Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Hilfe (https://www.trojaner-board.de/23039-hilfe.html)

ina 25.10.2005 19:23
Hilfe
 
ich werf das ding bald weg....

ich hab wenn ich panda online scan glauben darf 4 dialer drauf, laut anti vir2 trojaner und unten rechts geht immer so ein fenster auf in dem steht sowas "your pc might be a risk"

wer wäre denn noch mal bereit mir zu helfen?? :-(



Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMP\_VWUPSRV.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dobermania.de/
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunOnce: [Panda_cleaner_203197] C:\WINDOWS\system32\ActiveScan\pavdr.exe 203197
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {E53458D2-5A83-4BD1-8DE2-EEEBE73BAB49} (CheckControl Class) - http://www.content-loader.com/load/ccaccess.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS1\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS2\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

cacatoa 25.10.2005 19:28
Hi,
laß mal den folgenden Remover gemäß Anleitung laufen.
Und poste bitte das Kopfteil von Deinem HJT-Logfile noch rein (Systeminfos).
cacatoa

ina 25.10.2005 19:33
ok vielen dank..mach ich jetzt

ina 25.10.2005 19:42
wollte grad fixen find das aber nicht

sieht in etwa so aus: O4 - HKLM\..\Run: [veezye] c:\windows\system32\mcnmtya.exe)

ina 25.10.2005 19:43
Logfile of HijackThis v1.99.1
Scan saved at 20:48:04, on 26.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\SYMNET~1\SNDMon.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Avant Browser\avant.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\MsiExec.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\MsiExec.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\HijackThis.exe
C:\PROGRA~1\GEMEIN~1\SYMANT~1\sevinst.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.dobermania.de/
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Alle Bilder von gleichem Server filtern - C:\Programme\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Hervorheben - C:\Programme\Avant Browser\Highlight.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Suchen - C:\Programme\Avant Browser\Search.htm
O8 - Extra context menu item: Zur Werbebanner-Filterliste hinzufügen - C:\Programme\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Öffne alle Links auf dieser Seite... - C:\Programme\Avant Browser\OpenAllLinks.htm
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {E53458D2-5A83-4BD1-8DE2-EEEBE73BAB49} (CheckControl Class) - http://www.content-loader.com/load/ccaccess.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS1\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS2\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

cacatoa 25.10.2005 19:48
Erst mal bitte die aktiven Links in deinen Logfiles editieren! Z.B. so: h**p usw.
Der Rest, den Du gemacht hast, passt. Jetzt mach bitte noch nach Anleitung einen eScan (dauert ca. 1 Stunde) und poste das Ergebnis der "find.bat".
cacatoa

ina 25.10.2005 21:23
hab escan gemacht....wo ist die find.rar?

