Spy Sheriff hat auch hier zugeschlagen

[Starbuck]

Hi Ruby,

Dein Wort in meines Rechners Ohr;-)

Anbei der Inhalt des LogFiles, mein Rechner sieht offensichtlich schon besser aus......

Spyware Scan Details
Start Date: 14.05.2006 20:19:52
End Date: 14.05.2006 21:29:45
Total Time: 1 hrs 9 mins 53 secs

Detected spyware

FakeAlert Rogue Security Program more information...
Details: FakeAlert consists of files that cause false warnings of spyware on the computer. Usually the alerts are displayed in a balloon type pop-up from an icon in the system tray.
Status: Deleted

Infected files detected
c:\windows\osaupd.exe


Regfreeze Rogue Security Program more information...
Details: Regfreeze is a program that purports to scan for and repair errors in the Windows registy.
Status: Deleted

Infected files detected
c:\windows\rfscanax.dll


Unclassified.Spyware.Loader Adware (General) more information...
Details: Spyware.Loader is spyware that is set to automatically start when Windows loads up by hiding itself in a number of different startup locations.
Status: Deleted

Infected files detected
C:\WINDOWS\system32\grwinsthlp.exe

Gruß

Starbuck

[Ruby]

Servus Starbuck

ein Rechner mit Ohren
Da wird die Brain.exe wahrscheinlich auch auf wenig Gehör treffen. Diese Maschinen heutzutage sind auch nicht mehr das, was sie früher schon nicht waren

Auch wenn ich nicht am Rechner bin, darfst du weitermachen. Den Rechner bitte neuaufstarten, CounterSpy wieder laufen lassen, nach dem Scan mit "Remove" wieder alle Malware entfernen, das Logfile speichern, den Rechner neu aufstarten, CounterSpy wieder laufen lassen, nach dem Scan mit "Remove" wieder alle Malware entfernen, das Logfile speichern, den Rechner neu aufstarten, solange, bis keine Malware mehr gefunden wird.

Zeige uns bitte alle Logfiles.
Erstelle und poste ein neues HJT-Log.

[Starbuck]

Hi Ruby,

wenns mal wieder etwas länger dauert....

Ich habe nun CounterSpy etliche Male laufen lassen. Erst wurden die Meldungen weniger bis dann mal 0 "Treffer" gemeldet wurden. Jedoch erschein SpySheriff dann doch wieder

Letzmalige habe ich CounterSpy heute 2mal laufen lassen. Heute mittag wurden nach dem "lauf" wieder 0 Treffer angezeit und als der Rechner jetzt grade fertig mit booten war, erschienen die Icons wieder in der Taskleiste

Ich habe nun das erste und die beiden letzten Logs angefügt. Irgendwie habe ich das Gefühl, dass CS nicht alles entfernt

LOG1

Spyware Scan Details
Start Date: 14.05.2006 20:19:52
End Date: 14.05.2006 21:29:45
Total Time: 1 hrs 9 mins 53 secs

Detected spyware

FakeAlert Rogue Security Program more information...
Details: FakeAlert consists of files that cause false warnings of spyware on the computer. Usually the alerts are displayed in a balloon type pop-up from an icon in the system tray.
Status: Deleted

Infected files detected
c:\windows\osaupd.exe


Regfreeze Rogue Security Program more information...
Details: Regfreeze is a program that purports to scan for and repair errors in the Windows registy.
Status: Deleted

Infected files detected
c:\windows\rfscanax.dll


Unclassified.Spyware.Loader Adware (General) more information...
Details: Spyware.Loader is spyware that is set to automatically start when Windows loads up by hiding itself in a number of different startup locations.
Status: Deleted

Infected files detected
C:\WINDOWS\system32\grwinsthlp.exe


LOG 2

Spyware Scan Details
Start Date: 19.05.2006 15:13:54
End Date: 19.05.2006 16:22:27
Total Time: 1 hrs 8 mins 33 secs

Detected spyware

FakeAlert Rogue Security Program more information...
Details: FakeAlert consists of files that cause false warnings of spyware on the computer. Usually the alerts are displayed in a balloon type pop-up from an icon in the system tray.
Status: Deleted

Infected files detected
c:\windows\osaupd.exe


LOG 3

Spyware Scan Details
Start Date: 19.05.2006 17:17:22
End Date: 19.05.2006 18:26:37
Total Time: 1 hrs 9 mins 15 secs

Detected spyware
No spyware were found during this scan.

Soll ich noch ein Hijacklog erstellen?

Gruß
Starbuck

[Ruby]

Hallo Starbuck

lade den CCleaner runter, installiere ihn, starte ihn -> stelle unter Options -> German ein,
bereinige damit dein System (Windows, Applications, Issues)
Setze in alle Fächer ein Häkchen so wie du es auf den Screenshots siehst, aber bitte nicht in die Yahoo Toolbar. (Schau dir dazu die Quick-Tour und die Screenshots an).

Lade dann eine 14 Tage kostenlose englische (!) Testversion vom Spy Sweeper runter.
(Download Free Trial Version). Halte dich an unsere deutsche Anleitung.

Update das Programm online.
Stelle das Programm unter den Optionen so ein, dass das gesamte System gescannt wird. Stelle das Programm so ein, dass alles, was gefunden wird, vom System entfernt wird. Achte darauf, dass alle Anwendungen während des Scans geschlossen sind.

Speichere das Sitzungsprotokoll und poste es.

[Starbuck]

Hallo Ruby,

hier das Ergebnis des ersten Scans:

13:59: | Start of Session, Samstag, 20. Mai 2006 |
13:59: Spy Sweeper started
13:59: Sweep initiated using definitions version 682
13:59: Starting Memory Sweep
13:59: Found Adware: cashdeluxe
13:59: Detected running threat: C:\WINDOWS\system32\clsemixer.dll (ID = 295056)
14:01: Found Trojan Horse: trojan-downloader-balloon
14:01: Detected running threat: C:\WINDOWS\wupdmgr.exe (ID = 295625)
14:01: Detected running threat: C:\WINDOWS\osaupd.exe (ID = 295625)
14:01: Memory Sweep Complete, Elapsed Time: 00:01:49
14:01: Starting Registry Sweep
14:01: HKCR\balloon.application\ (3 subtraces) (ID = 1177065)
14:01: HKCR\clsid\{1ca7dbaf-b066-4554-977e-5cebb7fa59c8}\ (7 subtraces) (ID = 1177075)
14:01: HKLM\software\classes\balloon.application\ (3 subtraces) (ID = 1177159)
14:01: HKLM\software\classes\clsid\{1ca7dbaf-b066-4554-977e-5cebb7fa59c8}\ (7 subtraces) (ID = 1177169)
14:01: HKLM\software\classes\clsid\{1ca7dbaf-b066-4554-977e-5cebb7fa59c8}\progid\ (1 subtraces) (ID = 1177175)
14:01: HKCR\clsemixer.mybho\ (3 subtraces) (ID = 1350750)
14:01: HKCR\clsid\{898827fa-0ae9-4f7a-add9-1e7ce37cf4b0}\ (13 subtraces) (ID = 1350754)
14:01: HKCR\typelib\{a083d377-c65b-471e-9ad7-a997ff8f754e}\ (9 subtraces) (ID = 1350768)
14:01: HKLM\software\classes\clsemixer.mybho\ (3 subtraces) (ID = 1350778)
14:01: HKLM\software\classes\clsid\{898827fa-0ae9-4f7a-add9-1e7ce37cf4b0}\ (13 subtraces) (ID = 1350782)
14:01: HKLM\software\classes\typelib\{a083d377-c65b-471e-9ad7-a997ff8f754e}\ (9 subtraces) (ID = 1350796)
14:01: Registry Sweep Complete, Elapsed Time:00:00:08
14:01: Starting Cookie Sweep
14:01: Found Spy Cookie: falkag cookie
14:01: -paingiver-starbuck@as1.falkag[1].txt (ID = 2650)
14:01: Found Spy Cookie: mediaplex cookie
14:01: -paingiver-starbuck@mediaplex[1].txt (ID = 6442)
14:01: Cookie Sweep Complete, Elapsed Time: 00:00:02
14:01: Starting File Sweep
14:02: clsemixer.dll (ID = 295056)
14:02: osaupd.exe (ID = 295625)
14:03: wupdmgr.exe (ID = 295625)
14:03: wupdmgr.exe (ID = 295625)
