Neues virus? exmodulal.exe

#1 Ich hab ein Problem. es heisst 33exmodulal.exe , 77exmodulal.exe , 5exmodulal.exe usw. Norton Auto-Protect wir ausser Kraft gesetzt. HiJackThis zeigt nichts ungewöhliches an, ebenso S&D.

wie soll ich vorgehen?

danke für eure hilfe im vorraus.

#2 sCrfCe

Lade echo.zip --> enpacken--> klicke echo.bat --> der Texteditor wird sich oeffnen--> Text abkopieren
http://virus-protect.org/bat/echo.zip

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 echo:

10)DPF????
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 7C4E-AAA4

Verzeichnis von C:\WINDOWS\Downloaded Program Files

22.02.2006 13:14 231.072 avsniff.dll
22.02.2006 13:11 878 avsniff.inf
22.02.2006 13:14 198.304 avsniffdlgs.dll
22.02.2006 13:07 537.704 AXXPEE.dll
22.02.2006 13:11 241 CabSA.inf
22.02.2006 01:00 2.390 catalog.dat
14.10.1997 17:52 697 DirectAnimation Java Classes.osd
22.02.2006 01:00 6.899 ecbootil.vxd
22.02.2006 13:07 42.112 ecmldr32.dll
22.02.2006 01:00 288.376 ecmsvr32.dll
03.08.2005 17:33 577 kavwebscan.inf
20.01.2000 14:25 1.162 Microsoft XML Parser for Java.osd
22.02.2006 13:09 6.850 navapi.vxd
22.02.2006 13:09 201.896 navapi32.dll
22.02.2006 01:00 124.584 naveng32.dll
22.02.2006 01:00 788.136 navex32a.dll
22.02.2006 13:14 161.480 rufsi.dll
22.02.2006 01:00 97.072 scrauth.dat
27.08.2005 12:30 5.065 swflash.inf
22.02.2006 01:00 14 symaveng.cat
22.02.2006 01:00 901 symaveng.inf
22.02.2006 01:00 43.448 tcdefs.dat
22.02.2006 01:00 927.699 tcscan7.dat
22.02.2006 01:00 264.108 tcscan8.dat
22.02.2006 01:00 519.170 tcscan9.dat
22.02.2006 01:00 453 tinf.dat
22.02.2006 01:00 148 tinfidx.dat
22.02.2006 01:00 1.957 tinfl.dat
22.02.2006 01:00 48.353 tscan1.dat
22.02.2006 01:00 1.237 tscan1hd.dat
22.02.2006 01:00 5.516 v.grd
22.02.2006 01:00 2.242 v.sig
22.02.2006 01:00 106.244 virscan.inf
22.02.2006 01:00 944.229 virscan1.dat
22.02.2006 01:00 560.980 virscan2.dat
22.02.2006 01:00 145.388 virscan3.dat
22.02.2006 01:00 320.086 virscan4.dat
22.02.2006 01:00 2.138.104 virscan5.dat
22.02.2006 01:00 387.048 virscan6.dat
22.02.2006 01:00 3.219.298 virscan7.dat
22.02.2006 01:00 1.491.742 virscan8.dat
22.02.2006 01:00 3.093.134 virscan9.dat
22.02.2006 01:00 32 virscant.dat
27.02.2006 23:13 2.072 vscanmsx.dat
22.02.2006 01:00 224 zdone.dat
45 Datei(en) 16.919.322 Bytes

Anzahl der angezeigten Dateien:
45 Datei(en) 16.919.322 Bytes
0 Verzeichnis(se), 119.294.750.720 Bytes frei

