W32/NSaq.B. Befall, kann aber keine .bat Dateien mehr ausführen

#1 Hallo Forum,
habe den W32/NSaq.B. wollte ihn auch mit Smitrem versuchen zu entfernen, kann aber keine bat datein mehr ausführen (ist meine cmd.exe befallen?) Kann ebenfalls keine datfindbat ausführen.
Was kann ich tun?

besten Dank, Achim

#2 achim2

Hijackthis -->
http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Logfile of HijackThis v1.99.1
Scan saved at 18:22:25, on 19.04.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragService.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragCtrl.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\haha\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://66.40.16.201/sb/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://66.40.16.201/sb/index.html
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Programme\Internet Download Manager\IDMIECC.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Ashampoo Magic Defrag.lnk = C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragCtrl.exe
O8 - Extra context menu item: Download All Links with IDM - C:\Programme\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download with IDM - C:\Programme\Internet Download Manager\IEExt.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1138530173860
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AshampooDefragService - - C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe

Besten Dank.

#4 achim2

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://66.40.16.201/sb/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://66.40.16.201/sb/index.html
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Programme\Internet Download Manager\IDMIECC.dll
O8 - Extra context menu item: Download All Links with IDM - C:\Programme\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download with IDM - C:\Programme\Internet Download Manager\IEExt.htm

PC neustarten

1.
Gehe in die Registry

Start-->Ausführen--> regedit

HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)

Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn. Spätestens nach einem Neustart sollte die Eingabeaufforderung wieder verfügbar sein

------------------
2.
Start > Ausführen > mmc > Datei > Snapin hinzufügen > Hinzufügen > Gruppenrichtlinien auswählen > hinzufügen > Fertig stellen > schließen > ok >Benutzerkonfiguration > Aministrative Vorlagen > System > Doppleklick auf "Zugriff auf Eingabeaufforderung verhindern" > deaktivieren > OK > alle Fenster schliessen > neu anmelden > an der Kommandozeile

-----------------
3.
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

4.
Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Problem, finde den Ordner nicht:

HKEY_CURRENT_USER\Software\Microsoft\Windows\
noch vorhanden, aber dann kein Unterordner "System" mer zu finden.
Nur noch die drei Ordner "Current Version", "Shell" und "ShellNoRoam".

#6 klappt das ? wahrscheinlich nicht...

START - Ausfuehren - reinkopieren

regedit.exe /e C:\SHUDDERLTD.txt "HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD"

das ergibt dann den C:\SHUDDERLTD.txt
__________
MfG Sabina

rund um die PC-Sicherheit

#7 Nein - seltsam.
Hab auch schon versucht nach disable cmd im regeditor zu suchen. erfolglos.
Noch ne Idee?

#8 --------------------------------

winpfind
http://virus-protect.org/winpfind.html
__________
MfG Sabina

rund um die PC-Sicherheit

#9 hängt sich immer auf, bzw. scheint länger als eine Stunde zu brauchen - nicht normal, oder?

#10 DrWeb.Cureit
http://virus-protect.org/cureit.html

berichte dann, was gefunden wurde , denn die log-File wirst du ja nicht hinbekommen ............. geht ueber cmd
__________
MfG Sabina

rund um die PC-Sicherheit

#11 Hier das Ergebnis.
Habe bereits die Systemwiederherstellung deaktiviert und neu gebootet und wieder eingeschalten.
b.r. a.

anbei docterweb log:

Dr.Web(R) Scanner für Windows v4.33.2 (4.33.2.03283)
Copyright (c) Igor Daniloff, 1992-2006
Bericht erstellt auf: 2006-04-20, 02:13:45 [XPPC][haha]
Befehlszeilen-Schalter: "C:\DOKUME~1\haha\LOKALE~1\Temp\RarSFX0\cureit.exe" /lng:de-cureit.dwl /ini:cureit_XP.ini


Geprüfte Objekte: 0
Infizierte Objekte gefunden: 0
Objekte mit Modifikation gefunden: 0
Verdächtige Objekte gefunden: 0
Adware-Programm gefunden: 0
Dialer-Programm gefunden: 0
Scherz-Programm gefunden: 0
Riskware programm gefunden: 0
Hacktool-Programm gefunden: 0
Desinfizierte Objekte: 0
Gelöschte Objekte: 0
Umbenannte Objekte: 0
Verschobene Objekte: 0
Ignorierte Objekte: 0
Leistung:: 0 Kb/s
Dauer:: 00:00:00


[Prüfpfad] C:\WINDOWS\System32\smss.exe
[Prüfpfad] C:\WINDOWS\system32\csrss.exe
[Prüfpfad] C:\WINDOWS\system32\winlogon.exe
[Prüfpfad] C:\WINDOWS\system32\services.exe
[Prüfpfad] C:\WINDOWS\system32\lsass.exe
[Prüfpfad] C:\WINDOWS\system32\svchost.exe
[Prüfpfad] C:\WINDOWS\system32\spoolsv.exe
[Prüfpfad] C:\Programme\AntiVir PersonalEdition Classic\sched.exe
[Prüfpfad] C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
[Prüfpfad] C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragService.exe
[Prüfpfad] C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
[Prüfpfad] C:\Programme\Alwil Software\Avast4\ashServ.exe
[Prüfpfad] C:\WINDOWS\Explorer.EXE
[Prüfpfad] C:\Programme\ewido anti-malware\ewidoctrl.exe
[Prüfpfad] C:\WINDOWS\SYSTEM32\ZoneLabs\vsmon.exe
[Prüfpfad] C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
[Prüfpfad] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
[Prüfpfad] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
[Prüfpfad] C:\Programme\Ashampoo\Ashampoo Magic Defrag\bin\aDefragCtrl.exe
[Prüfpfad] C:\Programme\Alwil Software\Avast4\ashWebSv.exe
[Prüfpfad] C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
[Prüfpfad] C:\Programme\Mozilla Firefox\firefox.exe
[Prüfpfad] C:\Programme\Mozilla Thunderbird\thunderbird.exe
[Prüfpfad] C:\WINDOWS\System32\wuauclt.exe
[Prüfpfad] C:\Dokumente und Einstellungen\haha\Desktop\drweb-cureit.exe
[Prüfpfad] C:\DOKUME~1\haha\LOKALE~1\Temp\RarSFX0\_start.exe
[Prüfpfad] C:\DOKUME~1\haha\LOKALE~1\Temp\RarSFX0\cureit.exe
[Prüfpfad] C:\WINDOWS\System32\internat.exe
[Prüfpfad] C:\Programme\Internet Explorer\Connection Wizard\icwconn1.exe
[Prüfpfad] C:\WINDOWS\system32\tscupgrd.exe
[Prüfpfad] C:\Dokumente und Einstellungen\haha\Startmenü\Programme\Autostart\desktop.ini
[Prüfpfad] C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
[Prüfpfad] C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
[Prüfpfad] C:\WINDOWS\System32\mmsys.cpl
[Prüfpfad] C:\WINDOWS\System32\icmui.dll
[Prüfpfad] C:\WINDOWS\System32\rshx32.dll
[Prüfpfad] C:\WINDOWS\System32\docprop.dll
[Prüfpfad] C:\WINDOWS\System32\ntshrui.dll
[Prüfpfad] C:\WINDOWS\System32\themeui.dll
[Prüfpfad] C:\WINDOWS\System32\deskadp.dll
[Prüfpfad] C:\WINDOWS\System32\deskmon.dll
[Prüfpfad] C:\WINDOWS\System32\dssec.dll
[Prüfpfad] C:\WINDOWS\System32\shscrap.dll
[Prüfpfad] C:\WINDOWS\System32\diskcopy.dll
[Prüfpfad] C:\WINDOWS\System32\ntlanui2.dll
[Prüfpfad] C:\WINDOWS\System32\printui.dll
[Prüfpfad] C:\WINDOWS\System32\dskquoui.dll
[Prüfpfad] C:\WINDOWS\System32\syncui.dll
[Prüfpfad] C:\WINDOWS\System32\hticons.dll
[Prüfpfad] C:\WINDOWS\System32\fontext.dll
[Prüfpfad] C:\WINDOWS\System32\deskperf.dll
[Prüfpfad] C:\WINDOWS\System32\wshext.dll
[Prüfpfad] C:\WINDOWS\system32\cryptext.dll
[Prüfpfad] C:\WINDOWS\system32\NETSHELL.dll
[Prüfpfad] C:\WINDOWS\System32\mstask.dll
[Prüfpfad] C:\WINDOWS\system32\shell32.dll
[Prüfpfad] C:\WINDOWS\System32\browseui.dll
[Prüfpfad] C:\WINDOWS\System32\shdocvw.dll
[Prüfpfad] C:\WINDOWS\System32\sendmail.dll
[Prüfpfad] C:\WINDOWS\System32\occache.dll
[Prüfpfad] C:\WINDOWS\System32\webcheck.dll
[Prüfpfad] C:\WINDOWS\System32\shimgvw.dll
[Prüfpfad] C:\WINDOWS\System32\appwiz.cpl
[Prüfpfad] C:\WINDOWS\System32\dsquery.dll
[Prüfpfad] C:\WINDOWS\System32\dsuiext.dll
[Prüfpfad] C:\WINDOWS\System32\mydocs.dll
[Prüfpfad] C:\WINDOWS\System32\cscui.dll
[Prüfpfad] C:\WINDOWS\System32\mmcshext.dll
[Prüfpfad] C:\WINDOWS\System32\cabview.dll
[Prüfpfad] C:\PROGRA~1\MICROS~2\Office\OLKFSTUB.DLL
[Prüfpfad] C:\Programme\WinRAR\rarext.dll
[Prüfpfad] C:\PROGRA~1\WinZip\WZSHLSTB.DLL
[Prüfpfad] C:\Programme\Outlook Express\wabfind.dll
[Prüfpfad] C:\Programme\WinAce\arcext.dll
[Prüfpfad] C:\WINDOWS\System32\SlayerXP.dll
[Prüfpfad] C:\WINDOWS\System32\wiashext.dll
[Prüfpfad] C:\WINDOWS\System32\remotepg.dll
[Prüfpfad] C:\WINDOWS\System32\wuaucpl.cpl
[Prüfpfad] C:\Programme\Gemeinsame Dateien\System\Ole DB\oledb32.dll
[Prüfpfad] C:\WINDOWS\System32\shmedia.dll
[Prüfpfad] C:\WINDOWS\System32\netplwiz.dll
[Prüfpfad] C:\WINDOWS\System32\zipfldr.dll
[Prüfpfad] C:\WINDOWS\System32\msieftp.dll
[Prüfpfad] C:\WINDOWS\System32\docprop2.dll
[Prüfpfad] C:\WINDOWS\msagent\agentpsh.dll
[Prüfpfad] C:\WINDOWS\System32\dfsshlex.dll
[Prüfpfad] C:\WINDOWS\System32\photowiz.dll
[Prüfpfad] C:\WINDOWS\System32\wmpshell.dll
[Prüfpfad] C:\WINDOWS\System32\mscoree.dll
[Prüfpfad] C:\WINDOWS\System32\Audiodev.dll
[Prüfpfad] C:\Programme\Real\RealPlayer\rpshell.dll
[Prüfpfad] C:\Programme\Gemeinsame Dateien\Ahead\lib\NeroDigitalExt.dll
[Prüfpfad] C:\Programme\AntiVir PersonalEdition Classic\shlext.dll
[Prüfpfad] C:\WINDOWS\System32\cdfview.dll
[Prüfpfad] C:\Programme\Alwil Software\Avast4\ashShell.dll
[Prüfpfad] C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
[Prüfpfad] C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
[Prüfpfad] C:\WINDOWS\System32\stobject.dll
[Prüfpfad] C:\WINDOWS\System32\crypt32.dll
[Prüfpfad] C:\WINDOWS\System32\cryptnet.dll
[Prüfpfad] C:\WINDOWS\System32\cscdll.dll
[Prüfpfad] C:\WINDOWS\System32\wlnotify.dll
[Prüfpfad] C:\WINDOWS\System32\sclgntfy.dll
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ACPI.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\aec.sys
[Prüfpfad] C:\WINDOWS\System32\drivers\afd.sys
[Prüfpfad] C:\WINDOWS\System32\alg.exe
[Prüfpfad] C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\asyncmac.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\atapi.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\atmarpc.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\audstub.sys
[Prüfpfad] C:\WINDOWS\SYSTEM32\DRIVERS\avgntdd.sys
[Prüfpfad] C:\WINDOWS\SYSTEM32\drivers\avgntmgr.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\CCDECODE.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\cdrom.sys
[Prüfpfad] C:\WINDOWS\system32\cisvc.exe
[Prüfpfad] C:\WINDOWS\system32\clipsrv.exe
[Prüfpfad] C:\WINDOWS\System32\dllhost.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\disk.sys
[Prüfpfad] C:\WINDOWS\System32\dmadmin.exe
[Prüfpfad] C:\WINDOWS\System32\drivers\dmboot.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\dmio.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\DMusic.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\drmkaud.sys
[Prüfpfad] C:\Programme\ewido anti-malware\guard.sys
[Prüfpfad] C:\Programme\ewido anti-malware\ewidoguard.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\fdc.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\flpydisk.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ftdisk.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\gameenum.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\msgpc.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\HCF_MSFT.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\hidusb.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\i8042prt.sys
[Prüfpfad] C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
[Prüfpfad] C:\WINDOWS\System32\imapi.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ipfltdrv.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ipinip.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ipnat.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ipsec.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\irenum.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\isapnp.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\itchfltr.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\kbdclass.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\kmixer.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\L8042pr2.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\lkbdflt2.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\lmouflt2.sys
[Prüfpfad] C:\WINDOWS\System32\mnmsrvc.exe
[Prüfpfad] C:\WINDOWS\system32\drivers\MODEMCSA.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\mouclass.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\mouhid.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\MPE.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\mrxdav.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\mrxsmb.sys
[Prüfpfad] C:\WINDOWS\System32\msdtc.exe
[Prüfpfad] C:\WINDOWS\System32\msiexec.exe
[Prüfpfad] C:\WINDOWS\system32\drivers\MSKSSRV.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\MSPCLOCK.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\MSPQM.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\MSTEE.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\msmpu401.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\NABTSFEC.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ndistapi.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ndisuio.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ndiswan.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\netbios.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\netbt.sys
[Prüfpfad] C:\WINDOWS\system32\netdde.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\NMnt.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\nv4.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\nwlnkflt.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\nwlnkfwd.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\parport.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\pci.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\pciide.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\raspptp.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\processr.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\ptilink.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\PxHelp20.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\rasacd.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\rasl2tp.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\raspppoe.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\raspti.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\rdbss.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\RDPCDD.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\rdpdr.sys
[Prüfpfad] C:\WINDOWS\system32\sessmgr.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\redbook.sys
[Prüfpfad] C:\WINDOWS\System32\Drivers\RootMdm.sys
[Prüfpfad] C:\WINDOWS\System32\locator.exe
[Prüfpfad] C:\WINDOWS\System32\rsvp.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\RTL8139.SYS
[Prüfpfad] C:\WINDOWS\System32\SCardSvr.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\secdrv.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\serenum.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\Seri*hier nicht!*.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\SLIP.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\splitter.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\sr.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\srv.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\StreamIP.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\swenum.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\swmidi.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\sysaudio.sys
[Prüfpfad] C:\WINDOWS\system32\smlogsvc.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\tcpip.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\termdd.sys
[Prüfpfad] C:\WINDOWS\System32\tlntsvr.exe
[Prüfpfad] C:\WINDOWS\System32\wdfmgr.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\update.sys
[Prüfpfad] C:\WINDOWS\System32\ups.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\usbhub.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\usbprint.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\USBSTOR.SYS
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\usbuhci.sys
[Prüfpfad] C:\WINDOWS\System32\UtilMan.exe
[Prüfpfad] C:\WINDOWS\System32\drivers\vga.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\viaagp.sys
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\viaide.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\viaudio.sys
[Prüfpfad] C:\WINDOWS\System32\vsdatant.sys
[Prüfpfad] C:\WINDOWS\System32\vssvc.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\wanarp.sys
[Prüfpfad] C:\WINDOWS\system32\drivers\wdmaud.sys
[Prüfpfad] C:\WINDOWS\System32\wbem\wmiapsrv.exe
[Prüfpfad] C:\WINDOWS\System32\DRIVERS\WSTCODEC.SYS
[Prüfpfad] C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
[Prüfpfad] C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Ashampoo Magic Defrag.lnk

