Home » Viren, Trojaner & Malware Forum » backdoor win 32 ciadoor 13 wie bekomme ich den komplett wieder los ? » Themenansicht

backdoor win 32 ciadoor 13 wie bekomme ich den komplett wieder los ?
#0
13.06.2006, 19:23
jörg 71
Member

Themenstarter

Beiträge: 61
#91 hy sabina

habe ein anliegen und zwar habe ich geswtern mit diesem progg HP USB Disk Storage Format Tool ausversehen meine externe platte fats formatiert wollte eigentlich nur den cardreader formatieren habe aber vergessen den reiter auf diesen laufwerkbuchstaben zu setzen als ich die funktion ausführte liefen keine anzeige balken mit aber die laufwerksbuchstaben waren weg kann ich dies wieder rückgängig machen z.b systemwiederherstellung etc. ?????

danke dir für jede info

gruss jörg
Seitenanfang Seitenende
13.06.2006, 19:44
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#92 jörg 71

mit diesem Problem musst du dich hierhin wenden:
http://board.protecus.de/f5.htm
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
14.06.2006, 06:53
jörg 71
Member

Themenstarter

Beiträge: 61
#93 hy sabina

kurz nochmal wie hies das recovery tool das du mir mal empfohlen hast ??

gruss jörg
Seitenanfang Seitenende
14.06.2006, 12:15
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#94 oh je.. ich erinnere mich nicht, schaue doch mal einfach in deinen Thread, da muss es ja irgendwo stehen ;)
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
12.12.2006, 09:25
mrmax
Member

Beiträge: 13
#95 Hallo,
Habe auch den Trojaner.
Vielen Dank schon mal für Hilfe...
Hier meine Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 09:22:44, on 12.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ZoneAlarm\zlclient.exe
C:\Programme\a-TimeSync\TimeSync.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programme\internet explorer\iexplore.exe
C:\WINDOWS\System32\GEARSec.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe
C:\Programme\ASUS\SmartDoctor\SmartDoctor.exe
E:\Stuff\fernbedienung\Girder.exe
C:\Programme\Hotmail Popper\hotpop.exe
C:\Programme\Rainlendar\Rainlendar.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\DOKUME~1\DannyBoy\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Atomic Time Synchronizer] "C:\Programme\a-TimeSync\TimeSync.exe" /auto
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [EPSON Stylus D68 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE /P23 "EPSON Stylus D68 Series" /O6 "USB001" /M "Stylus D68"
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [kav] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\RunServices: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Hotmail Popper.lnk = C:\Programme\Hotmail Popper\hotpop.exe
O4 - Startup: Rainlendar.lnk = C:\Programme\Rainlendar\Rainlendar.exe
O4 - Global Startup: ASUS Smartdoctor.lnk = C:\Programme\ASUS\SmartDoctor\SmartDoctor.exe
O4 - Global Startup: Verknüpfung mit Girder.exe.lnk = E:\Stuff\fernbedienung\Girder.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1132676086687
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1163090365112
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: V2i Protector - PowerQuest Corporation - C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
Seitenanfang Seitenende
12.12.2006, 12:30
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#96 mrmax

««
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein

Zitat

Registry values to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices|Generic Host Process
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\Run|Generic Host Process
HKLM\software\microsoft\windows\currentversion\run|Generic Host Process

Files to delete:
C:\WINDOWS\system32\wsock32.sys
C:\WINDOWS\system32\ckl009.dat
C:\WINDOWS\system32\scvhost.exe
Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten


öffne das HijackThis -- Button "scan" -- vor diese Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

Zitat

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe

O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
pc neustarten

««
Start - Ausführen - regedit

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)
DisableRegistryTools = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)


HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)

Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn.

PC neustarten

««
Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
12.12.2006, 13:24
mrmax
Member

Beiträge: 13
#97 Hallo, danke für die schnelle Hilfe.

Start- Ausführen- regedit

funktioniert nicht, wurde durch den Administrator deaktiviert.
Ich starte im abgsicherten Modus, weiss jedoch nicht das Kennwort für den Administrator. Ich glaube ich habe damals keins gemacht.
Weisst Du eine Lösung?
Seitenanfang Seitenende
12.12.2006, 13:28
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#98 öffne das HijackThis -- Button "scan" -- vor diese Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

Zitat

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe

O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
dann solltest du nach neustart auch wieder in die registry kommen ;)
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
12.12.2006, 13:41
mrmax
Member

Beiträge: 13
#99 Habe ich gemacht, in die registry komme ich trotzdem nicht...
----edit----
Habs gerade noch mal gemacht und komme ohne neustart in die registry, also so weit erst mal danke
---edit---

Hallo, nach einem Neustart sind die Änderungen die mit Hijackthis gemacht wurden wieder zurückgesetzt.

HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
kann ich nicht finden Windows\System

datfinder lässt sich nicht ausführen... ...vom administrator gesperrt
Dieser Beitrag wurde am 12.12.2006 um 14:01 Uhr von mrmax editiert.
Seitenanfang Seitenende
12.12.2006, 15:55
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#100 scanne und poste den scanreport
http://virus-protect.org/counterspy.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
12.12.2006, 17:23
mrmax
Member

Beiträge: 13
#101 Hallo,

Spyware Scan Details
Start Date: 12.12.2006 16:19:48
End Date: 12.12.2006 17:06:43
Total Time: 46 mins 55 secs

Detected spyware

Backdoor.Ciadoor Backdoor more information...
Status: Deleted

Infected files detected
c:\windows\system32\wsock32.sys

Infected registry entries detected
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}\InprocServer32 C:\WINDOWS\system32\wsock32.sys
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}\InprocServer32 ThreadingModel Apartment
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}\ProgID N.Cs4
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}\TypeLib {C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}\VERSION 3.0
HKEY_CLASSES_ROOT\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C} N.Cs4
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}\ProxyStubClsid {00020424-0000-0000-C000-000000000046}
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}\ProxyStubClsid32 {00020424-0000-0000-C000-000000000046}
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}\TypeLib {C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}\TypeLib Version 3.0
HKEY_CLASSES_ROOT\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39} Cs4
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\0\win32 C:\WINDOWS\system32\wsock32.sys
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\FLAGS 0
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\HELPDIR C:\WINDOWS\system32
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0 N
HKEY_CLASSES_ROOT\N.Cs4
HKEY_CLASSES_ROOT\N.Cs4\Clsid {E14DCE67-8FB7-4721-8149-179BAA4D792C}
HKEY_CLASSES_ROOT\N.Cs4 N.Cs4
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\0\win32 C:\WINDOWS\system32\wsock32.sys
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\FLAGS 0
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0\HELPDIR C:\WINDOWS\system32
HKEY_CLASSES_ROOT\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}\3.0 N


DesktopScam Trojan Downloader more information...
Details: DesktopScam is a trojan that is downloaded with rogue security applicatons in order to frighten the affected user into purchasing the rogue program.
Status: Deleted

Infected files detected
c:\dokumente und einstellungen\all users\startmenü\security troubleshooting.url
c:\dokumente und einstellungen\all users\startmenü\online security guide.url


Backdoor.SdBot.aad Backdoor more information...
Details: SdBot is the name of a family of trojans, also known as backdoors or worms, used by hackers to control a machine without the owner's knowledge.
Status: Deleted

Infected files detected
c:\windows\system32\scvhost.exe

Infected registry entries detected
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Generic Host Process
HKEY_CURRENT_USER\Software\Microsoft\OLE


Free Key Logger (Virtuoza) Commercial Key Logger more information...
Details: Free Key Logger is a surveillance tool which captures all the keystorkes of the victim's PC invisibly in the background.
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system DisableTaskMgr 1


XT Spy Commercial Key Logger more information...
Details: XT Spy is a Survillanct tool it stealthly records all key pressed and takes screenshots.
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system DisableTaskMgr 1


Trojan-Downloader.Zlob.Media-Codec Trojan Downloader more information...
Details: Trojan-Downloader.Zlob.Media-Codec is a program that typically purports to be a needed upgrade to Windows Media Player in order to view adult oriented videos on certain websites. However, Trojan-Downloader.Zlob.Media-Codec actually downloads and installs
Status: Deleted

Infected registry entries detected
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\QualityCodec
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\QualityCodec SlowInfoCache
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\QualityCodec Changed 0
HKEY_CLASSES_ROOT\CLSID\{bf1ced2c-4b3f-4079-a330-864eda5a4cff}
HKEY_CLASSES_ROOT\CLSID\{bf1ced2c-4b3f-4079-a330-864eda5a4cff}\InprocServer32 C:\Programme\QualityCodec\iesplugin.dll
HKEY_CLASSES_ROOT\CLSID\{bf1ced2c-4b3f-4079-a330-864eda5a4cff}\InprocServer32 ThreadingModel Apartment
HKEY_CLASSES_ROOT\CLSID\{bf1ced2c-4b3f-4079-a330-864eda5a4cff} Protection Bar
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BF1CED2C-4B3F-4079-A330-864EDA5A4CFF}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BF1CED2C-4B3F-4079-A330-864EDA5A4CFF}\iexplore Type 2
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BF1CED2C-4B3F-4079-A330-864EDA5A4CFF}\iexplore Count 99
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BF1CED2C-4B3F-4079-A330-864EDA5A4CFF}\iexplore Time


