Log File
 

Habe jetzt mit Ad - Ware SE Personal meinen Rechner "gesäubert" und habe danach erneut ein Logfile erstellt. Habe dieses auf hijeckthis.de überprüfen lassen, und es kommen immer noch gewisse Warnungen.

Könnte bitte jemand von euch sich dieses Logfile näher ansehen! Mir sagt es relativ wenig.

Danke Smeagol

Logfile of HijackThis v1.98.2
Scan saved at 16:01:31, on 15.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\CFusionMX\db\slserver52\bin\swagent.exe
C:\CFusionMX\db\slserver52\bin\swstrtr.exe
C:\CFusionMX\db\slserver52\bin\swsoc.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\Java\jre1.5.0\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Wagner\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R3 - URLSearchHook: (no name) - {0428FFC7-1931-45b7-95CB-3CBB919777E1} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points manager\points manager.exe -s
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~1.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunOnce: [0011 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global\content] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global\content"
O4 - HKLM\..\RunOnce: [0012 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global"
O4 - HKLM\..\RunOnce: [0013 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit"
O4 - HKLM\..\RunOnce: [0015 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global\skin] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global\skin"
O4 - HKLM\..\RunOnce: [0016 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global"
O4 - HKLM\..\RunOnce: [0017 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern"
O4 - HKLM\..\RunOnce: [0027 - C:\Dokumente und Einstellungen\Wagner\Startmenü\Programme\hp deskjet 960c series v3.4] C:\WINDOWS\command.com /c rmdir "C:\Dokumente und Einstellungen\Wagner\Startmenü\Programme\hp deskjet 960c series v3.4"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [LDM] C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O10 - Hijacked Internet access by New.Net
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://pub.plan.at/mgaxctrlde.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {F49DA492-7B88-463F-B389-CA9A02F6DA76} (Seagate SeaTools German Online) - http://www.seagate.com/support/disc/...npseatools.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9496C579-8998-4CD8-958E-4BA8EC78758B}: NameServer = 172.27.1.1

Hi,
folgendes mußt du beachten:
Erst mal Dein System updaten, Du hast noch nicht mal SP1 geschweige denn SP2 drauf, ebenso ist es mit dem IE.
Dann lädst Du Dir spybot S&D und läßt es laufen.
Weiterhin runterladen: LSPFix. Damit kannst Du Deine Winsocks reparieren, solltest Du nach dem nächsten Arbeitsschritt nicht mehr in Internet kommen. (Dann LSPFix starten, die einträge "New.Net" oder "NewDotNet" nach rechts ziehen und remove drücken)

Dann im abgesicherten Modus bei deaktivierter Systemwiederherstellung mit HiJackThis folgendes fixen:
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
R3 - URLSearchHook: (no name) - {0428FFC7-1931-45b7-95CB-3CBB919777E1} - (no file)
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~1.DLL,NewDotNetStartup -s
O4 - HKLM\..\RunOnce: [0013 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit"
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
Folgende Datein manuell löschen:
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
C:\Programme\NewDotNet\newdotnet6_38.dll
C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe

Wenn du sie nicht kennst, dann auch diese:
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://pub.plan.at/mgaxctrlde.cab
O16 - DPF: {F49DA492-7B88-463F-B389-CA9A02F6DA76} (Seagate SeaTools German Online) - http://www.seagate.com/support/disc.../npseatools.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9496C579-8998-4CD8-958E-4BA8EC78758B}: NameServer = 172.27.1.1

Dann neues HJT-logfile posten.

Hallo nochmals,

Hier ist nun meine neue logfile:(bekomme jetzt keine Fehlermeldung mehr wenn ich sie von www.hijackthis.de untersuchen lasss). Bitte schau sie dri nochmals an.

