Your computer is infected! spywarequake

#1 Hallo zusammen,

mein problem hab ich hier schon häufiger gelesen, bin den anweisungen von sabina gefolgt aber hat nicht funktioniert. denke ich habe was falsch gemacht. Ich muss sagen ich bin ein absoluter noob.

also bei mir öffnen sich ständig popups und rechts unten kommt ein fenster wo drin steht "your computer is infected" klick ich drauf komm ich auf die Seite von spywarequake.

ich habe antivir gestartet aktualisiert und als ich starten wollte is mein pc abgestürzt und antivir war nach neustart weg. dann habee ich von aol privacy protection laufen lassen. hat den trojaner gefunden und gesperrt aber nach neustart war das fenster wieder da.

mein problem is jetzt die anderen haben z.B sowas noch in ihrer mail reinkopiert.

[color="red"]Logfile of HijackThis v1.99.1
Scan saved at 00:37:39, on 17.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Symantec AntiVirus\DefWatch.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\Alcohol 120 1.9.5.3823\StarWind\StarWindService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\system32\ismon.exe
C:\PROGRA~1\SYMANT~1\vptray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\isnotify.exe
C:\WINDOWS\system32\issearch.exe
C:\WINDOWS\system32\ishost.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de [/color]

wo hole ich mir dieses zeugs her? um euch zu zeigen wo das problem liegt? und nicht lachen!!! ;o)

ich danke euch jetzt schon, auch wenn das eine zähe nuss für euch wird mit mir :o( sry

danke

#2 Nutze bitte http://siri.geekstogo.com/SmitfraudFix_De.php und poste danach ein neues *komplettes* Hijackthis log.
__________
MfG Ralf
SEO-Spam Hunter

#3 Hallo raman,

habe als erstes das runtergeladen und bin den anweisungen gefolgt das kam dabei raus.



SmitFraudFix v2.74

Scan done at 18:01:37,20, 19.07.2006
Run from C:\Spyware los werden\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
Fix ran in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\.protected FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\ishost.exe FOUND !
C:\WINDOWS\system32\ismon.exe FOUND !
C:\WINDOWS\system32\isnotify.exe FOUND !
C:\WINDOWS\system32\issearch.exe FOUND !
C:\WINDOWS\system32\ixt?.dll FOUND !
C:\WINDOWS\system32\ixt??.dll FOUND !
C:\WINDOWS\system32\ot.ico FOUND !
C:\WINDOWS\system32\pmnqguh.dll FOUND !
C:\WINDOWS\system32\ts.ico FOUND !
C:\WINDOWS\system32\components\flx?.dll FOUND !
C:\WINDOWS\system32\components\flx??.dll FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Herr Czerniak\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu

C:\DOKUME~1\HERRCZ~1\STARTM~1\PROGRA~1\AUTOST~1\.protected FOUND !
C:\DOKUME~1\ALLUSE~1\STARTM~1\PROGRA~1\AUTOST~1\.protected FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\HERRCZ~1\FAVORI~1

C:\DOKUME~1\HERRCZ~1\FAVORI~1\Antivirus Test Online.url FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"cinnamomum"="{93ac7c30-3878-4eaa-9420-7977285df5b1}"


»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End




ich glaub das war noch nicht das was du wolltest also bin ich den anweisungen weiter gefolgt habe pc neugestartet im abgesichten modus (ca 5 mal bis es geklappt hat) und habe nochmal das programm laufen lassen und das ist das ergebnis.




SmitFraudFix v2.74

Scan done at 18:40:26,10, 19.07.2006
Run from C:\Spyware los werden\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
Fix ran in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"cinnamomum"="{93ac7c30-3878-4eaa-9420-7977285df5b1}"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

C:\WINDOWS\system32\pmnqguh.dll ->
C:\WINDOWS\system32\pmnqguh.dll -> Deleted


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\.protected Deleted
C:\WINDOWS\system32\ishost.exe Deleted
C:\WINDOWS\system32\ismon.exe Deleted
C:\WINDOWS\system32\isnotify.exe Deleted
C:\WINDOWS\system32\issearch.exe Deleted
C:\WINDOWS\system32\ixt?.dll Deleted
C:\WINDOWS\system32\ot.ico Deleted
C:\WINDOWS\system32\ts.ico Deleted
C:\WINDOWS\system32\components\flx?.dll Deleted
C:\DOKUME~1\HERRCZ~1\FAVORI~1\Antivirus Test Online.url Deleted
C:\DOKUME~1\HERRCZ~1\STARTM~1\PROGRA~1\AUTOST~1\.protected Deleted
C:\DOKUME~1\ALLUSE~1\STARTM~1\PROGRA~1\AUTOST~1\.protected Deleted

»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End


ist das das was du brauchst?
danke schon mal im voraus!

#4 Perfekt! Nun noch das neue komplette Hijackthis log, bitte...
__________
MfG Ralf
SEO-Spam Hunter

#5 Hallo,

gern, aber wat isn das oder wo bekomm ich das her?

