Trojanisches Pferd TR/Agent.37018

#1 Seit gestern findet mein AntiVir überall Trojanische Pferde. Gibt es eine Möglichkeit diese loszuwerden ohne gleich das ganze System neu aufzusetzen? Ich habe die befallenen Dateien erstmal in Quarantäne geschoben, wer weiß was passiert wenn ich die lösche.
Cleanup habe ich installiert, traue mich aber noch nicht so recht es durchlaufen zu lassen. Bin immer recht ängstlich bei sowas.

Den Trojaner habe ich wahrscheinlich von einer verdächtigen Seite auf der ich vorgestern auf der Suche nach einem crack für ein MSN-Spiel war. Das krieg ich nun dafür. >.< Und ja, ich weiß ich bin dumm sowas zu tun. Bitte nicht mit dem erhobenen Finger kommen.

Sollte ich außerdem besser nicht mehr Internet Explorer sondern Firefox oder irgendwas in der Art benutzen?

Hier das AntiVir logfile:

AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Samstag, 10. Februar 2007 14:45

Es wird nach 667256 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: AnnaK
Computername: ANNA

Versionsinformationen:
BUILD.DAT : 217 12749 Bytes 05.12.2006 16:57:00
AVSCAN.EXE : 7.0.3.5 208936 Bytes 15.01.2007 16:43:18
AVSCAN.DLL : 7.0.3.0 35880 Bytes 14.12.2006 15:23:35
LUKE.DLL : 7.0.3.2 143400 Bytes 14.12.2006 15:23:35
LUKERES.DLL : 7.0.2.0 9256 Bytes 14.12.2006 15:23:35
ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 10:21:48
ANTIVIR1.VDF : 6.37.0.153 3131392 Bytes 12.01.2007 01:05:08
ANTIVIR2.VDF : 6.37.1.37 495616 Bytes 05.02.2007 06:48:32
ANTIVIR3.VDF : 6.37.1.60 48640 Bytes 08.02.2007 06:48:32
AVEWIN32.DLL : 7.3.1.34 2290176 Bytes 01.02.2007 19:40:52
AVPREF.DLL : 7.0.2.0 23592 Bytes 14.12.2006 15:23:33
AVREP.DLL : 6.37.1.1 1105960 Bytes 30.01.2007 19:43:20
AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 30.03.2006 08:43:10
AVPACK32.DLL : 7.2.0.5 368680 Bytes 29.10.2006 09:39:06
AVREG.DLL : 7.0.1.2 30760 Bytes 15.01.2007 16:43:18
NETNT.DLL : 6.32.0.0 6696 Bytes 27.09.2005 07:56:47
RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 14.12.2006 15:23:30
RCTEXT.DLL : 7.0.12.0 77864 Bytes 14.12.2006 15:23:30

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Lokale Laufwerke
Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldrives.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: J:,
Durchsuche Speicher..............: ein
Durchsuche Laufende Programme....: ein
Durchsuche Registrierung.........: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: BSD Mailbox, Netscape/Mozilla Mailbox, Eudora Mailbox, Squid cache, Pegasus Mailbox, MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +GAME,+JOKE,+PCK,+SPR,
Erweiterte Sucheinstellungen.....: 0x00007000

Beginn des Suchlaufs: Samstag, 10. Februar 2007 14:45

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Module wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Module wurden durchsucht
Durchsuche Prozess 'usnsvc.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'iFormat.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'NeroCheck.exe' - '1' Module wurden durchsucht
Modul ist infiziert -> 'C:\WINDOWS\system32\NeroCheck.exe'
Durchsuche Prozess 'rundll32.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'WLanNetService.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'InCDsrv.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Module wurden durchsucht

Es wurden '28' Prozesse mit '28' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'A:\'
[HINWEIS] Im Laufwerk 'A:\' ist kein Datenträger eingelegt!
Bootsektor 'F:\'
[HINWEIS] Im Laufwerk 'F:\' ist kein Datenträger eingelegt!
Bootsektor 'G:\'
[HINWEIS] Im Laufwerk 'G:\' ist kein Datenträger eingelegt!
Bootsektor 'H:\'
[HINWEIS] Im Laufwerk 'H:\' ist kein Datenträger eingelegt!
Bootsektor 'K:\'
[HINWEIS] Im Laufwerk 'K:\' ist kein Datenträger eingelegt!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\WINDOWS\system32\NeroCheck.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\WINDOWS\system32\NeroCheck.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018
C:\Programme\Java\jre1.5.0_10\bin\jusched.exe
[FUND] Ist das Trojanische Pferd TR/Agent.37018

