Registrysoftware-Werbung

#1 Hallo

hab seit neustem ein kleines Problem .... bekomme andauernd vom Nachrichtendienst irgendwelche Mails dass die Windowsregistry korrupt wäre und ich mir irgendein tool runterladen sollte(meist RegClean) und die Registry damit säubern soll.
Hab auch mal schon alles drüber laufen lassen was mein Comp zu bieten hat!

[edit]
Alsooo laut w*w.hijackthis.de gabs eine datei ,winvbie.dll, auf meinem system die sich nach suche bei google als zu 80% schädlich herausgestellt hat.

Gibts zu dieser Datei noch irgendwelche Begleiterscheinungen ??
Meldungen sind aber immer noch da !
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/

#2 Hallo@Nebu

Das ist Spyware, die deinen PC zerstoeren wird, wenn du sie laedst.
Um zu wissen, um welche es sich handelt:

wende CleanUp an
http://virus-protect.org/cleanup.html

kopiere hier die 4 Textdateien
http://virus-protect.org/datfindbat.html

poste das Log vom HijackThis
http://virus-protect.org/hjtkurz.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Also das Nachrichtendienst Prob hab ich gelöst ... hatte sich irgendwie bei xp antispy wieder aktiviert .... und Windows Update noch dazu .

Cleanup is gelaufen

datfind.bat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: **********

Verzeichnis von C:\WINDOWS\system32

20.11.2005 13:16 1.158 wpa.dbl
06.11.2005 00:45 380.684 perfh009.dat
06.11.2005 00:45 53.098 perfc009.dat
06.11.2005 00:45 63.976 perfc007.dat
06.11.2005 00:45 391.574 perfh007.dat
06.11.2005 00:45 897.778 PerfStringBackup.INI
06.11.2005 00:40 193.776 FNTCACHE.DAT
17.10.2005 20:42 50.688 msiev32.dll
17.10.2005 20:42 18.944 winvbie.dll
19.09.2005 20:30 98.304 CmdLineExt.dll
13.09.2005 23:07 608.448 comctl32.ocx
10.08.2005 10:03 153 $winnt$.inf
09.08.2005 23:14 692.224 divxdec.ax
09.08.2005 23:13 4.276 divxsm.tlb
09.08.2005 23:13 524.288 DivXsm.exe
09.08.2005 23:13 692.736 DivX.dll
09.08.2005 23:13 688.128 divx_xx07.dll
09.08.2005 23:13 10.775 dsm_ja.qm
09.08.2005 23:13 15.351 dsm_de.qm
09.08.2005 23:13 15.153 dsm_fr.qm
09.08.2005 23:13 688.128 divx_xx0c.dll
09.08.2005 23:13 671.744 divx_xx11.dll
09.08.2005 23:13 831.488 libeay32.dll
09.08.2005 23:13 245.408 unicows.dll
09.08.2005 23:13 159.744 ssleay32.dll
09.08.2005 23:12 3.596.288 qt-dx331.dll
09.08.2005 23:12 8.523 dpude.qm
09.08.2005 23:12 86.016 dpl100.dll
09.08.2005 23:12 581.632 dpuGUI11.dll
09.08.2005 23:12 200.704 dtu100.dll
09.08.2005 23:12 303.104 dpus11.dll
09.08.2005 23:12 57.344 dpv11.dll
09.08.2005 23:12 245.760 dpu11.dll
09.08.2005 23:12 3.136 dtu_de.qm
09.08.2005 23:12 356.436 DivXMedia.ax

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: *********

Verzeichnis von C:\WINDOWS

24.11.2005 15:51 0 0.log
24.11.2005 15:51 2.048 bootstat.dat
22.11.2005 02:28 116 NeroDigital.ini
17.11.2005 20:11 741 win.ini
17.11.2005 20:11 315 system.ini
07.11.2005 21:47 155 winamp.ini
26.10.2005 14:04 4.236 mozver.dat
06.10.2005 17:29 2.028 ModemLog_TOSHIBA Software Modem AMR.txt
06.10.2005 16:47 135.778 winsbak2.reg
06.10.2005 16:47 19.516 winsbak.reg
28.09.2005 18:53 99.970 UninstallFirefox.exe
21.09.2005 21:10 2.510 Microsoft.MIF
19.09.2005 00:14 316.640 WMSysPr9.prx
29.08.2005 20:46 400 ODBC.INI
20.08.2005 11:51 17 popcinfo.dat
16.08.2005 19:15 35 –wK'”w
12.08.2005 14:20 16 wininit.ini
10.08.2005 10:08 2.464 $_hpcst$.hpc

