Spy Trooper und Kollegen

#1 Hallo!

Ich brauche eure Hilfe! Ich denke ich habe mir gleich mehrere ungebetene Gäste eingefangen.
Wenn ich IE starte, werde ich immer auf www.theguardservices.com verlinkt und es öffnet sich ein Hinweis: " Ihr Computer ist verseucht...blablabla"

Weiterhin geht anstatt der Windows Firewall jetzt hin und wieder am oberen Bildschirmrand unter der Adressleiste eine Zeile auf, welche mich auf SpyTrooper.com schicken will.

Desweiteren hatte ich bis gerade eben wohl diesen "Malwarewipe" auf dem Rechner, welchen ich aber schon mit Hilfe eurer Anleitung beseitigen konnte.

VIRENSCANNER AVG und Kaspersky finden nix mehr. Unter Hijackthis finde ich auch nix auffälliges mehr. Vielleicht ihr ? Bin Im Moment ratlos...

Logfile of HijackThis v1.99.1
Scan saved at 12:27:15, on 30.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\dcomcfg.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\OSD.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
C:\WINDOWS\system32\hphmon04.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Jens\Desktop\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINDOWS\system32\hp9727.tmp
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [LMgrOSD] C:\Programme\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM\..\Run: [HPHmon04] C:\WINDOWS\system32\hphmon04.exe
O4 - HKLM\..\Run: [HPHUPD04] "C:\Programme\HP Photosmart 11\hphinstall\UniPatch\hphupd04.exe"
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [WLAN Quick-Starter] "C:\Programme\WLAN Quick-Starter\WLAN Quick-Starter.exe" -update
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1092733492931
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1137778176214
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: AccSys WiFi Component (accsvc) - AccSys GmbH - C:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: Pml Driver HPH11 - HP - C:\WINDOWS\system32\HPHipm11.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe



Ich kopiere mal vorsichtshalber auch die 4 Textdateien hier rein: Im Voraus schonmal Danke für eure Bemühungen!

1.Log
Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: F418-7F23

Verzeichnis von C:\WINDOWS\system32

30.04.2006 12:42 5.016 stdole3.tlb
30.04.2006 12:13 35.874 vsconfig.xml
30.04.2006 12:13 6.144 simpole.tlb
30.04.2006 12:13 33.280 hp9727.tmp
30.04.2006 06:04 16.432 dcomcfg.exe
30.04.2006 06:04 10.044 atmclk.exe
30.04.2006 05:51 2.206 wpa.dbl
28.04.2006 15:15 0 asfiles.txt
28.04.2006 15:12 2.550 Uninstall.ico
28.04.2006 15:12 1.406 Help.ico
28.04.2006 15:12 30.590 pavas.ico
28.04.2006 13:40 15.057 regperf.exe
28.04.2006 01:27 81.920 ElbyCDIO.dll
26.04.2006 18:29 229.592 FNTCACHE.DAT
06.04.2006 21:48 5.143.456 MRT.exe
06.04.2006 10:54 73.728 asuninst.exe
03.04.2006 10:59 128 xposer.cfg
03.04.2006 10:59 128 asinst.cfg
30.03.2006 11:26 1.492.480 shdocvw.dll
30.03.2006 03:16 18.944 xpsp3res.dll
27.03.2006 12:21 376.350 perfh009.dat
27.03.2006 12:21 386.912 perfh007.dat
27.03.2006 12:21 52.148 perfc009.dat
27.03.2006 12:21 62.974 perfc007.dat
27.03.2006 12:21 886.752 PerfStringBackup.INI
23.03.2006 22:34 3.074.560 mshtml.dll
18.03.2006 13:09 615.424 urlmon.dll
17.03.2006 11:11 679.424 inetcomm.dll
17.03.2006 06:03 8.493.056 shell32.dll
17.03.2006 02:38 28.672 verclsid.exe
10.03.2006 06:09 5.533.696 wmp.dll
04.03.2006 05:34 664.064 wininet.dll
04.03.2006 05:34 474.624 shlwapi.dll
04.03.2006 05:34 39.424 pngfilt.dll
04.03.2006 05:34 448.512 mshtmled.dll
04.03.2006 05:34 146.432 msrating.dll
04.03.2006 05:34 532.480 mstime.dll
04.03.2006 05:34 55.808 extmgr.dll
04.03.2006 05:34 1.056.256 danim.dll
04.03.2006 05:34 96.768 inseng.dll
04.03.2006 05:34 251.392 iepeers.dll
04.03.2006 05:34 205.312 dxtrans.dll
04.03.2006 05:34 1.022.976 browseui.dll
04.03.2006 05:34 152.064 cdfview.dll
19.02.2006 22:59 43.520 CmdLineExt03.dll
04.01.2006 05:35 68.096 webclnt.dll
29.12.2005 04:54 280.064 gdi32.dll

