Trojaner-Board - Dummie braucht Hilfe! Bytever A

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Dummie braucht Hilfe! Bytever A (https://www.trojaner-board.de/16350-dummie-braucht-hilfe-bytever-a.html)

Dummie braucht Hilfe! Bytever A

Hallo!

Schon mal vorweg, ich kenn mich nich sonderlich gut mit meinem und computern allgemein aus! ich hoffe ihr könnt mir irgendwie helfen! Habe durch einen virenscan im internet (Trend Micro). Festgestellt dass ich einen Virus namens java bytever.a auf meinem pc habe! mein norton internet security findet keinen virus! habe auch schon versucht diverse informationen aus anderen quellen zu verwerten, habe z.b. meine temporären internetdateien gelöscht, und bei outlook etwas verändert! der virus ist aber immernoch da! wie kann ich den losbekommen?? wäre wirklich nett wenn ihr mir helfen könntet! habe hier auch ein logfile, hoffe ihr könnt damit was anfangen!! gruß frank

Logfile of HijackThis v1.99.1
Scan saved at 14:09:07, on 07.04.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\QuickTime\qttask.exe
D:\AntiSpyWare\gcasServ.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\WINDOWS\System32\CTFMON.EXE
D:\AntiSpyWare\gcasDtServ.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
D:\Norton\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\slserv.exe
D:\Norton\Norton AntiVirus\SAVScan.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
F:\Frank\Schrott\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Norton\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Norton\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinampAgent] D:\Winamp\winampa.exe
O4 - HKLM\..\Run: [ngr] C:\WINDOWS\ngr.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] D:\Norton\UrlLstCk.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [gcasServ] "D:\AntiSpyWare\gcasServ.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Hbas] C:\Dokumente und Einstellungen\Frank Stöckel\Anwendungsdaten\aops.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\Word\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D565640D-4F85-416B-AF3B-6C2286021523}: NameServer = 217.237.151.97 217.237.150.33
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - D:\Norton\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - D:\Norton\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Hi,

1. Problem -->

Zitat:

Platform: Windows XP (WinNT 5.01.2600)

unbedingt updaten Lösung --> hier
lasse die folgende Datei :C:\WINDOWS\ngr.exe
mal hier online scannen und teile das Ergebnis mit. Wenn Du sie nicht finden solltest folgendes einstellen:
Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"

leere Deinen Java Cache unter Start --> Einstellungen --> Systemsteuerung -->Java plug in --> doppelklick
Reiter Cache --> löschen

hi,

die von gigamail zur überprüfung ausgewählte datei, bitte auch über seine sigantur malwareupload hochladen.

Zitat:

du verwendest eine alte version des adobe acrobat readers

download von adobe durchführen.

Hallo, schon mal danke, was ist gemeint mit "bitte auch über seine sigantur malwareupload hochladen"?
sorry aber ich bin echt anfänger...!
desweiteren hab ich ein anderes problem, beim download von diesem sp2 zeigt es mir immer an dass mein windows-key nich funktioniert, deshalb kann ich es nicht installieren! was kann ich dagegn tun??

wie gesagt, schon mal tausend dank!

gruß frank

desweiteren bin zweifel ischon an mir selbst aber ich kann keine C:\WINDOWS\ngr.exe datei finden!! ich habe alle anweisungen befolgt und im explorer alles wie beschrieben geändert! finde aber die besagte datei trotzdem nicht!

sorry... würde mich über weitere hilfe freuen und bedanke mich schonmal dafür!

lasse die Datei erst mal bei Jotti online scannen mal sehen was festgestellt wird. Sollten die Scanner sehr weit auseinander liegen dann kommt das was Passat2002 empfiehlt. das geht folgendermassen, Du klickst in meiner signatur den Link Kostenlos auf Malware prüfen und dort kannst Du Dateien hochladen. Die werden dann von verschiedenen Instutitionen auf unbekannte Malware geprüft, Du bekommst dann das Ergebnis per eMail, dauert ca.1 Tag und somit können die Antivirenhersteller reagieren. Du hilfst im Grunde mit :daumenhoc

Zitat:

beim download von diesem sp2 zeigt es mir immer an dass mein windows-key nich funktioniert, deshalb kann ich es nicht installieren! was kann ich dagegn tun??