ina 25.10.2005 21:27
habs

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed Oct 26 21:11:24 2005 => System found infected with adware.toolbar.sbsoft.h Spyware/Adware ({08bec6aa-49fc-4379-3587-4b21e286c19e})! Action taken: No Action Taken.
Wed Oct 26 21:11:27 2005 => System found infected with ezula Spyware/Adware (antispy.exe)! Action taken: No Action Taken.
Wed Oct 26 21:11:30 2005 => System found infected with ezula Spyware/Adware (antispy.exe)! Action taken: No Action Taken.
Wed Oct 26 21:11:30 2005 => System found infected with thelocalsearch Spyware/Adware (uninstal.exe)! Action taken: No Action Taken.
Wed Oct 26 21:11:35 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:11:35 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:11:36 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:11:40 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:11:41 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:11:48 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:11:50 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:11:57 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:11:57 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:11:58 2005 => System found infected with whenu.savenow Spyware/Adware (show_ads[2].js)! Action taken: No Action Taken.
Wed Oct 26 21:11:59 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:11:59 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:02 2005 => System found infected with whenu.savenow Spyware/Adware (ticker[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:02 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (formie[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (common[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with redv Spyware/Adware (global[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:03 2005 => System found infected with whenu.savenow Spyware/Adware (show_ads[2].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:04 2005 => System found infected with whenu.savenow Spyware/Adware (blank[1].htm)! Action taken: No Action Taken.
Wed Oct 26 21:12:04 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:12:04 2005 => System found infected with whenu.savenow Spyware/Adware (ticker[1].js)! Action taken: No Action Taken.
Wed Oct 26 21:12:04 2005 => System found infected with whenu.savenow Spyware/Adware (stylesheet[1].css)! Action taken: No Action Taken.
Wed Oct 26 21:19:09 2005 => File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G3S5AHY7\ccaccess[1].cab infected by "Trojan.Win32.Dialer.ks" Virus! Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed Oct 26 21:32:46 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0019182.EXE.VIR
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019182.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0019200.EXE.VIR
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019200.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0019491.EXE.VIR
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019491.EXE.VIR tagged as "not-a-virus:AdWare.Win32.BetterInternet.t". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\A0020516.EXE.VIR
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0020516.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 22:04:22 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed Oct 26 21:20:43 2005 => File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\L239LEKQ\WinFixer2005ScannerInstallDE[1].cab tagged as not-a-virus:Downloader.Win32.Agent.d. No Action Taken.
Wed Oct 26 21:27:01 2005 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiSpyInfo\Nail.exe.q_2CFCE00_q tagged as "not-a-virus:AdWare.Win32.BetterInternet.b". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019182.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019200.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0019491.EXE.VIR tagged as "not-a-virus:AdWare.Win32.BetterInternet.t". Action Taken: No Action Taken.
Wed Oct 26 21:32:46 2005 => File C:\Programme\AVPersonal\INFECTED\A0020516.EXE.VIR tagged as "not-a-virus:AdWare.Win32.FindSpy.a". Action Taken: No Action Taken.
Wed Oct 26 21:40:55 2005 => File C:\WINDOWS\AuroraHandler.dll_tobedeleted tagged as "not-a-virus:AdWare.Win32.BetterInternet.h". Action Taken: No Action Taken.
Wed Oct 26 21:41:04 2005 => File C:\WINDOWS\Downloaded Program Files\CONFLICT.1\UWFX5U_0001_LPNetInstaller.exe tagged as not-a-virus:Downloader.Win32.Agent.d. No Action Taken.
Wed Oct 26 21:41:05 2005 => File C:\WINDOWS\Downloaded Program Files\CONFLICT.2\UWFX5U_0001_LPNetInstaller.exe tagged as not-a-virus:Downloader.Win32.Agent.d. No Action Taken.
Wed Oct 26 21:41:05 2005 => File C:\WINDOWS\Downloaded Program Files\UWFX5U_0001_LPNetInstaller.exe tagged as not-a-virus:Downloader.Win32.Agent.d. No Action Taken.
Wed Oct 26 21:58:11 2005 => File C:\WINDOWS\uglfnmskqma.exe tagged as "not-a-virus:AdWare.Win32.BetterInternet.am". Action Taken: No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "offending"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed Oct 26 21:11:27 2005 => Offending Folder found: C:\WINDOWS\DOWNLO~1\conflict.1
Wed Oct 26 21:11:27 2005 => Offending file found: C:\WINDOWS\system32\antispy.exe
Wed Oct 26 21:11:30 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Desktop\ordnung\antispy\antispy.exe
Wed Oct 26 21:11:30 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Desktop\ordnung\antispy\uninstal.exe
Wed Oct 26 21:11:35 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\3q8bvh4d\formie[1].css
Wed Oct 26 21:11:35 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\3q8bvh4d\global[1].js
Wed Oct 26 21:11:36 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\3q8bvh4d\stylesheet[1].css
Wed Oct 26 21:11:40 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\9rvf9lg6\global[1].js
Wed Oct 26 21:11:41 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\c5abk1a5\blank[1].htm
Wed Oct 26 21:11:48 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\l239lekq\formie[1].css
Wed Oct 26 21:11:50 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\q18f6x25\blank[1].htm
Wed Oct 26 21:11:57 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\w94zojcb\common[1].js
Wed Oct 26 21:11:57 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\wfzz2o1d\global[1].js
Wed Oct 26 21:11:58 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\wfzz2o1d\show_ads[2].js
Wed Oct 26 21:11:59 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\x902ojpj\blank[1].htm
Wed Oct 26 21:11:59 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\x902ojpj\stylesheet[1].css
Wed Oct 26 21:12:02 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\ytbs5gb2\ticker[1].js
Wed Oct 26 21:12:02 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\temporary internet files\content.ie5\zvlj3t8o\stylesheet[1].css
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\3q8bvh4d\formie[1].css
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\3q8bvh4d\global[1].js
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\3q8bvh4d\stylesheet[1].css
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\9rvf9lg6\global[1].js
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\c5abk1a5\blank[1].htm
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\l239lekq\formie[1].css
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\q18f6x25\blank[1].htm
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\w94zojcb\common[1].js
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\wfzz2o1d\global[1].js
Wed Oct 26 21:12:03 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\wfzz2o1d\show_ads[2].js
Wed Oct 26 21:12:04 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\x902ojpj\blank[1].htm
Wed Oct 26 21:12:04 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\x902ojpj\stylesheet[1].css
Wed Oct 26 21:12:04 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\ytbs5gb2\ticker[1].js
Wed Oct 26 21:12:04 2005 => Offending file found: C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\content.ie5\zvlj3t8o\stylesheet[1].css
Wed Oct 26 21:12:05 2005 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Favoriten\online pharmacy
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed Oct 26 22:04:22 2005 => Total Virus(es) Found: 46
Wed Oct 26 22:04:22 2005 => Total Errors: 116
Wed Oct 26 22:04:23 2005 => Time Elapsed: 00:53:49
Wed Oct 26 22:04:22 2005 => Total Objects Scanned: 67071
Wed Oct 26 21:09:52 2005 => Virus Database Date: 2005/10/21
Wed Oct 26 22:04:23 2005 => Virus Database Date: 2005/10/21
Wed Oct 26 22:23:26 2005 => Virus Database Date: 2005/10/21
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

