Backdoor.CIADoor.13 |
||
|---|---|---|
| #0
| ||
|
18.09.2006, 09:33
Ehrenmitglied
 Beiträge: 29434 |
||
 
|
|
|
|
18.09.2006, 15:26
...neu hier
Beiträge: 6 |
#32
Zitat »»»das hatte ich bereits gemacht ^^ hatte ja schon mitgelesen. Aber Zitat »»»den punkt habe ich net gefunden.. Allerddings habe ich unter: HKEY_USERS sehr viele (glaub ich neue) Ordner --> http://img83.imageshack.us/img83/9887/bildcb9.jpg Wenn ich mit "regsearch" nach: DisableTaskMgr DisableRegistryTools DisableCMD suche, finde ich folgendes: DisableTaskMgr --> nix mehr DisableRegistryTools --> --> nix mehr DisableCMD --> auch nix mehr (obwohl ich mir hier ziemlich sicher bin, dass ich einen eintrag in: HKEY_USERS\S-1-5-21-606747145-1336601894-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Policies\System gefunden hatte - ihn aber schon gelöscht habe.. 2. Gemacht... hier nochma ein aktuelles: Zitat Logfile of HijackThis v1.99.13. Seeehr nettes tool  damit spart man sich viel arbeit.. CleanUp! 4.5.2 recovered 458.5 MB of disk space from 15437 files. CleanUp! finished on 09/18/06 15:13:22. ^^ 4. Zitat Datentr„ger in Laufwerk C: ist WINDOWS Zitat Datentr„ger in Laufwerk C: ist WINDOWS Zitat Datentr„ger in Laufwerk C: ist WINDOWS Zitat Datentr„ger in Laufwerk C: ist WINDOWS |
|
|
|
|
|
|
18.09.2006, 15:31
Ehrenmitglied
Beiträge: 29434 |
#33
ich finde nichts mehr, du kannst noch mal mit Counterspy scannen - poste den report
http://virus-protect.org/counterspy.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
18.09.2006, 16:41
...neu hier
Beiträge: 6 |
#34
Zitat Spyware Scan DetailsNoch eine frage, was bringt der user (unter benutzer): ASP.net machine a... ??? |
|
|
|
|
|
|
19.09.2006, 00:50
Ehrenmitglied
Beiträge: 29434 |
#35
**
Avenger http://virus-protect.org/artikel/tools/avenger.html kopiere rein Zitat Files to delete:Klicke die gruene Ampel das Script wird nun ausgeführt, dann wird der PC automatisch neustarten ** deine Frage verstehe ich nicht.......... Zitat Noch eine frage, was bringt der user (unter benutzer): __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
19.09.2006, 08:44
...neu hier
Beiträge: 6 |
#36
erstmal danke für die hilfe
 echt guter support hier zu: Zitat Noch eine frage, was bringt der user (unter benutzer):Es gibt bei mir (und meiner freundin) einen user (systemsteuerung -> benutzer) namens: "ASP.net machine a..." was bringt der ? der ist mir noch nie aufgefallen... |
|
|
|
|
|
|
19.09.2006, 11:05
Ehrenmitglied
Beiträge: 29434 |
#37
hast du XP-Prof oder Home ?
