PoP Ups Your system is affected by spyware etc PC fährt runter

#1 Hilfe mein PC spinnt... bin nicht so gut in sowas ... Also hier mein Logfile. Wenn sich einer auskennt und mir helfen könnte wäre das suuuuper. Ich kann im Gegenzug gerne bei KFz Fragen helfen , ist eher mein Gebiet ; ) Vielen lieben Dank. Hans
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\regsvc.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\msole32.exe
C:\WINNT\system32\shnlog.exe
C:\WINNT\popuper.exe
C:\WINNT\system32\intmonp.exe
C:\WINNT\system32\intmon.exe
C:\WINNT\system32\NVATray.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Dokumente und Einstellungen\carfleet2\Lokale Einstellungen\Temp\{461ADABA-A9D1-4068-A010-062CD64D2650}176d93cd-79d3-40c3-8c0c-78637e60cc32.exe
C:\WINNT\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\progra~1\scansoft\paperp~1\pptd40nt.exe
C:\Programme\ClamWin\bin\ClamTray.exe
C:\Programme\Ulead Systems\Ulead PhotoImpact 4.2\ABMTSR.EXE
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programme\ascpro\kfz.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINNT\system32\taskmgr.exe
C:\Dokumente und Einstellungen\carfleet2\Desktop\HijackThis1991.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.security2k.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.security2k.net/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.security2k.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.security2k.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.security2k.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.security2k.net/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.security2k.net/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.240:3128
O2 - BHO: HP Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINNT\system32\hpF7DA.tmp
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [MSDIconsAndLabels] rundll32 C:\WINNT\system32\ShellExt\MsdServ.dll,Start C:\WINNT\system32\ShellExt\MSDIconsAndLabels.exe
O4 - HKLM\..\Run: [USSShReg] C:\PROGRA~1\ULEADS~1\ULEADP~1.2\SSaver\Ussshreg.exe /r
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [PaperPort PTD] c:\progra~1\scansoft\paperp~1\pptd40nt.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - Startup: Album Fast Start.lnk = C:\Programme\Ulead Systems\Ulead PhotoImpact 4.2\ABMTSR.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O15 - Trusted Zone: http://www.webmobil24.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Moenikes.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{67B3841F-3C77-4BA2-A43F-1042A60B88FC}: NameServer = 192.168.0.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{D48AA95E-F268-4269-AD68-F54A1B8012D7}: NameServer = 192.168.0.200
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Moenikes.local
O17 - HKLM\System\CS1\Services\Tcpip\..\{67B3841F-3C77-4BA2-A43F-1042A60B88FC}: NameServer = 192.168.0.200
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Moenikes.local
O17 - HKLM\System\CS2\Services\Tcpip\..\{67B3841F-3C77-4BA2-A43F-1042A60B88FC}: NameServer = 192.168.0.200
O20 - Winlogon Notify: style32 - C:\WINNT\q778156_disk.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Danke nochmal im voraus. : )

#2 Hallo@platinchild

kopiere alle 4 Logs ab, die du erhaelst.
http://virus-protect.org/datfindbat.html

*reg-Datei
oben im Browser: Datei -- Seite speichern unter.. -- wähle "Desktop" -- speichern
http://www.bleepingcomputer.com/files/reg/smitfraud.reg
dann erscheint eine smitfraud.reg auf dem Desktop

•KillBox
http://www.bleepingcomputer.com/files/killbox.php
Anleitung: (bebildert)
http://virus-protect.org/killbox.html

•Delete File on Reboot <--anhaken

C:\WINNT\system32\hpF7DA.tmp
C:\WINNT\system32\msole32.exe
C:\Dokumente und Einstellungen\carfleet2\Lokale Einstellungen\Temp\{461ADABA-A9D1-4068-A010-062CD64D2650}176d93cd-79d3-40c3-8c0c-78637e60cc32.exe
C:\WINNT\system32\shnlog.exe
C:\WINNT\popuper.exe
C:\WINNT\system32\intmonp.exe
C:\WINNT\system32\intmon.exe
C:\WINNT\q778156_disk.dll

und klicke auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Computer in den abgesicherten Modus neustarten (F8 beim Starten drücken). Die Datei "smitfraud.reg" auf dem Desktop doppelklicken und mit "ja" bestätigen, damit die reg*-Datei der Registry beigefügt wird und sofort den PC neustarten.

smitRem TOOL (Entfernungstool)
http://noahdfear.geekstogo.com/
öffne smitRem folder,Doppelklick: RunThis.bat
warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)
suche smitfiles.txt und poste die Textdatei in den Thread

