Hallo,
ich hoffe ich bin hier richtig.
Ich hatte 3-4 Jahre Win ME und nie einen Virus o.ä. jetzt nach 3 Wochen Win XP Prof. mit SP2 hat es direkt erwischt.
Dementsprechend habe ich eigentlich keine Ahnung bei der Viren/Trojaner Bekämpfung. Ich habe nur Antivir personal und die Win- Firewall installiert, dann überprüfe ich noch manchmal mit Adaware.

Mit dem XP PC komme ich im Augenblick nicht ins Internet, zum Glück habe ich den alten PC noch.

Gestern hat Antivir 3 Dateinen gemeldet die den Trojaner TR/Dldr.Agent.IG.3 enthalten sollen, die Dateien habe ich gelöscht.
Dann war erst mal Ruhe, heute wurden mir zwei Dialer gemeldet (gehe aber über DSL ins Internet). Die habe ich auch gelöscht.
Nun kommt beim Neustart die RUNDLL Fehlermeldung "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden". Da muss ich ja wohl noch etwas entfernen, nur was?

Jetzt kann ich aber den Antivir Guard nicht mehr starten, auch wenn ich es über Systemsteuerung - Verwaltung - Dienste versuche zu starten klappt es nicht. Neu installiert habe ich Antivir auch - keine Änderung.


So hier mal mein Logfile:



Logfile of HijackThis v1.99.0
Scan saved at 18:27:31, on 07.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\basfipm.exe
C:\Programme\Dell\OpenManage\Client\Iap.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
C:\Programme\Analog Devices\SoundMAX\spkrmon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\switpa.exe
C:\Programme\D-Link\D-Link DSL-260I USB ADSL Modem\dslmon.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Dokumente und Einstellungen\Jani\Eigene Dateien\Tools\Hijackthis\hijackthis199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.tiscali.de/web/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tiscali.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Tiscali
O1 - Hosts: 216.40.230.4 desktop.kazaa.com
O1 - Hosts: 216.40.230.4 alpha.kazaa.com
O1 - Hosts: 216.40.230.4 shop.kazaa.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll (file missing)
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [DVDLauncher] "C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe"
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [StarSkin] C:\PROGRAMME\STARSKIN\STARSKIN.EXE -H
O4 - HKLM\..\Run: [switp] C:\WINDOWS\switpa.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [ISDNStatus] C:\Programme\BIL-ISDN\isdnsta.exe
O4 - HKLM\..\Run: [msnmsgq32] C:\WINDOWS\msnmsgq.exe
O4 - HKLM\..\Run: [clfmon] C:\WINDOWS\clfmon.exe
O4 - HKLM\..\Run: [SheduIer] C:\WINDOWS\winagent.exe /i
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - Global Startup: DSLMON.lnk = ?
O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_38.dll' missing
O14 - IERESET.INF: START_PAGE_URL=http://www.tiscali.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105040704756
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Broadcom ASF IP monitoring service v6.0.4 - Broadcom Corp. - C:\WINDOWS\System32\basfipm.exe
O23 - Service: Iap - Dell Inc - C:\Programme\Dell\OpenManage\Client\Iap.exe
O23 - Service: spkrmon - Unknown - C:\Programme\Analog Devices\SoundMAX\spkrmon.exe



Gibt es eine Möglichkeit ohne Formatieren oder Win - Neuinstallation?
Das wäre toll!

Grüße
Jan

Hallo,

Nun kommt beim Neustart die RUNDLL Fehlermeldung "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden".

Das rührt von deiner installierten Kazaa Version die mit der Foistware New.net gespickt ist und wäre dieser Eintrag ->
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s

Wende LspFix und repariere damit dein WinSock.

O4 - HKLM\..\Run: [clfmon] C:\WINDOWS\clfmon.exe

Siehe http://www.sophos.de/virusinfo/analy...ojagentbj.html

Mach erstmal folgendes:

Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hallo,
erst mal danke für die schnelle Hilfe, eScan läuft gerade seit einer Stunde (alle Files werden gescannt) und es dauert sicher noch 2 Stunden, aber zwischendurch kam die Fehlermeldung:

Die Anweisung in "=x7c92103c" verweist auf Speicher in "0x00000000"
Der Vorgang "writen" konnte nicht auf dem Speicher ausgeführt werden.

Klicken sie OK um das Prog. zu beenden
Klicken sie auf Abbrechen um zu bebuggen.


Ich habe dann auf abbrechen geklickt und das Prog. läuft jetzt weiter.

LspFix habe ich noch nicht ausgeführt ich hoffe das war OK.

Mit Kazaa konnte ich mich mit dem PC eh nicht verbinden.
Ich werde es daher deinstallieren. Gibt es da was zu beachten?

EMule habe ich allerdings auch noch drauf.

Grüße
Jani

Hast du "divx" installiert das verträgt sich nicht mit Win XP SP2

Hi,

Hast du "divx" installiert das verträgt sich nicht mit Win XP SP2

Ja, hab ich, (divx 502) aber haben das nicht alle?

Da gab es übrigens schon eine Meldung:
"DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken."

Hat das was damit zu tun? Die Meldung hörte sich nicht so schlimm an.

Grüße
Jan

Solche Meldungen sind nur schwer zu eruieren, könnte auch heissen eine fehlerhafter Sektor auf der Festplatte oder Ramspeicher.

Hallo,
so fertig
mit infected wurde gefunden:

Mon Feb 07 20:23:06 2005 => File C:\WINDOWS\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken

Mon Feb 07 21:23:54 2005 => Scanning Folder : C:\Programme\AVPersonal\INFECTED\*.*

Mon Feb 07 22:06:44 2005 => File C:\windows\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken

Mit "tagged" wurde der Eintrag gefunden den ich im letzten Post schon geschrieben habe

DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken

und das gleiche dann noch mal mit der Datei MilesT32.exe und painkiller_sp_demo_3_setup.exe



Hört sich doch irgendwie nicht so schlimm an, oder?
Der Folder "INFECTED" bei AVPersonal ist übrigens leer.

Was muss ich jetzt tun?

Grüße
Jani