Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung
Mal wieder einen neuen Virus!

Mal wieder einen neuen Virus!


Log-Analyse und Auswertung: Mal wieder einen neuen Virus!

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML.

Antwort
Alt 18.12.2004, 12:01   #1
Andy1976
 
Mal wieder einen neuen Virus! - Icon16

Mal wieder einen neuen Virus!


Moin!


Ich habe mir mal wieder einen neuen Virus eingefangen. Trotz AntiVir was immer geupdatet ist und Sp1 bzw manche Sp2 Patches. Hat von Winboard eine ausgwähltes Sp2 Paket installiert. Der Trojaner verändert die Startseite, also ein Hijacker. Die Startseite wird als "Homesearch/about Blank" angezeigt. Das AntiVirenprogramm fragt zwar ob der Virus gelöscht werden soll aber beim erneuten öffnen des Browser(IE 6) kommt er wieder.

Die Virenmeldung ist diese

C:\WINDOWS\DOEQV.TXT

Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02

HiHackThis Log:

Logfile of HijackThis v1.98.2
Scan saved at 11:44:32, on 18.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\netwg.exe
C:\WINDOWS\system32\winyp32.exe
C:\DOKUME~1\Andy\LOKALE~1\Temp\8.tmp
C:\Dokumente und Einstellungen\Andy\Eigene Dateien\hijackthis1982\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mzwgc.dll/sp.html#35273
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/cust.../www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.gmx.de/
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {F97B2573-77AB-FCAF-89A4-EF2401EB49B2} - C:\WINDOWS\system32\ipnc.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [winyp32.exe] C:\WINDOWS\system32\winyp32.exe
O4 - HKLM\..\Run: [8.tmp] C:\DOKUME~1\Andy\LOKALE~1\Temp\8.tmp.exe 0 10001
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Preispiraten 2.1.2 - {86DE8B3B-1EB7-4386-84BD-EBE94348A913} - C:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-12.cab
O16 - DPF: {51EA44E6-C8C3-4E30-8F3D-D8EE71A44DCB} (Upload Control) - https://img.web.de/v/fotoalbum/activex/upload_1115.cab
O16 - DPF: {77712A64-F30B-47C8-A363-CDA1CEC7DC1B} - http://www.advancedsearchbar.com/searchbarsetup2.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8F9B8A2-AAAB-4308-8FDF-AB563D218559}: NameServer = 212.62.64.34 212.62.68.34

Welcher Eintrag ist dafür verantwortlich?

Muß ich dann wieder Systemwiederherstellung deaktivieren, abgesicherten Modus und die Datei manuell löschen und Einträge fixen?

Wie gefährlich ist der Virus? Gibt es spezielles Tool zum entfernen?

PS:Ich möchte auf keinen Fall mein System neu aufsetzen. Sonst war das auch nicht nötig!
Geändert von Andy1976 (18.12.2004 um 12:06 Uhr)

Alt 18.12.2004, 12:50   #2
steveman
 
Mal wieder einen neuen Virus! - Standard

Mal wieder einen neuen Virus!


Hi,

fixe diese Einträge:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mzwgc.dll/sp.html#35273

R3 - Default URLSearchHook is missing

O16 - DPF: {77712A64-F30B-47C8-A363-CDA1CEC7DC1B} - http://www.advancedsearchbar.com/searchbarsetup2.exe

Post anschließend ein neues Log mit der aktuellen HijackThis-Version 1.99.0
Die bekommst du hier: http://filepony.de/download-hijackthis/
__________________
Alt 18.12.2004, 13:10   #3
Haui45
 
Mal wieder einen neuen Virus! - Standard

Mal wieder einen neuen Virus!


Überprüfe beim Onlinescan von Jotti:
C:\WINDOWS\system32\winyp32.exe
C:\WINDOWS\netwg.exe

Falls du die Dateien nicht findest:
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren
+
Im Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren


Zitat:
O2 - BHO: (no name) - {F97B2573-77AB-FCAF-89A4-EF2401EB49B2} - C:\WINDOWS\system32\ipnc.dll
Kennst du? Ich nicht! Kann aber wahrscheinlinlich auch gefixt werden.

Leere mit Clearprog deine Temp- sowie Temporary Internet Files.
__________________
Alt 18.12.2004, 13:52   #4
Andy1976
 
Mal wieder einen neuen Virus! - Standard

Mal wieder einen neuen Virus!


Mist jetzt habe ich 2 Threads am laufen.....

Also die Dateien habe ich nicht mehr gefunden!