Die Registry wurde durchsucht ( 19 Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <SYSTEM>
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\CONFIG.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\IO.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\MSDOS.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <Daten>
\\?\\\?\Avi2Dvd_044.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'A:\'
Der zu durchsuchende Pfad A:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'G:\'
Der zu durchsuchende Pfad G:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'H:\'
Der zu durchsuchende Pfad H:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'K:\'
Der zu durchsuchende Pfad K:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'I:\'
Der zu durchsuchende Pfad I:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'J:\'
Der zu durchsuchende Pfad J:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.



Ende des Suchlaufs: Samstag, 10. Februar 2007 14:45
Benötigte Zeit: 00:13 min

Der Suchlauf wurde vollständig durchgeführt.

2 Verzeichnisse wurden überprüft
67 Dateien wurden geprüft
5 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
6 Dateien konnten nicht durchsucht werden
62 Dateien ohne Befall
0 Archive wurden durchsucht
6 Warnungen
0 Hinweise

Ich glaube AntiVir hat auch irgend ein Problem, normalerweise hat es immer länger für einen Scan gebraucht, jetzt aber nur 13 Sekunden. Und das immer wenn ich es laufen lasse.

Logfile of HijackThis v1.99.1
Scan saved at 15:02:14, on 10.02.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\avmwlanstick\WlanNetService.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\NeroCheck.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.2480\GoogleToolbarNotifier.exe
C:\Programme\UFDisk\UFDisk Format Tool\iFormat.exe
C:\Programme\MSN Messenger\usnsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\FlashGet\flashget.exe
C:\Dokumente und Einstellungen\AnnaK\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\Programme\MegauploadToolbar\megauploadtoolbar.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Übersetzer - {FF284F5C-7CF9-4682-8701-D467C1DBB99F} - C:\Programme\PRMT6\PRMTIE\prmtie.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\Programme\MegauploadToolbar\megauploadtoolbar.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe
O4 - HKCU\..\Run: [EDLauncher] C:\Programme\PRMT6\PRMTED\EDLauncher.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.2480\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: iFormat.lnk = C:\Programme\UFDisk\UFDisk Format Tool\iFormat.exe
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Programme\PRMT6\PRMTIE\prmtie5.htm
O9 - Extra 'Tools' menuitem: Übersetzen - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Programme\PRMT6\PRMTIE\prmtie5.htm
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Programme\PRMT6\PRMTIE\options.htm
O9 - Extra 'Tools' menuitem: Übersetzungsoptionen anpassen - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Programme\PRMT6\PRMTIE\options.htm
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {60B33001-5F10-4A94-A7E4-77A3D8F5C78E} (OnAirClient Control) - http://ionair.sbs.co.kr/onair/OnAirClient.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {77E32299-629F-43C6-AB77-6A1E6D7663F6} (Groove Control) - http://download.shockwave.com/pub/otoy/OTOYAX.cab
O16 - DPF: {7E980B9B-8AE5-466A-B6D6-DA8CF814E78A} (MJLauncherCtrl Class) - http://www.shockwave.com/content/luxoramunrising/sis/mjolauncher.cab
O16 - DPF: {938527D1-CDB7-4147-998A-B20FCA5CC976} (Cdmcco Class) - http://cafeimg.hanmail.net/activex/dmcc2.cab?Version=1,0,0,10
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://cdn2.zone.msn.com/binFramework/v10/ZIntro.cab53083.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs:
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe

Symantec Security Check:

C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe is infected with Trojan.Zonebac

Oh ja, meine Taskleiste spinnt etwas rum. Da wo die shortcut-symbölchen immer waren hat sich plötzlich eine ganze Menge rausgelöscht. Z.b. ist ICQ nicht mehr drin, und mein Englisch-Deutsch Nachschlagewörterbuch dass ich häufig benutze auch nicht.
Und ich kann im Internet Explorer nicht mehr auf youtube zugreifen. Womit das zusammenhängt weiß ich nicht, vielleicht hat der Server nur ein paar vorübergehende Problemchen. Oder liegt es in der hohen Heuristikstufe von AntiVir, die ich, wie raman in seinem thread erklärt hat eingeschaltet habe?

Ich habe außerdem das automatische Update von Java ausgeschaltet. Wie hier empfohlen: http://www.neuber.com/taskmanager/deutsch/prozess/jusched.exe.html
War das falsch?

Wenn noch irgend ein log gebraucht wird bitte sagen. Ich mache alles was vonnöten ist.

Und ich möchte wirklich ungern mein System neu aufsetzen, da ich dann meine ganzen Videodateien erst systematisch ordnen und dann runterbrennen müsste.
Außerdem besteht mein Vater immer darauf es selber zu machen, weil ich zugegebenermaßen keine Ahnung davon habe. Und er macht mir dann immer Vorwürfe und mosert. Abgesehen mal davon dass es mindestens einen Tag dauert es neu aufzusetzen. >.<

#2 Hilflos87

1.
Download Registry Search by Bobbi Flekman
http://virus-protect.org/artikel/tools/regsearch.html
und doppelklicken, um zu starten.
in: "Enter search strings" (reinschreiben oder reinkopieren)

Lexmark_X79-55

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

lsasss

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.

-----------------------------------------
2.
Start > Ausfuehren --> reinschreiben --> cmd
und ok. kopiere rein

dir /s /a "c:\lsasss*.*" > c:\find.txt & start notepad c:\find.txt

und poste alles, was im Texteditor erscheint

--------------------------------------------

««
http://virus-protect.org/artikel/tools/sdfix.html
SDFix.zip entpacken

es erscheint folgende Meldung:

"The SDFix Folder has been extracted to %systemdrive% - Please run from that location.
(%systemdrive% = drive that contains the Windows directory - typically C:\SDFix )"


unter C:\ findet man nun den SDFix-Ordner

boote in den abgesicherten Modus (die Taste F8 drücken, während der Rechner neustartet)

gehe in den Ordner C:\SDFix

RunThis.bat doppelt klicken
schreibe: Y
folge allen Anweisungen, während gescannt wird - dann wird der Rechner neustarten
kopiere mit der rechten Maustaste den Text ab, der erscheint - und in den Beitrag,
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.2.0

; Results at 10.02.2007 19:22:55 for strings:
; 'lexmark_x79-55
'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


; End Of The Log...


Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.2.0

; Results at 10.02.2007 19:24:21 for strings:
; 'lsasss
'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


; End Of The Log...

Beim reinkopieren von dir /s /a "c:\lsasss*.*" > c:\find.txt & start notepad c:\find.txt kam das raus:
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 1CB7-4667

Außerdem funktioniert der abgesicherte Modus irgendwie nicht. Am oberen linken Bildschirmrand blinkt einfach nur sowas hier: _ munter vor sich hin.
Vielleicht weil ich C:\System Volume Information\_restore{blabla, kann ich nicht kopieren hier}\RP144\A0234450.exe
und C:\System Volume Information\_restore{blabla, kann ich nicht kopieren hier}\RP143\A0234441.exe in die Quarantäne verschoben habe. Oder wie lange dauert es normalerweise bis ich in den abgesicherten Modus komme? Hätte ich länger als eine halbe Minute warten sollen? MUSS ich das im abgesicherten Modus machen?

#4 poste dieses log
http://virus-protect.org/artikel/tools/combofix.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 "AnnaK" - 07-02-10 22:48:40 Service Pack 2
ComboFix 07-02-11 - Running from: "C:\Dokumente und Einstellungen\AnnaK\Desktop"

((((((((((((((((((((((((((((((( Files Created from 2007-01-10 to 2007-02-10 ))))))))))))))))))))))))))))))))))


2007-02-10 20:40 1,152 --a------ C:\WINDOWS\mozver.dat
2007-02-10 20:33 0 --a------ C:\WINDOWS\nsreg.dat
2007-02-10 20:33 <DIR> d-------- C:\Programme\Mozilla Firefox
2007-02-10 19:30 <DIR> d-------- C:\SDFix
2007-02-10 16:45 <DIR> d-------- C:\WINDOWS\system32\appmgmt
2007-02-10 14:56 28,672 --a------ C:\WINDOWS\system32\drivers\CO_Mon.sys
2007-02-07 15:43 <DIR> d-------- C:\WINDOWS\system32\bak
2007-02-01 20:45 <DIR> d-------- C:\Monstersgame
2007-01-25 16:50 141,612 --a------ C:\WINDOWS\system32\drivers\dump_wmimmc.sys
2007-01-25 16:14 <DIR> d-------- C:\Programme\NEXON
2007-01-23 13:05 <DIR> d-------- C:\DOKUME~1\ALLUSE~1\Anwendungsdaten\Adobe
2007-01-23 00:01 <DIR> d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\AdobeUM
2007-01-20 19:32 4,682 --a------ C:\WINDOWS\system32\npptNT2.sys
2007-01-20 19:22 <DIR> d-------- C:\Programme\Trickster Online
2007-01-20 17:28 <DIR> d-------- C:\Programme\MegauploadToolbar
2007-01-20 17:28 <DIR> d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\MegauploadToolbar
2007-01-19 12:53 51,056 --a------ C:\WINDOWS\system32\sirenacm.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2007-02-10 20:39 -------- d-------- C:\Programme\java
2007-02-10 20:33 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\mozilla
2007-02-10 18:21 -------- d-------- C:\Programme\flashget
2007-02-10 17:34 -------- d-------- C:\Programme\antivir personaledition classic
2007-02-10 14:31 -------- d-------- C:\Programme\quicktime
2007-02-10 13:50 -------- d-------- C:\Programme\google
2007-02-10 13:49 -------- d--h----- C:\Programme\installshield installation information
2007-02-10 13:49 -------- d-------- C:\Programme\diablo ii
2007-02-10 13:41 -------- d-------- C:\Programme\winamp
2007-02-07 15:43 -------- d-------- C:\Programme\msn messenger
2007-02-03 15:27 -------- d-------- C:\Programme\shockwave.com
2007-01-25 16:47 -------- d---s---- C:\DOKUME~1\AnnaK\Anwendungsdaten\microsoft
2007-01-23 07:16 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\adobe
2007-01-22 21:51 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\google
2007-01-20 18:01 -------- d-------- C:\Programme\msn games
2007-01-20 16:29 43520 --a------ C:\WINDOWS\system32\cmdlineext03.dll
2007-01-13 15:09 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\iwin
2007-01-03 20:23 -------- d-------- C:\Programme\yahoo! games
2007-01-03 20:23 -------- d-------- C:\Programme\wildtangent
2007-01-02 20:23 -------- d-------- C:\Programme\gabest
2007-01-02 17:29 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\bsplayer
2007-01-02 17:21 -------- d-------- C:\Programme\webteh
2007-01-02 17:17 -------- d-------- C:\Programme\directvobsub
2006-12-27 15:49 -------- d-------- C:\Programme\bfg
2006-12-27 00:39 -------- d-------- C:\DOKUME~1\AnnaK\Anwendungsdaten\playfirst
2006-12-26 03:09 574 --a------ C:\WINDOWS\wwwconfig.dat
2006-12-22 22:52 4608 --a------ C:\WINDOWS\system32\w95inf32.dll
2006-12-22 22:52 2272 --a------ C:\WINDOWS\system32\w95inf16.dll
2006-11-22 22:20 62852 --a------ C:\WINDOWS\system32\perfc007.dat
2006-11-22 22:20 367208 --a------ C:\WINDOWS\system32\perfh007.dat


