Trojaner-Board - TR/dldr.Dyfuca.db

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/dldr.Dyfuca.db (https://www.trojaner-board.de/11632-tr-dldr-dyfuca-db.html)

TR/dldr.Dyfuca.db

Hallo miteinander.
seit gestern plage ich mich mit o.g. Trojaner herum und krieg ihn einfach nicht aus meinem System. Ich hab schon alles versucht inkl. dem Fixen mit HJT. Vieleicht kann mir hier jemand helfen? Hier mein letztes HJT-LogFile.

THX und Gruß
Hellrider
--------
Logfile of HijackThis v1.99.0
Scan saved at 09:32:39, on 04.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\virentools\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Programme\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [CPQEASYACC] C:\Programme\COMPAQ\Easy Access Button Support\StartEAK.exe
O4 - HKLM\..\Run: [srmclean] C:\Cpqs\Scom\srmclean.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ClocX] C:\Programme\ClocX\ClocX.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [USBHWDRV] C:\sst4.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: T-Sinus 721 Monitor.lnk = ?
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: Flash Communication Server - Macromedia, Inc. - C:\Programme\Macromedia\Flash Communication Server MX\FlashCom.exe
O23 - Service: Flash Communication Admin Service - Macromedia, Inc. - C:\Programme\Macromedia\Flash Communication Server MX\FlashComAdmin.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\T-Sinus 721\T-Sinus 721 PC\xControlCOM.exe

Deine deutsche Logfiles Auswertung kannst Du Dir unter www.hijackthis.de ansehen!
Einfach Deine Logfiles eingeben auf auswerten klicken und nach unten scrollen!
Roland

Hi Roland,

das hab ich gemacht. Ich hab auch alles gefixt. Allerdings meldet sich mein Antivir bei jedem Neustart wieder mit der Trojanermeldung. HJT kann aber nun - nach Angabe der automaischen Auswertung - nichts mehr finden. So langsam bin ich mit meinem Latein am Ende.

Gruß
Hellrider

Wo genau wird der Schädling denn gefunden?

Zitat:

Zitat von MountainKing

Wo genau wird der Schädling denn gefunden?

Antivir meldet folgendes
C:\DOKUMENTE UND EINSTELLUNGEN\HELLRIDER\LOKALE EINSTELLUNGEN\TEMP\INSTALLER.EXE

und sagt das dies der Trojaner sei. Das Löschen mit Antivir hilft nicht.

btw.: Ich hab ganz vergessen zu sagen, daß nach dem Start sofort der Explorer sich startet und auf die Seite "www.qdentica.com/gamma.html" zuzugreifen versucht.

@Hellrider
poste doch mal ein HJT logfile aus den normalen modus
diesen ordner könntest mal leeren
Temporary Internet Files
Leere diese Ordner:
C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temp
C:\WINDOWS\Downloaded Program Files
C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temporary Internet Files

chaosman

Hmm Was minst du mit normalen Modus. Mein Logfile habe ich doch unten gepostet. Gibts da bei HJT noch was anderes? Die Ordner hab ich gelöscht, leider ohne Erfolg :-((

@Hellrider
das sieht ehre nach abgesicherten modus aus.
wenn du aber sagst , dies ist der normaler modus, dann ist es ok, sind nur sehr wenige prozesse
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\virentools\HijackThis.exe

lade dir escan download
anleitung
Zitat Passat2002

lege diesen ordner c:\bases an
download von escan in diesen ordner
entpacke das *zip file mwav.zip hier in diesem ordner
wenn der pfad nicht genau so angegeben wird, funktioniert der scanner nicht!
mache ein update, indem du die datei kavupd.exe startest
wechsle in den abgesicherten modus von windows
öffne nun den explorer, gehe zum ordner c:\bases und starte die datei mwavscan.exe, wenn der scan beendet ist (dauert ca. 1 Stunde), wechselst du zurück in den normalen modus.
nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du infected ein

jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
und ganz unten steht die zusammenfassung, diese auch hier posten
[Quote] Wed Oct 06 03:19:24 2004 => Total Number of Files Scanned: 54651
Wed Oct 06 03:19:24 2004 => Total Number of Virus(es) Found: 0
Wed Oct 06 03:19:24 2004 => Total Number of Disinfected Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Files Renamed: 0
Wed Oct 06 03:19:24 2004 => Total Number of Deleted Files: 0
Wed Oct 06 03:19:24 2004 => Total Number of Errors: 0
Wed Oct 06 03:19:24 2004 => Time Elapsed: 01:13:32
Wed Oct 06 03:19:24 2004 => Virus Database Date: 2004/10/05
Wed Oct 06 03:19:24 2004 => Virus Database Count: 105164

Wed Oct 06 03:19:24 2004 => Scan Completed.

chaosman

Hi Chaosman,

ich hab nun escan laufen lassen und er hat folgendes gefunden:
------
Tue Jan 04 12:41:54 2005 => File C:\sst4.exe infected by "TrojanDropper.Win32.PurityScan.h" Virus. Action Taken: No Action Taken.

