Hi,
ich sitz hier grad vorm pc von nem Kumpel und es scheint (nein, ich bin mir sogar ziemlich sicher!) das der Rechner total verseucht ist!

Hab schon versucht mit eScan mal durch zu scannen. Nur leider will eScan kein Updated runterladen. Ich werde trotz allem mal die HiJack Log hier her posten - vielleicht kann mir ja jemand helfen...

Übrigens: Ich hab hier noch den SAHagent in den Prozessen entdeckt, dieser würde sich nur mit eingabe eines Codes deinstallieren lassen (erscheint in der "Software" liste der Syssteuerung). Dies ist mir aber ehrlich gesagt zu heickel!
Hab daraufhin eine Page mit ner Anleitung zum manuellen deinstallieren gefunden - nur leider komm ich dort nicht weiter weil die angegebenen Reg-Einträge fehlen! Hier mal die Seite: hier klicken

Achja, System ist WindowsXP SP1

Hier die Log:

Logfile of HijackThis v1.99.1
Scan saved at 18:04:19, on 31.05.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
d:\tools\AVPersonal\AVGUARD.EXE
d:\tools\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
D:\internet\OUTPOS~1.0\outpost.exe
D:\Grafik\ProShowGold\ScsiAccess.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\RealVNC\VNC4\WinVNC4.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender8\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\SPMSMON.EXE
D:\Grafik\Picasa\PicasaMediaDetector.exe
D:\Grafik\InkSaver\InkSaver.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programme\D-Tools\daemon.exe
D:\Tools\Ahead\NEROTO~1\DRIVES~1.EXE
D:\tools\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\msxct.exe
C:\Programme\Softwin\BitDefender8\bdmcon.exe
C:\Programme\Softwin\BitDefender8\bdnagent.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programme\Rainlendar\Rainlendar.exe
d:\Tools\ProcessExplorer\procexp.exe
D:\Tools\Total Commander\TOTALCMD.EXE
C:\WINDOWS\regedit.com
C:\Programme\Mozilla Firefox\firefox.exe
c:\Dokumente und Einstellungen\Admin\Desktop\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - D:\Tools\eBayTb.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - D:\Tools\eBayTb.dll (file missing)
O3 - Toolbar: ISTbar - {FAA356E4-D317-42a6-AB41-A3021C6E7D52} - C:\Programme\ISTbar\istbarcm.dll (file missing)
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Outpost Firewall] D:\internet\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [ChangeICON] C:\WINDOWS\SPMSMON.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [slvchost] slvchost32.exe
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\ivhkcki.exe
O4 - HKLM\..\Run: [LifeScape Media Detector] d:\Grafik\Picasa\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [InkSaver] D:\Grafik\InkSaver\InkSaver.exe hide
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [VolumeCounter] "D:\Internet\Volumenzaehler\BoVolume.exe"
O4 - HKLM\..\Run: [Windows DLL Loader] C:\WINDOWS\system32\defragfatx.exe
O4 - HKLM\..\Run: [EPSON Stylus C84 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C84 Series" /O6 "USB001" /M "Stylus C84"
O4 - HKLM\..\Run: [EPSON Stylus C84 Series (Kopie 2)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P33 "EPSON Stylus C84 Series (Kopie 2)" /O5 "LPT1:" /M "Stylus C84"
O4 - HKLM\..\Run: [QuickTime Task] "D:\tools\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Messenger] C:\WINDOWS\System32\winampa.exe
O4 - HKLM\..\Run: [Nero DriveSpeed] D:\Tools\Ahead\NEROTO~1\DRIVES~1.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [eBayToolbar] D:\Tools\eBayTBDaemon.exe
O4 - HKLM\..\Run: [AVGCtrl] d:\tools\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [bfF5] C:\WINDOWS\xgcheyaf.exe
O4 - HKLM\..\Run: [msxct] msxct.exe
O4 - HKLM\..\Run: [ap9h4qmo] C:\WINDOWS\System32\ap9h4qmo.exe
O4 - HKLM\..\Run: [BDMCon] C:\Programme\Softwin\BitDefender8\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender8\bdnagent.exe
O4 - HKLM\..\RunServices: [slvchost] slvchost32.exe
O4 - HKLM\..\RunServices: [Yahoo Messenger] YPager.EXE
O4 - HKCU\..\Run: [EPSON Stylus C84 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C84 Series" /M "Stylus C84" /EF "HKCU"
O4 - Startup: Rainlendar.lnk = C:\Programme\Rainlendar\Rainlendar.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &eBay Search - res://D:\Tools\ebay Toolbar\eBayTb.dll/RCSearch.html
O9 - Extra button: Preispiraten 2.02 - {86DE8B3B-1EB7-4386-84BD-EBE94348A913} - d:\tools\Preispiraten 2.0b\preispiraten2.exe
O15 - Trusted Zone: h**p://ny.contentmatch.net (HKLM)
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://h**p://tools.ebayimg.com/eps/..._v1-0-3-12.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://h**p://tools.ebayimg.com/eps/...l_v1-0-3-0.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://h**p://www2.incredimail.com/c...r/imloader.cab
O16 - DPF: {F0BC061F-DAF9-4533-8011-53BCB4C10307} (Installations Assistent) - http://h**p://install.flexview.de/In...sAssistent.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{36C1117C-46DE-4FE2-9A06-7F4782F887C8}: NameServer = 195.71.151.243 193.189.244.205
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - d:\tools\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - d:\tools\AVPersonal\AVWUPSRV.EXE
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum - D:\internet\OUTPOS~1.0\outpost.exe
O23 - Service: ScsiAccess - Unknown owner - D:\Grafik\ProShowGold\ScsiAccess.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender8\vsserv.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

