Habe virus .... mir.... webcaher 180solutions...

#16 Start -> Ausführen -> Regedit

Dort auf Arbeitsplatz rechte Maustaste -> Exportieren und als Sicherung.reg in c:\ speichern.

Dann Bearbeiten -> Suchen
dort die folgenden Einträge nach und nach suchen

{00A6FAF6-072E-44cf-8957-5838F569A31D}
{905d0df2-3a0a-4d94-853c-54a12a745905}
{9f95f736-0f62-4214-a4b4-caa6738d4c07}
{558ec983-bedb-9168-b2de-31dbf0ee543e}

Bei jedem Fund rechte Maustaste und Löschen auswählen.

PC neu starten. Sollte der PC wider Erwarten nicht starten, müssen wir das Rückgängig machen. Versuche zunächst, im abgesicherten Modus zu starten und dann einen Doppelklick auf die Sicherung.reg ausführen. Andernfalls aus der Systemwiederherstellungskonsole Regedit Aufrufen:
Regedit C:\Sicherung.reg

Aber ich denke mal, dass da nichts schief laufen wird.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#17 hallo habe neue prob hilft mir ?


--------------------------------------------------
-------------------- INFECTED --------------------
--------------------------------------------------

1: Mon Aug 15 02:22:07 2005 => File C:\WINDOWS\system32\svhost.exe infected by "Backdoor.Win32.Rbot.gen" Virus! Action Taken: No Action Taken.
2: Mon Aug 15 02:22:33 2005 => File C:\WINDOWS\hpdriver.exe infected by "Backdoor.Win32.SdBot.aad" Virus! Action Taken: No Action Taken.
3: Mon Aug 15 02:22:33 2005 => File C:\WINDOWS\SYSTEM32\HPR34K8.SYS infected by "Rootkit.Win32.Agent.ae" Virus! Action Taken: No Action Taken.
4: Mon Aug 15 02:22:36 2005 => System found infected with BearShare Spyware/Adware ({905d0df2-3a0a-4d94-853c-54a12a745905})! Action taken: No Action Taken.
5: Mon Aug 15 02:23:06 2005 => File C:\WINDOWS\System32\firewall.exe infected by "Backdoor.Win32.PoeBot.d" Virus! Action Taken: No Action Taken.
6: Mon Aug 15 02:26:12 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
7: Mon Aug 15 02:30:41 2005 => File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\TBCVRFCY\klik[1].exe infected by "Backdoor.Win32.SdBot.aad" Virus! Action Taken: No Action Taken.
8: Mon Aug 15 02:32:37 2005 => File C:\WINDOWS\system32\firewall.exe infected by "Backdoor.Win32.PoeBot.d" Virus! Action Taken: No Action Taken.

--------------------------------------------------
--------------------- TAGGED ---------------------
--------------------------------------------------

1: Mon Aug 15 02:21:54 2005 => File C:\WINDOWS\etb\nt_hide63.dll tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
2: Mon Aug 15 02:22:07 2005 => File C:\WINDOWS\etb\pokapoka63.exe tagged as "not-a-virus:AdWare.ToolBar.EliteBar.ap". Action Taken: No Action Taken.
3: Mon Aug 15 02:24:00 2005 => File C:\DOKUME~1\Ansir\LOKALE~1\Temp\196794_364_1912_1436_63.41.tmp tagged as "not-a-virus:AdWare.ToolBar.EliteBar.ap". Action Taken: No Action Taken.
4: Mon Aug 15 02:24:00 2005 => File C:\DOKUME~1\Ansir\LOKALE~1\Temp\196794_364_1912_1436_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
5: Mon Aug 15 02:24:01 2005 => File C:\DOKUME~1\Ansir\LOKALE~1\Temp\65716_2036_1916_208_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
6: Mon Aug 15 02:24:01 2005 => File C:\DOKUME~1\Ansir\LOKALE~1\Temp\65766_2036_1916_212_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
7: Mon Aug 15 02:25:05 2005 => File C:\Dokumente und Einstellungen\Ansir\Lokale Einstellungen\Temp\196794_364_1912_1436_63.41.tmp tagged as "not-a-virus:AdWare.ToolBar.EliteBar.ap". Action Taken: No Action Taken.
8: Mon Aug 15 02:25:05 2005 => File C:\Dokumente und Einstellungen\Ansir\Lokale Einstellungen\Temp\196794_364_1912_1436_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
9: Mon Aug 15 02:25:05 2005 => File C:\Dokumente und Einstellungen\Ansir\Lokale Einstellungen\Temp\65716_2036_1916_208_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
10: Mon Aug 15 02:25:05 2005 => File C:\Dokumente und Einstellungen\Ansir\Lokale Einstellungen\Temp\65766_2036_1916_212_63.41.tmp1 tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
11: Mon Aug 15 02:25:40 2005 => File C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[1].exe tagged as "not-a-virusialer.Win32.PlayGames". Action Taken: No Action Taken.
12: Mon Aug 15 02:25:40 2005 => File C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[2].exe tagged as "not-a-virusialer.Win32.PlayGames". Action Taken: No Action Taken.
13: Mon Aug 15 02:25:40 2005 => File C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[3].exe tagged as "not-a-virusialer.Win32.PlayGames". Action Taken: No Action Taken.
14: Mon Aug 15 02:27:56 2005 => File C:\WINDOWS\etb\nt_hide63.dll tagged as "not-a-virus:AdWare.ToolBar.EliteBar.am". Action Taken: No Action Taken.
15: Mon Aug 15 02:27:56 2005 => File C:\WINDOWS\etb\xud_63.dll tagged as "not-a-virus:AdWare.ToolBar.EliteBar.ap". Action Taken: No Action Taken.
16: Mon Aug 15 02:33:49 2005 => File C:\xvhr.exe tagged as "not-a-virusialer.Win32.PlayGames". Action Taken: No Action Taken.