Backdoor.Win32.Rbot.adf Backdoor more information...
Details: Rbot is the name of a family of backdoor trojans, also known as worms, used by hackers to control a machine without the owner's knowledge.
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Backdoor.Win32.IRCBot.az Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Backdoor.Win32.EggDrop.v Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Backdoor.Win32.Agobot.zo Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Backdoor.Win32.Rbot.bis Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Trojan-Downloader.Win32.Banload.bkm Trojan Downloader more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations


Backdoor.Win32.Rbot.bjm Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


Backdoor.Win32.Rbot.aeu Backdoor more information...
Details: Rbot is the name of a family of backdoor trojans, also known as worms, used by hackers to control a machine without the owner's knowledge.
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE


W32.IRCBot Backdoor more information...
Status: Deleted

Infected registry entries detected
HKEY_CURRENT_USER\Software\Microsoft\OLE
Seitenanfang Seitenende
13.12.2006, 00:59
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#102 du hattest den avenger nicht angewendet ;) - ich frage mich, wozu ich das script erstellt habe ;)

1.
scanne mit smitfraudfix
http://virus-protect.org/artikel/tools/smitfrautfix.html

2.
poste die 6 logs von datfindbat - versuche, dass es klappt.
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
13.12.2006, 09:30
mrmax
Member

Beiträge: 13
#103 Hallo,
smitfraudfix lässt sich nicht ausführen:

C\Windows\system32\cmd.exe
eine eingabeaufforderung ist vom Administrator deaktiviert worden. Drückne sie
eine beliebiege Taste...

Das mit dem Avenger habe ich leider verpeilt. Es kam eine Meldung und ein Neustart , daher dachte ich es hätte funktioniert
Seitenanfang Seitenende
13.12.2006, 09:41
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#104

Zitat

eine eingabeaufforderung ist vom Administrator deaktiviert worden
HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)

Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn.
+
PC neustarten
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
13.12.2006, 10:22
mrmax
Member

Beiträge: 13
#105 Hallo hat alles geklappt, hier die datfindbat der letzten monate:

13.12.2006 10:15 54.112 vsconfig.xml
13.12.2006 10:11 0 tmp.txt
13.12.2006 10:11 3.020 tmp.reg
12.12.2006 15:58 174.672 FNTCACHE.DAT
12.12.2006 09:08 1.262.617 g71d6S7JMS.ini
07.12.2006 22:40 2.206 wpa.dbl
27.11.2006 17:16 12.518 KGyGaAvL.sys
12.11.2006 17:31 44 blue.SITENAME
12.11.2006 12:25 3.850 qwdnpmut.txt
09.11.2006 18:11 70.260 perfc009.dat
09.11.2006 18:11 436.496 perfh009.dat
09.11.2006 18:11 82.974 perfc007.dat
09.11.2006 18:11 453.452 perfh007.dat
09.11.2006 18:11 1.057.018 PerfStringBackup.INI
04.10.2006 13:03 9.639.336 MRT.exe
29.09.2006 11:09 4.212 zllictbl.dat
26.09.2006 12:19 13.312 BASSMOD.dll
13.09.2006 06:02 1.084.416 msxml3.dll
04.09.2006 07:13 1.497.088 shdocvw.dll
01.09.2006 12:08 1.334.032 msxml6.dll
29.08.2006 18:43 135.168 swreg.exe
25.08.2006 16:46 617.472 comctl32.dll
23.08.2006 22:38 42.920 vsutil_loc0407.dll
23.08.2006 22:38 392.824 vsdatant.sys
23.08.2006 22:38 83.960 zlcomm.dll
23.08.2006 22:38 71.672 zlcommdb.dll
23.08.2006 22:38 59.384 vswmi.dll
23.08.2006 22:38 440.312 vsutil.dll
23.08.2006 22:38 100.344 vsxml.dll
23.08.2006 22:38 71.672 vsregexp.dll
23.08.2006 22:38 268.280 vspubapi.dll
23.08.2006 22:38 157.688 vsinit.dll
23.08.2006 22:38 104.440 vsmonapi.dll
23.08.2006 22:37 83.960 vsdata.dll
23.08.2006 01:59 546.568 icardagt.exe
23.08.2006 01:59 18.432 infocardcpl.cpl
23.08.2006 01:59 76.800 infocardapi.dll
23.08.2006 01:59 9.480 icardres.dll
23.08.2006 01:59 544.016 icardres.dll.mui
21.08.2006 13:26 16.896 fltlib.dll
21.08.2006 10:14 23.040 fltmc.exe
16.08.2006 12:58 100.352 6to4svc.dll
15.08.2006 18:08 1.957.168 milcore.dll
15.08.2006 18:08 768.816 PresentationNative_v0300.dll
15.08.2006 18:08 472.368 evr.dll
15.08.2006 18:07 186.160 PresentationHost.exe
15.08.2006 18:07 158.000 UIAutomationCore.dll
15.08.2006 18:07 104.240 PresentationCFFRasterizerNative_v0300.dll
15.08.2006 18:07 69.424 dxva2.dll
15.08.2006 18:07 19.760 PresentationHostProxy.dll
13.08.2006 10:07 408.576 photometadatahandler.dll
13.08.2006 10:07 273.920 WMPhoto.dll
13.08.2006 10:06 706.560 WindowsCodecs.dll
13.08.2006 10:06 349.696 WindowsCodecsExt.dll
07.08.2006 09:50 1.484.592 LegitCheckControl.DLL
--------------------------------------------------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 84A9-ABDF