Prüfstatistiken

Geprüfte Objekte: 232
Infizierte Objekte gefunden: 0
Objekte mit Modifikation gefunden: 0
Verdächtige Objekte gefunden: 0
Adware-Programm gefunden: 0
Dialer-Programm gefunden: 0
Scherz-Programm gefunden: 0
Riskware programm gefunden: 0
Hacktool-Programm gefunden: 0
Desinfizierte Objekte: 0
Gelöschte Objekte: 0
Umbenannte Objekte: 0
Verschobene Objekte: 0
Ignorierte Objekte: 0
Leistung:: 2247 Kb/s
Dauer:: 00:00:29


[Prüfpfad] C:\

Prüfstatistiken

Geprüfte Objekte: 2
Infizierte Objekte gefunden: 0
Objekte mit Modifikation gefunden: 0
Verdächtige Objekte gefunden: 0
Adware-Programm gefunden: 0
Dialer-Programm gefunden: 0
Scherz-Programm gefunden: 0
Riskware programm gefunden: 0
Hacktool-Programm gefunden: 0
Desinfizierte Objekte: 0
Gelöschte Objekte: 0
Umbenannte Objekte: 0
Verschobene Objekte: 0
Ignorierte Objekte: 0
Leistung:: 0 Kb/s
Dauer:: 00:00:07


Prüfung vom Benutzer abgebrochen! - keine Viren gefunden
[Prüfpfad] C:\
C:\hiberfil.sys - Lesefehler
C:\Dokumente und Einstellungen\haha\NTUSER.DAT - Lesefehler
C:\Dokumente und Einstellungen\haha\NTUSER~1.LOG - Lesefehler
C:\Dokumente und Einstellungen\haha\Anwendungsdaten\Mozilla\Firefox\Profiles\83zq9ys6.Default User\PARENT~1.LOC - Lesefehler
C:\Dokumente und Einstellungen\haha\Anwendungsdaten\Thunderbird\Profiles\7cw3tfd1.default\PARENT~1.LOC - Lesefehler


