wie entfernt man w32.spybot.worm?

#121 kannix

gibt es nicht mehr ????????

#loesche:
C:\DOKUME~1\Betty\LOKALE~1\Temp\fkFDddF.exe
C:\DOKUME~1\Betty\LOKALE~1\Temp\iinstall.exe C:\DOKUME~1\Betty\LOKALE~1\Temp\Rar$EX00.969\backups\backup-20050318-091437-960.dll

#Windows-Dienste abschalten"!
http://www.dingens.org/


Windows Worms Doors Cleaner erlaubt Ihnen die Dienste auf die die Würmer angewiesen sind, zu schließen
http://www.firewallleaktester.com/wwdc.htm



#download the trial version of tds-3 anti trojan from here:
http://www.diamondcs.com.au/tds/downloads/tds3setup.exe
install it, but do not launch it yet

update it: right click the link below, select "save as"
http://www.diamondcs.com.au/tds/radius.td3

save it to the directory where you installed tds-3, overwriting the previous radius.td3.

then launch tds-3. in the top bar of tds window click system testing> full system scan.
detections will appear in the lower pane of tds window. after the scan is finished ( it'll take a while ) right click the list> select save as txt. save it and post the contents of the scandump.txt here
__________
MfG Sabina

rund um die PC-Sicherheit

#122 Hallo Sabina,

und Danke für Dein vernichtendes Urteil !

Eigentlich dachte ich das mein Compi sicher ist! Denn ich habe seit Anfang an Norton Internet Security 2004 drauf! Komisch komisch ! Naja ich werd dann wohl formatieren müssen.
Nur sag mir bitte was ich beim nächsten mal besser machen kann ! Norton möchte ich nun nicht mehr benutzen, da dieser auch einige meiner Spiele unangenehm beeinflusst. Dazu arbeite ich mit 2 Computern im Netzwerk - damit ich mit beiden Computern gleichzeitig im I-Net surfen kann ! und das muss auch so bleiben - Muss man da was besonderes beachten ?!?

Schon mal ein riesen Danke für Deine Hilfe!!!

Floty

#123 Hallo Sabina!

Habe auch diesen "schönen Wurm" auf meiner platte,hier folgt mein hijack log

Logfile of HijackThis v1.99.1
Scan saved at 17:48:29, on 18.03.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
F:\Programme\smc.exe
I:\WINDOWS\Explorer.EXE
I:\WINDOWS\system32\spoolsv.exe
f:\Programme\AVPersonal\AVGUARD.EXE
f:\Programme\AVPersonal\AVWUPSRV.EXE
I:\WINDOWS\System32\nvsvc32.exe
I:\WINDOWS\System32\RUNDLL32.EXE
I:\WINDOWS\System32\Winregs326a.exe
F:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
F:\Programme\AVPersonal\AVGNT.EXE
F:\Programme\WinZip\WZQKPICK.EXE
I:\WINDOWS\System32\devldr32.exe
I:\WINDOWS\system32\drwtsn32.exe
f:\Programme\T-DSL SpeedManager\tsmsvc.exe
I:\Programme\Internet Explorer\IEXPLORE.EXE
I:\WINDOWS\System32\taskmgr.exe
I:\Programme\Internet Explorer\IEXPLORE.EXE
I:\Dokumente und Einstellungen\Bart Simpson\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kicker.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - I:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE I:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE I:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Registry Checkup System326a Monitor] Winregs326a.exe
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "F:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [AVGCtrl] f:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [TrojanScanner] I:\Programme\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [SmcService] F:\PROGRA~1\smc.exe -startgui
O4 - HKLM\..\RunServices: [Registry Checkup System326a Monitor] Winregs326a.exe
O4 - HKCU\..\Run: [Registry Checkup System326a Monitor] Winregs326a.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = F:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = F:\Programme\WinZip\WZQKPICK.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1111152330812
O17 - HKLM\System\CCS\Services\Tcpip\..\{63572E99-B468-4D16-B8C5-FD68D065C998}: NameServer = 217.237.149.161 217.237.151.225
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - f:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - f:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - I:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - F:\Programme\smc.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - f:\Programme\T-DSL SpeedManager\tsmsvc.exe

hoffe kannst mir helfen ohne format c:

Besten Dank schon mal

#124

Zitat

Floty postete
Hallo Sabina,

und Danke für Dein vernichtendes Urteil !

