virus alert + hjt-log

#1 seit kurzen wird mir immer virus alert angezeigt, habe auch schon einiges runtergeladen (hjt ect) aber brauche hilfe. das ganze sieht wie bei spywarequake http://virus-protect.org/artikel/spyware/spywarequake.html aus (das rote fenster und das gelbe dreieck), deshalb meine vermutung das es dieses program sein könnte, dagegen brauche ich nun hilfe.

meine hjt log:
Logfile of HijackThis v1.99.1
Scan saved at 18:41:20, on 15.07.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\msdtc.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\sstray.exe
C:\Programme\D-Link\Air USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe
C:\WINNT\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINNT\system32\RUNDLL32.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\epson\EPSON CardMonitor\EPSON CardMonitor1.2.exe
C:\Programme\AlphaSoft\TrueTerm 2001\TrueTerm.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\juma1\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.inwarcraft.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 169.254.226.195:255
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Meine Traffic] C:\PROGRA~1\MT\MT.EXE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [EPSON Stylus CX3600 Series] C:\WINNT\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P26 "EPSON Stylus CX3600 Series" /O6 "USB001" /M "Stylus CX3600"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [sload] "C:\WINNT\sload.exe"
O4 - HKCU\..\Run: [Wallpaper4U] C:\PROGRA~1\WALLPA~1\WALLPA~1.EXE -w
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: EPSON CardMonitor.lnk = C:\Programme\epson\EPSON CardMonitor\EPSON CardMonitor1.2.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: TrueTerm Taskpanel.lnk = C:\Programme\AlphaSoft\TrueTerm 2001\TrueTerm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O12 - Plugin for .wav: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {48884C41-EFAC-433D-958A-9FADAC41408E} (EGamesPlugin Class) - https://www.e-games.com.my/com/EGamesPlugin.cab
O16 - DPF: {7B41B7AC-3496-4C13-A70F-DE6B60A6A8A8} (MGAME manager Class) - http://www.legendofares.com/download/mgusamanagerv1001.cab
O16 - DPF: {AA33C66F-71DB-43E9-B559-3CBE4398E9A9} (BugsGameStarts Class) - http://au.bugsgames.net/game/GBugsGameStart.cab
O21 - SSODL: coursings - {f8d02387-789a-4c0f-a1d8-8a93f33ee4df} - C:\WINNT\system32\yephk.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service (iPodService) - Unknown owner - C:\Programme\iPod\bin\iPodService.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe[/url]

#2 siehe oben, du warst auf der richtigen Seite
Ich helfe dir bei der Reinigung .

stelle den CleanUp genauso ein, wie hier angegeben:+ PC neustarten
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3

Zitat

lso das programm hat sich auch nach mehreren minuten nicht geöffnet, lass ich das dann?

poste erst mal diese 4 Logs hier, dann sehen wir weiter................
__________
MfG Sabina

rund um die PC-Sicherheit

#4 system32:
17.07.2006 13:28 77.312 VundoFix.exe
17.07.2006 13:26 3.284 ANIWZCS{35201BCE-CA5A-44B8-A0EF-D87AFC43AFE9}
17.07.2006 13:25 49.832 nvapps.xml
14.07.2006 16:46 0 WIN.INI
14.07.2006 16:46 0 SYSTEM.INI
12.07.2006 23:53 16.384 Perflib_Perfdata_3a8.dat
05.07.2006 20:29 16.384 Perflib_Perfdata_390.dat
04.07.2006 19:46 6.948 jupdate-1.5.0_06-b05.log
25.06.2006 15:52 130.096 FNTCACHE.DAT
17.06.2006 13:10 16.384 Perflib_Perfdata_39c.dat
16.06.2006 11:33 57.384 avsda.dll
11.06.2006 15:53 98.304 CmdLineExt.dll
08.06.2006 01:00 176.167 rmoc3260.dll
08.06.2006 01:00 5.632 pndx5032.dll
08.06.2006 01:00 6.656 pndx5016.dll
08.06.2006 01:00 278.528 pncrt.dll
15.05.2006 14:30 115 EPPICResdb
15.05.2006 14:30 4.682 EPPICResdb0000

temp:
17.07.2006 13:48 16.384 ~DFDC48.tmp
17.07.2006 13:35 412 jusched.log
17.07.2006 13:26 16.384 ~DF5675.tmp
17.07.2006 13:26 512 ~DF37A7.tmp
17.07.2006 13:26 16.384 ~DF3798.tmp
17.07.2006 13:26 0 JET6E64.tmp
17.07.2006 13:10 16.384 ~DF7DC9.tmp
17.07.2006 13:10 16.384 ~DF5B8C.tmp

