|
Explorer.exe von Worm.Bagle.n infiziert Hallo, ich habe ein Sony Vaio Notebook mit Windows XP Pro. Vorgestern nachmittag habe ich mir beim Surfen im Internet einen Trojaner/Virus eingefangen. Avast (neueste Version und Virus-Definitionen) hat das Virus auch sofort als Win32:Trojano-1371 erkannt, jedoch offenbar nichts ausrichten können, denn plötzlich war der PC stark überlastet: lange ließ sich nichts machen. Dann erschien als Hintergrundbild eine Meldung des Trojaners, das System sei mit Spyware infiziert und müsse desinfiziert werden, um Datenverlust zu vermeiden. Anfangs war auch der Taskmanager gesperrt, was sich jedoch über die Registry ändern ließ. Seither versuche ich verzweifelt, alles zu entfernen, was sich so finden lässt. Hijackthis fand einige Einträge, die ich gleich habe löschen lassen. Ein Screenshot der entfernten Einträge befindet sich hier. Dann habe ich Ewido laufen lassen, wobei es mehrmals bei ca. 90% abgestürzt ist. Letztlich hat es aber doch einiges gefixt: --------------------------------------------------------- ewido security suite - Scan Report --------------------------------------------------------- + Erstellt am: 16:37:30, 27.05.2005 + Report-Checksumme: 90978D8F + Datum der Signaturen: 27.05.2005 + Version der Scanengine: v3.0 + Suchdauer: 57 min + Untersuchte Dateien: 78791 + Geschwindigkeit: 22.84 Dateien/Sekunden + Infizierte Dateien: 14 + Entfernte Dateien: 14 + Unter Quarantäne gestellte Dateien: 14 + Dateien, die nicht geöffnet werden konnten: 0 + Dateien, die nicht gesäubert werden konnten: 0 + Binder: Ja + Packer: Ja + Archive: Ja + Gescannt wurde: C:\ + Scanergebnis: C:\WINDOWS\system32\dllcache\explorer.exe -> Worm.Bagle.n -> Gesäubert mit Backup C:\WINDOWS\system32\win32.exe -> TrojanProxy.Lager.j -> Gesäubert mit Backup C:\WINDOWS\system32\latest.exe -> TrojanProxy.Lager.j -> Gesäubert mit Backup C:\WINDOWS\explorer.exe -> Worm.Bagle.n -> Gesäubert mit Backup C:\Dokumente und Einstellungen\********\Lokale Einstellungen\Temporary Internet Files\Content.IE5\05ABOTQN\latest[1].exe -> TrojanProxy.Lager.j -> Gesäubert mit Backup C:\Dokumente und Einstellungen\********\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CPQZ01YN\latest[1].exe -> TrojanProxy.Lager.j -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118003.exe -> TrojanDownloader.Small.agq -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118007.exe -> TrojanDownloader.Agent.ho -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118008.exe -> Trojan.LowZones.y -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118009.exe -> TrojanDropper.Small.wp -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118011.exe -> TrojanDownloader.Small.awa -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118013.exe -> TrojanDownloader.Small.atl -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118014.exe -> TrojanDropper.Small.wp -> Gesäubert mit Backup C:\System Volume Information\_restore{75BE572E-E175-46A5-8491-CA2D2216E29C}\RP194\A0118025.exe -> TrojanProxy.Lager.j -> Gesäubert mit Backup ::Report Ende Auch später hat Ewido immer wieder Dateien in der Systemwiederherstellung gefunden und entfernt. Inzwischen habe ich die Systemwiederherstellung ausgeschaltet, so dass dort jetzt wohl keine Dateien mehr abgelegt werden können. Seither habe ich aber Probleme mit Explorer.exe (aus dem Windows-Ordner). Diese wird von Ewido als mit "Worm.Bagle.n" infiziert gemeldet. Lasse ich Ewido die Datei säubern, stürzt entweder der Explorer oder Ewido ab. Ein paar Mal hat Ewido den Explorer aber augenscheinlich gesäubert, jedoch dann verlangt, dass Explorer.exe über die Windows-CD neu installiert wird. Seither war es immer so, dass beim Neustart von Windows Ewido sich beschwert hat, dass die Explorer.exe verseucht ist, und ich nur mit Windows arbeiten