TR/Spy.Agent.HN - wie entfernen??

#1 Hallo,

Vielleicht kann mir ja jemand von euch helfen, ich kenn mich ziemlich wenig aus...
Also, AntiVir findet bei mir einen Virus namens TR/Spy.Agent.HN in C:\WINNT\system32\rqomj.dll, kann es aber nicht löschen, auch nach einem Neustart nicht. Das gleiche bei Spybot Search & Destroy. Dann habe ich noch eine ziemlich große Testversion von Kaspersky runtergeladen, die geht aber nicht ohne Registrierungsschlüssel...
Ich habe es auch mit HijackThis versucht, aber irgendwie hat das auch nicht geklappt... ich weiß auch noch nicht so ganz was was eine log-Datei ist und was fixen ist... ich hab es versucht ist aber nichts passiert. Und jetzt ist HijackThis plötzlich weg, aber ich kann es nicht neu installieren weil es angeblich noch in dem Order ist! Was soll das nun wieder??
Wie werd ich das los??
Ich würd mich echt freuen wenn mir jemand helfen kann!!

Liebe Grüße oceana

#2 oceana

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

Hijackthis
http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo,
Danke für die Hilfe... bin ganz verzweifelt...
So, ich hoffe ich hab das alles so richtig gemacht!
Hier die Daten von CleanUp:

system32.txt :
Datentr„ger in Laufwerk D: ist DATEN
Datentr„gernummer: 5437-1B83

Verzeichnis von D:\

06.02.2006 13:27 209.715.200 pagefile.sys
29.05.2005 21:49 21.631 hut1.ico
29.05.2005 21:48 21.631 flower3.ico
29.05.2005 21:45 21.631 palm2.ico
16.02.2005 17:22 196 ICQLite.log
16.05.2003 15:32 25 Neu Textdatei.txt
07.03.2003 13:14 5.017 Unternehmenskonzept.msg
7 Datei(en) 209.785.331 Bytes
0 Verzeichnis(se), 151.171.072 Bytes frei


systemtemp.txt :
Datentr„ger in Laufwerk D: ist DATEN
Datentr„gernummer: 5437-1B83

Verzeichnis von D:\

06.02.2006 13:27 209.715.200 pagefile.sys
29.05.2005 21:49 21.631 hut1.ico
29.05.2005 21:48 21.631 flower3.ico
29.05.2005 21:45 21.631 palm2.ico
16.02.2005 17:22 196 ICQLite.log
16.05.2003 15:32 25 Neu Textdatei.txt
07.03.2003 13:14 5.017 Unternehmenskonzept.msg
7 Datei(en) 209.785.331 Bytes
0 Verzeichnis(se), 151.166.976 Bytes frei


system.txt :
Datentr„ger in Laufwerk D: ist DATEN
Datentr„gernummer: 5437-1B83

Verzeichnis von D:\

06.02.2006 13:27 209.715.200 pagefile.sys
29.05.2005 21:49 21.631 hut1.ico
29.05.2005 21:48 21.631 flower3.ico
29.05.2005 21:45 21.631 palm2.ico
16.02.2005 17:22 196 ICQLite.log
16.05.2003 15:32 25 Neu Textdatei.txt
07.03.2003 13:14 5.017 Unternehmenskonzept.msg
7 Datei(en) 209.785.331 Bytes
0 Verzeichnis(se), 151.162.880 Bytes frei


sys.txt :
Datentr„ger in Laufwerk D: ist DATEN
Datentr„gernummer: 5437-1B83

Verzeichnis von D:\

06.02.2006 13:27 209.715.200 pagefile.sys
29.05.2005 21:49 21.631 hut1.ico
29.05.2005 21:48 21.631 flower3.ico
29.05.2005 21:45 21.631 palm2.ico
16.02.2005 17:22 196 ICQLite.log
16.05.2003 15:32 25 Neu Textdatei.txt
07.03.2003 13:14 5.017 Unternehmenskonzept.msg
7 Datei(en) 209.785.331 Bytes
0 Verzeichnis(se), 151.158.784 Bytes frei


hijackthis.log :
Logfile of HijackThis v1.99.1
Scan saved at 20:02:59, on 06.02.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\LEXBCES.EXE
C:\WINNT\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\wuauclt.exe
C:\Programme\ArcorOnline\Arcor.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINNT\explorer.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\rqomj.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINNT\system32\ljjji.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Programme\Gemeinsame Dateien\Logitech\QCDriver\LVCOMS.EXE
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [eBayToolbar] C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
O4 - HKLM\..\Run: [LXSUPMON] C:\WINNT\system32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [Services] C:\WINNT\system32\rayrn.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] D:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [ntdll.dll] C:\WINNT\system32\rayrn.exe
O4 - HKLM\..\Run: [Network] C:\Programme\Network\network.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunOnce: [SpybotSnD] "D:\Programme\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [IncrediMail] D:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [services32] C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000133.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - D:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &eBay Search - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\DOKUME~1\ADMINI~1\EIGENE~1\ICQPRO~1\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\DOKUME~1\ADMINI~1\EIGENE~1\ICQPRO~1\ICQ.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQ5\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQ5\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - h**p://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - h**p://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - h**p://software-dl.real.com/2982a5053386a4a67421/netzip/RdxIE601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123501542138
O16 - DPF: {DC187740-46A9-11D5-A815-00B0D0428C0C} - h**p//www.wella.de/consumer/consumer_products/viva/farbberatungv/viva2/setup.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - h**p://www2.incredimail.com/contents/setup/downloader/imloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{86A5876F-492E-4092-968B-89650B966803}: NameServer = 195.50.140.114 195.50.140.252
O17 - HKLM\System\CCS\Services\Tcpip\..\{A5DEED64-35EF-43AA-B7EB-AE63A67A2BE1}: NameServer = 192.168.0.1
O20 - Winlogon Notify: ljjji - C:\WINNT\system32\ljjji.dll
O20 - Winlogon Notify: rqomj - C:\WINNT\SYSTEM32\rqomj.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINNT\system32\LEXBCES.EXE
O23 - Service: Local Security Authority Subsystem Service (lsass) - Unknown owner - C:\WINNT\lsass.exe (file missing)
O23 - Service: Microsoft SSL (ssl) - Unknown owner - C:\WINNT\system32\ssl.exe (file missing)
O23 - Service: TASKESV (TESV) - Unknown owner - C:\WINNT\taskcntr.exe (file missing)

#4 Hi oceana,

Du hast viermal die gleiche Datei gepostet!
Schaue mal im Hauptverzeichnis (D:\) nach. Dort befinden sich vier Textdateien: system32.txt, systemtemp.txt, system.txt und sys.txt
Die öffnest Du nacheinander mit Notepad und markierst jeweils diejenigen Dateien der letzen 3 Monate (Dateien sind absteigend nach Datum sortiert), kopierst sie mit Strg+C und fügst sie hier in den Thread ein mit Strg+V

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#5 Oh! Das waren aber die vier Textdateien, alle nacheinander kopiert.
Heißt das, die sind alle die gleichen?? Was hab ich nun schon wieder falsch gemacht?

#6 Dein System ist auf C: installiert. Du hast die datfind.bat von D: aus gestartet.

Du musst die datfind.bat nach C:\ kopieren und dann von dort aus starten! Dann klappt es und Du findest die Textdateien im Hauptverzeichnis von C:

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#7 Ojeoje, danke... jetzt hat es geklappt!

Hier also die Dateien, nur die letzten drei Monate:

sys.text :

Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Datentr„gernummer: CC00-821C

Verzeichnis von C:\

06.02.2006 22:58 0 sys.txt
06.02.2006 22:58 10.878 system.txt
06.02.2006 22:58 876 systemtemp.txt
06.02.2006 22:55 90.841 system32.txt
04.02.2006 23:48 137 cedar.log
23.01.2006 15:36 429 datFind.bat
27.06.2005 11:57 8.030 CDexAutoDetect.txt
20.06.2005 23:27 1.159 INSTALL.LOG


system.txt :

Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Datentr„gernummer: CC00-821C

Verzeichnis von C:\WINNT

06.02.2006 22:30 732.800 WindowsUpdate.log
06.02.2006 21:08 32.638 SchedLgU.Txt
06.02.2006 21:07 684.792 ShellIconCache
06.02.2006 19:38 4.177 KB893803v2.log
06.02.2006 19:38 2.449 KB893803v2Uninst.log
06.02.2006 19:38 1.083 updspapi.log
06.02.2006 19:37 14.833 KB842773.log
06.02.2006 19:37 951 KB842773Uninst.log
06.02.2006 19:37 616.258 setupapi.log
06.02.2006 01:14 1.575 KB905915-IE6SP1-20051122.175908.log
05.02.2006 23:31 95 winamp.ini
05.02.2006 16:52 33.160 ntbtlog.txt
05.02.2006 16:40 129 wininit.ini
18.01.2006 17:27 2.029 IE4 Error Log.txt
29.11.2005 12:43 0 nokiacontentcopier.INI


system32.txt :

Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Datentr„gernummer: CC00-821C

