hilfe, ich dachte mein system wäre sauber...
 

mein virenprogramm hat mich ja bereits gewarnt, aber nach allem was ich so gesehen hab trau ich mich nich das einfach so zu löschen. ihr wisst doch auf was man achten muss und wie man das zeug am besten los wird. hier wär mal meine hijackthis log


Logfile of HijackThis v1.99.0
Scan saved at 21:57:40, on 15.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\AlienGUIse\wbload.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Miranda IM\miranda32.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\PROGRA~1\NORTON~2\SPEEDD~1\nopdb.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Teamspeak2_RC2\TeamSpeak.exe
C:\PROGRA~1\MOZILL~2\THUNDE~1.EXE
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\Rar$EX00.109\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll
O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file)
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [switp] C:\WINDOWS\switpa.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [KAV50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kav.exe" -run -n PersonalPro -v 5.0.0.0 -chkss
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Kaspersky Anti-Virus Service - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro 5\kavmm.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~2\SPEEDD~1\nopdb.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

also irgendwie spinnt der kasten jetzt immer mehr...
hab irgendeine datei auf der platte, wenn ich im windows-explorer den ordner in der die datei ist öffne, sehe ich für ein paar sekunden den inhalt, dann verschwindet der komplette inhalt und die explorer.exe verursacht 100% auslastung. auch wenn ich die explorer.exe dann neustarte gehts wieder ein weilchen aber das kommt dann öfter.... hilft nur ein kompletter reboot und den ordner nicht anschauen

hat das irgendwas mit den "bösen" dateien zutun die hjt gefunden hat und falls ja, wie bekomm ich die weg? trau mich nich das einfach so zu löschen

http://www.trojaner-board.de/42731-escan-anleitung.html

Wie beschrieben updaten und anwenden, gefundene Schädlinge (in mwav.log nach "infected" suchen) hier posten.

hm, escan hat nur das hier gefunden

File C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Downloads\11589.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.


komischerweise ist das zwar sogar der ordner (also downloads) der die probleme macht, aber die datei hab ich schon länger drauf

Im abgesicherten Modus löschen und fertig.
cacatoa

Stop!!
Hab erst jetzt gesehen, daß MK dein Logfile noch nicht bearbeitet hat.
Es ist noch mehr zu tun. Warte mal.
cacatoa

Wenn ich mich ganz kurz einmischen darf:
Ich glaube nicht, dass du eScan korrekt ausgeführt hast:
=> Poste bitte folgendes aus der mwav.log (steht ganz am Ende):
mfg Haui

Als erstes lade Dir LSPFix runter.
Dann unter software New.Net deinstallieren. Dann mit HJT im abgesicherten Modus folgendes fixen:
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll
O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file)
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net
O10 - Hijacked Internet access by New.Net

Dann kann es sein, daß Du keine Internetverbindung mehr hast, deshalb im Anschluß LSPFix laufen lasen und evtl. vorhandene New.Net Einträge nach rechts ziehen und auf "remove"gehen.
Dann bitte folgende Datei:
C:\WINDOWS\switpa.exe
bei Jotti online scannen lassen und über das 10-zeilige Ergebnis berichten.
cacatoa

also, ihr hattet recht, der war noch nicht fertig. blieb nur kurz mal stehen da dachte ich er hätte es schon vollendet. nun mal die infizierten dateien

Thu Feb 17 16:29:39 2005 => File C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Downloads\11589.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\22FD727F.exe infected by "Trojan-Dropper.Win32.Delf.z" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\23001C7C.exe infected by "Trojan-Dropper.Win32.Delf.z" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\251A53F3 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\5E296E86 infected by "Trojan-Spy.Win32.Briss.e" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\5E2C1883 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\68E75C9D infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:33 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\733D54D2 infected by "Trojan-Spy.Win32.Briss.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:34 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\78D2751A infected by "Email-Worm.Win32.Sober.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:57:34 2005 => File C:\Programme\Norton Internet Security\Norton AntiVirus\Quarantine\7F4D45F9 infected by "Email-Worm.Win32.Sober.j" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:58:40 2005 => File C:\Programme\themexp\Themexp.org File\NNEZTA388.exe infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken.

Thu Feb 17 16:58:40 2005 => File C:\Programme\themexp\Themexp.org File\TBEZA127Q.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Thu Feb 17 17:01:58 2005 => File C:\System Volume Information\_restore{D1F56ED9-961A-4F3D-9087-66D48F7AA87C}\RP1\A0000029.dll infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken.

Thu Feb 17 17:22:41 2005 => ***** Scanning complete. *****


Thu Feb 17 17:22:41 2005 => Total Files Scanned: 45286
Thu Feb 17 17:22:41 2005 => Total Virus(es) Found: 15
Thu Feb 17 17:22:41 2005 => Total Disinfected Files: 0
Thu Feb 17 17:22:41 2005 => Total Files Renamed: 0
Thu Feb 17 17:22:41 2005 => Total Deleted Files: 0
Thu Feb 17 17:22:41 2005 => Total Errors: 9
Thu Feb 17 17:22:41 2005 => Time Elapsed: 01:02:27
Thu Feb 17 17:22:42 2005 => Virus Database Date: 2005/02/14
Thu Feb 17 17:22:42 2005 => Virus Database Count: 118236

Thu Feb 17 17:22:42 2005 => Scan Completed.



so, und nun fix ich erstmal die sachen die du aufgezählt hast


EDIT:
wenn ich die finden würde. hab ich nicht

Die Datei ist da!
Arbeitsplatz, Extras, Ordneroptionen, Ansicht, hier Haken weg bei: geschützte Systemdateien ausblenden,
Haken hin bei: Inhalte von Systemordnern anzeigen und bei: Alle Dateien und Ordner anzeigen
Weitermachen wie bereits geschrieben.
cacatoa

Und natürlich den Quarantäne-Ordner von Norton leeren!

ordner ist leer, aber ich hab (find) die datei wirklich nicht. es werden alle dateien angezeigt, aber die switpa.exe is nich zu finden

Es kann auch sein, dass die Datei nicht mehr vorhanden ist.

ist das dann gut oder schlecht? ^^

Kommmt darauf an, um was es sich handelte ;)