konnte, indem ich die Warnung ignoriert habe. Beim letzten Systemstart hat sich aber Ewido nicht mehr beschwert, und auch der konkrete Scan der Explorer.exe mit Ewido lässt vermuten, dass Explorer.exe nicht mehr verseucht ist. Irgendwie kann ich dem aber noch nicht ganz trauen! Avast hat übrigens die Explorer.exe zu keiner Zeit als infiziert angesehen ... Nun (nochmal) meine Fragen im Überblick: 1. Kann man überhaupt die Explorer.exe separat neu installieren über die Windows-CD? 2. Wie stehen die Chancen, dass die Explorer.exe jetzt wirklich virenfrei ist, dass also Ewido recht hat? Für Eure Hilfe wäre ich Euch sehr dankbar!!!! Viele Grüße Sven P.S.: Ich sende mal den aktuellen Hijackthis-Report mit: Logfile of HijackThis v1.99.0 Scan saved at 12:20:24, on 28.05.2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\PackethSvc.exe C:\Programme\Avast\aswUpdSv.exe C:\Programme\Avast\ashServ.exe C:\Programme\ewido\security suite\ewidoctrl.exe C:\Programme\ewido\security suite\ewidoguard.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\wanmpsvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\igfxtray.exe C:\WINDOWS\System32\hkcmd.exe C:\Programme\Sony\HotKey Utility\HKserv.exe C:\Programme\Apoint\Apoint.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\PROGRA~1\Avast\ashDisp.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe C:\Programme\Avast\ashWebSv.exe C:\Programme\Apoint\Apntex.exe C:\Programme\D-Link AirPlus\AirPlus.exe C:\Dokumente und Einstellungen\********\Anwendungsdaten\Map Maker\MMManager.exe C:\Programme\HOTSYNC.EXE C:\Programme\Avast\ashMaiSv.exe C:\Dokumente und Einstellungen\********\Desktop\System\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar\01.01.1629.0\de\msntb.dll O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe O4 - HKLM\..\Run: [HKSERV.EXE] C:\Programme\Sony\HotKey Utility\HKserv.exe O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast\ashDisp.exe O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: SunClock5.lnk = C:\Dokumente und Einstellungen\********\Anwendungsdaten\Map Maker\MMManager.exe O4 - Startup: HotSync Manager.lnk = C:\Programme\HOTSYNC.EXE O4 - Startup: PowerReg Scheduler.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe O4 - Global Startup: D-Link AirPlus.lnk = ? O4 - Global Startup: AOL Tray-Symbol.lnk = C:\Programme\AOL 8.0\aoltray.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (IPIX ActiveX Control) - h**p://www.ipix.com/viewers/ipixx.cab O16 - DPF: {1663ed61-23eb-11d2-b92f-008048fdd814} (MeadCo ScriptX Advanced) - h**p://www.justis.com/J-Net/smsx.cab O16 - DPF: {51EA44E6-C8C3-4E30-8F3D-D8EE71A44DCB} (Upload Control) - http://h**ps://img.web.de/v/fotoalbu...pload_1115.cab O21 - SSODL: System - {96CC8BC0-F91C-4B63-9732-261B28DA2EED} - vr_sys.dll (file missing) O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Programme\Avast\aswUpdSv.exe O23 - Service: avast! Antivirus - Unknown - C:\Programme\Avast\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Avast\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Avast\ashWebSv.exe O23 - Service: AVM FRITZ!web Routing Service - Cisco Systems, Inc. - (no file) O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido\security suite\ewidoguard.exe O23 - Service: Virtual NIC Service - America Online, Inc. - C:\WINDOWS\System32\PackethSvc.exe O23 - Service: Sony SPTI Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe O23 - Service: WAN Miniport (ATW) Service - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe |
@Feuermelder HJT soll aus einem speziell angelegten Ordner ausgeführt werden. Bitte alle Links im Log deaktivieren (z.B. h**p statt http) Benutzername unerkennbar machen. Zitat:
Zitat:
Zitat:
Zitat:
1.Systemwiederherstellung abschalten 2. Dieses Bereinigungsprogramm hilft dir, den ganzen Müll aus den Temp-Ordner und Papierkorb zu entfernen. 3. Infected-Ordner des Antivirus-Programms, ggf. auch von Spybot Search & Destroy, Ad-Aware usw. leeren. Der Name des Ordners sowie Pfad sind Programm- und Benutzerabhängig. Bitte RTFM zum AV-Programm. Bei einigen Programmen (z. B. AVPE) ist diese Option nicht im Programm integriert. In dem Fall soll dies manuell erfolgen. 4. eScan genau nach Anleitung (bitte ausdrucken und aufmerksam lesen) im abgesicherten Modus laufen lassen. Log hier Posten. |
Ist das normal, dass die MWAV.log von dem EScan-Tool so groß ist (5,91 MB)? Ich durchsuch die Datei erstmal selbst und poste dann alles, was kommentiert wurde (Error, infected etc.). Kann noch ein bisschen dauern. |
So, da war schon ein bisschen was dabei. Ich hoffe, der Ausschnitt umfasst auch alles an Malware, was gefunden wurde: Sat May 28 17:10:59 2005 => ***** Scanning Registry Files ***** Sat May 28 17:10:59 2005 => Scanning HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad Sat May 28 17:11:00 2005 => *** File C:\WINDOWS\system32\SHELL32.dll having Size Restriction ***. Filesize 8167 kb > 3072 kb... Sat May 28 17:11:00 2005 => Scanning File C:\WINDOWS\system32\SHELL32.dll [**] Sat May 28 17:11:00 2005 => *** File C:\WINDOWS\system32\SHELL32.dll having Size Restriction ***. Filesize 8167 kb > 3072 kb... Sat May 28 17:11:00 2005 => Scanning File C:\WINDOWS\system32\SHELL32.dll [**] Sat May 28 17:11:00 2005 => Scanning File C:\WINDOWS\System32\webcheck.dll Sat May 28 17:11:00 2005 => Scanning File C:\WINDOWS\System32\stobject.dll Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry System = vr_sys.dll (in key SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad). Removing it. Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry {203B1C4D9-BC71-8916-38AD-9DEA5D213614} = C:\WINDOWS\System32\bre.dll (in key Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler). Removing it. Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry {DABB23E9-AC0D-3740-E3E5-4B37C80837E5} = C:\WINDOWS\System32\wirl.dll (in key Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler). Removing it. Sat May 28 17:11:16 2005 => ERROR!!! Invalid Entry \SystemRoot\System32\Drivers\CAPI20.SYS in SYSTEM\CurrentControlSet\Services\CAPI20... Sat May 28 17:11:20 2005 => ERROR!!! Invalid Entry System32\DRIVERS\NETFRITZ.SYS in SYSTEM\CurrentControlSet\Services\NETFRITZ... Sat May 28 17:11:23 2005 => ERROR!!! Invalid Entry System32\DRIVERS\TS154ICB.sys in SYSTEM\CurrentControlSet\Services\TS154_CB... Sat May 28 17:11:24 2005 => ERROR!!! Invalid Entry System32\Drivers\ulisa.sys in SYSTEM\CurrentControlSet\Services\ulisa... Sat May 28 17:11:25 2005 => ***** Scanning Registry and File system for Adware/Spyware ***** Sat May 28 17:11:32 2005 => Offending value found in HKLM\Software\microsoft\downloadmanager !!! Sat May 28 17:11:51 2005 => Object "AltNet Spyware/Adware" found in File System! Action Taken: No Action Taken. Sat May 28 17:12:13 2005 => System found infected with cws.therealsearch Spyware/Adware (waol.exe)! Action taken: No Action Taken. Sat May 28 17:12:13 2005 => Object "cws.therealsearch Spyware/Adware" found in File System! Action Taken: No Action Taken. Sat May 28 17:12:14 2005 => ***** Scanning Registry for errors created because of Adware/Spyware ***** Sat May 28 17:12:14 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" refers to invalid object "C:\WINDOWS\Downloaded Program Files\MediaTicketsInstaller.ocx". Action Taken: No Action Taken. Sat May 28 17:12:15 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe". Action Taken: No Action Taken. Sat May 28 17:12:15 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\vxblock.dll". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\MSXML3A.DLL". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\DIMM.DLL". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USWebUncoated.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\AppleRGB.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\ColorMatchRGB.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\EuroscaleCoated.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\EuroscaleUncoated.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\JapanStandard.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\sRGB Color Space Profile.icm". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USSheetfedCoated.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USSheetfedUncoated.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USWebCoatedSWOP.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\AdobeRGB1998.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\WideGamutRGB.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\NTSC1953.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\PAL_SECAM.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\SMPTE-C.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\CIERGB.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\Photoshop5DefaultCMYK.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\Photoshop4DefaultCMYK.icc". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\AOL 7.0\Aol.hlp". Action Taken: No Action Taken. Sat May 28 17:12:16 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\AOL 7.0\Aol.cnt". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\FRITZ!\Mfc42u.dll". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\FRITZ!\Msvcirt.dll". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\FRITZ!\Msvcrt.dll". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\FRITZ!\Mfc42.dll". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\DOKUME~1\POISON~1\LOKALE~1\Temp\_ISTMP3.DIR\_ISTMP0.DIR\FileGrp\De_serv.exe ". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\FRITZ!\De_serv.exe". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\DOKUME~1\POISON~1\LOKALE~1\Temp\_ISTMP5.DIR\_ISTMP0.DIR\FileGrp\De_serv.exe ". Action Taken: No Action Taken. Sat May 28 17:12:17 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\SyncDlgN20.dll". Action Taken: No Action Taken. Sat May 28 17:12:18 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\Downloaded Program Files\MediaTicketsInstaller.ocx". Action Taken: No Action Taken. Sat May 28 17:12:19 2005 => Entry "HKCR\CLSID\{065DAF12-2C96-11D1-A2BE-00A024C0EB3C}" refers to invalid object "C:\Program Files\PCFriendly\main\bin\Router.dll". Action Taken: No Action Taken. Sat May 28 17:12:19 2005 => Entry "HKCR\CLSID\{11BE3AE6-C9DF-11D3-8E11-00805F9E26E6}" refers to invalid object "C:\Programme\AOL 6.0\PSFac.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{1745EDC4-CDCE-4e20-B91E-312F0C2AD16B}" refers to invalid object "C:\Programme\MSN\MSNCoreFiles\msnmetal.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{1F22CD29-E3DB-11D3-BC4E-0010833594F0}" refers to invalid object "C:\Programme\AOL 7.0\ebrowser.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{203B1C4D9-BC71-8916-38AD-9DEA5D213614}" refers to invalid object "C:\WINDOWS\System32\bre.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78d3-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78d4-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78d6-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78d8-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78d9-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78db-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78dc-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78dd-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:20 2005 => Entry "HKCR\CLSID\{229b78de-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e3-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e4-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e5-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e6-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e7-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e8-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78e9-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78ea-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{229b78eb-38f5-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{2BC66F51-93A8-11D3-BEB6-00105AA9B6AE}" refers to invalid object "C:\WINDOWS\Downloaded Program Files\avsniff.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{2BC66F54-93A8-11D3-BEB6-00105AA9B6AE}" refers to invalid object "C:\WINDOWS\Downloaded Program Files\avsniff.dll". Action Taken: No Action Taken. Sat May 28 17:12:21 2005 => Entry "HKCR\CLSID\{2E246FAE-8420-11D9-870D-000C2917DE7F}" refers to invalid object "C:\WINDOWS\SYSTEM\Loader.dll". Action Taken: No Action Taken. Sat May 28 17:12:24 2005 => Entry "HKCR\CLSID\{5E05D214-DD15-47cd-B5BC-65FAC825D3D0}" refers to invalid object "C:\Programme\MSN\MSNCoreFiles\msnmetal.dll". Action Taken: No Action Taken. Sat May 28 17:12:25 2005 => Entry "HKCR\CLSID\{76CE1CC0-7932-11D1-9509-00A0C9925315}" refers to invalid object "C:\PROGRA~2\PCFRIE~1\main\bin\ITIVIDEO.OCX". Action Taken: No Action Taken. Sat May 28 17:12:25 2005 => Entry "HKCR\CLSID\{7730E78F-A89A-11D3-9982-0060B088BBCA}" refers to invalid object "C:\Programme\AOL 6.0\Amp\AmpX.dll". Action Taken: No Action Taken. Sat May 28 17:12:26 2005 => Entry "HKCR\CLSID\{7D40BE24-67B4-11D4-B7C0-0050044A0724}" refers to invalid object "C:\PROGRA~1\GEMEIN~1\FUNCOM~1\UDACOM~1.DLL". Action Taken: No Action Taken. Sat May 28 17:12:27 2005 => Entry "HKCR\CLSID\{8F05DED0-B413-11D3-BA1D-00108334265F}" refers to invalid object "C:\Programme\AOL 6.0\PShopper.dll". Action Taken: No Action Taken. Sat May 28 17:12:27 2005 => Entry "HKCR\CLSID\{96CC8BC0-F91C-4B63-9732-261B28DA2EED}" refers to invalid object "vr_sys.dll". Action Taken: No Action Taken. Sat May 28 17:12:28 2005 => Entry "HKCR\CLSID\{B6069E5C-B409-11D3-BA1D-00108334265F}" refers to invalid object "C:\Programme\AOL 6.0\SABridge.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{bc8a96c0-3909-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{bc8a96c1-3909-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{bc8a96c2-3909-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{bc8a96c3-3909-11d5-9001-00c04f4c3b9f}" refers to invalid object "C:\Programme\AOL 7.0\Media\CDDBControl.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{C0E02720-C9D7-11D3-8E10-00805F9E26E6}" refers to invalid object "C:\Programme\AOL 6.0\PSFac.dll". Action Taken: No Action Taken. Sat May 28 17:12:29 2005 => Entry "HKCR\CLSID\{C31746DC-4BF9-4DC8-A299-B0F09AFACFB4}" refers to invalid object "C:\Programme\AOL 7.0\AMH.dll". Action Taken: No Action Taken. Sat May 28 17:12:30 2005 => Entry "HKCR\CLSID\{C627B4C0-01AF-41BB-A4CF-EC0DEF91ADAF}" refers to invalid object "C:\Programme\AOL 7.0\AMH.dll". Action Taken: No Action Taken. Sat May 28 17:12:30 2005 => Entry "HKCR\CLSID\{CC93F1D5-BAE8-11D4-BB7E-00E0290BFBAA}" refers to invalid object "C:\PROGRA~1\GEMEIN~1\FUNCOM~1\FUNINT~1.DLL". Action Taken: No Action Taken. Sat May 28 17:12:31 2005 => Entry "HKCR\CLSID\{D98E820F-6ACD-4dc0-921E-9841E3D8B4A7}" refers to invalid object "E:\player\WMMP.EXE". Action Taken: No Action Taken. Sat May 28 17:12:31 2005 => Entry "HKCR\CLSID\{DABB23E9-AC0D-3740-E3E5-4B37C80837E5}" refers to invalid object "C:\WINDOWS\System32\wirl.dll". Action Taken: No Action Taken. Sat May 28 17:12:31 2005 => Entry "HKCR\CLSID\{E726E415-FC33-451A-A309-00A95540596F}" refers to invalid object "C:\PROGRA~1\GEMEIN~1\FUNCOM~1\funAd.dll". Action Taken: No Action Taken. Sat May 28 17:12:32 2005 => Entry "HKCR\CLSID\{EB6BEA6B-F489-4846-902B-4CA285EA2311}" refers to invalid object "C:\Programme\AOL 7.0\AMH.dll". Action Taken: No Action Taken. Sat May 28 17:12:32 2005 => Entry "HKCR\CLSID\{F4C6D6E0-A8FB-4281-BE24-1662D646FE2B}" refers to invalid object "E:\player\WMMP.EXE". Action Taken: No Action Taken. Sat May 28 17:12:33 2005 => Entry "HKCR\CLSID\{FBE840E5-13A5-4cff-B2A9-4D1E64A17FF2}" refers to invalid object "E:\player\WMMP.EXE". Action Taken: No Action Taken. Sat May 28 17:12:47 2005 => Entry "HKCR\Plenoptic.Plenoptic" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken. Sat May 28 17:12:47 2005 => Entry "HKCR\Plenoptic.Plenoptic.1" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken. Sat May 28 17:12:50 2005 => Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken. Sat May 28 17:12:50 2005 => Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr.1" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken. Sat May 28 17:12:50 2005 => ***** Scanning System32 Folders ***** Sat May 28 17:12:56 2005 => File C:\WINDOWS\dvpd.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:12:56 2005 => File C:\WINDOWS\prntsvra.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:13:04 2005 => *** File C:\WINDOWS\System32\wmp.dll having Size Restriction ***. Filesize 4540 kb > 3072 kb... Sat May 28 17:13:52 2005 => *** File C:\WINDOWS\System32\oembios.bin having Size Restriction ***. Filesize 12800 kb > 3072 kb... Sat May 28 17:14:54 2005 => *** File C:\WINDOWS\System32\shell32.dll having Size Restriction ***. Filesize 8167 kb > 3072 kb... Sat May 28 17:15:13 2005 => ***** Scanning All Drives ***** Sat May 28 17:26:21 2005 => Scanning File C:\WINDOWS\dvpd.dll Sat May 28 17:26:21 2005 => File C:\WINDOWS\dvpd.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:26:27 2005 => Scanning File C:\WINDOWS\prntsvra.dll Sat May 28 17:26:27 2005 => File C:\WINDOWS\prntsvra.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:46:50 2005 => ***** Checking for specific ITW Viruses ***** Sat May 28 17:46:50 2005 => Checking for Welchia Virus... Sat May 28 17:46:51 2005 => Traces of "Welchia" found and cleaned !!! |
Und unter Virus Log Information steht das hier: (Tut mir echt unheimlich leid, dass ich Dich hier so mit Information zumülle!!!) Object "AltNet Spyware/Adware" found in File System! Action Taken: No Action Taken. Object "cws.therealsearch Spyware/Adware" found in File System! Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" refers to invalid object "C:\WINDOWS\Downloaded Program Files\MediaTicketsInstaller.ocx". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\vxblock.dll". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\MSXML3A.DLL". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\System32\DIMM.DLL". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USWebUncoated.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\AppleRGB.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\ColorMatchRGB.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\EuroscaleCoated.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\EuroscaleUncoated.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\JapanStandard.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\sRGB Color Space Profile.icm". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USSheetfedCoated.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USSheetfedUncoated.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\USWebCoatedSWOP.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Recommended\AdobeRGB1998.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\WideGamutRGB.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\NTSC1953.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\PAL_SECAM.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\SMPTE-C.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\CIERGB.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-Recommended\Photoshop5DefaultCMYK.icc". Action Taken: No Action Taken. Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Adobe\Acrobat 5.0\TempICCProfiles\Profiles\Non-RecomTraces of "Welchia" found and cleaned !!! |
