Home » Viren, Trojaner & Malware Forum » C:\Programme\ipwins + Vundo » Themenansicht

C:\Programme\ipwins + Vundo

Thema ist geschlossen!
Thema ist geschlossen!
#0
08.08.2006, 11:26
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#1 Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\WINDOWS\system32

07.08.2006 16:11 272.104 jjllm.ini
07.08.2006 10:41 143 mcrh.tmp
07.08.2006 07:31 269.599 jjllm.bak2
07.08.2006 07:29 12.598 wpa.dbl
01.08.2006 13:20 141.299 jjllm.bak1
01.08.2006 13:19 573.492 mlljj.dll
01.08.2006 13:07 40.973 pmnligf.dll.0.AVB

Verzeichnis von C:\DOKUME~1\xxxxx\LOKALE~1\Temp
01.08.2006 13:08 187 mst134.bat
01.08.2006 13:08 0 win147.tmp
01.08.2006 13:07 0 win144.tmp
01.08.2006 13:07 0 win143.tmp
01.08.2006 13:07 0 win142.tmp
01.08.2006 13:07 0 win13D.tmp
01.08.2006 13:07 0 win13B.tmp
01.08.2006 13:07 43 removalfile.bat
01.08.2006 13:07 0 win139.tmp
01.08.2006 13:07 0 win137.tmp
01.08.2006 13:07 0 win136.tmp
01.08.2006 13:07 903 win135.tmp


C:\Programme\ipwins\ipwins.exe
O4 - HKLM\..\Run: [IpWins] C:\Programme\ipwins\ipwins.exe
http://virus-protect.org/artikel/spyware/ipwins.html

-------------------------------------------------------------

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als listen.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden. --> die listen.bat doppelt klicken--> kopiere den Text, der erscheint

Zitat

cd\
dir "C:\Programme\ipwins" >>files.txt
dir "C:\Windows\System32\Com" >>files.txt
dir "C:\WINDOWS\system32\components" >>files.txt
dir "C:\WINDOWS\Downloaded Program Files" >>files.txt
dir "C:\Program Files" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Lokale Einstellungen\Temp" >>files.txt
dir "C:\WINDOWS\Temp" >>files.txt
dir "C:\Temp" >>files.txt
dir "C:\Programme" >>files.txt
dir "C:\Programme\Gemeinsame Dateien" >>files.txt
notepad files.txt

__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
08.08.2006, 11:46
hirotake
...neu hier

Beiträge: 4
#2 hallo sabina,

soll ich den link zu ipwins exakt so abarbeiten? Weil es sich auf der hp um ein Beispiel handelt...

hier die listen.bat:


Verzeichnis von C:\Programme

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\Program Files

13.05.2006 14:35 <DIR> .
13.05.2006 14:35 <DIR> ..
13.05.2006 14:35 <DIR> InterActual
0 Datei(en) 0 Bytes
3 Verzeichnis(se), 31.389.532.160 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp

08.08.2006 11:35 <DIR> .
08.08.2006 11:35 <DIR> ..
08.08.2006 08:08 412 jusched.log
08.08.2006 10:41 <DIR> VBE
08.08.2006 11:20 16.384 ~DFD252.tmp
2 Datei(en) 16.796 Bytes
3 Verzeichnis(se), 31.389.532.160 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\WINDOWS\Temp

08.08.2006 11:17 <DIR> .
08.08.2006 11:17 <DIR> ..
08.08.2006 07:58 <DIR> hr_temp
08.08.2006 07:58 16.384 Perflib_Perfdata_6cc.dat
08.08.2006 09:07 43 scs6E.tmp
2 Datei(en) 16.427 Bytes
3 Verzeichnis(se), 31.389.532.160 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\Temp

08.08.2006 09:48 <DIR> .
08.08.2006 09:48 <DIR> ..
08.08.2006 09:07 3.072 DBI03012
08.08.2006 09:46 880 lbi03012
08.08.2006 09:07 0 srt03012
3 Datei(en) 3.952 Bytes
2 Verzeichnis(se), 31.389.532.160 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\Programme

08.08.2006 09:07 <DIR> ipwins

0 Datei(en) 0 Bytes
56 Verzeichnis(se), 31.389.528.064 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 5BF6-B085

Verzeichnis von C:\Programme\Gemeinsame Dateien

01.08.2006 13:07 <DIR> .
01.08.2006 13:07 <DIR> ..
05.05.2006 06:27 <DIR> Adobe
05.05.2006 10:08 <DIR> Ahead
04.05.2006 13:51 <DIR> Designer
03.05.2006 19:16 <DIR> Dienste
03.05.2006 19:16 <DIR> InstallShield
03.05.2006 19:16 <DIR> Java
05.05.2006 10:14 <DIR> Microsoft Shared
03.05.2006 19:16 <DIR> MSSoap
05.05.2006 10:10 <DIR> Nero
03.05.2006 19:16 <DIR> ODBC
05.05.2006 17:25 <DIR> Progress Software
03.05.2006 19:16 <DIR> Sonic
03.05.2006 19:16 <DIR> SpeechEngines
03.05.2006 19:16 <DIR> SureThing Shared
04.05.2006 13:51 <DIR> System
03.08.2006 18:50 <DIR> {5BF6B085-084F-1031-0302-060504260031}
0 Datei(en) 0 Bytes
18 Verzeichnis(se), 31.389.528.064 Bytes frei

Gruß hirotake
Seitenanfang Seitenende
08.08.2006, 11:59
Sabina
Ehrenmitglied
Themenstarter
Avatar Sabina

Beiträge: 29434
#3 erstelle eine neu.bat und poste den text

Zitat

cd\
dir "C:\Programme\ipwins" >>files.txt
notepad files.txt

__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
08.08.2006, 12:05
hirotake
...neu hier

Beiträge: 4
#4 hier die neu.bat

Verzeichnis von C:\Programme\ipwins

08.08.2006 09:07 <DIR> .
08.08.2006 09:07 <DIR> ..
08.08.2006 09:00 3 count.dat
03.08.2006 18:46 48 data.dat
08.08.2006 09:00 12 date.dat
06.06.2006 16:22 159.744 ipwins.exe
03.08.2006 18:46 102 settings.dat
03.08.2006 18:46 12 settingsDate.dat
03.08.2006 18:46 34.717 Uninst.exe
7 Datei(en) 194.638 Bytes
2 Verzeichnis(se), 31.422.345.216 Bytes frei
Seitenanfang Seitenende
08.08.2006, 15:19
Sabina
Ehrenmitglied
Themenstarter
Avatar Sabina

Beiträge: 29434
#5 1.
Gehe in die Registry
tart - Ausfuehren - regedit
bearbeiten - suchen - {5BF6B085-084F-1031-0302-060504260031}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
{5BF6B085-084F-1031-0302-060504260031} <--loeschen

2.
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

Zitat

registry keys to delete:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\IpWins
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\IpWins
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\IpWins

Files to delete:

C:\Programme\ipwins\count.dat
C:\Programme\ipwins\data.dat
C:\Programme\ipwins\date.dat
C:\Programme\ipwins\ipwins.exe
C:\Programme\ipwins\settings.dat
C:\Programme\ipwins\settingsDate.dat
C:\Programme\ipwins\Uninst.exe
C:\WINDOWS\system32\jjllm.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\jjllm.bak2
C:\WINDOWS\system32\jjllm.bak1
C:\WINDOWS\system32\mlljj.dll
C:\WINDOWS\system32\pmnligf.dll.0.AVB
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\mst134.bat
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win147.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win144.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win143.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win142.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13D.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13B.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\removalfile.bat
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win139.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win137.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win136.tmp
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win135.tmp
Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

*
poste das log vom Avenger, was erscheint, dann loesche, am besten im abgesicherten modus:

C:\Programme\Gemeinsame Dateien\{5BF6B085-084F-1031-0302-060504260031}
C:\Programme\ipwins

**
loesche den Avenger + Backup

**
scanne mit Panda und mit ewido und poste die reports
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.08.2006, 08:41
hirotake
...neu hier

Beiträge: 4
#6 hallo sabina,

{5BF6B085-084F-1031-0302-060504260031} <--loeschen <-- GELÖSCHT!

C:\Programme\Gemeinsame Dateien\{5BF6B085-084F-1031-0302-060504260031} <-- Im abgesicherten Modus GELÖSCHT!!!
C:\Programme\ipwins <-- Im abgesicherten Modus GELÖSCHT!!!