----------------------------------------------------------

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 7C4E-AAA4

Verzeichnis von C:\WINDOWS\system32

28.02.2006 22:02 40.960 netf.dll
28.02.2006 22:02 43.573 nvapps.xml
24.02.2006 16:06 13.646 wpa.dbl
20.02.2006 10:01 122.928 FNTCACHE.DAT
08.02.2006 06:23 4.513.120 MRT.exe
06.02.2006 15:58 274.486 IS3DBA.dll
06.02.2006 15:57 45.110 IS3VFS.dll
06.02.2006 15:57 340.021 IS3UI.dll
06.02.2006 15:57 49.208 IS3Hooks.dll
06.02.2006 15:56 81.976 IS39XLdr.dll
06.02.2006 15:56 32.768 IS3XData.dll
06.02.2006 15:56 127.032 IS3Win32.dll
06.02.2006 15:56 65.591 IS3Inet.dll
06.02.2006 15:56 65.590 IS3Svc.dll
06.02.2006 15:56 503.863 IS3Base.dll
31.01.2006 14:35 91.904 S32EVNT1.DLL
26.01.2006 19:36 716.800 divxdec.ax
26.01.2006 19:36 574.976 DivX.dll
26.01.2006 19:35 679.936 divx_xx07.dll
26.01.2006 19:35 679.936 divx_xx0c.dll
26.01.2006 19:35 663.552 divx_xx11.dll
24.01.2006 19:08 12.288 DivXWMPExtType.dll
16.01.2006 15:46 34.064 lhacm.acm
15.01.2006 19:14 135 RDDirPrnt.sys
09.01.2006 20:32 86.016 dpl100.dll
09.01.2006 20:32 593.920 dpuGUI11.dll
09.01.2006 20:32 200.704 dtu100.dll
09.01.2006 20:32 339.968 dpus11.dll
09.01.2006 20:32 57.344 dpv11.dll
09.01.2006 20:32 294.912 dpu10.dll
09.01.2006 20:32 294.912 dpu11.dll
04.01.2006 04:35 68.096 webclnt.dll
29.12.2005 03:54 280.064 gdi32.dll
13.12.2005 13:38 7.006 jupdate-1.5.0_06-b05.log



Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 7C4E-AAA4

Verzeichnis von C:\DOKUME~1\Stefan\LOKALE~1\Temp

28.02.2006 22:03 47.104 27exmodulal.exe
28.02.2006 22:02 40.960 netf.dll
28.02.2006 22:02 45.056 tmp1.tmp
3 Datei(en) 133.120 Bytes
0 Verzeichnis(se), 119.298.928.640 Bytes frei


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 7C4E-AAA4

Verzeichnis von C:\WINDOWS

28.02.2006 21:48 159 wiadebug.log
28.02.2006 21:48 50 wiaservc.log
28.02.2006 21:47 0 0.log
28.02.2006 21:47 2.048 bootstat.dat
28.02.2006 21:47 32.604 SchedLgU.Txt
28.02.2006 21:47 1.508.075 WindowsUpdate.log
27.02.2006 22:51 575.243 setupapi.log
27.02.2006 13:21 178.523 setupact.log
22.02.2006 21:00 69 NeroDigital.ini
17.02.2006 15:42 29.899 spupdsvc.log
17.02.2006 14:30 1.374 imsins.log
17.02.2006 14:30 137.689 comsetup.log
17.02.2006 14:30 188.512 tsoc.log
17.02.2006 14:30 83.811 ntdtcsetup.log
17.02.2006 14:30 73.046 iis6.log
17.02.2006 14:30 18.817 ocmsn.log
17.02.2006 14:30 10.720 KB911927.log
17.02.2006 14:30 259.586 ocgen.log
17.02.2006 14:30 24.427 msgsocm.log
17.02.2006 14:30 472.570 FaxSetup.log
17.02.2006 14:30 30.630 updspapi.log
17.02.2006 14:30 1.374 imsins.BAK
17.02.2006 14:30 6.777 KB911564.log
17.02.2006 14:30 32.892 wmsetup.log
17.02.2006 14:30 7.293 KB911565.log
17.02.2006 14:30 9.863 KB901190.log
17.02.2006 14:30 6.702 KB913446.log
12.02.2006 19:16 0 setuperr.log
12.02.2006 15:37 16 wininit.ini
10.02.2006 16:23 86 Setup.log
24.01.2006 22:41 150 MAGIX.INI
24.01.2006 18:45 592 Muma2000deLuxe.INI
24.01.2006 17:15 10.524 mozver.dat
23.01.2006 20:56 107.132 UninstallFirefox.exe
11.01.2006 13:52 2.238 hh.ico
11.01.2006 12:42 10.073 KB908519.log
06.01.2006 17:56 11.023 KB912919.log
16.12.2005 07:14 9.878 KB910437.log
16.12.2005 07:14 16.044 KB905915.log
12.12.2005 12:31 343.792 ntbtlog.txt


