2x gelbes Warndreieck, Computer is infected, IE-Startseite

#1 Hallo, habe mich heute hier schon schlaugemacht, bin aber Newbie und trau mich nicht, irgendwas alleine zu machen, ich hoffe, Ihr könnt mir helfen, brauche aber wahrscheinlich "idiotensichere" Begleitung...
Seit gestern hab ich folgendes Prob:

Talkleiste weist 2x gelbes Warndreieck mit Ausrufezeichen auf: System has detected 4 active spywares...
Auch erscheint regelmässig "Your computer is infected"
Die IE-Startseite lässt sich nicht mehr einrichten, öffne ich den Explorer kommt automatisch die Site "securitynetpage . com" mit Fenstern
"Warning W32.Myzor.FK@yf. ist a virus that infects....."
Habe gestern den AntiVir Guard laufen lassen, hat schon angeblich 4 Trojaner gelöscht....?

Zumindest habe ich es jetzt als Newbie bis zum hijackthis-logfile hingekriegt, nachfolgend anbei:

Logfile of HijackThis v1.99.1
Scan saved at 17:00:10, on 07.08.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\isnotify.exe
C:\WINDOWS\System32\issearch.exe
C:\Programme\Media-Codec\isamonitor.exe
C:\Programme\Media-Codec\pmsngr.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\keyhook.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Media-Codec\pmmon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Media-Codec\isamini.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199[1].zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
O2 - BHO: (no name) - {1da7dbe8-c51b-4ae4-bc6e-21863349b0b4} - C:\Programme\Media-Codec\isaddon.dll
O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - C:\WINDOWS\System32\ixt0.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: Protection Bar - {a2595f37-48d0-46a1-9b51-478591a97764} - C:\Programme\Media-Codec\iesplugin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe
O4 - HKLM\..\Run: [SpyQuake2.com] C:\Programme\SpyQuake2.com\Spy-Quake2.exe /h
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NI.UWA6PU_0001_N91M2107] "C:\WINDOWS\Downloaded Program Files\UWA6PU_0001_N91M2107NetInstaller.exe" -nag
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{EC4E3A81-49C3-4D41-9CCB-5492DD228D8F}: NameServer = 212.18.3.5 212.18.0.5
O21 - SSODL: hubbsi - {7b1eeccd-0a6d-4ad5-8ac1-4af5722b3885} - C:\WINDOWS\System32\vwlummc.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe



Wäre super, wenn Ihr mir helfen könntet, vielen liebe Dank.
Daisy

#2 DaisyDuck

0.
gehe in die Registry
Start - Ausfuehren - regedit
bearbeiten - suchen - hubbsi

hubbsi - {7b1eeccd-0a6d-4ad5-8ac1-4af5722b3885} --> loeschen

1.
smitfraudfix anwenden
http://virus-protect.org/artikel/tools/smitfrautfix.html

2.
mediacodec.zip laden -> http://virus-protect.org/zip/mediacodec.zip entpacken auf dem Desktop -> mediacodec.reg ->doppeltklicken und der Registry mit "ja/yes" beifügen

3.
Avenger
http://virus-protect.org/artikel/tools/avenger.html

kopiere rein:

Zitat

Files to delete:

C:\WINDOWS\System32\vwlummc.dll
C:\WINDOWS\Downloaded Program Files\UWA6PU_0001_N91M2107NetInstaller.exe
C:\Programme\Media-Codec\isaddon.dll
C:\Programme\Media-Codec\isamini.exe
C:\Programme\Media-Codec\isamonitor.exe
C:\Programme\Media-Codec\isauninst.exe
C:\Programme\Media-Codec\iesplugin.dll
C:\Programme\Media-Codec\ot.ico
C:\Programme\Media-Codec\ts.ico
C:\Programme\Media-Codec\pmmon.exe
C:\Programme\Media-Codec\pmsngr.exe
C:\Programme\Media-Codec\pmuninst.exe
C:\Programme\Media-Codec\uninst.exe
C:\Programme\Media-Codec\ecodec.exe

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

3.
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo Sabina,
leider komme ich mit der letzten Anweisung "Kopiere diese 4 Textdateien ab" nicht mehr klar, weiß nicht mehr weiter. Punkt 3 Avenger hab ich wohl noch hingekriegt, nur beim letzten Schritt hakts...

Hier nochmals mein neues Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 16:57:34, on 08.08.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\keyhook.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\HijackThis.exe

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{EC4E3A81-49C3-4D41-9CCB-5492DD228D8F}: NameServer = 212.18.3.5 212.18.0.5
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

Bitte nochmals um Hilfe, danke schön...
Daisy

#4 vll kann ich dir helfen, habe das nämlich auch gestern erst gemacht ^^

also normalerweise müsste es klappen, wenn du die anweisung befolgst, die du unter folgendem link einsehen kannst: http://virus-protect.org/datfindbat.html

also folgendermaßen:

datFind.zip --> entzippe datFind.zip --> datFind.bat
http://virus-protect.org/zip/datFind.zip


Kurzanleitung datfindbat

1. Doppel-klick DATFINDBAT

2. Es öffnet sich der Texteditor. Speichern als system32.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

3. auf das Command Fenster klicken und beliebige Taste druecken

4. Es öffnet sich der Texteditor. Speichern als temp.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

5. Wiederhole Schritt 3 und speichere als windows.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

6. Wiederhole Schritt 3 und speichere als c.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

7. Poste ALLE Logs (3 Monate vom Datum her, mehr ist nicht notwendig)


Hoffe dir geholfen zu haben, wenn nicht, wars wenigstens nen Versuch wert ;-)

Gruß

Matthias

#5 DaisyDuck

das log sieht schon mal gut aus und Dank @digghead89, weiss du nun auch welche 4 Logs ich von datfindbat sehen will
__________
MfG Sabina

rund um die PC-Sicherheit

#6 Hallo Sabina, hallo Matthias,
herzlichen Dank für Eure Hilfe, hoffe, ich habe alles richtig gemacht...?

edit (Sabina)

Liebe Grüße
Daisy

#7 du sollst die 4 logs von datfindbat posten und nicht das log vom HijackThis...........
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#8 Hmm *schäm* Sabina, wenn man/frau nur Bahnhof versteht,
das hier...?


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: FC35-4557

Verzeichnis von C:\WINDOWS\system32

09.08.2006 18:17 21.584 FFASTLOG.TXT
06.08.2006 18:05 16.832 amcompat.tlb
06.08.2006 18:05 23.392 nscompat.tlb
05.08.2006 10:37 2.184 wpa.dbl
06.07.2006 18:21 6.757.792 MRT.exe
02.06.2006 11:04 57.384 avsda.dll
27.04.2006 17:49 288.417 SrchSTS.exe

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: FC35-4557

Verzeichnis von C:\WINDOWS

09.08.2006 14:54 2.228 ACROREAD.INI
09.08.2006 14:16 0 0.log
09.08.2006 14:16 2.048 bootstat.dat
09.08.2006 06:54 32.560 SchedLgU.Txt
08.08.2006 16:35 221.208 ntbtlog.txt
08.08.2006 16:34 173.370 setupact.log
06.08.2006 19:23 63.005 iis6.log
06.08.2006 19:23 20.592 comsetup.log
06.08.2006 19:23 11.066 ntdtcsetup.log
06.08.2006 19:23 19.333 tsoc.log
06.08.2006 19:23 1.677 msgsocm.log
06.08.2006 19:23 1.891 imsins.log
06.08.2006 19:23 22.919 ocgen.log
06.08.2006 19:23 1.743 ocmsn.log
06.08.2006 19:23 25.117 FaxSetup.log
06.08.2006 19:23 13.612 msmqinst.log
06.08.2006 18:55 335 nsreg.dat
06.08.2006 18:54 8.238 mozver.dat
06.08.2006 18:54 1.122 win.ini
06.08.2006 18:22 257.690 setupapi.log
06.08.2006 18:07 1.510 OEWABLog.txt
06.08.2006 18:05 22.501 Active Setup Log.txt
06.08.2006 17:59 939 Active Setup Log.BAK
06.08.2006 17:28 1.891 imsins.BAK
06.08.2006 10:02 4.096 offitems.log
30.07.2006 20:46 216 wiadebug.log
30.07.2006 11:52 50 wiaservc.log
22.07.2006 11:15 491.520 outlook.pst


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: FC35-4557

Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp

09.08.2006 14:16 0 vga3.tmp
08.08.2006 17:04 0 vga4.tmp
08.08.2006 16:50 0 vga2.tmp
08.08.2006 16:36 0 vga1.tmp
4 Datei(en) 0 Bytes
0 Verzeichnis(se), 36.041.236.480 Bytes frei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: FC35-4557



...mir jetzt die Haare zu Kopf stehen, und Du Dir wahrscheinlich auf die Stirn klatschst,
trotzdem lieben Dank...
Daisy

#9 DaisyDuck

mache bitte einen Onlinescan mit panda und dann einen mit ewido und poste hier beide Scanreporte
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#10 Hallo Sabina,
hier von Panda:
Incident Status Location

Potentially unwanted tool:application/winantivirus2006 Not disinfected hkey_local_machine\software\WinAntiVirus Pro 2006
Spyware:Cookie/Atlas DMT Not disinfected C:\Dokumente und

edit (Sabina)
-----------------------------------------------------------------------------------

ewido anti-spyware online scanner
http://www.ewido.net
__________________________________________________

Name: Not-A-Virus.Downloader.Win32.WinFixer.o
Path: C:\avenger\backup.zip/avenger/UWA6PU_0001_N91M2107NetInstaller.exe
Risk: Low
edit (Sabina)


LG Daisy

#11 DaisyDuck

1.
gehe in die Registry
Start - Ausfuehren - regedit
bearbeiten - suchen - WinAntiVirus Pro 2006

hkey_local_machine\software\WinAntiVirus Pro 2006 -> loeschen

PC neustarten

2.
C:\avenger\backup.zip -> loeschen

dann bist du entlassen, es ist alles wieder in bester Ordnung
__________
MfG Sabina

rund um die PC-Sicherheit

#12 ...hab ich gemacht
Ich danke Dir für Deine Hilfe, Du bist ein Goldstück
Beste Grüße
Daisy