Verzeichnis von C:\WINNT\system32

06.02.2006 22:55 436.052 ijjjl.ini
06.02.2006 20:38 147.956 rayrn.rar
05.02.2006 23:39 2.550 Uninstall.ico
05.02.2006 23:39 1.406 Help.ico
05.02.2006 23:39 30.590 pavas.ico
05.02.2006 16:42 0 atmtd.dll.tmp
01.02.2006 16:19 0 mcrh.tmp
29.01.2006 18:48 22.548 qbvaqggp.dll
29.01.2006 18:48 427.709 ijjjl.bak2
26.01.2006 01:50 400.802 ijjjl.ini2
18.01.2006 13:05 57.344 avsda.dll
18.12.2005 02:14 0 wvwvs.dll
18.12.2005 01:19 0 xxyya.dll
29.11.2005 12:12 152.576 pjuhw.exe
29.11.2005 10:06 152.576 ktxbu.exe
28.11.2005 14:38 152.576 rcnvzjm.exe
28.11.2005 13:04 152.576 jatcngr.exe
28.11.2005 13:02 152.576 uxqli.exe
28.11.2005 12:58 152.576 bfry.exe
28.11.2005 11:47 152.576 owkbw.exe
28.11.2005 11:12 152.576 uaxcno.exe
27.11.2005 23:07 152.576 iyrom.exe
27.11.2005 22:43 152.576 khuqifsz.exe
27.11.2005 21:39 152.576 rayrn.exe
13.11.2005 20:58 27.149 rqomj.dll
10.11.2005 16:10 271.599 ijjjl.bak1
10.11.2005 16:09 544.788 ljjji.dll


systemtemp.txt :

Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Datentr„gernummer: CC00-821C

Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp

06.02.2006 22:30 16.384 ~DF70AF.tmp
06.02.2006 20:09 81.920 ~DFBCF1.tmp
06.02.2006 19:47 81.920 ~DF8D6E.tmp
06.02.2006 19:46 16.384 ~DF4FBC.tmp
06.02.2006 19:18 81.920 ~DF143F.tmp
06.02.2006 19:16 16.384 ~DF94EA.tmp
06.02.2006 17:08 81.920 ~DFBD24.tmp
06.02.2006 11:39 81.920 ~DF5659.tmp
06.02.2006 01:15 0 11CC007.dmp
06.02.2006 01:02 81.920 ~DF72CA.tmp
05.02.2006 22:50 81.920 ~DFB952.tmp
05.02.2006 22:24 16.384 ~DFD064.tmp
12 Datei(en) 638.976 Bytes
0 Verzeichnis(se), 43.239.424 Bytes frei

#8 oceana

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\rqomj.dll
O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINNT\system32\ljjji.dll
O4 - HKLM\..\Run: [Services] C:\WINNT\system32\rayrn.exe
O4 - HKLM\..\Run: [ntdll.dll] C:\WINNT\system32\rayrn.exe
O4 - HKCU\..\Run: [services32] C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000133.exe

O20 - Winlogon Notify: ljjji - C:\WINNT\system32\ljjji.dll
O20 - Winlogon Notify: rqomj - C:\WINNT\SYSTEM32\rqomj.dll

arbeite das ab:--> kopiere dann den scanreport ab
http://virus-protect.org/artikel/tools/vundofixx.html

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren:

C:\WINNT\IE4 Error Log.txt
C:\WINNT\system32\Uninstall.ico
C:\WINNT\system32\Help.ico
C:\WINNT\system32\pavas.ico
C:\WINNT\system32\atmtd.dll.tmp
C:\WINNT\system32\mcrh.tmp
C:\WINNT\system32\qbvaqggp.dll
C:\WINNT\system32\rqomj.dll
C:\WINNT\system32\wvwvs.dll
C:\WINNT\system32\xxyya.dll
C:\WINNT\system32\pjuhw.exe
C:\WINNT\system32\ktxbu.exe
C:\WINNT\system32\rcnvzjm.exe
C:\WINNT\system32\jatcngr.exe
C:\WINNT\system32\uxqli.exe
C:\WINNT\system32\bfry.exe
C:\WINNT\system32\owkbw.exe
C:\WINNT\system32\uaxcno.exe
C:\WINNT\system32\iyrom.exe
C:\WINNT\system32\khuqifsz.exe
C:\WINNT\system32\rqomj.dll
C:\WINNT\system32\rayrn.exe

PC neustarten

nach dem Neustart suche: C:\!KillBox
und loesche alle dort befindlichen Dateien manuell

-------------------------------------------------------------
1.
ich moechte die 4 Logs von datfindbat noch einmal sehen...bis August !!! (vom Datum her)

2.
Kopiere folgenden Text in den Editor (Start ==> Ausführen ==> "notepad") ==> Speichern unter ==> Gib als Dateityp "Alle Dateien" an und als Namen: gemdatfind.bat speichern ==> Doppenklick auf die Datei ==> Es öffnet sich ein Editor ==> Kopier den gesamten Inhalt

cd\
cd c:\programme\gemein~1\
dir /a:-d /o:-d > %systemdrive%\systemtemp.txt
start %systemdrive%\systemtemp.txt
__________
MfG Sabina

rund um die PC-Sicherheit