Hallo !

Ich bin total verzweifelt, ich hab seit gestern (freitag, der 13.) irgendwas bösartiges auf meinem PC und bin jetzt total glücklich, dieses Forum entdeckt zu haben. Allerdings bin ich computertechnisch eine totale NULL !

Ich versuch mal meine Fehler zu beschreiben:
Wenn ich den PC hochfahre, erscheint der Desktophintergrund schwarz und ein Fenster geht auf, in den u.a. steht: "Warning, you´re in Danger ! .... Secure youreself right now ! Remove all spyware form your PC !" und da ist dann ein Link zum anklicken: "Removal instructions", der führt auf die Seite w**.topantispyware.com/overview.php?205

Außerdem hab ich in IE eine neue Startseite, die jedesmal wieder da ist:
h??p://w-find.com/index.htm

und in meine Favoriten haben sich folgende Links reinkopiert, die nach jedem Start wieder da sind: free-spy-cam.net, free.hcworld.com, getthis4free.com
Ach ja: AntivirXP und Ad-aware6.0 hab ich schon erfolglos laufen lassen ...
beim erneuten laufen lassen meldete antivir einen trojaner...combob oder so

Ich hab das selbe problem wie der herr hier!ich kenne mich nur ein bisschen besser mit dem pc aus !leider konnte ich durch eure anleitung nicht vollständig durchblicken außerdem wurde dieser beitrag auch nicht gelöst bzw zu ende geführt!ich würde mcih sehr freuden wenn wir jemande da so schnell wie möglcih helfen könnte.

Hi!

1.) Durchsuche deine gesamte Festplatte mit einem aktualisiertem AV und lösche ggf. alle infizierten Dateien. Falls das löschen nicht funktioniert, wechsle in den abgesicherten Modus und lösche die Dateien dort.

2.) Lade FireFox 1.0.4 herunter und installiere es. Es ist ein anderer Browser, nicht IE, aber viel sicherer. Damit ist auch das Problem mit der Start-Seite gelöst.

Ich hoffe mal, ich konnte helfen

grüsse, Mario

ja firefox hab ich auch schon dran gedacht aber das ist ja nicht wirklcih das problem!http://www.trojaner-board.de/showthread.php?t=17772 ich möchte dazu hilfe haben und vielleicht jemanden der das mal alles mit mir durchgeht also der diese anleitung individuell auf mich zuschneidet da ja das manuelle löschen bei jedem anders abläuft!

hier mein logfile vielleicht kann mir dann ja jemand helfen!
Logfile of HijackThis v1.99.1
Scan saved at 17:52:26, on 16.05.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\ewido\security suite\ewidoctrl.exe
C:\Programme\ewido\security suite\ewidoguard.exe
C:\Programme\ICQLite\ICQLite.exe
C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\Rar$EX00.218\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://w-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://w-find.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = h**p://w-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://w-find.com/index.htm
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: Shell=
O2 - BHO: Loader Class - {2E246FAE-8420-11D9-870D-000C2917DE7F} - C:\WINDOWS\SYSTEM\Loader.dll (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: Class - {DB038CA1-A46C-19B5-85CF-0D6E9434330F} - C:\WINDOWS\system32\ipmt32.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: AOL 9.0 Tray-Symbol.lnk = C:\Programme\AOL 9.0b\aoltray.exe
O4 - Global Startup: McAfee Personal Firewall Plus.lnk = C:\Programme\McAfee.com\Personal Firewall\MpfConsole.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Microsoft AntiSpyware helper - {9E2C891E-35A2-4AD4-AF3F-9B737E54AC7B} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {9E2C891E-35A2-4AD4-AF3F-9B737E54AC7B} - (no file) (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\fltmgr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\fltmgr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\fltmgr.dll
O16 - DPF: ppctlcab - http://h**p://ppupdates.ca.com/downl...r/ppctlcab.cab
O16 - DPF: {11111111-1111-1111-1111-111191113457} - file://c:\ied_s7.cab
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://h**p://static.windupdates.com...bridge-c18.cab
O16 - DPF: {271A3CF5-5A54-447B-A08F-BE805F0DA60B} (DataDesign DDBAC Plug-In) - h**ps://banking.seb.de/hbci/plugin/AXFOAM.CAB
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://h**p://ppupdates.ca.com/downl.../axscanner.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\wx.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\wx.cab
O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - h**p://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://h**p://v5.windowsupdate.micro...?1111229492417
O16 - DPF: {77C6723D-8F02-1577-B181-6DB304524177} - h**p://69.50.182.94/1/gdnUS1882.exe
O16 - DPF: {D7A4D8FB-83F0-40E5-954F-88F48D15AE96} (ICQVideoWindow Class) - http://h**p://xtraz.icq.com/xtraz/ac...deoControl.cab
O16 - DPF: {EE8B6D5F-FEF2-11D0-B13F-00A024798EF3} (Microsoft Search Settings Control) - http://h**p://lg.home.microsoft.com/...chsettings.cab
O16 - DPF: {FF3F0F03-0F01-131A-A3F9-08F02B23E0CC} - h**p://66.117.37.13/dba914.exe
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll (file missing)
O23 - Service: Remote Procedure Call (RPC) Helper ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\syshe32.exe (file missing)
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: AOL Privacy Protection Service (AOLService) - Unknown owner - C:\PROGRA~1\GEMEIN~1\aol\AOLPRI~1\\aolserv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido\security suite\ewidoguard.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

