System sauber?

[mr_woo]

Hallo,

ich hatte am Dienstag leider eine Infektion mit TR/Lager.AD.2 - Trojan. Nach dem säubern bin ich mir allerdings nicht ganz sicher ob wirklich alles so richtig ist, deswegen wende ich mich an euch. Hier mal mein Logfile von heute:

Logfile of HijackThis v1.99.1
Scan saved at 10:23:18, on 23.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\System32\DSentry.exe
C:\Programme\TELES\skyDSL\tskyclnt.exe
C:\Programme\TELES\skyDSL\tkpclnt.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Programme\McAfee.com\VSO\mcvsshld.exe
c:\programme\mcafee.com\agent\mcagent.exe
C:\PROGRA~1\mcafee.com\vso\mcvsescn.exe
C:\Programme\McAfee.com\VSO\oasclnt.exe
C:\WINDOWS\System32\CTsvcCDA.exe
c:\programme\mcafee.com\agent\mcdetect.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
C:\Programme\Promise\Utility\MsgAgt.exe
C:\Programme\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TELES\skyDSL\Proxy\craxy.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Programme\TELES\skyDSL\tskymtpc.exe
C:\Programme\TELES\skyDSL\tkpsrv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Spyware Doctor\swdoctor.exe
C:\Programme\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://security.kolla.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://security.kolla.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://security.kolla.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://security.kolla.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.carmaniacs.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://security.kolla.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = www.audi-speed.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://security.kolla.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=127.0.0.1:8080;http=127.0.0.1:8080;https=127.0.0.1:8080; socks=127.0.0.1:1080
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
O4 - HKLM\..\Run: [CTDVDDet] C:\Programme\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLL
O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exe
O4 - HKLM\..\Run: [skyDSLClient] C:\Programme\TELES\skyDSL\tskyclnt.exe -q
O4 - HKLM\..\Run: [Koppelpuls Client] C:\Programme\TELES\skyDSL\tkpclnt.exe -skydsl
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] C:\Programme\McAfee.com\VSO\mcvsshld.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] c:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [OASClnt] C:\Programme\McAfee.com\VSO\oasclnt.exe
O4 - HKCU\..\Run: [SB Audigy 2 Startup Menu] /L:GER
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Programme\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Adobe Reader - Schnellstart.lnk.disabled
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: skyDSL++ - {F7522CA2-3DDA-11d3-8560-0060977792B1} - C:\Programme\TELES\skyDSL\sky2sky.exe
O9 - Extra button: skyDSL- - - {F7522CA8-3DDA-11d3-8560-0060977792B1} - C:\Programme\TELES\skyDSL\sky2fon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.astonmartin.com/configurator/v8vantage_load.html
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) -
O16 - DPF: {2359626E-7524-4F87-B04E-22CD38A0C88C} (ICSScannerLight Class) - http://download.zonelabs.com/bin/free/cm/ICSCM.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/1,0,0,26/mcgdmgr.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Programme\F-Secure Anti-Virus 2004 - WEB.DE Edition\fswsclds.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\programme\mcafee.com\agent\mcdetect.exe
O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: Promise RAID message agent (RAIDmAgt) - Unknown owner - C:\Programme\Promise\Utility\MsgAgt.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programme\Spyware Doctor\sdhelp.exe
O23 - Service: skyDSL-Proxy (tntcraxy) - Unknown owner - C:\Programme\TELES\skyDSL\Proxy\craxy.exe" service (file missing)

Da der Trojaner laut Beschreibung einen Rootkit beinhaltet habe ich mir mal Blacklight und RootkitRevealer runtergeladen und laufen lassen. Blacklight hat nichts gefunden, der RootkitRevealer bringt folgendes:

HKLM\SOFTWARE\TELES\skyDSL\UDPClient\Records\Records 23.03.2006 00:57 4 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\TELES\skyDSL\UDPClient\Statistics\BWList 23.03.2006 00:57 210 bytes Data mismatch between Windows API and raw hive data.

Panda habe ich auch mal laufen lassen und der ist mittlerweile sauber.

Gruß mr_woo

[Speedy]

hi, das logfile sieht sauber aus, überprüfe dein system mit folgenden onlinescannern (markiert)

• panda-aktivscan
• housecall für den ie
• housecall für den ff
• kaspersky
• bitdefender
• mcafee
• f-secure
• ca trust
• authentium
• symantec
• arcabit
• pestpatrol ein produkt der ca gruppe
• a-squared
• ewido

poste die ergebnisse.

