|
Ergebnis hijackthis...was nun? Ich habe heute mit hijackthis getestet und auswerten lassen mit folgendem Ergebnis: Unbekannte Prozesse: C:\WINDOWS\d3io32.exe C:\WINDOWS\iemk32.exe O2 - BHO: (no name) - {84CDE153-4CAD-FC75-55E6-8EC38BB49B2C} - C:\WINDOWS\system32\syshs.dll O4 - Global Startup: AudioDeck.lnk = C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe O4 - Global Startup: klickTel Juli 2003 - Schnellstarter.lnk = C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE Eventuell böse Prozesse: O4 - HKLM\..\Run: [iemk32.exe] C:\WINDOWS\iemk32.exe O4 - HKLM\..\RunOnce: [d3io32.exe] C:\WINDOWS\d3io32.exe Böse Prozesse “Dieser Eintrag sollte unbedingt mit HijackThis gefixt werden!“: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R3 - Default URLSearchHook is missing Unnötige Prozesse: O23 - Service: Network Security Service (NSS) - Unknown - C:\WINDOWS\system32\atlwb32.exe (file missing) Soll ich das mir Angeratene tun und die bösen Prozesse fixen? Und wie genau geht man dabei vor? Danke für Hilfe... Wella |
Es wäre schön, wenn du mal in einem Thread bleiben würdest..... Zudem brauchen wir ein ganzes Logfile. |
Sorry, habe aber meinen Treath von (mittlerweile) vorgestern wieder nicht gefunden. Ist wirklich komisch, bin aber die ganze Liste durchgegangen! Hier nun das ganze Logfile: Danke für Hilfe... Wella |
Ich hab dir sogar den direkten Link zu deinen alten Threads gepostet ;) Überprüfe mal online bei http://virusscan.jotti.org/ C:\WINDOWS\d3io32.exe C:\WINDOWS\iemk32.exe C:\WINDOWS\system32\syshs.dll evtl. musst du die Prozesse vorher im Taskmanager beenden. Falls du die Dateien nicht finden kannst, nimm bitte folgende Einstellungen vor: Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren + Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren PS: Poste dann natürlich auch das Ergebnis ;) |
Bin leider nicht so bewandert: Auf der Seite http://virusscan.jotti.org/ hab ich die erste Datei (Zeile) eingegeben, da öffnet sich ein Fenster und zeigt lauter blau markierte Dateien an. Ich bin dann auf "Öffnen" gegangen, aber nix ist passiert. Benötige wohl genauere Instruktionen zur weiteren Vorgehensweise...Sorry.... Was also teste ich auf dieser Seite und wie gehe ich dabei vor? Vielen, vielen Dank.... Wella |
Auf der Seite Virusscan.jotti.dhs.org auf "Durchsuchen" klicken-> zur ersten von mir genannten Datei navigieren und diese markieren-> auf "öffnen" klicken-> auf "Submit" klicken-> etwas warten->das Ergebnis markieren und hier rein kopieren: sieht etwa so aus: Zitat:
btw: warum hast du das Logfile wieder gelöscht, das brauchen wir noch :headbang: |
Also, Nr. 1: Service load: 0% 100% File: d3io32.exe Status: INFECTED/MALWARE Packers detected: UPX AntiVir TR/Dldr.Agent.al (0.21 seconds taken) Avast Win32:Trojano-927 (1.51 seconds taken) AVG Antivirus Downloader.Agent.6.N (0.86 seconds taken) BitDefender Trojan.Downloader.Agent.AL (0.36 seconds taken) ClamAV Trojan.Downloader.Agent-38 (0.39 seconds taken) Dr.Web Trojan.DownLoader.1299 (0.56 seconds taken) F-Prot Antivirus W32/Backdoor.LP (0.07 seconds taken) Fortinet No viruses found (0.43 seconds taken) Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.al (0.66 seconds taken) mks_vir Trojan.Downloader.Agent (0.21 seconds taken) NOD32 Win32/TrojanDownloader.Agent.NBC (0.40 seconds taken) Norman Virus Control W32/Agent.EO (0.15 seconds taken) Scanner Malware name Time taken AntiVir Worm/Rbot.AAK 0.25 seconds Avast Win32:Rbot-QB 1.52 seconds AVG Antivirus IRC/BackDoor.SdBot.89.R 0.86 seconds BitDefender Backdoor.RBot.7E3FC14C 