Moin ich habe jetzt schon alles gemacht eScan 2 mal alle bedenklichen datein gelöscht.. bin auch mein pc durchgegangen und habe alle datei gelöscht die ich nicht mehr brauch.. atm habe ich Ad-aware 6.0 einmal durch laufen lassen.. nichts.. und doch öffnet sich die WinFixer 2005 installatios abfrage.. -->klick nein --> wer will eine datei von --> h**p://de.winfixer.com/pages/scanner_de/index.php?aid=121_de&lid=n2_ed2&ex=1&p=&ax=1
--> und will sie speichern klicke nein.. dann scheint auch nichts zu passieren.. aber wenn die meldung 2 bis 10 mal am tag kommt nervt sie schon.. kann ich die irgendwie wegbekommen.. ?

mfg rxl

Servus!
Poste doch einmal ein HJT-Logfile nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17493 hier!
stupormundi

Logfile of HijackThis v1.99.1
Scan saved at 10:37:41, on 08.11.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\Programme\Lavasoft\Ad-aware 6\Ad-watch.exe
C:\Programme\Borland\Delphi6\Bin\delphi32.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
F:\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.alice-dsl.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alice-dsl.de
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: PreispiratenSearchURL - {0B660087-931C-4056-A04F-0423890E40B6} - C:\Programme\Preispiraten\Preispiraten2\PPSearchURL.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: metaspinner GmbH - {84B94901-3645-4D80-A6B7-4D0050B19455} - C:\Programme\Preispiraten\Preispiraten2\IEButtonAmazonInterface.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: metaspinner GmbH - {CD9B7762-DFBC-42B1-BB30-02A78287B456} - C:\Programme\Preispiraten\Preispiraten2\IEButtonEbayInterface.dll (file missing)
O2 - BHO: metaspinner GmbH - {D3AA56A9-8137-4950-A6F9-D0190A82AF2A} - C:\Programme\Preispiraten\Preispiraten2\IEButtonPPInterface.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [winupdates] C:\Programme\winupdates\winupdates.exe /auto
O4 - HKLM\..\Run: [pccguide.exe] "C:\Programme\Trend Micro\Internet Security 2005\pccguide.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {3EB4F9EA-51A6-48DA-846A-0D69DCBA39EF} (DownloadManager Control) - http://download.akamaitools.com.edgesuite.net/dlmanager/dev/code/IE_1070/DownloadManager.cab
O16 - DPF: {7C559105-9ECF-42B8-B3F7-832E75EDD959} (Installer Class) - http://www.tbcode.com/ist/softwares/v4.0/0006_regular.cab
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} - http://static.zangocash.com/cab/Zango/ie/bridge-c10.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {D2982A7F-489A-47F5-A319-FC1F14EBC245} (Navigator Class) - http://www.nutzwerk.de/control/NutzNavi.cab
O20 - Winlogon Notify: WB - C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

Servus!
Der Eintrag

O4 - HKLM\..\Run: [winupdates] C:\Programme\winupdates\winupdates.exe /auto

gehört zu dem http://www.sophos.com/virusinfo/analyses/w32alcrab.html
Da man bei dem nie sagen kann, was er noch alles nachgeholt hat, lass mal escan nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17492 im abgesicherten Modus http://www.systemwiederherstellung-d...indows-xp.html laufen und poste anschließend das Ergebnis von Hauis45´s 'find.bat' (ist in der Anleitung ebenfalls beschrieben). Halte Dich genau an diese Anleitung (Speicherort von escan-entpacken nach C:\bases_x, update vor dem Scan, Spracheinstellung "English", alle Häkchen wie beschrieben setzen) sonst funktioniert die find.bat nicht. Lies´ die Anleitung zuerst ganz durch, sonst übersiehst Du vielleicht etwas!
bis dann, stupormundi

alles klar mache ich dann mal

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Nov 08 12:07:41 2005 => System found infected with bearshare Spyware/Adware ({558ec983-bedb-9168-b2de-31dbf0ee543e})! Action taken: No Action Taken.
Tue Nov 08 12:07:41 2005 => System found infected with istbar Spyware/Adware ({7c559105-9ecf-42b8-b3f7-832e75edd959})! Action taken: No Action Taken.
Tue Nov 08 12:07:41 2005 => System found infected with stylexp Spyware/Adware ({c333cf63-767f-4831-94ac-e683d962c63c})! Action taken: No Action Taken.
Tue Nov 08 12:07:41 2005 => System found infected with istbar Spyware/Adware ({dc341f1b-ec77-47be-8f58-96e83861cc5a})! Action taken: No Action Taken.
Tue Nov 08 12:07:42 2005 => System found infected with flashget Spyware/Adware ({e0e899ab-f487-11d5-8d29-0050ba6940e3})! Action taken: No Action Taken.
Tue Nov 08 12:07:42 2005 => System found infected with istbar Spyware/Adware ({7c559105-9ecf-42b8-b3f7-832e75edd959})! Action taken: No Action Taken.
Tue Nov 08 12:07:42 2005 => System found infected with bearshare Spyware/Adware ({905d0df2-3a0a-4d94-853c-54a12a745905})! Action taken: No Action Taken.
Tue Nov 08 12:07:42 2005 => System found infected with whenu.savenow Spyware/Adware ({c285d18d-43a2-4aef-83fb-bf280e660a97})! Action taken: No Action Taken.
Tue Nov 08 12:07:45 2005 => System found infected with ezula Spyware/Adware (woinstall.exe)! Action taken: No Action Taken.
Tue Nov 08 12:07:45 2005 => System found infected with casinoonnet Spyware/Adware (bszip.dll)! Action taken: No Action Taken.
Tue Nov 08 12:07:45 2005 => System found infected with windupdate Spyware/Adware (ide21201.vxd)! Action taken: No Action Taken.
Tue Nov 08 12:07:48 2005 => System found infected with unknown pest Spyware/Adware (moo.dll)! Action taken: No Action Taken.
Tue Nov 08 12:07:48 2005 => System found infected with unknown pest Spyware/Adware (mdx.dll)! Action taken: No Action Taken.
Tue Nov 08 12:07:48 2005 => System found infected with unknown pest Spyware/Adware (views.mdx)! Action taken: No Action Taken.
Tue Nov 08 12:07:49 2005 => System found infected with zipitpro Spyware/Adware (C:\WINDOWS\iun6002.exe)! Action taken: No Action Taken.
Tue Nov 08 12:40:05 2005 => File C:\Programme\Dirn ltd\ace.dll infected by "Trojan.Win32.Crypt.t" Virus! Action Taken: No Action Taken.
Tue Nov 08 12:40:06 2005 => File C:\Programme\Dirn ltd\algsort.exe infected by "Trojan.Win32.Crypt.t" Virus! Action Taken: No Action Taken.
Tue Nov 08 12:40:11 2005 => File C:\Programme\Dirn ltd\crypdmgr.exe infected by "Trojan.Win32.Crypt.t" Virus! Action Taken: No Action Taken.
Tue Nov 08 12:40:11 2005 => File C:\Programme\Dirn ltd\WinGenerics.dll infected by "Trojan.Win32.Crypt.t" Virus! Action Taken: No Action Taken.
Tue Nov 08 13:29:25 2005 => File C:\WINDOWS\system32\hnecedos.exe infected by "Trojan.Win32.Crypt.t" Virus! Action Taken: No Action Taken.
Tue Nov 08 14:31:57 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Nov 08 12:15:00 2005 => File C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mIRC\mirc.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Tue Nov 08 12:16:20 2005 => File C:\Dokumente und Einstellungen\Jakyosomala\Lokale Einstellungen\Temporary Internet Files\Content.IE5\7B6P5IME\mirc616[1].exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
Tue Nov 08 12:34:46 2005 => Scanning File C:\Programme\Adobe\Adobe InDesign CS2 Trial\Plug-Ins\Filters\Tagged Text Attributes.apln
Tue Nov 08 12:34:46 2005 => Scanning File C:\Programme\Adobe\Adobe InDesign CS2 Trial\Plug-Ins\Filters\Tagged Text Filters UI.apln
Tue Nov 08 12:34:46 2005 => Scanning File C:\Programme\Adobe\Adobe InDesign CS2 Trial\Plug-Ins\Filters\Tagged Text Filters.apln
Tue Nov 08 12:57:18 2005 => File C:\Programme\NetPumper\ZM\minime.exe tagged as "not-a-virus:AdWare.Win32.Lop.ai". Action Taken: No Action Taken.
Tue Nov 08 13:19:36 2005 => File C:\WINDOWS\NDNuninstall6_38.exe tagged as "not-a-virus:AdWare.Win32.NewDotNet". Action Taken: No Action Taken.
Tue Nov 08 13:32:27 2005 => File C:\WINDOWS\woinstall.exe tagged as "not-a-virus:AdWare.Win32.EZula.ak". Action Taken: No Action Taken.
Tue Nov 08 13:36:16 2005 => File D:\neuinstall cd\netpumper-1.24-NP_0013-setup.exe tagged as "not-a-virus:AdWare.Win32.Lop.ai". Action Taken: No Action Taken.
Tue Nov 08 14:13:13 2005 => File F:\mirc616.exe tagged as not-a-virus:Client-IRC.Win32.mIRC.616. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Funde für "offending"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\policies\ameopt !!!
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\uninstall\kapabout !!!
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\Software\gnu !!!
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\Software\powerscan !!!
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\Software\policies\avenue media !!!
Tue Nov 08 12:07:43 2005 => Offending Key found: HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\StartupReg\bearshare !!!
Tue Nov 08 12:07:43 2005 => Offending value found in HKLM\Software\Licenses: {i56b3cf0d9ab991e1} !!!
Tue Nov 08 12:07:43 2005 => Offending value found in HKLM\Software\Licenses: {056b3cf0d9ab991e1} !!!
Tue Nov 08 12:07:45 2005 => Offending file found: C:\WINDOWS\woinstall.exe
Tue Nov 08 12:07:45 2005 => Offending Folder found: C:\WINDOWS\DOWNLO~1\conflict.1
Tue Nov 08 12:07:45 2005 => Offending file found: C:\WINDOWS\system32\bszip.dll
Tue Nov 08 12:07:45 2005 => Offending file found: C:\WINDOWS\system32\ide21201.vxd
Tue Nov 08 12:07:48 2005 => Offending file found: C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\dlls\moo.dll
Tue Nov 08 12:07:48 2005 => Offending file found: C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\mdx\mdx.dll
Tue Nov 08 12:07:48 2005 => Offending file found: C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\mdx\views.mdx
Tue Nov 08 12:07:49 2005 => Offending file found: C:\WINDOWS\iun6002.exe
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Nov 08 14:31:57 2005 => Total Virus(es) Found: 36
Tue Nov 08 14:31:57 2005 => Total Errors: 88
Tue Nov 08 14:31:57 2005 => Time Elapsed: 02:05:13
Tue Nov 08 14:31:57 2005 => Total Objects Scanned: 85820
Tue Nov 08 12:06:04 2005 => Virus Database Date: 2005/11/02
Tue Nov 08 14:31:57 2005 => Virus Database Date: 2005/11/02
Tue Nov 08 15:36:22 2005 => Virus Database Date: 2005/11/02
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~