_____________
Anm.
Aktive Links editiert!
Beachte die Hinweise dieser Anleitung: HiJackThis

LG Cidre
S-Mod TB

Wenn du hilfe willst, dann solltest du aber auch die einzelnen Anweisungen befolgen. zB Was ist mit Punkt 1? Antivirenprogramm? Was sagt der scan? Hast alle gelöscht???

grüsse, Mario

PS:
Warum hast einen neuen thread angelegt? Warum hast einen neuen Benutzer angelegt? Warum befolgst du Cidre's anweisungen nicht?

ach ich hab doch keinen neuen thread angelegt ich habe nur das gleiche problem wie dieser andere user.
also meine virenprogramme schlagen an und ich lösche alle viren es sind unzählige und nachdem neustart sind sie wieder da.

@ Rouven

Solange dein System weiterhin nicht up to date ist und die Malware nicht restlos von dir entfernt wird, ist auch kein Land in Sicht.

Was ergab die Überprüfung durch eScan?

@ snooby

Warum hast einen neuen thread angelegt?

Das ist auch ausdrücklich so erwünscht...

@cidre wie soll ich das verstehen?also ich meine was bringt es diese viren zu löschen(was ich schon dauernd gemacht habe)wenn sie nach dem neustart wieder da sind?wenn ich das jetzt richtig verstehe(=!
mit escan hab ich es schon versucht nur hat er nichts gefunden(die überprüfung lief unglaiblich schnell ab) und andererseits hat er teilweise noch garnicht angefangen zu prüfen also ist hängengeblieben.

@ Rouven!

Lade dir
Service Pack 2
LSP FIX
SpSeHjfix112
herunter.

@cidre wie soll ich das verstehen?also ich meine was bringt es diese viren zu löschen(was ich schon dauernd gemacht habe)wenn sie nach dem neustart wieder da sind?wenn ich das jetzt richtig verstehe(=!

Scanne mit Escan im abgesicherten Modus

ESCAN ANLEITUNG aufmerksam lesen

poste uns die Funde danach sehen wir weiter!

You ´re in danger ist nur ein pop-up fenster
welches über die desktop-einstellung leicht mit einem Häckchen entfernt werden kann.
Hier im Forum wurde die Lösung schon mal beschrieben.
Aus dem Kopf weiß ich leider nicht mehr wo dieses Häckchen in der Desktop-Einstellung entfernt werden mußte. muß ich heut abend zu haus nochmal nachschaun.

der desktop hintergrund is weg hab die alte anleitung dazu gefunden.
jetzt werde ich noch mit escan mal rübergehen.
nen bussi gibts im vorraus(=!

Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed May 18 15:02:37 2005 => System found infected with cws.therealsearch Spyware/Adware (waol.exe)! Action taken: No Action Taken.
Wed May 18 15:04:13 2005 => File C:\WINDOWS\System32\advaasrv.exe infected by "Backdoor.Win32.PPdoor.x" Virus! Action Taken: No Action Taken.
Wed May 18 15:04:15 2005 => File C:\WINDOWS\System32\winoela3.dll infected by "Backdoor.Win32.PPdoor.j" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp4.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp5.tmp infected by "Trojan-Downloader.Win32.Murlo.ah" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp1E.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp26.tmp infected by "Trojan-Downloader.Win32.Murlo.ai" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp1C.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:57 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp1D.tmp infected by "Trojan-Downloader.Win32.Murlo.ai" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:58 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp2C.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:58 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp2D.tmp infected by "Trojan-Downloader.Win32.Murlo.aj" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:58 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp36.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:13:59 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\tmp37.tmp infected by "Trojan-Downloader.Win32.Murlo.aj" Virus! Action Taken: No Action Taken.
Wed May 18 15:18:59 2005 => File C:\WINDOWS\system32\advaasrv.exe infected by "Backdoor.Win32.PPdoor.x" Virus! Action Taken: No Action Taken.
Wed May 18 15:19:01 2005 => File C:\WINDOWS\system32\winoela3.dll infected by "Backdoor.Win32.PPdoor.j" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp4.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp5.tmp infected by "Trojan-Downloader.Win32.Murlo.ah" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp1E.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp26.tmp infected by "Trojan-Downloader.Win32.Murlo.ai" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp1C.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:26 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp1D.tmp infected by "Trojan-Downloader.Win32.Murlo.ai" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:27 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp2C.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:27 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp2D.tmp infected by "Trojan-Downloader.Win32.Murlo.aj" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:27 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp36.tmp infected by "Trojan-Dropper.Win32.Small.ue" Virus! Action Taken: No Action Taken.
Wed May 18 15:39:27 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\tmp37.tmp infected by "Trojan-Downloader.Win32.Murlo.aj" Virus! Action Taken: No Action Taken.
Wed May 18 16:13:13 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed May 18 16:31:47 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed May 18 15:05:45 2005 => File C:\WINDOWS\System32\sdttvxal.exe tagged as not-a-virus:NetCalc.DNet.d. No Action Taken.
Wed May 18 15:05:49 2005 => File C:\DOKUME~1\ROUVEN~1\LOKALE~1\Temp\PKG13.EXE tagged as not-a-virus:Joke.Win32.Langeweile. No Action Taken.
Wed May 18 15:20:46 2005 => File C:\WINDOWS\system32\sdttvxal.exe tagged as not-a-virus:NetCalc.DNet.d. No Action Taken.
Wed May 18 15:31:05 2005 => File C:\Dokumente und Einstellungen\RouvenDIDIT\Lokale Einstellungen\Temp\PKG13.EXE tagged as not-a-virus:Joke.Win32.Langeweile. No Action Taken.
Wed May 18 15:58:35 2005 => File C:\Programme\Gemeinsame Dateien\aolback\comp01.000 tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Wed May 18 15:59:28 2005 => File C:\Programme\AOL 9.0\Jiti\Jiti_mm.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Wed May 18 16:10:24 2005 => File C:\Programme\AOL 9.0a\Jiti\Jiti_mm.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Wed May 18 16:11:12 2005 => File C:\Programme\AOL 9.0b\Jiti\Jiti_mm.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Wed May 18 16:12:05 2005 => File C:\Programme\Winamp\Skins\EPS_High-End_System_v1_test.wal tagged as not-a-virus:Tool.Win32.Shutdown. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Wed May 18 16:31:47 2005 => Total Virus(es) Found: 35
Wed May 18 16:31:47 2005 => Total Errors: 244
Wed May 18 16:31:47 2005 => Time Elapsed: 01:29:22
Wed May 18 16:31:47 2005 => Total Objects Scanned: 77536
Tue May 17 22:02:33 2005 => Virus Database Date: 2005/05/16
Wed May 18 15:01:16 2005 => Virus Database Date: 2005/05/16
Wed May 18 16:31:47 2005 => Virus Database Date: 2005/05/16
Wed May 18 16:39:24 2005 => Virus Database Date: 2005/05/16
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~

also kann mir jetzt jemande helfen?!ich hab noch ein paar andere virenscanner ausprobiert und die haben auch ein paar viren gelöscht doch ich schätze das dat hauptproblem noch vorhanden ist.!

Da Du das Problem hast:
Wed May 18 15:04:15 2005 => File C:\WINDOWS\System32\winoela3.dll infected by "Backdoor.Win32.PPdoor.j"
ist Dein PC als kompromitiert anzusehen.
http://www.sophos.com/virusinfo/anal...ojppdoorg.html
Deshalb gehe nach Cidres Anleitung vor.
http://www.trojaner-board.de/showthread.php?t=12154

löschen will ich ihn nicht es sind viel zu viele wichtige daten drauf!