Trojaner-Board - Diese penetranten IEXPLORER-Prozesse :(

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Diese penetranten IEXPLORER-Prozesse :( (https://www.trojaner-board.de/38599-diese-penetranten-iexplorer-prozesse.html)

Kleiner Ausflug:

1. Kopiere folgenden Text in eine Textdatei und speicher sie mit dem Namen "delvir.bat" im Ordner C:\windows ab:

Code:

del /F /S /Q "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\cash poke dupe way\*.*"

del /F /S /Q C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\NetPumper\*.*"

del /F /S /Q C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\Sendfragcake\*.*"

2. Installiere die Wiederherstellungskonsole wie folgt:

Zitat:

1. Legen Sie Ihre Windows-XP-CD in Ihr CD-ROM-Laufwerk ein.
2. Klicken Sie auf Start und anschließend auf Ausführen.
3. Geben Sie im Feld Öffnen die Zeichenfolge d:\i386\winnt32.exe /cmdcons ein, wobei d der Laufwerksbuchstabe für das CD-ROM-Laufwerk ist.
4. Ein Windows Setup-Dialogfeld wird angezeigt. Ein Windows Setup-Dialogfeld wird angezeigt, in welchem die Option "Wiederherstellungskonsole" beschrieben wird. Bestätigen Sie die Installation mit einem Klick auf Ja.
5. Starten Sie den Computer neu. Wenn Sie den Computer das nächste Mal starten, wird im Startmenü der Eintrag "Microsoft Windows-Wiederherstellungskonsole" angezeigt.

3. Beim Booten wählst Du die Wiederherstellungskonsole aus. Wenn das Passwort für den Account "Administrator" abgefragt wird, gibt es ein. Solltest Du es nicht wissen, drück einfach ENTER.

4. Tippe nun delvir.bat und drücke ENTER. Wenn der Spuk vorbei ist tippe exit und drücke ENTER. Boote wieder normal ins Windows und prüfe, ob die Dateien wirklich gelöscht wurden.

Gruß

Marc

Hallo

Hallo Marc ist dieses Leerzeichen gewollt?

Zitat:

...\NetPumper\*_.*"

("mein eingefügter Unterstrich" wenn nicht evtl. als code posten?)

MFG

Zitat:

Zitat von nochdigger (Beitrag 266746)

Hallo
Hallo Marc ist dieses Leerzeichen gewollt?
("mein eingefügter Unterstrich" wenn nicht evtl. als code posten?)

War nur ein Test, ob hier jemand mitliest und aufpasst :daumenhoc

ok, mercy mercy ... aber leider funktioniert es nicht.

habe alles so gemacht wie du schriebst. doch wenn ich in der Wiederherstellungskonsole(nach dem booten) delvir.bat eingeb, nimmt er dies nicht an -> ungültige eingabe oder sowas erscheint...

:confused:

Zitat:

Zitat von iZZoshiZ (Beitrag 267116)

habe alles so gemacht wie du schriebst. doch wenn ich in der Wiederherstellungskonsole(nach dem booten) delvir.bat eingeb, nimmt er dies nicht an -> ungültige eingabe oder sowas erscheint...

Sorry, mein Fehler. Batchdateien funktionieren leider nicht in der Wiederherstellungskonsole. Kein Grund zur Panik.

Gehe in die Wiederherstellungskonsole und gebe die Zeilen manuell ein. Jede Zeile exakt so, wie sie hier steht (auch mit den ""). Jede Zeile bestätigst Du mit ENTER.

Code:

del /F /S /Q "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\cash poke dupe way\*.*"

del /F /S /Q "C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\NetPumper\*.*"

del /F /S /Q "C:\Dokumente und Einstellungen\iZZoshiZ\Anwendungsdaten\Sendfragcake\*.*"

Gruß

Marc

ungültiger Parameter :confused:

genau nach C:\Windows\ hab ich angefangen es genau so einzutippen. Mit jeder Leerzeile und jedem " ...

ich probiere es nochmal schnell, was sonst?!

--> nein leider nichts :(

Zitat:

Zitat von iZZoshiZ (Beitrag 267124)

Ich teste das mal bei mir und schaue, ob ein Fehler im Syntax vorliegt oder ein Fehler auf Deinem Rechner ursächlich ist.

Edit:

Ok, was ich bisher nicht wusste ist, dass die Konsole nicht nur bezüglich der Kommandos eingeschränkt ist, sondern auch bezüglich der Kommandos.

Ich würde vorschlagen mit Knoppix zu booten. Allerdings besteht das Risiko eines Datenverlusts. Bart PE scheint mir dann doch etwas zu komplex von der Vorbereitung her. Von daher gebe ich die Sache an dieser Stelle mal zur Diskussion frei.

danke dir auf jeden fall ...

brauch da unbedingt ne Lösung! Formatieren geht ja mal gar nicht -> zuviel wichtiges zeus und die platten sind einfach zu groß

-> diese scheiss malware zieht meinen PC so derbe runter ... hält sich zwar noch in grenzen aber im inet merk ichs ohne ende :( :( :( :( :(

geht ja mal gar nich

H E L P

Hast du vielleicht noch irgendwo 'ne win98 cd rumliegen? Mit der booten und dann die befehle asuführen? vielleicht klappt es?!

wie lange hast du auf den abgesicherten Modus (mit blinkender space-taste) gewartet? Das kann auch mal länger dauern, vielleicht einfach nochmals versuchen und etwas länger warten.

:dummguck: ähm ja ... da hätt ich wohl doch mehr geduld mit dem abgesichertem Modus haben sollen :rolleyes:

voila!

========================================================
Logfile of HijackThis v1.99.1
Scan saved at 00:03:03, on 08.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Winamp\winampa.exe
C:\Programme\Eset\nod32kui.exe
C:\Programme\Java\jre1.5.0_11\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative\MediaSource\RemoteControl\RCMan.EXE
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
D:\Programme\HijackThis\ABC.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] D:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RemoteCenter] C:\Programme\Creative\MediaSource\RemoteControl\RCMan.EXE
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Beep Bits] C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\ONLINE TRUST SHOW.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - S:\Spiele\PartyPoker\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - S:\Spiele\PartyPoker\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: GoogleDesktopManager - Google - C:\Programme\Google\Google Desktop Search\GoogleDesktopManager.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programme\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - D:\Programme\SiSoftware\SiSoftware Sandra Lite XI.SP1\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - D:\Programme\SiSoftware\SiSoftware Sandra Lite XI.SP1\RpcSandraSrv.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe
=======================================================
alles wieder fein? nochwas zu erledigen?

im Abg-Modus konnt ich den net pumper nicht finden... ist wohl schon wech

die Prozesse auch... puuuuhhhhh

diggen dank euch allen....Dreien ;) :daumenhoc
muss jetz schleunigst ins bett -> arbeit :zzwhip:

Moin

da ist noch einer aktiv...
fixe diesen Eintrag mit Hijackthis :

O4 - HKCU\..\Run: [Beep Bits] C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\ONLINE TRUST SHOW.exe

und anschließend wechsel direkt in den abgesicherten Modus.

Lösche diesen Ordner :

C:\DOKUME~1\iZZoshiZ\ANWEND~1\SENDFR~1\

leere den Papierkorb und starte deinen Rechner neu in den normalen Modus, jetzt solltest du alles los sein (Java könnte ein update ab).

MFG

ok ... im hijackthis-log is der eintrag weg ... aber im abgesicherten modus hab ich den eintrag Sendfrag\OnlineTrustShow nicht gefunden!?!!

S&D hat beim hochfahren aber schon angezeigt ob ich BeepBits verbieten soll (was ich natürlich getan habe)
sollte S&D nur an sein wenn es gebraucht wird?!

Nabend

Zitat:

ok ... im hijackthis-log is der eintrag weg ... aber im abgesicherten modus hab ich den eintrag Sendfrag\OnlineTrustShow nicht gefunden!?!!

lies meinen post nochmal gaaanz langsam und gleich nochmal.
Du solltest den Eintrag im NORMALEN Modus fixen und dann......

MFG

ähm... gaaaanz langsam: das habe ich getan - gefixt im normalen - gesucht im abgesicherten -> keine spur von sendfr~ und/oder OnlineTrust

Hallo

hattest du den Teatimer deaktiviert?

Lass bitte nochmal die Ordner.bat laufen.

MFG