lume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 7C4E-AAA4

Verzeichnis von C:\

28.02.2006 22:07 0 sys.txt
28.02.2006 22:06 8.409 system.txt
28.02.2006 22:06 390 systemtemp.txt
28.02.2006 22:05 98.452 system32.txt
28.02.2006 21:59 2.598 DirDPF.txt
28.02.2006 21:59 2 DirDPFCns.txt
28.02.2006 21:47 805.306.368 pagefile.sys
28.02.2006 14:27 45 TEST.XML
31.12.2005 20:39 1.120 INSTALL.LOG
16.11.2005 21:09 284 TO_InstallLog.txt
13.08.2005 22:40 268.270 grutcrs3rscd.rar
23.07.2005 11:05 211 boot.ini
23.07.2005 11:05 211 BOOT.BKK
23.07.2005 11:01 47.564 NTDETECT.COM
23.07.2005 11:01 251.184 ntldr
21.07.2005 01:59 0 MSDOS.SYS
21.07.2005 01:59 0 CONFIG.SYS
21.07.2005 01:59 0 IO.SYS
21.07.2005 01:59 0 AUTOEXEC.BAT
29.08.2002 13:00 4.952 bootfont.bin
24.05.2001 12:59 162.304 UNWISE.EXE
21 Datei(en) 806.152.364 Bytes
0 Verzeichnis(se), 119.298.912.256 Bytes frei


Habe bei http://virusscan.jotti.org/de/ die Datei 27exmodulal.exe gescant die sich noch in meinem Temp-Ordner befindet:


AntiVir - Worm/IRCB.47104.2.A gefunden

BitDefender - Generic.Malware.SMY.35557D3C gefunden (mögliche Variante)

Dr.Web - Trojan.Proxy.702 gefunden

#4 sCrfCe

1.
Hijackthis
http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

2.
KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ............

C:\DOKUME~1\Stefan\LOKALE~1\Temp\27exmodulal.exe
C:\DOKUME~1\Stefan\LOKALE~1\Temp\netf.dll
C:\DOKUME~1\Stefan\LOKALE~1\Temp\tmp1.tmp
C:\WINDOWS\system32\netf.dll

PC neustarten

3.
nach dem Neustart suche: C:\!KillBox
und loesche alle dort befindlichen Dateien manuell

4.
scanne mit Kaspersky und poste den scanreport
http://virus-protect.org/onlinescan.html

---------------------------------------------------------------------------
Info:
http://virus-protect.org/artikel/dienste/nvsvcd.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 habe die dateien mit KillBox gelöscht sind aber wieder da...


Logfile of HijackThis v1.99.1
Scan saved at 17:41:28, on 01.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Gemeinsame Dateien\STOPzilla!\SZServer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\STOPzilla!\STOPzilla.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trillian\trillian.exe
C:\Programme\WinAce\WinAce.exe
C:\DOKUME~1\Stefan\LOKALE~1\Temp\~AceTemp\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = 192.168.0.1
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: STOPzilla Browser Helper Object - {E3215F20-3212-11D6-9F8B-00D0B743919D} - C:\Programme\STOPzilla!\SZIEBHO.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [STOPzilla] C:\Programme\STOPzilla!\STOPzilla.exe /autostart
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: STOPzilla Service (szserver) - Unknown owner - C:\Programme\Gemeinsame Dateien\STOPzilla!\SZServer.exe
O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe (file missing)




-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Wednesday, March 01, 2006 7:08:39 PM
Operating System: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version: 5.0.78.0
Kaspersky Anti-Virus database last update: 1/03/2006
Kaspersky Anti-Virus database records: 168574
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 86614
Number of viruses found: 13
Number of infected objects: 45
Number of suspicious objects: 0
Duration of the scan process: 01:04:30

Infected Object Name / Virus Name / Last Action
C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\netf.dll Infected: HackTool.Win32.Hidd.p skipped
C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\tmp1.tmp Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\107D323D Infected: Trojan.Java.ClassLoader.h skipped
C:\Programme\Norton AntiVirus\Quarantine\11E84D8A.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\166B03B8.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\22A55854.exe Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\232113CB.exe Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\235C078B Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\2E0001B8 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\2E032BB4 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\2E414970 Infected: Trojan-Downloader.Java.OpenStream.c skipped
C:\Programme\Norton AntiVirus\Quarantine\2E7403E3.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\2F182CB3 Infected: Trojan-Downloader.Java.OpenConnection.ah skipped
C:\Programme\Norton AntiVirus\Quarantine\50BF5A94 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\514817CD.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\54C9157A Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\576E7084.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\582B73B4.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\62A1384A Infected: Trojan-Downloader.Java.OpenConnection.ah skipped
C:\Programme\Norton AntiVirus\Quarantine\663744C6 Infected: Trojan.Java.ClassLoader.d skipped
C:\Programme\Norton AntiVirus\Quarantine\7AC44B01.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP168\A0028659.exe Infected: Trojan-Downloader.Win32.Zlob.cq skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP169\A0028873.dll Infected: not-virus:Hoax.Win32.Renos.ag skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP171\A0029048.exe Infected: Trojan-Downloader.Win32.Zlob.cq skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP187\A0031780.exe Infected: Trojan-Downloader.Win32.IstBar.ij skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0038761.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0038772.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0039772.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0039998.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0040029.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041028.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041051.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041110.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041128.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041152.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041196.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0041218.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0042218.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0042235.dll Infected: HackTool.Win32.Hidd.p skipped
C:\System Volume Information\_restore{5EEB63B8-F134-4646-93E4-816902CA9E85}\RP228\A0042241.dll Infected: HackTool.Win32.Hidd.p skipped
C:\WINDOWS\system\smss.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\WINDOWS\system32\netf.dll Infected: HackTool.Win32.Hidd.p skipped

