2 Pop Ups rechts unten ( roter Kreis + Kreuz ) Hijackthis inside ...

#1 Also ersteinmal super Forum hier aber nun zu meinem Problem hab seit 3 Tagen wo ich einmal ausversehen kurz ohne Firewall online war 2 solche Roten Blobs mit weißem Kreuz rechts unten die sagen ,, Your Computer is infected ,, ich hab absolut keine Ahnung was das ist und bin über google in eben diesem Forum gelandet durch andere Threads hab ich gesehen dass eine Hijackthis log file hilfreich ist ...
Vielleicht könnt ihr mir ja helfen und wenn ja danke im vorraus

Logfile of HijackThis v1.99.1
Scan saved at 14:34:17, on 25.01.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Sony\Shared Plug-Ins\Media Manager\MSSQL$SONY_MEDIAMGR\Binn\sqlservr.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\svcshost.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\WINDOWS\System32\links.exe
C:\winstall.exe
C:\ntnc.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Teamspeak2_RC2\TeamSpeak.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Andreas\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://dustdance.de/jf/index.php
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Microsoft Windows Update] svcshost.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [links] links.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svcshost.exe
O4 - HKLM\..\RunOnce: [Microsoft Windows Update] svcshost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] svcshost.exe
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [pro] c:\ntnc.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svcshost.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar3.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar3.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar3.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar3.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar3.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cab
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104241453343
O17 - HKLM\System\CCS\Services\Tcpip\..\{F378130F-A44C-499C-BBBB-852429E7B36B}: NameServer = 212.6.108.140 212.6.108.141
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

#2 Meno

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 also ich hoffe ich hab alles richtig gemacht:

clean up lief durch hat fast 2,6 gb frei gemacht XD

und hier mal die texte mit jeweils den letzten 3 monaten

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 300B-2C8E

Verzeichnis von C:\WINDOWS\system32

25.01.2006 22:24 21.961 nvapps.xml
25.01.2006 14:09 31.769 vsconfig.xml
22.01.2006 21:19 13.674 wpa.dbl
27.12.2005 15:03 5.675 links.exe
12.11.2005 22:49 398.180 perfh009.dat
12.11.2005 22:49 71.264 perfc007.dat
12.11.2005 22:49 60.448 perfc009.dat
12.11.2005 22:49 408.830 perfh007.dat
12.11.2005 22:49 899.052 PerfStringBackup.INI
06.11.2005 09:31 4.212 zllictbl.dat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 300B-2C8E

Verzeichnis von C:\DOKUME~1\Andreas\LOKALE~1\Temp

25.01.2006 22:25 16.384 ~DF67CD.tmp
25.01.2006 22:25 16.384 ~DF6130.tmp
25.01.2006 22:25 512 ~DF6148.tmp
25.01.2006 22:24 204 jusched.log
25.01.2006 22:22 2.048.000 Acr18A.tmp
5 Datei(en) 2.081.484 Bytes
0 Verzeichnis(se), 4.093.050.880 Bytes frei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 300B-2C8E

Verzeichnis von C:\WINDOWS

25.01.2006 14:09 0 0.log
25.01.2006 14:09 2.048 bootstat.dat
24.01.2006 23:04 32.580 SchedLgU.Txt
24.01.2006 15:29 50 wiaservc.log
24.01.2006 15:29 216 wiadebug.log
24.01.2006 15:20 49 NeroDigital.ini
19.01.2006 22:34 192 winamp.ini
07.01.2006 14:28 800.437 setupapi.log
04.01.2006 13:07 67.019 wmsetup.log
24.12.2005 11:58 755 MIR.INI
13.12.2005 21:16 0 nsreg.dat
13.12.2005 21:15 107.132 UninstallFirefox.exe
13.12.2005 21:15 2.258 mozver.dat
12.11.2005 22:49 3.723 dahotfix.log
12.11.2005 22:49 19.453 dasetup.log
12.11.2005 22:48 4.161 ODBCINST.INI
12.11.2005 22:46 477 ODBC.INI
12.11.2005 10:17 1.452 COM+.log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 300B-2C8E

Verzeichnis von C:\

25.01.2006 22:30 0 sys.txt
25.01.2006 22:30 6.584 system.txt
25.01.2006 22:27 489 systemtemp.txt
25.01.2006 22:26 98.002 system32.txt
25.01.2006 14:09 805.306.368 pagefile.sys
24.01.2006 16:19 28.160 ntnc.exe
24.01.2006 16:19 28.160 winstall.exe
27.12.2005 15:03 5.675 avr.exe

das dürfte es sein ....

ps: habe währendessen auch andere sachen wie antivir usw nochmal durchlaufen lassen habe auch viele so genannte backdoorprogramme gefunden auch viele in datein wie svhost svchost svshost usw und freunde sagen alle dass die dateien wichtig sind und ich weiß halt nicht ob ich irgendwie die viren ,,rausfiltern,, kann ohne gleich neuinstallieren zu müssen :/

#4 Meno

w32forbotcf
http://www.sophos.de/virusinfo/analyses/w32forbotcf.html

Gehe in die Registry
Start--> Ausfuehren--> regedit --> bearbeiten--> suchen --> svcshost.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft Windows Update = "svcshost.exe" <--loeschen

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Microsoft Windows Update = "svcshost.exe"<--loeschen

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Microsoft Windows Update = "svcshost.exe"<--loeschen

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft Windows Update = "svcshost.exe"<--loeschen

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Microsoft Windows Update = "svcshost.exe"<--loeschen

------------------------------------------------------------------------------

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked"

O4 - HKLM\..\Run: [Microsoft Windows Update] svcshost.exe
O4 - HKLM\..\Run: [links] links.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svcshost.exe
O4 - HKLM\..\RunOnce: [Microsoft Windows Update] svcshost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] svcshost.exe
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [pro] c:\ntnc.exe
O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svcshost.exe


KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"

reinkopieren:

C:\winstall.exe
c:\ntnc.exe
C:\avr.exe
C:\WINDOWS\system32\links.exe
C:\WINDOWS\System32\svcshost.exe

PC neustarten

http://virus-protect.org/multiavtool.html
klicke "3" - McAfee -- es erscheint ein leeres DOS-Fenster.
- man muss eingeben, was gescannt werden soll
- C:\Windows\System32 dann beginnt der Scan, man sollte dann auch scannen lassen:
- C:\Windows
- C:\

klicke "6 --> der PC wird neustarten --> suche die 3 Scanreporte in C:\AV-CLS und kopiere sie hier.

PC neustarten

Download Registry Search by Bobbi Flekman
http://www.bleepingcomputer.com/files/regsearch.php
und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

Microsoft Update

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.
__________
MfG Sabina

rund um die PC-Sicherheit