Auch ich bin jetzt befallen von TR/Swizzor.A

#1 Hallo zusammen......
Ihr seid jetzt noch meine letste Hoffung....!!!! Habe den Virus TR/Swizzor.A auf meine PC und bringe ihn jetzt einfach nicht mehr weg!!!!!
Ich habe in den anderen Berichten gsehen dass ihr einen Bericht von HijackThis benötigt. Darum habe ich diesen hier schon mal:

Logfile of HijackThis v1.99.1
Scan saved at 01:10:41, on 04.04.2006
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAMME\MESSENGERPLUS! 3\MSGPLUS.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\PTSNOOP.EXE
C:\WINDOWS\SYSTEM\CMMPU.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\PCI AUDIO APPLICATIONS\MIXER.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\MSN MESSENGER\MSNMSGR.EXE
C:\PROGRAMME\HP DESKJET 610C SERIES\EREG\REMIND32.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\AVGCTRL.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\SCHEDM.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\AVCENTER.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\AVSCAN.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\WINWORD.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\MSAGENT\AGENTSVR.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\TEMPORARY INTERNET FILES\CONTENT.IE5\AJGV9UNM\HIJACKTHIS[1].EXE
C:\WINDOWS\ALL USERS\ANWENDUNGSDATEN\GREY GREAT CHIN NAME\BROWSE01.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ch/
F1 - win.ini: load=ptsnoop.exe
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: (no name) - {6082D46C-629E-9331-814D-E96C95D359B3} - C:\WINDOWS\ANWENDUNGSDATEN\NAMERDR\AMEN JUGS.EXE
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [CountrySelection] pctptt.exe
O4 - HKLM\..\Run: [C-Media Mixer] C:\Programme\PCI Audio Applications\Mixer.exe /startup
O4 - HKLM\..\Run: [avgctrl] "C:\Programme\AntiVir PersonalEdition Classic\avgctrl.exe" /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [chin name anti the] C:\WINDOWS\All Users\Anwendungsdaten\grey great chin name\Browse01.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [schedm] "C:\Programme\AntiVir PersonalEdition Classic\schedm.exe"
O4 - HKLM\..\RunServices: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [draw third] C:\WINDOWS\ANWEND~1\AUDIOB~1\FOUR STYLE.exe
O4 - Startup: Reminder-hpc41004.lnk = C:\Programme\HP DeskJet 610C Series\ereg\Remind32.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://cdn2.zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab


Hoffe das ist das richtige und dass ihr mir helfen könnt!! Zum Voraus schon mal besten Dank!!!
__________
Mfg Stadi
---------

#2 Oh, Windows ME, Die Sache mit dem Messengerplus3 deinstallieren beseitigt ihn nicht? Ansonsten hallte dich bitte an die Tipps aus diesem Thread:

http://board.protecus.de/t22980.htm
Den Del befehl bitte nicht versuchen, der wird nicht windows ME kompatibel sein.
__________
MfG Ralf
SEO-Spam Hunter

#3 zurest mal schon danke ralf...!!! Das du geantwortet hast!!!
Ich komme aber bei diesem Thread nicht ganz draus....... :S

Was muss ich jetzt genau als nächstes machen??? Kannst du mir das nicht bitte sagen!! Wäre sehr nät!!

P.S: Messengerplus3 ist jetzt mal entfernt!!!
__________
Mfg Stadi
---------

#4 Das musst du machen, damit du zumindest erasteinmal die Malwaredateien los wirst:


Nutze bitte curit im abgesicherten Modus: http://virus-protect.org/cureit.html, starte neu und poste danach bitte ein Hijackthis log und das, was drweb gefunden hat. Dazu unter Start ausfuehren %userprofil%\doctorweb\cureit.log eingeben und enter druecken. Den Inhalt der Dinge, die Drweb gefunden hat bitte hier posten
__________
MfG Ralf
SEO-Spam Hunter

#5 Also ich habe jetzt das Programm Dr. Web über meine Festplatte gelassen und alles was er gefunden hat gelöscht!!! Dann neu gestartet und jetzt nochmal ein Hijackthis log gemacht, welches jetzt so aussieht:

