Advanced Cleaner, Malware, dauernde Popups - Entfernung?

#16 Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 –u
O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.ietoolgate.com/redirect.php (file missing)
O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.ietoolgate.com/redirect.php (file missing)
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyPoker.net\partypokernet.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyPoker.net\partypokernet.exe (file missing)
O16 - DPF: RaptisoftGameLoader - http://www.miniclip.com/hamsterball/raptisoftgameloader.cab
O16 - DPF: {288C5F13-7E52-4ADA-A32E-F5BF9D125F99} (CR64Loader Object) - http://www.miniclip.com/supergerball/miniclipGameLoader.dll

klicke: Fix checked
Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

Java
Dein Java software ist veraltet,
Download jre-6u4-windows-i586-p-iftw.exe
Scrolle runter nach ----> Java Runtime Environment (JRE) 6 Update 4
The Java SE Runtime Environment (JRE) allows end-users to run Java applications.
Klicke auf Download
Setze in haeckchen bei --->"Accept License Agreement".
Klicke “Windows Offline Installation, Multi-language” um
“jre-6u3-windows-i586-p.exe” zum Desktop zu installieren
Schliesse alle Programme auch dein Webbrowser
Ueber "Start -> Einstellungen -> Systemsteuerung -> Software
Und entferne alle aeltere versionen von Java Runtime Environment (JRE of J2SE)
Auch auf C:\Programme\Java entfernen!
Nachdem alles entfernt wurde --->Rechner neu starten
Installiere jetzt vom Desktop aus ---> jre-6u4-windows-i586-p-iftw.exe

Komm gleich zurueck
__________
MfG Argus

#17 Schon mal versucht mit "ausführen als Administrator"
Geh mit den Mausanweisser auf stehen klicke rechts und waehle "ausführen als Administrator"
__________
MfG Argus

#18 HiJack This ist offensichtlich das einzige Programm mit dem ich zu Rande komme... hat einwandfrei funktioniert.

JAVA:
in der Systemsteuerung - Software konnte ich die alten Versionen NICHT LÖSCHEN. Es fehlte ein Entfernen-Button, durch Drücken der Entf-Taste passierte gar nix. In meiner Verzweiflung versuchte ich die Schaltfläche "Windows Komponenten Hinzufügen/Entfernen", aber wurde wg. fehlender Admin-Rechte hier wieder abgeblockt.

COMBIFIX:
Hab's versucht, mit"Ausführen als Administrator", aber das dazu benötigte Kennwort hab ich leider nicht.

LG, Nadja

#19 Und dein Vati?

Zitat

aber das dazu benötigte Kennwort hab ich leider nicht

__________
MfG Argus

#20
1.) Killbox laden und entpacken
http://www.virus-protect.org/killbox.html

"Delete on Reboot" und "Single File" anhaken + zu löschende Datei einkopieren (der Pfad muss korrekt sein)



das erste einkopieren +

klicken auf:



"all listed Files will be deleted on Next Reboot" -- "no" klicken und dann die nächste Datei einkopieren

Zitat

C:\WINDOWS\system32\shlahsd.dll
C:\WINDOWS\system32\ytqnmlcb.exe
C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\laf2.exe
C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\_off0.bat
C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\laf1.exe

All Files anklicken

wieder nacheinander einkopieren + das rote Kreuz klicken + "no" für reboot

Zitat

C:\Programme\Helper
C:\Programme\VirusProtect 3.9
C:\Programme\Video Add-on
C:\Programme\AdvancedCleaner Free
C:\Programme\Gemeinsame Dateien\AdvancedCleaner Free

bei der letzten Datei bestätigt man "all listed Files will be deleted on Next Reboot" mit "yes" und es wird neugestartet.

--

nach dem Neustart suche: C:\!KillBox - dort gibt es eine Textdatei (txt), wo aufgelistet ist, was von der killbox gelöscht wurde - kopiere es hier
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#21 hallo,

KILLBOX - hab alles so gemacht, der PC wurde allerdings nicht selbst neu gestartet, da kam folgende Meldung: "PendingFileRenameOperations Registry Data has been removed by external Process!", und dann nix mehr. Naja, hab ihn dann einfach mal so neugestartet, hier der log dazu:


# 1 [Delete on Reboot]
Path = C:\WINDOWS\system32\shlahsd.dll


# 2 [Delete on Reboot]
Path = C:\WINDOWS\system32\ytqnmlcb.exe


# 3 [Delete on Reboot]
Path = C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\laf2.exe


# 4 [Delete on Reboot]
Path = C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\_off0.bat


# 5 [Delete on Reboot]
Path = C:\Dokumente und Einstellungen\Johann.Wechselberger\Lokale Einstellungen\Temp\laf1.exe


# 6 [Delete on Reboot]
Path = C:\Programme\Helper


# 7 [Delete on Reboot]
Path = C:\Programme\VirusProtect 3.9


# 8 [Delete on Reboot]
Path = C:\Programme\Video Add-on


# 9 [Delete on Reboot]
Path = C:\Programme\AdvancedCleaner Free


# 10 [Delete on Reboot]
Path = C:\Programme\Gemeinsame Dateien\AdvancedCleaner Free


PendingFileRenameOperations Registry Data has been Removed by External Process! @ 1:50:49 PM
# 11 [Delete on Reboot]
Path = C:\Programme\Gemeinsame Dateien\AdvancedCleaner Free


