Drive Cleaner ... was ist das?

#31 Also das ist das Kasoersky protokoll:---------------------

Name des infizierten Objekts Virusname Letzte Aktion
C:\BearShare\BearShareZangoInstaller.exe/clientax.dll Infizierte Objekte: not-a-virus:AdWare.Win32.180Solutions.ao übersprungen

C:\BearShare\BearShareZangoInstaller.exe CAB: infiziert - 1 übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe/WISE0026.BIN/clientax.dll Infizierte Objekte: not-a-virus:AdWare.Win32.180Solutions.ao übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe/WISE0026.BIN Infizierte Objekte: not-a-virus:AdWare.Win32.180Solutions.ao übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe/WISE0029.BIN/stream/data0005 Infizierte Objekte: not-a-virus:AdWare.Win32.Softomate.aa übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe/WISE0029.BIN/stream Infizierte Objekte: not-a-virus:AdWare.Win32.Softomate.aa übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe/WISE0029.BIN Infizierte Objekte: not-a-virus:AdWare.Win32.Softomate.aa übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe WiseSFX: infiziert - 5 übersprungen

C:\BearShare\Installer\BSINSTALLDE.exe WiseSFX Dropper: infiziert - 5 übersprungen

C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Cookies\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\clean\pskill.exe Infizierte Objekte: not-a-virus:RiskTool.Win32.PsKill.k übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\clean.zip/clean/pskill.exe Infizierte Objekte: not-a-virus:RiskTool.Win32.PsKill.k übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\clean.zip ZIP: infiziert - 1 übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\Imags\CoD2.iso/dev-cod2.rar;1/install.exe Infizierte Objekte: Trojan.Win32.Agent.qt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\Imags\CoD2.iso/dev-cod2.rar;1 Infizierte Objekte: Trojan.Win32.Agent.qt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Desktop\Imags\CoD2.iso ISO image: infiziert - 2 übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\Lokale Einstellungen\Verlauf\History.IE5\MSHist012007040420070405\index.dat Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\NTUSER.DAT Das Objekt ist gesperrt übersprungen

C:\Dokumente und Einstellungen\Van Helsing\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\debug.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\debug.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\error.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\error.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\ids.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\ids.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\network.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\network.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\system.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\system.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\warning.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\warning.log.idx Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\web.log Das Objekt ist gesperrt übersprungen

C:\Kerio Firewall\Personal Firewall 4\logs\web.log.idx Das Objekt ist gesperrt übersprungen

C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLML_MAIN\CLML.db Das Objekt ist gesperrt übersprungen

C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen

C:\System Volume Information\_restore{8306AB31-12D5-4479-9491-3157EB4736DA}\RP34\change.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\Sti_Trace.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\CatRoot2\edb.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\CatRoot2\tmp.edb Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\cd_clint.dll Infizierte Objekte: not-a-virus:AdWare.Win32.Cydoor übersprungen

C:\WINDOWS\system32\config\ACEEvent.evt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\drivers\sptd.sys Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen

C:\WINDOWS\Temp\CLML_AGENT_LOG1.txt Das Objekt ist gesperrt übersprungen

C:\WINDOWS\Temp\sqlite_6tWxghJMs0GxBNi Das Objekt ist gesperrt übersprungen

C:\WINDOWS\wiadebug.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\wiaservc.log Das Objekt ist gesperrt übersprungen

C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen





HijackThis:-------------------------


Logfile of HijackThis v1.99.1
Scan saved at 23:08:11, on 04.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLCapSvc.exe
C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
C:\Kerio Firewall\Personal Firewall 4\kpf4ss.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\mgabg.exe
C:\WINDOWS\system32\svchost.exe
C:\Kerio Firewall\Personal Firewall 4\kpf4gui.exe
C:\Kerio Firewall\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\vsnpstd.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Avant Browser\avant.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Dokumente und Einstellungen\Van Helsing\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.freenet.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com/fsc/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe
O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Download by NetAnts - C:\NetAnts\NAGet.htm
O8 - Extra context menu item: Alle Bilder von gleichem Server filtern - C:\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Alle Links auf dieser Seite öffnen... - C:\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Download &All by NetAnts - C:\NetAnts\NAGetAll.htm
O8 - Extra context menu item: Hervorheben - C:\Avant Browser\Highlight.htm
O8 - Extra context menu item: In neuer AvantBrowser-Instanz öffnen - C:\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Suchen - C:\Avant Browser\Search.htm
O8 - Extra context menu item: Zur Werbebanner-Filterliste hinzufügen - C:\Avant Browser\AddToADBlackList.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\NetAnts\NetAnts.exe
O9 - Extra 'Tools' menuitem: &NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\NetAnts\NetAnts.exe
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\ICQLite\ICQLite.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\xp-AntiSpy2\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\xp-AntiSpy2\sponsoring\sponsor.html (HKCU)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game12.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Kerio Firewall\Personal Firewall 4\kpf4ss.exe
O23 - Service: MGABGEXE - Matrox Graphics Inc. - C:\WINDOWS\system32\mgabg.exe