• download der aktuellen version von clearprog
• installieren
• starten
• einstellungen bearbeiten
• ie
  
  • cookie
  • temp.
  • verlauf
• windows
  
  • papierkorb
  • windows temp
  • systemtemp
• eigene ordner
  
  • C:\Temp
  • C:\Dokumente und Einstellungen\*profil*\Lokale Einstellungen\Temporary Internet Files
  • C:\Dokumente und Einstellungen\*profil*\Lokale Einstellungen\Temp
  • C:\Windows\Prefetch
• löschen wählen

downlaod von datfindbat, führe es nach anleitung aus und poste den inhalt der erstellten logfiles (das werden 4 stück, wobei von c:\windows\system32 nur die letzten 30 tage gepostet werden sollten)

[Ruby]

Hallo mr_woo

bei Windows XP macht man im Falle einer Infektion zuerst eine Systemwiederherstellung. Das erspart viel Arbeit. Daher auch meine Frage an dich:

hast du einen Systempunkt vom suaberen System von VOR dem Befall mit dem Trojaner? Wenn ja, stell dein System bitte zurück auf diesen Systempunkt:

Start->Alle Programme -> Zubehör-> Systemprogramme-> Systemwiederherstellung-> Computer auf ein früheren Zeitpunkt wiederherstellen ->ok ->zurückliegendes Datum wählen

Ob dein System momentan sauber ist, läßt sich so nicht sagen. Rootkits sind in HijackThis Logfiles nicht zu erkennen und um herauszukriegen, was sich auf deinem System abspielt, bedarf es etlicher Tests. Wenn du allen Schwierigkeiten aus dem Weg gehen willst und eine schnelle, sichere Reinigung möchtest, solltest du den Rechner formatieren und neu aufsetzen, analog der Anleitung in meiner Signatur "System-Pflege".

[mr_woo]

Hallo,

so vielen Dank erst mal für eure comments. Sorry dass ich erst jetzt antworte aber ich hatte heute einen wichtigen Tag.

@speedy:

Habe Deine Tipps befolgt, allerdings macht mir der Kapersky Scanner momentan Schwierigkeiten, stürzt beim download immer ab. Ich werde es aber später nochmals probieren. Hier die gewünschten Files:

Ewido:
Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\CLSID\{CE38EB48-6312-52CF-166A-2432B06602A4}
Risk: Medium

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\CLSID\{E4563C08-7705-A479-B77D-1C96DDF54534}
Risk: Medium

Name: Adware.CoolWebSearch
Path: HKLM\SOFTWARE\Classes\CLSID\{F4D53934-6A45-D490-FB33-C44BD1720866}
Risk: Medium

Name: Proxy.Lager.aq
Path: C:\System Volume Information\_restore{D136D3B1-D071-4D27-A0E8-89B49D5094E3}\RP568\A0095993.dll
Risk: High

Name: Proxy.Lager.aq
Path: C:\System Volume Information\_restore{D136D3B1-D071-4D27-A0E8-89B49D5094E3}\RP569\A0096027.dll
Risk: High

Name: Proxy.Lager.aq
Path: C:\System Volume Information\_restore{D136D3B1-D071-4D27-A0E8-89B49D5094E3}\RP573\A0096468.dll
Risk: High

Name: Proxy.Lager.aq
Path: C:\System Volume Information\_restore{D136D3B1-D071-4D27-A0E8-89B49D5094E3}\RP574\A0096595.dll
Risk: High

Name: Proxy.Lager.aq
Path: C:\System Volume Information\_restore{D136D3B1-D071-4D27-A0E8-89B49D5094E3}\RP575\A0096722.dll
Risk: High

datfindbat:

sys:
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: E455-E7F1

Verzeichnis von C:\

24.03.2006 19:33 0 sys.txt
24.03.2006 19:33 5.698 system.txt
24.03.2006 19:32 408 systemtemp.txt
24.03.2006 19:32 104.386 system32.txt
24.03.2006 17:12 2.146.492.416 hiberfil.sys
24.03.2006 17:12 2.146.418.688 pagefile.sys
17.03.2006 17:48 1.573 VETlog.txt
17.03.2006 17:48 72.127 VETlog.dmp
30.09.2005 08:11 211 BOOT.INI
24.02.2005 12:52 47.564 NTDETECT.COM
24.02.2005 12:52 251.184 NTLDR
24.06.2004 16:24 2.360 skysetup.log
08.06.2004 20:52 5.488 DELL.SDR
11.09.2002 11:22 0 MSDOS.SYS
11.09.2002 11:22 0 CONFIG.SYS
11.09.2002 11:22 0 AUTOEXEC.BAT
11.09.2002 11:22 0 IO.SYS
11.09.2002 10:59 512 BOOTSECT.DOS
29.08.2002 05:00 4.952 BOOTFONT.BIN
19 Datei(en) 4.293.407.567 Bytes
0 Verzeichnis(se), 363.746.811.904 Bytes frei


Verzeichnis von C:\WINDOWS\SYSTEM32

24.03.2006 17:12 139.388 kspydoc.log
24.03.2006 17:12 0 Sweeper.cfg
24.03.2006 10:23 31.440 BMXBkpCtrlState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 31.440 BMXCtrlState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 288 DVCState-{00000002-00000000-00000002-00001102-00000004-10031102}.dat
24.03.2006 10:23 31.560 BMXState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 1.080 settings.sfm
24.03.2006 10:23 31.560 BMXStateBkp-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 1.080 settingsbkup.sfm
24.03.2006 10:23 288 DVCStateBkp-{00000002-00000000-00000002-00001102-00000004-10031102}.dat
23.03.2006 17:34 2.550 Uninstall.ico
23.03.2006 17:34 1.406 Help.ico
23.03.2006 17:34 30.590 pavas.ico
23.03.2006 14:39 1.170 WPA.DBL
22.03.2006 19:08 0 asfiles.txt
18.03.2006 13:22 260.640 FNTCACHE.DAT
10.03.2006 01:10 4.799.320 MRT.exe
20.02.2006 23:40 43.520 CmdLineExt03.dll

Verzeichnis von C:\WINDOWS

24.03.2006 17:13 0 0.log
24.03.2006 17:13 159 wiadebug.log
24.03.2006 17:13 119.349 WindowsUpdate.log
24.03.2006 17:13 50 wiaservc.log
24.03.2006 17:13 64 MsgAgt.INI
24.03.2006 17:12 2.048 BOOTSTAT.DAT
24.03.2006 10:23 32.602 SchedLgU.Txt
24.03.2006 10:23 4.481.358 {00000002-00000000-00000002-00001102-00000004-10031102}.CDF
23.03.2006 17:34 32 pavsig.txt
23.03.2006 14:39 11.216 WGA.log
23.03.2006 14:38 1.242 avmcoins.log
23.03.2006 14:38 22.770 setupapi.log
23.03.2006 14:38 0 setuperr.log
23.03.2006 14:38 0 setupact.log
22.03.2006 22:33 362 WINDOWS.lnk
22.03.2006 22:23 0 Sti_Trace.log
22.03.2006 19:35 435 system.tmp
22.03.2006 19:35 435 SYSTEM.INI
22.03.2006 19:08 744 win.tmp
22.03.2006 19:08 744 WIN.INI
21.03.2006 10:06 54.156 QTFont.qfn
16.03.2006 01:34 1.409 QTFont.for
09.03.2006 15:41 58.494 War3Unin.dat
08.03.2006 17:38 2.829 War3Unin.pif
08.03.2006 17:38 139.264 War3Unin.exe

Verzeichnis von C:\DOKUME~1\******~1\LOKALE~1\Temp

24.03.2006 17:13 16.384 Perflib_Perfdata_910.dat
24.03.2006 17:12 1.110 jusched.log
20.03.2006 22:32 140 DFC5A2B2.TMP

Clearprog habe ich verwendet.

@Ruby: Das mit dem System neu aufsetzten habe ich mir auch schon überlegt, wahrscheinlich die einzige Möglichkeit 100% sicher zu sein, seufz....

Das mit der Systemwiederherstellung ist mir auch schon in den Sinn gekommen & ich habe es auch schon probiert, allerdings bekomme ich stets nachdem der PC neu gestartet ist eine Fehlermeldung von wegen dass die Wiederherstellung nicht möglich sei keine neue Software installiert wurde. Mache ich da etwas falsch? Die möglichen Systemwiederherstellungspunkte sind in dem Kalender jedoch stets fett schwarz markiert, also sollte dass doch auch funktionieren? Danke nochmals für eure Hilfe.

