|
Löschen eines Registryeintrag erfolglos Guten Abend, ich bin neu hier und komme gleich zum Thema (ich hab' da mal'n Problem *sigh*) OS: Windows XP pro (5.1.2600) SP3 Antiviren: Avast pro 4.8 Trojan Remover 6.7.4 Spybot S&D 1.6.0.31 (+ inst. teatimer) Internet: Zugang aus Netzwerk über Router Browser: Mozilla Firefox 3.0.4 Vor einiger Zeit schlug Spybots Teatimer Alarm, als ich einen Download instalieren wollte. Eigentlich normal, mir kamen die gewünschten RegEinträge merkwürdig vor, weshalb ich die Installation dann abbrach. Zu spät!!! Einige RegAnweisungen und, was weiß ich, konnten installiert werden. Leider nicht ausreichend, um meinen Rechner komplett zu verseuchen, denn nun habe ich das Problem, dass ich nicht herausbekomme, um welche Art der Kontaminierung es sich handelt. Nur so viel: In die Registry wird bei jedem PC-Start eine Startanweisung geschrieben: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "t66UB7NDu"="\"C:\\Dokumente und Einstellungen\\ITSME\\Anwendungsdaten\\kw7UwzOeS.pif\"" Löschen hat keinen Sinn, ist nach dem nächsten reboot wieder da. Die kw7UwzOeS.pif gibt es übrigens auch nicht. Mein Versuch, den Virus, Trojaner, was auch immer zu ergooglen ist sinnlos, die Dateinamen sind wohl zufällig generiert. Scans mit den o.A. Tools zeigen mir keinen Befall an. Ausserdem habe ich noch mal VundoFix im abgesichtern Modus laufen lassen, sowie mich durch sämtliche Dienste gewühlt. Therotisch könnte ich mit dem "Kontaminierus Interruptus" leben, doch die Vorstellung, dass mein System nicht wirklich sauber ist, nervt mich doch. Und bevor ich es letztendlich doch neu aufsetzte, frage ich hier um Rat. Anbei die HiJackThis-Log: Zitat:
|
Hallo, nachdem die Resonanz auf meine Anfrage doch etwas mager ausgefallen ist, :( möchte ich meine Fragestellung noch eben um einen Punkt erweitern, nämlich: Wie kann ich herausfinden, welche Datei welchen Eintrag in die Registy macht? Dies bezieht sich auf mein bereits geschildertes Problem. Mir kam die Idee, dass ich die verseuchte Datei löschen könnte, wenn ich wüßte welche das ist. (Oder eben gegebenfalls austauschen) Allerdings habe ich als Anhaltspunkt nur einen Registryeintrag, der sich zwar löschen lässt, jedoch nach jedem Neustart wieder eingetragen ist. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "t66UB7NDu"="\"C:\\Dokumente und Einstellungen\\ITSME\\Anwendungsdaten\\kw7UwzOeS.pif\"" Gibt es da ein entsprechendes Suchtool oder kann ich das mit Windowsbordmitteln rausfinden? Wieder Danke |
Schliesse alle Fenster und starte Hijack This Klicke: Do a Systemscan only Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei Zitat:
Benutze malwarebytes-anti-malware http://www.trojaner-board.de/51187-a...i-malware.html Note: Wähle bei Reiter: “Scanner”> "Quickscan durchfuehren". “Update “> klicke “Suche nache Aktualisierungen“ “Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“ Scan laufen lassen Und poste das Log |
Hi Argus, Anti Malware hat tatsächlich zwei Einträge gefunden. (Das einzige Programm, das ich noch nicht ausprobiert hatte) Und diese beka.ckte "0pop.dll" hatte ich schon mal in Verdacht, aber weil beim scannen nichts angezeigt wurde, dachte ich, die sei Bestandteil von O&O Defrag. Ich habe den Namen wohl auch falsch gelesen. Zu der DLL stand irgendwie sowas wie "Bla, bla Diskloader...." (Wenn man keine Ahnung hat...) So, wollte erstmal posten. Nun der Neustart. Wenn es das war, schulde ich Dir was ;o) lg Anbei der Log: Zitat:
|
Mist, hat nicht funktioniert... :( Nun weiß ich immerhin, daß mein System verseucht ist, da fällt mir die Neuinstallation, vor der ich mich seit Wochen drücke, dann nicht ganz so schwer. (Glücklicher Weise zweit OS, welches aber eigentlich nicht zerschossen werden sollte) Den Versuch war es wert, vielen Dank für Deine Hilfe Argus |