Mfg Smeagol

Logfile of HijackThis v1.98.2
Scan saved at 18:53:02, on 15.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\CFusionMX\db\slserver52\bin\swagent.exe
C:\CFusionMX\db\slserver52\bin\swstrtr.exe
C:\CFusionMX\db\slserver52\bin\swsoc.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
C:\Programme\Java\jre1.5.0\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Wagner\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunOnce: [0011 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global\content] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global\content"
O4 - HKLM\..\RunOnce: [0012 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\packages\widget-toolkit\global"
O4 - HKLM\..\RunOnce: [0015 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global\skin] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global\skin"
O4 - HKLM\..\RunOnce: [0016 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern\global"
O4 - HKLM\..\RunOnce: [0017 - C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern] C:\WINDOWS\command.com /c rmdir "C:\Programme\hewlett-packard\hp deskjet assistant\bin\chrome\skins\modern"
O4 - HKLM\..\RunOnce: [0027 - C:\Dokumente und Einstellungen\Wagner\Startmenü\Programme\hp deskjet 960c series v3.4] C:\WINDOWS\command.com /c rmdir "C:\Dokumente und Einstellungen\Wagner\Startmenü\Programme\hp deskjet 960c series v3.4"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [LDM] C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9496C579-8998-4CD8-958E-4BA8EC78758B}: NameServer = 172.27.1.1

@ Smeagol,

Platform: Windows XP (WinNT 5.01.2600)/MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) - Dein System hat kein Service Pack und Dein IE ist nicht auf dem aktuellen Stand, besuche www.windowsupdate.com.

SD

Hi, smeagol,
noch etwas vergessen. Bitte dies noch fixen:
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

und die Datei:
C:\WINDOWS\web\related.htm
manuell löschen. Das ist spyware und sollte entfernt werden.

Wenn du dies nicht kennst:
O17 - HKLM\System\CCS\Services\Tcpip\..\{9496C579-8998-4CD8-958E-4BA8EC78758B}: NameServer = 172.27.1.1

dann ebenfalls fixen. die Ip-Adresse kannst du hier prüfen.

Abschließend rate ich Dir noch, wieder im abgesicherten Modus bei deaktivierter Systemwiederherstellung, einen eScan durchzuführen und das Ergebnis (nach dem eScan:
..."Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen...) hier rein posten.
Der Rest von Deinem Logfile ist wirklich schön!
cacatoa

@ SD:
Thx, habe ich ihm einen post weiter unten auch schon gesagt, hilft wohl nix ;)

Hallo nochmals,

habe jetzt escan durchgeführt und er hat mir 7 Viruses angezeigt: Auszug aus dem mwave:

Mon Nov 15 19:34:33 2004 => Total Files Scanned: 2523
Mon Nov 15 19:34:33 2004 => Total Virus(es) Found: 6
Mon Nov 15 19:34:33 2004 => Total Disinfected Files: 0
Mon Nov 15 19:34:33 2004 => Total Files Renamed: 0
Mon Nov 15 19:34:33 2004 => Total Deleted Files: 0
Mon Nov 15 19:34:33 2004 => Total Errors: 7
Mon Nov 15 19:34:34 2004 => Time Elapsed: 00:02:52
Mon Nov 15 19:34:34 2004 => Virus Database Date: 2004/11/12
Mon Nov 15 19:34:34 2004 => Virus Database Count: 109131

wenn ich infected eingebe, kommt ich aber nur an diese Stelle; bei weitersuchen kommt nichts mehr.

Frage: Wie gehe ich jetzt vor? Muss ich die einzelnen exe dateien manuell aus dem Verzeichniss löschen? weil ansonsten müsste ich escan kaufen

Gib mal in die Suche 'tagged' ein.

Hallo,

Habe die folgenden Viren jetzt doch noch gefunden! Was muss ich jetzt machen? manuell löschen?

Mfg Smeagol

Mon Nov 15 19:34:29 2004 => File C:\WINDOWS\System32\UDConn.dll tagged as not-a-virus:RiskWare.Dialer.UDIS.b. No Action Taken.
Mon Nov 15 19:32:35 2004 => File C:\WINDOWS\Celeb-Fakes[cf-10814,,].exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
Mon Nov 15 19:32:34 2004 => File C:\WINDOWS\Tattoo-Base[toe-10268,de,1].exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken.
Mon Nov 15 19:32:33 2004 => File C:\WINDOWS\installer[bbr-10062,de].exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
Mon Nov 15 19:32:33 2004 => File C:\WINDOWS\SMS-Stadt-sst-11772.exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken.
Mon Nov 15 19:32:28 2004 => File C:\WINDOWS\Hackercd-Online-hcd-11563.exe tagged as not-a-virus:RiskWare.Dialer.gen. No Action Taken.

