Trojanische Pferd TR/LowZones.A.2Thema ist geschlossen! |
||
---|---|---|
Thema ist geschlossen! |
||
#0
| ||
08.04.2005, 21:39
...neu hier
Beiträge: 1 |
||
|
||
09.04.2005, 00:03
Ehrenmitglied
Beiträge: 29434 |
#122
Hallo@Nimsay
•eScan-Erkennungstool eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich: http://www.mwti.net/antivirus/free_utilities.asp oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche kavupd.exe, die klickst du an--> (Update- in DOS) ausführen gehe in den abgesicherten Modus http://www.tu-berlin.de/www/software/virus/savemode.shtml und den Scanner mit der "mwav.exe"[oder:MWAVSCAN.COM] starten. Alle Häkchen setzen : Auswählen: "all files", Memory, Startup-Folders, Registry, System Folders, Services, Drive/All Local drives, Folder [C:\WINDOWS], Include SubDirectory -->und "Scan " klicken. •Gehe wieder in den Normalmodus: •mache bitte folgendes: nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du "infected" ein •jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw. •und ganz unten steht die zusammenfassung, diese auch hier posten __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
09.04.2005, 09:54
...neu hier
Beiträge: 1 |
#123
Hallo Sabina,
habe mir auch deisen wurm eingefangen.... habe hier alles gelesen und traue mit nicht so recht zu sowas alles zu machen.... würde formatieren und eine neuinstallation nicht auch gehen?? achso, nochwas... was ist mit einem USB Memory Stick, der mal an diesem PC war? habe mal mit GData AVK einen scan darüber gemacht : Ergebnis: ohne Viren, keine Funde. Danke für deine Hilfe ! Gruß SEA Dieser Beitrag wurde am 09.04.2005 um 10:45 Uhr von SEA editiert.
|
|
|
||
09.04.2005, 17:11
Ehrenmitglied
Beiträge: 29434 |
#124
Hallo@SEA
Wenn es grosse Probleme gibt ...ist ein Formatieren immer anzuraten __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
10.04.2005, 13:23
...neu hier
Beiträge: 5 |
#125
Hallo Sabina ich mal wieder !
Erstmal riesen dank für Deine bisherige Hilfe ! Echt super ! Ich bin meinen Wurm wohl auch los, bis auf diese "Reste" ! File F:\System Volume Information\_restore{B4C97E4F-4BBB-48AC-9D7F-2116F44FE826}\RP3\A0001091.exe infected by "not-a-virus:AdWare.NavExcel.d" Virus. File F:\System Volume Information\_restore{B4C97E4F-4BBB-48AC-9D7F-2116F44FE826}\RP1\A0000002.exe infected by "Backdoor.Win32.SdBot.xa" Virus. Fri Apr 08 23:21:24 2005 => Scanning HKLM\SYSTEM\CurrentControlSet\Services\VxD Fri Apr 08 23:21:25 2005 => Offending value found in HKCU\Software\VB and VBA Program Settings !!! Fri Apr 08 23:58:40 2005 => System found infected with VB and VBA Program Settings Spyware/Adware! Action taken: No Action Taken. Fri Apr 08 23:58:40 2005 => File System Found infected by "VB and VBA Program Settings Spyware/Adware" Virus. Action Taken: No Action Taken. t Apr 09 02:25:06 2005 => ***** Scanning complete. ***** Sat Apr 09 02:25:06 2005 => Total Objects Scanned: 105387 Sat Apr 09 02:25:06 2005 => Total Virus(es) Found: 4 Sat Apr 09 02:25:06 2005 => Total Disinfected Files: 0 Sat Apr 09 02:25:06 2005 => Total Files Renamed: 0 Sat Apr 09 02:25:06 2005 => Total Deleted Objects: 0 Sat Apr 09 02:25:06 2005 => Total Errors: 30 Sat Apr 09 02:25:06 2005 => Time Elapsed: 03:03:12 Sat Apr 09 02:25:06 2005 => Virus Database Date: 2005/04/04 Sat Apr 09 02:25:06 2005 => Virus Database Count: 124577 Sat Apr 09 02:25:06 2005 => Scan Completed. Sat Apr 09 02:25:11 2005 => Virus Database Date: 2005/04/04 Sat Apr 09 02:25:11 2005 => Virus Database Count: 124577 Sat Apr 09 02:30:47 2005 => AV Library Unloaded (3)... Sun Apr 10 13:10:45 2005 => ********************************************************** Sun Apr 10 13:10:45 2005 => MicroWorld AntiVirus Toolkit Utility. Sun Apr 10 13:10:45 2005 => Copyright © 2003-2005, MicroWorld Technologies Inc. Sun Apr 10 13:10:45 2005 => ********************************************************** Sun Apr 10 13:10:45 2005 => Version 6.0.5 (F:\DOKUME~1\Peter\LOKALE~1\Temp\mwavscan.com) Sun Apr 10 13:10:45 2005 => Log File: F:\DOKUME~1\Peter\LOKALE~1\Temp\MWAV.LOG Sun Apr 10 13:10:45 2005 => Last Scan Date and Time: 08.04.2005 23:20:36 Sun Apr 10 13:10:46 2005 => Latest Date of files inside MWAV: 04 Apr 2005 11:31:37. Sun Apr 10 13:10:51 2005 => AV Library Loaded... Sun Apr 10 13:10:51 2005 => MWAV doing self scanning... Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\kavss.exe Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\Getvlist.exe Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\kavss.dll Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\kavssdi.dll Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\kavssi.dll Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\kavvlg.dll Sun Apr 10 13:10:51 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\msvlclnt.dll Sun Apr 10 13:10:52 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\ipc.dll Sun Apr 10 13:10:52 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\main.avi Sun Apr 10 13:10:52 2005 => Scanning File F:\DOKUME~1\Peter\LOKALE~1\Temp\virus.avi Sun Apr 10 13:10:52 2005 => MWAV files are clean. Sun Apr 10 13:10:52 2005 => Virus Database Date: 2005/04/04 Sun Apr 10 13:10:52 2005 => Virus Database Count: 124577 Beim Scan selber hatte er 3 "System Volume Information"-Datein mit "Win32" entdeckt ? Kannst Du mir noch ein letztes mal sagen wie ich die wegbekomme ? Kann ich irgendwo für euch voten oder mich anders erkentlich zeigen ? |
|
|
||
10.04.2005, 14:38
Ehrenmitglied
Beiträge: 29434 |
#126
Hallo@Hannibal78
Deaktivieren Wiederherstellung «XP Arbeitsplatz-->rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren. (dann aktiviere sie wieder) anti-spyware software http://www.microsoft.com/athome/security/spyware/software/default.mspx Download the beta* of our new anti-spyware software today •RAV ANTIVIRUS SCAN ONLINE--> berichte http://www.ravantivirus.com/scan/index.php und poste das Neue Log vom HijackThis __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
10.04.2005, 15:42
...neu hier
Beiträge: 5 |
#127
Mein Hijack
Logfile of HijackThis v1.99.1 Scan saved at 15:44:30, on 10.04.2005 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) Running processes: F:\WINDOWS\System32\smss.exe F:\WINDOWS\system32\csrss.exe F:\WINDOWS\system32\winlogon.exe F:\WINDOWS\system32\services.exe F:\WINDOWS\system32\lsass.exe F:\WINDOWS\system32\svchost.exe F:\WINDOWS\System32\svchost.exe F:\WINDOWS\System32\svchost.exe F:\WINDOWS\System32\svchost.exe F:\WINDOWS\system32\spoolsv.exe F:\Programme\AVPersonal\AVGUARD.EXE F:\Internet\T-DSL\SpeedMgr.exe F:\WINDOWS\System32\LVCOMSX.EXE F:\Programme\AVPersonal\AVWUPSRV.EXE F:\WINDOWS\System32\drivers\CDAC11BA.EXE F:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE F:\Div. Programmme\ewido security suite\security suite\ewidoctrl.exe F:\Internet\ZoneAlarm\zlclient.exe F:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe F:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe F:\Programme\AVPersonal\AVGNT.EXE F:\Programme\Webroot\Spy Sweeper\SpySweeper.exe F:\WINDOWS\System32\nvsvc32.exe F:\Programme\Dantz\Retrospect\retrorun.exe F:\WINDOWS\System32\svchost.exe F:\WINDOWS\System32\wdfmgr.exe F:\WINDOWS\system32\ZoneLabs\vsmon.exe F:\Internet\T-DSL\tsmsvc.exe F:\WINDOWS\explorer.exe F:\Div. Programmme\a2\a2guard.exe F:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe F:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe F:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE F:\Div. Programmme\AntiSpyware windows\gcasDtServ.exe F:\Div. Programmme\AntiSpyware windows\gcasServ.exe F:\New_Downloads\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Internet\ICQToolbar\toolbaru.