|
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 Hi Trojaner-Board-Team ich hoffe, dass dieser Post angesichts der Probleme anderer User nicht unnötig ist, ich als absolut unerfahrener User im Ungang mit Trojanern komme aber einfach nicht weiter. Wie viele andere auch habe ich das Problem mit der HomeSearch Seite (URL:res://mdvgt.dll/index.html#37794), die sich als Startseite nicht entfernen lässt sowie mit den ständigen Pop-Ups. Ich habe viele Foreneinträge gelesen (in verschiedenen), habe einiges ausprobiert (z.B. den Tipp mit dem Download von http://oz.msie.tv/uninstall.exe bzw. dem hochschrauben aller AntiVirGuard Einstellungen, habe mit eScan im abgesicherten Modus gescannt (... nichts gefunden) und habe mit der automatischen HiJackThis Analyse die als böse eingestuften Einträge gefixt ... gebracht hat's alles nichts, bei jedem I-Explorerstart (ich schwöre, dass ich Browser wechseln werde, wenn das Problem hier gelöst ist ...) und Win-Explorer Start kommt folgende Meldung: "C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02" Löschen lässt sie sich natürlich nicht ... Also hier ist mein (im abgesicherten Modus erstelltes) HiJackThis-Log: Logfile of HijackThis v1.98.1 Scan saved at 20:36:15, on 07.08.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\userinit.exe C:\WINDOWS\Explorer.EXE C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm Wenn mir jemand detailliert beschreiben könnte, was zutun ist (wie gesagt, ich habe KEINERLEI Erfahrung im Umgang mit Trojanern bzw. Editieren der Registry etc.) wäre ich ihm zu höchstem Dank verpflichtet ... ich weiß nichtmehr weiter :( Mit freundlichen Grüßen und Dank im Vorraus Michael Bovet |
C:\WINDOWS\nted.dll C:\WINDOWS\QMMQE.DAT Überprüfe die Dateien mal hier: http://www.kaspersky.com/de/scanforvirus Zumindest die erste müsste doch erkannt werden. Ich kann somit auch nicht verstehen, warum dies nicht von eScan gefunden wurde. Ergebnis? Dann solltest du REGELMÄSSIG auf www.windowsupdate.com vorbeischauen und alle Updates und Patches installieren. Mach dies mal gleich ... |
C:\WINDOWS\nted.dll -> nted.dll Infiziert: TrojanDownloader.Win32.Agent.bq C:\WINDOWS\QMMQE.DAT -> warum auch immer, die datei ist nicht im Windows Ordner vorhanden ?! Warum eScan sie nicht erkannte ist mir auch nicht klar, ich sollte die neuste Version haben ... und nun ? Die neusten Patches&Updates sind geladen. |
Dies fixen: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe Danach diese Datei C:\WINDOWS\nted.dll manuell löschen! Am besten im abgesicherten Modus! Schützen kannst du dich durch einen anderen Browser: www.firefox-browser.de ist schnell, sicher und kostenlos. Wegen der QMMQE.DAT: Die versteckten Dateien lässt du dir ja scheinbar anzeigen -> Explorer -> Ansicht -> Optionen -> versteckte Dateien anzeigen |
Hi Christian erstmal vielen Dank bis zu diesem Punkt, meine Startseite habe ich wieder (auch wenn ich C:\WINDOWS\nted.dll nichtmehr löschen könnte, da sie eim Neustart im abgesicherten Modus nichtmehr vorhanden war?!) Nichtsdestotrotz meldet AntiVirGuard immernoch, dass der Trojaner auf der Festplatte sei, jedoch in einer anderen Datei steckt (ich reiche sie später nach) Vielmehr beunruhigt mich, dass AntiV.G. nun einen weiteren Trojaner in Sekunde - bis Minutenabständen meldet, und zwar TR/Spy.Tofger.BI.2, jedoch JEDESMAL in einer anderen Datei (z.B. C:\WINDOWS\SDKTK32.EXE oder C:\WINDOWS\SYSTEM32\D3WT32.EXE), so dass er sich wiederum nicht löschen lässt. Hilfe?! Neue HiJackThisLogDatei: Logfile of HijackThis v1.98.1 Scan saved at 23:03:49, on 07.08.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\WINDOWS\System32\RunDll32.exe C:\WINDOWS\system32\sdkit.exe C:\PROGRA~1\ICQ\ICQ.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm Darüberhinaus sind in meinem Windowsordner Dutzende Unterordner mit Namen wie $NtUninstallKB823182$ oder $NtUninstallKB823182$, die Anwendungen mit dem Namen "spuninst" enthalten - gibt es da einen Zusammenhang?! Weiterhin hilfesuchend und dankend Michael Bovet |
