Home » Viren, Trojaner & Malware Forum » irdvxc.exe verursacht enorme Probleme » Themenansicht

irdvxc.exe verursacht enorme Probleme
#0
07.11.2006, 19:12
northshore81
...neu hier

Beiträge: 2
#1 Hi.

Ich habe seit ein paar Tagen im Taskmanager eine Exe entdeckt namens : irdvxc.exe
Mir ist diese Datei aufgefallen, da mein Rechner extrem langsamer wurde, das Internet nicht mehr geht und der Sound von jeglicher Datei/Programm abstürzt.
Dies ist aber nur der Fall, wenn diese EXE aktiv ist.
BitDefender10, Ad-Aware und PestPatrol 5 finden nichts auf meinem Rechner.
Wenn ich die EXE im TaskManager beende, aktiviert sich diese erneut ... erst beim dritten mal beenden bleibt diese dann "inaktiv".
Die Datei liegt versteckt unter C:\Windows\sytsem32

Jetzt kommt der Knüller der ganzen Geschichte.
Google findet nicht einen einzigen Eintrag zu dieser Datei.
Das was ich eingenständig gemacht habe :

Die Datei gelöscht und den Registry-Eintrag dazu entfernt
HKEY_CLASSES_ROOT\CLSID\{C9FCA82B-D6D4-EC14-6B56-609ADDA29FB7}\LocalServer32

Die Datei ist nach dem Neustart weg und mein Rechner läuft wieder flüssig.
Jedoch ist diese Datei nach ca. 10-20 Minuten wieder da und hat sich aktiviert und in die Registry geschrieben. Schwups ist wieder alles so wie oben beschrieben.

Was kann das sein ... keine Einträge bei google und Viren/Ad-Aware Scanner finden nicht

Bitte um Hilfe


Mein System :

WinXP pro SP1 (bitte nicht meckern)
Seitenanfang Seitenende
07.11.2006, 19:48
Terementor
Member

Beiträge: 130
#2 poste doch mal die Standard logs ;)

http://board.protecus.de/t23188.htm
Seitenanfang Seitenende
08.11.2006, 21:43
2cheek
...neu hier

Beiträge: 5
#3 Hi Chef!!!!!!!!!!
Bei mir is genau das selbe!!!!!!!!!!!!!!!!!!!!
Aber ganz genau das selbe!
Hab ebenfalls XP SP1
HAtte nach nem derben Trojaner Anschlag das System neu aufgesetzt....
Hab das gefühl es geht weiter irgendwie!!?!?!???!!!!
Sogar meine 2te Partition ( D ) hatte nach dem Neuaufsetzen Probleme.... Sie war Formatiert, doch ich war es nicht....( Für alle PC Oberprofis/ Nein ich war noch nicht am Netz ohne InternetSecure)
Seit diesem Trojaner Dialer Angriff ( Und neu Aufsetzen des Systems) Habe ich das selbe Propp wie mein Vorschreiber!!!!! Was is das fürne Schei... exe.....
Falls ich irgendwann mal sonnen Hacker vor de Flinte krieg... Dann bring ich ihn um!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Ihr alten Drexxschweine!!!!! Lasst mich mit meinem PC in ruhe!!!!!!
Sollte ich jemals einen von Euch zu Gesicht bekommen --- Dann schlag ich Dir alle Deine verschissenen Zähne aussem Halz - Und danach steck ich sie Dir in Deinen dreckigen Arsch......
Sorry Leute aber muss doch mal gesagt werden......
So macht internet keinen Spass - Meine kompletten Daten sind nach diesem Überfall komplett gelöscht gewesen.... Fahrtenbuch fürs Finanzamt ( Toll jetzt muss ich alles aufarbeiten) Alle meine Produktionen ( Logic, Ableton) Und vieles vieles mehr...
Und jetzt diese behinderte EXE die sich immer wieder anstellt......
Sollte ich jemals einen Hacker zu Gesicht bekommen ( der das dann auch noch alles Lustig findet, gnade ihm Gott.........
Ich bemerke gerade das diese Schei... EXE auch ziemlich oft die Internetverbindung kappt!!!!
Bitte helft uns weiter!!!!!!!!!!!!!!!!!!!!!!!!
Seitenanfang Seitenende
09.11.2006, 06:55
Terementor
Member

Beiträge: 130
#4 Wii auch schon dein vorgänger angedeutet hat, SP1 ist veraltet ihr solltet auf sp2 wirklich "aufstocken".

und ich wiederhol mich nur ungern, hier fängts an ;)

http://board.protecus.de/t23188.htm
Seitenanfang Seitenende
09.11.2006, 10:34
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#5 versucht beide erst mal die besagen Logs zu posten, denn nur anhand der Schimpfkanonen ;) kann ich nichts machen

