hallo Irrlicht,
tut mir leid euch evtl.zu nerven,ich bin kein Profi wir Ihr,aber wo ist da ein Komma?Und welche Nummer ist gemeint?
Sei so nett und hilf mir!

Folge mal dem Link:
http://www.ripe.net/perl/whois/?form..._search=Search

Unser allseits geliebter Andrei Kislizin.

@Irrlicht,
dass mit dem Werner war falsch. Nicht die Russen kommen sondern die Ukrainer.
Mehr sage ich jetzt nicht, sonst kriege ich haue. Sage hier nichts gegen Ukrainer:aplaus:

@Ursulaner

gehe bitte wie folgt vor:

1. Lade dir Fixwareout runter.
Fixwareout.exe --> next --> Install --> Run fixit --> Finish

Danach startet der PC neu.


2. Scanne dein System wie von Schrulli empfohlen mit dem Rootkit Revealer.

Poste das Log vom Rootkitrevealer und von Fixwareout (letzteres solltest du hier finden: C:\fixwareout\report.txt)

Hola Felix1,habe gemacht wie Du gesagt hast,und.......Irrlicht hat recht!
Nur,wie werde ich diesen,,Beutegermanen''(Russen)wieder los?
die tcpip fixen geht nicht,dann läuft nichts mehr,weisst Du Rat?

O.K.Cronos,hier ist das Resulta
Fixwareout ver 1.003
Last edited 04/26/2006
Post this report in the forums please

Reg Entries that were deleted
...

Random Runs removed from HKLM
...

PLEASE NOTE, There WILL be LEGIT FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.
Example ipsec6.exe is lagitamate

»»»»» Search by size and names...

»»»»» Misc files

»»»»» Checking for older varients covered by the Rem3 tool

»»»»»
Search five digit cs, dm and jb files
This WILL/CAN also list Legit Files, Submit them at Virustotal
t von Fixwareout,und was sagt Dir das?

Fixe den bei dir vorhanden 017-Eintrag.

Nach dem Neustart löschst du deine alte Internetverbindung und legst eine neue an.

Das Log vom Rootkitrevealer wäre noch interessant.

Hallo Cronos,die 017er Einträge habe ich gefixt,sind aber nach dem Neustart wieder da!?

Hallo Ihr lieben IT-Experten,
auch ich habe das Problem!!!


@cronos

Habe Fixwareout geladen und nu kommts
Zum Schluss sagt mir das Programm

DLL Datei MSVBVM60.DLL
konnte nicht gefunden werden???

Und nu???? Wie kann ich das Problem lösen?
Danke schon mal jetzt für wertvolle Info u. Hilfe
LG Maja

@ Ursulaner

Ich vergaß zu erwähnen, dass du diese Einträge , wenn möglich im abgesicherten Modus fixen mußt.
Melde dich dann wieder, obs geklappt hat.

@ Majabel

Das einfachste fürs weitere Procedere:

Eigenen Thread erstellen.
Problem beschreiben und einen HJT-Log mitliefern.


Man verzeihe mir die fehlende Verlinkung - sitze aber jetzt am PC vom Schwiegervater habe gerade nicht alle Links zur Hand und auch überhaupt nicht die Muße sie zu ergoogeln, sprich : Ich bin zu faul!

guten morgen Cronos,
mit dem abgesicherten Modus summieren sich die Probleme,da kann ich überhaupt nicht's mehr machen weil da die Maus nicht reagiert.Fixe ich den
017er Eintrag,fliege ich kurz darauf aus dem Internet(Seite kann nicht angezeigt werden!)es ist zum Verzweifeln!

Hallo,
ich bin nicht Papst und von Glaskugeln halte ich nichts, mir fehlt immer noch ein Rootkit Revealer Log. Alle Deine Probleme resultieren imho aus einem gekaperten System, welches schon läänger neu aufgesetzt gehört.

Gruß

Schrulli

Hallo Ursulaner,

mit dem abgesicherten Modus summieren sich die Probleme,da kann ich überhaupt nicht's mehr machen weil da die Maus nicht reagiert.

Tja,Mäuse schubsen will auch gelernt sein...
Ernsthaft :
Im abgesicherten Modus werden nur die allernötigsten Dienste geladen.Deine Maus gehört nicht dazu.Das ist normal so.
Irrlicht
Nachsatz

ich bin nicht Papst

Nein du nicht....
Aber wie ich einer großen überregionalen Tageszeitung entnehmen konnte,
sind WIR Papst

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\INFECTED\44ce7207.qua 25.6.2006 13:21 10.15 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\INFECTED\44ce720c.qua 25.6.2006 13:22 10.15 KB Hidden from Windows API.
C:\Programme\Spamihilator\SPA71.tmp.log 31.10.1662 21:34 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\Spamihilator\SPA72.tmp.log 31.10.1662 21:34 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\Spamihilator\SPA83.tmp.log 25.6.2006 13:20 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\Spamihilator\SPA84.tmp.log 25.6.2006 13:20 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\Spamihilator\SPA91.tmp.log 25.6.2006 13:27 313 bytes Hidden from Windows API.
C:\Programme\Spamihilator\SPA92.tmp.log 25.6.2006 13:27 573 bytes Hidden from Windows API.
C:\Programme\Spamihilator\SPA93.tmp.log 25.6.2006 13:28 0 bytes Visible in directory index, but not Windows API or MFT.
C:\Programme\Spamihilator\SPA94.tmp.log 25.6.2006 13:28 0 bytes Visible in directory index, but not Windows API or MFT.
C:\System Volume Information\_restore{C7B70CAF-B613-4F02-BA8E-A65DA0B343B4}\RP34\A0007748.exe 6.5.2006 11:37 9.75 KB Visible in Windows API, but not in MFT or directory index.
C:\System Volume Information\_restore{C7B70CAF-B613-4F02-BA8E-A65DA0B343B4}\RP34\A0007752.exe 6.5.2006 11:37 9.75 KB Visible in Windows API, but not in MFT or directory index.
O.K.Schrulli,und nu' ?

Hallo,
ist nicht zu entdecken, erstaunlich eigentlich. Poste mal ein Log von Silentrunners.


Grüße Wildone

Hola Wildone,ich habe gemerkt dass beim,,Nüsseknacken''doch etliche auf der Strecke bleiben!schau'n wir maldanke!)"Silent Runners.vbs", revision 46, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"IncrediMail" = "C:\Programme\IncrediMail\bin\IncMail.exe /c" ["IncrediMail, Ltd."]
"MSMSGS" = ""C:\Programme\Messenger\msmsgs.exe" /background" [MS]
"Spamihilator" = ""C:\Programme\Spamihilator\spamihilator.exe"" ["Michel Krämer"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Share-to-Web Namespace Daemon" = "C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" ["Hewlett-Packard"]
"avgnt" = ""C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]
"HP Software Update" = "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe" [null data]
"HPDJ Taskbar Utility" = "C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe" ["HP"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Adobe PDF Reader Link Helper"
\InProcServer32\(Default) = "D:\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{640167b4-59b0-47a6-b335-a6b3c0695aea}" = "Portable Media Devices"
-> {HKLM...CLSID} = "Portable Media Devices"
\InProcServer32\(Default) = "C:\WINDOWS\System32\Audiodev.dll" [MS]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {HKLM...CLSID} = "Portable Media Devices Menu"
\InProcServer32\(Default) = "C:\WINDOWS\System32\Audiodev.dll" [MS]
"{21569614-B795-46b1-85F4-E737A8DC09AD}" = "Shell Search Band"
-> {HKLM...CLSID} = "Shell Search Band"
\InProcServer32\(Default) = "C:\WINDOWS\system32\browseui.dll" [MS]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {HKLM...CLSID} = "Outlook-Dateisymbolerweiterung"
\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\Office\OLKFSTUB.DLL" [MS]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
"System" = (value not set)

HKLM\Software\Classes\Folder\shellex\ColumnHandlers\
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "D:\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
IMMenuShellExt\(Default) = "{F8984111-38B6-11D5-8725-0050DA2761C4}"
-> {HKLM...CLSID} = "IMMenuShellExt Class"
\InProcServer32\(Default) = "C:\Programme\IncrediMail\bin\IMShExt.dll" ["IncrediMail, Ltd."]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["H+BEDV Datentechnik GmbH"]


Default executables:
--------------------

HKLM\Software\Classes\.hta\ = (key not found)
INFECTION WARNING! HKLM\Software\Classes\htafile\shell\open\command\(Default) = "mshta.exe "%1" %*" [MS]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Dokumente und Einstellungen\sabi\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\system32\ssmyst.scr" [MS]


Startup items in "sabi" & "All Users" startup folders:
------------------------------------------------------

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
"Adobe Reader - Schnellstart" -> shortcut to: "D:\Adobe\Acrobat 7.0\Reader\reader_sl.exe" ["Adobe Systems Incorporated"]
"Consola KIT ADSL" -> shortcut to: "C:\Programme\Telefonica\Kit ADSL USB\DSLMON.exe" [empty string]
"Microsoft Office" -> shortcut to: "C:\Programme\Microsoft Office\Office\OSA9.EXE -b -l" [MS]


Enabled Scheduled Tasks:
------------------------

"1-Klick-Wartung" -> launches: "C:\Programme\TuneUp Utilities 2006\SystemOptimizer.exe /schedulestart" [file not found]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 13
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

AntiVir PersonalEdition Classic Guard, AntiVirService, "C:\Programme\AntiVir PersonalEdition Classic\avguard.exe" ["AVIRA GmbH"]
AntiVir PersonalEdition Classic Planer, AntiVirScheduler, "C:\Programme\AntiVir PersonalEdition Classic\sched.exe" ["Avira GmbH"]


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\
hpzsnt08\Driver = "hpzsnt08.dll" ["HP"]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the -supp parameter or answer "No" at the first message box.
---------- (total run time: 37 seconds, including 12 seconds for message boxes)