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - F:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - F:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - F:\Programme\MSN Toolbar\01.01.1601.0\de\msntb.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Internet\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [T-DSL SpeedMgr] "F:\Internet\T-DSL\SpeedMgr.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [LVCOMSX] F:\WINDOWS\System32\LVCOMSX.EXE O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [EPSON Stylus C66 Series] F:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB003" /M "Stylus C66" O4 - HKLM\..\Run: [Zone Labs Client] "F:\Internet\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [ToADiMon.exe] F:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart O4 - HKLM\..\Run: [AVGCtrl] F:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [gcasServ] "F:\Div. Programmme\AntiSpyware windows\gcasServ.exe" O4 - HKCU\..\Run: [SpySweeper] "F:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /0 O8 - Extra context menu item: &ICQ Toolbar Search - res://F:\Internet\ICQToolbar\toolbaru.dll/SEARCH.HTML O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Internet\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Internet\ICQLite\ICQLite.exe O16 - DPF: ppctlcab - http://69.44.122.156/scanner/ppctlcab.cab O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://69.44.122.156/scanner/axscanner.cab O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094065709850 O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{579B781B-458C-48DB-9353-DFCD073713DD}: NameServer = 217.237.150.225 217.237.150.141 O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - F:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - F:\WINDOWS\System32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - F:\WINDOWS\system32\ati2sgag.exe O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - F:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: C-DillaCdaC11BA - Macrovision - F:\WINDOWS\System32\drivers\CDAC11BA.EXE O23 - Service: ewido security suite control - ewido networks - F:\Div. Programmme\ewido security suite\security suite\ewidoctrl.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\System32\nvsvc32.exe O23 - Service: Retrospect Launcher (RetroLauncher) - Unknown owner - F:\Programme\Dantz\Retrospect\retrorun.exe O23 - Service: TSMService - T-Systems Nova, Berkom - F:\Internet\T-DSL\tsmsvc.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - F:\Div. Programmme\div.XP\WinStylerThemeSvc.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - F:\WINDOWS\system32\ZoneLabs\vsmon.exe |
|
|
||
10.04.2005, 16:03
Ehrenmitglied
Beiträge: 29434 |
#128
Hallo@Hannibal78