14:20: Found System Monitor: potentially rootkit-masked files
14:20: wolfsheim_-_spectators_a.jpg (ID = 0)
14:20: wolfsheim_-_spectators_cd.jpg (ID = 0)
14:20: wolfsheim_-_spectators_b.jpg (ID = 0)
14:20: 09 - i don't love you anymore.mp3 (ID = 0)
14:20: 01-it'sh.mp3 (ID = 0)
14:20: File Sweep Complete, Elapsed Time: 00:18:35
14:20: Full Sweep has completed. Elapsed time 00:20:36
14:20: Traces Found: 96
14:25: Removal process initiated
14:26: Quarantining All Traces: potentially rootkit-masked files
14:26: potentially rootkit-masked files is in use. It will be removed on reboot.
14:26: wolfsheim_-_spectators_a.jpg is in use. It will be removed on reboot.
14:26: wolfsheim_-_spectators_cd.jpg is in use. It will be removed on reboot.
14:26: wolfsheim_-_spectators_b.jpg is in use. It will be removed on reboot.
14:26: 09 - i don't love you anymore.mp3 is in use. It will be removed on reboot.
14:26: 01-it'sh.mp3 is in use. It will be removed on reboot.
14:26: Quarantining All Traces: trojan-downloader-balloon
14:26: trojan-downloader-balloon is in use. It will be removed on reboot.
14:26: osaupd.exe is in use. It will be removed on reboot.
14:26: wupdmgr.exe is in use. It will be removed on reboot.
14:26: Quarantining All Traces: cashdeluxe
14:26: cashdeluxe is in use. It will be removed on reboot.
14:26: clsemixer.dll is in use. It will be removed on reboot.
14:26: Quarantining All Traces: falkag cookie
14:26: Quarantining All Traces: mediaplex cookie
14:27: Removal process completed. Elapsed time 00:01:25
********
13:51: | Start of Session, Samstag, 20. Mai 2006 |
13:51: Spy Sweeper started
13:53: Your spyware definitions have been updated.
13:54: Updating spyware definitions
13:54: Your definitions are up to date.
13:54: Updating spyware definitions
13:54: Your definitions are up to date.
13:54: Updating spyware definitions
13:54: Your definitions are up to date.
13:56: Memory Shield: Found: Memory-resident threat cashdeluxe, version 1.0.0.0
13:56: Detected running threat: cashdeluxe
13:57: Ignored memory-resident threat: cashdeluxe
13:57: Memory Shield: Found: Memory-resident threat trojan-downloader-balloon, version 1.0.0.0
13:57: Detected running threat: trojan-downloader-balloon
13:57: Ignored memory-resident threat: trojan-downloader-balloon
13:59: | End of Session, Samstag, 20. Mai 2006 |

Ein Scan vor 5min brachte dann folgendes Ergebnis:

12:45: | Start of Session, Sonntag, 21. Mai 2006 |
12:45: Spy Sweeper started
12:45: Sweep initiated using definitions version 682
12:45: Starting Memory Sweep
12:47: Memory Sweep Complete, Elapsed Time: 00:01:46
12:47: Starting Registry Sweep
12:47: Registry Sweep Complete, Elapsed Time:00:00:07
12:47: Starting Cookie Sweep
12:47: Cookie Sweep Complete, Elapsed Time: 00:00:00
12:47: Starting File Sweep
13:05: File Sweep Complete, Elapsed Time: 00:17:47
13:05: Full Sweep has completed. Elapsed time 00:19:41
13:05: Traces Found: 0
13:06: | End of Session, Sonntag, 21. Mai 2006 |

Gruß
Starbuck

[Ruby]

Hallo Starbuck

1. lade, falls noch nicht geschehen, den CCleaner runter, installiere ihn, starte ihn -> stelle unter Options -> German ein,
bereinige damit dein System (Windows, Applications, Issues)
Setze in alle Fächer ein Häkchen so wie du es auf den Screenshots siehst, aber bitte nicht in die Yahoo Toolbar. (Schau dir dazu die Quick-Tour und die Screenshots an).
Reinige deinen Rechner damit.

2. Als nächstes bitte die Systemwiederherstellung deaktivieren, den Rechner booten, dann die SWH wieder aktivieren. Vergib einen vorläufigen Systempunkt.

3. Folge nun dieser Anleitung:

Wir untersuchen dein System nun auf Dateien und Prozesse, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

• alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
• nichts am Rechner getan werden

Blacklight scannen lassen

• Lade bitte F-Secure Blacklight runter packe dieDatei in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
• Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
• Klick "I accept the agreement", "next", "Scan".
• Wenn der Scan fertig ist beende Blacklight mit "Close".
• Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.

RootkitRevealer scannen lassen

• Lade bitte RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitReavealer.exe. Alle anderen Programme schließen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Scanner wieder einschalten, bevor Du ins Netz gehst!

Nun bitte diese beiden Logfiles posten.

[Starbuck]

Hi Ruby,

den CC-Cleaner habe ich laufen lassen.

Hier nun die beiden Log-Files:

05/23/06 19:42:59 [Info]: BlackLight Engine 1.0.36 initialized
05/23/06 19:42:59 [Info]: OS: 5.1 build 2600 (Service Pack 2)
05/23/06 19:42:59 [Note]: 7019 4
05/23/06 19:42:59 [Note]: 7005 0
05/23/06 19:43:01 [Note]: 7006 0
05/23/06 19:43:01 [Note]: 7011 1972
05/23/06 19:43:02 [Note]: 7026 0
05/23/06 19:43:02 [Note]: 7026 0
05/23/06 19:43:03 [Note]: FSRAW library version 1.7.1015
05/23/06 19:56:02 [Note]: 7007 0

und ....

HKLM\SYSTEM\ControlSet001\Services\sptd\Cfg 08.04.2006 15:35 0bytes Access is denied.

C:\Dokumente und Einstellungen\-pAiNGivER-Starbuck\Eigene Dateien\Command and Conquer Generals Data\Replays\Joe Jan : Chris Sven.rep 11.09.2005 20:23 96.64 KB Hidden from Windows API.

Gruß
Starbuck

[Ruby]

Hi Starbuck

bitte ein neues HJT Logfile.

[Starbuck]

Hi Ruby,

anbei das neue HJT-LogFile:

Logfile of HijackThis v1.99.1
Scan saved at 18:54:46, on 24.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Razer\razertra.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Sunbelt Software\CounterSpy\Consumer\sunserver.exe
C:\Programme\Razer\razerofa.exe
C:\Programme\Razer\razerhid.exe
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
E:\Programme\Norton\ISSVC.exe
E:\Programme\Norton\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Internet Explorer\iexplore.exe
E:\Programme\InstallVersionen\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Programme\Norton\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [razertra] C:\Programme\Razer\razertra.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunServer] C:\Programme\Sunbelt Software\CounterSpy\Consumer\sunserver.exe
O4 - HKLM\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\Office\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{8E04FA45-038C-431A-A712-9F0E23DC920E}: NameServer = 62.220.18.8 62.72.64.241
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - E:\Programme\Norton\ISSVC.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - E:\Programme\Norton\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - E:\Programme\Norton\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Gruß
Starbuck

[Ruby]

Hallo Starbuck

ich möchte gerne sehen, was der Kaspersky Onlinescanner auf deinem System findet. Lass einen Full System Scan laufen und zeige uns das Ergebnis.