Das ist mir neu damit da ein Key gebraucht wird Du kannst aber das SP 2 auch bestellen (Dauer ca. 1Woche) CD-Bestellung

Oh das klingt sehr gut! nur wie unten schon erwähnt, es gibt bei mir am pc keine datei C:\WINDOWS\ngr.exe ! ich habe wie gesagt im explorer alle anweisungen befolgt! finde sie aber trotzdem nicht...hab jetzt auch schon tausendmal nachgesehen...was kann ich tu?

dann probiere nochmal hiermit
Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> Ok
Sollte sie trotzdem nicht zu finden sein dann machen wir hier weiter
führe als erstes das hier aus

--> boote in den abgesicherter Modus , deaktiviere die Systemwiederherstellung , und fixe dann mit Hijack This (Häk'chen setzen und auf Fix Checked klicken - Anleitung
folgende Einträg:

R3 - Default URLSearchHook is missing
O2 - BHO: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O3 - Toolbar: QuickSearch Search Bar - {82315A18-6CFB-44a7-BDFD-90E36537C252} - C:\Programme\QuickSearch\QuickSearchBar1_27.dll
O4 - HKLM\..\Run: [ngr] C:\WINDOWS\ngr.exe

lösche von Hand folgende Dateien/Ordner:

C:\Programme\QuickSearch\QuickSearchBar1_27.dll

neu booten neues HJT posten

Hallo!

also ich habe auch mit Total Commander die datei nicht gefunden! habe dann nach deinen anweisungen weitergemacht! Hier mein neues Logfile!
Was ist nun zu tun? kann mich gar nicht oft genug für deine/eure hilfe bedanken...!

Logfile of HijackThis v1.99.1
Scan saved at 16:53:05, on 07.04.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\Programme\QuickTime\qttask.exe
D:\AntiSpyWare\gcasServ.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Java\jre1.5.0_02\bin\jucheck.exe
D:\Adobe Reader 7.0\Reader\reader_sl.exe
D:\AntiSpyWare\gcasDtServ.exe
F:\Frank\Schrott\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe Reader 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Norton\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Norton\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinampAgent] D:\Winamp\winampa.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] D:\Norton\UrlLstCk.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [gcasServ] "D:\AntiSpyWare\gcasServ.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Hbas] C:\Dokumente und Einstellungen\Frank Stöckel\Anwendungsdaten\aops.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Adobe Reader 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\Word\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - D:\Norton\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - D:\Norton\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

hast du das hier schon ausgeführt?

Ja, habe ich getan! stimmt irgendwas damit nicht? wie gehts weiter??
danke
gruß frank

wie schauts denn nun aus? kann mir niemand weiterhelfen? wäre echt freundlich...! gruß frank

Logfile of HijackThis v1.99.1
Scan saved at 17:58:10, on 08.04.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\QuickTime\qttask.exe
D:\AntiSpyWare\gcasServ.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\WINDOWS\System32\ctfmon.exe
D:\AntiSpyWare\gcasDtServ.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
D:\Norton\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\slserv.exe
D:\Norton\Norton AntiVirus\SAVScan.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
D:\ICQLite\ICQLite.exe
C:\Programme\Internet Explorer\iexplore.exe
F:\Frank\Schrott\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe Reader 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Norton\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Norton\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WinampAgent] D:\Winamp\winampa.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] D:\Norton\UrlLstCk.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [gcasServ] "D:\AntiSpyWare\gcasServ.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Hbas] C:\Dokumente und Einstellungen\Frank Stöckel\Anwendungsdaten\aops.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Adobe Reader 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\Word\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\ICQLite\ICQLite.exe
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D565640D-4F85-416B-AF3B-6C2286021523}: NameServer = 217.237.151.97 217.237.150.33
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - D:\Norton\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - D:\Norton\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Scanne Dein System mit eSan
Erstelle für den eScan einen neuen Ordner (=Verzeichnis) "bases" auf "c:\". Lade den eScan runter, entpacke ihn mit einem Zip-Programm in diesen neuen Ordner. Beachte dazu die Anleitung . Update den eScan online (siehe Anleitung) und führe ihn offline im abgesicherten Modusaus(Haken setzen bei All Local Drives und All Scan Files). Der eScan braucht ca 1 Stunde. Die gefundenen Viren werden von hand gelöscht. Wir geben am Forum Anleitung dazu.