Tue Jan 04 13:23:40 2005 => File C:\Programme\AVPersonal\INFECTED\wvsvc.VIR infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Tue Jan 04 13:23:40 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\wvsvc.VIR00
Tue Jan 04 13:23:40 2005 => File C:\Programme\AVPersonal\INFECTED\wvsvc.VIR00 infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Tue Jan 04 13:59:17 2005 => File C:\sst4.exe infected by "TrojanDropper.Win32.PurityScan.h" Virus. Action Taken: No Action Taken.

Tue Jan 04 14:12:21 2005 => File C:\WINDOWS\Temp\ICD1.tmp\MediaTicketsInstaller.ocx infected by "not-a-virus:AdWare.MediaTickets.f" Virus. Action Taken: No Action Taken.

Tue Jan 04 14:12:29 2005 => ***** Scanning complete. *****

Tue Jan 04 14:12:29 2005 => Total Files Scanned: 76796
Tue Jan 04 14:12:29 2005 => Total Virus(es) Found: 5
Tue Jan 04 14:12:29 2005 => Total Disinfected Files: 0
Tue Jan 04 14:12:29 2005 => Total Files Renamed: 0
Tue Jan 04 14:12:29 2005 => Total Deleted Files: 0
Tue Jan 04 14:12:29 2005 => Total Errors: 40
Tue Jan 04 14:12:29 2005 => Time Elapsed: 01:30:49
Tue Jan 04 14:12:29 2005 => Virus Database Date: 2005/01/04
Tue Jan 04 14:12:29 2005 => Virus Database Count: 114661

Tue Jan 04 14:12:29 2005 => Scan Completed.

------
Wie geht es nun weiter?

THX Gruß Hellrider

BTW.: Warum zeigt mir Escan eigentlich dieses infizierte Programm "sst4.exe" 2-mal an? Ich hab es auf der Platte nur einmal gefunden.
Gruß Hellrider

Hallo nochmal,

da ich bislang noch keine eindeutige Lösung für mein Problem gefunden hatte, hab ich gestern einfach mal die Datei "sst4.exe" gelöscht. Außerdem hab ich in der Registry unter HKEY_LOKAL_MASCHINE unter RUN einen entsprechenden Eintrag gefunden und gelöscht. Antivir meldet nun nichts mehr, ebensowenig HJT. Ist mein Problem damit gelöst oder kann es sein das ich da noch andere Dinge suchen muß?

THX @ all
Hellrider

Zitat:

Tue Jan 04 13:23:40 2005 => File C:\Programme\AVPersonal\INFECTED\wvsvc.VIR infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Du hast bei antivir die dateien nicht gelöscht sondern nur in Quarantäne stellen lassen.
Ausserdem bei Backdoor Viren empfehlen die Experten hier System neu aufsetzen
aber lass mal Haui45 oder Herrn Kautz ran :confused:

Zitat:

Zitat von Gigamail

Das hat erstmal nichts mit "uns" Experten zutun,sondern vielmehr,dass es sich hier um einen sehr gefärhlichen Backdoor handelt!

Wir posten die Links hier nicht zum reinen Vergnügen,oder weil es uns Spaß macht euch mitzuteilen,dass ihr formatieren müsst!

Das dient einzig und alleine eurer Sicherheit,und auch der anderen im Netz!

Wir können hier nicht feststellen,was der Rbot sonst noch alles am System verändert hat!

Das du mit deiner verseuchten Kiste immer noch unterwegs bist,ist mir schleierhaft,bzw verstehe ich nicht!

@ Hellrider;

bei dir hilft nur format c:

siehe dazu auch: http://www.trojaner-board.de/showpos...8&postcount=2]

Genau die Links befolgen!

Gruss

Das sollte eigentlich auch keine Kritik sein. hatte nur gemeint Ihr kennt euch da besser aus :daumenhoc

Seid gegrüßt!