CCleaner--> loesche alle *temp-Datein
http://virus-protect.org/temp.html

#neue Startseite
gehe zur Systemsteuerung --> Internetoptionen --> auf dem Reiter Allgemein bei Temporäre Internetdateien klickst du Dateien löschen --> auch bei Alle Offlineinhalte löschen das Häkchen setzen und mit OK bestätigen --> Auf den Reiter Programme gehen und dort auf Webeinstellungen zurücksetzen klicken, mit Ja bestätigen, fall Nachfrage kommt --> auf Übernehmen und abschließend auf OK klicken und stelle eine neue Startseite ein

scanne mit ewido und berichte vom Scan
http://virus-protect.org/ewido.html

---------------------------------------------------
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo @Sabina,

erstmal vielen Dank für deine Hilfe. Echt einsame Spitze. So hab alles gemacht, wie beschrieben.

Hier der Text von SmitRem:
Testing presence of HKEY_LOCAL_MACHINE\SOFTWARE\ShudderLTD ---------


! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\ShudderLTD

HKEY_LOCAL_MACHINE\SOFTWARE\ShudderLTD\PSGuard

Deleting ShudderLTD ----------


Checking if HKEY_LOCAL_MACHINE\SOFTWARE\ShudderLTD is still present ------

Deleting leftovers in registry ------

leftovers deleted!


Und der Escan Report:
ewido security suite - Scan Report
---------------------------------------------------------

+ Erstellt am: 15:09:20, 19.09.2005
+ Report-Checksumme: 63323E57

+ Scanergebnis:

[172] C:\WINNT\q778156_disk.dll -> TrojanDownloader.Delf.h : Fehler beim Säubern
[904] C:\WINNT\q778156_disk.dll -> TrojanDownloader.Delf.h : Fehler beim Säubern
:mozilla.15:C:\Dokumente und Einstellungen\administrator.MOENIKES\Anwendungsdaten\Mozilla\Firefox\Profiles\m6ahah2p.default\cookies.txt -> Spyware.Cookie.Doubleclick : Gesäubert mit Backup
C:\Dokumente und Einstellungen\administrator.MOENIKES\Cookies\administrator@a.tfag[1].txt -> Spyware.Cookie.Tfag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\administrator.MOENIKES\Cookies\administrator@ivwbox[1].txt -> Spyware.Cookie.Ivwbox : Gesäubert mit Backup
C:\Dokumente und Einstellungen\administrator.MOENIKES\Cookies\administrator@tfag[2].txt -> Spyware.Cookie.Tfag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\administrator.MOENIKES\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EFUJ8XEV\Install[1].exe -> Not-A-Virus.Hoax.Renos.b : Gesäubert mit Backup
:mozilla.7:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.16:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Tribalfusion : Gesäubert mit Backup
:mozilla.29:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Doubleclick : Gesäubert mit Backup
:mozilla.34:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Mediaplex : Gesäubert mit Backup
:mozilla.35:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Mediaplex : Gesäubert mit Backup
:mozilla.51:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Ivwbox : Gesäubert mit Backup
:mozilla.52:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.53:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.54:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.55:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.56:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.57:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.58:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.59:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Etracker : Gesäubert mit Backup
:mozilla.60:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
:mozilla.67:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Tradedoubler : Gesäubert mit Backup
:mozilla.68:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
:mozilla.69:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
:mozilla.79:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.2o7 : Gesäubert mit Backup
:mozilla.80:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.2o7 : Gesäubert mit Backup
:mozilla.81:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.2o7 : Gesäubert mit Backup
:mozilla.84:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.85:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.86:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.87:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.88:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.89:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.90:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.91:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.92:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.93:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.94:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.95:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.96:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.97:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.98:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.99:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Advertising : Gesäubert mit Backup
:mozilla.102:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Googleadservices : Gesäubert mit Backup
:mozilla.111:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
:mozilla.112:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Esomniture : Gesäubert mit Backup
:mozilla.113:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Addcontrol : Gesäubert mit Backup
:mozilla.121:C:\Dokumente und Einstellungen\carfleet2\Anwendungsdaten\Mozilla\Firefox\Profiles\p0hz64c8.default\cookies.txt -> Spyware.Cookie.Googleadservices : Gesäubert mit Backup
C:\WINNT\Downloaded Program Files\UCInst_trial.dll -> Spyware.UCInst : Gesäubert mit Backup
C:\WINNT\q109781_disk.dll -> TrojanDownloader.Delf.h : Gesäubert mit Backup
C:\WINNT\q117093_disk.dll -> TrojanDownloader.Delf.h : Gesäubert mit Backup
C:\WINNT\q148984_disk.dll -> TrojanDownloader.Delf.h : Gesäubert mit Backup
C:\WINNT\q191250_disk.dll -> TrojanDownloader.Delf.h : Gesäubert mit Backup
C:\WINNT\__delete_on_reboot__q778156_disk.dll -> TrojanDownloader.Delf.h : Gesäubert mit Backup


::Report Ende


Was tun?

Danke Dir

Hans

#4 kopiere alle 4 Logs ab, die du erhaelst. ich will sehen, was noch alles auf dem PC ist....
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Hallo, also die Logs

1.
Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Datentr„gernummer: 1CAB-1C1D

Verzeichnis von C:\WINNT\system32

19.09.2005 09:01 2.560 intmon.exe
19.09.2005 09:01 4.608 hhk.dll
19.09.2005 09:01 2.560 intmonp.exe
19.09.2005 09:01 53.248 hpF7DA.tmp
15.09.2005 08:07 137.256 FNTCACHE.DAT
12.09.2005 10:27 1.593 ole32vbs.exe
12.09.2005 10:27 766 spyware.ico
12.09.2005 10:27 4.286 spam.ico
12.09.2005 10:27 2.238 network.ico
12.09.2005 10:27 2.238 Date.ico
11.09.2005 11:51 7.277 msole32.exe
11.09.2005 11:28 34.361 shnlog.exe
11.09.2005 11:28 1.621 wppp.html
28.07.2005 14:52 91.856 S32EVNT1.DLL
12.07.2005 15:35 117.976 hashlib.dll
12.07.2005 15:35 126.680 GCCollection.dll
12.07.2005 15:35 95.448 gcUnCompress.dll
27.06.2005 17:18 98.304 dfrg.msc
22.04.2005 12:58 328.128 gcTypLibA.tlb

#6 Hallo platinchild,

bitte alle vier Logs. Aufgrund der Länge kürze die Logs um alle Einträge vor September 2005 (vor jedem Eintrag steht ein Datum). Ich denke, dass Deine Infektion erst im September aufgetreten ist, also wird alles vorher unwichtig sein. Wenn nicht, dann soll mich Sabina berichtigen
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#7 Hallo@Managor

das muss raus, aber erstelle die Killbox erst, wenn auch die anderen Daten eintrudeln

Zitat

Verzeichnis von C:\WINNT\system32

19.09.2005 09:01 2.560 intmon.exe
19.09.2005 09:01 4.608 hhk.dll
19.09.2005 09:01 2.560 intmonp.exe
19.09.2005 09:01 53.248 hpF7DA.tmp
12.09.2005 10:27 1.593 ole32vbs.exe
12.09.2005 10:27 766 spyware.ico
12.09.2005 10:27 4.286 spam.ico
12.09.2005 10:27 2.238 network.ico
12.09.2005 10:27 2.238 Date.ico
11.09.2005 11:51 7.277 msole32.exe
11.09.2005 11:28 34.361 shnlog.exe
11.09.2005 11:28 1.621 wppp.html

Hallo@platinchild

poste bitte noch die anderen 3 Logs, so koennen wir dir helfen, alle Trojaner zu finden/loeschen
__________
MfG Sabina

rund um die PC-Sicherheit

#8 Hallo Sabina, Hallo Managor, ; )

hatte alle 4 reinkopiert, nur da Sie vollständig zu lang waren, ist das wohl irgendwie schief gelaufen. Hier also die gekürzten Logs über die letzten 3 Monate.

Danke euch nochmal. MfG Hans

1.
19.09.2005 09:01 2.560 intmon.exe
19.09.2005 09:01 4.608 hhk.dll
19.09.2005 09:01 2.560 intmonp.exe
19.09.2005 09:01 53.248 hpF7DA.tmp
15.09.2005 08:07 137.256 FNTCACHE.DAT
12.09.2005 10:27 1.593 ole32vbs.exe
12.09.2005 10:27 766 spyware.ico
12.09.2005 10:27 4.286 spam.ico
12.09.2005 10:27 2.238 network.ico
12.09.2005 10:27 2.238 Date.ico
11.09.2005 11:51 7.277 msole32.exe
11.09.2005 11:28 34.361 shnlog.exe
11.09.2005 11:28 1.621 wppp.html
28.07.2005 14:52 91.856 S32EVNT1.DLL
12.07.2005 15:35 117.976 hashlib.dll
12.07.2005 15:35 126.680 GCCollection.dll
12.07.2005 15:35 95.448 gcUnCompress.dll
27.06.2005 17:18 98.304 dfrg.msc

2.
19.09.2005 09:26 5.057 ULEAD32.INI
16.09.2005 17:39 169.608 ShellIconCache
16.09.2005 13:49 682 win.ini
15.09.2005 14:27 192 winamp.ini
15.09.2005 11:25 45.331 setupapi.log
14.09.2005 09:56 307.040 iis5.log
14.09.2005 09:56 1.410 imsins.log
14.09.2005 09:56 140.494 comsetup.log
14.09.2005 09:56 1.489 KB823559Uninst.log
14.09.2005 09:56 112.310 ocgen.log
14.09.2005 09:56 8.461 ockodak.log
14.09.2005 09:56 1.410 imsins.BAK
14.09.2005 09:56 1.403 KB822831Uninst.log
14.09.2005 09:55 1.351 KB820888Uninst.log
14.09.2005 09:55 2.342 Q828026Uninst.log
14.09.2005 09:55 2.184 Q818043Uninst.log
14.09.2005 09:55 4.255 KB837001Uninst.log
14.09.2005 09:54 7.747 KB835732Uninst.log
14.09.2005 09:54 2.785 KB828749Uninst.log
14.09.2005 09:54 4.902 KB828741Uninst.log
14.09.2005 09:53 2.710 KB828035Uninst.log
14.09.2005 09:53 2.245 KB828028Uninst.log
14.09.2005 09:52 2.687 KB826232Uninst.log
14.09.2005 09:52 1.840 KB825119Uninst.log
14.09.2005 09:52 1.945 KB824146Uninst.log
14.09.2005 09:51 2.432 KB824141Uninst.log
14.09.2005 09:51 1.859 KB824105Uninst.log
14.09.2005 09:50 1.803 KB823182Uninst.log
14.09.2005 09:49 2.560 _MSRSTRT.EXE
13.09.2005 12:28 0 nsreg.dat
13.09.2005 12:27 99.970 UninstallFirefox.exe
13.09.2005 12:27 2.608 mozver.dat
12.09.2005 14:33 1.638 s3setup.log
12.09.2005 14:29 72.660 Windows Update.log
12.09.2005 14:06 0 WINNT32.LOG
12.09.2005 13:50 781 KB899588.log
12.09.2005 11:15 21.689 LUINSTALL.LOG
12.09.2005 11:12 8.292 SYMEVENT.LOG
12.09.2005 10:58 70.144 q109781_disk.dll
12.09.2005 10:44 70.144 q117093_disk.dll
12.09.2005 10:43 17.345 popuper.exe
12.09.2005 10:43 1.640 sites.ini
12.09.2005 10:28 70.144 q148984_disk.dll
12.09.2005 08:14 70.144 q191250_disk.dll
11.09.2005 11:29 71.168 adsldpbc.dll
11.09.2005 11:29 70.144 q778156_disk.dll
11.09.2005 11:27 3.072 uninstIU.exe
26.08.2005 16:30 23 Brownie.ini
26.08.2005 16:30 883 brdiag.log
26.08.2005 16:29 313 BRDIAG.INI
23.08.2005 10:45 30 Iedit.INI
22.06.2005 01:56 53.248 UpdtNv28.exe
21.06.2005 10:45 40 BO5140.INI
14.06.2005 12:04 484 brwmark.ini
14.06.2005 11:52 445 Brpcfx.ini
14.06.2005 11:52 1.041.409 setupapi.log.0.old
14.06.2005 11:45 104 BRPP2KA.INI
14.06.2005 11:09 0 bw5140.ini
14.06.2005 11:09 141 BRVIDEO.INI
14.06.2005 11:09 15.108 HL-5140.INI
14.06.2005 10:25 148 BrmfBidi.ini
14.06.2005 10:25 32 BrmfXCh1.ini

3.
19.09.2005 12:31 0 sys.txt
19.09.2005 12:31 10.904 system.txt
19.09.2005 12:30 204.985 systemtemp.txt
19.09.2005 12:29 99.608 system32.txt
19.09.2005 08:06 805.306.368 pagefile.sys
13.09.2005 12:24 5.101.736 Firefox Setup 1.0.6.exe
27.08.2005 13:29 856 flashplayer.xpt

4.
19.09.2005 12:28 419 tmplv6aqh
19.09.2005 09:53 62 ClamWin1.log
19.09.2005 09:13 0 JETDF89.tmp
19.09.2005 09:13 32.768 ~DF39C7.tmp
19.09.2005 09:01 32.768 ~DFA8D5.tmp
19.09.2005 09:01 141.193 jusched.log
16.09.2005 14:50 32.768 ~DF5E88.tmp
16.09.2005 12:33 13 ClamWin_Scheduler_Info
16.09.2005 12:33 13 ClamWin_Upadte_Time
16.09.2005 08:11 32.768 ~DF7CBD.tmp
15.09.2005 16:25 32.768 ~DF8217.tmp
15.09.2005 16:24 32.768 ~DF460F.tmp
15.09.2005 08:09 32.768 ~DF84E3.tmp
14.09.2005 15:58 32.768 ~DFC4D.tmp
14.09.2005 08:09 32.768 ~DF6814.tmp
13.09.2005 12:47 32.768 ~DF82D0.tmp
13.09.2005 09:44 32.768 ~DF1573.tmp
13.09.2005 07:51 32.768 ~DF72BB.tmp
12.09.2005 14:46 229.376 ~DF9BE3.tmp
12.09.2005 14:37 32.768 ~DF1CFC.tmp
12.09.2005 14:01 229.376 ~DFD9D8.tmp
12.09.2005 13:54 32.768 ~DFCF7D.tmp
12.09.2005 11:56 70.394 A~NSISu_.exe
12.09.2005 11:12 2.260 SNDSetup55.log
12.09.2005 11:12 5.366 IDSinst.LOG
12.09.2005 11:12 387.584 SNDUpdater55I.log
12.09.2005 11:12 162 SNDunin.log
12.09.2005 10:40 10.134 dat6.tmp
11.09.2005 11:28 2.131.974 PSGuardInstall.exe
09.09.2005 14:20 0 JETCD21.tmp
09.09.2005 14:20 32.768 ~DF5825.tmp
09.09.2005 09:00 0 JET4825.tmp
09.09.2005 09:00 32.768 ~DFE7C5.tmp
08.09.2005 09:59 44.026 1DO1NQ65.htm
07.09.2005 11:58 0 h2r1AF.tmp
05.09.2005 21:11 102 8A56EAB7.TMP
05.09.2005 11:55 32.768 ~DF4059.tmp
02.09.2005 11:24 32.768 ~DF259D.tmp
02.09.2005 11:13 3.088 h2r9C8.tmp
02.09.2005 11:11 861 ~WRD0134.doc
02.09.2005 11:11 3.088 h2r9BD.tmp
02.09.2005 11:10 861 ~WRD0914.doc
22.08.2005 14:06 4 Twain001.Mtx
22.08.2005 14:06 156 Twunk001.MTX
22.08.2005 14:06 219 TWAIN.LOG
22.08.2005 10:48 2.484.219 VGX97A.tmp
22.08.2005 10:48 673.992 VGX979.tmp
22.08.2005 10:48 866.924 VGX978.tmp
22.08.2005 10:48 144.081 VGX977.tmp
22.08.2005 10:48 942.092 VGX976.tmp
22.08.2005 10:48 139.431 VGX975.tmp
22.08.2005 10:48 84.485 VGX974.tmp
22.08.2005 10:48 126.624 VGX973.tmp
22.08.2005 10:48 110.863 VGX972.tmp
22.08.2005 10:48 127.156 VGX971.tmp
22.08.2005 10:48 144.651 VGX970.tmp
22.08.2005 10:48 136.040 VGX96F.tmp
22.08.2005 10:48 174.306 VGX96E.tmp
22.08.2005 10:48 193.422 VGX96D.tmp
22.08.2005 10:48 179.428 VGX96C.tmp
22.08.2005 10:48 194.613 VGX96B.tmp
22.08.2005 10:48 165.046 VGX96A.tmp
22.08.2005 08:16 32.768 ~DF1AF4.tmp
18.08.2005 08:05 32.768 ~DFF7E.tmp
17.08.2005 17:07 32.768 ~DFA7DE.tmp
16.08.2005 08:03 32.768 ~DF842B.tmp
15.08.2005 15:49 8.875 Z0HKIB06.htm
12.08.2005 14:34 32.768 ~DF7314.tmp
12.08.2005 14:30 32.768 ~DFE271.tmp
11.08.2005 09:53 32.768 ~DFF1A3.tmp
09.08.2005 12:36 20.381 E1RDG53E.htm
09.08.2005 08:13 32.768 ~DF6FB5.tmp
08.08.2005 14:17 0 h2rA47.tmp
08.08.2005 14:17 164 r2hA46.tmp
08.08.2005 14:17 0 h2rA44.tmp
08.08.2005 14:17 164 r2hA43.tmp
08.08.2005 08:17 32.768 ~DF78CE.tmp
05.08.2005 09:24 933 ~WRD4071.doc
05.08.2005 09:23 29.935 2IQGI0ZW.htm
05.08.2005 09:23 2.686 H9PNW49B.htm
05.08.2005 09:22 29.935 KJBJ6QK9.htm
05.08.2005 09:21 7.913 h2r933.tmp
29.07.2005 09:12 32.768 ~DF675E.tmp
29.07.2005 08:22 32.768 ~DFDC51.tmp
28.07.2005 08:32 28.334 ARHL65HJ.htm
06.07.2005 15:20 32.768 ~DFD4EA.tmp
14.06.2005 11:27 16.384 ~DF6765.tmp
14.06.2005 11:20 16.384 ~DF7A73.tmp
14.06.2005 08:04 16.384 ~DF3D02.tmp
13.06.2005 08:07 16.384 ~DF8B7E.tmp
11.06.2005 13:01 16.384 ~DF6A52.tmp
09.06.2005 08:04 16.384 ~DF1F53.tmp
08.06.2005 08:01 16.384 ~DFBCD5.tmp
07.06.2005 08:04 16.384 ~DFCD0B.tmp
06.06.2005 08:06 16.384 ~DF8056.tmp
03.06.2005 08:10 16.384 ~DF688E.tmp
02.06.2005 08:11 16.384 ~DF2CF7.tmp
01.06.2005 08:11 32.768 ~DF7C00.tmp
01.06.2005 08:07 16.384 ~DF474A.tmp

#9 Hallo@platinchild

CCleaner--> loesche alle *temp-Datein !!!!!!!!!!!!!!!
http://www.ccleaner.com/ccdownload.asp
diese ganzen Eintraege muessen raus !!!!!!!!!

Zitat

4.
19.09.2005 12:28 419 tmplv6aqh
19.09.2005 09:53 62 ClamWin1.log
19.09.2005 09:13 0 JETDF89.tmp
...
...

loesche mit der Killbox:

C:\WINNT\system32\intmon.exe
C:\WINNT\system32\hhk.dll
C:\WINNT\system32\intmonp.exe
C:\WINNT\system32\hpF7DA.tmp
C:\WINNT\system32\ole32vbs.exe
C:\WINNT\system32\spyware.ico
C:\WINNT\system32\spam.ico
C:\WINNT\system32\network.ico
C:\WINNT\system32\Date.ico
C:\WINNT\system32\msole32.exe
C:\WINNT\system32\shnlog.exe
C:\WINNT\system32\wppp.html
C:\Dokumente und Einstellungen\carfleet2\Lokale Einstellungen\Temp\PSGuardInstall.exe
C:\WINNT\popuper.exe
C:\WINNT\sites.ini
C:\WINNT\q148984_disk.dll
C:\WINNT\q191250_disk.dll
C:\WINNT\adsldpbc.dll
C:\WINNT\q778156_disk.dll
C:\WINNT\uninstIU.exe

PC neustarten

silentrunners
http://virus-protect.org/silentrunner.html
http://www.silentrunners.org/sr_download.html
gehe auf:
Zitat:
Click here to download a zip file.
hier die Erklaerung:
http://www.silentrunners.org/sr_scriptuse.html
klicke: output file is in text format. --> Doppelklick und es oeffnet sich der Editor-->
und poste alles, was angezeigt wird.

scanne mit ewido und poste das Log vom Scan
http://virus-protect.org/ewido.html
__________
MfG Sabina

rund um die PC-Sicherheit

#10 Hallo @Sabina,

hier der Silentrunner log. Habe alles wie beschrieben vorher mit killbox usw. durchgeführt.

"Silent Runners.vbs", revision 40.1, http://www.silentrunners.org/
Operating System: Windows 2000
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Synchronization Manager" = "mobsync.exe /logon" [MS]
"NvCplDaemon" = "RUNDLL32.EXE NvQTwk,NvCplDaemon initialize" [MS]
"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]
"NVIDIA nForce APU1 Utilities" = "NVATray.exe" ["NVIDIA Corporation"]
"MSDIconsAndLabels" = "rundll32 C:\WINNT\system32\ShellExt\MsdServ.dll,Start C:\WINNT\system32\ShellExt\MSDIconsAndLabels.exe" [MS]
"USSShReg" = "C:\PROGRA~1\ULEADS~1\ULEADP~1.2\SSaver\Ussshreg.exe /r" [null data]
"SoundMan" = "SOUNDMAN.EXE" ["Realtek Semiconductor Corp."]
"ccApp" = ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"" ["Symantec Corporation"]
"PaperPort PTD" = "c:\progra~1\scansoft\paperp~1\pptd40nt.exe" ["Scansoft Inc."]
"SSC_UserPrompt" = "C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe" ["Symantec Corporation"]
"Symantec NetDriver Monitor" = "C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer" ["Symantec Corporation"]
"ClamWin" = ""C:\Programme\ClamWin\bin\ClamTray.exe" --logon" ["alch"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\hticons.dll" ["Hilgraeve, Inc."]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop-Explorer"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\nvshell.dll" ["NVIDIA Corporation"]
"{E0D79304-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79305-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79306-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79307-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office10\msohev.dll" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\
INFECTION WARNING! "{B212D577-05B7-4963-911E-4A8588160DFA}" = "style 2"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\q778156_disk.dll" [file not found]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
INFECTION WARNING! "{54D9498B-CF93-414F-8984-8CE7FDE0D391}" = "ewido shell guard"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\shellhook.dll" ["TODO: <Firmenname>"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
INFECTION WARNING! "AppInit_DLLs" = "NVDESK32.DLL" [file not found]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! style32\DLLName = "C:\WINNT\q778156_disk.dll" [file not found]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
ClamWin\(Default) = "{65713842-C410-4f44-8383-BFE01A398C90}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ClamWin\bin\ExpShell.dll" ["alch"]
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\context.dll" ["ewido networks"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\context.dll" ["ewido networks"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
ClamWin\(Default) = "{65713842-C410-4f44-8383-BFE01A398C90}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ClamWin\bin\ExpShell.dll" ["alch"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is enabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Enabled Scheduled Tasks:
------------------------

