Probleme mit Spybot (UserInit Winlogon)

#1 Hallo,

ich hab folgendes Problem:

Ich bin durch ein Link auf eine etwas komische Seite gekommen und dort hat sich auch sofort mein Spybot gemeldet und ich habe da schonmal auf verweigern gedrückt, ich habe mir dabei eigentlich nichts weiter gedacht.

Aber jetzt kommt auf der rechten Seite alle paar Sekunden die Meldung:

Resident

Änderug an der Registrierungsdatenbank verboten

Resident verweigerte die Änderung von UserInit (Kategorie WinLogon) basierend auf ihrer Verbots-Liste.


Also vielleicht klingt mein Problem auch dämlich, aber ich bin eher eine Laie und hab nicht so viel Ahnung, deswegen 2 Fragen. Ist das ein ernsthaftes Problem und was kann ich dagegen machen, denn nerven tut es im jeden Fall schonmal...

Ich bin für jede Hilfe dankbar

#2 Arbeite bitte die Punkte 2-5 aus http://board.protecus.de/t23187.htm ab und poste die entsprechenden Reporte.....
__________
MfG Ralf
SEO-Spam Hunter

#3 Oh entschuldigung das habe ich nicht gelesen. Naja jetzt hab ich den zweiten und dritten Punkt ausgeführt und das Problem ist behoben, ich kann ja trotzdem nocheinmal den Log von Malwarebytes posten:

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 2936
Windows 5.1.2600 Service Pack 3

10/10/2009 3:20:02 PM
mbam-log-2009-10-10 (15-19-58).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 99245
Laufzeit: 4 minute(s), 44 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 13
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 4
Infizierte Dateien: 17

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{daed9266-8c28-4c1c-8b58-5c66eff1d302} (Search.Hijacker) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{9034a523-d068-4be8-a284-9df278be776e} (Trojan.Zlob) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Antivirus (Rogue.AntiVirus) -> No action taken.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> No action taken.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Web Technologies (Trojan.Zlob) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@anti-leech.com/anti-leech plugin,version=1.0.1.8 (Trojan.AntiLeechPlugin) -> No action taken.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping\{9034a523-d068-4be8-a284-9df278be776e} (Trojan.Zlob) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\antivirus (Rogue.AntiVirus) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ANTIVirus (Rogue.SystemAntiVirus) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: c:\windows\system32\sdra64.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: system32\sdra64.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> No action taken.

Infizierte Verzeichnisse:
C:\Programme\Anti-Leech (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2 (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALNN (Trojan.AntiLeechPlugin) -> No action taken.
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Infizierte Dateien:
C:\Programme\Mozilla Firefox\plugins\alhlp.exe (Trojan.AntiLeechPlugin) -> No action taken.
C:\WINDOWS\system32\drivers\oreans32.sys (Rootkit.Agent) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2\al2np.dll (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2\alhlp.exe (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2\alie.dll (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2\alie.inf (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALIE_1.0.2.2\iesetup2.exe (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALNN\al2np.dll (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALNN\alhlp.exe (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALNN\npalnn.dll (Trojan.AntiLeechPlugin) -> No action taken.
C:\Programme\Anti-Leech\ALNN\setup2.exe (Trojan.AntiLeechPlugin) -> No action taken.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\Programme\Mozilla FireFox\plugins\npalnn.dll (Trojan.AntiLeechPlugin) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Startmenü\Antivirus Scan.url (Trojan.Zlob) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Startmenü\Online Spyware Test.url (Trojan.Zlob) -> No action taken.
C:\WINDOWS\system32\sdra64.exe (Trojan.FakeAlert) -> No action taken.


Irgendwo darin muss das Problem gelegen haben, ich hoffe es ist jetzt gelöst... aber auf jeden Fall danke

#4 Boese, das ist ein Zbot und der hat dir schon so einiges an Daten gestohlen
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Du solltest auf jeden Fall alle deine Passworte aendern und zwar von einem PC aus, der definitiv sauber ist, sonst nuetzt die ganze Aktion nichts!

Ein neu Aufsetzen waere hier um einiges sicherer, aber du solltest auf jeden Fall noch Combofix nutzen. Anleitung findest du im gleichen Link wie oben!
__________
MfG Ralf
SEO-Spam Hunter

#5 Na super...

Naja bis auf bei meinem E-Mail Account habe ich kaum wichtige Passwörter...ich glaube nicht, das jemand mit meinem Comunio Account Schabernack treiben wird...

Ich bin gleich eh bei nem Freund Fußball gucken, da werde ich wohl auch noch das Passwort ändern und ansonsten habe ich dieses Combofix erstmal ausgeführt und werde mal sehen, ob ich die nächsten Tage dazu komme zu formatieren.