Ich halte es für unwahrscheinlich, dass du dein ganzes System gescannt hast. Bitte eScan erneut durchführen, aber diesmal "all local drives" auswählen

Hallo,

habe jetzt escan wieder durchlaufen lassen und insgesamt 24 Virus Meldungen erhalte.

Muss ich die einzelnen Dateinem im abgesicherten Modus löschen oder ist das egal?

Mfg Smeagol

Die Dateien sollten im abgesicherten Modus gelöscht werden.

Welche Malware wurde jetzt erkannt?

Hallo,

Habe nach infected und tagged gesucht und folgende Meldungen gefunden:

Siehe Anhang.

Muss ich wirklich alle löschen?
Finde auf C den Ordener Lokale Einstellungen zum Beispeil nicht.

Mfg Smeagol

@ Smeagol,

poste bitte das Ergebnis des eScan ins Forum wie folgt: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

--> ich möchte sie erst sehen ;-)

--> Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren.

SD

Hallo zusammen,

Das sind die Meldungen die nach infected zum Vorschein kommen! Nach tagged brauche ich also nicht suchen?
Und wie geht es nun weiter? Löschen im abgesicherten Modus? Und wieso erkennt antiVir diese Viren nicht?

Mfg Smeagol

mwav log:

Mon Nov 15 21:27:21 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp\UpdatedUpdaterInstall.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.

Mon Nov 15 21:33:42 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temporary Internet Files\Content.IE5\C50L2JG9\exploit[1].htm infected by "Exploit.HTML.Mht" Virus. Action Taken: No Action Taken.

Mon Nov 15 22:23:49 2004 => File C:\Programme\Kazaa\PerfectNavUninstall.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.

Mon Nov 15 22:36:18 2004 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Mon Nov 15 22:36:18 2004 => Scanning File C:\Programme\AVPersonal\INFECTED\STARINSTALL[1].OCX.VIR
Mon Nov 15 22:36:18 2004 => Scanning File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.VIR
Mon Nov 15 22:36:18 2004 => File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.VIR tagged as not-a-virus:AdWare.Gator. No Action Taken.

Mon Nov 15 22:36:18 2004 => Scanning File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.001
Mon Nov 15 22:36:18 2004 => File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.001 tagged as not-a-virus:AdWare.Gator. No Action Taken.

Hallo Smeagol.

C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp
C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temporary Internet Files
C:\Programme\AVPersonal\INFECTED\*.*

Lade das Clear Prog runter, leere damit die Ordner TEMP, Temporary Internet Files, Cookies und den Verlauf. Der Ordner "C:\Programme\AVPersonal\INFECTED\*.*" dürfte damit ebenfalls geleert sein, da er normalerweise in diesem Ordner "Temporary Internet Files" liegt oder dieser Ordner ist.

Diese Datei musst Du von Hand löschen:

Mon Nov 15 22:23:49 2004 => File C:\Programme\Kazaa\PerfectNavUninstall.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.

1. --> Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren.

2. --> "Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum oder in die Windows Suche übertragen -> löschen!" (Cidre zitiert)

Wieviele Viren hat der eScan denn gefunden? Das wird so angegeben: =>Total Number of Virus(es) Found: ...

Erstelle bitte ein neues Hijack This Logfile und poste es.

SD

Hallo Shadowdance,

Habe jetzt mim abgeischerten Modus mit Clear Prog die angegebenen Ordner gelöscht. Den Ordner Temp hab ich manuell geleert.

Das ist die gestrige Auswertung von eScan:

Mon Nov 15 22:49:03 2004 => ***** Scanning complete. *****

Mon Nov 15 22:49:03 2004 => Total Files Scanned: 124182
Mon Nov 15 22:49:03 2004 => Total Virus(es) Found: 24
Mon Nov 15 22:49:03 2004 => Total Disinfected Files: 0
Mon Nov 15 22:49:03 2004 => Total Files Renamed: 0
Mon Nov 15 22:49:03 2004 => Total Deleted Files: 0
Mon Nov 15 22:49:03 2004 => Total Errors: 37
Mon Nov 15 22:49:03 2004 => Time Elapsed: 01:44:12
Mon Nov 15 22:49:03 2004 => Virus Database Date: 2004/11/12
Mon Nov 15 22:49:03 2004 => Virus Database Count: 109131


Hier ist nun dast neu logfile.