Eigentlich dachte ich das mein Compi sicher ist! Denn ich habe seit Anfang an Norton Internet Security 2004 drauf! Komisch komisch ! Naja ich werd dann wohl formatieren müssen.
Nur sag mir bitte was ich beim nächsten mal besser machen kann ! Norton möchte ich nun nicht mehr benutzen, da dieser auch einige meiner Spiele unangenehm beeinflusst. Dazu arbeite ich mit 2 Computern im Netzwerk - damit ich mit beiden Computern gleichzeitig im I-Net surfen kann ! und das muss auch so bleiben - Muss man da was besonderes beachten ?!?

Schon mal ein riesen Danke für Deine Hilfe!!!

Floty

Schon lang hab ich nicht mehr so einen hochgeradig kompromitierten PC gesehen (und ich seh viel)

du musst alles platt machen, formatieren, und sie WindowsUpdates (SP 2 )machen (mit eingeschalteter Firewall)

dann besorge dir den Norton 2005 oder ein anderes Antivirentool , Bedingung: ein Guard .....auch wenn du den wahrscheinlich abschaltest, wenn du spielst...womit erklaert ist, wieso der PC trotz Norton so verseucht ist....Ich kenn das: Firewall aus, Antivirus : aus...damit man schoen zocken kann..., dann noch mal flugs auf eine Warez-Seite, weil die ja so schoene Keys haben.....und ????

Keines funktioniert 100%, wenn das System nicht ueber die Dienste/konfigurationen abgesichert ist UND WENN MAN IHN ABSCHALTET

dann konfiguriere die Dienste, lade nichts unbekanntes und surfe nur auf vertrauten Seiten.

Heute Abend geb ich dir noch genaue Anweisungen, jetzt geht es nicht.....(keine Zeit) ......
__________
MfG Sabina

rund um die PC-Sicherheit

#125 Hallo@Floty

http://virus-protect.org/

da stehen einige Tipps....ansonsten ist das Net voll mit Ratschlaegen zur Sicherheit.
Aber in dieser Reihenfolge sollte man nach dem Formatieren vorgehen
__________
MfG Sabina

rund um die PC-Sicherheit

#126 Ja ja ja, du hast recht *schäm*! Ich glaube das ich das ein odere andere Mal Norton aus spieltechnischen Gründen ausschalten mußte und ruck zuck hat man sich so ein Driss eingefangen! Inzwischen kann ich übrigens den Computer noch nicht mal mehr hochfahren - er startet jetzt immer im abgesichertem Modus und wenn ich dann auf "Administrator" klicke, passiert nüscht !

Norton 2005 möchte ich eigentlich nicht mehr benutzen, denn dies ist mir inzischen echt zu teuer geworden ! Gibt es vielleicht auch gute Freeware-Programme die mich aussreichend beschützen ?

...und Danke das du dich auch mit meinem Problem befasst - nach 3735 Thread`s finde ich escht super, dass Du noch so ein Engagement hast

Floty

PS - Gut dass auf meinem Konto nichts mehr zu holen ist (;

#127 Hallo@Floty

nun, wenn du auf meine Seite gehst, dann arbeite alles so ab.(da gibt es auch den Antivirus free+ Guard)
Dein PC ist im "Eimer", denn die Backdoors (sprich dessen Besitzer" machen mit deinem System, was sie wollen .......
__________
MfG Sabina

rund um die PC-Sicherheit

#128 Hallo Sabina,

hier TDS-3. Habe den radius upgedatet und den alten überschrieben.

