generation"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\{495e0539-f311-11dd-aed5-806d6172696f}]
"Data"=hex:00,00,00,00,5c,00,5c,00,3f,00,5c,00,49,00,44,00,45,00,23,00,43,00,\
64,00,52,00,6f,00,6d,00,54,00,53,00,53,00,54,00,63,00,6f,00,72,00,70,00,5f,\
00,43,00,44,00,44,00,56,00,44,00,57,00,5f,00,53,00,48,00,2d,00,53,00,32,00,\
30,00,32,00,4e,00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,\
00,5f,00,5f,00,5f,00,5f,00,5f,00,5f,00,53,00,42,00,30,00,31,00,5f,00,5f,00,\
5f,00,5f,00,23,00,35,00,26,00,66,00,32,00,65,00,33,00,65,00,62,00,37,00,26,\
00,30,00,26,00,30,00,2e,00,30,00,2e,00,30,00,23,00,7b,00,35,00,33,00,66,00,\
35,00,36,00,33,00,30,00,64,00,2d,00,62,00,36,00,62,00,66,00,2d,00,31,00,31,\
00,64,00,30,00,2d,00,39,00,34,00,66,00,32,00,2d,00,30,00,30,00,61,00,30,00,\
63,00,39,00,31,00,65,00,66,00,62,00,38,00,62,00,7d,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,5c,00,5c,00,3f,00,5c,00,56,00,6f,00,6c,00,75,00,6d,00,\
65,00,7b,00,34,00,39,00,35,00,65,00,30,00,35,00,33,00,39,00,2d,00,66,00,33,\
00,31,00,31,00,2d,00,31,00,31,00,64,00,64,00,2d,00,61,00,65,00,64,00,35,00,\
2d,00,38,00,30,00,36,00,64,00,36,00,31,00,37,00,32,00,36,00,39,00,36,00,66,\
00,7d,00,5c,00,00,00,49,00,6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,49,00,\
6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,10,00,00,00,ff,01,00,\
00,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,00,00,00,00,\
00,00,00,00,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,\
00
"Generation"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\{495e053b-f311-11dd-aed5-806d6172696f}]
"Data"=hex:00,00,00,00,5c,00,5c,00,3f,00,5c,00,53,00,54,00,4f,00,52,00,41,00,\
47,00,45,00,23,00,56,00,6f,00,6c,00,75,00,6d,00,65,00,23,00,31,00,26,00,33,\
00,30,00,61,00,39,00,36,00,35,00,39,00,38,00,26,00,30,00,26,00,53,00,69,00,\
67,00,6e,00,61,00,74,00,75,00,72,00,65,00,34,00,36,00,30,00,33,00,34,00,36,\
00,30,00,32,00,4f,00,66,00,66,00,73,00,65,00,74,00,37,00,45,00,30,00,30,00,\
4c,00,65,00,6e,00,67,00,74,00,68,00,32,00,35,00,34,00,32,00,39,00,37,00,38,\
00,32,00,30,00,30,00,23,00,7b,00,35,00,33,00,66,00,35,00,36,00,33,00,30,00,\
64,00,2d,00,62,00,36,00,62,00,66,00,2d,00,31,00,31,00,64,00,30,00,2d,00,39,\
00,34,00,66,00,32,00,2d,00,30,00,30,00,61,00,30,00,63,00,39,00,31,00,65,00,\
66,00,62,00,38,00,62,00,7d,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,5c,00,5c,00,3f,00,5c,00,56,00,6f,00,6c,00,75,00,6d,00,\
65,00,7b,00,34,00,39,00,35,00,65,00,30,00,35,00,33,00,62,00,2d,00,66,00,33,\
00,31,00,31,00,2d,00,31,00,31,00,64,00,64,00,2d,00,61,00,65,00,64,00,35,00,\
2d,00,38,00,30,00,36,00,64,00,36,00,31,00,37,00,32,00,36,00,39,00,36,00,66,\
00,7d,00,5c,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,4e,00,\
54,00,46,00,53,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,08,00,00,00,01,10,00,\
00,ff,00,05,00,ff,00,00,00,36,00,00,00,60,66,47,7c,00,00,00,00,00,00,00,30,\
00,60,00,00,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,\
00
"Generation"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume\{6a2f2bb2-0efb-11de-afa8-001fd05ac977}]
"Data"=hex:00,00,00,00,5c,00,5c,00,3f,00,5c,00,53,00,43,00,53,00,49,00,23,00,\
43,00,64,00,52,00,6f,00,6d,00,26,00,56,00,65,00,6e,00,5f,00,45,00,4c,00,42,\
00,59,00,26,00,50,00,72,00,6f,00,64,00,5f,00,43,00,4c,00,4f,00,4e,00,45,00,\
44,00,52,00,49,00,56,00,45,00,26,00,52,00,65,00,76,00,5f,00,31,00,2e,00,34,\
00,23,00,31,00,26,00,32,00,61,00,66,00,64,00,37,00,64,00,36,00,31,00,26,00,\
30,00,26,00,30,00,30,00,30,00,23,00,7b,00,35,00,33,00,66,00,35,00,36,00,33,\
00,30,00,64,00,2d,00,62,00,36,00,62,00,66,00,2d,00,31,00,31,00,64,00,30,00,\
2d,00,39,00,34,00,66,00,32,00,2d,00,30,00,30,00,61,00,30,00,63,00,39,00,31,\
00,65,00,66,00,62,00,38,00,62,00,7d,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,5c,00,5c,00,3f,00,5c,00,56,00,6f,00,6c,00,75,00,6d,00,\
65,00,7b,00,36,00,61,00,32,00,66,00,32,00,62,00,62,00,32,00,2d,00,30,00,65,\
00,66,00,62,00,2d,00,31,00,31,00,64,00,65,00,2d,00,61,00,66,00,61,00,38,00,\
2d,00,30,00,30,00,31,00,66,00,64,00,30,00,35,00,61,00,63,00,39,00,37,00,37,\
00,7d,00,5c,00,00,00,49,00,6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,49,00,\
6e,00,76,00,61,00,6c,00,69,00,64,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,00,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,10,00,00,00,13,00,00,\
00,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,bd,ad,db,ba,00,00,00,00,\
00,00,00,00,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,00,\
00
"Generation"=dword:00000001

--
Mfg
Dethard

Alt 15.03.2009, 17:13   #9
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



Zitat:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{495e053b-f311-11dd-aed5-806d6172696f}\Shell\AutoRun\command]
@="C:\\WINDOWS\\system32\\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe FNORD.vbs"
Du meinstest doch, alle FNORD.vbs gelöscht zu haben - schäm Dich

Entweder Du hast den Eintrag nicht gelöscht, oder er hat sich neu generiert, d.h. die Malware ist noch aktiv

die angehängte Datei bitte speichern und ausführen.

Alles wieder in Ordnung?

Grüße
a5cl3p1o5
Angehängte Dateien
Dateityp: reg fix.reg (489 Bytes, 307x aufgerufen)
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 17:37   #10
dethard
 
html/rce.gen - Standard

html/rce.gen



habe die angehängte datei gespeichert und ausgeführt. Registry Eintrag wurde übernommen.
Leider kann ich immernoch nicht meine HDD per doppelklick öffnen. FNORD.vbs wurde nicht gefunden.
hm.. irgendwas hab ich wohl falsch gemacht

mfG
Dethard

//edit: habe versucht auf C: per doppelklick zuzugreifen. Nach einem Neustart.
Frage zu regedit. Die fnord.vbs wurde in Unterordnern von Mountpoints2 gefunden. Habe dann den Unterordner exportiert, auf dem desktop gespeichert (umbenannt). danach im rechten fenster von regedit im unterordner den key gelöscht. das ganze 2 mal, bis keine fnord.vbs mehr gefunden wurde. War das falsch?