Zitat

O23 - Service: Network helper Service (MSDisk) - Unknown owner - C:\WINNT\system32\irdvxc.exe

__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.11.2006, 11:37
MarkusLittle
...neu hier

Beiträge: 8
#6 Hallo zusammen ich scheinedas Teil auch auf einem Rechner hier zu haben. Meine nachbarin hat mich gebeten mal drüber zu schauen. Leider kann ich mit dem log nichts anfangen. ich poste es mal.
habe schon etliches drüber laufen lassen aber ich bekomme den nicht weg.
Wenn ich adaware laufen lasse,meldet antivir einen Wurm und das immer in C:\ System Volume infomation.
könnt ihr euch das mal anschauen.
danke markus

__________________________________________


ComboFix 06.11.9 - Running from: "C:\Dokumente und Einstellungen\Media Markt\Desktop"

((((((((((((((((((((((((((((((( Files Created from 2006-10-09 to 2006-11-09 ))))))))))))))))))))))))))))))))))


2006-11-08 21:00 24,072 --a------ C:\WINDOWS\system32\uxtuneup.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-11-09 09:06 -------- d-------- C:\Programme\CleanUp!
2006-11-08 22:03 -------- d-------- C:\Programme\Anti-Spy.Info
2006-11-08 21:33 -------- d-------- C:\Programme\Lavasoft
2006-11-08 21:33 -------- d-------- C:\Dokumente und Einstellungen\Media Markt\Anwendungsdaten\Lavasoft
2006-11-08 21:14 -------- d-------- C:\Programme\Messenger
2006-11-08 21:00 -------- d-------- C:\Programme\TuneUp Utilities 2006
2006-11-08 20:59 -------- d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2006-11-08 20:59 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-11-08 20:59 -------- d-------- C:\Dokumente und Einstellungen\Media Markt\Anwendungsdaten\TuneUp Software
2006-11-08 20:56 -------- d-------- C:\Programme\xp-AntiSpy


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"ATIModeChange"="Ati2mdxx.exe"
"AtiPTA"="atiptaxx.exe"
"SoundMan"="soundman.exe"
"SynTPLpr"="C:\\Programme\\Synaptics\\SynTP\\SynTPLpr.exe"
"SynTPEnh"="C:\\Programme\\Synaptics\\SynTP\\SynTPEnh.exe"
"NeroCheck"="C:\\WINDOWS\\System32\\NeroCheck.exe"
"RealTray"="C:\\Programme\\Real\\RealPlayer\\RealPlay.exe SYSTEMBOOTHIDEPLAYER"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,18,01,00,00,00,00,00,00,60,04,00,00,fc,03,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\1-Klick-Wartung.job
C:\WINDOWS\tasks\Symantec NetDetect.job

Completion time: 06-11-09 11:30:34.17
C:\ComboFix.txt ... 06-11-09 11:30
C:\ComboFix2.txt ... 06-11-09 09:19
C:\ComboFix3.txt ... 06-11-09 09:09

______________________________________
Logfile of HijackThis v1.99.1
Scan saved at 11:29:24, on 09.11.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\atiptaxx.exe
C:\WINDOWS\soundman.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Media Markt\Desktop\Neuer Ordner\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://web.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1158061991480
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Network helper Service (MSDisk) - Unknown owner - C:\WINDOWS\System32\irdvxc.exe" /service (file missing)
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: PsShutdown (PsShutdownSvc) - Unknown owner - C:\WINDOWS\System32\PSSDNSVC.EXE
__________________________________________

ComboFix 06.11.9 - Running from: "C:\Dokumente und Einstellungen\Media Markt\Desktop"

((((((((((((((((((((((((((((((( Files Created from 2006-10-09 to 2006-11-09 ))))))))))))))))))))))))))))))))))


2006-11-08 21:00 24,072 --a------ C:\WINDOWS\system32\uxtuneup.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-11-09 09:06 -------- d-------- C:\Programme\CleanUp!
2006-11-08 22:03 -------- d-------- C:\Programme\Anti-Spy.Info
2006-11-08 21:33 -------- d-------- C:\Programme\Lavasoft
2006-11-08 21:33 -------- d-------- C:\Dokumente und Einstellungen\Media Markt\Anwendungsdaten\Lavasoft
2006-11-08 21:14 -------- d-------- C:\Programme\Messenger
2006-11-08 21:00 -------- d-------- C:\Programme\TuneUp Utilities 2006
2006-11-08 20:59 -------- d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2006-11-08 20:59 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-11-08 20:59 -------- d-------- C:\Dokumente und Einstellungen\Media Markt\Anwendungsdaten\TuneUp Software
2006-11-08 20:56 -------- d-------- C:\Programme\xp-AntiSpy