12:19:16 [Init] Trojan Defence Suite v3.2.0 (UNLICENSED)
12:19:16 [Init] Started 19-03-05 12:19:16 Westeuropäische Normalzeit (UTC: -1), Internet Time @513,38
12:19:16 [Init] Loading TDS-3 Systems ...
12:19:16 [Init] Token successfully adjusted.
12:19:16 [Init] • TDS Privileges : OK. Adjusted TDS-3 token privileges to maximum
12:19:16 [Init] • Plugins : OK. Loaded 13
12:19:16 [Init] • Exec Protection : Not Installed
12:19:16 [Init] WARNING: Your Radius.TD3 database needs to be updated!
12:19:16 [Init] Please download the latest from http://tds.diamondcs.com.au/radius.td3
12:19:16 [Init] Licensed users can use the Update facility from the TDS menu
12:19:16 [Init] Loading Radius Advanced Scanning Systems ... <R3 Engine, DCS Labs>
12:19:24 [Init] • Radius Advanced Specialist Extensions on standby for 13 trojan families
12:19:24 [Init] • Systems Initialised [49934 references - 25041 primaries/12699 traces/12194 variants/other]
12:19:24 [Init] Radius Systems loaded. <Databases updated 19-03-2005>
12:19:24 [Init] TDS-3 Ready. <Betty@127.0.0.1, 81.173.177.177 - Deutschland>
12:19:24 [Tip Of The Day] Visit the TDS-3 Operator discussion forum! Just press F5 on your keyboard, or click FORUM from the Help menu http://www.diamondcs.com.au/forum/
12:19:24 [TDS] Good afternoon Betty... mind if i have a byte of your lunch?
12:19:29 [Mutex Memory Scan] Started...
12:19:31 [Mutex Memory Scan] Finished (no trojan mutexes found).
12:19:31 [TDS-3] This is an EVALUATION demo of TDS-3. Please see the help file for help on registering.


Dankeschön

#129 exhorder

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

O4 - HKLM\..\RunServices: [Registry Checkup System326a Monitor] Winregs326a.exe
O4 - HKCU\..\Run: [Registry Checkup System326a Monitor] Winregs326a.exe

PC neustarten

suche in der Registry (Bearbeiten--> suchen) nach:Winregs326a und loesche alles, was du findest.

Loesche:
I:\WINDOWS\System32\Winregs326a.exe
(darf nicht im Taskmanager aktiv sein)


http://security.symantec.com/default.asp?
http://housecall.trendmicro.com/
http://www.pandasoftware.com/activescan/
http://www.ravantivirus.com/scan/
http://www3.ca.com/virusinfo/
http://www.bitdefender.com/scan/licence.php
http://www.commandondemand.com/eval/index.cfm
http://www.freedom.net/viruscenter/...viruscheck.html
http://info.ahnlab.com/english/
http://www.pcpitstop.com/pcpitstop/AntiVirusCntr.asp

dann berichte von den Onlinescanns und poste das neue Log vom HijackTHis
__________
MfG Sabina

rund um die PC-Sicherheit

#130 kannix

poste das neue Log vom HijackTHis, bitte
__________
MfG Sabina

rund um die PC-Sicherheit

#131 Hallo Sabina,

hier neues logfile:

Logfile of HijackThis v1.99.1
Scan saved at 15:35:27, on 19.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\WINDOWS\SYSTEM32\GEARSEC.EXE
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Dokumente und Einstellungen\Betty\Programme\dc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\SlySoft\CloneCD\CloneCDTray.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\Programme\RFA\rfagent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Java\j2re1.4.2_03\bin\javaw.exe
C:\Programme\appleJuice\gui\AJCoreGUI.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Betty\LOKALE~1\Temp\Rar$EX14.469\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von NetCologne
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Dialer Control] C:\Dokumente und Einstellungen\Betty\Programme\dc.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programme\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [rfagent] "C:\Programme\RFA\rfagent.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = E:\Programme\office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\office\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.internetcologne.de
O16 - DPF: {7C559105-9ECF-42B8-B3F7-832E75EDD959} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_Crac*hier nicht!*.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{203872E4-DDB4-463D-BEB2-EC5DB7C87940}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{F035A4A1-3AF9-49B9-804C-8C9BD1921E9C}: NameServer = 81.173.194.68 194.8.194.60
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\SYSTEM32\GEARSEC.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe


Liebe Grüsse

#132 Hallo@Kannix

wenn du eine legale XP-Version hast (was ich sehr hoffe.....), dann mache die WindowsUpdates und lade SP2.
+
#Alternativbrowser zum IE
Firefox
http://www.firefox-browser.de/windows.php
http://www.mozilla-europe.org/de/
Installation+Konfiguration Firefox
http://www.pcwelt.de/know-how/software/103924/index1.html
__________
MfG Sabina

rund um die PC-Sicherheit

#133 Hallo,

da ich immer wieder rausfliege wenn ich einen Thread poste versuche ich es mal so. Habe hier einen Logfile und ich hoffe das Sabina mir helfen kann.

