nach hijackthis fixen ist kein land in Sicht...

HHmoin · 25.01.2005, 20:46

also das war euer vorschlag:
Fixen im abgesicherten Modus bei deaktivierter Systemwiederherstellung.
Probiers nochmals:
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchdom.net/?re= (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchdom.net/?re= (obfuscated)
O13 - DefaultPrefix: http://%77%77%77%2E%73%65%61%72%63%...6E%65%7 4/?re=
O13 - WWW Prefix: http://%77%77%77%2E%73%65%61%72%63%...6E%65%7 4/?re=

Kennst Du die Domain:
O17 - HKLM\System\CCS\Services\Tcpip\..\{F83FF38A-865F-4A8A-A866-F1074EB2E5E3}: NameServer = 194.97.173.124 194.97.173.125

gehört zu mcbone.net
Wenn Du sie nicht kennst, dann auch fixen.
Dann normal booten und Systemwiederherstellung wieder aktivieren.
cacatoa
__________________
Der Mensch sollte eine Hundeseele haben!

---------------------------------------------------------

Haben wir auch gemacht (im abgesicherten Modus und systemwiederherstellung deaktiviert) auch mit nachfolgendem adaware, spybot und cws shredder sind wir ihn nicht losgeworden. Hier unser aktuelles logfile:

Logfile of HijackThis v1.99.0
Scan saved at 20:45:47, on 25.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\D-Link\Air USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\PROGRA~1\FRNDSL\FRNDSL.exe
C:\Dokumente und Einstellungen\Peter\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199[1].zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchdom.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchdom.net/?re= (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchdom.net/?re= (obfuscated)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O13 - DefaultPrefix: http://%77%77%77%2E%73%65%61%72%63%6...%6E%65%74/?re=
O13 - WWW Prefix: http://%77%77%77%2E%73%65%61%72%63%6...%6E%65%74/?re=
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{F83FF38A-865F-4A8A-A866-F1074EB2E5E3}: NameServer = 194.97.173.124 194.97.173.125
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Bitte helft uns, denn wir sind schon langsam am verzweifeln...

Cidre · 25.01.2005, 21:14

Hallo,

warum eröffnest du einen neuen Thread?

Lade und installiere Silent Runners.vbs gemäss der Anleitung und poste dann das Log-File.

HHmoin · 26.01.2005, 09:17

Ich habe den alten Thread übersehen... bin so panisch, weil ich mich zur Examensarbeit gemeldet habe und schon lange dabei sein wollte,... verstehst du?
naja anbei das logfile:
"Silent Runners.vbs", revision 30
Operating System: Windows XP
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"MSMSGS" = ""C:\Programme\Messenger\msmsgs.exe" /background" [MS]
"SpybotSD TeaTimer" = "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" ["Safer Networking Limited"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"NeroCheck" = "C:\WINDOWS\System32\NeroCheck.exe" ["Ahead Software Gmbh"]
"Microsoft Works Portfolio" = "C:\Programme\Microsoft Works\WksSb.exe /AllUsers" ["Microsoft® Corporation"]
"CloneCDTray" = "C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe" ["Elaborate Bytes"]
"RealTray" = "C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER" ["RealNetworks, Inc."]
"T-DSL SpeedMgr" = ""C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"" ["T-Systems Nova, Berkom"]
"D-Link Air USB Utility" = "C:\Programme\D-Link\Air USB Utility\AirCFG.exe" ["D-Link"]
"ANIWZCS2Service" = "C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe" ["Alpha Networks Inc."]
"AVGCtrl" = "C:\Programme\AVPersonal\AVGNT.EXE /min" ["H+BEDV Datentechnik GmbH"]

HKLM\Software\Microsoft\Active Setup\Installed Components\
"{306D6C21-C1B6-4629-986C-E59E1875B8AF}\(Default)" = (no title provided)
\StubPath = ""C:\WINDOWS\System32\rundll32.exe" "C:\Programme\Messenger\msgsc.dll",ShowIconsUser" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx" [empty string]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{59850401-6664-101B-B21C-00AA004BA90B}" = "Microsoft Office Binder Unbind"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~4\Office\1031\UNBIND.DLL" [MS]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~4\Office\OLKFSTUB.DLL" [MS]

Startup items in "Peter" & "All Users" startup folders:
-------------------------------------------------------

