Home » Viren, Trojaner & Malware Forum » antivir kann 9 probleme (dldr.mediket..., agobot.afk.12, etc.) nicht löschen » Themenansicht

antivir kann 9 probleme (dldr.mediket..., agobot.afk.12, etc.) nicht löschen

Thema ist geschlossen!
Thema ist geschlossen!
#0
10.11.2005, 13:47
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#31 poste das log vom HijackThis

(uebrigens, der scanreport vom Antivirus zeigt mir nichts....du musst den richtigen auswaehlen)...wo die infizierten Dateien mit angegeben werden.
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
10.11.2005, 14:03
neidhardt
Member

Themenstarter

Beiträge: 41
#32 oh, da hab ich nicht aufgepaßt. sorry, jetzt müßte es der richtige sein.

C:\
eied_s7.cab
ArchiveType: CAB (Microsoft)
--> eied_s7_c_7.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Mediket.S.2
explorer.cab
ArchiveType: CAB (Microsoft)
--> explorer.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Small.OR
ied_s7.cab
ArchiveType: CAB (Microsoft)
--> ied_s7_c_99.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Mediket.R
ied_s7m.cab
ArchiveType: CAB (Microsoft)
--> ied.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Mediket.D
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x0002

WARNUNG! Zugriffsfehler/Datei gesperrt!
C:\!KillBox
ssttq.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
WURDE GELÖSCHT!
C:\Dokumente und Einstellungen\Administrator\Desktop\backups
backup-20051109-235930-338.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
WURDE GELÖSCHT!
backup-20051110-000853-840.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
WURDE GELÖSCHT!
backup-20051110-103150-934.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
WURDE GELÖSCHT!
backup-20051110-103218-420.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
WURDE GELÖSCHT!
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery
AlexaRelated.zip
ArchiveType: ZIP
HINWEIS! Das gesamte Archiv ist passwortgeschützt

ArchiveType: ZIP
HINWEIS! Das gesamte Archiv ist passwortgeschützt
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\JR2ENZ69
prox[1].exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Small.brs
WURDE GELÖSCHT!
C:\Install
inf420.exe
ArchiveType: ZIP SFX (self extracting)
--> inf420\infinst_autol.exe
ArchiveType: CAB SFX (self extracting)
--> \data1.cab
HINWEIS! Der Archivheader ist defekt
--> \win2000\usb2ndrv.cat

--> \xp\usb2ndrv.cat
HINWEIS! Der Archivheader ist defekt
Fehler beim Wechsel in das Verzeichnis System Volume Information
C:\WINDOWS\system32
ssttq.dll
[FUND!] Ist das Trojanische Pferd TR/Dldr.ConHook.L
Konnte nicht gelöscht werden!
teskmangr.exe
[FUND!] Enthält Signatur des Wurmes WORM/RBot.192512.3
WURDE GELÖSCHT!
C:\WINDOWS\system32\config
default
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
SAM
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
SECURITY
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
software
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
system
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
C:\WINDOWS\system32\drivers\etc
hosts
[FUND!] Ist das Trojanische Pferd TR/Qhost.AA
WURDE GELÖSCHT!

D:\Mp3\ABBA
ABBA-_The_Definitive_Collection_-_by_baleog3.ace
ArchiveType: ACE
--> The Definitive Collection Disc 1
WARNUNG! Fehler beim Öffnen der Datei
--> The Definitive Collection Disc 2
WARNUNG! Fehler beim Öffnen der Datei
Fehler beim Wechsel in das Verzeichnis System Volume Information

Ende des Suchlaufs: Donnerstag, 10. November 2005 13:18
Benötigte Zeit: 20:39 min


2957 Verzeichnisse wurden durchsucht
29158 Dateien wurden geprüft
9 Warnungen wurden ausgegeben
8 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
13 Viren bzw. unerwünschte Programme wurden gefunden

hijackthis-logfile im abgesicherten modus - im normalmodus schließt sich ja immer das fenster.

Logfile of HijackThis v1.99.1
Scan saved at 13:54:04, on 10.11.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\ssttq.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programme\Lexmark X74-X75\lxbbbmgr.exe"
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Disc Detector] C:\Programme\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Easy PDF Creator] C:\Programme\Easy PDF Creator\EasyPDFCreator.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [mmtask] C:\Programme\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [Windows Services] spoolsvc.exe
O4 - HKLM\..\RunServices: [Windows Services] spoolsvc.exe
O4 - HKCU\..\Run: [Windows Services] spoolsvc.exe
O4 - HKCU\..\RunServices: [Windows Services] spoolsvc.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-9.cab
O16 - DPF: {4F5E4276-C120-11D6-A1FD-00508B9D48EA} (dldisplay Class) - http://www.gamehouse.com/ghdlctl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131474269468
O16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - https://www2.pc-sicherheit.web.de/ols/fscax.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{CEF8134C-60D5-4F7D-8EC9-190602A374CB}: NameServer = 192.168.121.252,192.168.121.253
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: ssttq - C:\WINDOWS\SYSTEM32\ssttq.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSvcCDA.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

:-)
Seitenanfang Seitenende
10.11.2005, 14:54
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#33 loesche in der Registry
bearbeiten--> suchen:
TESV

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_TESV\0000]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\TESV]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_TESV\0000]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\TESV]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TESV\0000]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TESV]

suchen/loeschen alles mit:
spoolsvc

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous = 1 <---in 0 aendern


fixe mit dem HijackThis::
O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\ssttq.dll
O4 - HKLM\..\Run: [Windows Services] spoolsvc.exe
O4 - HKLM\..\RunServices: [Windows Services] spoolsvc.exe
O4 - HKCU\..\Run: [Windows Services] spoolsvc.exe
O4 - HKCU\..\RunServices: [Windows Services] spoolsvc.exe
O20 - Winlogon Notify: ssttq - C:\WINDOWS\SYSTEM32\ssttq.dll

PC neustarten

nun loesche:
C:\!KillBox\ssttq.dll
C:\WINDOWS\SYSTEM32\ssttq.dll
C:\eied_s7.cab
C:\WINDOWS\SYSTEM32\spoolsvc.exe
C:\explorer.cab
C:\ied_s7.cab

scanne mit kaspersky und poste den Scanreport
http://virus-protect.org/onlinescan.html

Rootkitreveal: scanne und poste den scanbericht
http://www.sysinternals.com/Utilities/RootkitRevealer.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
10.11.2005, 18:44
neidhardt
Member

Themenstarter

Beiträge: 41
#34 hallo,

die tesv gibt es in meiner registry nicht.

die spoolsv habe ich gelöscht.

C:\!KillBox\ssttq.dll
gibt es nicht.

C:\WINDOWS\SYSTEM32\ssttq.dll
läßt sich nicht löschen.

O2 und O20 tauchen trotz fixierung bei einem neustart wieder auf.

soll ich trotzdem scannen, oder erstmal was anderes machen?

:-)
Seitenanfang Seitenende
11.11.2005, 01:04
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#35 scanne mit kaspersky und poste den Scanreport
http://virus-protect.org/onlinescan.html

Rootkitreveal: scanne und poste den scanbericht
http://www.sysinternals.com/Utilities/RootkitRevealer.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
11.11.2005, 08:53
neidhardt
Member

Themenstarter

Beiträge: 41
#36 guten morgen,

die kaspersky-seite läßt sich bei mir im moment nicht öffnen.


C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\21163QHO\gradient_thead[1].gif 11.11.2005 08:42 6.21 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4DMJSDYV\logo_forum[1].jpg 11.11.2005 08:42 13.49 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4DMJSDYV\navbits_start[1].gif 11.11.2005 08:42 1007 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\9ZR7D5GE\forum_old[1].gif 11.11.2005 08:42 1.62 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\9ZR7D5GE\forum_old_lock[1].gif 11.11.2005 08:42 1.63 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\HQ7FG694\forum[1] 11.11.2005 08:42 8.57 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\HQ7FG694\forum[1].htm 10.11.2005 20:06 6.18 KB Visible in Windows API, but not in MFT or directory index.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\HQ7FG694\forum[2] 11.11.2005 08:42 40.92 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\HQ7FG694\gradient_tcat[1].gif 11.11.2005 08:42 5.93 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\K1O7E36P\forum[1].htm 11.11.2005 08:42 6.18 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\K1O7E36P\icon10[1].gif 11.11.2005 08:42 1.02 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\K1O7E36P\vbulletin_md5[1].js 11.11.2005 08:42 9.43 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\KLUJKT27\forum_new[1].gif 11.11.2005 08:42 1.62 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\KLUJKT27\vbulletin_global[1].js 11.11.2005 08:42 32.44 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\O3HJUM7L\clear[1].gif 11.11.2005 08:42 43 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OHAVGT63\icon4[1].gif 11.11.2005 08:42 1019 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OHAVGT63\stats[1].gif 11.11.2005 08:42 1.43 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\S5UR4DMJ\lastpost[1].gif 11.11.2005 08:42 564 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WLQZ4L2Z\birthday[1].gif 11.11.2005 08:42 1.39 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WLQZ4L2Z\vbulletin_menu[1].js 11.11.2005 08:42 14.89 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XYGCEWHJ\collapse_thead[1].gif 11.11.2005 08:42 582 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XYGCEWHJ\style-7612f016-00001[1].css 11.11.2005 08:42 5.31 KB Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\Z9B7S1CT\collapse_tcat[1].gif 11.11.2005 08:42 640 bytes Visible in directory index, but not Windows API or MFT.
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\Z9B7S1CT\whos_online[1].gif 11.11.2005 08:42 1.41 KB Visible in directory index, but not Windows API or MFT.
C:\Programme\IncrediMail\bin\Licenses\ IM_LTWIZ.imk 01.01.1601 08:30 3 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\IncrediMail\bin\Licenses\IM_LTWIZ.imk 21.06.28978 21:11 3.05 KB Hidden from Windows API.


mfg

:-)
Seitenanfang Seitenende
11.11.2005, 10:46
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#37 wende das an:cleanup
http://virus-protect.org/cleanup.html

deinstalliere Antivirus (komplett) !!

Lade:avast! 4 Home Edition (free)
http://virus-protect.org/antivirenfree.html

wende auch die Option an dass der PC bei Neustart gescannt wird, suche dann das Log und poste es .

versuche es noch mal mit dem Kaspersky
http://www.kaspersky.com/virusscanner
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!

Folgende Themen könnten Dich auch interessieren:
  • »
  • »
  • »
  • »
  • »
Seite(n): 123