MSWSPL oder Mieser Virus
 

Hallo liebe Profis,

bis dato habe ich mit meinem Kaspersky, Adaware und HijackThis noch jeden Trojaner und Virus wegbekommen, aber seit einer Woche habe ich ein echt hartnäckiges Ding auf der Platte. Ich habe einen neuen user "LBWZgxxzACS" und im Internetexplorer (ich weiss, sollte nen anderen benutzen) öffnen sich ständig Fenster, die keywörter der jeweiligen Seite benutzen, um mich zu ebay oder sonstwohin zu locken. Das ganze System ist extrem lahm. Ich habe alles gemacht. Habe mehrmals im abges. Modus den Kaspersky, Adaware, Ewido, Spybot, Sword, HijackThis laufen lassen, alles gefixt, habe mit Kilbox Dateien gelöscht und in der Registry Einträge gelöscht. Hat alles nix gebracht. Also folgende Probleme:
Adaware findet:
Adware.LinkOptimizer Regkey HKEY_KEY_LOCALMACHINE:software\microsoft\internet explorer\urlsearchhooks
Adware.LinkOptimizer RegValue HKEY_LOCAL_MACHINE:software\microsoft\internet explorer\urlsearchhooks"{CFBFAE00-17A6-11D0-99CB-00C04FD64497}"
Adware.LinkOptimizer RegValue HKEY_LOCAL_MACHINE:software\microsoft\internet explorer\urlsearchhooks"{2379CF7C-4F56-CF5B-D132-D5430E7F9697}"
Adware.LinkOptimizer Regkey HKEY_CLASSES_ROOT:clsid\{e3a77057-d10b-b02a-d823-22e020c583b5}

Hier habe ich alles gelöscht

HijackThis sagt:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ewido\security suite\ewidoctrl.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\QuickTime\qttask.exe
D:\Programme\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R3 - Default URLSearchHook is missing
F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: Class - {2379CF7C-4F56-CF5B-D132-D5430E7F9697} - C:\WINDOWS\ggilq1.dll (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.de/scan8/oscan8.cab

Hier habe ich searchhook und den BHO Eintrag gefixt.

ggilq1.dll gibt es nicht bzw. habe ich mit killbox gelöscht.

In der Registrierung habe ich wegen Virus "dload BB" (siehe sophos) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mswspl gelöscht (hoffentlich war das richtig).

Hat alles nix genützt, der user ist immer wieder da und alle anderen Einträge auch und der Sch**** Internetexplorer und das System lahm wie vorher. Bitte bitte kann mir jemand helfen, denn ich habe keine Lust mein System neu aufzusetzen, denn unter C: läuft auch Cubase mit allen vsti und Einstellungen.
Schonmal Vielen Dank vorab.

Supergrobi

Das sieht nicht gut aus, ich befürchte hier eine Kompromittierung die sich nur durch ein Neuaufsetzen sicher beseitigen lässt. Poste doch mal ein vollständiges Hijackthis-Logfile.
Lass das System auch mal mit Blacklight scannen und poste das Ergebnis.

Hallo cosinus,

danke für die schnelle antwort, es scheint ja echt übel zu sein, denn blacklight gibt mir folgende antwort:
FSecure Blacklight could not acquire neccessary privileges (SeDebug)
- your computer settings prevent acquiring these privileges
- A malicious program might have disabled these privileges

eine vollständige hijackthis: ja ich riesenraul benutze sp1

normal surfe ich auch am rechner meiner frau mit sp2 nur selten bei mir, im moment komme ich übrigens auch nicht auf seiten wie trojaner-board.de, scheint also echt was ernstes zu sein, nur wie gesagt, bitte kein format c

Hier ist die Lösung Deines Problemes:
http://www.trojaner-board.de/12154-a...sicherung.html

SP2 sollte Pflicht sein, da MS den Service für SP1 per 10/2006 eingestellt hat.