Verzeichnis von C:\DOKUME~1\DannyBoy\LOKALE~1\Temp

13.12.2006 10:16 16.384 Perflib_Perfdata_a00.dat
13.12.2006 10:16 16.384 Perflib_Perfdata_9f4.dat
13.12.2006 10:15 32.768 ~DF20D5.tmp
13.12.2006 10:15 16.384 Perflib_Perfdata_370.dat
13.12.2006 10:14 16.384 ~DF4A23.tmp
13.12.2006 10:14 49.152 ~DF1CD8.tmp
6 Datei(en) 147.456 Bytes
0 Verzeichnis(se), 1.866.788.864 Bytes frei
--------------------------------------------------------------------

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 84A9-ABDF

Verzeichnis von C:\WINDOWS

13.12.2006 10:15 49.152 IgorDRV.dll
13.12.2006 10:15 159 wiadebug.log
13.12.2006 10:14 50 wiaservc.log
13.12.2006 10:14 0 0.log
13.12.2006 10:14 2.048 bootstat.dat
13.12.2006 10:13 46.320 WindowsUpdate.log
13.12.2006 10:11 960 setupact.log
13.12.2006 10:06 550.654 ntbtlog.txt
13.12.2006 10:04 32.562 SchedLgU.Txt
12.12.2006 20:29 206 homeDVD-Fotos4.INI
12.12.2006 20:14 176 magix.ini
12.12.2006 19:50 46 mxcdr.INI
12.12.2006 16:37 1.368 wmsetup.log
12.12.2006 16:37 29.696 setupapi.log
12.12.2006 15:35 0 homeDVD-Fotos2.INI
12.12.2006 09:33 116 NeroDigital.ini
11.12.2006 15:12 1.409 QTFont.for
11.12.2006 15:12 54.156 QTFont.qfn
14.11.2006 11:54 227 system.ini
14.11.2006 11:54 486 win.ini
13.11.2006 13:52 19 install_Studio10.log
13.11.2006 13:52 1.196 VFO.INI
13.11.2006 12:46 15.068 mozver.dat
13.11.2006 12:45 1.359 wininit.ini
12.11.2006 17:32 455 VFO.VST
12.11.2006 17:31 484 attach.log
12.11.2006 15:37 74 Dmftw.sfq
12.11.2006 12:49 0 setuperr.log
11.11.2006 13:23 60.416 ALCFDRTM.VER
29.05.2006 20:50 127 wiso.ini
29.05.2006 20:48 30 TDF.DII
29.05.2006 20:48 2.803 tm.ini
29.05.2006 20:18 230 BUHL.INI
14.05.2006 17:43 7.168 Thumbs.db
19.03.2006 11:18 107.132 UninstallThunderbird.exe
09.03.2006 19:06 24 mainser
01.03.2006 11:46 290.816 Setup1.exe
01.03.2006 11:46 74.752 ST6UNST.EXE
28.02.2006 13:34 0 SEARCH
12.02.2006 10:29 316.640 WMSysPr9.prx
27.01.2006 19:18 38 AviSplitter.INI
--------------------------------------------------------------------...