Logfile of Hijackthis v1.99.1
Scan saved at 18:01:29, on 17.03.2005
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running process:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\System32\winlogon.exe
C:\WINDOWS\System32\services.exe
C:\WINDOWS\System32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\LEXBCES.exe
C:\WINDOWS\System32\spoolsv.exe
C:\WINDOWS\System32\LEXPPS.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\vs7DEBUG\MSM.EXE
C:\WINDOWS\System32\ZoneLabs\vsmon.exe
C:\Programme\ATI-Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2\DVDAudio\CTDVDDet.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\WINDOWS\System32\dla\tfswctrl.exe
C:\WINDOWS\System32\DSentry.exe
C:\Programme\AVPersonal\AVsched32.EXE
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Progra~1\web offer\wo.exe
C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\hijackthis.exe

R1 – HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R1 – HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 – HKCU\Software\Microsoft\Internet Explorer\Main, First Home Page = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main, First Home Page = about:blank
R1 – HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R3 – SearchHook: IncrediFindBHO Class –
{0199DF25-9820-4bd5-9FEE-5A765AB4371E} – C:\PROGR~1\INCRED~1\BHO\INCFIN~2.DLL
(file missing)
o2 – BHO: IncredifindBHO class – {0199DF25-9820-4bd5-9FEE-5A765AB4371E} –
C:\PROGRA~1\INCRED~1\BHO\INCFIN~2.DLL (file missing)
o2 – BHO:AcroIEHlprobj Class – {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} –
C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
o2 – BHO: DriveLetterAccess – {5CA3D70E-1895-11CF-8E15-001234567890} –
C:\WINDOWS\system32\dla\tfswshx.dll
o2 – BHO: QuickSearch Search Bar – {82316A18-6CFB-44a7-BDFD-90E36537C252} –
C:\Programme\QuickSearch\QuickSearchBar1_27.dll (file missing)
o3 – Toolbar: QuickSearch Search Bar – {82315A18-6CFB-44a7-BDFD-90E36537C252} –
C:\Programme\QuickSearch\ QuickSearchBar1_27.dll (file missing)
o3 – Toolbar: &Radio – {8E718888-423F-11D2-876E-00A0C9082467} –
C:\WINDOWS\System32\msdxm.ocx
o4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
o4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control
Panel\atiptaxx.exe

o4 – HKLM\..\Run: [CTSysvol] c:\Programme\Creative\SBAudigy2\Surround
Mixer\CTSysvol.exe
o4 – HKLM\..\Run: [CTDVDDet]
C:\Programme\Creative\SBAudigy2\DVDAudio\ CTDVDDet.exe
o4 – HKLM\..\Run: [CTHelper] CTHELPER.EXE
o4 – HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLL
o4 – HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
o4 – HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
o4 – HKLM\..\Run: [StorageGuard] “C:\Programme\Gemeinsame Dateien\Sonic\Update
Manager\sgtray.exe“ /r
o4 – HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exe
o4 – HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB
Utility\Aircfg.exe
o4 – HKLM\..\Run: [WebRebates0] “C:\Programme\Web_Rebates\WebRebates0.exe”
o4 – HKLM\..\Run: [updmgr] C:\Programme\Common files\updmgr\updmgr.exe
o4 – HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
o4 – HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe –minimize
o4 – HKLM\..\Run: [Zone Labs Client] “C:\Programme\Zone
Labs\ZoneAlarm\zlclient.exe“
o4 – HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
o4 – HKCU\..\Run: [MSMSGS] “C:\Programme\Messenger\msmsgs.exe“ /background
o4 – HKCU\..\Run: [SBAudigy 2 Startup Menu] /L:GER
o4 – HKCU\..\Run: [eZWO] c:\PROGRA~\Web Offer\wo.exe
o4 – HKCU\..\Run: [BD] “C:\Dokumente und Einstellungen\Carsten\Dektop\dc.exe“
o4 – HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe – trayboot
o8 – Extra context menu item : Nach Microsoft &Excel exportieren –
res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
o9 – Extra button : (no name) – {08B0E5C0-4FCB-11CF-AAA5-00401C608501} –
C:\WINDOWS\System32\msjava.dll (file missing]
o9 – Extra ‘Tools’ menuitem: Sun Java Konsole –
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} – C:\WINDOWS\System32\msjava.dll (file missing)
o9 – Extra button: Recherchieren – {92780B25-18CC-41C8-B9BE-3C9C571A8263} –
C:\PROGRA~1\MICROS~3\OFFICE11\REFILEBAR.DLL
o9 – Extra button: ICQ 4.1 – {B863453A-26C3-4e1f-A54D-A2CD196348E9} –
C:\Programme\ICQLite\ICQLite.exe
o10 – Broken Internet acces because of LSP provider
‘c:\windows\system32\lsp.dll’ missing
o16 – DPF: {11111111-1111-1111-1111-111111111732} – file://c:\progra~1\pl.exe
o16 – DPF: {33288993-5664-11D4-8B5B-00D0B73B3518} (ell Class) –
http://www.easports.com/downloads/games/common/ieell.cab
o16 – DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) –
http://xtraz.icq.com(xtraz/activex/ICQVideoControl.cab
o16 – DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) –
http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
o16 – DPF: {A922B6AB-3B87-11D3-B3C2-0008C7DA6Cb9} (InetDownload Class) –
http://www.arcor.de/vod/dmd/WMDownload.cab
o23 – Service: AntiVir Service (AnitVirService) – H+BEDV Datentechnik GmbH –
C:\Programme\AVPersonal\AVGUARD.EXE
o23 – Service: Ati HotKey Poller – unknown owner –
C:\WINDOWS\System32\Ati2evxx.exe
o23 – Service: Antivir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany –
C:\Programme\AVPersonal\AVWUPSRV.EXE
o23 – Service: Creative Service for CDROM Access – Creative Technology Ltd –
C:\WINDOWS\System32\CTsvcCDA.exe
o23 – Service: LexBce Server (LexBces) – Lexmark Intenational, Inc. –
C:\WINDOWS\system32\LEXBCES.EXE
o23 – Service: Intel NCS NetService (NetSvc) – Intel (R) Corporation
C:\Programme\Intel\NCS\Sync\NetSvc.exe
o23 – Service: Truevector Internet Monitor (vsmon) – Zone Labs Inc. –
C:\WINDOWS\SYSTEM32 \ZoneLabs\vsmon.exe


Online kann ich nicht mit meinem PC bzw. habe gar keinen Datentransfer selbst mit oder ohne Firewall, habe DSL und benutze keinen Router.

Gruß C.

#134 Hallo@coolzapp

•WinSock XP Fix 1.2
fix XP internet connectivity
http://www.spychecker.com/program/winsockxpfix.html

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

R1 – HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 – HKCU\Software\Microsoft\Internet Explorer\Main, First Home Page = about:blank
R1 – HKLM\Software\Microsoft\Internet Explorer\Main, First Home Page = about:blank

R3 – SearchHook: IncrediFindBHO Class –
{0199DF25-9820-4bd5-9FEE-5A765AB4371E} – C:\PROGR~1\INCRED~1\BHO\INCFIN~2.DLL
(file missing)
o2 – BHO: IncredifindBHO class – {0199DF25-9820-4bd5-9FEE-5A765AB4371E} –
C:\PROGRA~1\INCRED~1\BHO\INCFIN~2.DLL (file missing)
o2 – BHO: QuickSearch Search Bar – {82316A18-6CFB-44a7-BDFD-90E36537C252} –
C:\Programme\QuickSearch\QuickSearchBar1_27.dll (file missing)
o3 – Toolbar: QuickSearch Search Bar – {82315A18-6CFB-44a7-BDFD-90E36537C252} –
C:\Programme\QuickSearch\ QuickSearchBar1_27.dll (file missing)
o4 – HKLM\..\Run: [WebRebates0] “C:\Programme\Web_Rebates\WebRebates0.exe”
o4 – HKLM\..\Run: [updmgr] C:\Programme\Common files\updmgr\updmgr.exe
o4 – HKCU\..\Run: [eZWO] c:\PROGRA~\Web Offer\wo.exe
o4 – HKCU\..\Run: [BD] “C:\Dokumente und Einstellungen\Carsten\Dektop\dc.exe“
o16 – DPF: {11111111-1111-1111-1111-111111111732} – file://c:\progra~1\pl.exe
o16 – DPF: {33288993-5664-11D4-8B5B-00D0B73B3518} (ell Class) –
http://www.easports.com/downloads/games/common/ieell.cab

PC neustarten

•KillBox
http://www.bleepingcomputer.com/files/killbox.php

•Delete File on Reboot <--anhaken

und klick auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\Progra~1\web offer\wo.exe
C:\Programme\QuickSearch\ QuickSearchBar1_27.dll
C:\Programme\Web_Rebates\WebRebates0.exe
C:\PROGRA~1\INCRED~1\BHO\INCFIN~2.DLL
C:\Programme\Common files\updmgr\updmgr.exe