2.Log
Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: F418-7F23

Verzeichnis von C:\DOKUME~1\Jens\LOKALE~1\Temp

30.04.2006 12:27 16.384 ~DF7431.tmp
30.04.2006 12:13 16.384 ~DF596D.tmp
30.04.2006 12:13 4.760 HPH3.tmp
30.04.2006 11:42 983 TmpICQMagic_{EC202595-1DFD-4301-A1EA-13C1E331B505}1877.html
30.04.2006 11:03 4.760 HPH2.tmp
30.04.2006 06:27 4.760 HPH1.tmp
6 Datei(en) 48.031 Bytes
0 Verzeichnis(se), 24.573.054.976 Bytes frei

3.Log

Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: F418-7F23

Verzeichnis von C:\WINDOWS

30.04.2006 12:13 1.254.048 WindowsUpdate.log
30.04.2006 12:13 3.886 ModemLog_Intel(R) 537EA Modem.txt
30.04.2006 12:13 0 0.log
30.04.2006 12:13 2.048 bootstat.dat
30.04.2006 12:12 32.618 SchedLgU.Txt
30.04.2006 11:07 958.089 setupapi.log
30.04.2006 06:31 155 winamp.ini
30.04.2006 06:25 611.660 ntbtlog.txt
30.04.2006 06:24 116 NeroDigital.ini
30.04.2006 06:21 215.862 setupact.log
28.04.2006 15:15 658 win.ini
28.04.2006 13:57 770 Sof2.INI
28.04.2006 12:57 54.156 QTFont.qfn
27.04.2006 15:53 378 wmsetup10.log
27.04.2006 15:53 152.483 wmsetup.log
27.04.2006 10:34 1.409 QTFont.for
27.04.2006 08:07 143.092 comsetup.log
27.04.2006 08:07 64.886 iis6.log
27.04.2006 08:07 86.030 ntdtcsetup.log
27.04.2006 08:07 162.837 tsoc.log
27.04.2006 08:07 1.374 imsins.log
27.04.2006 08:07 22.290 ocmsn.log
27.04.2006 08:07 11.289 KB900485.log
27.04.2006 08:07 203.936 ocgen.log
27.04.2006 08:07 20.288 msgsocm.log
27.04.2006 08:07 411.965 FaxSetup.log
27.04.2006 08:07 28.119 KB908531.log
25.04.2006 16:41 34 WISO.INI
23.04.2006 13:18 214 wiadebug.log
23.04.2006 12:54 50 wiaservc.log
19.04.2006 10:52 2.180 spupdsvc.log
19.04.2006 07:51 32.088 updspapi.log
19.04.2006 07:51 17.889 KB911562.log
19.04.2006 07:50 20.266 KB912812.log
19.04.2006 07:49 20.358 KB911565.log
19.04.2006 07:48 10.911 KB911567.log
27.03.2006 12:27 3.119 DirectX.log
24.02.2006 22:19 329 cdplayer.ini
17.02.2006 18:12 13.473 KB911927.log
17.02.2006 18:11 10.104 KB911564.log
17.02.2006 18:05 8.142 KB913446.log
21.01.2006 16:01 55 RadioTracker.INI
13.01.2006 14:20 10.165 KB908519.log
06.01.2006 13:01 11.070 KB912919.log
20.12.2005 16:55 7.370 KB910437.log
20.12.2005 16:55 28.801 KB905915.log
10.11.2005 10:59 11.946 KB896424.log
27.10.2005 17:43 12.157 KB896688.log
19.10.2005 00:51 18.875 KB901017.log
19.10.2005 00:51 22.489 KB902400.log
19.10.2005 00:50 13.488 KB905414.log
19.10.2005 00:50 14.018 KB900725.log
19.10.2005 00:50 11.216 KB904706.log
19.10.2005 00:50 12.396 KB905749.log
17.08.2005 11:20 20.398 KB899587.log
17.08.2005 11:20 19.880 KB899591.log
17.08.2005 11:20 20.065 KB893756.log
17.08.2005 11:20 19.048 KB896423.log
17.08.2005 11:19 20.647 KB896727.log
17.08.2005 11:19 13.720 KB899588.log
17.08.2005 11:19 13.528 KB894391.log