Wie kann ich das Service Pack 2 installieren? Sie können Windows XP Service Pack 2 mit der Funktion Windows Update oder von CD installieren. [A] Installation über Windows Update (Internet) 1. Wählen Sie im Start-Menü den Befehl Windows Update. Sie werden automatisch mit der Internetseite Windows Update verbunden (Internetverbindung vorausgesetzt). 2. Aktivieren Sie Windows XP Servicepack 2 und Updates installieren. Installation von CD 1. Legen Sie die CD mit Service Pack 2 in das CD-Laufwerk Ihres PCs ein. 2. Klicken Sie nach dem Autostart auf Weiter. 3. Lesen Sie aufmerksam die Informationen Was sie wissen sollten, bevor sie mit der Installation beginnen. 4. Starten Sie das Setup, in dem Sie Jetzt installieren klicken. 5. Folgen Sie den weiteren Anweisungen. Am Sichersten ist es, wenn man das SP2 schon von einer CD vor dem Anschluss ans Internet installiert hat. Diese Updates werden regelmässig in PC-Zeitschriften angeboten oder man lädt und brennt sie sich selbst , so dass man sie zur Hand hat, wenn eine Neuinstallation notwendig geworden ist. Außerdem gibt es beim Microsoft-Support auch die Möglichkeit diese CD kostenlos anzufordern und sich zuschicken zu lassen. __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
11.04.2005, 09:51
...neu hier
Beiträge: 4 |
#129
Hi Sabina,
ich hab am Wochenende mal verschiedentlich versucht, alles was infiziert aussah zu löschen. Da ich seither keine Virenmeldungen mehr bekomme, gehe ich eigentlich davon aus, dass ich wieder safe bin. Ich hab zur Sicherheit nochmal einen scan mit Hijack gemacht. Wäre super, wenn du den nochmal kurz überprüfen könntest, thx mfg n.iklas Logfile of HijackThis v1.99.1 Scan saved at 09:48:46, on 11.04.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\System32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\Programme\Norton Internet Security\ISSVC.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\FSI\F-Prot\fpavupdm.exe C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe C:\WINDOWS\Explorer.EXE C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\AGRSMMSG.exe C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE C:\Programme\CyberLink\PowerDVD\PDVDServ.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE C:\Programme\FSI\F-Prot\F-Sched.exe C:\Programme\FSI\F-Prot\F-StopW.EXE C:\WINDOWS\system32\ctfmon.exe C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE C:\Programme\Cisco Systems\VPN Client\vpngui.exe C:\Programme\Messenger\msmsgs.exe C:\PROGRA~1\MICROS~2\Office10\OUTLOOK.EXE C:\Programme\Microsoft Office\Office10\WINWORD.EXE C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\NMain.exe C:\Programme\Symantec\LiveUpdate\LUALL.EXE C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE C:\Programme\hijackthis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [LaunchApp] Alaunch O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE O4 - HKLM\..\Run: [FRISK FP-Scheduler] C:\Programme\FSI\F-Prot\F-Sched.exe STARTUP O4 - HKLM\..\Run: [F-StopW] C:\Programme\FSI\F-Prot\F-StopW.EXE O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1101814514875 O16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - http://support.f-secure.com/ols/fscax.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{17AF3D7C-BEFF-4EF2-94D4-04596A0A4168}: Domain = vpn.uni-freiburg.de O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = vpn.uni-freiburg.de O17 - HKLM\System\CS1\Services\Tcpip\..\{17AF3D7C-BEFF-4EF2-94D4-04596A0A4168}: Domain = vpn.uni-freiburg.de O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = vpn.uni-freiburg.de O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: F-Prot Antivirus Update Monitor - FRISK Software - C:\Programme\FSI\F-Prot\fpavupdm.exe O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Programme\Norton Internet Security\ISSVC.exe O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe |
|
|
||
11.04.2005, 14:23
Member
Beiträge: 14 |
#130
Hi Sabina!
ich hab mit dem hijack tool den scan durchgeführt und die 4 programme gelöscht. mit TDS3 kam folgendes raus: Scan Control Dumped @ 14:19:52 11-04-05 Positive identification: Adware.Sahat.o File: c:\windows\system32\ap9h4qmo.exe Live trojan found (in process memory): DCOM RPC Exploit File: C:\WINDOWS\System32\MSAOL32.exe Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir Positive identification: DDoS.RAT.rBot.bie File: c:\programme\avpersonal\infected\vrsprtc.vir Positive identification: Adware.180Solutions.o File: c:\programme\avpersonal\infected\salm.vir Positive identification: TrojanDownloader.Win32.Dyfuca.dx File: c:\programme\avpersonal\infected\optimize.vir Positive identification: Adware.180Solutions.j File: c:\programme\avpersonal\infected\bgb.vir Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir00 Positive identification: DDoS.RAT.rBot.bie File: c:\programme\avpersonal\infected\vrsprtc.vir00 Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir01 Positive identification: DDoS.RAT.rBot.bgy File: c:\programme\avpersonal\infected\msmq2inst.vir Positive identification: DDoS.RAT.rBot.bie File: c:\programme\avpersonal\infected\vrsprtc.vir01 Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir02 Positive identification: DDoS.RAT.rBot.bie File: c:\programme\avpersonal\infected\vrsprtc.vir02 Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir03 Positive identification: DDoS.RAT.rBot.bme File: c:\programme\avpersonal\infected\msnupdate.vir04 Positive identification (DLL): Adware.WinAD.ag (dll) File: c:\dokumente und einstellungen\axel\lokale einstellungen\temporary internet files\content.ie5\jmsq0u3q\mediaaccc[1].dll Positive identification: Adware.Sahat.o2 File: c:\windows\70tovmto.exe Positive identification: Adware.Sahat.o File: c:\windows\system32\ap9h4qmo.exe Positive identification: Adware.Sahat.o3 File: c:\windows\system32\q17i9a4j.exe Positive identification (DLL): Adware.Sahat.l (dll) File: c:\windows\system32\qh4mkbv9.dll Positive identification (DLL): Adware.WinAD.ah (dll) File: c:\windows\downloaded program files\mediaaccx.dll Positive identification <Adv>: Gen.Backdoor.Bifrost File: c:\program files\media access\mediaacck.exe Positive identification: Adware.WinAD.af6 File: c:\program files\media access\mediaaccess.exe Positive identification (DLL): Adware.WinAD.ag (dll) File: c:\program files\media access\mediaaccc.dll Positive identification (DLL): Adware.180Solutions.g (dll) File: c:\temp\salmhook.dll Suspicious Filename: Dual extensions File: d:\files\divxtools\dvx\dvx_4.0.4.2.exe Suspicious Filename: Dual extensions File: d:\files\divxtools\vidomi\vidomiinstaller.469.exe wie muss ich nun weiter verfahren? liebe grüsse und danke.... |
|
|
||
11.04.2005, 16:21
Ehrenmitglied
Beiträge: 29434 |
#131
Hallo@Pythagoras
•KillBox http://www.bleepingcomputer.com/files/killbox.php •Delete File on Reboot <--anhaken und klick auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes" C:\WINDOWS\System32\MSAOL32.exe c:\programme\avpersonal\infected\msnupdate.vir c:\programme\avpersonal\infected\vrsprtc.vir c:\programme\avpersonal\infected\salm.vir c:\programme\avpersonal\infected\optimize.vir c:\programme\avpersonal\infected\bgb.vir c:\programme\avpersonal\infected\msnupdate.vir00 c:\programme\avpersonal\infected\vrsprtc.vir00 c:\programme\avpersonal\infected\msnupdate.vir01 c:\programme\avpersonal\infected\msmq2inst.vir c:\programme\avpersonal\infected\vrsprtc.vir01 c:\programme\avpersonal\infected\msnupdate.vir02 c:\programme\avpersonal\infected\vrsprtc.vir02 c:\programme\avpersonal\infected\msnupdate.vir03 c:\programme\avpersonal\infected\msnupdate.vir04 c:\windows\70tovmto.exe c:\windows\system32\ap9h4qmo.exe c:\windows\system32\q17i9a4j.exe c:\windows\system32\qh4mkbv9.dll c:\program files\media access\info.txt c:\windows\downloaded program files\mediaaccx.dll c:\program files\media access\mediaacck.exe c:\program files\media access\mediaaccess.exe c:\program files\media access\mediaaccc.dll c:\temp\salmhook.dll neustarten CCleaner http://www.ccleaner.com/ccdownload.asp c:\dokumente und einstellungen\axel\lokale einstellungen\temporary internet files\content.ie5\jmsq0u3q\mediaaccc[1].dll<..loeschen Berichte bitte von den Onlinscanns •RAV ANTIVIRUS SCAN ONLINE http://www.ravantivirus.com/scan/index.php •Symantec Online Scan [nur mit IE moeglich] http://security.symantec.com/SSC/GetBrowser.asp?pkj=HHIVBMRSJRFSKLUKUMX&langid=ie&venid=sym&plfid=00&from=/ssc/lunavbrk.asp •Online-Scann (Panda) http://www.pandasoftware.com/activescan/com/activescan_principal.htm •Online-Scann <f-secure< http://support.f-secure.com/enu/home/ols.shtml __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
11.04.2005, 16:28
Ehrenmitglied
Beiträge: 29434 |
#132
Hallo@Nickyy
das Log (so wie es ist),--> ist sauber Mache dennoch noch einige onlinscanns (siehe Thread daruber) __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
12.04.2005, 15:13
Member
Beiträge: 14 |
#133
Hi Sabina.