Das ist eine Log mit dem neuen Hi jack This199:

Logfile of HijackThis v1.99.0
Scan saved at 13:51:56, on 18.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\netwg.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Andy\Eigene Dateien\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.net/de
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/cust.../www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.gmx.de/
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {D9D9DAA6-24A5-2565-8BB5-077B7917932D} - C:\WINDOWS\system32\d3qd32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Preispiraten 2.1.2 - {86DE8B3B-1EB7-4386-84BD-EBE94348A913} - C:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8F9B8A2-AAAB-4308-8FDF-AB563D218559}: NameServer = 212.62.64.34 212.62.68.34
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Crypkey License - Unknown - crypserv.exe (file missing)
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Procedure Call (RPC) Helper - Unknown - C:\WINDOWS\netwg.exe


die Viren sind diese:

TR/Dldr.Agent.AP.2
TR/Dldr.Agent.BQ
TR/Dldr.WinSh.AC.02
TR/Dldr.Agent.AP.3

Kann sie nicht löschen mit Xp antivir. Bei jeder neuen Browserseite kommen die Viren wieder.........


so habe nochmal etwas ausprobiert:


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.net/de
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/cust.../www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.gmx.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Preispiraten 2.1.2 - {86DE8B3B-1EB7-4386-84BD-EBE94348A913} - C:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8F9B8A2-AAAB-4308-8FDF-AB563D218559}: NameServer = 212.62.64.34 212.62.68.34
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Das ist die aktuelle Log. Die Virenmeldungen sind weg. Die 015 Einträge kriege ich nicht raus. Aber unter "Hilfe" wurde angezeigt das der Registry Key gelöscht wurde.
Geändert von Andy1976 (18.12.2004 um 14:41 Uhr)

Antwort

Themen zu Mal wieder einen neuen Virus!
abgesicherten modus, adobe, antivir, avg, bho, browser, confused, einstellungen, entfernen, explorer, hijackthis, internet, internet explorer, log, löschen, microsoft, nvcpl.dll, programm, programme, rundll, software, sun java, system, system neu, tcpip, temp, trojaner, träge, urlsearchhook, virus, virus?, windows, windows xp


« Bitte mal ansehen | Mehrere Hijacker im System - brauche Hilfe »


Ähnliche Themen: Mal wieder einen neuen Virus!


  1. Nach Klick auf einen Link öffnet sich Werbung in einem neuen Tab (Chrome)
    Log-Analyse und Auswertung - 05.08.2015 (9)
  2. Windows 7 auf einen neuen Laptop installieren.
    Alles rund um Windows - 17.05.2014 (17)
  3. Wenn ich einen neuen Tab öffne, kommt ein zweiter
    Plagegeister aller Art und deren Bekämpfung - 15.04.2014 (9)
  4. Internet Browser:Fast jeder klick öffnet einen neuen Tab
    Plagegeister aller Art und deren Bekämpfung - 14.04.2014 (9)
  5. Firefox sehr langsam geworden und öffnet automatisch einen neuen Tab
    Plagegeister aller Art und deren Bekämpfung - 22.03.2014 (5)
  6. Pc Konfiguration - Brauche unbedingt einen neuen PC
    Netzwerk und Hardware - 14.01.2014 (2)
  7. Die Welt hat einen neuen Helden: Schrauber!!!!!!
    Lob, Kritik und Wünsche - 16.08.2013 (2)
  8. mystart.incredibar.com/mb178?a=6OyKGh9pEf&loc=FF_NT kommt wenn ich einen neuen Tab öffne
    Plagegeister aller Art und deren Bekämpfung - 06.09.2012 (15)
  9. Datenübertragung auf einen neuen PC nach Befall mit Rootkit und Trojaner.
    Plagegeister aller Art und deren Bekämpfung - 15.08.2012 (1)
  10. Chrome öffnet täglich einen neuen Tab mit Werbung (dailytab)
    Log-Analyse und Auswertung - 21.07.2012 (8)
  11. Wer hilft mir einen neuen PC aufzubauen???
    Netzwerk und Hardware - 05.09.2008 (54)
  12. Ich habe mir wieder einen Virus eingefangen:-(
    Log-Analyse und Auswertung - 21.07.2008 (1)
  13. Habe leider mal wieder einen Virus bitte brauche Hilfe !!!!
    Plagegeister aller Art und deren Bekämpfung - 28.01.2008 (7)
  14. Hab bzw. hatte mal wieder einen Virus
    Mülltonne - 07.12.2007 (0)
  15. Einen der neuen Links geklickt.
    Log-Analyse und Auswertung - 12.04.2007 (1)
  16. Mal wieder einen neuen Virus!
    Plagegeister aller Art und deren Bekämpfung - 20.12.2004 (12)
  17. habe schon wieder einen virus
    Plagegeister aller Art und deren Bekämpfung - 08.10.2004 (6)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema Mal wieder einen neuen Virus! - Moin! Ich habe mir mal wieder einen neuen Virus eingefangen. Trotz AntiVir was immer geupdatet ist und Sp1 bzw manche Sp2 Patches. Hat von Winboard eine ausgwähltes Sp2 Paket installiert. - Mal wieder einen neuen Virus!...
Archiv
Du betrachtest: Mal wieder einen neuen Virus! auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131