4.Log
Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: F418-7F23

Verzeichnis von C:\

30.04.2006 12:50 0 sys.txt
30.04.2006 12:49 9.044 system.txt
30.04.2006 12:48 566 systemtemp.txt
30.04.2006 12:46 102.929 system32.txt
30.04.2006 12:13 535.875.584 hiberfil.sys
30.04.2006 12:13 805.306.368 pagefile.sys
30.04.2006 06:18 3.664 smitfiles.txt
26.04.2006 18:36 561 hpfr5550.xml
26.04.2006 18:36 59.025 hph7350.log
28.09.2005 08:18 10.615.350 AVG7DB_F.DAT
11.05.2005 11:02 154 JANUS.ERR
28.04.2005 08:00 12.404.209 AVG7QT.DAT
30.10.2004 10:03 211 boot.ini
05.09.2004 09:35 100 AUTOEXEC.BAT
17.08.2004 17:43 0 IO.SYS
17.08.2004 17:43 0 CONFIG.SYS
17.08.2004 17:43 0 MSDOS.SYS
04.08.2004 14:00 47.564 NTDETECT.COM
04.08.2004 14:00 251.184 ntldr
04.08.2004 14:00 4.952 bootfont.bin
20 Datei(en) 1.364.681.465 Bytes
0 Verzeichnis(se), 24.573.050.880 Bytes frei

#2 Schmuggler

findest du auch einen SpyFalcon, oder bist du dir sicher, dass es MalwareWipe war?
Es ist wichtig fuer mich das zuwissen...denn im moment geht es ziemlich konfus zu mit diesen Faketools und ich weiss schon nicht mehr , was ich wem, wie zuordnen soll

-------------

arbeite das alles ab:
http://virus-protect.org/artikel/spyware/spyfalcon.html

**
HijackThis: (Punkt 3)

O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINDOWS\system32\hp9727.tmp

**
Killbox: (Punkt 4)

C:\WINDOWS\system32\stdole3.tlb
C:\WINDOWS\system32\vsconfig.xml
C:\WINDOWS\system32\simpole.tlb
C:\WINDOWS\system32\hp9727.tmp
C:\WINDOWS\system32\dcomcfg.exe
C:\WINDOWS\system32\atmclk.exe
C:\WINDOWS\system32\regperf.exe

dann berichte
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo Sabina!

Danke erstmal für deine Hilfe.
Ich denke es war Malwarewipe, denn ich hatte z.B. in den Favoriten auch die unter Punkt 11 der Löschanleitung beschriebenen URL's drinstehen:

C:\Dokumente und Einstellungen\All Users\Startmenü\Online Security Center.url
C:\Dokumente und Einstellungen\All Users\Startmenü\Security Troubleshooting.url

Von einem Spyfalcon ist mir nichts bekannt.
Aber auf der oben genannten Seite theguardservices.com geht ja hervor, dass sämtliche Seuchen, also Malwarewipe, Pesttrap und ähnliches von der gleichen Verbrecherfirma stammt.

Werde erstmal deine Punkte abarbeiten und dann noch mal posten.
Auf jeden Fall werde ich nach dieser Geschichte auf Mozilla umsteigen, da Microsoft offenbar nichts taugt!

Nachtrag: Habe mir gerade deinen Link durchgelesen und es ist in der Tat so, dass ich mir erst vor kurzem Codecs für den Media Player runtergeladen hab...also doch SpyFalcon..