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 84A9-ABDF

Verzeichnis von C:\WINDOWS\Temp

13.12.2006 10:16 8.192 cch~262106b3.htp
13.12.2006 10:16 8.192 cch~261f4e9f.htp
13.12.2006 10:16 8.192 cch~26187a91.htp
13.12.2006 10:16 8.192 cch~261873f2.htp
13.12.2006 10:16 8.192 cch~25b4ac5b.htp
13.12.2006 10:16 8.192 cch~25b46377.htp
13.12.2006 10:15 256 ZLT06dd5.TMP
13.12.2006 10:15 256 ZLT06dbb.TMP
13.12.2006 10:14 16.384 ~DF53.tmp
13.12.2006 09:57 16.384 ~DF10.tmp
13.12.2006 09:24 39 DSP5.tmp
13.12.2006 09:24 416 DSP6.tmp
13.12.2006 09:24 805.112 DSP4.tmp
13.12.2006 09:24 2.584 DSP3.tmp
13.12.2006 09:23 16.384 ~DFFF22.tmp
13.12.2006 09:19 8.192 cch~515e040b.htp
13.12.2006 09:19 8.192 cch~515dfbff.htp
13.12.2006 09:14 256 ZLT03f4f.TMP
13.12.2006 09:14 256 ZLT03f38.TMP
13.12.2006 09:13 16.384 ~DFF1A.tmp
13.12.2006 09:07 16.384 ~DF59F.tmp
13.12.2006 08:07 256 ZLT00c04.TMP
13.12.2006 08:06 16.384 ~DF59.tmp
12.12.2006 19:30 256 ZLT048fa.TMP
12.12.2006 19:29 16.384 ~DF880.tmp
12.12.2006 17:16 16.384 ~DFFFD4.tmp
12.12.2006 15:59 16.384 ~DF1AD.tmp
12.12.2006 14:35 256 ZLT06695.TMP
12.12.2006 14:35 256 ZLT06677.TMP
12.12.2006 14:34 16.384 ~DFF99C.tmp
12.12.2006 13:51 16.384 ~DFFC13.tmp
12.12.2006 13:38 16.384 ~DFF6FA.tmp
12.12.2006 13:19 16.384 ~DFF88D.tmp
12.12.2006 13:06 16.384 ~DFF97C.tmp
12.12.2006 12:50 16.384 ~DFF9E4.tmp
12.12.2006 12:42 16.384 ~DFFA43.tmp
12.12.2006 09:17 16.384 ~DFF81D.tmp
37 Datei(en) 1.154.263 Bytes
0 Verzeichnis(se), 1.866.780.672 Bytes frei
------------------------------------------------------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 84A9-ABDF

Verzeichnis von C:\WINDOWS\Downloaded Program Files

24.10.2006 17:15 367 LegitCheckControl.inf
22.11.2005 22:51 65 desktop.ini
26.05.2005 04:19 291 wuweb.inf
26.05.2005 04:19 293 muweb.inf
4 Datei(en) 1.016 Bytes
0 Verzeichnis(se), 1.866.211.328 Bytes frei
------------------------------------------------------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 84A9-ABDF

Verzeichnis von C:\

13.12.2006 10:21 0 sys.txt
13.12.2006 10:21 449 down.txt
13.12.2006 10:21 2.066 tmp.txt
13.12.2006 10:20 5.921 system.txt
13.12.2006 10:19 579 systemtemp.txt
13.12.2006 10:17 101.362 system32.txt
13.12.2006 10:14 1.072.984.064 hiberfil.sys
13.12.2006 10:14 1.610.612.736 pagefile.sys
13.12.2006 10:11 856 rapport.txt
13.12.2006 09:57 27.893 zia00804
13.12.2006 09:13 8.758 avenger.txt
13.12.2006 09:12 838 bweiyfpv.txt
12.12.2006 12:41 838 fcxcnbey.txt
14.11.2006 11:54 233 boot.ini
12.11.2006 17:22 67 AUTOEXEC.BAT
12.11.2006 16:10 201 DMF2_WKLog.txt
11.11.2006 19:17 14.165 ComboFix.txt
14.09.2006 21:09 22.028 drwtsn32.log
22.11.2005 22:52 0 MSDOS.SYS
22.11.2005 22:52 0 CONFIG.SYS
22.11.2005 22:52 0 IO.SYS
03.08.2004 21:59 251.184 ntldr
03.08.2004 21:38 47.564 NTDETECT.COM
18.08.2001 13:00 4.952 bootfont.bin
18.08.2001 13:00 24.448 NTBOOTDD.SYS
25 Datei(en) 2.684.111.202 Bytes
0 Verzeichnis(se), 1.866.244.096 Bytes frei
---------------------------------------------------------------------------
Seitenanfang Seitenende
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!

Folgende Themen könnten Dich auch interessieren: