Mal wieder falsche Links unter Google...

#1 Ich habe die anderen Beiträge zu dem Thema gelesen, kann jedoch selbst keine der schädlichen Prozesse finden, die dort z.T. gefunden wurden.

Hijack this Log:
Logfile of HijackThis v1.99.1
Scan saved at 13:42:32, on 26.02.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\NetScreen\NetScreen-Remote\IreIKE.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\NetScreen\NetScreen-Remote\IPSecMon.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\SONY\vaio media music server\SSSvr.exe
C:\Programme\sony\photo server 20\appsrv\PicAppSrv.exe
C:\Programme\RealVNC\WinVNC\WinVNC.exe
C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\SV_Httpd.exe
C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\UPnPFramework.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\carpserv.exe
C:\Programme\Apoint\Apoint.exe
C:\WINDOWS\system32\ICO.EXE
C:\WINDOWS\System32\ezSP_Px.exe
C:\Programme\Apoint\Apntex.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programme\WinSweep\winjam.exe
C:\Programme\Free History Eraser\HistoryEraser.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\NetScreen\NetScreen-Remote\SafeCfg.exe
C:\Programme\SONY\click to dvd\ctdatsvr.exe
C:\Programme\Gemeinsame Dateien\Nokia\MPAPI\MPAPI3s.exe
C:\Programme\a-squared Free\a2free.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\Dirk Heyer\Eigene Dateien\Hijack This\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://de.rd.yahoo.com/customize/ie/defaults/su/msgr8/*http://de.search.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer bereitgestellt von Yahoo! Deutschland
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: (no name) - {A9F65D5E-6AF8-42A0-B872-785DC66DEA7B} - C:\WINDOWS\system32\slextsqk.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXE
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [Drag'n Drop CD+DVD] C:\Programme\drag'n drop cd+dvd\BinFiles\DragDrop.exe /StartUp
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [WinVNC] "C:\Programme\RealVNC\WinVNC\WinVNC.exe" -servicehelper
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKCU\..\Run: [WINSWEEP Popupblocker] C:\Programme\WinSweep\WSPopup.Exe /STEP1
O4 - HKCU\..\Run: [WINSWEEP Reklameblockierung] C:\Programme\WinSweep\winjam.exe
O4 - HKCU\..\Run: [SPSTEALT] "C:\Programme\Free History Eraser\HistoryEraser.exe" /stealt
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - Startup: Startprogramm für Click to DVD-Automatikmodus.lnk = C:\Programme\SONY\click to dvd\ctdatsvr.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: NetScreen-Remote.lnk = C:\Programme\NetScreen\NetScreen-Remote\SafeCfg.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {4DD35047-9805-4EB6-8DD0-2BE206FF42FA} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {4DD35047-9805-4EB6-8DD0-2BE206FF42FA} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com/
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: SafeNet Monitor Service (IPSECMON) - SafeNet - C:\Programme\NetScreen\NetScreen-Remote\IPSecMon.exe
O23 - Service: SafeNet IKE Service (IREIKE) - SafeNet - C:\Programme\NetScreen\NetScreen-Remote\IreIKE.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\PROGRA~1\GEMEIN~1\SONYSH~1\AVLib\Sptisrv.exe
O23 - Service: VAIO Media Music Server (Application) (VAIOMediaPlatform-MusicServer-AppServer) - Unknown owner - C:\Programme\SONY\vaio media music server\SSSvr.exe" /Service=VAIOMediaPlatform-MusicServer-AppServer /DisplayName="VAIO Media Music Server (Application) (file missing)
O23 - Service: VAIO Media Music Server (HTTP) (VAIOMediaPlatform-MusicServer-HTTP) - Unknown owner - C:\Programme\Gemeinsame Dateien\Sony Shared\vaio media platform\sv_httpd.exe" /Service=VAIOMediaPlatform-MusicServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="Applications\MusicServer\HTTP (file missing)
O23 - Service: VAIO Media Music Server (UPnP) (VAIOMediaPlatform-MusicServer-UPnP) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\vaio media platform\UPnPFramework.exe
O23 - Service: VAIO Media Photo Server (Application) (VAIOMediaPlatform-PhotoServer-AppServer) - Unknown owner - C:\Programme\sony\photo server 20\appsrv\PicAppSrv.exe
O23 - Service: VAIO Media Photo Server (HTTP) (VAIOMediaPlatform-PhotoServer-HTTP) - Unknown owner - C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\SV_Httpd.exe" /Service=VAIOMediaPlatform-PhotoServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="\Applications\PhotoServer\HTTP (file missing)
O23 - Service: VAIO Media Photo Server (UPnP) (VAIOMediaPlatform-PhotoServer-UPnP) - Sony Corporation - C:\Programme\Gemeinsame Dateien\sony shared\vaio media platform\UPnPFramework.exe
O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Programme\RealVNC\WinVNC\WinVNC.exe" -service (file missing)


Clean up habe ich ebenfalls durchgeführt.


Combofix scheint momentan nicht verfügbar zu sein, daher habe ich es nicht verwendet.


datfind.bat:

Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\WINDOWS\system32

26.02.2007 08:24 1.158 wpa.dbl
20.02.2007 14:14 2.728 qtplugin.log
15.02.2007 17:33 125.692 TZLog.log
07.02.2007 23:01 12.293.536 MRT.exe
29.01.2007 09:58 60.416 tzchange.exe
23.01.2007 20:30 546.304 hhctrl.ocx
12.01.2007 19:22 176.167 rmoc3260.dll
12.01.2007 19:19 5.632 pndx5032.dll
12.01.2007 19:19 6.656 pndx5016.dll
12.01.2007 19:18 278.528 pncrt.dll
12.01.2007 09:27 822.784 wininet.dll
12.01.2007 09:27 27.136 jsproxy.dll
12.01.2007 09:27 477.696 mshtmled.dll
12.01.2007 09:27 1.149.952 urlmon.dll
12.01.2007 09:27 132.608 extmgr.dll
12.01.2007 09:27 51.712 msfeedsbs.dll
12.01.2007 09:27 3.580.416 mshtml.dll
12.01.2007 09:27 6.054.400 ieframe.dll
12.01.2007 09:27 232.960 webcheck.dll
12.01.2007 09:27 458.752 msfeeds.dll
12.01.2007 09:27 670.720 mstime.dll
10.01.2007 17:42 1.040.384 ieframe.dll.mui
08.01.2007 19:04 105.984 url.dll
08.01.2007 19:04 102.400 occache.dll
08.01.2007 19:03 193.024 msrating.dll
08.01.2007 19:02 1.823.744 inetcpl.cpl
08.01.2007 19:02 266.752 iertutil.dll
08.01.2007 19:02 44.544 iernonce.dll
08.01.2007 19:02 384.000 iedkcs32.dll
08.01.2007 19:02 230.400 ieaksie.dll
08.01.2007 19:02 383.488 ieapfltr.dll
08.01.2007 19:02 153.088 ieakeng.dll
08.01.2007 19:02 161.792 ieakui.dll
08.01.2007 19:01 17.408 corpol.dll
08.01.2007 19:00 124.928 advpack.dll
08.01.2007 18:08 56.832 ie4uinit.exe
08.01.2007 18:08 13.824 ieudinit.exe
21.12.2006 06:53 242.328 FNTCACHE.DAT
20.12.2006 18:45 55.940 perfc009.dat
20.12.2006 18:45 385.820 perfh009.dat
20.12.2006 18:45 397.858 perfh007.dat
20.12.2006 18:45 67.460 perfc007.dat
20.12.2006 18:45 916.076 PerfStringBackup.INI
20.12.2006 18:44 16.832 amcompat.tlb
20.12.2006 18:44 23.392 nscompat.tlb
19.12.2006 22:49 135.168 shsvcs.dll
19.12.2006 22:49 8.494.592 shell32.dll
19.12.2006 19:17 334.336 wiaservc.dll
13.12.2006 02:10 679.424 inetcomm.dll
13.12.2006 02:10 10.752 rspndr.exe
13.12.2006 02:10 246.814 strmdll.dll
13.12.2006 02:10 500.278 dxmasf.dll
13.12.2006 02:10 715.776 sxs.dll
13.12.2006 02:10 50.176 utilman.exe
13.12.2006 02:10 36.352 umandlg.dll
13.12.2006 02:10 216.576 osk.exe
13.12.2006 02:10 55.296 narrator.exe
13.12.2006 02:10 73.216 magnify.exe


Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\DOKUME~1\DIRKHE~1\LOKALE~1\Temp