Bin durch die Onlinesuche von web.de auf dieses Forum gestoßen und bin echt begeistert davon! Leider hat sich auch auf meinem Rechner o.g. Trojaner eingenistet! :( Ich habe mir die Antworten zu diesem Thema hier schon durchgelesen, aber nicht allzu viel davon verstanden. Vor allen Dingen was die Auswertung der Hijacklist angeht. Vielleicht findet sich ja jemand, der mir das verständlich erklären kann. Bin zwar kein Neuling auf dem PC-Gebiet, aber BIOS u.ä. sind für mich böhmische Dörfer! :koch:
Poste hier mal meine Hijacklist:

Logfile of HijackThis v1.99.0
Scan saved at 14:59:01, on 07.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\HP\KBD\KBD.EXE
C:\Programme\VERITAS Software\Update Manager\sgtray.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\WINDOWS\SOINTGR.EXE
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Dokumente und Einstellungen\Media.HPPAV\187.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WEBDE\SmartSurfer2.3\SmartSurfer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Media.HPPAV\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de7.hpwis.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de7.hpwis.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [StorageGuard] "C:\Programme\VERITAS Software\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Microsoft Update] vpc32.exe
O4 - HKLM\..\Run: [Windows Service Pack Auto Update] C:\Dokumente und Einstellungen\Media.HPPAV\187.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [Microsoft Update] vpc32.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O12 - Plugin for .mp3: C:\Programme\Internet Explorer\PLUGINS\npqtplugin4.dll
O12 - Plugin for .mpeg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - https://www6.pc-sicherheit.web.de/ols/fscax.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...trol_v1-32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9168EBD4-D87B-4542-89D9-B7CD9E87160D}: NameServer = 195.71.231.179 193.189.244.205
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Event - Unknown - C:\WINDOWS\System32\drivers\svchost.exe (file missing)

Wäre nett, wenn mir einer sagen könnte, WAS ich WIE löschen muß, damit ich diesen sturen Gaul von meinem PC kriege.
Habe übrigens Windows XP als Betriebssystem.

Danke und Gruß
Marco

@Opelfan

Zitat:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Ungepatchtes Win und als Folge:

Zitat:

O4 - HKLM\..\Run: [Microsoft Update] vpc32.exe
O4 - HKLM\..\RunServices: [Microsoft Update] vpc32.exe

AGOBOT drauf. Neu aufsetzen nach Anleitung: http://www.trojaner-board.com/showthread.php?t=12154

Hallo!

Nachdem ich heute nun endlich mein System neu aufgesetzt habe, kopiere ich den neuen Hijack Log nochmal hier rein, damit ihr mir sagen könnt, ob jetzt alles
an Trojanern und Würmern vernichtet wurde.
Also let´s go...

Logfile of HijackThis v1.99.0
Scan saved at 19:47:07, on 12.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\snapple.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\FinePixViewer\QuickDCF.exe
C:\WINDOWS\System32\soundmon.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\WEBDE\SmartSurfer2.31\SmartSurfer.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
C:\PROGRA~1\MOZILL~1\firefox.exe
C:\Dokumente und Einstellungen\Marco\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis199.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.tiscali.de/web/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tiscali.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Tiscali
F2 - REG:system.ini: Shell=Explorer.exe soundmon.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [StorageGuard] "C:\Programme\VERITAS Software\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [snapple] snapple.exe
O4 - HKLM\..\RunServices: [snapple] snapple.exe
O4 - HKLM\..\RunOnce: [snapple] snapple.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [snapple] snapple.exe
O4 - Global Startup: Exif Launcher.lnk = C:\Programme\FinePixViewer\QuickDCF.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.tiscali.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{61E41E17-333C-4780-AE8C-D2D23991AA3C}: NameServer = 195.71.231.179 193.189.244.205
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

Danke & Gruß
Marco

Sauber ist das Log in keinem Fall!
Überprüfe mal online bei http://virusscan.jotti.dhs.org
C:\WINDOWS\System32\snapple.exe
C:\WINDOWS\System32\soundmon.exe
und poste das Ergebnis.
Die Prozesse vorher beenden.

Hi!

Hat zwar etwas länger mit der Auswertung gedauert, aber nun habe ich sie vorliegen. Es sieht nicht so gut aus, befürchte ich. Also, die erstgenannte
[QUOTE]
C:\WINDOWS\System32\snapple.exe beinhaltet den "Backdoor.Win32.PdPinch.gen" und die andere C:\WINDOWS\System32\soundmon.exe[/QOUTE]
ist mit dem "Backdoor.Win32.Rbot.gen" infiziert!!!
Wie kriege ich die beiden Dateien jetzt von meinem PC, ohne nochmal alles neu aufspielen zu müssen?

Besten Dank
Marco

Hallo!

Kann mir denn keiner von Euch helfen, wie ich die besagten Dateien entfernen kann? :heulen:

Gruß Marco

@Opelfan

Zitat:

Kann mir denn keiner von Euch helfen, wie ich die besagten Dateien entfernen kann?

1.PC vom Internet trennen
2.Neu aufsetzten inkl alle Patches und Updates: Anleitung
3 Vernünftig absichern:Info
4.Alle Passwörter wechseln.
Noch Details:
Ich habe Virus...
10 Immutable Laws...
Wenn du einen von diesen Punkten auslässt oder nicht genau folgst, was schon geschah (kein SP2 wurde aufegspielt), bist du für ewiges Neuaufsetzen verbannt.