Spybot S&D TeaTimer Bitte den TeaTimer von Spybot S & D deaktivieren: C:\Programme\Spybot - Search & Destroy\TeaTimer.exe abstellen! Starte dazu Spybot S&D, klicke auf "Advanced mode" >"JA">"Tools">Menu> klicke auf "Resident" > das Häkchen entfernen aus der "Resident TeaTimer" (Schutz aller Systemeinstellungen) > "exit". (der TeaTimer be- bzw. verhindert alle weiteren Reinigungmaßnahmen!) Download ResetTeaTimer zum Desktop Doppelklik ResetTeaTimer Wenn dein Rechner wieder sauber ist kannst du TeaTimer wieder einschalten! Note:ResetTeaTimer nicht fuer Vista Verborgene Dateien sichtbar machen Arbeitsplatz öffnen >Extras >Ordneroptionen >den Reiter "Ansicht" >Versteckte Dateien und Ordner >"alle Dateien und Ordner anzeigen" aktivieren und >Extras >Ordneroptionen >den Reiter "Ansicht" >Dateien und Ordner >"Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren Starte Malwarebytes’Anti-Malware wähle Reiter " Weitere Programme " Klicke "Programm ausführen " unter FileASSASSIN Suche C:\Dokumente und Einstellungen\ITSME\Anwendungsdaten\kw7UwzOeS.pif und klicke OK |
Hm Argus, den TeaTimer zurückstellen ist eine gute Idee. Welch Glück, dass ich so eine faule S** bin. Denn nun will ich's wissen. ;) Werde dann berichten. Allerdings sind meine Ordneroptionen ohnehin schon umgstellt und die besagte *.pif Datei habe ich bereits vor Wochen manuell gelöscht. Ich habe zwar wenig Ahnung vom Ummgang mit Viren, aber ganz blond bin ich denn doch nicht ;) |
Auch dieser Hinweis von Dir klang nach besagtem Strohhalm... Leider war das nichts. Ich hatte gehofft, dass der resetete teatimer den Eintrag noch einmal als Warnung rausgibt und ich dann im Log nachsehen kann, was er den geblockt hat. Wurde aber nicht erkannt - MIST! Die Idee, die *pif Datei mit Anti Malware zu löschen war vom Ansatz auch klasse, nur ahnte ich schon, das es nichts bringen wird, weil ich die bereits entfernt hatte. Du siehst, ich habe da wirklich ein Problem. Der Trost dabei - deshalb habe ich das OS auch so auf dem PC belassen - ist der, dass sich dieser Virus nicht ausführen kann, weil er eben unvollständig installiert ist. Und noch einmal bedanke ich mich bei Dir für Deine Zeit und Mühe pretty good job Aber es muss doch herauszufinden sein, woher dieser Registryeintrag kommt, welches Programm oder welche Datei dafür verantwortlich ist??? Mittlerweile habe ich den IE7 im Verdacht. Denn das aktuelle IE Update (KB958217) bricht mit einer Fehlermeldung ab. Vielleicht sollte ich den mal komplett deinstallieren, mal sehen was passiert. |
ALTER, ICH BIN IHN TATSÄCHLICH LOS GEWORDEN! *froi deLuxe* Es lag tatsächlich am IE. Was habe ich gemacht:
TADAAAA! Problem gelöst *sing-säge-JEP!* Dennoch Argus, ohne Deine Anregungen hätte ich das auf keinen Fall hinbekommen und würde wohl noch in 1000 Jahren darüber grübeln. Dank Dir habe ich denn auch Anti-Malware in meine Samlung "nützliche Tools" aufgenommen. Ausserdem habe ich mir eingestehen müssen, dass ich doch nicht sooo der tolle User bin, wie ich bis dato immer annahm. (Immerhin 20 Jahre PC Umgang - NOOB forever!^^) P.S. Leider musste ich diesen Threat mit meinen Posts vollspamen, weil mir euer Forum immer die Meldung gab, dass ich zum editieren keine Berechtigung hätte und mich neu einloggen soll! (?) Bitte um Nachsicht |
Man lernt jeden Tag dazu :) (Ich auch) |
Ich weiss nicht ob Microsoft KB890830 auf dein Rechner installiert ist wenn ja Start>>Ausführen>>gib ein mrt klicke OK Es dauert ein bisschen aber dan hat man ein Microsoft scanner zur Hand :) |
Jep, das KB ist installiert. Werde es mal ausprobieren. Den IE7 lasse ich ersteinmalweg, habe den sowieso nur zum testen meiner HP-Gestaltung benutzt. THX |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 14:21 Uhr. |
Copyright ©2000-2024, Trojaner-Board