Logfile of HijackThis v1.98.2
Scan saved at 14:55:48, on 16.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
C:\Programme\Java\jre1.5.0\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton Personal Firewall\ccPxySvc.exe
C:\CFusionMX\db\slserver52\bin\swagent.exe
C:\CFusionMX\db\slserver52\bin\swstrtr.exe
C:\CFusionMX\db\slserver52\bin\swsoc.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Dokumente und Einstellungen\Wagner\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [LDM] C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab


Was ist nun der nächste Schritt Shadowdance?

Danke für deine zahlreichen Hilfen im voraus schon mal.

Mfg Smeagol

@ Smeagol,

Teile uns das genaue Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) ... es waren keine 24 Viren, die Du angegeben hattest. Bitte wiederhole das Ergebnis des eScan und gib alle Viren an, so wie beschrieben. Ohne zu wissen, WAS Du auf Deinem System hast, können wir Dir nicht helfen und Dich nicht richtig beraten.

SD

Hallo Shadowdance,

Habe zuvor nach infected gesucht und eben nicht mehr gefunden als dass, was ich dir zuvor gepostet habe.
Habe somit jetzt nach tagged gesucht und dir alle Einträge herauskopiert!

Ich hoffe es stimmt diesesmal alles.

Mfg Smeagol

Mon Nov 15 21:25:32 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp\I1065351848\Windows\resource\jre\demo\applets\BarChart\Chart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 21:26:02 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp\I1065352771\Windows\resource\jre\demo\applets\BarChart\Chart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 21:26:18 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp\I1065352878\Windows\resource\jre\demo\applets\BarChart\Chart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 21:26:35 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp\REBOOTNT.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Mon Nov 15 21:38:52 2004 => File C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4XA3SHM7\familykeylogger[1].zip tagged as not-a-virus:RiskWare.Monitor.FamilyKeyLogger.271. No Action Taken.

Mon Nov 15 21:47:52 2004 => Scanning File C:\Dokumente und Einstellungen\Wagner\Desktop\backups\backup-20041115-180302-675.dll
Mon Nov 15 21:47:52 2004 => File C:\Dokumente und Einstellungen\Wagner\Desktop\backups\backup-20041115-180302-675.dll tagged as not-a-virus:AdWare.NewDotNet. No Action Taken.

Mon Nov 15 22:00:54 2004 => File C:\Programme\NewDotNet\newdotnet6_38.dll tagged as not-a-virus:AdWare.NewDotNet. No Action Taken.

Mon Nov 15 22:09:04 2004 => File C:\Programme\JBuilder4\jdk1.3\demo\applets\BarChart\Chart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 22:14:59 2004 => File C:\Programme\Java\j2sdk1.4.2\demo\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 22:15:18 2004 => File C:\Programme\Java\j2sdk1.4.2\demo\plugin\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 22:20:48 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedProfileHolder.html

Mon Nov 15 22:20:48 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\or

Mon Nov 15 22:20:48 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedProfileHelper.html

Mon Nov 15 22:20:48 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedComponentHolder.html

Mon Nov 15 22:20:48 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedComponentHelper.html

Mon Nov 15 22:20:49 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedComponent.html

Mon Nov 15 22:20:49 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\class-use\TaggedProfile.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedComponent.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedComponentHelper.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedComponentHolder.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedProfile.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedProfileHelper.html

Mon Nov 15 22:20:51 2004 => Scanning File C:\Programme\Java\j2sdk1.4.2\javadoc\docs\api\org\omg\IOP\TaggedProfileHolder.html

Mon Nov 15 22:21:58 2004 => File C:\Programme\Java\jdk1.5.0\demo\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 22:22:22 2004 => File C:\Programme\Java\jdk1.5.0\demo\plugin\applets\BarChart\BarChart.class tagged as not-a-virus:JavaClass.Chart. No Action Taken.

Mon Nov 15 22:36:18 2004 => File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.VIR tagged as not-a-virus:AdWare.Gator. No Action Taken

Mon Nov 15 22:36:18 2004 => File C:\Programme\AVPersonal\INFECTED\NCTJCLNC.EXE.001 tagged as not-a-virus:AdWare.Gator. No Action Taken.