#6 <g> Das hast du doch schon in deinem ersten Posting erstellt, nur brauchen wir ein aktuelles und diesmal ein ganzes. Du hattest oben nur die haelft hineinkopiert.
__________
MfG Ralf
SEO-Spam Hunter

#7 das war nicht von mir sondern von einem der auch das problem hatte, ich habe das von dem reinkopiert weil ich nicht weiß wie man das nennt, ich habe keine ahnung wo ich das her holen soll :o(

sry aber wie gesagt bin absoluter noob

#8 Achso! Schau, ob du mit dieser Anleitung klarkommst:
http://hjt.hoffie-server.de/howto_de.html
__________
MfG Ralf
SEO-Spam Hunter

#9 CHAKKA geschaft und war gar nicht sooo schwer ;o)

Logfile of HijackThis v1.99.1
Scan saved at 21:03:45, on 19.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Programme\Tech\Office Program Selector\2.0\ACROMAPP.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\35b31185.exe
C:\Programme\ipwins\ipwins.exe
C:\Programme\Gemeinsame Dateien\AOL\1152984520\ee\AOLSoftware.exe
C:\Programme\Gemeinsame Dateien\{940E020C-0779-1031-0514-030306060031}\Update.exe
C:\WINDOWS\PPPATC~1\iexplore.exe
C:\Programme\Common files\s?stem\r?gsvr32.exe
C:\Programme\TClock\TClock.exe
C:\Programme\Boonty\BoontyBox\BoontyBox.exe
c:\programme\gemeinsame dateien\aol\1152984520\ee\services\antiSpywareApp\ver2_0_25_1\AOLSP Scheduler.exe
c:\programme\gemeinsame dateien\aol\1152984520\ee\aolsoftware.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\AOL 9.0\waol.exe
C:\Programme\AOL 9.0\shellmon.exe
C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Spyware los werden\hijack\HijackThis.exe

R3 - Default URLSearchHook is missing
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\sqpnb.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,elvrlog.exe
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: ToolBar888 - {CBCC61FA-0221-4ccc-B409-CEE865CACA3A} - C:\Programme\ToolBar888\MyToolBar.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Eac_Rvndl] C:\DOKUME~1\HERRCZ~1\LOKALE~1\Temp\EACDownload\wc_bundle.exe directconnect
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [SearchUpgrader] C:\Programme\Common files\SearchUpgrader\SearchUpgrader.exe
O4 - HKLM\..\Run: [ACROMOUSE] C:\Programme\Tech\Office Program Selector\2.0\ACROMAPP.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Ad-aware] "C:\Programme\Ad-aware 6\Ad-aware.exe" +c
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [35b31185.exe] C:\WINDOWS\system32\35b31185.exe
O4 - HKLM\..\Run: [IpWins] C:\Programme\ipwins\ipwins.exe
O4 - HKLM\..\Run: [HostManager] C:\Programme\Gemeinsame Dateien\AOL\1152984520\ee\AOLSoftware.exe
O4 - HKLM\..\Run: [IPHSend] C:\Programme\Gemeinsame Dateien\AOL\IPHSend\IPHSend.exe
O4 - HKCU\..\Run: [TClock.exe] C:\Programme\TClock\tclock_install.exe
O4 - HKCU\..\Run: [35b31185.exe] C:\Dokumente und Einstellungen\Herr Czerniak\Lokale Einstellungen\Anwendungsdaten\35b31185.exe
O4 - HKCU\..\Run: [Trec] "C:\WINDOWS\PPPATC~1\iexplore.exe" -vt yazb
O4 - HKCU\..\Run: [Cfs] C:\Programme\Common files\s?stem\r?gsvr32.exe
O4 - Startup: BoontyBox Allgamez.com.lnk = C:\Programme\Boonty\BoontyBox\BoontyBox.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} -
O16 - DPF: {52290B25-D07A-43B5-84D8-493116D50FA0} (WebPlugin Class) - http://webinstall.tscash.com/webinstall.cab
O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{30A833F0-4E67-4B3C-81CF-B0F197690CB8}: NameServer = 192.168.5.5
O17 - HKLM\System\CCS\Services\Tcpip\..\{D237696F-55BB-40D4-98CD-C073BA2FE74B}: NameServer = 205.188.146.145
O20 - AppInit_DLLs: spool32.dll
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Boonty Games - BOONTY - C:\Programme\Gemeinsame Dateien\BOONTY Shared\Service\Boonty.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe


und dieser kasten rechts unten kommt nicht mehr, popups kommen zwar noch aber der kasten scheint weg zu sein :o))

#10 Das Proble ist, das du noch einen ganzen Haufen Viren/Wuermer/Trojaner auf deinem PC beherbergst!

Und es ist nichteinmal ein AV-Programm installiert, welches die Infektion gebremst haben koennte. Die installation auf dem Rechner scheint auch schon relativ alt zu sein, es befindet sich immer noch T-onlinesoftware und du nutzt AOL!

Ich lege dir nahe, dein System neu Aufzusetzten. Wenn du es selber nicht schaffst, frage einen Freund/Bekannten, ob er dir helfen kann.
__________
MfG Ralf
SEO-Spam Hunter

#11 bedeutet das format c mit System neu aufsetzten?

freund meinte wenn ich daten sichern sollte könnte es sein das ich die trojaner etc. mit nehmen würde.

so schlimm uff :o(

trotzdem vielen vielen dank für deine zeit!!!

#12 Nein, sofern du Daten(nur Daten, keine Programme!) sicherst, bleibt die Malware aussen vor. Kleine Hilfestellungen dazu findest du hier: http://board.protecus.de/t13020.htm
__________
MfG Ralf
SEO-Spam Hunter

#13 Okay thx

werde das mal studieren

bis danne