Danke schon mal im vorraus!!!

Hallo,

in der Registry sind viele Malware Einträge vorhanden, die teils von unbekannter Malware stammt. Führe deshalb zuerst eScan AntiVirus im abgesicherten Modus aus und poste uns die Virus Log Information.
Danach schau' mer mal.

Hi Cidre,
wie oben beschrieben kann ich kein Update an diesem PC ausführen - da scheint irgend etwas zu blockieren! In der Firewall ists auf jedenfal freigeschaltet - nur leider connected er nicht... Versuch es aber jetzt mal von nem anderen Rechner herunterzuladen!

Sorry, hatte ich übersehen.
Lass mal das Update außen vor und lade, wenn möglich, nur die neueste eScan Version und scanne damit.

Von einem anderen PC, wäre ne' Möglichkeit.

So, hab jetzt mit hilfe meines Rechners die eScan daten runtergeladen und auf dem infizierten Rechner aufgespielt. Jetzt, nachdem ich eScan durchlaufen gelassen hab, komm ich nicht mehr ins Windows?! Hab schon versucht als "Gast" einzuloggen (Neben admin) aber ich komm nicht mehr rein!

Der ablauf sieht so aus: Windows startet bis zur Anmeldung -> Admin eingegeben -> Desktop Bild erscheint -> und im Fenster wo eigentlich "Anmelden" stehen müsste steht jetzt "Abmelden" - sprich, er meldet sich sofort wieder ab...

Hab auch nochmal versucht, über den Abgesicherten Modus, einzuloggen - doch dort geschieht das gleiche...

Jetzt steh ich natürlich ein bisschen Blöd da... hab doch bloss die eScan sachen gemacht... löschen geht ja mit der Free Version nicht...

Weiss jemand rat - möchte jetzt nicht unbedingt die letzte der möglichkeiten durchführen (Format C: )...

[schluchzmode=ON]Kann mir denn jetzt keiner mehr helfen[/schluchzmode=OFF]

@BD2
Bitte C:\WINDOWS\System32\winampa.exe bei http://virusscan.jotti.org/ checken

Öhh.. wenn du mir jetzt noch sagst wie ich in mein Windows komme, dann mach ich das - lest ihr Leuts eigentlich ab und zu die Posts die man hier schreibt oder überfliegt Ihr nur die HiJacks?!

@BD2

Öhh.. wenn du mir jetzt noch sagst wie ich in mein Windows komme

Sorry, habe versehen. Es heißt, du hast eScan falsch ausgeführt und somit dein System zerschossen. Du musst aber nicht weinen, denn unter der Datei steckt mit 99% Sicherheit ein Backdoor. Bitte PC nach Anleitung in meiner Signatur neu aufsetzen.

Was heißt denn falsch ausgeführt?! Hab halt nur das Update von meinem Rechner runtergeladnen und auf den infizierten Rechner übertragen - sonsitge Einstellungen hab ich korrekt nach Anleitung durchgeführt! Habs ja auch erst kürzlich bei mir selbst laufen lassen... Was könnte ich denn Falsch gemacht haben, und kann man das nicht anders reparieren?!

Wenns nicht anders geht hab ich ja zum Glück noch BartPE um an meine Daten zu kommen/sichern!

@BD2

Was heißt denn falsch ausgeführt?!

ich gehe davon aus, dass du:
1. Entweder den Scan nicht im abgsiherten Modus durchgeführt hast
2. Oder Registry-Säuberung wurde eingeschaltet.
Das Gleiche habe ich auch mal erlebt .

hmmm... nööö... hab ich nescht (raab-nippel)!!!!

ne wirklich, hab schön brav im abgesicherten gestartet und auch keine cleanings gemacht - bin also völlig unschuldig! Wer weiss mit welch übler Krankheit der Rechner infiziert war

Werd den PC jetzt aber mal platt machen und XP neu installieren... Schätze das die der beste Weg sein wird (obwohl das eigentlich nicht unbedingt mein Leitspruch ist!) - Zum Glück ists nicht mein Rechner - sonst könnt ich hier nicht mehr so viel Fun machen...

Danke aber trotzdem für eure Hilfe!

Grüsse
BD2