Löschen: C:\WINDOWS\system32\sdkit.exe C:\WINDOWS\system32\sdkyo32.dll (dieser Agent variert bei jedem Neustart) Dies dann fixen: R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe Versuch die Datei nun zu löschen ohne Neustart durchzuführen bzw. ohne abg. Modus.! Danach lass nochmal AntiVir bzw. e-Scan im abgesicherten Modus laufen. |
Okay .. alles soweit gemacht ... und es scheint zu funktionieren -> endgültiges HiJack-Log: Logfile of HijackThis v1.98.1 Scan saved at 00:13:49, on 08.08.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\WINDOWS\System32\RunDll32.exe C:\PROGRA~1\ICQ\ICQ.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Windows Media Player\wmplayer.exe C:\Programme\eMule\emule.exe C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm Sieht gut aus - oder ? Wenn denn alles wirklich die nächsten Tage fehlerfrei laufen sollte, dann von mir ein Riesendankeschön an dich - der Service ist super - und das er kostenfrei ist, sowieso unglaublich :). Ich werde mir gleich FireFox holen, um weitere Infektionen zu vermeiden - eine kurze Frage aber noch: Wie habe ich mich infiziert, ist es denn möglich, ohne etwas gedownloaded zu haben ?! Nochmals vielen Dank und Grüße Michael Bovet (ich hoffe, ich werde hier lange nichtmehr posten müssen;) |
Wer sagt, dass das hier kostenfrei ist?? :D ;) Schmarrn .... Ja, das Log schaut nun gut aus. Du solltest aber noch ALLE Updates und Patches von www.windowsupdate.com installieren. Schon alleine die Nutzung (eines veralteten) IE kann zu einer ungewollten Infektion ausreichen. |
TR/Spy.Tofger.BI.** ...das Trojanische Pferd TR/Spy.Tofger.BI.5 bzw. TR/Spy.Tofger.BI.2 und der gute alte TR/Dldr.WinSh.AC.02... Hallo erstmal, Ich weiß ja nicht ob Sie's wussten,... :confused: aber im Prinzip hab ich dasselbe Problem... und mit der u.g. Vorgehensweise komm ich nicht zurecht... :balla: ich hab jetzt etwa 7 Stunden Nonstop-Versuche hinter mir mit Foren und X Tools... und da isser wieder.. Tja... ich bin dermaßen demotiviert... und häng hoffnungsvoll mal das Log an: Logfile of HijackThis v1.98.2 Scan saved at 20:17:28, on 09.07.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\oodag.exe C:\ibmtools\aptezbtn\aptezbp.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\addmz32.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\ibmtools\aptezbtn\rakusb.exe C:\WINDOWS\System32\AccessPS.exe C:\Programme\Internet Explorer\IEXPLORE.EXE W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.123.254/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...ie&ar=iesearch R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.com/keyword/%s R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe" O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe O4 - HKLM\..\RunOnce: [addbw.exe] C:\WINDOWS\addbw.exe O4 - HKLM\..\RunOnce: [sysuy32.exe] C:\WINDOWS\system32\sysuy32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253 O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll Antivir poppt im Minutentakt auf und meldet o.g. Trojaner in den unterschiedlichsten Dateien... die dann aber nicht zu finden sind ... bzw. weder auf Rep. noch Del. reagieren schnelle Hilfe vor sinnlosem :juul: wäre suuuper MC23 |
Lass mal dies im abgesicherten Modus laufen: http://www.trojaner-board.de/showthread.php?t=6083 Danach poste ein neues HijackThis-Log! |
Zitat:
aha, Abgesichert ...mach ich... ich hatte vor diesem (ug) Log bereits einen eScan Durchlauf der mir 18 erkannte und 14 gelöschte malware meldete... aber nicht "Abgesichert"... log kommt... :) hier........ (am Ende noch eScan-Log) Logfile of HijackThis v1.98.2 Scan saved at 18:09:09, on 11.07.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe C:\ibmtools\aptezbtn\aptezbp.exe C:\WINDOWS\system32\addmz32.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\oodag.exe C:\WINDOWS\System32\svchost.exe C:\ibmtools\aptezbtn\rakusb.exe C:\WINDOWS\sysnv.exe W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\eifky.dll/sp.html#37680 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\eifky.dll/sp.html#37680 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.123.254/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://C:\WINDOWS\eifky.dll/index.html#37680 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\eifky.dll/sp.html#37680 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\eifky.dll/sp.html#37680 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\eifky.dll/sp.html#37680 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\eifky.dll/index.html#37680 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\eifky.dll/sp.html#37680 R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe" O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253 O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll :pukeface: _______________________________________eScan_____________________ File C:\WINDOWS\msao.