Gruß mr_woo

[Speedy]

hi

bevor ich hier weitere schritte vorschlage, warte ich das kaspersky logfile ab

[mr_woo]

Verdammt, Kaspersky funzt immer noch nicht, ich bekomme beim updaten der Virus-Datenbank immer unmittelbar vor Schluß eine Meldung "Update Progress Failed", und dann noch ein Kommentar von wegen ich sollte online sein was ich aber die ganze Zeit über bin

ActiveX habe für Kaspersky mal zugelassen, kann das mit sonstigen Sicherheitseinstellungen kollidieren?

Gruß mr_woo

[Speedy]

hi, eher nein.

wenn der kaspersky nicht funzt, dann sollten wir den escn verwenden

http://www.mwti.net/products/mwav/mwav.asp

wenn möglich in einen separaten ordner downloaden
z.b. C:\Programme\Downloads\escan
dann die datei in einen neuen ordner kopieren
c:\bases und mit einem winzip(rar) hier entpacken wählen
dann das programm starten -> doppelklick auf die datei
mwavscan.com, dann aktualisieren wählen.

nun noch die einstellungen auswählen
im oberen teil alles aktivieren, im unteren teil
alle dateien wählen.

wenn fertig, nach dieser anleitung das logfile posten

[mr_woo]

Hallo,

boah, der Scan hat über 10 Stunden, das ist bis jetzt mein Rekord. Hier mal zunächst das Log:

Sat Mar 25 07:54:09 2006 => ***** Scan vollständig. *****

Sat Mar 25 07:54:09 2006 => Gescannte Dateien: 110647
Sat Mar 25 07:54:09 2006 => Gefundene Viren: 2
Sat Mar 25 07:54:09 2006 => Anzahl der desinfizierten Dateien: 0
Sat Mar 25 07:54:09 2006 => Umbenannte Dateien: 0
Sat Mar 25 07:54:09 2006 => Anzahl der gelöschten Dateien: 0
Sat Mar 25 07:54:09 2006 => Anzahl Fehler: 1890
Sat Mar 25 07:54:09 2006 => Dauer des Scans bisher: 10:04:21
Sat Mar 25 07:54:09 2006 => Virus-Datenbank Datum: 3/14/2006
Sat Mar 25 07:54:09 2006 => Virus-Datenbank Zähler: 182276

Sat Mar 25 07:54:09 2006 => Scan vollständig.

Für "tagged" finde ich nix, bei infected folgt das:
Fri Mar 24 21:50:43 2006 => Offending file found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\spybot - search & destroy\backups\wbemess.lo_
Fri Mar 24 21:50:43 2006 => System found infected with hotbar Spyware/Adware (wbemess.lo_)! Action taken: Keine Aktion vorgenommen.

Den zweiten Virus finde ich irgendwie nur manuell aber dort steht folgendes:

Fri Mar 24 21:50:37 2006 => Offending Folder found: C:\Dokumente und Einstellungen\*********\Favoriten\autos
Fri Mar 24 21:50:42 2006 => Object "gohip Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Habe mal ein bischen gegoogelt. Bei gohip habe ich gefunden, dass man sich auf der HP des Herstellers ein Tool herunterladen kann um es zu deinstallieren. Ist das sinnvoll, oder bekomme ich dann gohip runter und was weiss ich was neues drauf? Bemerkt habe ich davon übrigens nie etwas

Für Hotbar wird das entfernen folgender Keys vorgeschlagen:

HKey_Current_User\Software\Hotbar
HKey_Local_Machine\Software\Hotbar
HKey_Local_Machine\Software\Microsoft\Internet Explorer\Toolbar\B195B3B3-8A05-11D3-97A4-0004ACA6948E
HKey_Local_Machine\Software\Microsoft\Windows\CurrentVersion \Internet Settings\User Agent\Post Platform\Hotbar 3.0

Gruß mr_woo

[Speedy]

hi
diese datei(en) hier bei virustotal oder bei Jotti überprüfen lassen, ergebnis (egal wie es aussieht) posten.

C:\WINDOWS\SYSTEM32
24.03.2006 10:23 31.440 BMXBkpCtrlState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 31.440 BMXCtrlState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 288 DVCState-{00000002-00000000-00000002-00001102-00000004-10031102}.dat
24.03.2006 10:23 31.560 BMXState-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 31.560 BMXStateBkp-{00000002-00000000-00000002-00001102-00000004-10031102}.rfx
24.03.2006 10:23 288 DVCStateBkp-{00000002-00000000-00000002-00001102-00000004-10031102}.dat
20.02.2006 23:40 43.520 CmdLineExt03.dll

lege diesen ordner C:\programme\regseeker an, download von regseeker in diesen ordner, entpacke nun das programm genau hier. starte nun das tool und wähle unter languages -> deutsch, und sichern vor löschen aktivieren.

lass nun einmal mit diesem tool die registry bereinigen, wenn die überprüfung fertig ist, wähle alle markieren und hier select all green items
nun mit der echten maustaste ins feld, und aus dem menü
ausgewählte einträge exportieren und dann ausgewählte einträge löschen.
(nachsehen, ob die von dir genannten schlüssel dabei sind, sonst suchen und löschen)

start->systemsteuerung->software->programme ändern oder entfernen-> nachsehen, ob hier ein, oder mehrere programme installiert sind, die nicht absichtlich von dir installiert wurden, deinstallieren -> name der programme hier posten! kann ein programm nicht deinstalliert werden, ein möglicher grund: es ist in verwendung, mit dem taskmanager beenden und dann deinstallieren.

• start
• systemsteuerung
• system -> reiter systemwiederherstellung
• schieber speicherplatznutzung auf minimal und
• systemwiederherstellung deaktivieren
• neustart, die systemwiederherstellung aktivieren
• start
• alle programme
• zubehör
• systemprogramme
• systemwiederherstellung
• einen wiederherstellungspunkt erstellen
• start
• explorer
• lokaler datenträger -> rechte maustaste
• eigenschaften -> reiter allgemein
• bereinigen -> reiter weitere optionen
• systemwiederherstellung bereinigen
• einen wiederherstellungspunkt erstellen

[mr_woo]

Hallo speedy,

anbei das logfile:

BMXBkpCtrlState-_00000002-00000000-00000002-00001102-00000004-10031102_.rfx" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

"BMXCtrlState-_00000002-00000000-00000002-00001102-00000004-10031102_.rfx" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

"DVCState-_00000002-00000000-00000002-00001102-00000004-10031102_.dat" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

This is a report processed by VirusTotal on 03/25/2006 at 13:33:31 (CET) after scanning the file

"BMXState-_00000002-00000000-00000002-00001102-00000004-10031102_.rfx" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

This is a report processed by VirusTotal on 03/25/2006 at 13:36:10 (CET) after scanning the file

"BMXStateBkp-_00000002-00000000-00000002-00001102-00000004-10031102_.rfx" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found



This is a report processed by VirusTotal on 03/25/2006 at 13:31:26 (CET) after scanning the file

"DVCStateBkp-_00000002-00000000-00000002-00001102-00000004-10031102_.dat" file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 no virus found
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

This is a report processed by VirusTotal on 03/25/2006 at 13:38:32 (CET) after scanning the file "CmdLineExt03.dll"

file.
Antivirus Version Update Result
AntiVir 6.34.0.14 03.24.2006 no virus found
Avast 4.6.695.0 03.25.2006 no virus found
AVG 386 03.24.2006 no virus found
Avira 6.34.0.54 03.24.2006 no virus found
BitDefender 7.2 03.25.2006 no virus found
CAT-QuickHeal 8.00 03.24.2006 no virus found
ClamAV devel-20060202 03.24.2006 no virus found
DrWeb 4.33 03.25.2006 no virus found
eTrust-InoculateIT 23.71.111 03.25.2006 no virus found
eTrust-Vet 12.4.2133 03.24.2006 no virus found
Ewido 3.5 03.24.2006 no virus found
Fortinet 2.71.0.0 03.25.2006 suspicious
F-Prot 3.16c 03.23.2006 no virus found
Ikarus 0.2.59.0 03.24.2006 no virus found
Kaspersky 4.0.2.24 03.25.2006 no virus found
McAfee 4726 03.24.2006 no virus found
NOD32v2 1.1458 03.24.2006 no virus found
Norman 5.70.10 03.24.2006 no virus found
Panda 9.0.0.4 03.25.2006 no virus found
Sophos 4.04.0 03.24.2006 no virus found
Symantec 8.0 03.25.2006 no virus found
TheHacker 5.9.7.119 03.24.2006 no virus found
UNA 1.83 03.23.2006 no virus found
VBA32 3.10.5 03.24.2006 no virus found

In der Systemsteuerung/ Software finde ich nur ein Programm an dessen Installation ich mich nicht erinnern kann, es nennt sich Viewpoint Media Player.

Jetzt werde ich regseeker anwenden.

Gruß mr_woo