Hilfe hab problem mit dem IE

#16 Harle

Der PC ist voellig verseucht (!)

Neuinstallation XP
http://8ung.at/chemikers-home/SETUP.html

1.) Neu formatieren und installieren
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren
http://www.dirks-computerecke.de/windows-xp-firewall.htm
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen und alle Updates installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera oder firefox umsteigen
http://www.firebird-browser.de/
7.) Browser und emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail) sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Active-Scripting, Active-X)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vroher überprüfen, ob sie Spaware oder Adware enthalten
9) ein Antivirenprogramm (Antivir ist kostenlos und halbwegs brauchbar), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen
http://www.free-av.de/
10) alle Passworte aendern

mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#17 Das sieht genauso schlimm aus wie vorher, du MUSST dein System auf den neuesten Patchstand bringen, das ist alles sonst vollkommen sinnlos, was wir hier machen. Entweder du holst dir das Service Pack 2 von einer CD eines PC-Magazins oder lädst es dir aus dem Netz und brennst es, um es SOFORT nach der Neuinstallation von Windows ebenfalls zu installieren, oder du musst die Firewall aktivieren vor einem Onlineupdate. Entweder du hast das NICHT beachtet, oder du hast schon wieder irgendwelche Programme von deinem alten System installiert, die Schädlinge enthalten.
Konntest du die Daten vorher nicht brennen? Wenn es um mp3 oder docs usw. geht, die kann man ja durchaus sichern, evtl. empfiehlt sich dann das erstellen einer separaten Partition für diese Daten, damit beim nächsten Mal nur die mit dem System gelöscht/formatiert werden muss.

#18 also ok ... hab nun wirklich alles gemacht ... schritt nach schritt und ich glaube netmehr das ich was drauf habe ... (natürlich pass ich jetzt auf, auf was fuer seiten ich geh) ich surfe jetzt auch nur noch mit firefox hier is nochn log den ich gerade gemacht habe ... hoffe jetzt is alles clean ( service pack 2 hab ich auch)



Logfile of HijackThis v1.98.2
Scan saved at 15:36:16, on 14.09.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\msiexec.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\system32\wupda32.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\NVATray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
C:\WINDOWS\system32\ntvdm.exe
C:\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\Dokumente und Einstellungen\Besitzer\Desktop\Spiele\hijackthis_198\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [win update] wupda32.exe
O4 - HKLM\..\Run: [Microsoft Software Update] nmon.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [WIN USB 2.0] winusb.exe
O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\RunServices: [win update] wupda32.exe
O4 - HKLM\..\RunServices: [Microsoft Software Update] nmon.exe
O4 - HKLM\..\RunServices: [WIN USB 2.0] winusb.exe
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [win update] wupda32.exe
O4 - HKCU\..\Run: [Microsoft Software Update] nmon.exe
O4 - HKCU\..\Run: [WIN USB 2.0] winusb.exe
O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1095097813232
O17 - HKLM\System\CCS\Services\Tcpip\..\{09DB1971-61D6-4A29-9BAA-F62EB943105D}: NameServer = 217.237.151.225 217.237.150.225
O17 - HKLM\System\CS1\Services\Tcpip\..\{09DB1971-61D6-4A29-9BAA-F62EB943105D}: NameServer = 217.237.151.225 217.237.150.225

#19 Ich glaub´s ja nicht. Du hast schon WIEDER alles voller SD-Bot Trojaner. Das kann dann eigentlich nur noch daran liegen, dass von dir installierte Software von vornherein mit den Schädlingen infiziert ist. Sind deine Programme Windows/Works usw. Originale oder Raubkopien/gecrackte Software? Irgendwoher müssen die Dinger ja stammen.

#20 @Harle,

Deaktivieren Wiederherstellung
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/gdocid/20030807105707924

FIXE, DANN NEUSTARTEN

O4 - HKLM\..\Run: [win update] wupda32.exe
O4 - HKLM\..\Run: [Microsoft Software Update] nmon.exe
O4 - HKLM\..\Run: [WIN USB 2.0] winusb.exe
O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\RunServices: [win update] wupda32.exe
O4 - HKLM\..\RunServices: [Microsoft Software Update] nmon.exe
O4 - HKLM\..\RunServices: [WIN USB 2.0] winusb.exe
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O4 - HKCU\..\Run: [win update] wupda32.exe
O4 - HKCU\..\Run: [Microsoft Software Update] nmon.exe
O4 - HKCU\..\Run: [WIN USB 2.0] winusb.exe
O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe

NEUSTARTEN

Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"


1.LOESCHE:
<wupda32.exe
<nmon.exe
<PDSched.exe
<winusb.exe

2.Lade den "eScan" erstelle vorher eine C:\ base und entpacke dort den Scanner
http://www.mwti.net/antivirus/free_utilities.asp
suche mit der Suchfunktion von Windows eine "kavupd.exe" und anklicken.(kann auch im Temporary-Ordner sein)
Start<Ausfuehren< %temp%
Es oeffnet sich ein DOS-Fenster und es wird ein Update ausgeführt (dauert ein bisschen)
#Gehe unbedingt in den abgesicherten Modus (!)
http://www.bsi.de/av/texte/winsave.htm
#suche "mwav.exe und starte so den< eScan<. Alle Häkchen setzen und "Clean-Scan" klicken.

#Nach dem Scann, gehe wieder in den Normalmodus , scanne noch mal und poste alles, was als <deleted< und <renamed< und <no action taken< gefunden wurde das neue Log vom HijackThis noch mal.

tip: Deinstalliere den Antivirus(ist zerstoert ) und lade neu.
http://www.free-av.de/
Konfiguriere: <alle Datien< und Heutistik:mittel (auch im Guard) und mache einen Komplettscann

mfg
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#21 Wir müssen erstmal herausfinden, woher diese Schädlinge kommen, sonst ist das alles ziemlich sinnlos, fürchte ich.

#22 was soll denn der Schei... ... -.- ich hab ne originale cd von works und von windows ... ich mach das dann ebend was sabina gesagt hast

#23 Du kannst das Ganze noch zigmal wiederholen, solange die Herjunft der Schädlinge nicht geklärt und die Ursache beseitigt ist, bleibt das eine reine Zeitverschwendung.
Es geht ja auch nicht um einen Vorwurf, sondern um die Ursachensuche. Wie bist du genau vorgegangen, woher hast du das Service Pack 2? Hast du es heruntergeladen oder von einer Magazin-CD oder per Autoupdate? Hast du vor diesem Update die Firewall eingeschaltet?

Viren verbreiten sich ja nicht über die Luft, sondern über Datenaustausch, das heisst, du hast dir die Trojaner entweder "eingefangen", als du ungeschützt online warst, oder sie sind bei den Programmen, die du installiert hast bzw. Daten, die du aus dem alten System importiert hast, enthalten. Es geht auch nicht nur um Programme wie Windows oder Works, es können auch gecrackte Spiele, ISO-Downlowads oder was auch immer sein, ALLES, was du nach der Neuinstallation auf dem Rechner installiert hast und nicht Originalsoftware von CD ist, kann potentiell versucht sein. Du solltest daher Windows XP neu installieren und dann das Service Pack 2, am besten von einer Heft-CD drüberbügeln und davon mal ein Log posten.

#24 also hab nun alles schön gemacht was da stand .....

also hab alles erst schön eingestellt , also firewall und so ...... hab dann zuerst meine ati treibeer gesaugt .... dann auto update von der mircosoft seite ... dann service pack 2 gesaugt und dann anti vir und hijack .... hab vorher immer gegooglet damit ich die orginalen seiten bekomm ....

aber hier ist einmal der log von dem kaspersky (zweiter scan!) :

Tue Sep 14 20:04:46 2004 => Total Number of Files Scanned: 27374
Tue Sep 14 20:04:46 2004 => Total Number of Virus(es) Found: 0
Tue Sep 14 20:04:46 2004 => Total Number of Disinfected Files: 0
Tue Sep 14 20:04:46 2004 => Total Number of Files Renamed: 0
Tue Sep 14 20:04:46 2004 => Total Number of Deleted Files: 0
Tue Sep 14 20:04:46 2004 => Total Number of Errors: 0
Tue Sep 14 20:04:46 2004 => Time Elapsed: 00:17:01
Tue Sep 14 20:04:46 2004 => Virus Database Date: 2004/09/08
Tue Sep 14 20:04:46 2004 => Virus Database Count: 103474

Tue Sep 14 20:04:46 2004 => Scan Completed.


(hoffe das reicht wenn ihr noch was braucht einfach sagen!!!)



und hier der neue hijack log:


Logfile of HijackThis v1.98.2
Scan saved at 20:17:05, on 14.09.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\WINDOWS\system32\ntvdm.exe
C:\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Besitzer\Desktop\Spiele\hijackthis_198\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1095097813232
O17 - HKLM\System\CCS\Services\Tcpip\..\{09DB1971-61D6-4A29-9BAA-F62EB943105D}: NameServer = 217.237.151.225 217.237.150.225
O17 - HKLM\System\CS1\Services\Tcpip\..\{09DB1971-61D6-4A29-9BAA-F62EB943105D}: NameServer = 217.237.151.225 217.237.150.225



<---- jetzt sieht das aber ziemlich klein aus .... aber hoffe das is jetzt clean und ich hab meine ruhe vor den trojaner und viren :>

ps : danke das ihr immernoch versucht mich clean zubekommen oder eher meinen pc


*EDIT*

ne hab alles original ... hmmm deswegen wollt ich die dateien nicht brennen

#25 Na, das ist doch mal ein Log, wie man es gern sieht, nahezu klinisch rein.

Hast du denn eine Idee, wie du dir das bei der vorherigen Installation eingehandelt hast?

#26 Hallo @Harle

Deaktivieren Wiederherstellung
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/gdocid/20030807105707924
boote und aktiviere wieder.

Das Log ist sauber ...Glueckwunsch.
Gruss
Sabina
__________
MfG Sabina

rund um die PC-Sicherheit

#27 nice one :> sauber nach zwei tagen voller stress mit dem pc nun endlich die erlösung :> also danke nochmal und ich habe echt kA warum ich des nach der installation nochmal hatte :> aber trotzdem thx