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\WINDOWS\appsk32.exe infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\WINDOWS\igeqgs.dat infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\WINDOWS\uimzxd.dat infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\WINDOWS\System32\addgf.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\WINDOWS\System32\sdkgz32.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\Programme\BoxProgs\XBINS\XBINS-TIRC.rar tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken. File C:\Programme\BoxProgs\XBINS\Xbins.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP27\A0002939.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003970.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003976.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003985.DLL infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004000.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004007.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004008.exe infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004009.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004010.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File W:\Shared Docs\Download\Virus\HijackThis\backups\backup-20040709-201700-806.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted. File X:\Extra\System Volume Information\_restore{21BE8355-E0C9-49B6-9AE2-DBF7CDB7C79E}\RP29\A0006767.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken. File Y:\Xbox\FlashFXP_2\FlashFXP_2_Setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken. Sun Jul 11 18:04:23 2004 => ***** Scanning complete. ***** Sun Jul 11 18:04:23 2004 => Total Number of Files Scanned: 39921 Sun Jul 11 18:04:23 2004 => Total Number of Virus(es) Found: 20 Sun Jul 11 18:04:23 2004 => Total Number of Disinfected Files: 0 Sun Jul 11 18:04:23 2004 => Total Number of Files Renamed: 0 Sun Jul 11 18:04:23 2004 => Total Number of Deleted Files: 16 Sun Jul 11 18:04:23 2004 => Total Number of Errors: 1 Sun Jul 11 18:04:23 2004 => Time Elapsed: 00:30:38 Sun Jul 11 18:04:23 2004 => Virus Database Date: 2004/08/09 Sun Jul 11 18:04:23 2004 => Virus Database Count: 100135 |
Gebracht hat's aber (noch) nix...! sehr komisch ist auch dass ich seit dem letzten eScan lediglich noch auf diesem Board war und wieder sooo viele V's gefunden wurden ... wie geht denn das ?...*verzweifel* MC23 |
Fixe mit Hijackthis: C:\WINDOWS\system32\addmz32.exe C:\WINDOWS\sysnv.exe R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe Die dlls danach löschen, falls sie noch da sind. Zusätzlich alle r0 und R1-Einträge fixen. |
Zitat:
|
Hast du diese Dateien gelöscht? C:\WINDOWS\system32\addmz32.exe C:\WINDOWS\sysnv.exe Wenn nein, dann mach mal. |
@ mebo & mc23 Hi, versucht mal folgendes: Unter Start -> Ausführen -> services.msc eingeben und bestätigen, nun werden die gesamten Dienste aufgelistet. Suche dort einen Dienst namens "Network Security Service" stoppe und deaktiviere diesen, merke dir die Pfadangabe zur exe Datei. Wenn vorhanden weitere Vorgehensweise beachten: Nun unter Start -> Ausführen -> regedit eingeben und enter drücken. Danach diese zwei Schlüssel in der Registry suchen: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\__NS_Service_3 If __NS_Service_3 wenn er existiert, dann Rechtklick und entfernen. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY___NS_Service_3 If LEGACY___NS_Service_3 wenn er existiert, dann Rechtklick und entfernen. Regedit beenden. Diese Prozesse im TaskManager beenden: C:\WINDOWS\system32\addmz32.exe C:\WINDOWS\sysnv.exe Systemwiederherstellung deaktivieren und diese Einträge fixen (speziell bei mc23): - Alle R0 und R1 Einträge R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll Wechsle in den abgesicherten Modus und lösche diese Dateien: C:\WINDOWS\system32\addmz32.exe C:\WINDOWS\sysnv.exe C:\WINDOWS\system32\apimm32.dll und die gemerkte exe Datei Danach erneut mit eScan scannen und neues Log-File posten. |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\__NS_Service_3 If __NS_Service_3 wenn er existiert, dann Rechtklick und entfernen. KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY___NS_Service_3 If LEGACY___NS_Service_3 wenn er existiert, dann Rechtklick und entfernen. .... Systemwiederherstellung deaktivieren und diese Einträge fixen (speziell bei mc23): O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll Wechsle in den abgesicherten Modus und lösche diese Dateien: C:\WINDOWS\sysnv.exe C:\WINDOWS\system32\apimm32.dll und die gemerkte (= sysnv.exe) o.g. hat nicht geklappt, war nicht zu finden :balla: Hallo... danke erstmal... ist aber ohne Erfolg geblieben... FreeAV meldet lustig weiter... :heulen: Anmerkung: sysnv.exe beendet und deaktiviert aber dann nicht gefunden ?? Logfile of HijackThis v1.98.2 Scan saved at 11:46:35, on 12.07.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe C:\ibmtools\aptezbtn\aptezbp.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\oodag.exe C:\ibmtools\aptezbtn\rakusb.exe C:\WINDOWS\System32\svchost.exe W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {25BCEAC9-47B6-ABCD-B004-C98A4B8683E8} - C:\WINDOWS\sdkzp32.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe" O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253 cu mc23 |
Zitat:
|
Zitat:
HmHm... scheint ruhe zu geben !? ToiToiToi :kloppen: und Danke :aplaus: |
NÖ ! nach dem Neustart war es wieder da... Logfile of HijackThis v1.98.2 Scan saved at 14:04:36, on 12.07.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe C:\ibmtools\aptezbtn\aptezbp.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\oodag.exe C:\ibmtools\aptezbtn\rakusb.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\atlmn.exe C:\Programme\Internet Explorer\IEXPLORE.EXE W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.123.254/ R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O2 - BHO: (no name) - {FA368488-8008-3889-4E2F-86BBFD486BD2} - C:\WINDOWS\system32\d3fi32.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe" O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [atlmn.exe] C:\WINDOWS\system32\atlmn.exe O4 - HKLM\..\RunOnce: [sdkdc.exe] C:\WINDOWS\sdkdc.exe O4 - HKLM\..\RunOnce: [msut.exe] C:\WINDOWS\msut.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253 das letzte Log vor dem löschen der Platte wie sie ist ! iss mir jetzt echt zu blöd, der Mist.... wenn alles läuft mach ich ein Part.Image mit der Knoppix-CD und wenn irgend was nervt bügel ich einfach drüber ! aus :lmaa: an Alle die sowas verbreiten ! :daumenhoc an Euch, Danke trotzdem ! |
hallo, bin neu im forum :o kann auch erfolg melden im kampf gegen tofger?!? habe es so gemacht wie im unten-angegebenen link gesagt. meine vorgehensweise: 1.zuerst alle wichtigen updates auf der microsoft-homepage installieren. dadurch werden sicherheitslücken geschlossen. 2.danach das programm "hijackthis" ausführen. auswerten lassen.böse einträge fixen. 3. in abgesichertem modus nacheinander die neuesten versionen von antivir, adaware, e-scan drüberlaufen lassen. 4. firefox oder opera benutzen runterladen und installieren! danach hatte ich keine probleme mehr. hier nochmal die detailierte vorgehensweise inkl.links: http://www.virus-aktuell.de/frame.ph...sages/1/1.html viel erfolg wünscht, topseturtle :daumenhoc |
ich habe eine villeicht blöde frage, aber wie startet man Windows im abgesicherten Modus. Kenne es schon von früher, aber wir haben einen neuen PC. Und da kann man beim aufstarten nur den benutzer wählen. |
@ Prince Schau mal hier: http://www.trojaner-board.de/63335-w...s-starten.html @topseturtle Erfolg heisst in dem Falle "nur", dass die Virenscanner nichts Verdächtiges mehr finden. Da der Trojaner explizit Bankdaten übermittelt, würde ich wenigstens alle diesbezüglichen Passworte ändern, wenn man nicht neu installiert. |