Scan process completed.

#6 sCrfCe

Backdoor.Win32.IRCBot.nw
http://virus-protect.org/artikel/dienste/nvsvcd.html

Versteckte- und Systemdateien sichtbar machen
http://virus-protect.org/invisible.html

0.
Start-->Ausfuehren--> regedit

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_LOG\0000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows Log
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_WINDOWS_LOG\0000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Windows Log
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINDOWS_LOG\0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Log

Sollte man Probleme haben, die Einträge zu löschen,
Legacy_ .....kann nicht gelöscht werden. Fehler beim Löschen des Schlüssels,
dann gehe mit Rechtsklick im Kontextmenü auf: "Berechtigungen" Setze das Häkchen bei "Vollzugriff zulassen"
Übernehmen, OK
Danach sollte(n) sich der(die) betreffenden Schlüssel löschen lassen.

-------------------------------------------------------------------------------------------------------------

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe (file missing)

PC neustarten

1.
loesche manuell oder mit der Killbox:

C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\netf.dll
C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\tmp1.tmp

C:\Temp\data.exe
C:\Temp\modul.exe
und alle anderen exe unter --> C:\Temp\

C:\WINDOWS\system\smss.exe
C:\WINDOWS\system32\netf.dll

2.
Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.

3.
ServiceFilter.zip
http://virus-protect.org/artikel/tools/ServiceFilter.zip

- entzippen
- doppelklick auf die datei ServiceFilter.vbs
- versions-nummer bestätigen
- scannen
- öffnen von wordpad oder editor erlauben
- POST_THIS.TXT abkopieren

4.
dann scanne noch mal mit Kaspersky
__________
MfG Sabina

rund um die PC-Sicherheit

#7 The script did not recognize the services listed below.
This does not mean that they are a problem.

To copy the entire contents of this document for posting:
At the top of this window click "Edit" then "Select All"
Next click "Edit" again then "Copy"
Now right click in the forum post box then click "Paste"

########################################

ServiceFilter 1.1
by rand1038

Microsoft Windows XP Home Edition
Version: 5.1.2600 Service Pack 2
Mrz 4, 2006 16:40:36


===> Begin Service Listing <===

Unknown Service #1
Service Name: ccEvtMgr
Display Name: Symantec Event Manager
Start Mode: Auto
Start Name: LocalSystem
Description: Symantec Event ...
Service Type: Own Process
Path: "c:\programme\gemeinsame dateien\symantec shared\ccevtmgr.exe"
State: Running
Process ID: 1664
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #2
Service Name: ccPwdSvc
Display Name: Symantec Password Validation Service
Start Mode: Manual
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\gemeinsame dateien\symantec shared\ccpwdsvc.exe"
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #3
Service Name: navapsvc
Display Name: Norton AntiVirus Auto-Protect-Dienst
Start Mode: Manual
Start Name: LocalSystem
Description: Verarbeitet Norton AntiVirus ...
Service Type: Own Process
Path: c:\programme\norton antivirus\navapsvc.exe
State: Running
Process ID: 2056
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #4
Service Name: SBService
Display Name: ScriptBlocking Service
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\progra~1\gemein~1\symant~1\script~1\sbserv.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #5
Service Name: SNDSrvc
Display Name: Symantec Network Drivers Service
Start Mode: Manual
Start Name: LocalSystem
Description: Symantec Network Drivers ...
Service Type: Own Process
Path: "c:\programme\gemeinsame dateien\symantec shared\sndsrvc.exe"
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #6
Service Name: StyleXPService
Display Name: StyleXPService
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\tgtsoft\stylexp\stylexpservice.exe"
State: Running
Process ID: 1080
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #7
Service Name: SwPrv
Display Name: MS Software Shadow Copy Provider
Start Mode: Manual
Start Name: LocalSystem
Description: Verwaltet Software-basierte Schattenkopien des Volumeschattenkopie-Dienstes. Software-basierte ...
Service Type: Own Process
Path: c:\windows\system32\dllhost.exe /processid:{de0082e1-530a-4166-8b50-2188fe632da1}
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #8
Service Name: SymWSC
Display Name: SymWMI Service
Start Mode: Auto
Start Name: LocalSystem
Description: Symantec WMI ...
Service Type: Own Process
Path: "c:\programme\gemeinsame dateien\symantec shared\security center\symwsc.exe"
State: Running
Process ID: 1004
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service # 9
Service Name: szserver
Display Name: STOPzilla Service
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\programme\gemeinsame dateien\stopzilla!\szserver.exe
State: Running
Process ID: 1100
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