--------------------------------------------------
--------------------- ERRORS ---------------------
--------------------------------------------------

1: Mon Aug 15 02:22:33 2005 => ERROR!!! Invalid Entry \??\E:\INSTALL\GMSIPCI.SYS in SYSTEM\CurrentControlSet\Services\GMSIPCI...
2: Mon Aug 15 02:22:34 2005 => ERROR!!! Invalid Entry \??\E:\NTACCESS.sys in SYSTEM\CurrentControlSet\Services\NTACCESS...
3: Mon Aug 15 02:22:35 2005 => ERROR!!! Invalid Entry \??\E:\NTGLM7X.sys in SYSTEM\CurrentControlSet\Services\SetupNTGLM7X...
4: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage" refers to invalid object "C:\WINDOWS\Downloaded Program Files\asinst.dll". Action Taken: No Action Taken.
5: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\CoverDesigner\NeroCoverDesigner_fra.chm". Action Taken: No Action Taken.
6: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\CoverDesigner\covered-jpn.nls". Action Taken: No Action Taken.
7: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\Nero BackItUp\NeroBackItUp_Fra.chm". Action Taken: No Action Taken.
8: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\Nero StartSmart\NeroStartSmart_fra.chm". Action Taken: No Action Taken.
9: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\Nero StartSmart\NeroStartSmart_jpn.chm". Action Taken: No Action Taken.
10: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Ahead\Nero BackItUp\BackItUp-Jpn.nls". Action Taken: No Action Taken.
11: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\Programme\Enigma Software Group\SpyHunter\Uninstall.exe". Action Taken: No Action Taken.
12: Mon Aug 15 02:22:39 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "C:\WINDOWS\Downloaded Program Files\asinst.dll". Action Taken: No Action Taken.
13: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{000208FE-0000-0000-C000-000000000046}" refers to invalid object "xlrec.dll". Action Taken: No Action Taken.
14: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{000208FF-0000-0000-C000-000000000046}" refers to invalid object "xlrec.dll". Action Taken: No Action Taken.
15: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{00024512-0000-0000-c000-000000000046}" refers to invalid object "C:\WINDOWS\System32\refedit.dll". Action Taken: No Action Taken.
16: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{000c0114-0000-0000-c000-000000000046}" refers to invalid object "E:\OFFICE\MSO97.DLL". Action Taken: No Action Taken.
17: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{07B18EA9-A523-4961-B6BB-170DE4475CCA}" refers to invalid object "C:\Programme\MyWebSearch\bar\3.bin\MWSBAR.DLL". Action Taken: No Action Taken.
18: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{0E307CAC-D8A7-4156-9B34-35BEC66ABFD0}" refers to invalid object "C:\Programme\Enigma Software Group\SpyHunter\LSPFix.dll". Action Taken: No Action Taken.
19: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{3C4F3BE3-47EB-101B-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
20: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{3C4F3BE5-47EB-101B-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
21: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{3C4F3BE7-47EB-101B-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
22: Mon Aug 15 02:22:40 2005 => Entry "HKCR\CLSID\{3E720452-B472-4954-B7AA-33069EB53906}" refers to invalid object "C:\Programme\MyWebSearch\bar\3.bin\M3HTML.DLL". Action Taken: No Action Taken.
23: Mon Aug 15 02:22:41 2005 => Entry "HKCR\CLSID\{53CED2D0-5E9A-4761-9005-648404E6F7E5}" refers to invalid object "C:\Programme\MyWebSearch\bar\3.bin\MWSBAR.DLL". Action Taken: No Action Taken.
24: Mon Aug 15 02:22:41 2005 => Entry "HKCR\CLSID\{7629CFA2-3FE5-101B-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
25: Mon Aug 15 02:22:41 2005 => Entry "HKCR\CLSID\{7629CFA4-3FE5-101B-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
26: Mon Aug 15 02:22:41 2005 => Entry "HKCR\CLSID\{84679946-F0C3-42A7-9DBC-765E1635689E}" refers to invalid object "C:\Programme\Enigma Software Group\SpyHunter\ExtendedRemover.dll". Action Taken: No Action Taken.
27: Mon Aug 15 02:22:42 2005 => Entry "HKCR\CLSID\{99180163-DA16-101A-935C-444553540000}" refers to invalid object "recncl.dll". Action Taken: No Action Taken.
28: Mon Aug 15 02:22:43 2005 => Entry "HKCR\CLSID\{F9043C85-F6F2-101A-A3C9-08002B2F49FB}" refers to invalid object "C:\Programme\CEDP Stealer\COMDLG32.OCX". Action Taken: No Action Taken.
29: Mon Aug 15 02:22:43 2005 => Entry "HKCR\ComPlusMetaData.MsCorHost" refers to invalid object "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Action Taken: No Action Taken.
30: Mon Aug 15 02:22:43 2005 => Entry "HKCR\ComPlusMetaData.MsCorHost.2" refers to invalid object "{727CDF4F-3BA0-11D3-8738-00C04F79ED0D}". Action Taken: No Action Taken.
31: Mon Aug 15 02:22:45 2005 => Entry "HKCR\MultimediaConverterPlayer.Converter" refers to invalid object "{132CE671-8582-11D5-AD52-00B0D0797201}". Action Taken: No Action Taken.
32: Mon Aug 15 02:22:45 2005 => Entry "HKCR\MultimediaConverterPlayer.Player" refers to invalid object "{132CE673-8582-11D5-AD52-00B0D0797201}". Action Taken: No Action Taken.
33: Mon Aug 15 02:22:45 2005 => Entry "HKCR\MultimediaConverterPlayer.Player.1" refers to invalid object "{132CE673-8582-11D5-AD52-00B0D0797201}". Action Taken: No Action Taken.
34: Mon Aug 15 02:22:45 2005 => Entry "HKCR\Plenoptic.Plenoptic" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken.
35: Mon Aug 15 02:22:45 2005 => Entry "HKCR\Plenoptic.Plenoptic.1" refers to invalid object "{607C27E9-AB27-11d3-A116-A0EA50C10801}". Action Taken: No Action Taken.
36: Mon Aug 15 02:22:45 2005 => Entry "HKCR\RunMSC.Loader.1" refers to invalid object "{9F95F736-0F62-4214-A4B4-CAA6738D4C07}". Action Taken: No Action Taken.
37: Mon Aug 15 02:22:45 2005 => Entry "HKCR\SymWriter.pdb" refers to invalid object "{520DC67A-752E-11D3-8D56-00C04F680B2B}". Action Taken: No Action Taken.
38: Mon Aug 15 02:22:45 2005 => Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken.
39: Mon Aug 15 02:22:45 2005 => Entry "HKCR\WMPPublsihCntr.WMPPublsihCntr.1" refers to invalid object "{939438A9-CF0F-44d8-9140-599736F0D3A2}". Action Taken: No Action Taken.
40: Mon Aug 15 02:22:45 2005 => Entry "HKCR\WMPShell.HWEventHandler" refers to invalid object "{9B186A8F-F520-4eeb-B553-118304AC46C5}". Action Taken: No Action Taken.
41: Mon Aug 15 02:22:45 2005 => Entry "HKCR\WMPShell.HWEventHandler.1" refers to invalid object "{9B186A8F-F520-4eeb-B553-118304AC46C5}". Action Taken: No Action Taken.
42: Mon Aug 15 02:24:24 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip is Not Scanned
Destroy\Recovery\WindowsSecurityCenterAntiVirusOverride1.zip is Not Scanned
164: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterAntiVirusOverride2.zip is Not Scanned
165: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallDisableNotify.zip is Not Scanned
166: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallDisableNotify1.zip is Not Scanned
167: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallDisableNotify2.zip is Not Scanned
168: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallOverride.zip is Not Scanned
169: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallOverride1.zip is Not Scanned
170: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterFirewallOverride2.zip is Not Scanned
171: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterSPUpdate.zip is Not Scanned
172: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterSPUpdate1.zip is Not Scanned
173: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterSPUpdate2.zip is Not Scanned
174: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterUpdateDisableNotify.zip is Not Scanned
175: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterUpdateDisableNotify1.zip is Not Scanned
176: Mon Aug 15 02:24:28 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WindowsSecurityCenterUpdateDisableNotify2.zip is Not Scanned

--------------------------------------------------
-------- DATEIEN ZUM LÖSCHEN HINZUGEFÜGT ---------
--------------------------------------------------

1: C:\WINDOWS\system32\svhost.exe => Backdoor.Win32.Rbot.gen
2: C:\WINDOWS\hpdriver.exe => Backdoor.Win32.SdBot.aad
3: C:\WINDOWS\SYSTEM32\HPR34K8.SYS => Rootkit.Win32.Agent.ae
4: C:\WINDOWS\System32\firewall.exe => Backdoor.Win32.PoeBot.d
5: C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\TBCVRFCY\klik[1].exe => Backdoor.Win32.SdBot.aad
6: C:\WINDOWS\system32\firewall.exe => Backdoor.Win32.PoeBot.d

--------------------------------------------------
-------------------- Statistik -------------------
--------------------------------------------------

Mon Aug 15 02:33:49 2005 => Total Objects Scanned: 30700
Mon Aug 15 02:33:49 2005 => Total Virus(es) Found: 26
Mon Aug 15 02:33:49 2005 => Total Errors: 176
Mon Aug 15 02:33:49 2005 => Virus Database Date: 2005/08/14
Mon Aug 15 02:33:49 2005 => Virus Database Count: 143571
Mon Aug 15 02:33:57 2005 => Total Objects Scanned: 30700
Mon Aug 15 02:33:57 2005 => Total Virus(es) Found: 26
Mon Aug 15 02:33:57 2005 => Total Errors: 176

#18 Setze dein System neu auf.Sieht ja wild aus bei dir
Siehe vorher hier>
http://board.protecus.de/t13019.htm?s=727b2d16b4b69314cdc36f50f74bddb9
MfG Merlinx

#19 gibts keine andere lösung?

#20 Hallo@gangsta007

da ich nicht weiss, ob escan geloescht hat, mache folgendes:

------------------------------------------------------------------------------------------------------------------------------------------------------------------------
•KillBox
http://bilder.informationsarchiv.net/Nikitas_Tools/KillBox.zip
Anleitung: (bebildert)
http://virus-protect.org/killbox.html

•Delete File on Reboot <--anhaken

und klicke auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\svhost.exe
C:\WINDOWS\hpdriver.exe
C:\WINDOWS\SYSTEM32\HPR34K8.SYS
C:\WINDOWS\System32\firewall.exe
C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\TBCVRFCY\klik[1].exe

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[1].exe
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[2].exe
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP\adult1[3].exe

C:\Dokumente und Einstellungen\Ansir\Lokale Einstellungen\Temp\196794_364_1912_1436_63.41.tmp
C:\WINDOWS\system32\firewall.exe
C:\WINDOWS\etb\nt_hide63.dll
C:\WINDOWS\etb\pokapoka63.exe
C:\xvhr.exe

PC neustarten

C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\TBCVRFCY<--loeschen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ESKQVWXP <--loeschen

C:\WINDOWS\etb <--loeschen

CCleaner--> loesche alle *temp-Datein
http://virus-protect.org/temp.html

Deaktivieren Wiederherstellung (dann aktiviere wieder)
«XP
Arbeitsplatz-->rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.