Avenger Log:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\bxkthtvs

*******************

Script file located at: \??\C:\WINDOWS\system32\apcdorwe.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Programme\ipwins\count.dat deleted successfully.
File C:\Programme\ipwins\data.dat deleted successfully.
File C:\Programme\ipwins\date.dat deleted successfully.
File C:\Programme\ipwins\ipwins.exe deleted successfully.
File C:\Programme\ipwins\settings.dat deleted successfully.
File C:\Programme\ipwins\settingsDate.dat deleted successfully.
File C:\Programme\ipwins\Uninst.exe deleted successfully.
File C:\WINDOWS\system32\jjllm.ini deleted successfully.
File C:\WINDOWS\system32\mcrh.tmp deleted successfully.
File C:\WINDOWS\system32\jjllm.bak2 deleted successfully.
File C:\WINDOWS\system32\jjllm.bak1 deleted successfully.
File C:\WINDOWS\system32\mlljj.dll deleted successfully.
File C:\WINDOWS\system32\pmnligf.dll.0.AVB deleted successfully.


File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\mst134.bat not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\mst134.bat failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\mst134.bat
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win147.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win147.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win147.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win144.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win144.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win144.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win143.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win143.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win143.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win142.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win142.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win142.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13D.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13D.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13D.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13B.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13B.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win13B.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\removalfile.bat not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\removalfile.bat failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\removalfile.bat
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win139.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win139.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win139.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win137.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win137.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win137.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win136.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win136.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win136.tmp
Status: 0xc0000034



File C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win135.tmp not found!
Deletion of file C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win135.tmp failed!

Could not process line:
C:\Dokumente und Einstellungen\MUELLER\Lokale Einstellungen\Temp\win135.tmp
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\IpWins not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\IpWins failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\IpWins not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\IpWins failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\IpWins not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\IpWins failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.


Panda Report


Incident Status Location

Spyware:Cookie/2o7 Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@2o7[2].txt
Spyware:Cookie/YieldManager Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ad.yieldmanager[2].txt
Spyware:Cookie/PointRoll Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ads.pointroll[2].txt
Spyware:Cookie/adultfriendfinder Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@adultfriendfinder[2].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@as-eu.falkag[1].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@as1.falkag[2].txt
Spyware:Cookie/Atwola Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@atwola[1].txt
Spyware:Cookie/Reliablestats Not disinfected C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@stats1.reliablestats[2].txt
Adware:Adware/DollarRevenue Not disinfected


Ewido Report (alle Fehler bereinigt!)

__________________________________________________
ewido anti-spyware online scanner
http://www.ewido.net
__________________________________________________


Name: TrackingCookie.2o7
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@2o7[2].txt
Risk: Medium

Name: TrackingCookie.Yieldmanager
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ad.yieldmanager[2].txt
Risk: Medium

Name: TrackingCookie.Pointroll
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ads.pointroll[2].txt
Risk: Medium

Name: TrackingCookie.Falkag
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@as-eu.falkag[1].txt
Risk: Medium

Name: TrackingCookie.Falkag
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@as1.falkag[2].txt
Risk: Medium

Name: TrackingCookie.Esomniture
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@e-2dj6wgk4qodpmbq.stats.esomniture[2].txt
Risk: Medium

Name: TrackingCookie.Ivwbox
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ivwbox[1].txt
Risk: Medium

Name: TrackingCookie.Komtrack
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@komtrack[2].txt
Risk: Medium

Name: TrackingCookie.Popularix
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@ppms.popularix[1].txt
Risk: Medium

Name: TrackingCookie.Reliablestats
Path: C:\Dokumente und Einstellungen\MUELLER\Cookies\mueller@stats1.reliablestats[2].txt
Risk: Medium

Name: Trojan.Starter.65
Path: C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP85\A0007150.exe
Risk: High

Gruß
hirotake
Seitenanfang Seitenende
09.08.2006, 12:36
Sabina
Ehrenmitglied
Themenstarter
Avatar Sabina

Beiträge: 29434
#7 1.
Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(dann wieder aktivieren)

2.
berichte, ob es noch Probleme gibt, kannst auch noch mal die 4 logs von datfindbat posten ;)
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.08.2006, 12:46
hirotake
...neu hier

Beiträge: 4
#8 Hi Sabina,

Fehler sind scheinbar weg...

Systemwiederherstellung --> deaktiviert -> aktiviert!

Die Logs als Anlage, wurden hier abgeschnitten!

Wenn das alles war, vielen, vielen Dank!

Du hast einen superjob gemacht und mir sehr geholfen...

hirotake

Anhang: datfind_LOGS.txt
Dieser Beitrag wurde am 09.08.2006 um 12:55 Uhr von hirotake editiert.
Seitenanfang Seitenende
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!

Folgende Themen könnten Dich auch interessieren:
Seite(n): 1