Mon Nov 15 22:39:23 2004 => File C:\Recycled\Dc20.dll tagged as not-a-virus:RiskWare.Dialer.UDIS.b. No Action Taken.

Mon Nov 15 22:39:23 2004 => File C:\Recycled\Dc21.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.

Mon Nov 15 22:39:23 2004 => File C:\Recycled\Dc22.exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken.

Mon Nov 15 22:39:23 2004 => File C:\Recycled\Dc23.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.

Mon Nov 15 22:39:24 2004 => File C:\Recycled\Dc24.exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken

Mon Nov 15 22:39:24 2004 => File C:\Recycled\Dc25.exe tagged as not-a-virus:RiskWare.Dialer.gen. No Action Taken.

Mon Nov 15 22:40:15 2004 => File C:\Program Files\ESRI\ArcExplorer2.0\bin\postinstall.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

@ Smeagol,

[edit] bitte alle Löscharbeiten im abgesicherten Modus bei deaktivierter Systemwiederherstellung durchführen! [/edit]

Die Ordner C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temp und C:\Dokumente und Einstellungen\Wagner\Lokale Einstellungen\Temporary Internet Files kannst Du mit dem oben genannten ClearProg leeren.

Für Dateien "NewDotNet" solltest Du LSP-Fix runterladen, falls Du nach dem löschen Probleme hast, ins Netz zu kommen: die Internetverbindung trennen und LSP-Fix ausführen. Den Rechner neu booten:

C:\Dokumente und Einstellungen\Wagner\Desktop\backups\backup-20041115-180302-675.dll tagged as not-a-virus:AdWare.NewDotNet. No Action Taken.
C:\Programme\NewDotNet\newdotnet6_38.dll tagged as not-a-virus:AdWare.NewDotNet. No Action Taken.

Die Dialer bitte auf Diskette sichern, vor dem löschen (Dialer-Hinweis). Der Ordner C:\Recycled kann auch mit dem ClearProg geleert werden, dazu müsstest Du diesen Ordner von Hand ins ClearProg einführen:

C:\Recycled\Dc20.dll tagged as not-a-virus:RiskWare.Dialer.UDIS.b. No Action Taken.
C:\Recycled\Dc21.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
C:\Recycled\Dc22.exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken.
C:\Recycled\Dc23.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
C:\Recycled\Dc24.exe tagged as not-a-virus:PornWare.Dialer.Star. No Action Taken
C:\Recycled\Dc25.exe tagged as not-a-virus:RiskWare.Dialer.gen. No Action Taken.

braucht nicht gelöscht werden: => File C:\Program Files\ESRI\ArcExplorer2.0\bin\postinstall.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Alle anderen Einträge bitte von Hand löschen, wie in meinem letzten Posting beschrieben.

Wenn Du nun noch Dein Betriebssystem mit dem aktuellen Service Pack versiehst und den IE updatest, sollten Deine Probleme behoben sein.

Es wäre ausserdem von Vorteil den stets geupdateten IE ausschließlich für die Windows-Updates zu verwenden und auf einen anderen Browser umzusteigen.

Lektüre, die zu sicherem Surfverhalten führt:

- Vorbeugende Maßnahmen
- Entfernungs-Tools
- IE sicher konfigurieren und Browser-Sicherheit
- Einschränktes Benutzerkonto: www.ntsvcfg.de.
- www.mathematik.uni-marburg.de
- faq.underflow.de

SD

Nachdem ich nocheinmal einen Escan gemacht habe, habe ich noch einmal 8 Viren gefunden.Nämlich im Ordner Recycled, denn ich aber schon zuvor mit ProLog gelöscht habe. Habe es noch einmal gemacht und jetzt dürfte wirklich alle passen.

Habe das neue update für AntiVir heruntergeladen.

Wollte noch fragen, welche Programme am betsen sind um sich vor Viren zu schützen.

Habe sogar eine Firewall(Norton Personal Firewall) und trotzdem habe ich soviele Viren gehabt! Und wieso hat AntiVir keinen erkannt?

Mfg Smeagol