Antivirus XP 2008 + Windows Warning Message
 

Hallo zusammen,

heute beim Surfen hat sich bei mir ein Fenster "Windows Warning Message" aufgetan mit folgendem Text:
"warning! spyware detected on your computer! install an antivirus or spyware remover to clean your computer." (...obwohl ich natürlich ein aktives habe)
Dabei zeigt es 2 Dateien an:
"win32/adware.virtumonde" und "win32/privacyremover".
Außerdem ist mein Bildschirmhintergrund komplett weiß geworden (Desktop-Verknüpfungen sieht man aber noch und funktionieren auch).
Daraufhin hat sich das angebliche (?) Antivirenprogramm Antivirus XP 2008 nach Anfrage an mich und trotz Verneinens durch "Abbrechen" installiert, lässt sich nicht mehr deinstallieren und nervt andauernd mit Virenmeldungen.
Außerdem findet meine Antivirensoftware keinerlei Auffälligkeiten.

Habe Windows XP Home Edition, Anmeldung während des Befalls über Admin-Konto, Windows Explorer, Antivirensoftware Antivir Personal Edition Premium (letztes Update heute) ist aktiv.

Vielen Dank im Voraus.
gruß.

Servus

altbekanntes Problem schau mal da:

http://www.trojaner-board.de/55752-antivirus-xp-2008-a.html

http://www.chip.de/news/Antivirus-XP-2008-Vorsicht-falscher-Virenwaechter_32112898.html

http://de.pcthreat.com/parasitebyid-6952de.html


http://www.pctipp.ch/forum/showthread.php?t=2864

Gruß
Andreas

Hallo.
Erstmal danke für die schnelle Antwort. Habe mich an
http://www.trojaner-board.de/55752-antivirus-xp-2008-a.html
gehalten und mit Malwarebytes Anti-Malware gescannt. Mache jetzt noch den HJ-Log. Bitte noch um Durchsicht der Berichte, da ich davon absolut überhaupt keine Ahnung habe, ob in Ordnung oder nicht.

Hier schonmal der Anti-Malware-Bericht (der HJ-Log folgt noch):

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1092
Windows 5.1.2600 Service Pack 2

19:16:30 28.08.2008
mbam-log-08-28-2008 (19-16-30).txt

Scan-Methode: Vollständiger Scan (A:\|C:\|E:\|F:\|G:\|)
Durchsuchte Objekte: 94303
Laufzeit: 1 hour(s), 27 minute(s), 55 second(s)

Infizierte Speicherprozesse: 2
Infizierte Speichermodule: 4
Infizierte Registrierungsschlüssel: 5
Infizierte Registrierungswerte: 6
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 12
Infizierte Dateien: 22

Infizierte Speicherprozesse:
C:\Programme\rhcc8cj0e541\rhcc8cj0e541.exe (Rogue.Multiple) -> Failed to unload process.
C:\WINDOWS\system32\lphc98cj0e541.exe (Trojan.FakeAlert) -> Unloaded process successfully.

Infizierte Speichermodule:
C:\WINDOWS\system32\blphc98cj0e541.scr (Trojan.FakeAlert) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\MFC71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\msvcp71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\msvcr71.dll (Rogue.Multiple) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\Interface\{bf06da8e-2beb-4816-9bbd-f7625246e245} (Adware.ISTBar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{db447818-96b4-40df-8a55-720da496f514} (Adware.ISTBar) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\rhcc8cj0e541 (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\rhcc8cj0e541 (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smrhcc8cj0e541 (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lphc98cj0e541 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\rhcc8cj0e541 (Rogue.Multiple) -> Delete on reboot.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541 (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\HKCU (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\HKCU\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\HKLM (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\HKLM\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\StartMenuAllUsers (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Autorun\StartMenuCurrentUser (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\BrowserObjects (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Anwendungsdaten\rhcc8cj0e541\Quarantine\Packages (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\system32\blphc98cj0e541.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Programme\rhcc8cj0e541\database.dat (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcc8cj0e541\license.txt (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcc8cj0e541\MFC71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\MFC71ENU.DLL (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcc8cj0e541\msvcp71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\msvcr71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\rhcc8cj0e541.exe (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcc8cj0e541\rhcc8cj0e541.exe.local (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcc8cj0e541\Uninstall.exe (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lphc98cj0e541.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\vx.tll (Malware.Trace) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt15.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt2.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt4.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt5.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt7.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt8.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.tt9.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.ttA.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Elmar (privat)\Lokale Einstellungen\Temp\.ttB.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Gemeinsames Konto\Favoriten\Online Security Test.url (Rogue.Link) -> Quarantined and deleted successfully.

