Hallo,
ich hoffe ich bin hier richtig.
Ich hatte 3-4 Jahre Win ME und nie einen Virus o.ä. jetzt nach 3 Wochen Win XP Prof. mit SP2 hat es direkt erwischt.
Dementsprechend habe ich eigentlich keine Ahnung bei der Viren/Trojaner Bekämpfung. Ich habe nur Antivir personal und die Win- Firewall installiert, dann überprüfe ich noch manchmal mit Adaware.

Mit dem XP PC komme ich im Augenblick nicht ins Internet, zum Glück habe ich den alten PC noch.

Gestern hat Antivir 3 Dateinen gemeldet die den Trojaner TR/Dldr.Agent.IG.3 enthalten sollen, die Dateien habe ich gelöscht.
Dann war erst mal Ruhe, heute wurden mir zwei Dialer gemeldet (gehe aber über DSL ins Internet). Die habe ich auch gelöscht.
Nun kommt beim Neustart die RUNDLL Fehlermeldung "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden". Da muss ich ja wohl noch etwas entfernen, nur was?

Jetzt kann ich aber den Antivir Guard nicht mehr starten, auch wenn ich es über Systemsteuerung - Verwaltung - Dienste versuche zu starten klappt es nicht. Neu installiert habe ich Antivir auch - keine Änderung.


So hier mal mein Logfile:



Logfile of HijackThis v1.99.0
Scan saved at 18:27:31, on 07.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\basfipm.exe
C:\Programme\Dell\OpenManage\Client\Iap.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
C:\Programme\Analog Devices\SoundMAX\spkrmon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\switpa.exe
C:\Programme\D-Link\D-Link DSL-260I USB ADSL Modem\dslmon.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Dokumente und Einstellungen\Jani\Eigene Dateien\Tools\Hijackthis\hijackthis199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.tiscali.de/web/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tiscali.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Tiscali
O1 - Hosts: 216.40.230.4 desktop.kazaa.com
O1 - Hosts: 216.40.230.4 alpha.kazaa.com
O1 - Hosts: 216.40.230.4 shop.kazaa.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll (file missing)
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [DVDLauncher] "C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe"
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [StarSkin] C:\PROGRAMME\STARSKIN\STARSKIN.EXE -H
O4 - HKLM\..\Run: [switp] C:\WINDOWS\switpa.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [ISDNStatus] C:\Programme\BIL-ISDN\isdnsta.exe
O4 - HKLM\..\Run: [msnmsgq32] C:\WINDOWS\msnmsgq.exe
O4 - HKLM\..\Run: [clfmon] C:\WINDOWS\clfmon.exe
O4 - HKLM\..\Run: [SheduIer] C:\WINDOWS\winagent.exe /i
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - Global Startup: DSLMON.lnk = ?
O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_38.dll' missing
O14 - IERESET.INF: START_PAGE_URL=http://www.tiscali.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105040704756
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Broadcom ASF IP monitoring service v6.0.4 - Broadcom Corp. - C:\WINDOWS\System32\basfipm.exe
O23 - Service: Iap - Dell Inc - C:\Programme\Dell\OpenManage\Client\Iap.exe
O23 - Service: spkrmon - Unknown - C:\Programme\Analog Devices\SoundMAX\spkrmon.exe



Gibt es eine Möglichkeit ohne Formatieren oder Win - Neuinstallation?
Das wäre toll!

Grüße
Jan

Hallo,

Nun kommt beim Neustart die RUNDLL Fehlermeldung "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden".

Das rührt von deiner installierten Kazaa Version die mit der Foistware New.net gespickt ist und wäre dieser Eintrag ->
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s

Wende LspFix und repariere damit dein WinSock.