um die TFTP zu finden:
Start -- Ausführen -- reinschreiben : cmd -- DOS wird sich öffnen

einzeln in das schwarze DOS-Fenster reinkopieren:

cd\
cd %windir%\system32
dir /a:-d /o:-d > %systemdrive%\system32.txt
start %systemdrive%\system32.txt
cls
exit

nun wird sich automatisch der Texteditor öffnen und alle Daten einzeigen, die sich auf dem PC befinden. Kopiere bitte nur die letzten 30 Tage raus.
Dann schliesse DOS und führe die gleiche Anweisungen aus für:


cd\
cd %temp%\
dir /a:-d /o:-d > %systemdrive%\systemtemp.txt
start %systemdrive%\systemtemp.txt
cls
exit

cd\
cd %windir%
dir /a:-d /o:-d > %systemdrive%\system.txt
start %systemdrive%\system.txt
cls
exit

cd\
dir /a:-d /o:-d > %systemdrive%\sys.txt
start %systemdrive%\sys.txt
cls
exit
__________
MfG Sabina

rund um die PC-Sicherheit

#21 Mal zwischendurch:

Zitat

hallo habe neue prob hilft mir ?
...Backdoor.Win32.Rbot.gen,... Backdoor.Win32.SdBot.aad,... Rootkit.Win32.Agent.ae,... Backdoor.Win32.PoeBot.d

Gehen wir mal ein Stück zurück zu deinem ersten Logfile:

Zitat

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Bist Du dem Hinweis von Managor mal nachgekommen ?

Zitat

Also, ServicePack 2 und alle weiteren Patches von Windowsupdate installieren

Ich würde mal sagen, dass ein Großteil der Infektionen hier begraben liegt und solange Du da nichts änderst....nun- wir mögen Stammgäste
Ein Tipp noch von mir: Installiere Dir Firefox und lass den IE soweit als möglich unbenutzt.
ftp://ftp.mozilla.org/pub/mozilla.org/firefox/releases/1.0.6/win32/de-DE/Firefox%20Setup%201.0.6.exe
__________
Durchsuchen --> Aussuchen --> Untersuchen

#22 hi habe eben pc formatiert....

ich kannn aber sercice pack 2 nicht installieren da steh irgendwie ungültiger key obwohl ich ein gültigen key habe was soll ich machen gibt mir mal tipss plzzz?

#23 Hola,

hab mich auch 2 Tage mit dem 180 Virus rumgeschlagen, viele Programme haben nix gefunden, aber nach Bereinigung der Registry und löschen der einzelnen Verzeichnisse (siehe unten) war der Virus weg.

Schreiben an H+BDV Datentehcnik Hersteller von Antivir.
mal sehen was zurückkommt:

Hola,
In einer bestimmten Datei können Sie den Virus wahrscheinlich nicht finden
hab den Virus in der Zwischenzeit weg:

Vorgehensweise:

Rechner im abgesicherten Mode starten.

Die Datei explorer.exe neu ins Verzeichnis Windows.kopieren (sicherheitshalber).

Rechner neu starten im Normalen Modus ohne Netzwerkunterstützung
(Stecker ziehen)

Achtung, Explorer nicht aufrufen !!!!!!!!

Über Ausführen Regedit aurufen

Alle Einträge mit 180 suchen und alle löschen (außer wenn es im regschlüssel steht

Alle Einträge mit "Media Gateway" suchen und löschen

Eintrag suchen explorer.EXE (Achtung extend groß geschrieben)

Eintrag löschen

Verzeichnis Program Files/Media Gateway loschen

Verzeichnes temp im Root C: löschen

Registry mindestens 2 x kontrollieren (beim Starten mit Netzwerkunterstützung haben sich 2 Einträge neu installiert wöhrend des Suchens)

Meines Erachtens hält sich der Virus zunächst nur im Arbeitsspeicher auf, und installiert sich erst nach dem ersten Aufruf der explorer.exe und wird aktiv, solange das erste explorerfenster auf ist lassen sich weitere Instanzen öffnen, einmal geschlossen lässt sich der explorer nicht mehr aufrufen.

Auffällig war auch die Installation einer Datei fb1.tmp im Verzeichnis Documents/.User/local Settings/tmp

Ist aufgefallen weil das wärend des startens gelöscht werden soll und der Zugriff verweigert wurde.

Wir der Rechner ohne Netzwerkunterstützung gestartet ist der Virus nicht aktiv !!!
Weder SOPHOS noch Antivir noch AVG haben etwas gefunden
PC Doctor Spyware hat die Einträge in der Registry gefunden
Antivir leider nicht !!!!!!!! Warum eigentlich nicht ?? Wird die Registry nicht untersucht ?
Saludos

ElAndaluz