mfg rxl

Servus wieder!
Hol´ Dir diese Tools http://www.clearprog.de/ clearprog 1.4.1 final und http://www.winload.de/download/26877...1.35.1203.html regseeker
Da ich annehme, dass Du Spybot und Adaware eh immer aktuell hältst, wechsle in den abgesicherten Modus http://www.systemwiederherstellung-d...indows-xp.html, lösche zuerst mit clearprog mit der Option "clear all" den ganzen Müll, dann lass´ beide Spy/Adware Tools nochmal laufen, entferne, was vorgeschlagen wird.
Das sollte eigentlich die ganze Ad/Spyware (casinoonet, zipitpro, etc...) beseitigen. Dann lösche noch (alles im abgesicherten Modus) alle von escan beanstandeten Dateien/Ordner (falls noch vorhanden).
Dieser Ordner (C:\Programme\Dirn ltd\) wird wohl auch nicht bewusst von Dir verwendet ? - löschen!
C:\WINDOWS\woinstall.exe
C:\WINDOWS\DOWNLO~1\conflict.1 <-- ganzen Ordner löschen
C:\WINDOWS\system32\bszip.dll
C:\WINDOWS\system32\ide21201.vxd
C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\dlls\moo.dll
C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\mdx\mdx.dll
C:\Dokumente und Einstellungen\Jakyosomala\Eigene Dateien\mirc\script\mdx\views.mdx
C:\WINDOWS\iun6002.exe
Zuletzt noch die Registry mit regseeker (Option "clean registry") säubern. Dabei immer darauf achten, dass die Backupfunktion aktiviert ist!
Ich hoffe nichts übersehen zu haben!
Sollte anschließend nach neuem Booten die Winfixer-Geschichte noch immer kommen, schau Dir diese Anleitungen http://virus-protect.net/artikel/spyware/winfix.html durch
bis dann, stupormundi

also bei mir findet RegSeeker 948 einträge.. soll ich die alle löschen?

mfg rxl

Wenn sich in Deiner reg schon so viel angesammelt hat - ja lösche!
stelle aber sicher, dass die Backupfunktion (irgendwo am unteren Rand ein Häkchen setzen) aktiviert ist!
stupormundi