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
"Adobe Gamma Loader" -> shortcut to: "C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe" ["Adobe Systems, Inc."]
"Microsoft Office" -> shortcut to: "C:\Programme\Microsoft Office\Office\OSA9.EXE -b -l" [MS]

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

AntiVir Service, AntiVirService, "C:\Programme\AVPersonal\AVGUARD.EXE" ["H+BEDV Datentechnik GmbH"]
AntiVir Update, AVWUpSrv, ""C:\Programme\AVPersonal\AVWUPSRV.EXE"" ["H+BEDV Datentechnik GmbH, Germany"]
Fax, Fax, "C:\WINDOWS\system32\fxssvc.exe" [MS]
NVIDIA Driver Helper Service, NVSvc, "C:\WINDOWS\System32\nvsvc32.exe" ["NVIDIA Corporation"]
TSMService, TSMService, ""C:\Programme\T-DSL SpeedManager\tsmsvc.exe"" ["T-Systems Nova, Berkom"]

----------
This report excludes default entries except where indicated.
To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
----------

HHmoin · 26.01.2005, 19:43

Hallo cacatoa,
ich hoffe soooo sehr, das ih mir helfen könnt!!! LG Inke

HHmoin · 26.01.2005, 19:45

Hier mein neustes LogFile
Logfile of HijackThis v1.99.0
Scan saved at 19:44:18, on 26.01.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\D-Link\Air USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\Programme\Microsoft Works\MSWorks.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Peter\Desktop\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchdom.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchdom.net/?re= (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.searchdom.net/?re= (obfuscated)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [CloneCDTray] C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\Peter\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O13 - DefaultPrefix: http://%77%77%77%2E%73%65%61%72%63%6...%6E%65%74/?re=
O13 - WWW Prefix: http://%77%77%77%2E%73%65%61%72%63%6...%6E%65%74/?re=
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

chaosman · 26.01.2005, 19:50

@HHmoin
versuche es doch mal mit
escan download
anleitung
überprüfe Deinen Rechner zunächst mit dem eScan: lade den eScan runter, erstelle dafür einen Ordner (=Verzeichnis) c:\bases, update den eScan online und führe ihn offline im abgesicherten Modus aus. Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Das wird von Hand auf Anweisung durch uns gemacht.

Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)
scan duaert mindestens 1 stunde
chaosman

cacatoa · 26.01.2005, 19:56

Hi,
wenn du HJT aufrufst, dann kannst du Im Startcenter auf "open the misc tool section" gehen.
Dort versuchst du das fixen wieder unter der Prämisse "Delete on reboot".
Sag mir dann, obs geklappt hat.
cacatoa

HHmoin · 26.01.2005, 19:59

Wed Jan 26 18:45:57 2005 => **********************************************************
Wed Jan 26 18:45:57 2005 => eScan AntiVirus Toolkit Utility.
Wed Jan 26 18:45:57 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Jan 26 18:45:57 2005 => **********************************************************
Wed Jan 26 18:45:57 2005 => Version 4.8.6 (C:\DOKUME~1\Peter\LOKALE~1\Temp\mwavscan.com)
Wed Jan 26 18:45:57 2005 => Log File: C:\DOKUME~1\Peter\LOKALE~1\Temp\MWAV.LOG
Wed Jan 26 18:45:57 2005 => Last Scan Date and Time: 26.01.2005 18:22:10
Wed Jan 26 18:45:58 2005 => Command Line Options Given: /s
Wed Jan 26 18:46:00 2005 => Latest Date of files inside MWAV: 21 Jan 2005 06:01:03.
Wed Jan 26 18:46:03 2005 => AV Library Loaded...

Wed Jan 26 18:46:03 2005 => **********************************************************
Wed Jan 26 18:46:03 2005 => eScan AntiVirus Toolkit Utility.
Wed Jan 26 18:46:03 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Jan 26 18:46:03 2005 =>
Wed Jan 26 18:46:03 2005 => Support: support@mwti.net
Wed Jan 26 18:46:03 2005 => Web: http://www.mwti.net
Wed Jan 26 18:46:03 2005 => **********************************************************
Wed Jan 26 18:46:03 2005 => Version 4.8.6 (C:\DOKUME~1\Peter\LOKALE~1\Temp\mwavscan.com)
Wed Jan 26 18:46:03 2005 => Log File: C:\DOKUME~1\Peter\LOKALE~1\Temp\MWAV.LOG
Wed Jan 26 18:46:03 2005 => Windows Root Folder: C:\WINDOWS
Wed Jan 26 18:46:03 2005 => Windows Sys32 Folder: C:\WINDOWS\System32
Wed Jan 26 18:46:03 2005 => OS: Windows NT
Wed Jan 26 18:46:03 2005 => Latest Date of files inside MWAV: 21 Jan 2005 06:01:03.

Wed Jan 26 18:46:03 2005 => Options Selected by User:
Wed Jan 26 18:46:03 2005 => Memory Check: Enabled
Wed Jan 26 18:46:03 2005 => Registry Check: Enabled
Wed Jan 26 18:46:03 2005 => StartUp Folder Check: Enabled
Wed Jan 26 18:46:03 2005 => System Folder Check: Enabled
Wed Jan 26 18:46:03 2005 => System Area Check: Disabled
Wed Jan 26 18:46:03 2005 => Services Check: Enabled
Wed Jan 26 18:46:03 2005 => Drive Check Option Disabled
Wed Jan 26 18:46:03 2005 => Folder Check: Disabled

Wed Jan 26 18:46:03 2005 => ***** Scanning Memory Files *****
Wed Jan 26 18:46:03 2005 => Scanning File C:\WINDOWS\System32\smss.exe
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\System32\ntdll.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\SYSTEM32\CSRSS.EXE
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\CSRSRV.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\basesrv.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\winsrv.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\USER32.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\KERNEL32.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\GDI32.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\ADVAPI32.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\system32\RPCRT4.dll
Wed Jan 26 18:46:04 2005 => Scanning File C:\WINDOWS\System32\sxs.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\SYSTEM32\WINLOGON.EXE
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\msvcrt.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\USERENV.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\NDdeApi.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\CRYPT32.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\MSASN1.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\Secur32.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\WINSTA.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\PROFMAP.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\NETAPI32.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\REGAPI.dll
Wed Jan 26 18:46:05 2005 => Scanning File C:\WINDOWS\system32\WS2_32.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\WS2HELP.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\AUTHZ.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\PSAPI.DLL
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\VERSION.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\SETUPAPI.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\System32\MSGINA.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\SHELL32.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\SHLWAPI.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\COMCTL32.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\System32\ODBC32.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\system32\comdlg32.dll
Wed Jan 26 18:46:06 2005 => Scanning File C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.1515_x-ww_7bb98b8a\comctl32.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\System32\odbcint.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\System32\SHSVCS.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\system32\sfc.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\System32\sfc_os.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\System32\WINTRUST.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\system32\ole32.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\system32\IMAGEHLP.dll
Wed Jan 26 18:46:07 2005 => Scanning File C:\WINDOWS\System32\WINSCARD.DLL

Wed Jan 26 18:46:08 2005 => Total Files Scanned: 44
Wed Jan 26 18:46:08 2005 => Total Virus(es) Found: 0
Wed Jan 26 18:46:08 2005 => Total Disinfected Files: 0
Wed Jan 26 18:46:08 2005 => Total Files Renamed: 0
Wed Jan 26 18:46:08 2005 => Total Deleted Files: 0
Wed Jan 26 18:46:08 2005 => Total Errors: 0
Wed Jan 26 18:46:08 2005 => Time Elapsed: 00:00:03

Wed Jan 26 18:46:08 2005 => ***** Scanning complete. *****
Wed Jan 26 18:46:08 2005 => Virus Database Date: 2005/01/21
Wed Jan 26 18:46:08 2005 => Virus Database Count: 116178

Wed Jan 26 18:46:08 2005 => Scan Completed.

