danke! werds sofort mal versuchen!
hoffe es klappt!

kann diese:
C:\WINDOWS\System32\sdheqaw.exe
C:\program files\dialers\dluxde\dluxde.exe
C:\Programme\Web_Rebates\WebRebates0.exe
C:\Program Files\Windows SyncroAd\SyncroAd.exe
C:\Program Files\Windows SyncroAd\WinSync.exe C:\Programme\Web_Rebates\WebRebates1.exe
C:\WINDOWS\localNRD.dll
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL

leider nicht löschen irgendwie!?
mir wird der zugriff verweigert!

Sorry.
Hab vergessen zu sagen, dass du die Dateien im abgesicherten Modus löschen sollst.

normal müßte ich im abgesicherten modus sein! also hab die kiste neu gestartet und F8 gedrückt und hat dann gefragt halt von welchem laufwerk gebootet werden soll und dann gings windows ganz normal wieder hoch!
oder sieht das im abgesicherten modus anders aus? kenn mich da null aus!

http://www.heise.de/security/artikel/44133

ok dann versuch ich das mal!

nach nem neuen scanne is das noch drauf:
Logfile of HijackThis v1.98.2
Scan saved at 01:00:41, on 02.10.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Programme\Winamp\Winampa.exe
C:\program files\altnet\points manager\points manager.exe
C:\WINDOWS\TBPanel.exe
C:\WINDOWS\System32\sdheqaw.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Telekom\Eumex 504PC SE\Capictrl.exe
C:\Programme\Telekom\Eumex 504PC SE\HNetCtrl.exe
C:\WINDOWS\system32\crypserv.exe
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~2\Altnet\DOWNLO~1\asm.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\FRITZ!DSL\FritzDSL.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\unzipped\hijackthis1982\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wave-of-darkness.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.1und1.de/Herzlich_Willkommen/b1/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.wave-of-darkness.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von 1 & 1 Internet AG
O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - (no file)
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - D:\Programme\Messenger\ycomp.dll
O2 - BHO: (no name) - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\programme\scanner\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - (no file)
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - D:\Programme\Messenger\ycomp.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [ICQ Lite] D:\Programme\icq\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points manager\points manager.exe -s
O4 - HKLM\..\Run: [Gainward] C:\WINDOWS\TBPanel.exe /A
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [opwfclwxdt] C:\WINDOWS\System32\sdheqaw.exe
O4 - HKLM\..\Run: [conscorr] C:\WINDOWS\conscorr.exe
O4 - HKLM\..\Run: [pkj] C:\WINDOWS\pkj.exe
O4 - HKLM\..\Run: [DLuxde] c:\program files\dialers\dluxde\dluxde.exe /nocomm
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\icq\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: HomeNet Control.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &iSearch The Web - res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearc...p=ZRxdm185XXDE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\Programme\SideFind\sidefind.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\icq\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\icq\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\MESSEN~1\YPager.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.1und1.de/Herzlich_Willkommen/b1/
O16 - DPF: {00000000-0000-0000-0000-000020030000} -
O16 - DPF: {1C78AB3F-A857-482E-80C0-3A1E5238A565} -
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} -
O16 - DPF: {2048B51E-8D74-4762-82CE-B48CF545EEEA} -
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} -
O16 - DPF: {7589EEE6-E336-11D4-8A7E-EE1D971D9B47} -
O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243} -
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} -
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} -
O17 - HKLM\System\CCS\Services\Tcpip\..\{6F7854B7-DA42-4F97-A1A3-30392AF423A9}: NameServer = 192.168.122.252,192.168.122.253
O18 - Filter: text/html - {36009AA1-65BD-41D5-93EA-9D0C56B5F9CC} - C:\Dokumente und Einstellungen\...\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.15.dat

Ist eigentlich fast alles noch da, hast du denn auch irgendwas von dem, was Christian gesagt hat, gemacht?

Ab jetzt den IE NICHT mehr öffnen, Systemwiederherstellung deaktivieren:

http://www.bsi.bund.de/av/texte/wiederher_xp.htm


Diese Prozesse per Taskmanager beenden:

C:\WINDOWS\System32\sdheqaw.exe


Mit HijackThis fixen (Scan/genannte Einträge markieren/"Fix checked" klicken):


C:\WINDOWS\System32\sdheqaw.exe
O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - (no file)
O2 - BHO: (no name) - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O2 - BHO: (no name) - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - (no file)
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} -
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points
manager\points manager.exe -s
O4 - HKLM\..\Run: [opwfclwxdt] C:\WINDOWS\System32\sdheqaw.exe
O4 - HKLM\..\Run: [conscorr] C:\WINDOWS\conscorr.exe
O4 - HKLM\..\Run: [pkj] C:\WINDOWS\pkj.exe
O4 - HKLM\..\Run: [DLuxde] c:\program files\dialers\dluxde\dluxde.exe
/nocomm
O4 - HKLM\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O4 - HKCU\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O8 - Extra context menu item: &iSearch The Web -
res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Search -
http://bar.mywebsearch.com/menusear...?p=ZRxdm185XXDE
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} -
C:\Programme\SideFind\sidefind.dll

ALLE O16 - DPF-Einträge


Neu booten und die Systemwiederherstellung aktivieren, neues Log erstellen.

Dies ist noch zu fixen:

O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - (no file)
O2 - BHO: (no name) - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O2 - BHO: (no name) - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - (no file)
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} -C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [opwfclwxdt] C:\WINDOWS\System32\sdheqaw.exe
O4 - HKLM\..\Run: [conscorr] C:\WINDOWS\conscorr.exe
O4 - HKLM\..\Run: [pkj] C:\WINDOWS\pkj.exe
O4 - HKLM\..\Run: [DLuxde] c:\program files\dialers\dluxde\dluxde.exe
/nocomm
O4 - HKLM\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O4 - HKCU\..\Run: [Dvrvideo] c:\windows\system32\dvrvideo.exe
O8 - Extra context menu item: &iSearch The Web -
res://C:\WINDOWS\System32\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Search -
http://bar.mywebsearch.com/menusear...?p=ZRxdm185XXD
O16 - DPF: {00000000-0000-0000-0000-000020030000} -
O16 - DPF: {1C78AB3F-A857-482E-80C0-3A1E5238A565} -
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} -
O16 - DPF: {2048B51E-8D74-4762-82CE-B48CF545EEEA} -
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} -
O16 - DPF: {7589EEE6-E336-11D4-8A7E-EE1D971D9B47} -
O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243} -
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} -
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} -
O18 - Filter: text/html - {36009AA1-65BD-41D5-93EA-9D0C56B5F9CC} -
C:\Dokumente und Einstellungen\...\Lokale
Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.15.dat


Sofern diese Dateien noch da sind - löschen:
C:\WINDOWS\System32\sdheqaw.exe
C:\WINDOWS\conscorr.exe
C:\WINDOWS\pkj.exe
c:\program files\dialers\dluxde\dluxde.exe
c:\windows\system32\dvrvideo.exe


Hast du eScan im abgesicherten Modus scannen lassen?

so hab jetzt erstmal diesen escan gemacht, der hat nen paar sachen renamed und deleted manchmal auch nichts gemacht.
Und jetzt soll ich in den abgesicherten Modus und in den Windows explorer (is damit der internet explorer gemeint?) nen pfad eingeben, is das ein von mir abhängiger pfad oder is das immer der gleiche?

Bitte macht mich für die dummen fragen nit zur sau, nur find ich hier kein richtigen durchblick, da alles voller diesen Logs is und die bietrag reihenfolge andersrum is.

Zitat von Cidre

Es ist schön, daß du es weißt, aber wir wissen es nicht! Da wir ja nicht über hellseherische Fähigkeiten verfügen, kann man ohne dieses Log-File nur schwer Empfehlungen abgeben.
Also zuerst denken und dann posten.


Windows Explorer

Das eScan AV Toolkit (mwav.exe) herunterladen, die Datei in den Ordner "c:\Bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
http://www.mwti.net/antivirus/free_utilities.asp

Fixen:
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_...count_id=132156
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: MxTargetObj Class - {0000607D-D204-42C7-8E46-216055BF9918} - C:\WINDOWS\mxTarget.dll
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll
O2 - BHO: BHObj Class - {F7F808F0-6F7D-442C-93E3-4A4827C2E4C8} - C:\WINDOWS\nem216.dll
O4 - HKLM\..\Run: [webjyglykl] C:\WINDOWS\System32\vyjfeyub.exe
O4 - HKLM\..\Run: [alchem] C:\WINDOWS\alchem.exe
O4 - HKLM\..\Run: [Windows SyncroAd] C:\Program Files\Windows SyncroAd\SyncroAd.exe
O4 - HKLM\..\Run: [msbb] c:\temp\msbb.exe
O4 - HKLM\..\Run: [ylcnibkt] C:\WINDOWS\ylcnibkt.exe
O4 - HKLM\..\Run: [WebRebates0] "C:\Programme\Web_Rebates\WebRebates0.exe"
O4 - HKLM\..\RunOnce: [djtopr1150.exe] "C:\DOKUME~1\Jim\LOKALE~1\Temp\djtopr1150.exe"
O8 - Extra context menu item: Web Rebates - file://C:\Programme\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
Alle O16 Einträge

Löschen:
C:\WINDOWS\mxTarget.dll
C:\WINDOWS\2_0_1browserhelper2.dll
C:\WINDOWS\nem216.dll
C:\WINDOWS\System32\vyjfeyub.exe
C:\WINDOWS\alchem.exe
Ordner C:\Program Files\Windows SyncroAd
c:\temp\msbb.exe
C:\WINDOWS\ylcnibkt.exe
Ordner C:\Programme\Web_Rebates
C:\DOKUME~1\Jim\LOKALE~1\Temp\djtopr1150.exe

- mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan clean" klicken.)
- Neustart
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org
- neues Log-File von HijackThis und die Virus Log Information von eScan posten

soll das alles im abgescihertem modus passieren, oder nur das fixen?

sorry aber ich bin halt schwer von begriff, photoshop und anderes ist mein gebiet.

soll das alles im abgescihertem modus passieren, oder nur das fixen?

Ja, alles bis zum Neustart im abgesicherten Modus ausführen.

So, ich bin jetzt mal in den abgesicherten modus gegangen und hab da hijack scannen lassen, so und hab dann alles gefixed, anders gesagt alles gelöscht.
Aber der escan hat mir zu lange gedauert, so lang wolt ich dann doch nicht im abgesichertem modus verweilen. Für was is denn jetzt der escan so wichtig?
Ich hab immer nen paar sachen als autostart udn hab das auch alles schon mim regclener konfiguriert, aber der hijack will mir di ejedesmal fixen, heisst das jetzt dass die schädlcih sinn.

Aber der escan hat mir zu lange gedauert, so lang wolt ich dann doch nicht im abgesichertem modus verweilen. Für was is denn jetzt der escan so wichtig?

Ja, bist denn du noch zu retten.
Was wird eScan wohl machen?!
Es beseitigt die Malware die auf deinem System vorhanden ist!

aber der hijack will mir di ejedesmal fixen, heisst das jetzt dass die schädlcih sinn.

HiJackThis ist kein automatisiertes Programm, es bedarf also der Interaktion des Users.

EOD

Hallo,
ich habe auch das gleiche problem, bloß ich hab noch ein anderes problem und zwar komm ich nich in den abgesicherten modus rein der kackt dann immer ab

hoffe ihr könnt mir helfen
danke schonmal im voraus