Ich bin tierisch dankbar das ist ganz klasse arbeit die du tust. Danke!

#32 Marci321

««
Avenger
http://virus-protect.org/artikel/tools/avenger.html
Input script manually (anhaken)
kopiere in: View/edit script

Zitat

Folders to delete:
C:\Dokumente und Einstellungen\Van Helsing\Desktop\Imags\CoD2.iso
C:\BearShare

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

dann sollte wieder alles i.o. sein
__________
MfG Sabina

rund um die PC-Sicherheit

#33 die CoD2.iso hab ich von hand gelöscht da Avenger das nicht hinbekommen hat

Gut Gut die Popups von drive cleaner usw sind verschwunden und es sieht alles wieder gut aus, außer: Mein Papierkorb.

der ist immernoch transparent und nichtmehr zu öffnen

#34 unter start / ausführen / cmd eingeben
dann

attrib -r -s -h c:\recycler

eingeben (oder von hier abkopieren)
und

del recycler

eingeben - löschen J/N mit J bestätigen --> Enter

PC neustarten
damit solltetst du einen neuen leeren papierkorb haben
__________
MfG Sabina

rund um die PC-Sicherheit

#35 also ich hab start / ausführen / cmd eingegeben

dann hab ich in den Pfad:
C:\ Dokumente und Einstellungen\Van Helsing>
das "attrib -r -s -h c:\recycler" eingetippt

(C:\Dokumente und Einstellungen\Van Helsing>attrib -r -s -h c:\recycler)

Die Zeile stand dann genau so dar und eine neue Standard Zeile öffnete sich (C:\ Dokumente und Einstellungen\Van Helsing> so als ob keine reaktion entstanden ist


als ich dann "del recycler" eingegeben habe kam die meldung: recycler konnte nicht gefunden werden

#36 Zum Wechseln des aktuellen Verzeichnisses dient der Befehl chdir oder kurz cd, der als Argument - wie bei allen Befehlen üblich, durch ein Leerzeichen abgetrennt - den Namen des Ordners benötigt, in den man wechseln will.

Start -> Ausführen -> cmd.exe

cd c:\

-----------------------------

dann

attrib -r -s -h c:\recycler

eingeben (oder von hier abkopieren)
und

del recycler

eingeben - löschen J/N mit J bestätigen --> Enter
__________
MfG Sabina

rund um die PC-Sicherheit

#37 irgendwas mach ich falsch ...

ich gebe "attrib -r -s -h c:\recycler" ein

und oben im fenster blitz kurz eine weiße schrift aus (zu schnell zum lesen)
danach geb ich "del recycler" ein und bestätige mit J und enter
dann starte ich neu und nichts tut sich. immer noch alles gleich


Der Text sieht so aus wenn ich alles eintippe:

C:\Dokumente und Einstellungen\Van Helsing>cd C:\

c:\

C:\attrib -r -s -h c:\recycler

c:\

c:\del recycler
Möchten sie "C:\recycler\*" löschen? <J/N>? J

C:\

#38 welche Meldung kommt, wenn du J klickst ?
andere Frage: hast du mit einem Tweak-Proggie gearbeitet oder passierte das mit dem transparenten Papierkorb seit dem Virenbefall ?
__________
MfG Sabina

rund um die PC-Sicherheit

#39 Es kommt garkeine antwort er geht direckt wieder auf C:\ über

Zitat

Marci321 postete

c:\del recycler
Möchten sie "C:\recycler\*" löschen? <J/N>? J

C:\

Ich weiß nicht was ein Tweak- Prog ist .... und es ist erst seit dem befall so das der Papierkorb transparent ist

#40 Danke Sabina!