#4 abarbeiten (MalwareWipe)
http://virus-protect.org/artikel/spyware/malwarewipe.html

wenn alles fertig ist, scanne und poste den scanreport
http://virus-protect.org/artikel/tools/superantispyware.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 So, habe die Anleitung von Spyfalcon durch.

Das ist der erste Scanbericht von Superantispyware: Der hat auch noch jede Menge Unkraut gefunden. Tolles Programm!
Im Moment läuft alles stabil und auch Spytrooper hat sich heut noch nicht blicken lassen. Werde jetzt noch mal mit etrust scannen und dann noch mal nach Malwarewipe schauen. Denke aber das gröbste ist geschafft.
VIELEN DANK !!!!!!

Hier noch der Report von Superantispyware:

Core Rules Database Version : 2908
Trace Rules Database Version: 1040

Memory Thread detected : 0
Registry Thread detected : 136
File Thread detected : 13

Adware.MyWay
HKLM\Software\Classes\CLSID\{014DA6C9-189F-421a-88CD-07CFE51CFF10}
HKCR\CLSID\{014DA6C9-189F-421a-88CD-07CFE51CFF10}
HKCR\CLSID\{014DA6C9-189F-421a-88CD-07CFE51CFF10}\InProcServer32
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
HKLM\Software\Classes\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D1-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKLM\Software\Classes\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D9-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKU\S-1-5-21-832274822-2315337668-3158962667-1006\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser#{0494D0D9-F8E0-41AD-92A3-14154ECE70AC}
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}\1.0
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}\1.0\0
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}\1.0\0\win32
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}\1.0\FLAGS
HKCR\TypeLib\{0494D0D0-F8E0-41ad-92A3-14154ECE70AC}\1.0\HELPDIR
HKU\S-1-5-21-832274822-2315337668-3158962667-1006\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser#{0494D0D9-F8E0-41AD-92A3-14154ECE70AC}
HKCR\CLSID\{014DA6C9-189F-421A-88CD-07CFE51CFF10}
HKCR\MyWayToolBar.NetscapeShutdown
HKCR\MyWayToolBar.NetscapeShutdown\CLSID
HKCR\MyWayToolBar.NetscapeShutdown\CurVer
HKCR\MyWayToolBar.NetscapeShutdown.1
HKCR\MyWayToolBar.NetscapeShutdown.1\CLSID
HKCR\MyWayToolBar.NetscapeStartup
HKCR\MyWayToolBar.NetscapeStartup\CLSID
HKCR\MyWayToolBar.NetscapeStartup\CurVer
HKCR\MyWayToolBar.NetscapeStartup.1
HKCR\MyWayToolBar.NetscapeStartup.1\CLSID
HKCR\MyWayToolBar.SettingsPlugin
HKCR\MyWayToolBar.SettingsPlugin\CLSID
HKCR\MyWayToolBar.SettingsPlugin\CurVer
HKCR\MyWayToolBar.SettingsPlugin.1
HKCR\MyWayToolBar.SettingsPlugin.1\CLSID
HKCR\CLSID\{014DA6CD-189F-421a-88CD-07CFE51CFF10}
HKCR\CLSID\{014DA6CD-189F-421a-88CD-07CFE51CFF10}\InProcServer32
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\Control
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus\1
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKCR\CLSID\{0494D0D2-F8E0-41ad-92A3-14154ECE70AC}\Version
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\Control
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus\1
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKCR\CLSID\{0494D0D3-F8E0-41ad-92A3-14154ECE70AC}\Version
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\ProgID
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKCR\CLSID\{0494D0D5-F8E0-41ad-92A3-14154ECE70AC}\VersionIndependentProgID
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\ProgID
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKCR\CLSID\{0494D0D7-F8E0-41ad-92A3-14154ECE70AC}\VersionIndependentProgID
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\Control
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\InprocServer32#ThreadingModel
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\MiscStatus\1
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\ProgID
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\Programmable
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\TypeLib
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\Version
HKCR\CLSID\{0494D0DB-F8E0-41ad-92A3-14154ECE70AC}\VersionIndependentProgID
HKLM\Software\MyWay
HKLM\Software\MyWay\myBar
HKLM\Software\MyWay\myBar#Dir
HKLM\Software\MyWay\myBar#ShzmCurInstall
HKLM\Software\MyWay\myBar#pid
HKLM\Software\MyWay\myBar#strings
HKLM\Software\MyWay\myBar#CurInstall
HKLM\Software\MyWay\myBar#sr
HKLM\Software\MyWay\myBar#pl
HKLM\Software\MyWay\myBar#Id
HKLM\Software\MyWay\myBar#Build
HKLM\Software\MyWay\myBar#CacheDir
HKLM\Software\MyWay\myBar#HistoryDir
HKLM\Software\MyWay\myBar#Visible
HKLM\Software\MyWay\myBar#SettingsDir
HKLM\Software\MyWay\myBar#ConfigRevision
HKLM\Software\MyWay\myBar#ConfigRevisionURL
HKLM\Software\MyWay\myBar#ConfigDateStamp
HKLM\Software\MyWay\myBar#Maximized
HKLM\Software\MyWay\myBar\partner
HKLM\Software\MyWay\myBar\partner#bitmap
HKLM\Software\MyWay\myBar\partner#name
HKLM\Software\MyWay\myBar\partner#test
HKLM\Software\MyWay\myBar\partner#PM-Home
HKLM\Software\MyWay\myBar\partner#PM-Points
HKLM\Software\MyWay\myBar\partner#PM-Redeem
HKLM\Software\MyWay\myBar\partner#PM-Wallet
HKLM\Software\MyWay\myBar\partner#PM-Settings
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall#DisplayName
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall#HelpLink
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall#Publisher
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall#UninstallString
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\My Way Speedbar Uninstall#UrlInfoAbout

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\Jens\Cookies\jens@serving-sys[2].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@msnportal.112.2o7[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@as-eu.falkag[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@m1.webstats4u[2].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@mediaplex[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@atdmt[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@mediavantage[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@sel.as-eu.falkag[2].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@doubleclick[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@2o7[1].txt
C:\Dokumente und Einstellungen\Jens\Cookies\jens@adtech[2].txt

Adware.Cydoor
HKU\S-1-5-21-832274822-2315337668-3158962667-1006\Software\Cydoor
HKLM\Software\Cydoor
HKLM\Software\Cydoor#AdwrCnt

Adware.GAIN/Gator
HKLM\Software\Gator.com
HKLM\Software\Gator.com\AppInfo
HKLM\Software\Gator.com\CMEII
HKLM\Software\Gator.com\CMEII#AppHist
HKLM\Software\Gator.com\CMEII#numInst
HKLM\Software\Gator.com\Gator
HKLM\Software\Gator.com\Gator\dyn
HKLM\Software\Gator.com\Gator\dyn\GCH
HKLM\Software\Gator.com\Gator\dyn\GCH\_gs
HKLM\Software\Gator.com\Gator\dyn\GCH\_gs#StartTime
HKLM\Software\Gator.com\Gator\dyn\GCH\_gs#OldestTime
HKLM\Software\Gator.com\Gator\dyn\GCH\_gs#355-200
HKLM\Software\Gator.com\Gator\dyn\GCH\_gs#355-bytes

Trojan.Homepage
C:\Dokumente und Einstellungen\Jens\Desktop\backups\backup-20060430-212849-131.dll

Nachtrag: Etrust Pestscan findet immer noch Adware, die Superantispyware nicht findet...: Wie bekomme ich denn die nun weg ??