system:
17.07.2006 13:23 32.632 SchedLgU.Txt
17.07.2006 13:23 1.197.472 ShellIconCache
17.07.2006 01:43 54.156 QTFont.qfn
16.07.2006 01:00 116 NeroDigital.ini
15.07.2006 02:31 1.409 QTFont.for
14.07.2006 16:41 146 W2W.ini
14.07.2006 00:17 963.741 setupapi.log
04.07.2006 19:46 4.811 mozver.dat
25.06.2006 19:49 139 msicpl.ini
25.06.2006 18:57 93.418 War3Unin.dat
17.06.2006 13:09 267.134 DirectX.log
15.06.2006 21:38 3.508 Windows Update.log
12.06.2006 13:53 163 wmsetup.log
11.06.2006 15:47 23 BlendSettings.ini
08.06.2006 01:01 370 cdPlayer.ini
02.06.2006 17:50 99.970 UninstallFirefox.exe
21.05.2006 17:32 167 game.ini
21.05.2006 17:03 3.038 tm.ini
21.05.2006 12:32 41 tdf.dii
30.04.2006 20:47 151 PhotoSnapViewer.INI
26.04.2006 13:38 516 win.ini

sys:
17.07.2006 13:59 0 sys.txt
17.07.2006 13:59 9.703 system.txt
17.07.2006 13:58 664 systemtemp.txt
17.07.2006 13:54 106.755 system32.txt
17.07.2006 13:25 805.306.368 pagefile.sys
15.07.2006 14:40 206.221 dirdat.txt
15.07.2006 14:33 207.064 filelist.txt


gleich noch ne frage, auf den ganzen seiten wie der von mir oben genannten sind ja dll und exen aufgelistet, das sind dann die der "virenprogramme" die man löschen sollte wenn sie bei einem vorhanden sind

#5 masterfujin

meine Seite behandelt die Verseuchung mit SpywareQuake von Beginn an..logisch, dass nicht alle dieser Dateien auf deinem Rechner sind
http://virus-protect.org/artikel/spyware/spywarequake.html

------------------------------------------------------------------------------

1.
Start-->Ausfuehren--> regedit

bearbeiten - suchen - switp

ueberpruefe bitte, ob du folgende Eintraege in der Registry findest, wenn ja, mit rechtsklick loeechen

HKEY_LOCAL_MACHINE\SOFTWARE\switp
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\switp

------------------------------------------------------------------------------

2.
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O4 - HKLM\..\Run: [sload] "C:\WINNT\sload.exe"
O21 - SSODL: coursings - {f8d02387-789a-4c0f-a1d8-8a93f33ee4df} - C:\WINNT\system32\yephk.dll

PC neustarten

------------------------------------------------------------------------------

3.
Pocket KillBox
http://virus-protect.org/killbox.html

Options: "Delete on Reboot" und "Single File"--> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ...

Zitat

C:\WINNTsxload.com
C:\WINNTswitpb.exe
C:\WINNTsload.exe
C:\WINNT\system32\yephk.dll

PC neustarten

-----------------------------------------------------------------------------

4.
Deinstallieren:(falls es existiert )
"Start -> Einstellungen -> Systemsteuerung -> Software" -->OfferAgent

-----------------------------------------------------------------------------

5.
scanne mit ewido und poste den scanreport
http://virus-protect.org/ewido.html
__________
MfG Sabina

rund um die PC-Sicherheit

#6 habe mich um
O4 - HKLM\..\Run: [sload] "C:\WINNT\sload.exe"
und
O21 - SSODL: coursings - {f8d02387-789a-4c0f-a1d8-8a93f33ee4df} - C:\WINNT\system32\yephk.dll
gekümmert wobei das erste immer wieder auftaucht aber dafür ist die virusmeldung aus der taskleiste weg durch entfernen des 2.

muss ich den rest dann noch machen?

#7 du musst genau abarbeiten, was ich schreibe, also in die Registry gehen usw...
ich schreibe extra alles numeriert.
also schreibe du : 1. abgearbeitet...usw..
__________
MfG Sabina

rund um die PC-Sicherheit

#8 habe 1. abgearbeitet aber nichts gefunden
dann 2. abgearbeitet und nach dem neustart war aber das icon in der taskleiste weg

sload habe ich jetzt auch weg bekommen (mit regcleaner)
deshalb meine frage: muss ich den rest noch ab arbeiten?

#9 natuerlich..alles abarbeiten, deshalb habe ich es ja auch geschrieben
__________
MfG Sabina

rund um die PC-Sicherheit