Logfile of HijackThis v1.99.1
Scan saved at 02:55:16, on 04.04.2006
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\SCHEDM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\PTSNOOP.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\CMMPU.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\PCI AUDIO APPLICATIONS\MIXER.EXE
C:\PROGRAMME\ANTIVIR PERSONALEDITION CLASSIC\AVGCTRL.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\MSN MESSENGER\MSNMSGR.EXE
C:\PROGRAMME\HP DESKJET 610C SERIES\EREG\REMIND32.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\MICROSOFT OFFICE\OFFICE\WINWORD.EXE
C:\WINDOWS\MSAGENT\AGENTSVR.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\EIGENE DATEIEN\MY DOWNLOADS\DRWEB-CUREIT.EXE
C:\WINDOWS\TEMP\RARSFX1\_START.EXE
C:\WINDOWS\TEMP\RARSFX1\CUREIT.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\TEMPORARY INTERNET FILES\CONTENT.IE5\AJGV9UNM\HIJACKTHIS[1].EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ch/
F1 - win.ini: load=ptsnoop.exe
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [CountrySelection] pctptt.exe
O4 - HKLM\..\Run: [C-Media Mixer] C:\Programme\PCI Audio Applications\Mixer.exe /startup
O4 - HKLM\..\Run: [avgctrl] "C:\Programme\AntiVir PersonalEdition Classic\avgctrl.exe" /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [schedm] "C:\Programme\AntiVir PersonalEdition Classic\schedm.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Reminder-hpc41004.lnk = C:\Programme\HP DeskJet 610C Series\ereg\Remind32.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://cdn2.zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} (HeartbeatCtl Class) - http://fdl.msn.com/zone/datafiles/heartbeat.cab

Und? Wie sieht es jetzt aus?
Was muss ich jetzt als nächstes machen???

Mfg Stadi
__________
Mfg Stadi
---------

#6 DAs sieht "toll" aus. Mache nochmal eine Datentraegerbereinigung(start/Ausfuehren und dort cleanmgr eingeben und enter druecken) und das sollte es gewesen sein.
__________
MfG Ralf
SEO-Spam Hunter

#7 ok eine Datenträgerbereinigung habe ich jetzt gemacht! Danach habe ich jetzt mein AntiVir die Festplatte absuchen lasen...und siehe da er finde nichts mehr!!!
Doch danch habe ich jetzt noch zur Sicherheit das Programm Dr. Web suchen lassen und der findet mir noch diese Sachen:

A0015684.CPY;C:\_RESTORE\TEMP;Trojan.Swizzor;Nicht desinfizierbar.Wird nach dem Neustart verschoben.;
A0015687.CPY;C:\_RESTORE\TEMP;Trojan.Swizzor;Nicht desinfizierbar.Wird nach dem Neustart verschoben.;
A0015691.CPY;C:\_RESTORE\TEMP;Trojan.Swizzor;Nicht desinfizierbar.Wird nach dem Neustart verschoben.;
Browse00.exe;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015510.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015540.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015541.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015600.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015601.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015611.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
bhhqmvs0.exe;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015684.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015687.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;
A0015691.CPY;C:\DoctorWeb\Quarantine;Trojan.Swizzor;Nicht desinfizierbar.Verschoben.;

Bei den oberen in dem C:\_RESTORE\TEMP Ordner komme ich eben vorallem nicht nach.....
Denn ich hatte ja gestern alle gelöscht und neu gestartet und dann sollte doch diese Weg sein oder nicht????

Die andern unten sind ja von dem Programm DoctorWeb selber...die die er in die Quarantine getan hat!!! Muss ich diese löschen???

Ich hoffe ihr könnt mir auch hier noch helfen...!!

Mfg Stadi
__________
Mfg Stadi
---------

#8 Ja, das ist die Systemwiederherstellung. Deaktiviere und aktiviere sie wieder und die cpy Dateien sind weg.
http://www.bsi.bund.de/av/texte/wiederher.htm

BZW du musst auch noch diesen Ordner loeschen: C:\DoctorWeb\
__________
MfG Ralf
SEO-Spam Hunter

#9 Ok super! Das Programm Dr. Web hat jetzt auch nichts mehr gefunden...!!! Und jetzt bin ich sicher Viren frei??? Wenn ja schon mal VIELEN DANK für all die Hilfe!!!

Hätte aber noch ein paar fragen:
Bis jetzt habe ich ja immer noch das AntiVir programm.....möchte jetzt aber mal fragen, was du für den besten (gratis) Virenschutzt, für Windows ME, vorschlage würdest???
Denn dieses AntiVir hat mir ja jetzt trotzdem Trojaner hineingelassen was mich sehr erstaunt hat!!!
Und noch was: Habe von einen Kollegen gehört das sich ein RegistryCleaner sehr lohnen würde....!!!
Sieht ihr das auch so? Wenn ja, ich habe eben noch keinen, was würdet ihr mir für einen entfehlen(wenn möglich auch gratis)?? Welcher mir dann aber auch nicht plötztlich ein Programm löscht, welches ich noch wollte!!
__________
Mfg Stadi
---------

#10 Registry Cleaner Ist kein Antivvirenprogramm! Ob sich das im endeffekt lohnt weiss ich nicht, aber der Einsatz kann nicht viel kaputtmachen. CCleaner von www.[url="http://www.ccleaner.de"]CCleaner[/url].com ist gut, auch fuer Windows ME!

Zu Antivir, da hast du eigentlich schon das beste, was es kostenlos gibt. Es hat leider den entscheidenen Nachteil, das du Adwareerkennung nur ab der Premiumversion bekommst. Die Version haette auch den Swizzor/Lop erkannt und die installation verhindert.

Man kann immer mal bei Gelegenheit einen Kontrollscan mit Cureit oder Escan machen.
__________
MfG Ralf
SEO-Spam Hunter

#11

Zitat

Zu Antivir, da hast du eigentlich schon das beste, was es kostenlos gibt. Es hat leider den entscheidenen Nachteil, das du Adwareerkennung nur ab der Premiumversion bekommst. Die Version haette auch den Swizzor/Lop erkannt und die installation verhindert.

Man kann immer mal bei Gelegenheit einen Kontrollscan mit Cureit oder Escan machen.

aha ok! Das wegen dem Kontrollscan mit Cureit, dort meinst du mit Dr.Web oder? Wenn ja, wiso wäre es dann nicht besser wenn ich einfach nur mit dem Scannen würde?? Denn der erkennt doch Adware oder??? (Obwohl ich gar nicht weiss was Adware ist?????)

P.S: Escan? Was meinst du mit dem? Und noch eine Frage: Was is den CleanUp????
__________
Mfg Stadi
---------

#12 Cleanup ist wohl das selbe wie CCleaner, es loescht cookies, temporaere und andere unnoetig Dateien und Eintraeg.

Das Programm heisst Drweb Cureit!

Escan ist eine aehnliche freie Version, nur mit einem anderen Scanner(von Kaspersky), der leider nicht reinigen kann.

Adware= Werbung.
__________
MfG Ralf
SEO-Spam Hunter

#13 aha ok! Danke für die guten Tipps und die Hilfe für meine Viren wieder loszuwerden......!!!

Aber diese Frage hast du mir nicht beantwortet vorhin:
Wiso nicht nur Drweb Cureit und AntiVir lassen??? Was kann das AntiVir mehr als das Drweb Programm???


P.S: Ich habe jetzt diesen CCleaner heruntergeladen und der zeigt mir im Autostart diese Daten an:

HKLM:Run ScanRegistry C:\WINDOWS\scanregw.exe /autorun

HKLM:Run TaskMonitor C:\WINDOWS\taskmon.exe

HKLM:Run PCHealth C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s

HKLM:Run SystemTray SysTray.Exe

HKLM:Run LoadPowerProfile Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

HKLM:Run CountrySelection pctptt.exe

HKLM:Run C-Media Mixer C:\Programme\PCI Audio Applications\Mixer.exe /startup

HKLM:Run avgctrl “C:\Programme\AntiVir PersonalEdition Classic\avgctrl.exe” /min

HKLM:Run LoadQM loadqm.exe

Kannst du mir vielleicht sagen was hier sicherlich unnötig ist?? Denn ich weiss fast bei allen nicht was es ist.... :S
Komisch finde ich es dann auch noch dass es mir unter Start>Programme>Autostart nichts anzeigt!!! Und dann dieser Cleaner mir so viele Sachen Zeigt!!!
Hoffe du kannst mir auch noch bei diesem Problem helfen. Denn mir ist auch aufgefallen, dass mein PC beim Starten recht viel Zeit braucht!
__________
Mfg Stadi
---------

#14 Alles ist wichtig. Fuer dich ist eigentlich nur wichtig, wasunter "Cleaner" steht.

Als richtpunkt, ich habe bei Internetexploere temporaerdateien und cookies angehakt, bei System alles und der Rest liegt bei dir. unter einstellungen/einstellungen kannst du noch "Automatisches Reinigen beim Bootvorgang" anhaken.
__________
MfG Ralf
SEO-Spam Hunter

#15 Bei Automatisches Reinigen beim Bootvorgang, was reinigt der dann??
Sorry, wenn ich so dumme Fragen stelle aber ich bin eben nicht so ein Computer Genie! Hoffe ich nerve dich nicht....
aha ja und bei dem Autostart nochmal dort kann ich jetzt nichts löschen, oder?

P.S: Was ist jetzt wegen dem nur DrWeb und das AntiVir nicht mehr gebrauchen??? Geht das nicht? Und wenn ja warum??
__________
Mfg Stadi
---------