Avirscan nochmal durchlaufen lassen, hier ein frischer report. Das Programm hat den Icq-Statuschecker, den ich von chip.de geladen habe als bösartig erkannt. hier der report:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 15. März 2009 13:24

Es wird nach 1297221 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Boot Modus: Abgesicherter Modus
Benutzername: Administrator
Computername: FNORD

Versionsinformationen:
BUILD.DAT : 8.2.0.337 16934 Bytes 18.11.2008 13:01:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 18.11.2008 08:21:23
AVSCAN.DLL : 8.1.4.0 48897 Bytes 09.05.2008 11:27:06
LUKE.DLL : 8.1.4.5 164097 Bytes 12.06.2008 12:44:16
LUKERES.DLL : 8.1.4.0 12545 Bytes 09.05.2008 11:40:42
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 12:57:35
ANTIVIR2.VDF : 7.1.2.152 749568 Bytes 11.03.2009 12:57:36
ANTIVIR3.VDF : 7.1.2.171 61952 Bytes 13.03.2009 12:57:37
Engineversion : 8.2.0.114
AEVDF.DLL : 8.1.1.0 106868 Bytes 14.03.2009 12:57:42
AESCRIPT.DLL : 8.1.1.63 364923 Bytes 14.03.2009 12:57:41
AESCN.DLL : 8.1.1.8 127346 Bytes 14.03.2009 12:57:40
AERDL.DLL : 8.1.1.3 438645 Bytes 04.11.2008 13:58:38
AEPACK.DLL : 8.1.3.10 397686 Bytes 14.03.2009 12:57:40
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 14.03.2009 12:57:39
AEHEUR.DLL : 8.1.0.104 1634679 Bytes 14.03.2009 12:57:39
AEHELP.DLL : 8.1.2.2 119158 Bytes 14.03.2009 12:57:38
AEGEN.DLL : 8.1.1.28 336244 Bytes 14.03.2009 12:57:38
AEEMU.DLL : 8.1.0.9 393588 Bytes 14.10.2008 10:05:56
AECORE.DLL : 8.1.6.6 176501 Bytes 14.03.2009 12:57:37
AEBB.DLL : 8.1.0.3 53618 Bytes 14.10.2008 10:05:56
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09.07.2008 08:40:02
AVPREF.DLL : 8.0.2.0 38657 Bytes 16.05.2008 09:27:58
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 12:02:15
AVREG.DLL : 8.0.0.1 33537 Bytes 09.05.2008 11:26:37
AVARKT.DLL : 1.0.0.23 307457 Bytes 12.02.2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12.06.2008 12:27:46
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22.01.2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12.06.2008 12:49:36
NETNT.DLL : 8.0.0.1 7937 Bytes 25.01.2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 12.06.2008 13:45:01
RCTEXT.DLL : 8.0.52.0 86273 Bytes 27.06.2008 13:32:05

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: C:\Programme\Avira\AntiVir PersonalEdition Classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Sonntag, 15. März 2009 13:24

Der Suchlauf nach versteckten Objekten wird begonnen.
Der Treiber konnte nicht initialisiert werden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '11' Prozesse mit '11' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '46' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\admiral\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\ICQ Status Checker.exe
[FUND] Enthält Erkennungsmuster des SPR/IcqPass.Q-Programmes
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a0df3bd.qua' verschoben!
C:\Dokumente und Einstellungen\admiral\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für icq_status_checker16.zip\ICQ Status Checker.exe
[FUND] Enthält Erkennungsmuster des SPR/IcqPass.Q-Programmes
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a0df420.qua' verschoben!
C:\downloads\icq_status_checker16.zip
[0] Archivtyp: ZIP
--> ICQ Status Checker.exe
[FUND] Enthält Erkennungsmuster des SPR/IcqPass.Q-Programmes
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2df47f.qua' verschoben!


Ende des Suchlaufs: Sonntag, 15. März 2009 13:37
Benötigte Zeit: 12:53 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

2270 Verzeichnisse wurden überprüft
151854 Dateien wurden geprüft
3 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
3 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
151850 Dateien ohne Befall
1720 Archive wurden durchsucht
1 Warnungen
3 Hinweise

mfg
und Dank für die Mühe
Dethard

Geändert von dethard (15.03.2009 um 17:45 Uhr)

Alt 15.03.2009, 17:54   #11
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



ich bin davon ausgegangen, dass Dein PC nach den Funden sauber ist und wir nur noch in der Registry Änderungen vornehmen mussen - Irrtum!

Nun daher für Dich das volle Programm (immer nur ein Antivirenprogramm laufen lassen und Logfiles posten):

Bitte befolge folgende Anleitung:

Ausschnitt:
Zitat:
a) Anleitung -> CCleaner

b) Anleitung -> Malwarebytes-Anti-Malware
(Wenn das Programm schon ausgeführt wurde, bitte den Report kopieren und uns zeigen, steht alles in der Anleitung!)

c) Anleitung -> Anleitung: HijackThis

d) Liste installierter Software -> Um zu erfahren, was sich auf deinem System alles für Programme verbergen gehe bitte wie folgt vor.

* Starte nochmals "HijackThis"
* Klick "open the Misc Tools section"
* Klick "Open Uninstall Manager"
* Klick "Save List" (jetzt wird eine uninstall_list.txt im Ordner HijackThis angelegt.)
* Diese Datei öffnest du, und kopiertst ihren Inhalt hier in deinem Thread.

Hinweis! Um dieses Ausführen zu können, muß HijackThis in einen eigenem Verzeichnis gestartet werden. Am besten: c:\Programme\HijackThis
Anschließend bitte noch SUPERAntiSpyware laufen lassen.

Grüße
a5cl3p1o5
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 17:58   #12
dethard
 
html/rce.gen - Standard

html/rce.gen



nur um missverständnisse zu vermeiden.
vorher win-SP3 installieren, odeR?
mfG

Alt 15.03.2009, 18:11   #13
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



nein, mach das erst am schluss
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Alt 15.03.2009, 18:20   #14
dethard
 
html/rce.gen - Standard

html/rce.gen



oh no.. jetzt hab ichs schon am installieren. und kann nicht abbrechen weil der button nicht interaktiv ist. Pc ausschalten?

//edit:
Nutze Standartmaeszig Firefox als Browser. Habe gerade mal einen Link geöffnet aus dem Startmenü (Windows-Update) und dieser Link wurde automatisch mit IExplorer geöffnet. Komischerweise steht in der Menüleiste (der blaue Balken oben am Fenster): "Blub bla Name der Seite - Hacked by FNORD"

mfG

Geändert von dethard (15.03.2009 um 18:29 Uhr)

Alt 15.03.2009, 18:40   #15
a5cl3p1o5
 
html/rce.gen - Standard

html/rce.gen



ok, da Du das Update schon begonnen hast, nun so:

1.) alle Updates aufspielen
2.) Liste abarbeiten und posten

Zitat:
Habe gerade mal einen Link geöffnet aus dem Startmenü (Windows-Update) und dieser Link wurde automatisch mit IExplorer geöffnet
das ist normal - das Update funktioniert nur über den IE

Zitat:
"Blub bla Name der Seite - Hacked by FNORD"
tja, da wäre eine Antwort auf meine Frage vohin nett gewesen
Zitat:
erstmal eine Frage: kann es sein, dass FNORD Dein Computername ist? Lustig
__________________
a5cl3p1o5, ehemals 45cl3p1u5

Antwort

Themen zu html/rce.gen
.dll, 0xc0000034, antivir, avg, avgnt.exe, content.ie5, dateien, desktop, einstellungen, failed, fehler, firefox.exe, internet, logon.exe, lsass.exe, microsoft, modul, nicht sicher, notepad.exe, nt.dll, object, programme, prozesse, registry, rthdcpl.exe, rundll, sched.exe, services.exe, suchlauf, svchost.exe, system volume information, verweise, virus gefunden, warnung, windows, winlogon.exe, wscript.exe, wuauclt.exe



Ähnliche Themen: html/rce.gen


  1. Windows 7: Verschiedene Virenmeldungen: ADWARE/FDealPly.I - HTML/FCrypted.Gen - HTML/FExpKit.Gen3
    Log-Analyse und Auswertung - 26.04.2015 (11)
  2. Win 7 chrome-extension://flliilndjeohchalpbbcdekjklbdgfkk/html/blocked.html
    Log-Analyse und Auswertung - 09.04.2015 (21)
  3. chrome-extension://flliilndjeohchalpbbcdekjklbdgfkk/html/blocked.html
    Log-Analyse und Auswertung - 14.02.2015 (25)
  4. Hilfe ich habe mir was gefangen:chrome-extension://flliilndjeohchalpbbcdekjklbdgfkk/html/blocked.html
    Log-Analyse und Auswertung - 16.01.2015 (17)
  5. Virusbefall und Trojaner entfernt jetzt kommt immer als Startseite: resource://firefox.abs.avira.com/html/blocked.html
    Plagegeister aller Art und deren Bekämpfung - 28.12.2014 (3)
  6. Windows 7: resource://firefox.abs.avira.com/html/blocked.html
    Log-Analyse und Auswertung - 16.12.2014 (9)
  7. resource://firefox.abs.avira.com/html/blocked.html
    Log-Analyse und Auswertung - 10.11.2014 (10)
  8. resource://firefox.abs.avira.com/html/blocked.html
    Plagegeister aller Art und deren Bekämpfung - 07.11.2014 (13)
  9. resource://firefox.abs.avira.com/html/blocked.html
    Log-Analyse und Auswertung - 08.09.2014 (11)
  10. Virenfund !! HTML Scriptvirus HTML/Dldr.Dawn.X1 Was tun?
    Plagegeister aller Art und deren Bekämpfung - 19.11.2011 (25)
  11. TR/Kazy.12044.psa und HTML Scriptvirus HTML/Infected.WebPage.Gen
    Plagegeister aller Art und deren Bekämpfung - 14.02.2011 (1)
  12. Wie entferne ich HTML-Scriptvirus HTML/Drop.Agent.AB & W32/Ramnit.A
    Plagegeister aller Art und deren Bekämpfung - 10.12.2010 (32)
  13. Virenusbefall ? HTML/Rce.Gen und HTML/Infected.WebPage.Gen2
    Plagegeister aller Art und deren Bekämpfung - 22.09.2010 (4)
  14. TR/Agent.AR,TR/Click.Klik,HEUR/HTML.Malware,HTML/Crypted.Gen, dwwin.exe, drwtsu32.exe
    Plagegeister aller Art und deren Bekämpfung - 25.05.2010 (1)
  15. TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden
    Log-Analyse und Auswertung - 25.06.2009 (31)
  16. HTML-Scriptvirus HTML/Rce.Gen bei AntiVirScan gefunden!
    Plagegeister aller Art und deren Bekämpfung - 07.08.2008 (3)
  17. Antivir Update funktioniert nicht (HTML/IFrame.Age.tih & HEUR/Exploit.HTML gefunden)
    Plagegeister aller Art und deren Bekämpfung - 05.12.2007 (1)

Zum Thema html/rce.gen - habe heute Antivir durchscannen lassen und dabei diesen Fehler gefunden. Habe schon im Forum geschaut, und auch die Schritte wie bei http://www.trojaner-board.de/58909-scriptvirus-html-rce-gen.html befolgt. Ich bin nun bei Post#4, allerdings weicht - html/rce.gen...
Archiv
Du betrachtest: html/rce.gen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.