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"EDLauncher"="C:\\Programme\\PRMT6\\PRMTED\\EDLauncher.exe"
"swg"="C:\\Programme\\Google\\GoogleToolbarNotifier\\1.2.1128.2480\\GoogleToolbarNotifier.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"Cmaudio"="RunDll32 cmicnfg.cpl,CMICtrlWnd"
"RemoteControl"="\"C:\\Programme\\CyberLink DVD Solution\\PowerDVD\\PDVDServ.exe\""
"InCD"="C:\\Programme\\Ahead\\InCD\\InCD.exe"
"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"
"IMJPMIG8.1"="\"C:\\WINDOWS\\IME\\imjp8_1\\IMJPMIG.EXE\" /Spoil /RemAdvDef /Migration32"
"MSPY2002"="C:\\WINDOWS\\system32\\IME\\PINTLGNT\\ImScInst.exe /SYNC"
"PHIME2002ASync"="C:\\WINDOWS\\system32\\IME\\TINTLGNT\\TINTSETP.EXE /SYNC"
"PHIME2002A"="C:\\WINDOWS\\system32\\IME\\TINTLGNT\\TINTSETP.EXE /IMEName"
"TkBellExe"="\"C:\\Programme\\Gemeinsame Dateien\\Real\\Update_OB\\realsched.exe\" -osboot"
"QuickTime Task"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"KernelFaultCheck"=hex(2):25,73,79,73,74,65,6d,72,6f,6f,74,25,5c,73,79,73,74,\
65,6d,33,32,5c,64,75,6d,70,72,65,70,20,30,20,2d,6b,00
"WinampAgent"="C:\\Programme\\Winamp\\winampa.exe"
"Lexmark_X79-55"="C:\\WINDOWS\\system32\\lsasss.exe"
"SunJavaUpdateSched"="C:\\Programme\\Java\\jre1.5.0_10\\bin\\jusched.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"


[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost]
HTTPFilter REG_MULTI_SZ HTTPFilter\0\0
LocalService REG_MULTI_SZ Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0
NetworkService REG_MULTI_SZ DnsCache\0\0
DcomLaunch REG_MULTI_SZ DcomLaunch\0TermService\0\0
rpcss REG_MULTI_SZ RpcSs\0\0
imgsvc REG_MULTI_SZ StiSvc\0\0
termsvcs REG_MULTI_SZ TermService\0\0


[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d500b5c8-18d9-11db-9843-d8c3f91968b1}]
Shell\AutoRun\command E:\pushinst.exe


********************************************************************

catchme 0.1 W2K/XP - userland rootkit detector by Gmer, 17 October 2006
http://www.gmer.net

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

********************************************************************

Completion time: 07-02-10 22:50:58

Bitteschön, ich hoffe das hilft was.

#6 Hilflos87

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

------

««
http://virus-protect.org/artikel/tools/sdfix.html
SDFix.zip entpacken

es erscheint folgende Meldung:

"The SDFix Folder has been extracted to %systemdrive% - Please run from that location.
(%systemdrive% = drive that contains the Windows directory - typically C:\SDFix )"

unter C:\ findet man nun den SDFix-Ordner

warte solange, bis der Rechner in den abges.Modus kommt - kann eine Weile dauern

boote in den abgesicherten Modus (die Taste F8 drücken, während der Rechner neustartet)

gehe in den Ordner C:\SDFix

RunThis.bat doppelt klicken

schreibe: Y

folge allen Anweisungen, während gescannt wird - dann wird der Rechner neustarten
kopiere mit der rechten Maustaste den Text ab, der erscheint - und in den Beitrag,
__________
MfG Sabina

rund um die PC-Sicherheit

#7 sers

habe das geliche problem auch den TR/Agent.37018 und bekomme ihn nicht los

hat jemand schon eine lösung wie man diesen entfernen kann

gruss und danke im vorraus

okcax

#8 okcax

arbeite das ab und poste die logs hier
http://board.protecus.de/t23188.htm
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Ok, fettes Problem: Immer wenn ich den Internet Explorer starte bekomme ich eine Viruswarnung, wenn ich diesen in die Quarantäne verschiebe geht das Internet nicht mehr.
Es ist die Datei C:\WINDOWS\system32\rsvp32_2.dll
und AntiVir sagt es ist ein Virus namens TR\Proxy.Agent.LY.5

Ist da noch was zu retten?

Mein Vater ist jetzt hergegangen und hat alle Dateien in denen Viren gefunden wurden gelöscht, sprich dieses lsasss und so. Ich weiß das soll man nicht machen, und geholfen hat es auch nichts, weil immer noch ab und zu Viruswarnungen auftauchen. Ich glaube ich komme nicht drumrum das System neu aufzusetzen. *seufz*

#10 Hilflos87

ich habe dir oben genaue Anweisungen gegeben, was zu tun ist - wenn du es nicht abarbeitest..........
__________
MfG Sabina

rund um die PC-Sicherheit