RogueAntiSpyware und wahrscheinlich andere!

#1 1)erledigt

2)Combofix führt zu einem Bluescreen mit der Meldung:
"INVALID_PROCESS_ATTACHMENT" oder sowas in der Art war das glaub ich

3)
Logfile of HijackThis v1.99.1
Scan saved at 21:27, on 2008-01-11
Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\LXSUPMON.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
D:\Diverse Programme\Logitech_Kamera\QuickCam10.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\LVComSX.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe
C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe
C:\Programme\Adobe\Reader 8.0\Reader\AcroRd32Info.exe
C:\Dokumente und Einstellungen\gottfried\Desktop\antiviren\hjt.exe

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "D:\Diverse Programme\Logitech_Kamera\QuickCam10.exe" /hide
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [taskmon] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1199992142189
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1199992103112
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - D:\Diverse Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - D:\Diverse Programme\Spyware Doctor\pctsSvc.exe


4)
Datenträger in Laufwerk C: ist Festplatte
Volumeseriennummer: B82F-9F13

Verzeichnis von C:\WINDOWS\system32

2008-01-11 19:48 2,262 wpa.dbl
2008-01-10 18:59 0 tmp.txt
2008-01-10 18:59 3,136 tmp.reg
2008-01-10 16:47 13,760 taskmon.sys
2007-12-12 21:01 3,002 CONFIG.NT
2007-12-04 14:04 837,496 aswBoot.exe
2007-12-04 13:54 95,608 AvastSS.scr
2007-11-15 20:29 5,686 jupdate-1.6.0_03-b05.log
2007-10-20 07:09 7,167 lvcoinst.log
2007-10-13 20:56 392,296 perfh009.dat
2007-10-13 20:56 58,596 perfc009.dat
2007-10-13 20:56 405,118 perfh007.dat
2007-10-13 20:56 70,580 perfc007.dat
2007-10-13 20:56 827,488 PerfStringBackup.INI


Verzeichnis von C:\DOKUME~1\GOTTFR~1\LOKALE~1\Temp

2008-01-11 21:27 112,358 datfind.txt
2008-01-11 21:26 933 LVCOMSX.LOG
2008-01-11 21:26 766 callingapps.xml
2008-01-11 21:21 23,337 catchme.sys
4 Datei(en) 137,394 Bytes
0 Verzeichnis(se), 12,664,348,672 Bytes frei


Datenträger in Laufwerk C: ist Festplatte
Volumeseriennummer: B82F-9F13

Verzeichnis von C:\WINDOWS

2008-01-11 21:24 89,992 WindowsUpdate.log
2008-01-11 21:24 157 wiadebug.log
2008-01-11 21:24 50 wiaservc.log
2008-01-11 21:23 15,226 SchedLgU.Txt
2008-01-11 21:23 2,048 bootstat.dat
2008-01-11 21:14 7,869 setupapi.log
2008-01-11 20:07 1,214 win.ini
2008-01-11 20:07 227 system.ini
2008-01-10 19:10 240 setupact.log
2008-01-10 19:00 0 setuperr.log
2008-01-06 20:31 114,936 ntbtlog.txt
2008-01-02 11:02 344 LEXSTAT.INI
2008-01-01 22:11 116 NeroDigital.ini
2007-12-16 22:13 151 PhotoSnapViewer.INI
2007-11-16 23:12 6 WS_FTP.EXT
2007-11-16 23:12 0 WS_FTP.CNV
2007-11-11 12:36 28 ALBUM.INI


Verzeichnis von C:\WINDOWS\temp

2008-01-11 21:23 16,384 Perflib_Perfdata_468.dat
1 Datei(en) 16,384 Bytes
0 Verzeichnis(se), 12,664,344,576 Bytes frei


Datenträger in Laufwerk C: ist Festplatte
Volumeseriennummer: B82F-9F13

Verzeichnis von C:\WINDOWS\Downloaded Program Files

2007-07-30 19:24 295 muweb.inf
2007-07-30 19:24 293 wuweb.inf
2007-06-11 12:21 5,021 swflash.inf
2007-04-09 01:20 386 MicrosoftUpdateCatalogWebControl.inf
2005-11-10 14:05 876 jinstall-1_5_0_06.inf
2004-06-20 19:06 65 desktop.ini
2002-07-25 16:13 24,576 dwusplay.dll
2002-07-25 16:13 196,608 dwusplay.exe
2002-07-25 16:05 172,032 isusweb.dll
2000-01-20 14:25 1,162 Microsoft XML Parser for Java.osd
10 Datei(en) 401,314 Bytes
0 Verzeichnis(se), 12,664,344,576 Bytes frei

5) Ich kann den Desktophintergrund nicht mehr ändern, hatte vor kurzem Malware auf meinem Rechner ("Microsoft detected a Virus, please download ...") Den genauen Wortlaut der Malware kann ich nicht mehr wiedergeben da ich das Fenster seid Heute nicht mehr bekomme.
Außerdem habe ich ständig eine überdurchschnittlich hohe Netzwerkauslastung und Datenverkehr.

Ich hoffe ihr könnt mir helfen meinen Rechner wieder sauber zu bekommen.

Ein Dankeschön schonmal im Vorraus!

#2 qualcompi

1.
Start -> Ausführen und dann “regedit” eingeben.

klicke dich durch zu:

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon

Mit Virus steht dann am Ende bei Winlogon folgendes:
C:\Windows\system32\userinit.exe, C:\Windows\system32\ntos.exe - löschen

Richtig muss es heißen:
C:\Windows\system32\userinit.exe

… also wieder entsprechend abändern! Dann zur Sicherheit einfach mal in der Registry suchen nach ntos.exe + alles davon löschen

2.
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere ein:

Zitat

Files to delete:
C:\Windows\system32\ntos.exe

Klicke die grüne Ampel
- das Script wird nun ausgeführt, dann wird der PC nach Bestätigung (yes) neustarten

--------------------------------------------------------------------------
3.
boote in den abgesicherten modus, scanne mit sdfix + poste den report
http://virus-protect.org/artikel/tools/sdfix.html

4.
klicke sdifx im normalmodus - lade Sophos - scanne mit Option 6 + poste den Report

5.
Download F-Prot Antivirus for DOS
lade, scanne und kopiere hier den Report
http://virus-protect.org/artikel/tools/fprot.html

6.
lade dieses Tool von Kaspersky + poste den Report
http://virus-protect.org/artikel/tools/kaspersky.html

---
um den Desktop-Hintergrund kümmern wir uns später
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#3 ad 1.)

Das hat prima funktioniert. DANKE !

ad 2.)
Avenger konnte ich ausführen und hat nichts bewirkt.

ad 3.)
Hat nicht funktioniert: Ich bekam einen Blue Screen mit der Meldung: Invalid_Process_attach_attempt

ad 4.)
Hat funktioniert und auch einiges gefunden !

ad 5.)
Konnte ich nicht ausführen da die Virus Datenbank zu alt war und es anscheinend keine Aktualisierungsfunktion gibt.

ad 6.)
Hat so weit funktioniert und nichts bewirkt.

7.)
Das Problem konnte ich mit Hilfe von
- spydoctor lösen. Das Programm hat mir das Verzeichnis und die Files angezeigt die schlecht waren: Es wurde ein Verzeichnis "Program Files\Bravesentry\... angelegt in dem die " RogueAntiSpyware" gespeichert war. Ich habe alle Files mithilfe von CCleaner gelöscht.

Zudem habe ich die zusätzlich als gefährlich gemeldeten Registry Einträge aus der Registry per Hand entfernt.

Abschließend:
Mein Problem konnte durch 1, 4, 7 gelöst werden !!


Vielen Dank für deine Hilfe !!
qualcompi