Start - Ausfuehren - > compmgmt.msc findest du: Local Users and Groups ? __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
20.09.2006, 00:43
...neu hier
Beiträge: 6 |
||
|
|
|
|
|
20.09.2006, 00:46
Ehrenmitglied
Beiträge: 29434 |
#39
dann loesche ihn dort auch, ueber: Local Users and Groups
__________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
20.09.2006, 11:54
...neu hier
Beiträge: 6 |
||
|
|
|
|
|
20.09.2006, 11:57
Ehrenmitglied
Beiträge: 29434 |
#41
net.frame 1.1 installiert
Windows richtet - für bestimmte Dienste (in diesem Fall .NET) spezielle Konten ein, die ausreichend Rechte besitzen, Einstellungen zu ändern (in diesem Fall an .NET). Ich nehme an, du hast ein Windows-Update und dadurch neue asp.NET-Komponenten auf die Platte gespielt wurden. loesche das Konto, aber nicht die Daten. oder: (kannst das konto auch bestehen lassen...kein Problem) __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
22.09.2006, 15:15
Member
Beiträge: 14 |
#42
Hi,
ich habe mir ebenso Ciadoor.13 eingefangen. Ich habe einmal Antivir durchlaufen lassen, das hat dann 10 Viren oder was auch immer gelöscht. Aber da immer noch Porno-Pop-Ups sich einfach so geöffnet haben (und sowohl keine Icons als auch keine Startleiste mehr angezeigt wurde), hat ein Freund von mir mit der Windows CD versucht die vom System gelöschten Dateien zu reparieren. Hat soweit auch gut geklappt. Nun kamen aber diese Pop-ups weiterhin, was wirklich ärgerlich ist und ein anderer Freund hat mir Ad-Aware empfohlen, dass dann das auch noch mal entdeckt hat... N aja ich habe da von einfach keine Ahnung und habe gehofft, dass es damit nun alles ist, aber es öffnen sich immer noch diese unerwünschten Pop-ups. Meine Bitte hier ist, ob sich bitte jemand mal das angucken könnte, ob es denn nun wirklich weg ist, oder ob noch was da ist? Wie gesagt ich habe davon gar keinen Schimmer, und hoffe, dass mir jemand helfen kann. LG Caillean Logfile of HijackThis v1.99.1 Scan saved at 14:57:40, on 22.09.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\nvraidservice.exe C:\Programme\Java\jre1.5.0_06\bin\jusched.exe C:\Program Files\PViever\pviever.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\Programme\Rainlendar\Rainlendar.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\wbem\unsecapp.exe C:\WINDOWS\system32\WgaTray.exe C:\WINDOWS\System32\svchost.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\AntiVir PersonalEdition Classic\avscan.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Dokumente und Einstellungen\Marion Hientz\Desktop\hijackthis\HijackThis.exe O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe" O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [PViever] "C:\Program Files\PViever\pviever.exe" hide O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: Rainlendar.lnk = C:\Programme\Rainlendar\Rainlendar.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Microsoft Office OneNote 2003 Schnellstart.lnk = C:\Programme\Microsoft Office\OFFICE11\ONENOTEM.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{3FDC339B-6AFF-437D-A074-84FF436CA6FE}: NameServer = 85.255.115.67,85.255.112.108 O17 - HKLM\System\CCS\Services\Tcpip\..\{C1D4AA98-DD23-433F-8A6C-0B4EF0541BE7}: NameServer = 85.255.115.67,85.255.112.108 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.67 85.255.112.108 O17 - HKLM\System\CS1\Services\Tcpip\..\{3FDC339B-6AFF-437D-A074-84FF436CA6FE}: NameServer = 85.255.115.67,85.255.112.108 O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.67 85.255.112.108 O17 - HKLM\System\CS2\Services\Tcpip\..\{3FDC339B-6AFF-437D-A074-84FF436CA6FE}: NameServer = 85.255.115.67,85.255.112.108 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.67 85.255.112.108 O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe |
|
|
|
|
|
|
22.09.2006, 15:28
Ehrenmitglied
Beiträge: 29434 |
#43
Caillean
deine Internetverbindung wird im Moment auf einen Server in der Ukraine umgeleitet.  « stelle den CleanUp genauso ein, wie hier angegeben: http://virus-protect.org/cleanup.html « Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab) http://virus-protect.org/datfindbat.html « scanne und poste den report http://virus-protect.org/artikel/tools/fixwareout.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
22.09.2006, 15:55
Member
Beiträge: 14 |
#44
ClainUp hab ich eingestellt aber beim anderen teil kommt nicht der texteditor sondern da steht:
Die Eingabeaufforderung ist vom Administrator deaktiviert worden. Drücken sie eine beliebige taste... Soll das so sein? Edit: Habs die ganze Zeit schon weiter probiert aber datfindbat geht irgendwie nicht, wie darüber beschrieben... Langsam verzweifle ich... Dieser Beitrag wurde am 22.09.2006 um 16:32 Uhr von Caillean editiert.
|
|
|
|
|
|
|
22.09.2006, 17:46
Ehrenmitglied
Beiträge: 29434 |
#45
Caillean
Start->Ausführen --> regedit »»» HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen) DisableRegistryTools = ganzen Schluessel loeschen »»» HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD (Ohne den Schlüssel Policies) Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn. PC neustarten __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
1.
Start->Ausführen --> regedit
»»»
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)
DisableRegistryTools = ganzen Schluessel loeschen
»»»
HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)
Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn.
2.
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Zitat
3.stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html
4.
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina
rund um die PC-Sicherheit