O4 - HKLM\..\Run: [clfmon] C:\WINDOWS\clfmon.exe

Siehe http://www.sophos.de/virusinfo/analy...ojagentbj.html

Mach erstmal folgendes:

Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hallo,
erst mal danke für die schnelle Hilfe, eScan läuft gerade seit einer Stunde (alle Files werden gescannt) und es dauert sicher noch 2 Stunden, aber zwischendurch kam die Fehlermeldung:

Die Anweisung in "=x7c92103c" verweist auf Speicher in "0x00000000"
Der Vorgang "writen" konnte nicht auf dem Speicher ausgeführt werden.

Klicken sie OK um das Prog. zu beenden
Klicken sie auf Abbrechen um zu bebuggen.


Ich habe dann auf abbrechen geklickt und das Prog. läuft jetzt weiter.

LspFix habe ich noch nicht ausgeführt ich hoffe das war OK.

Mit Kazaa konnte ich mich mit dem PC eh nicht verbinden.
Ich werde es daher deinstallieren. Gibt es da was zu beachten?

EMule habe ich allerdings auch noch drauf.

Grüße
Jani

Hast du "divx" installiert das verträgt sich nicht mit Win XP SP2

Hi,

Hast du "divx" installiert das verträgt sich nicht mit Win XP SP2

Ja, hab ich, (divx 502) aber haben das nicht alle?

Da gab es übrigens schon eine Meldung:
"DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken."

Hat das was damit zu tun? Die Meldung hörte sich nicht so schlimm an.

Grüße
Jan

Solche Meldungen sind nur schwer zu eruieren, könnte auch heissen eine fehlerhafter Sektor auf der Festplatte oder Ramspeicher.

Hallo,
so fertig
mit infected wurde gefunden:

Mon Feb 07 20:23:06 2005 => File C:\WINDOWS\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken

Mon Feb 07 21:23:54 2005 => Scanning Folder : C:\Programme\AVPersonal\INFECTED\*.*

Mon Feb 07 22:06:44 2005 => File C:\windows\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken

Mit "tagged" wurde der Eintrag gefunden den ich im letzten Post schon geschrieben habe

DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken

und das gleiche dann noch mal mit der Datei MilesT32.exe und painkiller_sp_demo_3_setup.exe



Hört sich doch irgendwie nicht so schlimm an, oder?
Der Folder "INFECTED" bei AVPersonal ist übrigens leer.

Was muss ich jetzt tun?

Grüße
Jani

Hi MaxPower,

poste auch das Gesamtergebnis, steht ganz unten in der Logfile.

Beispiel:

Wed Feb 02 19:48:56 2005 => Total Files Scanned: 42805
Wed Feb 02 19:48:56 2005 => Total Virus(es) Found: 0
Wed Feb 02 19:48:56 2005 => Total Disinfected Files: 0
Wed Feb 02 19:48:56 2005 => Total Files Renamed: 0
Wed Feb 02 19:48:56 2005 => Total Deleted Files: 0
Wed Feb 02 19:48:56 2005 => Total Errors: 55
Wed Feb 02 19:48:56 2005 => Time Elapsed: 00:35:44
Wed Feb 02 19:48:56 2005 => Virus Database Date: 2005/01/31
Wed Feb 02 19:48:56 2005 => Virus Database Count: 116619


dartus

Hi,
mach ich.

Mon Feb 07 22:33:24 2005 => Total Files Scanned 61443
Mon Feb 07 22:33:24 2005 => Total Virus(es) found: 5
Mon Feb 07 22:33:24 2005 => Total Disinfected Files: 0
Mon Feb 07 22:33:24 2005 => Total Files Renamed : 0
Mon Feb 07 22:33:24 2005 => Total Deleted Files: 0
Mon Feb 07 22:33:24 2005 => Total Errors: 13
Mon Feb 07 22:33:24 2005 => Time Elapsed 02:09:48
Mon Feb 07 22:33:24 2005 => Virus Database Date: 2005/02/07
Mon Feb 07 22:33:24 2005 => Virus Database Count: 117359

Mon Feb 07 22:33:24 2005 => Scan Completed.