"Norton AntiVirus - Meinen Computer prüfen - Carfleet2" -> launches: "C:\PROGRA~1\NORTON~1\NAVW32.EXE /task:"C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Norton AntiVirus\Tasks\mycomp.sca"" ["Symantec Corporation"]
"Symantec NetDetect" -> launches: "C:\Programme\Symantec\LiveUpdate\NDETECT.EXE" ["Symantec Corporation"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\rnr20.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\msafd.dll [MS], 01 - 03, 06 - 13
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{08B0E5C0-4FCB-11CF-AAA5-00401C608501}"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\system32\msjava.dll" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

COM+-Ereignissystem, EventSystem, "C:\WINNT\System32\svchost.exe -k netsvcs" {"C:\WINNT\System32\es.dll" [null data]}
ewido security suite control, ewido security suite control, "C:\Programme\ewido\security suite\ewidoctrl.exe" ["ewido networks"]
ewido security suite guard, ewido security suite guard, "C:\Programme\ewido\security suite\ewidoguard.exe" ["ewido networks"]
Norton AntiVirus Auto-Protect-Dienst, navapsvc, ""C:\Programme\Norton AntiVirus\navapsvc.exe"" ["Symantec Corporation"]
SAVScan, SAVScan, "C:\Programme\Norton AntiVirus\SAVScan.exe" ["Symantec Corporation"]
Symantec Event Manager, ccEvtMgr, ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe"" ["Symantec Corporation"]
Symantec Settings Manager, ccSetMgr, ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe"" ["Symantec Corporation"]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the -supp parameter or answer "No" at the first message box.
---------- (total run time: 38 seconds, including 18 seconds for message boxes)


Hier der Ewido Bericht;

---------------------------------------------------------
ewido security suite - Scan Report
---------------------------------------------------------

+ Erstellt am: 15:02:13, 21.09.2005
+ Report-Checksumme: 2482DFB2

+ Scanergebnis:

Keine infizierten Objekte gefunden.


::Report Ende

#11 gehe in die Registry

Start-->Ausfuehren--> regedit

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\

loeschen:

"{B212D577-05B7-4963-911E-4A8588160DFA}" = "style 2"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\q778156_disk.dll"

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\

loeschen:

style32\
DLLName = "C:\WINNT\q778156_disk.dll"

PC neustarten

dann das neue Log vom Silentrunner
+
ein Scan mit Kaspersky (+ berichte)
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#12 Hallo Sabina,

hier der Log des Silentrunners:
"Silent Runners.vbs", revision 40.1, http://www.silentrunners.org/
Operating System: Windows 2000
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Synchronization Manager" = "mobsync.exe /logon" [MS]
"NvCplDaemon" = "RUNDLL32.EXE NvQTwk,NvCplDaemon initialize" [MS]
"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]
"NVIDIA nForce APU1 Utilities" = "NVATray.exe" ["NVIDIA Corporation"]
"MSDIconsAndLabels" = "rundll32 C:\WINNT\system32\ShellExt\MsdServ.dll,Start C:\WINNT\system32\ShellExt\MSDIconsAndLabels.exe" [MS]
"USSShReg" = "C:\PROGRA~1\ULEADS~1\ULEADP~1.2\SSaver\Ussshreg.exe /r" [null data]
"SoundMan" = "SOUNDMAN.EXE" ["Realtek Semiconductor Corp."]
"ccApp" = ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"" ["Symantec Corporation"]
"PaperPort PTD" = "c:\progra~1\scansoft\paperp~1\pptd40nt.exe" ["Scansoft Inc."]
"SSC_UserPrompt" = "C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe" ["Symantec Corporation"]
"Symantec NetDriver Monitor" = "C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer" ["Symantec Corporation"]
"ClamWin" = ""C:\Programme\ClamWin\bin\ClamTray.exe" --logon" ["alch"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\hticons.dll" ["Hilgraeve, Inc."]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop-Explorer"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\System32\nvshell.dll" ["NVIDIA Corporation"]
"{E0D79304-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79305-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79306-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{E0D79307-84BE-11CE-9641-444553540000}" = "WinZip"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office10\msohev.dll" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
INFECTION WARNING! "{54D9498B-CF93-414F-8984-8CE7FDE0D391}" = "ewido shell guard"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\shellhook.dll" ["TODO: <Firmenname>"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
INFECTION WARNING! "AppInit_DLLs" = "NVDESK32.DLL" [file not found]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
ClamWin\(Default) = "{65713842-C410-4f44-8383-BFE01A398C90}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ClamWin\bin\ExpShell.dll" ["alch"]
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\context.dll" ["ewido networks"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
ewido\(Default) = "{57BD36D7-CE32-4600-9B1C-1A0C47EFC02E}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ewido\security suite\context.dll" ["ewido networks"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
ClamWin\(Default) = "{65713842-C410-4f44-8383-BFE01A398C90}"
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\ClamWin\bin\ExpShell.dll" ["alch"]
WinZip\(Default) = "{E0D79304-84BE-11CE-9641-444553540000}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\WINZIP\WZSHLSTB.DLL" ["WinZip Computing, Inc."]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is enabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Enabled Scheduled Tasks:
------------------------

"Norton AntiVirus - Meinen Computer prüfen - Carfleet2" -> launches: "C:\PROGRA~1\NORTON~1\NAVW32.EXE /task:"C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Norton AntiVirus\Tasks\mycomp.sca"" ["Symantec Corporation"]
"Symantec NetDetect" -> launches: "C:\Programme\Symantec\LiveUpdate\NDETECT.EXE" ["Symantec Corporation"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\rnr20.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\msafd.dll [MS], 01 - 03, 06 - 13
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{08B0E5C0-4FCB-11CF-AAA5-00401C608501}"
-> {CLSID}\InProcServer32\(Default) = "C:\WINNT\system32\msjava.dll" [MS]


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

COM+-Ereignissystem, EventSystem, "C:\WINNT\System32\svchost.exe -k netsvcs" {"C:\WINNT\System32\es.dll" [null data]}
ewido security suite control, ewido security suite control, "C:\Programme\ewido\security suite\ewidoctrl.exe" ["ewido networks"]
ewido security suite guard, ewido security suite guard, "C:\Programme\ewido\security suite\ewidoguard.exe" ["ewido networks"]
Norton AntiVirus Auto-Protect-Dienst, navapsvc, ""C:\Programme\Norton AntiVirus\navapsvc.exe"" ["Symantec Corporation"]
SAVScan, SAVScan, "C:\Programme\Norton AntiVirus\SAVScan.exe" ["Symantec Corporation"]
Symantec Event Manager, ccEvtMgr, ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe"" ["Symantec Corporation"]
Symantec Settings Manager, ccSetMgr, ""C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe"" ["Symantec Corporation"]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 36 seconds.
+ The search for all Registry CLSIDs containing dormant Explorer Bars
took 16 seconds.
---------- (total run time: 89 seconds)

Kaspersky Report

Report is empty.
Please note: The free Kaspersky On-line Scanner does not provide comprehensive protection and cannot prevent future infections. It only detects malware that has already penetrated your storage devices. We strongly recommend that you use a fully-functional antivirus solution to protect your computer at all times.

Please wait, this process may take a long time depending on the selected target. If you want to continue browsing, open a new window.

Scan Progress [8%]:

Total number of scanned files: 9149
Number of viruses found: 0
Number of infected objects: 0
Number of suspicious objects: 0
Duration of the scan process: 699.953 sec

#13 Hallo@platinchild

deinstalliere:

"ClamWin" = ""C:\Programme\ClamWin\bin\ClamTray.exe"

(ich kenne das Programm nicht, aber man findet nicht viel im Net darueber, also raus damit.... es sei denn, du weisst, dass es von sicherer Seite kommt)
ansonsten muesste der PC laut Kaspersky clean sein. Wie laeuft es ?
__________
MfG Sabina

rund um die PC-Sicherheit

#14 @Sabina

ClamWin ist ein OpenSource-Virenscanner - quählend langsam!!
Wenn er es von http://www.opensource-cd.de/sicherheit1.htm bezogen hat, dürfte es sicher sein.

senjor1954

#15 Hallo Sabina,

alles läuft sehr gut. Ich danke dir nochmal herzlich. Ich werde euch auf jeden Fall weiterempfehlen.

Danke dir nochmal. CU

Hans