trojaner im archiv
 

hallo
bin ganz neu hier .ich hab kein vorstell thread entdeckt,also schreib ich hier wo meine frage hingehört.

ich habe einen trojaner im archiv sagt der antivir und das er ihn nich löschen kann weil er im archiv ist.
ich weiss leider nicht was das bedeutet.
einmal java open stream.t
und TR drop.wintool

hab bei anderen fragen gesehen ihr braucht son log file :

bitte poste das hijackthis log direkt, und nicht angehängt als doc-datei.
1.escan
-lade dir lspfix runter
-lade dir escan runter und gehe genau nach dieser anleitung vor

2.einträge löschen
-fixe mit hijackthis diese einträge:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.websearch.com/ie.aspx?tb_id=50193
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.websearch.com/ie.aspx?tb_id=50193
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.websearch.com/ie.aspx?tb_id=50193
R3 - URLSearchHook: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - C:\PROGRA~1\GEMEIN~1\WINTOOLS\WTOOLSB.DL
O2 - BHO: (no name) - {87766247-311C-43B4-8499-3D5FEC94A183} - C:\PROGRA~1\GEMEIN~1\WINTOOLS\WTOOLSB.DLL
O2 - BHO: (no name) - {8952A998-1E7E-4716-B23D-3DBE03910972} - C:\Programme\Toolbar\toolbar.dll
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e02913a9e0} - C:\PROGRAM FILES\WEBHANCER\PROGRAMS\WHIEHLPR.DLL
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll
O3 - Toolbar: &Search Toolbar - {339BB23F-A864-48C0-A59F-29EA915965EC} - C:\Programme\Toolbar\toolbar.dll
O4 - HKLM\..\Run: [TBPS] C:\Programme\Toolbar\TBPS.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [webHancer Agent] "C:\Program Files\webHancer\Programs\whAgent.exe"
O4 - HKLM\..\Run: [WinTools] C:\PROGRA~1\GEMEIN~1\WINTOOLS\WTOOLSA.EXE
O4 - HKLM\..\RunServices: [WinTools] C:\PROGRA~1\GEMEIN~1\WINTOOLS\WTOOLSA.EXE
O4 - HKLM\..\RunServicesOnce: [TBPS] C:\Programme\Toolbar\TBPS.exe /boot
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by WebHancer
O18 - Protocol: tpro - {FF76A5DA-6158-4439-99FF-EDC1B3FE100C} - C:\Programme\Toolbar\toolbar.dll

3.dateien löschen
-lösche den ordner C:\Programme\Toolbar\
-lösche den ordner C:\PROGRA~1\GEMEIN~1\WINTOOLS\
-lösche den ordner C:\PROGRAM FILES\WEBHANCER\
-lösche den ordner C:\PROGRA~1\NEWDOT~1\

-lösche natürlich auch alle von escan beanstandeten dateien (alle infected)
(falls die dateien nicht angezeigt werden gehe so vor:
klicke auf extras, dann auf ordneroptionen
klicke auf ansicht
mach den haken bei "geschützte systemdateien ausblenden" weg
mach nen haken bei "inhalte von systemordnern anzeigen" hin
selektiere "alle dateien und ordner anzeigen")

4.ergebnisse
-starte lspfix, klicke auf finish
-gehe wieder in den normalen modus
-öffne die datei mwav.log,klicke auf bearbeiten dann auf suchen
-gebe infected ein
-suche weiter,markiere die treffer und kopiere sie ins forum
-poste ein neues hijackthis log

ok sorry wusste nicht wie man das direkt postet.

au weia sieht schwierig aus werde es ma versuchen .
vieelen dank für die schnelle antwort.

Versuch bitte vorher New.net / Newdotnet o.ä unter Systemsteuerung -> Software zu deinstallieren. Gleiches gilt auch für andere dir unbekannte/unseriös erscheinende Software.
Lspfix vorher trotzdem downloaden.

hab downgeloadet und der scan ist fertig,ähhh...aber was ist fixen und wie geht das ?
und unter punkt 4 steht ...wieder in normalen modus ....
musste ich vorher in irgen einen gesicherten oder so?? :confused:
nochma sorry wegen null ahnung

jep. das hätteste im abgesicherten tun sollen..
aber auch egal...
das fixen der einträge und der teil mit lspfix muss im abgesicherten modus geschehen.
fixen heißt, vor den genannten eintrag einen haken zu machen und auf fix it zu klicken