PendingFileRenameOperations Registry Data has been Removed by External Process! @ 1:52:22 PM
Killbox Closed(Exit) @ 1:52:29 PM
__________________________________________________

@ arnold: glaub mir, mein Dad ist froh wenn er es schafft den PC hochzufahren, er weiß definitiv nix über Admin-rechte, Passwörter oder irgendwas... Vielleicht weiß es irgendwer in seiner Firma (aber richtigen Admin gibts dort eigentlich nicht), schöner wäre es, das selbst zu regeln, sonst müssen wir den laptop am Ende einsenden und der ist doch von der ganzen Familie ziehmlich viel privat genutzt worden.

Ach, noch eine Frage: kann oder soll ich die ganzen Programme á la Combifix, Smitfraudfix, Avenger, etc. wieder löschen?

LG, Nadja

#22 wieso löschen, die Reinigung hat gerade erst begonnen:

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als listen.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden. --> die listen.bat doppelt klicken--> kopiere den Text, der erscheint

Zitat

cd\
dir "C:\Dokumente und Einstellungen\All Users\Desktop" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Desktop" >>files.txt
dir "C:\WINDOWS\Downloaded Program Files" >>files.txt
dir "C:\Programme\Common Files" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Eigene Dateien" >>files.txt
dir "C:\Program Files" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Lokale Einstellungen\Temporary Internet Files\Content.IE5" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Lokale Einstellungen\Temp" >>files.txt
dir "C:\WINDOWS\Temp" >>files.txt
dir "C:\Temp" >>files.txt
dir "C:\Programme" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Lokale Einstellungen\Anwendungsdaten" >>files.txt
dir "C:\Dokumente und Einstellungen\%UserName%\Anwendungsdaten" >>files.txt
dir "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten" >>files.txt
dir "C:\Programme\Gemeinsame Dateien" >>files.txt
dir "C:\Windows\tasks" >>files.txt
notepad files.txt

__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#23 Was echt, wir sind noch am Anfang??

beim doppelklicken von listen.bat auf dem Desktop geht ein Fenster C:\WINDOWS\System32\cmd.exe.

Gleichzeitig öffnet sich ein Editor-Fenster mit der Meldung: "Die Datei files.txt kann nicht gefunden werden. Möchten Sie eine neue Datei erstellen?" Egal ob ich dann ja, nein oder abbrechen klicke, ich habe dann das leere Editor-Fenster da und im Hintergrund die o.g. cmd.exe.

Hier also die Infos aus cmd.exe:
=======================

C:\Dokumente und Einstellungen\Johann.Wechselberger\Desktop>cd\

C:\>dir "C:\Dokumente und Einstellungen\All Users\Desktop" 1>>files.txt
Zugriff verweigert

C:\>dir "C:\Dokumente und Einstellungen\Johann.Wechselberger\Desktop" 1>>files.
txt
Zugriff verweigert

#24 Janie

nun.. du musst es im abgesicherten Modus machen ... dann als txt-Datei abspeichern, wieder in den normalmodus booten und hier posten...

oder:

auch im abgesicherten Modus:

Start - Systemsteuerung - Benutzerkonten
Gib deinem Benutzerkonto Konto die vollständigen Administratorrechte
http://www.virus-protect.org/administrator.html

(kein neues konto errichten, wie auf der Seite erläutert, sondern dein bestehendes in ein Adminkonto umwandeln ... kein Benutzerkonto mit eingeschränkten Rechten mehr...) - dann funktionieren auch alle Proggies...
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#25 hab's im abgesicherten Modus gemacht, dann normal gebootet - dann war der PC total langsam, und eine Symantec-Warnung sagte mir, die Firewall sei deaktiviert. Beim Doppelklick auf listen.bat kam das selbe wie vorher, überall mit "Zugriff verweigert". Hab die listen.bat dann wieder gelöscht und nochmal neu gebootet und so, jetzt geht er wieder schneller.

Ich glaube ich geb es jetzt dann auf, habe das Gefühl, mit meinem Talent mach ich ihn mehr kaputt als er vorher war... Das ursprüngliche Symptom, die Popups usw, sind ja behoben - oder meint ihr, das ganze Ding ist so verseucht dass man so nicht weiterarbeiten kann?

Danke jedenfalls schon mal für die grenzenlose Geduld!

GLG, Nadja

#26 ««
nun gut - beginnen wir mit den Scannern, die müssten den Rest der Viren rausholen..

««
scanne mit ewido - kopiere dann hier den Scanreport hin
http://board.protecus.de/t8642.htm
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#27 Hi Pinguin!

Nachfolgend der Ewido-Scanreport - soll ich über Ewido gleich "Remove infections" klicken?

________________________________________________
ewido anti-spyware online scanner
http://www.ewido.net
__________________________________________________


Name: TrackingCookie.2o7
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@2o7[2].txt
Risk: Medium

Name: TrackingCookie.Yieldmanager
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ad.yieldmanager[1].txt
Risk: Medium

Name: TrackingCookie.Clickhype
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ad1.clickhype[1].txt
Risk: Medium

Name: TrackingCookie.Adbrite
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@adbrite[2].txt
Risk: Medium

Name: TrackingCookie.Euroclick
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@adopt.euroclick[2].txt
Risk: Medium

Name: TrackingCookie.Adrenaline
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@adrenaline[1].txt
Risk: Medium

Name: TrackingCookie.Adbrite
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ads.adbrite[2].txt
Risk: Medium

Name: TrackingCookie.Atdmt
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@atdmt[2].txt
Risk: Medium

Name: TrackingCookie.Msn
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@auto.search.msn[1].txt
Risk: Medium

Name: TrackingCookie.Serving-sys
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@bs.serving-sys[2].txt
Risk: Medium

Name: TrackingCookie.Cnw
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@counter.cnw[1].txt
Risk: Medium

Name: TrackingCookie.Doubleclick
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@doubleclick[1].txt
Risk: Medium

Name: TrackingCookie.Real
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@germany.real[2].txt
Risk: Medium

Name: TrackingCookie.Ivwbox
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ivwbox[2].txt
Risk: Medium

Name: TrackingCookie.Mediaplex
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@mediaplex[1].txt
Risk: Medium

Name: TrackingCookie.Navrcholu
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@navrcholu[2].txt
Risk: Medium

Name: TrackingCookie.Oewabox
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@oewabox[2].txt
Risk: Medium

Name: TrackingCookie.Overture
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@overture[1].txt
Risk: Medium

Name: TrackingCookie.Tfag
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@php.sales.tfag[1].txt
Risk: Medium

Name: TrackingCookie.Real
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@real[2].txt
Risk: Medium

Name: TrackingCookie.Tfag
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@sales.tfag[2].txt
Risk: Medium

Name: TrackingCookie.Information
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@searchportal.information[1].txt
Risk: Medium

Name: TrackingCookie.Serving-sys
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@serving-sys[1].txt
Risk: Medium

Name: TrackingCookie.Spylog
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@spylog[2].txt
Risk: Medium

Name: TrackingCookie.Netflame
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ssl-hints.netflame[1].txt
Risk: Medium

Name: TrackingCookie.Statcounter
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@statcounter[1].txt
Risk: Medium

Name: TrackingCookie.Tfag
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@tfag[2].txt
Risk: Medium

Name: TrackingCookie.Tradedoubler
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@tradedoubler[2].txt
Risk: Medium

Name: TrackingCookie.Yadro
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@yadro[2].txt
Risk: Medium

Name: Adware.Generic
Path: HKU\S-1-5-21-1851783091-621386167-281760546-1008\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{BF1CED2C-4B3F-4079-A330-864EDA5A4CFF}
Risk: Medium

Name: TrackingCookie.Yieldmanager
Path: C:\Dokumente und Einstellungen\Johann.Wechselberger\Cookies\johann.wechselberger@ad.yieldmanager[2].txt
Risk: Medium

#28 Hallo,

««
hast du "remove infections" geklickt ?

««
zum Abschluss scanne mit Bitdefender/Online + poste den report
http://board.protecus.de/t8642.htm
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/

#29 Ja, hatte bei Ewido "remove infections" geklickt, und dann den bitfinder scan gemacht:


BitDefender Online Scanner
Scan report generated at: Tue, Jan 29, 2008 - 19:18:26

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Symantec AntiVirus Corporate Edition\7.5\Quarantine\0E300001\4E3A00F2.VBN=>(Quarantine-PE)
Deleted

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Symantec AntiVirus Corporate Edition\7.5\Quarantine\0E300002\4E3A00FC.VBN=>(Quarantine-PE)
Detected with: Adware.Ultimate.A

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Symantec AntiVirus Corporate Edition\7.5\Quarantine\0E300002\4E3A00FC.VBN=>(Quarantine-PE)
Deleted

#30 gut
der PC müsste wieder sauber sein - alles Gute
__________
Gruss
Pinguin

bin dabei, meine Seite + Proggies zu aktualisieren: http://www.virus-protect.org/