---> End Service Listing <---

There are 87 Win32 services on this machine.
9 were unrecognized.

Script Execution Time: 51,6875 seconds.

#8 die Dienste sind o.k.

1.
Cleanup im abgesicherten Modus anwenden
http://virus-protect.org/cleanup.html

2.
C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temp\ <--- leeren
C:\Dokumente und Einstellungen\Stefan\Lokale Einstellungen\Temporary Internet Files\Content.IE5 [loesche nicht die index.dat)

3.
Nun scanne noch mal mit kaspersky und berichte, ob nun alles sauber ist.
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Kaspersky

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 76824
Number of viruses found: 10
Number of infected objects: 23
Number of suspicious objects: 0
Duration of the scan process: 01:01:51

Infected Object Name / Virus Name / Last Action
C:\!KillBox\netf.dll Infected: HackTool.Win32.Hidd.p skipped
C:\Programme\Norton AntiVirus\Quarantine\107D323D Infected: Trojan.Java.ClassLoader.h skipped
C:\Programme\Norton AntiVirus\Quarantine\11E84D8A.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\166B03B8.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\22A55854.exe Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\232113CB.exe Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\235C078B Infected: HackTool.Win32.DarkICQ skipped
C:\Programme\Norton AntiVirus\Quarantine\299A0CE3.exe Infected: Trojan-Proxy.Win32.Horst.s skipped
C:\Programme\Norton AntiVirus\Quarantine\2E0001B8 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\2E032BB4 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\2E414970 Infected: Trojan-Downloader.Java.OpenStream.c skipped
C:\Programme\Norton AntiVirus\Quarantine\2E7403E3.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\2F182CB3 Infected: Trojan-Downloader.Java.OpenConnection.ah skipped
C:\Programme\Norton AntiVirus\Quarantine\4E43491E.exe Infected: Trojan-Proxy.Win32.Horst.s skipped
C:\Programme\Norton AntiVirus\Quarantine\50BF5A94 Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\514817CD.exe Infected: Backdoor.Win32.IRCBot.nw skipped
C:\Programme\Norton AntiVirus\Quarantine\54C9157A Infected: Trojan.Java.ClassLoader.ak skipped
C:\Programme\Norton AntiVirus\Quarantine\576E7084.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\582B73B4.htm Infected: Trojan-Dropper.VBS.Inor.cz skipped
C:\Programme\Norton AntiVirus\Quarantine\62A1384A Infected: Trojan-Downloader.Java.OpenConnection.ah skipped
C:\Programme\Norton AntiVirus\Quarantine\663744C6 Infected: Trojan.Java.ClassLoader.d skipped
C:\Programme\Norton AntiVirus\Quarantine\726A34C3.exe Infected: Trojan-Proxy.Win32.Horst.s skipped
C:\Programme\Norton AntiVirus\Quarantine\7AC44B01.exe Infected: Backdoor.Win32.IRCBot.nw skipped

Scan process completed.



C:\!KillBox\netf.dll (Infected: HackTool.Win32.Hidd.p) hab ich manuell gelöscht

#10 nun versuche noch die Quarantaene vom norton ins nirvana zu schicken,,, oder loesche alle mit der Killbox.
Dann muesste wieder alles o.k. sein
__________
MfG Sabina

rund um die PC-Sicherheit

#11 alles klar. danke für die hilfe