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"ATIModeChange"="Ati2mdxx.exe"
"AtiPTA"="atiptaxx.exe"
"SoundMan"="soundman.exe"
"SynTPLpr"="C:\\Programme\\Synaptics\\SynTP\\SynTPLpr.exe"
"SynTPEnh"="C:\\Programme\\Synaptics\\SynTP\\SynTPEnh.exe"
"NeroCheck"="C:\\WINDOWS\\System32\\NeroCheck.exe"
"RealTray"="C:\\Programme\\Real\\RealPlayer\\RealPlay.exe SYSTEMBOOTHIDEPLAYER"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,18,01,00,00,00,00,00,00,60,04,00,00,fc,03,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\1-Klick-Wartung.job
C:\WINDOWS\tasks\Symantec NetDetect.job

Completion time: 06-11-09 11:30:34.17
C:\ComboFix.txt ... 06-11-09 11:30
C:\ComboFix2.txt ... 06-11-09 09:19
C:\ComboFix3.txt ... 06-11-09 09:09
_____________________________________________________
Seitenanfang Seitenende
09.11.2006, 11:46
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#7 MarkusLittle

wieso hat der Rechner keine Windowsupdates ???????? - SP2

-------------------------------------------------------------------------------
http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip
eventuelle Meldung vom Virenscanner --- > warnmeldung:bösartiges skript entdeckt --> ignorieren

Doppelklick:regsrch.vbs
reinkopieren:

Network helper Service

Press 'OK'
warten, bis die Suche beendet ist. (Ergebnis bitte posten)

««
Doppelklick:regsrch.vbs
reinkopieren:

MSDisk

Press 'OK'
warten, bis die Suche beendet ist. (Ergebnis bitte posten)

_________________________________________________________

««
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

««
Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.11.2006, 11:51
MarkusLittle
...neu hier

Beiträge: 8
#8 huch, ist mir gar nicht aufgefallen. habe gestern den update service genutzt dort wurde mir gesagt ich brauche nichts.
schaue nochmal genauer hin, und update dann, danke für die hilfe
Seitenanfang Seitenende
09.11.2006, 12:45
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#9 poste bitte die logs, um die ich gebeten habe ;) erst reinigen - dann lade die updates
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.11.2006, 13:46
MarkusLittle
...neu hier

Beiträge: 8
#10 Network helper Service

Erebnis: No instances of "Network helper Service " found


MSDisk

Ergebnis: 19 instances of "MSDisk" found
REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "MSDisk" 09.11.2006 13:41:43

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSDISK]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSDISK\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSDISK\0000]
"Service"="MSDisk"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk\Enum]
"0"="Root\\LEGACY_MSDISK\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MSDISK]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MSDISK\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MSDISK\0000]
"Service"="MSDisk"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\MSDisk]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\MSDisk\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK\0000]
"Service"="MSDisk"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk\Enum]
"0"="Root\\LEGACY_MSDISK\\0000"

----------------------------------------------------------------
mehr kommt gleich

1.Log Verzeichnis von C:\WINDOWS\system32\
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\WINDOWS\system32

09.11.2006 13:37 314.842 perfh009.dat
09.11.2006 13:37 41.170 perfc009.dat
09.11.2006 13:37 320.668 perfh007.dat
09.11.2006 13:37 49.570 perfc007.dat
09.11.2006 13:37 732.166 PerfStringBackup.INI
09.11.2006 13:30 1.158 wpa.dbl
09.11.2006 13:30 249 spupdwxp.log
09.11.2006 13:29 237.200 FNTCACHE.DAT
04.10.2006 21:03 9.639.336 MRT.exe
02.10.2006 16:24 24.072 uxtuneup.dll
29.06.2006 12:40 57.384 avsda.dll
17.05.2006 11:23 579.888 LegitCheckControl.dll
03.04.2006 11:40 14.048 spmsg.dll



2.Log Verzeichnis von C:\DOKUME~1\Username\LOKALE~1\Temp\


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\DOKUME~1\MEDIAM~1\LOKALE~1\Temp