0.42 seconds ClamAV X 0.40 seconds Dr.Web Win32.HLLW.MyBot.based 0.60 seconds F-Prot Antivirus W32/Spybot.ENZ 0.08 seconds Fortinet X 0.44 seconds Kaspersky Anti-Virus Backdoor.Win32.SdBot.gen 0.69 seconds mks_vir Trojan.Rbot.F07 0.22 seconds NOD32 Win32/Rbot.BRC 0.40 seconds Norman Virus Control X 7.89 seconds Nr. 2: Service load: 0% 100% File: iemk32.exe Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database) Packers detected: UPX AntiVir TR/Lefeat (0.21 seconds taken) Avast Win32:Downloader-008 (1.51 seconds taken) AVG Antivirus Downloader.Agent.7.E (0.84 seconds taken) BitDefender Trojan.Downloader.Agent.AP (0.36 seconds taken) ClamAV Trojan.Downloader.Agent-42 (0.37 seconds taken) Dr.Web Trojan.DownLoader.1440 (0.55 seconds taken) F-Prot Antivirus W32/Agent.IJ@dl (0.07 seconds taken) Fortinet No viruses found (0.43 seconds taken) Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.ap (0.64 seconds taken) mks_vir Trojan.Downloader.Agent.Nbg (0.21 seconds taken) NOD32 Win32/TrojanDownloader.Agent.NBG (0.39 seconds taken) Norman Virus Control W32/Agent.AGX (0.15 seconds taken) Statistics Last piece of malware found was W32/Agent.EO in d3io32.exe, detected by: Scanner Malware name Time taken AntiVir TR/Dldr.Agent.al 0.21 seconds Avast Win32:Trojano-927 1.51 seconds AVG Antivirus Downloader.Agent.6.N 0.86 seconds BitDefender Trojan.Downloader.Agent.AL 0.36 seconds ClamAV Trojan.Downloader.Agent-38 0.39 seconds Dr.Web Trojan.DownLoader.1299 0.56 seconds F-Prot Antivirus W32/Backdoor.LP 0.07 seconds Fortinet X 0.43 seconds Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.al 0.66 seconds mks_vir Trojan.Downloader.Agent 0.21 seconds NOD32 Win32/TrojanDownloader.Agent.NBC 0.40 seconds Norman Virus Control W32/Agent.EO 0.15 seconds Nr. 3: Service load: 0% 100% File: syshs.dll Status: INFECTED/MALWARE Packers detected: UPX AntiVir TR/Dldr.Agent.BC (0.26 seconds taken) Avast No viruses found (1.51 seconds taken) AVG Antivirus Downloader.Agent.7.AQ (0.87 seconds taken) BitDefender Trojan.Downloader.Agent.BC (0.36 seconds taken) ClamAV Trojan.Downloader.Agent.AC (0.96 seconds taken) Dr.Web Trojan.DownLoader.1457 (1.77 seconds taken) F-Prot Antivirus dropper for W32/Agent.II@dr (0.28 seconds taken) Fortinet No viruses found (1.44 seconds taken) Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.bc (1.64 seconds taken) mks_vir Trojan.Agent.Bc (0.19 seconds taken) NOD32 Win32/TrojanDownloader.Agent.NBH (0.36 seconds taken) Norman Virus Control W32/Agent.AIC (0.14 seconds taken) Statistics Last piece of malware found was W32/Agent.EO in d3io32.exe, detected by: Scanner Malware name Time taken AntiVir TR/Dldr.Agent.al 0.21 seconds Avast Win32:Trojano-927 1.51 seconds AVG Antivirus Downloader.Agent.6.N 0.86 seconds BitDefender Trojan.Downloader.Agent.AL 0.36 seconds ClamAV Trojan.Downloader.Agent-38 0.39 seconds Dr.Web Trojan.DownLoader.1299 0.56 seconds F-Prot Antivirus W32/Backdoor.LP 0.07 seconds Fortinet X 0.43 seconds Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.al 0.66 seconds mks_vir Trojan.Downloader.Agent 0.21 seconds NOD32 Win32/TrojanDownloader.Agent.NBC 0.40 seconds Norman Virus Control W32/Agent.EO 0.15 seconds Sind also infizierte Dateien. Dann wohl löschen, oder? Wella |
Um dir die weitere Vorgehensweise zu beschreiben, bräuchte ich das Logfile...... |
Mich hat gerade jemand gewarnt, das Logfile reinzustellen, weil da wichtige Daten drin sind... Geht das vielleicht auch anders? Wella |
Zitat:
- deine Kreditkartennummer :lach: - deine Adresse :lach: Das Einzige, was man evtl. sehen kann, ist dein Benutzername und den kann man editieren. Wenn sich diese Person so gut auskennt, wird sie sicher auch über den Sachverstand verfügen, dein Problem zu lösen. |
Nein, leider meckert diese Person nur! Gut, dann editiere ich meinen Benutzernamen. Wie finde ich den? Tut mir leid, aber ich bin eine relativ computer-unbedarfte Frau und muss das fragen.... :crazy: |
Das kann beispielsweise so aussehen: C:\Dokumente und Einstellungen\*Benutzername*\Eigene Dateien\Datei.txt Wie gesagt, sowas kann, muss aber nicht im Log enthalten sein. |
Also gut, danke! Hier nochmal das Logfile: Logfile of HijackThis v1.99.0 Scan saved at 23:46:42, on 09.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\WINDOWS\d3io32.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Ahead\InCD\InCD.exe C:\Programme\ScanSoft\OmniPageSE\opware32.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\iemk32.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Netscape\Netscape\Netscp.exe C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe C:\Programme\FRITZ!\IWatch.exe C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE C:\Programme\Corel\Graphics9\Register\Remind32.exe C:\Programme\WEBDE\SmartSurfer2.3\SmartSurfer.exe C:\Programme\Internet Explorer\iexplore.exe C:\Dokumente und Einstellungen\Lydia\Eigene Dateien\Computer\Sicherheit\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://web.de/ R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {84CDE153-4CAD-FC75-55E6-8EC38BB49B2C} - C:\WINDOWS\system32\syshs.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iemk32.exe] C:\WINDOWS\iemk32.exe O4 - HKLM\..\RunOnce: [d3io32.exe] C:\WINDOWS\d3io32.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo O4 - Startup: Corel Registration.lnk = C:\Programme\Corel\Graphics9\Register\Remind32.exe O4 - Global Startup: AudioDeck.lnk = C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe O4 - Global Startup: klickTel Juli 2003 - Schnellstarter.lnk = C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{01906ACA-A8B5-421D-81A9-EC0766CFA561}: NameServer = 62.104.191.241 62.104.196.134 O17 - HKLM\System\CS1\Services\Tcpip\..\{01906ACA-A8B5-421D-81A9-EC0766CFA561}: NameServer = 62.104.191.241 62.104.196.134 O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe O23 - Service: Network Security Service (NSS) - Unknown - C:\WINDOWS\system32\atlwb32.exe (file missing) |
1.) eScan runterladen und updaten (noch nicht scannen). Anleitung vorher komplett lesen, am besten ausdrucken. 2.) boote in den abgesicherten Modus. fixe mit Hijackthis (mit HjT scannen, Haken setzen und "fix checked" anklicken) R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {84CDE153-4CAD-FC75-55E6-8EC38BB49B2C} - C:\WINDOWS\system32\syshs.dll O4 - HKLM\..\Run: [iemk32.exe] C:\WINDOWS\iemk32.exe O4 - HKLM\..\RunOnce: [d3io32.exe] C:\WINDOWS\d3io32.exe O23 - Service: Network Security Service (NSS) - Unknown - C:\WINDOWS\system32\atlwb32.exe (file missing) lösche manuell: C:\WINDOWS\system32\oxxpg.dll/sp.html#96676 C:\WINDOWS\system32\syshs.dll C:\WINDOWS\iemk32.exe C:\WINDOWS\d3io32.exe 3.) Scanne jetzt mit eScan. Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren) und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Lösche die gefundenen Dateien manuell (Datei markieren und löschen) Vorsicht bei Dateien die als "not-a-virus" identifiziert werden. Dialer evtl. zur Beweissicherung auf Diskette speichern -> Dialer-Hinweis Neustart Alternativen Browser wählen! neues HijackThis-Logfile posten. Die "Virus Log Information" von eScan posten. Problem gelöst? PS: Falls du Probleme hast, die Dateien zu finden, nimm bitte folgende Einstellungen vor: Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren + Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren |
Das ist ja sehr lieb von Dir! Ich fang schon mal an, wers aber in dieser Nacht nicht mehr schaffen. Setze also die Arbeit morgen fort. Würde dich bei Fragen also dann morgen (heute) wieder kontaktieren. Hoffentlich schaust du mal rein!? Fragen vorher: (1) "Manuell löschen" - meinst sicher, z.B. im Windows-Explorer löschen!? (2) "Alternativen Browser verwenden" - Was heisst das? (3) Hast Du einen Tipp für eine gute Anti-Viren-Software, die nicht zu teuer wird, z.B. mit den jährlichen Neuregistrierungen? Mein Norton AntiVirus läuft bald aus und ich kümmere mich gerade... So, das wars erstmal für diese Nacht *augenzufall* Vielen Dank bis hierher und schlafe gut... Viele Grüße Wella |
Zitat:
Zitat:
z.B.: http://www.firefox-browser.de/ http://filepony.de/download-opera/ Zitat:
|
Nun muss ich doch noch was schreiben. Habe eSan runtergeladen. Auf der Seite http://www.trojaner-board.de/42731-escan-anleitung.html steht: "Mit Hilfe von Winzip, Winrar oder einem vergleichbaren Packprogramm muss der Inhalt der mwav.exe per Rechtsklick auf die Datei in das Verzeichniss c:\bases entpackt werden." Bei mir gibt es ein solches Verzeichnis nicht. Soll ich es also erst erstellen? Danke Wella |
Ja, das Verzeichnis muss erst erstellt werden. Es ist wichtig, dass eScan in genau diesen Ordner entpackt wird! |
Jetzt alles noch schlimmer! So, hab alles gemacht, was du gesagt hast. Hab das neue Logfile gleich getestet, nun sind noch viel mehr böse Sachen drauf: Logfile of HijackThis v1.99.0 Scan saved at 20:49:22, on 10.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Ahead\InCD\InCD.exe C:\Programme\ScanSoft\OmniPageSE\opware32.exe C:\Programme\QuickTime\qttask.exe C:\programme\180solutions\sais.exe C:\Programme\Web_Rebates\WebRebates0.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Netscape\Netscape\Netscp.exe C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe C:\Programme\FRITZ!\IWatch.exe C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE C:\Programme\Corel\Graphics9\Register\Remind32.exe C:\Programme\Web_Rebates\WebRebates1.exe C:\WINDOWS\system32\wuauclt.exe C:\Dokumente und Einstellungen\Lydia\Eigene Dateien\Computer\Sicherheit\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://web.de/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\PROGRA~1\YOURSI~1\ysb.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [tibs5] C:\WINDOWS\system32\tibs5.exe O4 - HKLM\..\Run: [IST Service] C:\Programme\ISTsvc\istsvc.exe O4 - HKLM\..\Run: [sais] c:\programme\180solutions\sais.exe O4 - HKLM\..\Run: [Internet Optimizer] "C:\Dokumente und Einstellungen\Lydia\Internet Optimizer\optimize.exe" O4 - HKLM\..\Run: [WebRebates0] "C:\Programme\Web_Rebates\WebRebates0.exe" O4 - HKLM\..\Run: [u9KKF4gFv] C:\WINDOWS\aujiqn.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo O4 - Startup: Corel Registration.lnk = C:\Programme\Corel\Graphics9\Register\Remind32.exe O4 - Global Startup: AudioDeck.lnk = C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe O4 - Global Startup: klickTel Juli 2003 - Schnellstarter.lnk = C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Web Rebates - file://C:\Programme\Web_Rebates\Sy1150\Tp1150\scri1150a.htm O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: *.05p.com O15 - Trusted Zone: *.awmdabest.com O15 - Trusted Zone: *.blazefind.com O15 - Trusted Zone: *.clickspring.net O15 - Trusted Zone: *.flingstone.com O15 - Trusted Zone: *.frame.crazywinnings.com O15 - Trusted Zone: *.mt-download.com O15 - Trusted Zone: *.my-internet.info O15 - Trusted Zone: *.scoobidoo.com O15 - Trusted Zone: *.searchbarcash.com O15 - Trusted Zone: *.searchmiracle.com O15 - Trusted Zone: *.slotch.com O15 - Trusted Zone: *.static.topconverting.com O15 - Trusted Zone: *.xxxtoolbar.com O15 - Trusted Zone: *.05p.com (HKLM) O15 - Trusted Zone: *.awmdabest.com (HKLM) O15 - Trusted Zone: *.blazefind.com (HKLM) O15 - Trusted Zone: *.clickspring.net (HKLM) O15 - Trusted Zone: *.flingstone.com (HKLM) O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM) O15 - Trusted Zone: *.mt-download.com (HKLM) O15 - Trusted Zone: *.my-internet.info (HKLM) O15 - Trusted Zone: *.scoobidoo.com (HKLM) O15 - Trusted Zone: *.searchbarcash.com (HKLM) O15 - Trusted Zone: *.searchmiracle.com (HKLM) O15 - Trusted Zone: *.slotch.com (HKLM) O15 - Trusted Zone: *.static.topconverting.com (HKLM) O15 - Trusted Zone: *.xxxtoolbar.com (HKLM) O15 - Trusted IP range: 206.161.125.149 O15 - Trusted IP range: 206.161.125.149 (HKLM) O16 - DPF: {771A1334-6B08-4A6B-AEDC-CF994BA2CEBE} (Installer Class) - http://www.ysbweb.com/ist/softwares/...sb_regular.cab O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe Diese ganzen Trusted Zones sind wohl ganz übel. HELP!!! Wella |
Was hast du denn in der Zwischenzeit gemacht? Entweder du hast dir noch irgendein "spywarehaltiges" Programm installiert, oder die vorhandene Malware hat das nachträglich noch installiert. Willst du eine weitere Bereinigung versuchen, oder gleich "reinen Tisch" machen? Ich empfehle dir letzteres -> Anleitung Dann hättest du die Gewissheit wieder mit einem sauberen System zu arbeiten. |
Ich hab alles so gemacht, wie dus gesagt hast. Es hat mich den halben Tag gekostet. Seit heute Mittag hocke ich vorm Rechner. Wenn ich den Rechner platt mache, welche Reihenfolge inkl. Neuaufspielen ist denn sinnvoll, damit ich mir nicht wieder alle Viren drauf lade? Steht dies alles in der Anleitung, deren Link du mir geschickt hast? Oder ist noch was zusätzlich zu beachten? Die geschaffte, desillusionierte Wella |
Zitat:
Zitat:
PS: falls möglich, versuchen wir meistens erst eine Bereinigung, wenn sich dies als erfolglos herausstellt, bleibt eben nur der letzte Ausweg.... :( |
So, nach den neusten Bereinigungen gibt es ein deutlich besser aussehendes Logfile. Böse sind nur noch 6 Dateien: O15 - Trusted Zone: *.awmdabest.com O15 - Trusted Zone: *.frame.crazywinnings.com O15 - Trusted Zone: *.awmdabest.com (HKLM) O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM) O15 - Trusted IP range: 206.161.125.149 O15 - Trusted IP range: (HKLM) Aber hier nochmal das ganze Logfile: Logfile of HijackThis v1.99.0 Scan saved at 22:48:06, on 10.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Ahead\InCD\InCD.exe C:\Programme\ScanSoft\OmniPageSE\opware32.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Netscape\Netscape\Netscp.exe C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe C:\Programme\FRITZ!\IWatch.exe C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE C:\Programme\Corel\Graphics9\Register\Remind32.exe C:\Programme\Opera\Opera.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\WEBDE\SmartSurfer2.3\SmartSurfer.exe C:\Dokumente und Einstellungen\Lydia\Eigene Dateien\Computer\Sicherheit\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://web.de/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [tibs5] C:\WINDOWS\system32\tibs5.exe O4 - HKLM\..\Run: [u9KKF4gFv] C:\WINDOWS\aujiqn.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo O4 - Startup: Corel Registration.lnk = C:\Programme\Corel\Graphics9\Register\Remind32.exe O4 - Global Startup: AudioDeck.lnk = C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe O4 - Global Startup: klickTel Juli 2003 - Schnellstarter.lnk = C:\Programme\klickTel\klickTel Juli 2003\KSTART32.EXE O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: *.awmdabest.com O15 - Trusted Zone: *.frame.crazywinnings.com O15 - Trusted Zone: *.awmdabest.com (HKLM) O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM) O15 - Trusted IP range: 206.161.125.149 O15 - Trusted IP range: (HKLM) O17 - HKLM\System\CCS\Services\Tcpip\..\{01906ACA-A8B5-421D-81A9-EC0766CFA561}: NameServer = 62.104.191.241 62.104.196.134 O17 - HKLM\System\CS1\Services\Tcpip\..\{01906ACA-A8B5-421D-81A9-EC0766CFA561}: NameServer = 62.104.191.241 62.104.196.134 O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Norton AntiVirus Auto Protect Service - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe Wie kann ich die verbleibenden, bösen Dateien beseitigen, ohne mir - wie heute schon geschehen, beim Reinigungsvorgang neue Sachen einzuholen? Vielen Dank für Deine Tipps... Wella |
Du musst schon sagen, was du machen willst: Bereinigen oder nicht? :confused: Was hast du jetzt auf eigene Faust gemacht? Zitat:
|
Ich habe adaware und spyboot drüberlaufen lassen und dann die ad-aware-quarantäne gelöscht. Auf der Auswertungsseite von hijackthis waren nur noch diese 6 Dateien böse? Ist es denn aufwendig, weiter zu bereinigen? Also die Aktion heute kann ich nicht wirklich als erfolgreich bezeichnen. Escan hatte 838 Dateien mit Viren gefunden *Schreck*. Dann sah ich, dass die meisten aus der Quarantäne-Datei von ad-aware und aus dem restore, also der Systemwiederherstellung kamen. Soll die Systemwiederherstellungs-Funktion besser an oder aus bleiben bei dem ganzen Vorgang? Also ich würde ja bereinigen, wenn diesmal hinterher nicht mehr Verunreinigungen als vorher drauf wären. Was meinst du? Wella |
Zitat:
Zitat:
Zitat:
Systemwiederherstellung deaktivieren -> Neustart -> Systemwiederherstellung wieder aktivieren, dann sind sie gelöscht. Je nach Art des Schädlings reicht löschen aber manchmal nicht aus, darum brauche ich die genauen Bezeichnungen. |
Was? Seit Stunden nicht mehr am Netz hängen? Das klingt gar nicht gut. Ist das so gefährlich? Das ist eine lange Liste mit den 838 Viren. Das würde das Forum sprengen. Die Viren habe ich ja, wie du gestern sagtes, gelöscht. Meinst Du, dass hier andere Leute auf meinem PC hängen? Warum sollten sie das tun? es gibt bei mir nix interessantes ausser Fotos, Gesundheitstipps und kleinere Kreativentwürfe an Gedichten. Ich werde erst mal diese 6 Sachen mit dem hijackthis fixen. Dann ist das schon mal weg. Und dann? :balla: |
Die "trusted Zone"-Einträge wirst du mit HijackThis nicht wegbekommen, da gibt's einen anderen Weg. Zitat:
Zitat:
Zitat:
- Werbung - Verbreitung von Malware - Verwendung des PC's als Sprungbrett für illegale Aktionen - Verbreitung illegalen Materials.... |
Also diese Viren habe ich selektieren können aus dem gesamten Logfile: Trojan-Dropper.Win32.Tibsis.b Trojan-Downloader.Win32.IstBar.gm Trojan-Downloader.Win32.Dyfuca.du Trojan-Downloader.Win32.IstBar.go" Trojan-Downloader.Win32.Agent.ap" Trojan-Downloader.Win32.WinShow.ak Trojan-Downloader.Win32.Agent.bq Trojan-Downloader.Win32.Agent.al Trojan-Downloader.Win32.Agent.bc Backdoor.Win32.Small.dc Trojan.Win32.HideProc.a Trojan-Downloader.Win32.Small.ahz Trojan-Downloader.Win32.IstBar.gen Trojan-Downloader.Win32.Dyfuca.du Virus.Win32.Bube.b "not-a-virus:AdWare.180Solutions" (als Beispiel für mehrere „not-a-virus“) Trojan-Downloader.Win32.Small.lb Trojan-Downloader.Win32.IstBar.gz Diese Viren wurde auch in den vielen Dateien des Systemwiederherstellungsordners File C:\System Volume Information\_restore…. gefunden. Der bei Norton-AntiVirus in der Quarantäne-Datei gefundene Virus war: Email-Worm.Win32.NetSky.d" (Das waren denk ich v.a. E-Mails, die Norton gleich rausgefischt hat, bevor es Ärger gab.) Die Quarantäne-Datei habe ich heute gelöscht. |
Sorry, aber da sieht die Sache schon ganz anders aus :( Da ist leider nicht "nur" Adware sondern doch einiges mehr. Um dein System wieder sauber zu bekommen, bleibt dir praktisch nur formatieren. Hier eine kleine Hilfe. Lutz über Datensicherung (auf ausführbare Dateien solltest du jedoch ganz verzichten) mfg Haui |
Bitte sage mir, warum die Sache nun doch anders aussieht. Ist es die Menge an Viren oder die Art der Viren? Wieso kann ich nicht mehr bereinigen? Im Moment läuft mein Rechner gut. Ich merke keine Einschränkungen. Nur dass ich mit netscape nichts downloaden kann. Aber ich nutze ja jetzt eh einen anderen Browser. |
Wo kann ich mir denn diese Dinger geholt haben? Und ist es gefährlich, an meinem Rechner weiter zu arbeiten? |
Zitat:
-Extrem viele "Downloader", die praktisch schon alles mögliche nachgeladen haben können (haben sie auch schon...) - http://www.sophos.com/virusinfo/analyses/w32bubea.html (bei dir Bube.B, aber die Grundfunktionen sind gleich) -> Allows others to access the computer -Trojan.Win32.HideProc.a -> versteckt Prozesse.... => alle Dateien können manipuliert sein => Über die Entfernung von Schädlingen Ich kann dir guten Gewissens wirklich nur ein erneutes Aufsetzen des OS empfehlen, alles andere ist in meinen Augen zwecklos. Zitat:
- Sicherheitslücken im OS - Sicherheitslücken im IE oder in anderer Software - zu unbedarftes Surfverhalten - installieren unsicherer Software Zitat:
|
Gut, dann werde ich jetzt das Internet verlassen und nicht mehr reingehen. Meine ausführbaren Dateien scheinen ja nun alle unwiderruflich nicht mehr nutzbar zu sein. Zumindest nicht auf einem sauberen Rechner. Das ist sehr schade, da ich sehr viele für mich wichtige Sachen in word-Dokumenten habe. Ich hoffe nur, dass mir gestern und heute keinen Dialer mit teuren Einwahlgebühren draufgeladen habe. Davor bin ich immer verschont geblieben. Wenn ich nicht im Netz bin, ist der Rechner wohl schon noch meiner, da hat keiner Zugriff drauf. Ich danke Dir jedenfalls, sehr für Deine Hilfe. Wie ich den Rechner wieder hinkrieg, weiss ich noch nicht, allein krieg ichs sicher nicht hin. Da gibts sicher auch Läden, wo man den PC abgeben kann. Dann haben die zwar ugriff auf meine Dateien, aber naja. Alles löschen werd ich wohl nicht vorher. Bin jetzt ziemlich depri. Vielen Dank nochmal und alles Gute für Dich...! Viele Grüße Wella |
Zitat:
So schwer ist es aber auch nicht, die Platte zu formatieren und Windows sicher zu installieren. Schau Dir einfach mal die Anleitungen an, die es dazu im Netz gibt und die hier gepostet werden. Gruß :daumenhoc Yopie |
Zitat:
Zitat:
Falls nicht, nochmal mit eScan scannen und als Dialer identifizierte Dateien auf Diskette/CD sichern. Zitat:
Schau mal hier und beachte auch die Anleitung von vorhin. Zitat:
Viel Glück, das schaffst du schon :daumenhoc |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:58 Uhr. |
Copyright ©2000-2025, Trojaner-Board