Mon Feb 07 22:47:59 2005 => Virus Database Date: 2005/02/07
Mon Feb 07 22:47:59 2005 => Virus Database Count: 117359
Mon Feb 07 22:47:59 2005 => AV Library Unloaded (3)...

Ich hab Lspfix gestartet
Unter Keep wird angezeigt:
mswsock.dll TCP/IP
winrnr.dll NTDS
rsvpsp.dll (Protocol handler)

Unter Remove steht:
newdotnet6_38.dll New.net Name Space Provider

Besteht die Chance das, wenn ich den Eintrag entferne,ich wieder mit dem PC ins Netz komme?

Einwählen geht aber im Explorer sagt er mir dann es kann keine Verbindung hergestellt werden.

Und wie bekomme ich AVGuard wieder ans laufen und nutzt das überhaupt was?

Grüße
Jani

Nun habe ich völlig eigenmächtig LspFix ausgeführt und newdotnet6_38.dll New.net entfernt.

Ins Internet komme ich wieder und AVGuard startet auch automatisch.

Kazaa lite ist deinstalliert.

Bei Start kommt aber immer noch die Fehlermeldung:
"Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden"

So ganz gefällt mir das noch nicht. Ich habe auch Antivir mit ausgeschalteter Systemwiederherstellung (die ist immer noch ausgeschaltet, soll ich die wieder einschalten?) und im abgesicherten Modus alle Files durchsuchen lassen, da gab es keinen Alarm mehr, Antivir kann aber nicht alle Dateien öffnen, das sieht dann z.b. so aus:

C:\windows\system32\config
default
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!


Was kann ich noch tun?

Dank und Grüße
Jani

Jetzt habe ich auch den Eintrag
Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s
in der Reg. gefunden und gelöscht, die Warnung beim Start ist weg.
Es gibt aber noch mehr Einträge in der Reg. wenn ich unter "NEWDOT" suche soll ich die auch alle löschen?
Ein Verzeichnis mit Namen NewDotNet gibt es auch noch, darin sind eine readme.html und ein file unistall6_38.exe.

Ich vermute mal das kann/sollte ich auch löschen?

Prinzipiell sind in deinem Fall alle Einträge, in denen sich NewDotNet befindet zu löschen.
Prinzipiell ist aber auch ein regestry-backup sehr nützlich, wenn man nicht 100% weiss, was man löscht.

hi

http://filepony.de/download-cwshredder/

letzter eintrag ganz unten

start->systemsteuerung->software->programme ändern oder entfernen-> nachsehen, ob hier ein,oder mehrere programme installiert sind, die nicht absichtlich von dir installiert wurden, deinstallieren -> name der programme hier posten! kann ein programm nicht deinstalliert werden, ein möglicher grund, es ist in verwendung, mit dem taskmanager beenden und dann deinstallieren.

Ich hab Lspfix gestartet
Unter Keep wird angezeigt:
mswsock.dll TCP/IP
winrnr.dll NTDS
rsvpsp.dll (Protocol handler)

Unter Remove steht:
newdotnet6_38.dll New.net Name Space Provider

wenn bei lspfix die datei bereits auf der rechten seite steht dann häkchen setzen und finish drücken, lspfix repariert dann nur noch die registry einträge und das problem ist gelöst, nicht wieder nach links schieben.

Hallo,
ist ja super hier!
Langsam bin ich beruhigt und kann wohl ins Bett.

Kazaabegone habe ich auch ausgeführt und der hat noch einiges entfernt (Reg. natürlich vorher gesichert)

Und wenn das stimmt:
http://www.computerhilfen.de/hilfen-17-37994-20.html
brauche ich mir wegen dem:
adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic"
ja auch keine Gedanken mehr machen?

Ich hätte dann nur noch ein Programm das mir nichts sagt, bzw verdächtig vorkommt:

Offer Agent (keine Größe oder andere Angaben dazu vorhanden)


Danke euch!
Jani