C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT - Lesefehler
C:\Dokumente und Einstellungen\LocalService\NTUSER~1.LOG - Lesefehler
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat - Lesefehler
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\USRCLA~1.LOG - Lesefehler
>C:\Programme\DivX\DivX Web Player\npdivx32.dll
C:\Programme\Gemeinsame Dateien\Real\WeatherBug\MiniBugTransporter.dll ist ein Adware-Programm Adware.Minibug
>C:\Programme\Mozilla Firefox\plugins\npdivx32.dllC:\smitrem\smitRem\Process.exe ist ein Hacktool Tool.Prockill - ignoriert
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP10\A0014441.old infiziert mit Trojan.DownLoader.2636 - desinfiziert
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP6\A0001195.dll ist ein Adware-Programm Adware.Aureate
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0007322.exe - Lesefehler
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0007376.exe - Lesefehler
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0008319.exe - Lesefehler
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0008322.exe - Lesefehler
>>C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0008324.exe infiziert mit Trojan.Fakealert - gelöscht
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0008332.sys - Lesefehler
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0014331.dll - Lesefehler
C:\System Volume Information\_restore{C4884925-2D1F-4F15-94C4-A5F5E30F1283}\RP8\A0014342.exe ist ein Hacktool Tool.Prockill - ignoriert
C:\WINDOWS\Anwendungsdaten\Microsoft\Windows\UsrClass.dat - Lesefehler
C:\WINDOWS\Anwendungsdaten\Microsoft\Windows\USRCLA~1.LOG - Lesefehler
C:\WINDOWS\SoftwareDistribution\DataStore\DATAST~1.EDB - Lesefehler
C:\WINDOWS\SoftwareDistribution\DataStore\Logs\edb.log - Lesefehler
C:\WINDOWS\SoftwareDistribution\DataStore\Logs\tmp.edb - Lesefehler
>>C:\WINDOWS\SYSTEM32\oleext.dll infiziert mit Trojan.LowZones.156 - gelöscht
C:\WINDOWS\SYSTEM32\config\default - Lesefehler
C:\WINDOWS\SYSTEM32\config\default.LOG - Lesefehler
C:\WINDOWS\SYSTEM32\config\SAM - Lesefehler
C:\WINDOWS\SYSTEM32\config\SAM.LOG - Lesefehler
C:\WINDOWS\SYSTEM32\config\SECURITY - Lesefehler
C:\WINDOWS\SYSTEM32\config\SECURITY.LOG - Lesefehler
C:\WINDOWS\SYSTEM32\config\software - Lesefehler
C:\WINDOWS\SYSTEM32\config\software.LOG - Lesefehler
C:\WINDOWS\SYSTEM32\config\system - Lesefehler
C:\WINDOWS\SYSTEM32\config\system.LOG - Lesefehler
C:\WINDOWS\TEMP\JETF379.tmp - Lesefehler
C:\WINDOWS\TEMP\PERFLI~1.DAT - Lesefehler
C:\WINDOWS\TEMP\ZLT060da.TMP - Lesefehler
C:\WINDOWS\TEMP\_avast4_\WEBSHL~1.TXT - Lesefehler
C:\_RESTORE\TEMP\A0000835.CPY infiziert mit Trojan.Autododer - gelöscht


Prüfstatistiken

Geprüfte Objekte: 107790
Infizierte Objekte gefunden: 4
Objekte mit Modifikation gefunden: 0
Verdächtige Objekte gefunden: 0
Adware-Programm gefunden: 2
Dialer-Programm gefunden: 0
Scherz-Programm gefunden: 0
Riskware programm gefunden: 0
Hacktool-Programm gefunden: 0
Desinfizierte Objekte: 1
Gelöschte Objekte: 3
Umbenannte Objekte: 0
Verschobene Objekte: 0
Ignorierte Objekte: 2
Leistung:: 106 Kb/s
Dauer:: 08:08:40

#12 loesche:
C:\Programme\Gemeinsame Dateien\Real\WeatherBug

nun..funktioniert cmd wieder?
dann poste die 4 Logs von datfinbat
__________
MfG Sabina

rund um die PC-Sicherheit

#13 Nein,
beim Versuch die datfind.bat auszuführen erscheint immer wieder folgendes Problem:
"C:\\dokumente und einstellungen\haha\desktop\datfind.bat" konnte nicht gefunden werden. Stellen Sie sicher, daß Sie den Namen richtig eingegeben haben und wiederhohlen Sie den Vorgang..."

Auch vom Arbeitsplatz aus lässt sie sich nicht starten und wenn ich sie aus dem download manager heraus öffne, dann macht er mich darauf aufmerksam, dass eine Anwendung gestartet werden muss "rundll32.exe" dennoch geht es aber nicht.

??
b.r. a

#14 also noch mal:

Zitat

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System

Der REG_DWORD-Eintrag mit dem Namen "DisableCMD" kann folgende Werte erhalten:

* 0 (oder Schlüssel nicht vorhanden): Anwender kann CMD.EXE ausführen (DEFAULT)
* 1: Anwender kann CMD.EXE nicht ausführen, das System kann aber noch Batch-Dateien ausführen
* 2: Anwender kann keine CMD.EXE ausführen und das System darf auch keine Batch-Dateien mehr starten

suche ...es scheint nur eine Loesung ueber die Registry zu geben.
dann den PC neustarten
__________
MfG Sabina

rund um die PC-Sicherheit

#15 Du hast recht, aber ich finde in der Registry keine solche "DisableCMD" Einträge.
Hab dir den Baum als jpg angehängt.
Wo wäre das noch zu finden?