Hier der Log-File, habe in dann über hijackthis.de prüfen lassen und Entsprechendes gefixt.



Logfile of HijackThis v1.99.1
Scan saved at 19:40:59, on 28.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
C:\WINDOWS\Mixer.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Secunia\PSI (RC3)\psi.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe
C:\Programme\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\XXX(~1\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ish.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.ish.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://de.mcafee.com/apps/mpfplush5/de/mpfplush5/default.asp?affid=0-9&installtype=force&systempopup=true
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Norton AntiVirus Sys] NAVsys32.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb03.exe
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Windows Compliant] trogdn.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe" /min
O4 - HKLM\..\RunServices: [Norton AntiVirus Sys] NAVsys32.exe
O4 - HKLM\..\RunServices: [Windows Compliant] trogdn.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: Secunia PSI (RC3).lnk = C:\Programme\Secunia\PSI (RC3)\psi.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'avsda.dll' missing
O11 - Options group: [INTERNATIONAL] International*
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Avira AntiVir Premium MailGuard (AntiVirMailService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe
O23 - Service: Avira AntiVir Premium Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\sched.exe
O23 - Service: Avira AntiVir Premium Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\avguard.exe
O23 - Service: Avira AntiVir Premium WebGuard (antivirwebservice) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE
O23 - Service: Avira AntiVir Premium MailGuard Hilfsdienst (AVEService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - Unknown owner - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe (file missing)

O4 - HKLM\..\Run: [Norton AntiVirus Sys] NAVsys32.exe
Unbedingt fixen! Added by a variant of the WOOTBOT WORM!

R3 - URLSearchHook: (no name) - - (no file)
äußerst schädlich Sollte gefixt werden, wenn kein (bekanntes) Programm in der Fehlermeldung steht. Sollte gefixt werden, wenn kein bekanntes (oder gar kein) Programm erwähnt wird.

O4 - HKLM\..\RunServices: [Windows Compliant] trogdn.exe
Nicht bekanntes Programm.


hier kannst du die logfile auswerten:

http://www.hijackthis.de/#anl

Moin

da ist mit "fixxen" nix mehr zu machen, das System sollte als kompromittiert betrachtet werden --> Lösung :
http://www.trojaner-board.de/51262-a...sicherung.html
weil siehe hier
Ändere nach der Neuinstallation alle Pass- und Kennwörter, die jetzigen dürften nicht mehr sicher sein.
Sichere keine ausführbare Dateien und Dateien aus unsicheren Quellen wie P2P.

Bevor du dich an die Neuinstallation machst überprüfe dein System bitte mit
http://www2.gmer.net/mbr/mbr.exe
und poste das Ergebnis hierher.

MFG

@nochdigger

so ist es,das System ist auch nach Bereinigung nicht mehr vertauenswürdig! :uglyhammer:

Man sollte bei diesem sogenannten "XP Antivirus 2008" auch immer wieder darauf hinweisen:

Wenn es sich zur Installation anbiedert, brecht die Anwendung mit dem Task Manager ab. Auf "Abbrechen" oder "Cancel" klicken hat bei dieser "Schweinesoftware" dieselbe Wirkung wie "OK", was freilich besonders perfide ist.

Gruß

Daniel

Hallo,
das Fixen mit hijackthis hatte ich schon gemacht, habe den "alten" Log-File hier gepostet...ich Schlaumeier...

Hier das Ergebnis von mbr:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

auf meinen 3 zu verwalteten Rechner laufen nur Benutzerkonten mit eingeschränkten Rechten!

Moin

:daumenhoc da is ja auch nix verkehrtes dran
das ändert leider nix an der Empfehlung die Kiste neu aufzusetzen.

das Ergebnis ist i.O. kannst loslegen mit der Neuinstallation .

MFG