das ist der scan des RAV AntiVirus scanners Scan started at 12.04.2005 14:22:06 Scanning memory... Scanning boot sectors... Scanning files... Scanned ============================ Objects: 27729 Directories: 2755 Archives: 901 Size(Kb): 576853 Infected files: 0 Found ============================ Viruses found: 0 Suspicious files: 0 Disinfected files: 0 Mail files: 334 |
|
|
||
12.04.2005, 15:44
Ehrenmitglied
Beiträge: 29434 |
#134
Hallo@Pythagoras
Poste mir dann noch die Ergebnisse von den anderen Scanns undlease download DllCompare from here http://www.atribune.org/downloads/DllCompare.exe <klick: Locate.com button. wenn der Scan beendet ist <klick:Compare button <klick: und erstelle das Log--->bitte posten __________ MfG Sabina rund um die PC-Sicherheit |
|
|
||
12.04.2005, 15:53
Member
Beiträge: 14 |
#135
Hey Sabina!
hier das ergebnis von scan nummer 2: Results of Virus Detection Scan 29560 files scanned, 3 file(s) infected. No viruses were detected in memory. The scan did not detect any viruses in the files it scanned. The scan does not scan compressed files. No viruses were detected in memory. The scan was cancelled before finishing. To restart the scan, click here. The scan did not detect any viruses in the files it scanned. The scan does not scan compressed files. Warning! The scan detected a virus that is active in your computer's memory. The scan ended to prevent further infection. You should shut down your computer immediately and restart it with an antivirus rescue disk or similar tool. No viruses were detected in memory. The scan detected one or more viruses in the files it scanned. To Fix This Problem: Search for the name of the virus(s) listed below on the Symantec Security Response site for removal information. No viruses were detected in memory. The scan detected one or more viruses in the files it scanned. Note: The scan was cancelled before finishing. There may be more infected files on this computer. To Fix This Problem: Search for the name of the virus(s) listed below on the Symantec Security Response site for removal information. A scan has not been run. To start Scan for Viruses, click here. C:\Programme\AVPersonal\INFECTED\MSMSN32.VIR00 is infected with W32.Spybot.Worm C:\Programme\AVPersonal\INFECTED\MSMSN32.VIR01 is infected with W32.Spybot.Worm C:\Programme\AVPersonal\INFECTED\MSMSN32.VIR02 is infected with W32.Spybot.Worm |
|
|
||
Worm/SdBot.71680.3
VBS/LowZones.a.2
VBS/LowZones.a.3
VBS/LowZones.a.4
VBS/LowZones.a.5
VBS/LowZones.a.6
außerdem öffnet sich immer eine seite von alleine ca. alle 30 minuten:
Adresse ( URL) : http://www.instantsearch.cc/pop/pharmacy2/click.php?id=3e0e601d28586955337bac6c114ba491
was kann das ALLES zu bedeuten haben?
Logfile of HijackThis v1.99.1
Scan saved at 21:38:59, on 08.04.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe
C:\Programme\Logitech\Video\LogiTray.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVSched32.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Skype\Phone\Skype.exe
C:\WINDOWS\System32\LVComS.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Yahoo!\Messenger\YPager.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\YASIHASAN\Lokale Einstellungen\Temp\Temporäres Verzeichnis 10 für hijackthis_199[1].zip\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
O4 - HKCU\..\Run: [Felix] C:\Program Files\ScreenMates\felix2[1].exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game11.zylomgames.com/activex/zylomgamesplayer.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://www.ozgursohbet.com/voiceserver/swflash.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe