TR/Crypt.T.320

seckin79 · 02.06.2006, 19:20

Hallo habe diesen oben genannten Trojaner,

habe diese LOG file:

Logfile of HijackThis v1.99.1
Scan saved at 19:40:58, on 02.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\CtrlVol.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\TopSearch\TopSearch.exe
C:\Programme\WebRebates4\webrebates.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\WebRebates4\w11150.exe
C:\WINDOWS\System32\alg.exe
C:\Dokumente und Einstellungen\G****n\Desktop\eMule0.46c\emule.exe
C:\WINDOWS\System32\wisptis.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE
C:\Programme\HiJackThis\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - _{7115623C-8DAF-D758-A988-F74DBF50E6CF} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4CD34420-B664-29C9-D106-60550D862E33} - (no file)
O2 - BHO: (no name) - {7115623C-8DAF-D758-A988-F74DBF50E6CF} - C:\WINDOWS\System32\snlrxl.dll
O2 - BHO: (no name) - {91DA8090-6B7F-4771-8953-DF80A28EF635} - C:\WINDOWS\system32\cfgmgs32.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [TopSearch] C:\Programme\TopSearch\TopSearch.exe
O4 - HKLM\..\Run: [webrebates] "C:\Programme\WebRebates4\webrebates.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Web Rebates. - file://C:\Programme\WebRebates4\websrebates\webtrebates\toprC0.htm
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)
O15 - Trusted Zone: http://click.getmirar.com (HKLM)
O15 - Trusted Zone: http://click.mirarsearch.com (HKLM)
O15 - Trusted Zone: http://redirect.mirarsearch.com (HKLM)
O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.217/ABoxInst_int21.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by113fd.bay113.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/de/win/QuickTimeInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131193838167
O16 - DPF: {8A0DCBDB-6E20-489C-9041-C1E8A0352E75} (Mirar_Dummy_ATS1 Class) - http://ny.contentmatch.net/FIX/WinATS.cab
O16 - DPF: {CDCBE0F1-D13A-4F86-A963-3A272D3ABA7E} - http://advnt01.com/dialer/internazionale_ver15.CAB
O16 - DPF: {D909E944-3A96-4280-9983-9D00001973A4} - http://www.browserplugin.com/plugin/exe/access_special.ocx
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} - http://install.power-url.de/StarInstall.ocx
O16 - DPF: {F919FBD3-A96B-4679-AF26-F551439BB5FD} - http://locator1.cdn.imagesrvr.com/sites/winfixer.com/www/pages/scanner_de/WinFixer2005ScannerInstallDE.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS3\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe (file missing)

für eure Hilfe wär ich dankbar.

**Sunny** · 02.06.2006, 19:40

Hallo,

lass mal folgende Dateien HIER auswerten:

C:\WINDOWS\system32\cfgmgs32.dll
C:\WINDOWS\System32\snlrxl.dll
Deine Kiste ist schon recht verseucht, aber poste erstmal das Ergebnis von Virustotal.

Gruß
Daniel

seckin79 · 02.06.2006, 19:55

Hi Sunny,

das ging aber schnell, ich lasse grad scannen.

Weiss aber eigentlich nicht was ich danach machen soll.?

Vielen Dank nochmals.

So ein erstes Ergebnis:

STATUS: FINISHEDComplete scanning result of "cfgmgs32.dll", received in VirusTotal at 06.02.2006, 20:48:50 (CET).

Antivirus Version Update Result
AntiVir 6.34.1.37 06.02.2006 ADSPY/Stud.A.1
Authentium 4.93.8 06.02.2006 no virus found
Avast 4.7.844.0 06.02.2006 Win32:Trojano-3384
AVG 386 06.02.2006 Adware Generic.LRH
BitDefender 7.2 06.02.2006 Trojan.Downloader.Agent.RG
CAT-QuickHeal 8.00 06.02.2006 no virus found
ClamAV devel-20060426 06.02.2006 no virus found
DrWeb 4.33 06.02.2006 Trojan.DownLoader.6588
eTrust-InoculateIT 23.72.25 06.02.2006 no virus found
eTrust-Vet 12.6.2240 06.02.2006 no virus found
Ewido 3.5 06.02.2006 Downloader.Small.cgu
Fortinet 2.77.0.0 06.01.2006 W32/Small.CGU!tr
F-Prot 3.16f 06.02.2006 no virus found
Ikarus 0.2.65.0 06.02.2006 AdWare.Stud.A
Kaspersky 4.0.2.24 06.02.2006 not-a-virus:AdWare.Win32.Stud.a
McAfee 4776 06.02.2006 potentially unwanted program Adware-KeenValue
Microsoft 1.1441 06.02.2006 no virus found
NOD32v2 1.1576 06.02.2006 Win32/Adware.BHO.AA
Norman 5.90.17 06.02.2006 W32/Stud.B
Panda 9.0.0.4 06.02.2006 Adware/KeenValue
Sophos 4.05.0 06.02.2006 no virus found
Symantec 8.0 06.02.2006 no virus found
TheHacker 5.9.8.154 06.01.2006 Adware/Stud.a
UNA 1.83 06.02.2006 Adware.Stud
VBA32 3.11.0 06.02.2006 suspected of Trojan-Downloader.Agent.49

Aditional Information
File size: 35377 bytes
MD5: 3ddd78e38b95e4da3355d6aaceb3899e
SHA1: 140eb0710a3534b29acc142af45450c307b92d80

Und hier die 2. Datei
STATUS: FINISHEDComplete scanning result of "snlrxl.dll", received in VirusTotal at 06.02.2006, 21:01:07 (CET).

Antivirus Version Update Result
AntiVir 6.34.1.37 06.02.2006 ADSPY/PurityScan.AK.59
Authentium 4.93.8 06.02.2006 no virus found
Avast 4.7.844.0 06.02.2006 Win32:Agent-RY
AVG 386 06.02.2006 Adware Generic.LDV
BitDefender 7.2 06.02.2006 no virus found
CAT-QuickHeal 8.00 06.02.2006 no virus found
ClamAV devel-20060426 06.02.2006 no virus found
DrWeb 4.33 06.02.2006 no virus found
eTrust-InoculateIT 23.72.25 06.02.2006 no virus found
eTrust-Vet 12.6.2240 06.02.2006 no virus found
Ewido 3.5 06.02.2006 no virus found
Fortinet 2.77.0.0 06.01.2006 Adware/ClickSpring!00
F-Prot 3.16f 06.02.2006 no virus found
Kaspersky 4.0.2.24 06.02.2006 not-a-virus:AdWare.Win32.PurityScan.ak
McAfee 4776 06.02.2006 potentially unwanted program Adware-ClickSpring
Microsoft 1.1441 06.02.2006 no virus found
NOD32v2 1.1576 06.02.2006 no virus found
Norman 5.90.17 06.02.2006 no virus found
Panda 9.0.0.4 06.02.2006 Adware/PurityScan
Sophos 4.05.0 06.02.2006 no virus found
Symantec 8.0 06.02.2006 no virus found
TheHacker 5.9.8.154 06.01.2006 no virus found
UNA 1.83 06.02.2006 no virus found
VBA32 3.11.0 06.02.2006 suspected of Malware.Agent.17 (paranoid heuristics)

Aditional Information
File size: 139264 bytes
MD5: 67cce63db5b1716f69795be3146de5f3
SHA1: 42aa83b719af76afffdc5e5b0d704a139ab50f43

**Sunny** · 02.06.2006, 19:56

Wenn der Scan fertig ist (nach jeder Datei!), das Ergebnis markieren, kopieren und hier in einen Beitrag einfügen!

Gruß

seckin79 · 02.06.2006, 20:10

Hi Sunny

Danke für Deine Hilfe, ich habe die Ergebnisse in meinem Beitrag vorher editiert.

**Sunny** · 02.06.2006, 20:10

Poste dann noch das Ergebnis der 2.ten Datei, und lade dir dann folgende Tools:

1.) Ad-Aware
2.) eScan

Poste danach wieder die Ergebnisse sowie ein neues Hijacklog..und dann kommt der Rest dran!

Gruß
Daniel

seckin79 · 02.06.2006, 22:53

hallo daniel,

die scanns sind durchgeführt

hier die aktuelle log datei:

Logfile of HijackThis v1.99.1
Scan saved at 23:51:01, on 02.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5346.0005)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\PROGRA~1\eScan\TRAYSSER.EXE
C:\PROGRA~1\eScan\avpm.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\CtrlVol.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\TopSearch\TopSearch.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\eScan\TRAYICOS.EXE
C:\PROGRA~1\eScan\AVPMWrap.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\eScan\MAILDISP.EXE
C:\PROGRA~1\eScan\MAILSCAN.EXE
C:\PROGRA~1\ESCAN\SPOOLER.EXE
C:\PROGRA~1\eScan\kavss.exe
C:\PROGRA~1\eScan\AvpM.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\HiJackThis\hijackthis\HijackThis.exe
C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
R3 - URLSearchHook: (no name) - _{7115623C-8DAF-D758-A988-F74DBF50E6CF} - (no file)
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4CD34420-B664-29C9-D106-60550D862E33} - (no file)
O2 - BHO: (no name) - {7115623C-8DAF-D758-A988-F74DBF50E6CF} - C:\WINDOWS\System32\snlrxl.dll
O2 - BHO: (no name) - {91DA8090-6B7F-4771-8953-DF80A28EF635} - C:\WINDOWS\system32\cfgmgs32.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [TopSearch] C:\Programme\TopSearch\TopSearch.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Programme\eScan\LAUNCH.EXE"
O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Web Rebates. - file://C:\Programme\WebRebates4\websrebates\webtrebates\toprC0.htm
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.217/ABoxInst_int21.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by113fd.bay113.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/de/win/QuickTimeInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1131193838167
O16 - DPF: {CDCBE0F1-D13A-4F86-A963-3A272D3ABA7E} - http://advnt01.com/dialer/internazionale_ver15.CAB
O16 - DPF: {D909E944-3A96-4280-9983-9D00001973A4} - http://www.browserplugin.com/plugin/exe/access_special.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O17 - HKLM\System\CS3\Services\Tcpip\..\{0BD6ED56-97BF-44B2-8CE3-9D15AFFAB98D}: NameServer = 192.168.2.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\PROGRA~1\eScan\TRAYSSER.EXE
O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe
O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE

Bis demnächst.

Danke

**Sunny** · 02.06.2006, 23:40

Dann fangen wir mal an: (auch wenn ich immer noch keinen eScan Bericht bekommen habe!

) Halte dich in Zukunft an die Aufforderungen, sonst ist keine Hilfe möglich!

1.) Deinstalliere (sofern vorhanden!) über Systemsteuerung-->Software folgendes Programm: C:\Programme\TopSearch

2.) Lade dir folgendes Programm:Killbox
Öffne dann die Killbox, Haken bei "delete on reboot" und folgende Dateien/Verzeichnisse suchen: (die Frage des Neustarts erst bei der letzten Datei mit "Yes" beantworten!WICHTIG!)
C:\Programme\WebRebates4
C:\Programme\TopSearch
C:\WINDOWS\System32\snlrxl.dll
C:\WINDOWS\system32\cfgmgs32.dll

3.) starte dann in den abgesicherten Modus und fixe mit HijackThis folgende Einträge:

Zitat:

R3 - URLSearchHook: (no name) - _{7115623C-8DAF-D758-A988-F74DBF50E6CF} - (no file)
O2 - BHO: (no name) - {4CD34420-B664-29C9-D106-60550D862E33} - (no file)
O2 - BHO: (no name) - {7115623C-8DAF-D758-A988-F74DBF50E6CF} - C:\WINDOWS\System32\snlrxl.dll
O2 - BHO: (no name) - {91DA8090-6B7F-4771-8953-DF80A28EF635} - C:\WINDOWS\system32\cfgmgs32.dll
O4 - HKLM\..\Run: [TopSearch] C:\Programme\TopSearch\TopSearch.exe
O8 - Extra context menu item: Web Rebates. - file://C:\Programme\WebRebates4\websrebates\webtrebates\t oprC0.htm
O16 - DPF: {00000000-0000-0000-0000-000020040000} - ht*/207.234.185.217/ABoxInst_int21.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - ht*p/ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup[/url] 1.0.0.8.cab
O16 - DPF: {CDCBE0F1-D13A-4F86-A963-3A272D3ABA7E} - ht*p/advnt01.com/dialer/internazionale_ver15.CAB
O16 - DPF: {D909E944-3A96-4280-9983-9D00001973A4} - ht*p:/*w.browserplugin.com/plugin/exe/access_special.ocx
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

*Scanne anschliessend dein System nochmals mit "Ad-Aware" und "Spybot", immunisiere dann mit Spybot dein System*

4.) poste ein komplett neues Hijacklog & mach endlich den "eScan"

*ENTSCHEIDE dich für einen Virenscanner, du hast Antivir als auch eScan installiert! (hast es wahrscheinlich falsch installiert..)

Gruß
Daniel

02.06.2006, 19:40	#2
Sunny Administrator > Competence Manager	TR/Crypt.T.320 Hallo, lass mal folgende Dateien HIER auswerten: C:\WINDOWS\system32\cfgmgs32.dll C:\WINDOWS\System32\snlrxl.dll Deine Kiste ist schon recht verseucht, aber poste erstmal das Ergebnis von Virustotal. Gruß Daniel __________________ __________________

02.06.2006, 19:56	#4
Sunny Administrator > Competence Manager	TR/Crypt.T.320 Wenn der Scan fertig ist (nach jeder Datei!), das Ergebnis markieren, kopieren und hier in einen Beitrag einfügen! Gruß __________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Stulti est se ipsum sapientem putare.

02.06.2006, 20:10	#6
Sunny Administrator > Competence Manager	TR/Crypt.T.320 Poste dann noch das Ergebnis der 2.ten Datei, und lade dir dann folgende Tools: 1.) Ad-Aware 2.) eScan Poste danach wieder die Ergebnisse sowie ein neues Hijacklog..und dann kommt der Rest dran! Gruß Daniel __________________ --> TR/Crypt.T.320

TR/Crypt.T.320

Log-Analyse und Auswertung: TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

TR/Crypt.T.320

Ähnliche Themen: TR/Crypt.T.320

02.06.2006, 20:10	#5
seckin79	TR/Crypt.T.320 Hi Sunny Danke für Deine Hilfe, ich habe die Ergebnisse in meinem Beitrag vorher editiert.