Hijackthis kann Boese .DLL nicht loeschen

#1 Hier mein Hijackthis Log
Logfile of HijackThis v1.99.1
Scan saved at 00:14:49, on 30.06.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\Explorer.EXE
C:\windows\system32\spoolsv.exe
e:\Programme\AVPersonal\AVWUPSRV.EXE
E:\Programme\Norton Antivirus\navapsvc.exe
E:\Programme\Norton Antivirus\AdvTools\NPROTECT.EXE
C:\windows\System32\nvsvc32.exe
C:\windows\System32\oodag.exe
E:\Programme\FireFox\firefox.exe
C:\windows\System32\wuauclt.exe
C:\Dokumente und Einstellungen\charmehaar\Eigene Dateien\hijack this\HijackThis.exe

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\windows\system32\pmnljge.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Programme\Norton Antivirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - E:\Programme\Norton Antivirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\windows\System32\MSDXM.OCX
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\windows\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\windows\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Download with NetPumper - e:\Programme\NetPumper\AddUrl.htm
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://apple.speedera.net/qtinstall.info.apple.com/sikes/de/win/QuickTimeInstaller.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {CAFEEFAC-0014-0001-0001-ABCDEFFEDCBA} (Java Runtime Environment 1.4.1_01) -
O16 - DPF: {E504EE6E-47C6-11D5-B8AB-00D0B78F3D48} - http://chat.yahoo.com/cab/yvwrctl.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: pmnljge - C:\windows\SYSTEM32\pmnljge.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - e:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - E:\Programme\Norton Antivirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - E:\Programme\Norton Antivirus\AdvTools\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\System32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\windows\System32\oodag.exe
O23 - Service: SAVScan - Symantec Corporation - E:\Programme\Norton Antivirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe





Hate es grade mit nem Trojaner zu tun, soweit laeuft alles aber folgender Eintrag laesst sich nicht entfernen:

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\windows\system32\pmnljge.dll

Die Datei pmnljge.dll wird auch im abgesicherten Modus nicht angezeigt. Hijackthis versucht vergeblich sie zu loeschen.

Wie kriege ich die weg?

danke schonmal !!
Matthias

#2 stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Danke fuer deine Hilfe !

Hier dann die .Log Dateien nachdem ich cleanup durchgefuehrt habe (Hijackthis zeigt keine gefaehrlichen Dateien/Eintrage mehr an, die .dll File ist weg)


Verzeichnis von C:\WINDOWS\system32

30.06.2006 13:13 596.886 tssru.ini
30.06.2006 13:07 43.573 nvapps.xml
30.06.2006 12:43 596.153 tssru.bak1
30.06.2006 12:43 569.396 ursst.dll
30.06.2006 12:38 29.100 OODBS.lor
29.06.2006 23:37 333.872 FNTCACHE.DAT
29.06.2006 23:14 39.437 pmnljge.dll
29.06.2006 23:14 12.243 winhwp32.dll
29.06.2006 01:55 141 AU8Settings.ini
25.06.2006 20:12 2.184 wpa.dbl
19.06.2006 02:23 9.691 QuickTime.qtp
19.06.2006 02:20 5.064 QuickTimeFavorites.qtr
27.04.2006 17:49 288.417 SrchSTS.exe
23.04.2006 20:54 305.454 perfh009.dat
23.04.2006 20:54 37.896 perfc009.dat
23.04.2006 20:54 705.468 PerfStringBackup.INI
23.04.2006 20:54 310.140 perfh007.dat
23.04.2006 20:54 45.870 perfc007.dat




Verzeichnis von C:\DOKUME~1\CHARME~1\LOKALE~1\Temp


30.06.2006 13:13 240 datFind-1.zip
30.06.2006 13:11 240 datFind.zip





Verzeichnis von C:\WINDOWS

30.06.2006 13:07 1.644.081 WindowsUpdate.log
30.06.2006 12:39 0 0.log
30.06.2006 12:38 2.048 bootstat.dat
30.06.2006 10:51 411 wiadebug.log
30.06.2006 10:51 32.622 SchedLgU.Txt
30.06.2006 10:51 50 wiaservc.log
30.06.2006 00:11 504.072 ntbtlog.txt
30.06.2006 00:11 480 setupact.log
29.06.2006 23:26 2.086 comsetup.log
29.06.2006 23:26 1.265 ntdtcsetup.log
29.06.2006 23:26 2.809 tsoc.log
29.06.2006 23:26 1.006 MSI30-KB884016Uninst.log
29.06.2006 23:26 1.374 imsins.log
29.06.2006 23:26 7.942 iis6.log
29.06.2006 23:26 2.480 ocgen.log
29.06.2006 23:26 212 ocmsn.log
29.06.2006 23:26 297 msgsocm.log
29.06.2006 23:26 6.182 FaxSetup.log
29.06.2006 23:26 1.902 msmqinst.log
29.06.2006 23:26 0 setuperr.log
29.06.2006 23:15 1.083 setupapi.log
29.06.2006 12:05 2.010 ModemLog_Trust 56K V92 PCI Modem.txt
23.06.2006 08:50 49 NeroDigital.ini
22.06.2006 11:38 460 ST6UNST.002
22.06.2006 11:38 73.216 ST6UNST.EXE
22.06.2006 11:32 1.317 ST6UNST.001
06.06.2006 02:54 1.125 Winamp.ini
30.04.2006 13:01 253 Proxyrama.INI



Verzeichnis von C:\

30.06.2006 13:16 0 sys.txt
30.06.2006 13:16 9.724 system.txt
30.06.2006 13:15 346 systemtemp.txt
30.06.2006 13:13 115.821 system32.txt
30.06.2006 12:38 603.168.768 pagefile.sys
30.06.2006 12:38 402.182.144 hiberfil.sys
30.06.2006 00:11 888 rapport.txt
06.06.2006 03:24 97 RTSPNetSrc.log


-----------

Jetzt startet bei mir nurnoch son komisches AntiVirus/Ad-programm kurz nach starten des Pcs.


Danke bekommst auch schonmal ne kleine Spende !

#4 1,
Vundofix abarbeiten
http://virus-protect.org/artikel/tools/vundofixx.html

2,
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

Zitat

Files to delete:
C:\WINDOWS\system32\tssru.ini
C:\WINDOWS\system32\AU8Settings.ini
C:\WINDOWS\system32\nvapps.xml
C:\WINDOWS\system32\tssru.bak1
C:\WINDOWS\system32\ursst.dll
C:\WINDOWS\system32\pmnljge.dll
C:\WINDOWS\system32\winhwp32.dll

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

3.
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

Zitat

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\windows\system32\pmnljge.dll
O20 - Winlogon Notify: pmnljge - C:\windows\SYSTEM32\pmnljge.dll

4.
Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.

(dann wieder aktivieren)

5,
berichte
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Super, jetzt kommt definitiv nix mehr, Hijackthis zeigt auch nichtsmehr an.

die beiden eintraege

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\windows\system32\pmnljge.dll
O20 - Winlogon Notify: pmnljge - C:\windows\SYSTEM32\pmnljge.dll

liessen sich entfernen

nochmals danke !