@ Feuermelder Führe lieber mal die Find.bat aus, dann wird's für uns übersichtlicher und leichter. |
Irgendwie klappt die Batch-Datei bei mir nicht. Hab dann "nach alter Manier" (STRG+F) gesucht. Das Ergebnis in Kürze:) Sat May 28 17:12:13 2005 => System found infected with cws.therealsearch Spyware/Adware (waol.exe)! Action taken: No Action Taken. Sat May 28 17:12:56 2005 => File C:\WINDOWS\dvpd.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:12:56 2005 => File C:\WINDOWS\prntsvra.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:26:21 2005 => File C:\WINDOWS\dvpd.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:26:27 2005 => File C:\WINDOWS\prntsvra.dll infected by "Backdoor.Win32.Dumador.bj" Virus! Action Taken: No Action Taken. Sat May 28 17:37:07 2005 => File C:\Programme\AIDA32 - Enterprise System Information\aida32.exe tagged as not-a-virus:RiskWare.Tool.AIDA.3862. No Action Taken. Sat May 28 17:37:09 2005 => File C:\Programme\AIDA32 - Enterprise System Information\aida32.bin tagged as not-a-virus:RiskWare.Tool.AIDA.3862. No Action Taken. Sat May 28 17:37:09 2005 => File C:\Programme\AIDA32 - Enterprise System Information\aida_directx.dll tagged as not-a-virus:RiskWare.Tool.AIDA.3862. No Action Taken. Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry System = vr_sys.dll (in key SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad). Removing it. Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry {203B1C4D9-BC71-8916-38AD-9DEA5D213614} = C:\WINDOWS\System32\bre.dll (in key Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler). Removing it. Sat May 28 17:11:00 2005 => ERROR!!! Invalid Entry {DABB23E9-AC0D-3740-E3E5-4B37C80837E5} = C:\WINDOWS\System32\wirl.dll (in key Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler). Removing it. Sat May 28 17:11:16 2005 => ERROR!!! Invalid Entry \SystemRoot\System32\Drivers\CAPI20.SYS in SYSTEM\CurrentControlSet\Services\CAPI20... Sat May 28 17:11:20 2005 => ERROR!!! Invalid Entry System32\DRIVERS\NETFRITZ.SYS in SYSTEM\CurrentControlSet\Services\NETFRITZ... Sat May 28 17:11:23 2005 => ERROR!!! Invalid Entry System32\DRIVERS\TS154ICB.sys in SYSTEM\CurrentControlSet\Services\TS154_CB... Sat May 28 17:11:24 2005 => ERROR!!! Invalid Entry System32\Drivers\ulisa.sys in SYSTEM\CurrentControlSet\Services\ulisa... Außerdem: Sat May 28 17:46:50 2005 => ***** Checking for specific ITW Viruses ***** Sat May 28 17:46:50 2005 => Checking for Welchia Virus... Sat May 28 17:46:51 2005 => Traces of "Welchia" found and cleaned !!! Und: Sollte ich was bezüglich dieser "refers to invalid object"-Einträge unternehmen (siehe unten)? |
du hast einen oder mehrere backdoors auf dem system. dein system ist kompromittiert; es ist nicht mehr vertrauenswürdig. installiere windows neu mit beachtung dieser Anleitung |
Nö, nicht wirklich, oder? Gibt's denn gar keine Chance mehr? |
|
Ich habe gerade interessanterweise auf dem infizierten PC im system32-Ordner eine Datei namens $$$_.log entdeckt mit folgendem Inhalt: h**p://evker.com/s.exe h**p://deksten.biz/best.exe (Das ist alles, was da drin steht!!) Die ist zur gleichen Zeit "entstanden" wie das ganze Schlamassel an dem Notebook. Wenn man schon so konkrete Internetadressen hat, kann man da nicht was dagegen unternehmen, wenigsten den Server einfrieren?? Kennt Ihr Euch da aus? Viele Grüße, und vielen Dank für die Hilfe!! Sven |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 08:02 Uhr. |
Copyright ©2000-2024, Trojaner-Board