26.02.2007 12:06 16.384 ~DF2663.tmp
26.02.2007 12:06 444 jusched.log
26.02.2007 11:38 16.384 ~DF4324.tmp
3 Datei(en) 33.212 Bytes
0 Verzeichnis(se), 4.628.578.304 Bytes frei


Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\WINDOWS

26.02.2007 13:14 66 webica.ini
26.02.2007 12:25 831.254 setupapi.log
26.02.2007 12:11 2.021.940 WindowsUpdate.log
26.02.2007 12:04 0 0.log
26.02.2007 12:04 157 wiadebug.log
26.02.2007 12:04 50 wiaservc.log
26.02.2007 12:04 2.048 bootstat.dat
26.02.2007 12:03 32.558 SchedLgU.Txt
26.02.2007 10:22 9.365 setupact.log
26.02.2007 10:22 180.339 iis6.log
26.02.2007 10:22 391.479 comsetup.log
26.02.2007 10:22 238.397 ntdtcsetup.log
26.02.2007 10:22 447.350 tsoc.log
26.02.2007 10:22 1.374 imsins.log
26.02.2007 10:22 59.630 ocmsn.log
26.02.2007 10:22 58.035 msgsocm.log
26.02.2007 10:22 576.455 ocgen.log
26.02.2007 10:22 1.164.347 FaxSetup.log
26.02.2007 10:19 10.344 DPINST.LOG
26.02.2007 10:05 19 SoundConverter.INI
26.02.2007 08:38 19.872 wmsetup.log
15.02.2007 17:35 1.374 imsins.BAK
15.02.2007 17:35 19.951 KB927779.log
15.02.2007 17:35 84.203 updspapi.log
15.02.2007 17:34 16.604 KB927802.log
15.02.2007 17:34 17.166 KB928255.log
15.02.2007 17:34 7.695 KB923723.log
15.02.2007 17:34 13.633 KB924667.log
15.02.2007 17:33 26.059 KB931836.log
15.02.2007 17:33 15.569 KB926436.log
15.02.2007 17:33 10.480 KB928090-IE7.log
15.02.2007 17:32 13.109 KB918118.log
15.02.2007 17:32 12.995 KB928843.log
14.02.2007 09:41 510 ModemLog_Nokia 9500 USB Modem.txt
13.02.2007 17:33 27.110 wmsetup10.log
05.02.2007 13:50 176 wininit.ini
16.01.2007 13:01 17.930 WGA.log
13.01.2007 15:22 1.508 ie7Uninst.log
12.01.2007 22:39 14.090 mozver.dat
12.01.2007 22:39 682 win.ini
11.01.2007 12:01 3.656 KB929969.log
07.01.2007 14:29 74 cdplayer.ini
21.12.2006 10:56 1.593 wincmd.ini
21.12.2006 10:53 391 OemOut.ini
21.12.2006 10:32 40.627 spupdsvc.log
21.12.2006 10:29 44.291 ie7_main.log
21.12.2006 10:28 39.622 ie7.log
21.12.2006 10:27 43.548 IDNMitigationAPIs.log
21.12.2006 10:26 43.248 NLSDownlevelMapping.log
21.12.2006 10:25 39.467 KB915865.log
21.12.2006 10:24 5.769 KB914440.log
20.12.2006 18:40 316.640 WMSysPr9.prx
20.12.2006 17:46 12.660 KB904412.log
20.12.2006 10:17 9.794 ModemLog_Bluetooth DUN Modem.txt
19.12.2006 15:26 1.236.380 setupapi.log.0.old
13.12.2006 10:53 73 gfscore.ini


Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\WINDOWS\Temp

26.02.2007 12:04 0 JET8E5A.tmp
1 Datei(en) 0 Bytes
0 Verzeichnis(se), 4.628.119.552 Bytes frei


Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\WINDOWS\Downloaded Program Files

26.02.2007 12:36 52.772 daas.log


Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: B892-C076

Verzeichnis von C:\

26.02.2007 13:30 0 sys.txt
26.02.2007 13:30 1.079 down.txt
26.02.2007 13:30 267 tmp.txt
26.02.2007 13:30 15.313 system.txt
26.02.2007 13:29 384 systemtemp.txt
26.02.2007 13:29 107.587 system32.txt
26.02.2007 12:04 468.766.720 hiberfil.sys
26.02.2007 12:04 704.643.072 pagefile.sys


Links unter Google führen häufiger auf die Seite "genealogie.de". Spybot hat lediglich zwei Probleme feststellen können (zwei Dateien unter c:\windows, tool2.exe und kl.exe, beide manuell gelöscht).

Hier noch ein F-Secure Blacklight Log:
02/26/07 12:17:28 [Info]: BlackLight Engine 1.0.55 initialized
02/26/07 12:17:28 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/26/07 12:17:28 [Note]: 7019 4
02/26/07 12:17:28 [Note]: 7005 0
02/26/07 12:17:31 [Note]: 7006 0
02/26/07 12:17:31 [Note]: 7011 424
02/26/07 12:17:31 [Note]: 7026 0
02/26/07 12:17:32 [Note]: 7026 0
02/26/07 12:17:50 [Note]: FSRAW library version 1.7.1021
02/26/07 12:56:10 [Note]: 2000 1012
02/26/07 12:56:10 [Note]: 2000 1012
02/26/07 12:56:10 [Note]: 2000 1012
02/26/07 12:56:10 [Note]: 2000 1012
02/26/07 12:56:32 [Note]: 7007 0


Bedanke mich im Vorraus schon einmal.

#2 Suche bitte diese Datei C:\WINDOWS\system32\slextsqk.dll und ueberpruefe sie bei VT oder Jotti.
__________
MfG Ralf
SEO-Spam Hunter

#3 Pooka

http://virus-protect.org/artikel/tools/regsearch.html
und doppelklicken, um zu starten.
in: "Enter search strings" (reinschreiben oder reinkopieren)

{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

slextsqk

in edit und klicke "Ok".
Notepad wird sich öffnen -- kopiere den Text ab und poste ihn.
__________
MfG Sabina

rund um die PC-Sicherheit

#4 Zum Schlüssel {A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}:

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.2.0

; Results at 28.02.2007 13:33:35 for strings:
; '{a9f65d5e-6af8-42a0-b872-785dc66dea7b}'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}\InprocServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}\iexplore]

; End Of The Log...



Zum Entrag slextsqk:

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.2.0

; Results at 28.02.2007 13:36:00 for strings:
; 'slextsqk'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}\InprocServer32]
@="C:\\WINDOWS\\system32\\slextsqk.dll"

; End Of The Log...


MfG

edit:
Habe die Datei mit Jotti untersucht (es scheint noch eine Datei mit sehr ähnlichem Namen zu geben "slextspk.dll"). Jotti findet u.a. Spyware Stud.A in der Datei, Win32:Trojano-3384, Stud.B u.a. Die andere Datei slextspk.dll scheint sauber zu sein.
Kann ich die Datei gefahrlos löschen?

#5 Pooka

««
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als fixme.reg mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.
Die Datei "fixme.reg" auf dem Desktop doppelklicken und der Registry mit "ja" oder "yes" beifügen

Zitat

REGEDIT4

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}]

««
Avenger
http://virus-protect.org/artikel/tools/avenger.html

Input script manually (anhaken)
kopiere in: View/edit script

Zitat

registry keys to delete:
HKLM\SOFTWARE\Classes\CLSID\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B}

Files to delete:
C:\WINDOWS\system32\slextsqk.dll

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

«»
scanne und poste den scanreport
http://virus-protect.org/cureit.html
__________
MfG Sabina

rund um die PC-Sicherheit

#6 Hier das Avenger Log:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\cwfpodwq

*******************

Script file located at: \??\C:\WINDOWS\system32\kupewhon.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\slextsqk.dll deleted successfully.
Registry key HKLM\SOFTWARE\Classes\CLSID\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B} deleted successfully.
Registry key HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A9F65D5E-6AF8-42A0-B872-785DC66DEA7B} deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

#7 «»
scanne und poste den scanreport
http://virus-protect.org/cureit.html

+
berichte, ob die seiten noch umgeleitet werden
__________
MfG Sabina

rund um die PC-Sicherheit

#8 Dr. Web findet nur noch den VNC Client, ob die Seiten noch umgeleitet werden kann ich nicht 100%ig sagen, da es sporadisch auftritt, bislang scheint alles in Ordnung zu sein.

Vielen Dank für die Mühe.

MfG