Ich habe in Avenger einfach das "Zitat" in das Editor-Feld kopiert und auf die Ampel gedrückt. Hoffe das war richtig ;-). Dann kam folgendes Protokoll:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\srwbdxui

*******************

Script file located at: \??\C:\WINDOWS\system32\tnfnyajr.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\pqtwa.ini2 not found!
Deletion of file C:\WINDOWS\system32\pqtwa.ini2 failed!

Could not process line:
C:\WINDOWS\system32\pqtwa.ini2
Status: 0xc0000034



File C:\WINDOWS\system32\pqtwa.bak2 not found!
Deletion of file C:\WINDOWS\system32\pqtwa.bak2 failed!

Could not process line:
C:\WINDOWS\system32\pqtwa.bak2
Status: 0xc0000034



File C:\WINDOWS\system32\ulhacofn.dll not found!
Deletion of file C:\WINDOWS\system32\ulhacofn.dll failed!

Could not process line:
C:\WINDOWS\system32\ulhacofn.dll
Status: 0xc0000034

File C:\WINDOWS\system32\agqkyqda.ini deleted successfully.


File C:\WINDOWS\system32\pqtwa.ini not found!
Deletion of file C:\WINDOWS\system32\pqtwa.ini failed!

Could not process line:
C:\WINDOWS\system32\pqtwa.ini
Status: 0xc0000034



File C:\WINDOWS\system32\pqtwa.tmp not found!
Deletion of file C:\WINDOWS\system32\pqtwa.tmp failed!

Could not process line:
C:\WINDOWS\system32\pqtwa.tmp
Status: 0xc0000034



File C:\WINDOWS\system32\fccbcaw.dll not found!
Deletion of file C:\WINDOWS\system32\fccbcaw.dll failed!

Could not process line:
C:\WINDOWS\system32\fccbcaw.dll
Status: 0xc0000034

File C:\WINDOWS\system32\ddcyabc.dll deleted successfully.


File C:\WINDOWS\system32\wreltdmc.dll not found!
Deletion of file C:\WINDOWS\system32\wreltdmc.dll failed!

Could not process line:
C:\WINDOWS\system32\wreltdmc.dll
Status: 0xc0000034



File C:\WINDOWS\system32\pqtwa.bak1 not found!
Deletion of file C:\WINDOWS\system32\pqtwa.bak1 failed!

Could not process line:
C:\WINDOWS\system32\pqtwa.bak1
Status: 0xc0000034



File C:\WINDOWS\system32\awtqp.dll not found!
Deletion of file C:\WINDOWS\system32\awtqp.dll failed!

Could not process line:
C:\WINDOWS\system32\awtqp.dll
Status: 0xc0000034



File C:\WINDOWS\system32\knnmp.ini not found!
Deletion of file C:\WINDOWS\system32\knnmp.ini failed!

Could not process line:
C:\WINDOWS\system32\knnmp.ini
Status: 0xc0000034



File C:\WINDOWS\system32\pmnnk.dll not found!
Deletion of file C:\WINDOWS\system32\pmnnk.dll failed!

Could not process line:
C:\WINDOWS\system32\pmnnk.dll
Status: 0xc0000034



File C:\WINDOWS\system32\kjjlm.ini not found!
Deletion of file C:\WINDOWS\system32\kjjlm.ini failed!

Could not process line:
C:\WINDOWS\system32\kjjlm.ini
Status: 0xc0000034



File C:\WINDOWS\system32\mljjk.dll not found!
Deletion of file C:\WINDOWS\system32\mljjk.dll failed!

Could not process line:
C:\WINDOWS\system32\mljjk.dll
Status: 0xc0000034

Registry value HKLM\software\microsoft\windows\currentversion\explorer\shellexecutehooks|{182B90A3-F372-438A-800C-6814B4DE417B} deleted successfully.


Registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\mljjk not found!
Deletion of registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\mljjk failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtqp not found!
Deletion of registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtqp failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ddcyabc not found!
Deletion of registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ddcyabc failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\fccbcaw not found!
Deletion of registry key HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\fccbcaw failed!
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{182B90A3-F372-438A-800C-6814B4DE417B} not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{182B90A3-F372-438A-800C-6814B4DE417B} failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.
-------------------------------------

SUPERAntiSpyware Scan Log
Generated 04/05/2007 at 01:10 PM


Trojan.Downloader-UniBBB
C:\RECYCLER\S-1-5-21-1727809468-3089909825-1810818312-1006\DC31\DDCYABC.DLL.BAD
C:\RECYCLER\S-1-5-21-1727809468-3089909825-1810818312-1006\DC31\FCCBCAW.DLL.BAD
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP200\A0057439.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP200\A0057440.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP200\A0057441.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP200\A0057442.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP200\A0057443.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP206\A0059465.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP206\A0059493.DLL

Trojan.Downloader-Gen/LIB
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP206\A0059438.DLL
C:\SYSTEM VOLUME INFORMATION\_RESTORE{62440FC9-BC48-44B8-B4DB-C0AEF4DF6FCF}\RP206\A0059463.DLL

Muss die Quaräntäne aus SuperAntiSpyWare gelöscht werden?

Danke!

#41 andi_81

1.
Arbeitsplatz --> Rechtsklick, dann auf Eigenschaften --> Reiter Systemwiederherstellung --> Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(dann gleich wieder aktivieren)

2.
die Quarantaene aus SuperAntiSpyWare kannst du loeschen

3.
scanne und poste den report
Bitdefender/Online
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#42 Marci321

mir faellt auch nichts mehr ein, hoffe, du verstehst englisch, dann grabe dich mal hier durch
http://support.microsoft.com/default.aspx?scid=kb;EN-US;Q810869
__________
MfG Sabina

rund um die PC-Sicherheit

#43 Schade

hab ihn auchschon mit rechtsklick -> Löschen gelöscht
und dann durch einträge in die regedit wieder auf den desktop geholt, aber das hats irgendwie nicht gebracht

dann such ich mal eine lösung. Ich bedanke mich tausendfach, das ist echt super spitzenklasse arbeit hier und man kann froh sein das es sowas gibt. 1A spitze. Vielen dank Sabina

#44 hey leute.

hab auch dieses prob^^

ich kam jetzt schon bis zum combofix un hab das auch ausgeführt, aber mit dem logfil kann ich echt nix anfangen:

Logfile of HijackThis v1.99.1
Scan saved at 16:55:44, on 05.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\LckFldService.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
D:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\svehost.exe
C:\WINDOWS\system32\clcl3.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\TuneUp Utilities 2006\MemOptimizer.exe
D:\Programme\Sitecom Europe BV\Sitecom WL-113 Utility\SiteComUSB.exe
C:\Programme\Mousometer\mousometer.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [RemoteControl] "D:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\gleltiei.dll",setvm
O4 - HKLM\..\Run: [Intel system tool] C:\WINDOWS\system32\svehost.exe
O4 - HKLM\..\Run: [clcl3] C:\WINDOWS\system32\clcl3.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "D:\Programme\TuneUp Utilities 2006\MemOptimizer.exe" autostart
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Mousometer.lnk = C:\Programme\Mousometer\mousometer.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Sitecom USB Wireless LAN Utility.lnk = D:\Programme\Sitecom Europe BV\Sitecom WL-113 Utility\SiteComUSB.exe
O8 - Extra context menu item: Add to AMV Convert Tool... - D:\Programme\MP3 Player Utilities 3.75\AMVConverter\grab.html
O8 - Extra context menu item: MediaManager tool grab multimedia file - D:\Programme\MP3 Player Utilities 3.75\MediaManager\grab.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Boonty Games - BOONTY - C:\Programme\Gemeinsame Dateien\BOONTY Shared\Service\Boonty.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - D:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LckFldService - Unknown owner - C:\WINDOWS\system32\LckFldService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe


wär nett wenn du mir jetzt weiterhelfen würdest sabrina

#45 t4ppkarl

««
Folgen den Anweisungen unter
http://virus-protect.org/cleanup.html
und stelle den CleanUp genauso ein, wie dort angegeben, dann den Rechner neustarten (so werden die temporaeren Dateien geloescht)

«
Combofix - Textdatei im Thead posten
http://virus-protect.org/artikel/tools/combofix.html

«
Logfiles mittels datfind.bat erstellen und posten (abkopieren)
Exakte Anleitung unter: http://virus-protect.org/datfindbat.html
Kopiere diese 6 erstellten Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet.
(kopiere je Logfile nur die letzten 3 Monate ab !)
__________
MfG Sabina

rund um die PC-Sicherheit