Virus Programm braucht ewig zum laden
 

Hallo, Ich bin neu hier und hatte vor c.a. einer woche noch den Virus Vundo drauf und habe mir ersteinmal selbst geholfen und ihn auch entfernen können.

ich benutze:

-Sygate personal firewall
-McAfee
-realtek HD audio driver

und wenn ich meinen PC hochfahre braucht er ewig lange bis er mal McAfee startet. Der CPU und Speicher sind ganz gering nur ausgelastet und mein PC startet zu erst Sygae personal firewall dann Audio driver und als letztes McAfee und erst wenn McAfee gestartet ist kann ich ins internet. :schmoll:
kann man den vorgang irgentwie beschleunigen oder unwichtige prozesse rausnehmen?

Ich hoffe ihr könnt mir helfen .
LG Darkshoot


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:29:46, on 07.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Ad-Aware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\McAfee.com\Agent\mcagent.exe
C:\Programme\McAfee\MBK\McAfeeDataBackup.exe
C:\Programme\McAfee\SiteAdvisor\McSACore.exe
C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
c:\programme\gemeinsame dateien\mcafee\mna\mcnasvc.exe
c:\PROGRA~1\GEMEIN~1\mcafee\mcproxy\mcproxy.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\McAfee\MPF\MPFSrv.exe
C:\Programme\Microsoft LifeCam\MSCamS32.exe
C:\Programme\McAfee\MSK\MskSrver.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = htp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = htp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = htp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = htp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = htp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = htp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = htp://windowsupdate.microsoft.com/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: McAfee Phishing Filter - {27B4851A-3207-45A2-B947-BE8AFE6163AB} - c:\PROGRA~1\mcafee\msk\mskapbho.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\PROGRA~1\mcafee\VIRUSS~1\scriptsn.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: McAfee SiteAdvisor BHO - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O3 - Toolbar: McAfee SiteAdvisor Toolbar - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [mcagent_exe] "C:\Programme\McAfee.com\Agent\mcagent.exe" /runkey
O4 - HKLM\..\Run: [McENUI] C:\PROGRA~1\McAfee\MHN\McENUI.exe /hide
O4 - HKLM\..\Run: [McAfee Backup] "C:\Programme\McAfee\MBK\McAfeeDataBackup.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [zedopufude] Rundll32.exe "C:\WINDOWS\system32\kevidobi.dll",s (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - ESC Trusted Zone: htp://*.update.microsoft.com
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - htp://gfx1.hotmail.com/mail/w3/pr01/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - htp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1222429747359
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - htp://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - htp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{175D51CC-EB13-4D0A-946C-CCD84DB404B9}: NameServer = 213.191.74.19 62.109.123.197
O18 - Protocol: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O20 - AppInit_DLLs: c:\windows\system32\ c:\windows\system32\fopihofu.dll ,
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Ad-Aware\aawservice.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: LckFldService - Unknown owner - C:\WINDOWS\system32\LckFldService.exe (file missing)
O23 - Service: MBackMonitor - McAfee - C:\Programme\McAfee\MBK\MBackMonitor.exe
O23 - Service: McAfee SiteAdvisor Service - Unknown owner - C:\Programme\McAfee\SiteAdvisor\McSACore.exe
O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\programme\gemeinsame dateien\mcafee\mna\mcnasvc.exe
O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
O23 - Service: McAfee Proxy Service (McProxy) - McAfee, Inc. - c:\PROGRA~1\GEMEIN~1\mcafee\mcproxy\mcproxy.exe
O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee, Inc. - C:\Programme\McAfee\MPF\MPFSrv.exe
O23 - Service: McAfee Anti-Spam Service (MSK80Service) - McAfee, Inc. - C:\Programme\McAfee\MSK\MskSrver.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 7848 bytes

Hallo und :hallo:

Klick auf Editieren und ändere alle http in htp. Dann kann dir geholfen werden.

ciao, andreas

Danke für deine schnelle antwort Andreas,

habe jetzt alle HTTP in HTP verändert ....

LG Jan

Gut gemacht. :)

Ich seh gerade, du kommst aus Hamburg. Moin moin.

Das ist leider falsch. Er ist noch da oder schon wieder.

Arbeite diese Liste ab:

0.) Deinstalliere Ad-Aware (Start=>Systemsteuerung=>Software)

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Sollte die Meldung kommen, dass die Dateien bereits analysiert wurden, dann klicke trotzdem auf Analysieren.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:
2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

4.) Superantispyware runterladen und laufenlassen, so wie hier beschrieben: http://www.trojaner-board.de/51871-a...tispyware.html

5.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

6.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

So habe sie nun Doch gefunden aber unter völlig falscher adresse und in einem archiv,

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\RecoveryVirtumondeprx5.zip = kevidobi

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\RecoveryVirtumondeprx1.zip = fopihofu

weiß auch nicht wieso das dort ist ?-..-? soll ich sie trotzdem auf virus total untersuchen lassen?


LG Jan @ Hamburg :D

Überspringe den Punkt und mache mit der Liste weiter. Falls du keine Verbindung zum Internet benötigst, z.B. bei den Scans, dann trenne die Verbindung zum Internet.

ciao, andreas

Edit zu deinem Edit: Nö. Überspringe den Punkt und mache mit der Liste weiter.

So ich habe hier einmal den logfile womit ich damals den virus weg bekommen habe:


dann hier den heutigen scan von Blacklight


und der maleware scann von heute



LG Jan

so und hier nochmal der scan von super anti spyware :

so und nun das logfile vom Combofix ! :

so und der letzte highjack log :

1.) Lass folgende Datei bei Virustotal auswerten:
2.) Deinstalliere Superantispyware.

3.) GMER - Rootkit Detection

• Lade Gmer von hier
• entpacke es auf den Dektop
• Doppelklicke die gmer.exe
• Der Reiter Rootkit oben ist schon angewählt

http://saved.im/mzaxndu2m2ni_vs/gmerzj1oo1.jpg

• Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
• nach Beendigung des Scan, drücke "Copy"
• nun kannst Du das Ergebnis hier posten
• Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

so er hat bei keinem virus scanner ein ergebnis bekommen, hier trotzdem die zusätzlichen informationen:

War zu erwarten, wollte nur sichergehen.

ciao, andreas

So kann den log leider nicht posten weil er über 100 tausend zeichen hat und man darf nur 25 tausend haben .... was nun?


außerdem kam diese Fehlermeldung:


http://www.bilder-upload.eu/thumb/m0IWi98No7XScZe.JPG

Lade es bei irgendeinem Filehoster (rapidshare.de, www.file-upload.net, ...) hoch und poste den Link.

ciao, andreas

Edit zu deinem Edit: :eek:

So habe es geuploadet

http://www.file-upload.net/download-1366655/gmerlog.txt.html


LG Jan

Fehlalarm, er springt auf McAfee an. Hast du SuperAntiSpyware wirklich deinstalliert? Da sind noch Einträge. Ansonsten bist du sauber.

Dein ursprüngliches Problem war Performance, dauert zu lange bis Internet kommt. Ist dem noch immer so?

ciao, andreas

öhm, habe superantispyware ganz normal bei Systemsteuerung->Software->Deinstallieren

und dann hat er noch gefragt von wegen alle logs löschen habe ich auch noch ja gemacht weil ich selber kopien habe

und ich bin sofort wieder da ich gucke eben wegen internet ob das jetzt alles schnell läuft

bis gleich Jan

So, habe immernoch das problem er startet in der taskleiste sygate und den audio driver von realtek und dann passiert ne zeit lang nix und dann startet er irgendwann mcafee und dann auch die lan verbindungen

Ergänzung: Und kannst du mir vielleicht beantworten wieso der cpu und der speicher kaum ausgelastet sind? eignetlich müßten die doch arbeiten wenn sie die programme am anfang starten oder?

LG Jan

Als Vorbereitung verweise ich an die Tipps vom Kompetenzteam:
http://www.trojaner-board.de/68096-w...tml#post403959 (alles ab dem Punkt Treibersuche)

Dann rate ich dringend zur Deinstallation der Sygate personal firewall. PFWs sind sinnfrei und reine Verschwendung von Ressourcen. Benutze die Windowseigene.

Es gibt einige Prozesse, die auf bestimmte Ereignisse warten. Nur als ein Beispiel DHCP. Falls du die Option IP automatisch beziehen aktiviert hast, es aber keinen DHCP-Server gibt, dann vergehen ca. 20 Sekunden, in der sämtliche IPs nach DHCP-Servern abgesucht werden.

In der Zeit passiert mit der CPU und dem Ram gar nichts. Netzwerkaktivität ist am Limit, aber davon siehst du normalerweise nichts.

Entrümpele. Wirf alles raus, was nicht unbedingt notwendig ist. Von McAfee halte ich persönlich überhaupt nichts. Teste doch einmal Avira, ob das nicht bedeutend schneller ist.

ciao, andreas

Jop vielen dank für deine Hilfe !!!!!


Liebe grüße Jan