3.Log Verzeichnis von C:\WINDOWS\

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\WINDOWS

09.11.2006 13:34 29.217 spupdsvc.log
09.11.2006 13:34 731 DtcInstall.log
09.11.2006 13:34 630 wmsetup.log
09.11.2006 13:34 316.640 WMSysPr9.prx
09.11.2006 13:33 34.627 iis6.log
09.11.2006 13:33 87.138 comsetup.log
09.11.2006 13:33 52.249 ntdtcsetup.log
09.11.2006 13:33 4.696 imsins.log
09.11.2006 13:33 95.285 tsoc.log
09.11.2006 13:33 9.203 ocmsn.log
09.11.2006 13:33 112.047 ocgen.log
09.11.2006 13:33 11.952 msgsocm.log
09.11.2006 13:33 230.484 FaxSetup.log
09.11.2006 13:33 238.829 setupapi.log
09.11.2006 13:32 1.337 OEWABLog.txt
09.11.2006 13:30 9.515 setuplog.txt
09.11.2006 13:30 1.313.342 WindowsUpdate.log
09.11.2006 13:29 0 0.log
09.11.2006 13:29 2.048 bootstat.dat
09.11.2006 13:28 32.334 SchedLgU.Txt
09.11.2006 12:41 1.374 imsins.BAK
09.11.2006 12:41 464.721 svcpack.log
09.11.2006 12:37 200 cmsetacl.log
09.11.2006 12:36 656 win.ini
09.11.2006 12:36 3.085 sessmgr.setup.log
08.11.2006 21:05 8.284 WGA.log
07.11.2006 18:30 22.906 ModemLog_HSP56 World MicroModem.txt

4.Log Verzeichnis von C:\WINDOWS\temp\

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\WINDOWS\Temp

5.Log Verzeichnis von C:\WINDOWS\Downloaded Program Files

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\WINDOWS\Downloaded Program Files

26.05.2005 03:19 293 muweb.inf
08.12.2003 13:58 3.759 swflash.inf
28.05.2002 10:09 65 desktop.ini
3 Datei(en) 4.117 Bytes
0 Verzeichnis(se), 23.760.920.576 Bytes frei

6.Log Verzeichnis von C:\

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\

09.11.2006 13:50 0 sys.txt
09.11.2006 13:49 392 down.txt
09.11.2006 13:49 117 tmp.txt
09.11.2006 13:49 7.559 system.txt
09.11.2006 13:48 136 systemtemp.txt
09.11.2006 13:47 91.402 system32.txt
09.11.2006 13:29 402.653.184 pagefile.sys
09.11.2006 12:36 211 boot.ini
09.11.2006 12:24 47.564 NTDETECT.COM
09.11.2006 12:24 251.184 ntldr
09.11.2006 11:30 5.221 ComboFix.txt
09.11.2006 09:19 5.184 ComboFix2.txt
09.11.2006 09:09 5.147 ComboFix3.txt


Echo

10)DPF????
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 58D9-E55D

Verzeichnis von C:\WINDOWS\Downloaded Program Files

26.05.2005 03:19 293 muweb.inf
08.12.2003 13:58 3.759 swflash.inf
2 Datei(en) 4.052 Bytes

Anzahl der angezeigten Dateien:
2 Datei(en) 4.052 Bytes
0 Verzeichnis(se), 23.761.059.840 Bytes frei
_________________________________

ich hoffe das war so richtig[/b]
Dieser Beitrag wurde am 09.11.2006 um 14:16 Uhr von MarkusLittle editiert.
Seitenanfang Seitenende
09.11.2006, 14:58
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#11 MarkusLittle

Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein

Zitat

registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSDISK
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MSDISK
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\MSDisk
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk
Klicke die grüne Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

**
poste das log vom avenger, was nach neustart erscheint

**
Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren. (dann wieder aktivieren)

**
scanne mit kaspersky und poste den scanreport
http://virus-protect.org/onlinescan.html

-----------------------

Beispiel: irdvxc.exe
http://virus-protect.org/artikel/spyware/irdvxc_exe.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.11.2006, 15:19
MarkusLittle
...neu hier

Beiträge: 8
#12 Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\oaqacbqp

*******************

Script file located at: \??\C:\vdkxkclj.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MSDISK deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MSDisk deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MSDISK deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\MSDisk deleted successfully.


Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK failed!

Could not process line:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDISK
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk failed!

Could not process line:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDisk
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.
Seitenanfang Seitenende
09.11.2006, 15:34
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#13 MarkusLittle

Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren. (dann wieder aktivieren)

**
scanne mit kaspersky und poste den scanreport
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
09.11.2006, 15:43
MarkusLittle
...neu hier

Beiträge: 8
#14 das mit der systemwiederherstellung habe ich gemacht, der kaspersky scannt noch
Seitenanfang Seitenende
09.11.2006, 15:44
Sabina
Ehrenmitglied
Avatar Sabina

Beiträge: 29434
#15 o.k. - poste dann das log vom report und vergiss dann nicht die Windowsupdates ;)
__________
MfG Sabina

rund um die PC-Sicherheit
Seitenanfang Seitenende
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!

Folgende Themen könnten Dich auch interessieren: