Hallo zusammen!
Seit gestern nervt mich die, ich vermute mal Spyware, NewDotNet. Ich finde diese, immer, wenn ich mit Spybot scanne. Ich konnte diese nur teilweise entfernen und habe daraufhin selbstständig nach der Datei gesucht und diese samt Verzeichnis im abgesicherten Modus gelöscht. Also habe ich neu gestartet und prompt wurde die wieder gefunden, nur das ich sie diesmal ganz löschen konnte. Dann habe ich wieder neu gestartet und neu gescannt und sie war wieder da. Ich habe Adaware, XPClean und den Regcleaner ausgeführt, brachte aber alles nichts. Spybot findet die NewDotNet immer wieder. Jetzt seit ihr meine letzte Hoffnung. Ich habe HighJackThis durchgeführt, hier die LogFile:

Logfile of HijackThis v1.99.1
Scan saved at 16:15:08, on 14.11.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\ltmoh\Ltmoh.exe
C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\AIM95\aim.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Mozilla Firefox\firefox.exe
D:\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Programme\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: PMounter - Unknown owner - C:\WINDOWS\system32\PMounter.exe

Ich hoffe, ihr könnt mir helfen! Vielen Dank im Voraus!

Hallo,
hmm, an dem Logfile ist nichts zu erkennen, aber mache mal folgendes:
Besorge dir das Programm LSPfix, führe das Programm aus,klicke "i know what i am doing" an und schaue mal ob dort eine Datei namens newdotnet6_38.dll o.ä. auftaucht, wenn ja bringe diese auf die rechte Seite und klicke auf "finish".


Grüße Wildone

Zitat von Wildone

Hallo,
hmm, an dem Logfile ist nichts zu erkennen, aber mache mal folgendes:
Besorge dir das Programm LSPfix, führe das Programm aus,klicke "i know what i am doing" an und schaue mal ob dort eine Datei namens newdotnet6_38.dll o.ä. auftaucht, wenn ja bringe diese auf die rechte Seite und klicke auf "finish".


Grüße Wildone

Das habe ich schon probiert nützt auch nichts. Hm, wie bekomm ich das Ding nur wieder los? Ich habe mir Ewido schon runter geladen, das Tool hat um die 30 Sachen gefunden, die bisher nicht von Adaware, XPClean oder Spybot gefunden wurden. Es hat auch mehrere Meldungen zu NewDotNet gemacht und diese dann entfernt. Trotzdem wird immer wieder dieses blöde Ding gefunden. Jetzt bin ich mit meinem Latein am Ende und hoffe weiterhin auf gute Ratschläge von euch!
Danke!

Edit: Ich habe Ewido im abgesicherten Modus (Win XP HOME SP 2) durch laufen lassen und von dort aus alles entfernt, schien mir sicherer, trotzdem findet Spybot NewDotNet weiterhin. Merkwürdigerweise findet Spybot im abgesicherten Modus NewDotNet nicht.

Hallo,
wo(genauer Pfad) werden die Dateien noch gefunden?
Scanne dein System mal mit Escan (Anleitung sorgfältig lesen!) und poste das Log wie in der Anleitung beschrieben (find.bat).


Grüße Wildone

Zitat von Wildone

Hallo,
wo(genauer Pfad) werden die Dateien noch gefunden?
Scanne dein System mal mit Escan (Anleitung sorgfältig lesen!) und poste das Log wie in der Anleitung beschrieben (find.bat).


Grüße Wildone

Die Pfade weiß ich jetzt auch nicht mehr. Ich habe ein paar manuell gelöscht, einer war unter Programme/need2find. Ich werd es dann gleich mal probieren mit dem Escan!

Jetzt habe ich das mit dem Escan genau so wie beschrieben gemacht und alles ist immer noch so wie vorher. Das ist ein Teil der Log Datei. Wo finde ich diesen Ordner um den Trojan manuell zu löschen. Bei mir gibt es keinen Ordner der so heißt.

1: C:\Dokumente und Einstellungen\Tyler\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\file\Class1.class-4da6c1ca-6d54236d.class => Trojan.Java.Small.a

Hallo,
öffne mal die MWAV.LOG, suche(bearbeiten>>suchen nach "infected" und "tagged" und poste die jeweiligen Einträge.
Den von dir geposteten Eintrag kannst du durch leeren des JAVA caches beseitigen(unter Systemsteuerung>>JAVA die temporären Dateien löschen)


Grüße Wildone

Zitat von Wildone

Hallo,
öffne mal die MWAV.LOG, suche(bearbeiten>>suchen nach "infected" und "tagged" und poste die jeweiligen Einträge.
Den von dir geposteten Eintrag kannst du durch leeren des JAVA caches beseitigen(unter Systemsteuerung>>JAVA die temporären Dateien löschen)


Grüße Wildone

Vielen Dank für die Hilfe! Nachdem ich die temporären Daten von Java gelöscht habe, ist die Meldung nicht mehr aufgetreten. Ohne dich, wär ich wohl nie auf eine Lösung gestoßen. Nochmals Danke!