--> Teile uns bitte mit: wieviel Viren auf Deinem Rechner gefunden wurden - es sieht so aus:

=> Total Files Scanned:
=> Total Virus(es) Found:
=> Total Disinfected Files:
=> Total Files Renamed:
=> Total Deleted Files:
=> Total Errors:
=> Time Elapsed:
=> Virus Database Date:
=> Virus Database Count:
=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
***** Scanning complete. *****

--> Wie die Viren heißen, möchten wir auch wissen: "öffne die mwav.log (oder die mwXface.log) -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Cidre zitiert)

fixe noch im abgesicherten Modus folgenden Eintrag:

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone

So bin nun endlich dazu gekommen! Habe alles gemacht wie beschrieben! Hier meine ergebnisse vom escan:

Sun Apr 10 13:42:12 2005 => Total Objects Scanned: 57113
Sun Apr 10 13:42:12 2005 => Total Virus(es) Found: 33
Sun Apr 10 13:42:12 2005 => Total Disinfected Files: 0
Sun Apr 10 13:42:12 2005 => Total Files Renamed: 0
Sun Apr 10 13:42:12 2005 => Total Deleted Objects: 0
Sun Apr 10 13:42:12 2005 => Total Errors: 3
Sun Apr 10 13:42:12 2005 => Time Elapsed: 01:12:09
Sun Apr 10 13:42:12 2005 => Virus Database Date: 2005/04/06
Sun Apr 10 13:42:12 2005 => Virus Database Count: 124827

Sun Apr 10 13:42:12 2005 => Scan Completed.

Sun Apr 10 12:31:01 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => File System Found infected by "Alexa Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => System found infected with 180Solutions Spyware/Adware! Action taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => File System Found infected by "180Solutions Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => System found infected with avenue media Spyware/Adware! Action taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => File System Found infected by "avenue media Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => System found infected with saap Spyware/Adware! Action taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => File System Found infected by "saap Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => System found infected with VB and VBA Program Settings Spyware/Adware! Action taken: No Action Taken.

Sun Apr 10 12:31:01 2005 => File System Found infected by "VB and VBA Program Settings Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:43:23 2005 => File C:\Dokumente und Einstellungen\Frank Stöckel\Anwendungsdaten\Phoenix\Profiles\default\o8ndwzrn.slt\Cache\1566ED99d01 infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 12:44:24 2005 => File C:\Dokumente und Einstellungen\Frank Stöckel\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\loaderadv418.jar-318eeef0-6f58e39b.zip infected by "Trojan-Downloader.Java.OpenStream.c" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:00:38 2005 => File C:\Programme\themexp\Themexp.org File\NNEZTA388.exe infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:22:48 2005 => Scanning Folder: D:\BitDefender\Infected\*.*

Sun Apr 10 13:24:40 2005 => File D:\Norton\Norton AntiVirus\Quarantine\05BA704E infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:40 2005 => File D:\Norton\Norton AntiVirus\Quarantine\166107F9 infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:40 2005 => File D:\Norton\Norton AntiVirus\Quarantine\17043B45 infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:40 2005 => File D:\Norton\Norton AntiVirus\Quarantine\1735310F infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\173F2F05 infected by "Exploit.HTML.FileDownload" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\17D22CD6 infected by "not-a-virus:AdWare.WinShow.f" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\1E875419 infected by "Email-Worm.Win32.NetSky.y" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\30145F10 infected by "Trojan-Downloader.Win32.Small.aaq" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\306D3D17 infected by "not-a-virus:AdWare.180Solutions" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:41 2005 => File D:\Norton\Norton AntiVirus\Quarantine\4A3D140D infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\56065A3F infected by "not-a-virus:AdWare.ToolBar.Ucmore.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\564721F7 infected by "Trojan-Dropper.Win32.Mudrop.m" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\564E75F0 infected by "Trojan-Downloader.Win32.Adload.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\565449E9 infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\59397243 infected by "Email-Worm.Win32.NetSky.d" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:42 2005 => File D:\Norton\Norton AntiVirus\Quarantine\62AF7580 infected by "Trojan.WinREG.LowZones.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\696D47D5 infected by "not-a-virus:AdWare.F1Organizer.d" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\72821B8C infected by "Email-Worm.Win32.Sober.i" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\750E2635 infected by "Trojan-Downloader.Win32.Agent.ex" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\79CF3E02 infected by "Trojan-Downloader.Win32.Dyfuca.dk" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\7E3B5969 infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\7EA06EFA infected by "Exploit.HTML.FileDownload" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:24:43 2005 => File D:\Norton\Norton AntiVirus\Quarantine\7EC766CE infected by "Email-Worm.Win32.NetSky.q" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:37:59 2005 => File F:\Downloads\forever blue.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Sun Apr 10 13:41:20 2005 => File F:\Frank\Schrott\backups\backup-20050407-164945-850.dll infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Ich hoffe es ist nicht zu schlimm... denn ich war doch etwas geschockt, bei der vielzahl der Ergebnisse! Wäre wiederum um Hilfe sehr dankbar! gruß frank

Wie schauts nun aus? kann mir jemand helfen?

gruß

frank