PC neustarten

C:\Programme\QuickSearch <--loeschen
C:\Programme\Web_Rebates <--loeschen
C:\Programme\Common files\updmgr\ <--loeschen
C:\Progra~1\web offer\ <--loeschen

#ClaerProg..lade die neuste Version <1.4.1
http://www.clearprog.de/downloads.php
<und saeubere den Browser.
Das Programm löscht die Surfspuren des Internet Explorers ab Version 5.0, des Netscape/Mozilla und des Opera:
- Cookies
- Verlauf
- Temporäre Internetfiles (Cache)

•/Ad-aware Standard Edition (free)
http://www.lavasoftusa.com/german/software/adaware/
http://www.lavasoft.de/support/download/

download the trial version of tds-3 anti trojan from here:
http://www.diamondcs.com.au/tds/downloads/tds3setup.exe
install it, but do not launch it yet

update it: right click the link below, select "save as"
http://www.diamondcs.com.au/tds/radius.td3

save it to the directory where you installed tds-3, overwriting the previous radius.td3.

then launch tds-3. in the top bar of tds window click system testing> full system scan.
detections will appear in the lower pane of tds window. after the scan is finished ( it'll take a while ) right click the list> select save as txt. save it and post the contents of the scandump.txt here

•eScan-Erkennungstool
eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich:
http://www.mwti.net/antivirus/free_utilities.asp
oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche
kavupd.exe, die klickst du an--> (Update- in DOS) ausführen

-->mwav.exe oeffnen-->alle Haekchen setzen-->scannen-->View Log anklicken--> Bearbeiten anklicken--> "infected" reinschreiben
und nun alles rauskopieren, was angezeigt wird-->
__________
MfG Sabina

rund um die PC-Sicherheit

#135 Hallo


Leute ich hoffe ihr könnt mir auch helfen, wäre euch super dankbar.

Ich habe auch den Schei... Wurm, die Datei wäre:
userinit32.exe

Der Wurm ist w32.spybot.worm

Ich hatte den auch schon früher auf meiner alten Festplatte,
konnte ich immer ohne Probleme entfernen.
Also auch die Einträge in der Regedit konnte ich früher finden und löschen.

Diesmlal will der Wurm nicht weg, es nützt kein Scan im abgesicherten Modus noch kann ich irgend welche Einträge in der regedit finden.

Ich hatte aber gestern meinen alten Norton Antivirus gelöscht und den 2004 raufgespielt, seid dem ist das Problem.
Kann es sein das mein Norton auch verändert wurde ?


Hier meine Log-Files:

Logfile of HijackThis v1.99.1
Scan saved at 23:52:29, on 19.03.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\System32\userinit32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system\lsvchost.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\R&C-Trading\Eigene Dateien\Programme\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
F2 - REG:system.ini: UserInit=userinit.exe,userinit32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [.mscdsr] C:\WINDOWS\system\lsvchost.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{22BB6C33-6A21-472F-AA7C-34222D53999E}: NameServer = 213.182.224.30,213.182.224.35
O17 - HKLM\System\CCS\Services\Tcpip\..\{2A424F32-C9FE-499C-A339-B82A11438125}: NameServer = 195.3.96.67 195.3.96.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{8B89786E-F34B-4454-94B2-B7C352A8EFDA}: NameServer = 213.182.224.30,213.182.224.35
O17 - HKLM\System\CCS\Services\Tcpip\..\{D1650842-12A5-4267-9788-20BC0C65FE6D}: NameServer = 195.3.96.67,195.3.96.68
O17 - HKLM\System\CS1\Services\Tcpip\..\{22BB6C33-6A21-472F-AA7C-34222D53999E}: NameServer = 213.182.224.30,213.182.224.35
O17 - HKLM\System\CS2\Services\Tcpip\..\{22BB6C33-6A21-472F-AA7C-34222D53999E}: NameServer = 213.182.224.30,213.182.224.35
O17 - HKLM\System\CS3\Services\Tcpip\..\{22BB6C33-6A21-472F-AA7C-34222D53999E}: NameServer = 213.182.224.30,213.182.224.35
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Ich wäre euch wirklich sehr dankbar


MfG