Cydoor Adware
Adware "Cydoor" gefunden in:
key "hkey_classes_root \adm25.adm25"
key "hkey_classes_root \adm25.adm25.1"
key "hkey_local_machine \software\classes\appid\adm.exe" value "appid"
key "hkey_local_machine \software\classes\appid\altnet signing module.exe" value "appid"
key "hkey_classes_root \appid\adm.exe" value "appid" data "{99a8e2b2-3405-4c0d-9110-131c14caaf62}"
key "hkey_classes_root \appid\altnet signing module.exe" value "appid" data "{8b0fef15-54dc-49f5-8377-8172de975f75}"
Weitere Infos
IntermixMedia.KeenValue Hijacker
Hijacker "IntermixMedia.KeenValue" gefunden in:
key "hkey_classes_root \bho.perfectnavbho"
key "hkey_classes_root \bho.perfectnavbho.1"
key "hkey_classes_root \typelib\{de289bfa-737b-4abb-a4ec-f8753551b875}"
Weitere Infos
Claria.CommonComponents Adware
Adware "Claria.CommonComponents" gefunden in:
key "hkey_classes_root \clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}"
key "hkey_local_machine \software\classes\clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}"
File "C:\WINDOWS\gatorpdpsetup.log"
Weitere Infos
KaZaA P2P
P2P "KaZaA" gefunden in:
key "hkey_classes_root \clsid\{66fc8717-efa7-4546-8c4a-e224f3a80c76}"
key "hkey_local_machine \software\classes\adm25.adm25"
key "hkey_local_machine \software\classes\adm25.adm25.1"
key "hkey_local_machine \software\classes\adm4.adm4"
key "hkey_local_machine \software\classes\adm4.adm4.1"
key "hkey_local_machine \software\classes\clsid\{66fc8717-efa7-4546-8c4a-e224f3a80c76}"
key "hkey_local_machine \software\microsoft\windows\currentversion\app management\arpcache\p2p networking"
Weitere Infos
EUniverse Hijacker
Hijacker "EUniverse" gefunden in:
key "hkey_classes_root \interface\{8b8f6968-2f24-41e3-b653-e9613226f14d}"
key "hkey_local_machine \software\classes\bho.perfectnavbho"
key "hkey_local_machine \software\classes\bho.perfectnavbho.1"
key "hkey_local_machine \software\classes\interface\{8b8f6968-2f24-41e3-b653-e9613226f14d}"
key "hkey_local_machine \software\classes\typelib\{de289bfa-737b-4abb-a4ec-f8753551b875}"
Weitere Infos
Com.com Tracking Cookie
Tracking Cookie "Com.com" gefunden in:
Cookie "jens@com[1].txt" File "C:\Dokumente und Einstellungen\Jens\Cookies\jens@com[1].txt"
Weitere Infos
Unclassified Trojan Trojan
Trojan "Unclassified Trojan" gefunden in:
File "C:\Programme\launch manager\wmdevice.exe"
Weitere Infos
Twain-Tech Adware
Adware "Twain-Tech" gefunden in:
File "C:\WINDOWS\smdat32a.sys"
Weitere Infos

#6 Schmuggler

loesche:
C:\WINDOWS\smdat32a.sys

deinstalliere:
- C:\Programme\launch manager
- p2p networking

Counterspy
http://virus-protect.org/counterspy.html
* nach dem Scan muss man sich entscheiden für:

*Ignore
*Remove --> Status: Deleted
*Quarantaine

wähle immer Remove und starte den PC neu (dann kopiere den Scanreport ab
__________
MfG Sabina

rund um die PC-Sicherheit

#7 So genug der Taten für heute:
AVG gescannt
SuperAntiSpyware mehrfach gescannt
CounterSPY mehrfach gescannt
Etrust findet auch nix mehr.
Morgen zur Sicherheit noch mal Kaspersky.

Den Scan Report von Counterspy spar ich mir an dieser stelle, da man ja nur den letzten Scan abrufen kann und der ja nix mehr findet, d.h. alle Seuchen beseitigt! Juhu!!! Hoffe es hält diesmal ne weile!

Ein herzliches Dankeschön an Sabina und den Rest des Teams! Ohne euch hätte ich es nicht geschafft!

P.S.Falls noch jemand Anregungen hat, wie ich in Zukunft diese Dinger vermeiden kann, wäre ich sehr dankbar. Benutze derzeit IE 6 mit Zone Alarm und AVG.

#8

Zitat

P.S.Falls noch jemand Anregungen hat, wie ich in Zukunft diese Dinger vermeiden kann, wäre ich sehr dankbar. Benutze derzeit IE 6 mit Zone Alarm und AVG.

1. Firefox (der IE bleibt fuer die WindowsUpdates)
http://virus-protect.org/firefox.html

2. Windowsdefender
http://virus-protect.org/ms.html

3.
Eingeschränktes Benutzerkonto
http://virus-protect.org/administrator.html


__________
MfG Sabina

rund um die PC-Sicherheit