Wed Jan 26 18:46:09 2005 => AV Library Unloaded (3)...
Wed Jan 26 19:58:41 2005 => **********************************************************
Wed Jan 26 19:58:41 2005 => eScan AntiVirus Toolkit Utility.
Wed Jan 26 19:58:41 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Jan 26 19:58:41 2005 => **********************************************************
Wed Jan 26 19:58:41 2005 => Version 4.8.6 (C:\DOKUME~1\Peter\LOKALE~1\Temp\mwavscan.com)
Wed Jan 26 19:58:41 2005 => Log File: C:\DOKUME~1\Peter\LOKALE~1\Temp\MWAV.LOG
Wed Jan 26 19:58:41 2005 => Last Scan Date and Time: 26.01.2005 18:46:03
Wed Jan 26 19:58:41 2005 => Latest Date of files inside MWAV: 21 Jan 2005 06:01:03.
Wed Jan 26 19:58:43 2005 => AV Library Loaded...
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\kavss.exe
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\Getvlist.exe
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\kavss.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\kavssdi.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\kavssi.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\kavvlg.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\msvlclnt.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\ipc.dll
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\main.avi
Wed Jan 26 19:58:43 2005 => Scanning File C:\DOKUME~1\Peter\LOKALE~1\Temp\virus.avi
Wed Jan 26 19:58:43 2005 => Virus Database Date: 2005/01/21
Wed Jan 26 19:58:43 2005 => Virus Database Count: 116178

HHmoin · 26.01.2005, 20:07

Hey Cacatao,
habs eben genau so gemacht wie dus beschrieben hast- leider ohne erfolg... soll ich das nochmal im abgesicherten modus versuchen? Wie du siehst findet escan die Male datei gar nicht... searchdom ist aber immer noch meine startseite und im logfile von hijack ist er auch noch da...

cacatoa · 26.01.2005, 20:12

Hi,
zwei Sachen:
1. Immer im abgesicherten Modus.
2. Der escan war keiner.
Du hast nur 44 gescannte files, weil Du nur einen Ordner gescannt hast.
Wenn Du eScan beginnst, dann mußt Du anclicken: Scan all local drives und
scan all files.
Dann dauert der ecan ca. 1 Stunde.
Also; auch wenns dauert, nochmal fixen im abges. Modus bei deaktivierter Systemwiederherstellung "delete file on reboot".
cacatoa

HHmoin · 26.01.2005, 20:17

hab s eben im abgesicherten Modus gemacht, ist aber immer noch da. werde jetzt den ausführlichen escan im abgesicherten modus machen. das heißt ich bin in einer stunde mit dem ergebnis wieder da... hoffe ich,...

danke schon mal für deine geduld!

Cidre · 26.01.2005, 20:22

@ HHmoin

Führe mal dies aus:
http://www.trojaner-board.de/showpos...24&postcount=8

cacatoa · 26.01.2005, 20:34

@ cidre:
Thx! Habe diesen post gesucht...

Cidre · 26.01.2005, 21:05

Bitte,

hat mich selbst Mühe und Zeit gekostet, meinen eigenen Beitrag zu finden.

HHmoin · 26.01.2005, 22:47

hallo,puh, dass Escan ist nun durch.... zwei viren wurden nun gefunden:

FileC:\Windows\Downloaded Program Files\on- line.exe infected by "Trojan.Win32. Dialer.bh"

FileD:\Tools\Aol\Setup.EXE tagged as not a virus: Tool Win32. Reboot.

Könnt ihr damit was anfangen? Das gesamte Log ist ja megaviele Seiten lang. Okay, ich gehe nun ins Bett, probiere aber noch deinen Tip aus (Cidre).
So far so good... Bis dann und muchas gracias Inke

25.01.2005, 21:14	#2
Cidre Administrator, a.D.	nach hijackthis fixen ist kein land in Sicht... Hallo, warum eröffnest du einen neuen Thread? Lade und installiere Silent Runners.vbs gemäss der Anleitung und poste dann das Log-File. __________________ __________________

26.01.2005, 20:22	#12
Cidre Administrator, a.D.	nach hijackthis fixen ist kein land in Sicht... @ HHmoin Führe mal dies aus: http://www.trojaner-board.de/showpos...24&postcount=8 __________________ Gruß, Cidre [B]Neuaufsetzen des Systems/Absicherung - Wie poste ich falsch?

26.01.2005, 21:05	#14
Cidre Administrator, a.D.	nach hijackthis fixen ist kein land in Sicht... Bitte, hat mich selbst Mühe und Zeit gekostet, meinen eigenen Beitrag zu finden. __________________ Gruß, Cidre [B]Neuaufsetzen des Systems/Absicherung - Wie poste ich falsch?

nach hijackthis fixen ist kein land in Sicht...

Log-Analyse und Auswertung: nach hijackthis fixen ist kein land in Sicht...