ina 25.10.2005 21:28
ich hab die systemwiederherstellung immer noch deaktiviert...richtig?

cacatoa 25.10.2005 21:37
Wieder aktivieren.
Dann clearprog 1.4.1 final runterladen und auf "alles löschen" clicken. Damit sind deine temporary internetfiles weg.
Dann die Quarantäneordner von Antivir komplett löschen.
Dann nochmal ein Logfile erstellen.
und: nicht verzweifeln ;)

ina 25.10.2005 21:41
okay...hab alle temp gelöscht..wo find ich den anti vir quarantäne ordner? sorry

ina 25.10.2005 21:45
ne ich verzweifel nicht...ich hab mir geschworen die ganzen mistkröten auf unserem pc zu killen...hab morgen frei...wenn ich gleich vor wut ins bett gehe würde ich gerne morgen weitermachen...toll wie schnell einer ;-) hier geholfen wird

cacatoa 25.10.2005 21:47
Mach Deinen Antivir auf und schau nach einem Menüpunkt "Quarantäne" oder "Backup" oder "Infected" bei den Möglichkeiten Options, tools oder report. Lösche die darin enthaltenen Dateien.
Ich nutze Antivir nicht, deshalb kann ich Dir nicht explizit den Menüpunkt beschreiben.
cacatoa

ina 25.10.2005 21:50
Logfile of HijackThis v1.99.1
Scan saved at 22:54:33, on 26.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Avant Browser\avant.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\Ordnung\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.dobermania.de/
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Alle Bilder von gleichem Server filtern - C:\Programme\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Hervorheben - C:\Programme\Avant Browser\Highlight.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Suchen - C:\Programme\Avant Browser\Search.htm
O8 - Extra context menu item: Zur Werbebanner-Filterliste hinzufügen - C:\Programme\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Öffne alle Links auf dieser Seite... - C:\Programme\Avant Browser\OpenAllLinks.htm
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {E53458D2-5A83-4BD1-8DE2-EEEBE73BAB49} (CheckControl Class) - http://www.content-loader.com/load/ccaccess.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS1\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O17 - HKLM\System\CS2\Services\Tcpip\..\{1D55CDD4-4BA4-4FC6-ABF5-CE3E11C820B6}: NameServer = 69.50.176.198,85.255.112.12
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

cacatoa 25.10.2005 21:57
Das fixen:
O16 - DPF: {E53458D2-5A83-4BD1-8DE2-EEEBE73BAB49} (CheckControl Class) - http://www.content-loader.com/load/ccaccess.cab
Außerdem die drei O17-Einträge, wenn sie nicht beabsichtigt sind.
Die IP, die dort gezeigt wird gehört zu:
person: Andrei Kislizin
address: OOO Inhoster,
address: ul.Antonova 5, Kiev,
bzw. umgeleitet zu:
OrgName: InterCage, Inc.
OrgID: INTER-359
Address: 1955 Monument Blvd.
Wenn nicht bekannt/gewünscht, dann alle dei fixen.
cacatoa

ina 25.10.2005 21:59
gemacht...soll ich jetzt noch mal n online scan oder so laufen lassen...oder ists gut so?

Logfile of HijackThis v1.99.1
Scan saved at 23:03:13, on 26.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Avant Browser\avant.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\Ordnung\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dobermania.de/
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Alle Bilder von gleichem Server filtern - C:\Programme\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Hervorheben - C:\Programme\Avant Browser\Highlight.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Suchen - C:\Programme\Avant Browser\Search.htm
O8 - Extra context menu item: Zur Werbebanner-Filterliste hinzufügen - C:\Programme\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Öffne alle Links auf dieser Seite... - C:\Programme\Avant Browser\OpenAllLinks.htm
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - Unknown owner - C:\Programme\AVPersonal\AVWUPSRV.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

cacatoa 25.10.2005 22:07
Sieht schon echt gut aus.
Jetzt nur mal zur Kontrolle:
Lade dir die beiden folgenden Programme runter:
AdAware SE und
Spybot S&D 1.4 runter und update beide!!
Lass sie im abgesicherten Modus laufen und alles löschen, was sie finden.
Poste dann, ob und ggf. was gefunden wurde. Dann sollte aber auch gut sein.
Und noch viel Spaß mit dem (den) Hund(en)...
cacatoa :daumenhoc

ina 25.10.2005 22:08
danke...der kleine schwarze muss gleich nochmal gassi...;-)

ich hab adaware und spybot drauf..werd das jetzt laufen lassen...

ina 26.10.2005 09:11
antivir sagt :


C:\WINDOWS\SYSTEM32\RDSNDIN.EXE

ist ein trojaner

und nu?

ina 26.10.2005 09:12
27.10.2005,09:30:37 [WARNUNG] Ist das Trojanische Pferd TR/Vidro.U!
C:\SYSTEM VOLUME INFORMATION\_RESTORE{CE03096C-4200-467B-90CD-CAFB40AE07B5}\RP1\A0000057.EXE
27.10.2005,09:46:59 [WARNUNG] Ist das Trojanische Pferd TR/Click.526!
C:\WINDOWS\SYSTEM32\RDSNDIN.EXE

ina 26.10.2005 09:37
und dieses "your computer might be a risk...." unten rechts geht immer noch auf...

cacatoa 26.10.2005 09:53
Hi, Ina:
1. C:\WINDOWS\SYSTEM32\RDSNDIN.EXE diese Datei im abgesicherten Modus bei deaktivierter Systemwiederherstellung löschen.
im Logfile war diese Datei noch nicht.
2. C:\SYSTEM VOLUME INFORMATION\_RESTORE{CE03096C-4200-467B-90CD-CAFB40AE07B5}\RP1\A0000057.EXE
Das ist in der Systemwiederherstellung. Wenn du, wie empfohlen, die Systemwiederherstellung ausgeschaltet hattest und dann wieder neu bootest und die Systemwiederherstellung wieder anschaltest, dann sind solche Dinge weg. D.h., Du hast Dir das ganze später eingefangen. Also nochmal Systemwiederherstellung aus, Rechner aus, Rechner an, Systemwiederherstellung wieder an.
3. Dann bitte neu berichten.
4. Du kannst aber mal Ewido runterladen (Testversion) und laufen lassen. Schau mal, was der noch so findet. Bei mir läuft die Vollversion ständig.
cacatoa

ina 26.10.2005 10:08
hab ich mich erschrocken bei dem alarm von ewido..fall gleich vom stuhl ;-)

bericht kommt gleich

ina 26.10.2005 10:16
---------------------------------------------------------
ewido security suite - Scan Report
---------------------------------------------------------

+ Erstellt am: 11:20:27, 27.10.2005
+ Report-Checksumme: FE1F104B

+ Scanergebnis:

HKU\S-1-5-21-682003330-1078145449-725345543-500\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\\{BF69DF00-2734-477F-8257-27CD04F88779} -> TrojanDownloader.Wareout : Gesäubert mit Backup
HKU\S-1-5-21-682003330-1078145449-725345543-500\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{08BEC6AA-49FC-4379-3587-4B21E286C19E} -> Spyware.SBSoft : Gesäubert mit Backup
HKU\S-1-5-21-682003330-1078145449-725345543-500\Software\WareOut -> TrojanDownloader.Wareout : Gesäubert mit Backup
HKU\S-1-5-21-682003330-1078145449-725345543-500\Software\WareOut\Options -> TrojanDownloader.Wareout : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@e-2dj6wfkouhazsgp.stats.esomniture[2].txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@e-2dj6wjloagc5oco.stats.esomniture[1].txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@e-2dj6wjlyahd5cho.stats.esomniture[2].txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiSpyInfo\Nail.exe.q_2CFCE00_q -> Adware.BetterInternet : Gesäubert mit Backup
C:\WINDOWS\AuroraHandler.dll_tobedeleted -> Adware.BetterInternet : Gesäubert mit Backup
C:\WINDOWS\Downloaded Program Files\CONFLICT.1\UWFX5U_0001_LPNetInstaller.exe -> Not-A-Virus.Downloader.Agent.d : Gesäubert mit Backup
C:\WINDOWS\Downloaded Program Files\CONFLICT.2\UWFX5U_0001_LPNetInstaller.exe -> Not-A-Virus.Downloader.Agent.d : Gesäubert mit Backup
C:\WINDOWS\Downloaded Program Files\UWFX5U_0001_LPNetInstaller.exe -> Not-A-Virus.Downloader.Agent.d : Gesäubert mit Backup


::Report Ende

cacatoa 26.10.2005 12:15
So, bitte jetzt den Quarantäne-Ordner von Ewido vollständig und endgültig leeren.
Auch Antivir dürfte jetzt nichts mehr anzeigen.
Ist dein Prob: your computer might be a risk.... jetzt weg?
cacatoa

ina 26.10.2005 12:30
hey super...im moment scheint ruhe eingekehrt zu sein....vielen vielen lieben dank!!!!! :daumenhoc

cacatoa 26.10.2005 12:34
Gern geschehen... http://www.cosgan.de/images/smilie/tiere/n020.gif
cacatoa


Alle Zeitangaben in WEZ +1. Es ist jetzt 05:07 Uhr.

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130