:heulen: hast du denn eine ahnung, wo sich tofger einnistet? oder, kann ich auf dem log von antivir sehen, wenn er etwas nach draußen schickt und dann die quelle zurückverfolgen? ich kann das bs nicht neu installieren, der computer gehört mir nicht! verbreiter solcher sachen sollen an den ho... aufgehängt und ausgepeitscht werden! :pukeface: |
hallo ist denn, wenn kijackthis nichts verdächtiges mehr anzeigt, alles beseitigt oder gibt es möglichkeiten, dass etwas nicht erkannt wird? ich bin zur zeit nicht an dem computer, schicke aber gerne ein log, wenn ich gelegenheit habe,vieleicht kannst du mir dann rat erteilen? :dummguck: |
topseturtle zum dritten: kann mir jemand sagen, vieleicht du, mountain king, inwieweit es noch reparaturchancen gibt, wenn tofger am werk war? vieleicht eine prozentangabe? dass bankdaten übermittelt werden, darf natürlich nicht sein, wenn die sache nicht reparabel ist, muss neu installiert werden! bitte dringend um nachricht!!! |
hallo zusammen, hab hier jetzt mal das log von hijackthis gepostet,kann ein fachmann das mal durchgucken, und sagen, was, nachdem ich alle als böse erkannten sachen gefixt habe,noch fixen kann? wäre sehr dankbar für eine antwort! :huepp: Logfile of HijackThis v1.98.2 Scan saved at 18:18:56, on 11.09.2004 Platform: Windows ME (Win9x 4.90.3000) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\SYSTEM\KERNEL32.DLL C:\WINDOWS\SYSTEM\MSGSRV32.EXE C:\WINDOWS\SYSTEM\mmtask.tsk C:\WINDOWS\SYSTEM\MPREXE.EXE C:\WINDOWS\SYSTEM\MSTASK.EXE C:\WINDOWS\SYSTEM\MDM.EXE C:\EIGENE DATEIEN\TOBI\SYGATE-FIREWALL\SMC.EXE C:\WINDOWS\EXPLORER.EXE C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE C:\WINDOWS\SYSTEM\SYSTRAY.EXE C:\WINDOWS\PCTVOICE.EXE C:\PROGRAMME\MICROSOFT WORKS\WKSSB.EXE C:\PROGRAMME\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE C:\WINDOWS\SYSTEM\HPZTSB01.EXE C:\PROGRAMME\REAL\REALPLAYER\REALPLAY.EXE C:\WINDOWS\TWAIN_32\FLATBED\HOTKEY.EXE C:\EIGENE DATEIEN\TOBI\ANTIVIR\AVGCTRL.EXE C:\PROGRAMME\GEMEINSAME DATEIEN\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE C:\WINDOWS\SYSTEM\LEXBCES.EXE C:\PROGRAMME\OPENCOM 20\CAPICTRL.EXE C:\WINDOWS\SYSTEM\SPOOL32.EXE C:\WINDOWS\SYSTEM\RPCSS.EXE C:\PROGRAMME\ULEAD SYSTEMS\ULEAD PHOTO EXPRESS 4.0 SE\CALCHECK.EXE C:\PROGRAMME\NIKON\NKVIEW5\NKVMON.EXE C:\PROGRAMME\FOTOSTATION EASY\FOTOSTATION EASY AUTOLAUNCH.EXE C:\WINDOWS\SYSTEM\WMIEXE.EXE C:\WINDOWS\SYSTEM\LEXPPS.EXE C:\WINDOWS\SYSTEM\RNAAPP.EXE C:\WINDOWS\SYSTEM\TAPISRV.EXE C:\EIGENE DATEIEN\TOBI\HIJACK\HIJACKTHIS_198\HIJACKTHIS.EXE C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE C:\WINDOWS\SYSTEM\DDHELP.EXE R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ewetel.de/2003/index.php R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = EWE TEL O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s O4 - HKLM\..\Run: [SystemTray] SysTray.Exe O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKLM\..\Run: [PCTVOICE] pctvoice.exe O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb01.exe O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe O4 - HKLM\..\Run: [LexStart] lexstart.exe O4 - HKLM\..\Run: [AVGCtrl] C:\EIGENE DATEIEN\TOBI\ANTIVIR\AVGCTRL.EXE /min O4 - HKLM\..\Run: [SmcService] C:\EIGENE~1\TOBI\SYGATE~1\SMC.EXE -startgui O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE O4 - HKLM\..\RunServices: [SmcService] C:\EIGENE DATEIEN\TOBI\SYGATE-FIREWALL\SMC.EXE O4 - Startup: Erinnerungen in Microsoft Works-Kalender.lnk = C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe O4 - Startup: CAPI Control.lnk = C:\Programme\OpenCom 20\CAPICTRL.EXE O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe O4 - Startup: NkvMon.exe.lnk = C:\Programme\Nikon\NkView5\NkvMon.exe O4 - Startup: FotoStation Easy AutoLaunch.lnk = C:\Programme\FotoStation Easy\FotoStation Easy AutoLaunch.exe O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - http://-Web.Washer-/ie_add O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dll O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL gruß von... |
Schaut eigentlich sauber aus ... |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 14:27 Uhr. |
Copyright ©2000-2025, Trojaner-Board