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ***********

Verzeichnis von C:\

24.11.2005 16:06 0 sys.txt
24.11.2005 16:05 5.125 system.txt
24.11.2005 16:05 134 systemtemp.txt
24.11.2005 16:00 97.842 system32.txt
24.11.2005 15:53 45 TEST.XML
24.11.2005 15:51 805.306.368 pagefile.sys
17.11.2005 20:11 0 23990098.$$$
10.08.2005 10:02 194 BOOT.BKK
10.08.2005 10:02 194 boot.ini

systemtemp hat er nix gefunden.....

hijack

Logfile of HijackThis v1.99.1
Scan saved at 16:10:32, on 24.11.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\LTSMMSG.exe
C:\Programme\SigmaTel\SigmaTel AC97 Audio-Treiber\stacmon.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\TFNF5.exe
C:\Programme\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\System32\TPSMain.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\WINDOWS\System32\TPSBattM.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Nebu\Eigene Dateien\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: CoTGT_BHO Class - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Programme\SigmaTel\SigmaTel AC97 Audio-Treiber\stacmon.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [TouchED] C:\Programme\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{C58AED91-D53C-43D9-A317-93F83F48FC16}: NameServer = 217.237.151.161 217.237.151.33
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe

Hmmmm..... so ich glaub das wars jetzt
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/

#4 Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten --> kopiere das Ergebnis in das Sicherheitsforum

http://www.virustotal.com/flash/index_en.html
http://sandbox.norman.no/live_4.html

C:\WINDOWS\system32\msiev32.dll
C:\WINDOWS\system32\winvbie.dll
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Also

This is a report processed by VirusTotal on 11/24/2005 at 16:40:16 (CET) after scanning the file "msiev32.dll" file.

Antivirus Version Update Result
AntiVir 6.32.0.6 11.24.2005 ADSPY/ToolBar.Visua.A.4
Avast 4.6.695.0 11.24.2005 no virus found
AVG 718 11.23.2005 Adware Generic.GQZ
Avira 6.32.0.6 11.24.2005 ADSPY/ToolBar.Visua.A.4
BitDefender 7.2 11.24.2005 Trojan.Dkbits.AJ
CAT-QuickHeal 8.00 11.24.2005 AdWare.ToolBar.Visua.a (Not a Virus)
ClamAV devel-20051108 11.24.2005 no virus found
DrWeb 4.33 11.24.2005 no virus found
eTrust-Iris 7.1.194.0 11.24.2005 Win32/Dkbits.AJ.DLL!Trojan
eTrust-Vet 11.9.1.0 11.24.2005 Win32.SillyDl.NV
Fortinet 2.48.0.0 11.24.2005 Thread
F-Prot 3.16c 11.24.2005 security risk named W32/Downloader.BGE
Ikarus 0.2.59.0 11.24.2005 no virus found
Kaspersky 4.0.2.24 11.24.2005 not-a-virus:AdWare.Win32.Visua.a
McAfee 4635 11.23.2005 potentially unwanted program Adware-CommanderNET
NOD32v2 1.1303 11.24.2005 Win32/Adware.Toolbar.Visua
Norman 5.70.10 11.24.2005 no virus found
Panda 8.02.00 11.23.2005 Adware/VisuaToolBar
Sophos 3.99.0 11.24.2005 no virus found
Symantec 8.0 11.24.2005 no virus found
TheHacker 5.9.1.044 11.24.2005 Adware/ToolBar.Visua.a
VBA32 3.10.5 11.24.2005 AdWare.ToolBar.Visua.a

Für die Unordnung kann ich nix

This is a report processed by VirusTotal on 11/24/2005 at 16:42:58 (CET) after scanning the file "winvbie.dll" file.

Antivirus Version Update Result
AntiVir 6.32.0.6 11.24.2005 ADSPY/ToolBar.Visua.A.5
Avast 4.6.695.0 11.24.2005 no virus found
AVG 718 11.23.2005 Adware Generic.GUT
Avira 6.32.0.6 11.24.2005 ADSPY/ToolBar.Visua.A.5
BitDefender 7.2 11.24.2005 Trojan.Dkbits.AJ
CAT-QuickHeal 8.00 11.24.2005 no virus found
ClamAV devel-20051108 11.24.2005 no virus found
DrWeb 4.33 11.24.2005 no virus found
eTrust-Iris 7.1.194.0 11.24.2005 Win32/Dkbits.AJ.DLL!Trojan
eTrust-Vet 11.9.1.0 11.24.2005 Win32.SillyDl.NV
Fortinet 2.48.0.0 11.24.2005 Adware/CommanderNet.A
F-Prot 3.16c 11.24.2005 security risk named W32/Downloader.BGE
Ikarus 0.2.59.0 11.24.2005 no virus found
Kaspersky 4.0.2.24 11.24.2005 not-a-virus:AdWare.Win32.Visua.a
McAfee 4635 11.23.2005 potentially unwanted program Adware-CommanderNET
NOD32v2 1.1303 11.24.2005 Win32/Adware.Toolbar.Visua
Norman 5.70.10 11.24.2005 no virus found
Panda 8.02.00 11.23.2005 Adware/VisuaToolBar
Sophos 3.99.0 11.24.2005 no virus found
Symantec 8.0 11.24.2005 no virus found
TheHacker 5.9.1.044 11.24.2005 Adware/ToolBar.Visua.a
VBA32 3.10.5 11.24.2005 AdWare.ToolBar.Visua.a

Hmmm das war ma Virustotal.... auf norman muss ich noch warten wenn ichs richtig interpretier
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/

#6 KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Delete File on Reboot -- anhaken
reinkopieren:

C:\WINDOWS\system32\msiev32.dll
C:\WINDOWS\system32\winvbie.dll

und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"

PC neustarten

scanne mit Panda und poste den scanreport
http://virus-protect.org/onlinescan.html

deaktiviere den Nachrichtendienst....wie auf meiner Seite erklaert ist
http://virus-protect.org/windowsdienste.html
__________
MfG Sabina

rund um die PC-Sicherheit

#7

Zitat

Sabina postete
KILLBOX - Pocket KillBox

deaktiviere den Nachrichtendienst....wie auf meiner Seite erklaert ist
http://virus-protect.org/windowsdienste.html

Xp Antispy tuts auch ?? oder ist es besser es manuell auszuführen ??

und sandbox is jetzt auch da

orman Scanner Engine 5.83. 7
Sandbox 05.83, dated 10/10-2005

Your message ID (for later reference): 20051124-740

msiev32.dll : Not detected by sandbox (Signature: NO_VIRUS)
[ General information ]
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO -
REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
* File length: 50688 bytes.

[ Changes to registry ]
* Sets value "AutoSearch"="" in key "HKCU\Software\Microsoft\Internet
Explorer\Main".


(C) 2004 Norman ASA. All Rights Reserved.
The material presented is distributed by Norman ASA as an information source
only.

Norman Scanner Engine 5.83. 7
Sandbox 05.83, dated 10/10-2005

Your message ID (for later reference): 20051124-741

winvbie.dll : Not detected by sandbox (Signature: NO_VIRUS)
[ General information ]
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO -
REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
* File length: 18944 bytes.


(C) 2004 Norman ASA. All Rights Reserved.
The material presented is distributed by Norman ASA as an information source
only.
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/

#8

Zitat

Xp Antispy tuts auch ?? oder ist es besser es manuell auszuführen ??

manuell ist immer sicherer

hast du alles geloescht??

scanne mit Panda und poste den scanreport
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#9 ähm nöö noch nicht..

hab aber gerade versucht und killbox sagt mir ....

"PendingFileRenameOperations Registry data has been removed by external Process"


[edit]


hmm okay wer lesen kann is klar im vorteil

kay sin gelöscht und mache jetzt dann den panda scan


[edit2]

also ... musste für den schbass erstmal IE wieder rauskramen

aber hab jetzt den log

Incident Status Location

Adware:Adware/VisuaToolBar Not desinfected C:\!KillBox\msiev32.dll
Adware:Adware/VisuaToolBar Not desinfected C:\!KillBox\winvbie.dll
Adware:Adware/VisuaToolBar Not desinfected C:\Dokumente und Einstellungen\Nebu\Eigene Dateien\hijackthis_199\backups\backup-20051123-224712-863.dll
Possible Virus. C:\Programme\JoWooD\SpellForce\Register\hw.DLL
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/

#10 eigentlich muesste nun wieder alles in Ordnung sein
C:\!KillBox\ <---leere den Ordner

C:\Programme\JoWooD (deinstallieren, falls du nicht sicher bist, dass es von serioeser Quelle stammt)
__________
MfG Sabina

rund um die PC-Sicherheit

#11 Ok thanks für deine Hilfe Sabina!

Muss noch öfter hier vorbeischauen hab vor kurzem ein Tool entdeckt, dass 1 GB Temporäre Dateien gelöscht hat
__________
I´m too cool for IE
http://www.w3junkies.com/toocool/