Hallo,

ich habe folhgendes problem:

Mein Laptop war bis vor kurzem total verseucht mit irgendwelchen Pferden...hab so ziemlich alles in den Griff bekommen... nur das Programm ewido anti-spyware zeigt mir immer die Warnung an:

MALWARE GEFUNDEN
verdächtige Datei ...

ADWARE.VIRTUMONDE
C:\WINDOWS\system32\xxyaxvt.dll

Hab hier im Boadr schon einiges über ADWARE.VIRTUMONDE gefunden... hat aber irgendwie nichts geholfen...oder ich bin einfach zu doof... kann mir jemand helfen??? WÄRE ECHT SUPER, bin am Verzweifeln...

Logfile of HijackThis v1.99.1
Scan saved at 09:13:44, on 14.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Adobe\Adobe Version Cue CS2\bin\VersionCueCS2.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\system32\slserv.exe
C:\Programme\Adobe\Adobe Version Cue CS2\data\database\bin\mysqld-nt.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe
C:\Programme\TGTSoft\StyleXP\StyleXP.exe
C:\Programme\Common Files\??curity\w?wexec.exe
C:\DOKUME~1\Patrick\EIGENE~1\FNTS~1\chkntfs.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Patrick\Desktop\HijackThis.exe

R3 - URLSearchHook: (no name) - {6FC341C0-F456-F5F5-0E91-F04A30DFF4CC} - C:\WINDOWS\system32\mrxmoxfc.dll (file missing)
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\xxyaxvt.dll
O2 - BHO: (no name) - {6FC341C0-F456-F5F5-0E91-F04A30DFF4CC} - C:\WINDOWS\system32\mrxmoxfc.dll (file missing)
O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - C:\WINDOWS\system32\ixt0.dll (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: XBTBPos00 - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [Adobe Version Cue CS2] "C:\Programme\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Programme\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [Tholdihq] C:\Programme\Common Files\??curity\w?wexec.exe
O4 - HKCU\..\Run: [Lnbu] "C:\DOKUME~1\Patrick\EIGENE~1\FNTS~1\chkntfs.exe" -vt yax
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1139513702176
O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} (YazzleActiveX Control) - http://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123
O17 - HKLM\System\CCS\Services\Tcpip\..\{832050C1-5D0D-470A-8A8D-3AB0C6686B1B}: NameServer = 192.168.0.253
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\regsvr32.dll
O20 - Winlogon Notify: windrx32 - C:\WINDOWS\SYSTEM32\windrx32.dll
O20 - Winlogon Notify: xxyaxvt - C:\WINDOWS\SYSTEM32\xxyaxvt.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Version Cue CS2 - Unknown owner - C:\Programme\Adobe\Adobe Version Cue CS2\bin\VersionCueCS2.exe" -win32service (file missing)
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

Hallo Backs,

bevor wir hier loslegen können sollten wir als erstes Wissen mit was wir es hier zu tun haben.
Lass daher folgende Dateien bei Virustotal auswerten:

C:\WINDOWS\SYSTEM32\windrx32.dll
C:\WINDOWS\SYSTEM32\xxyaxvt.dll
C:\WINDOWS\system32\regsvr32.dll

Poste anschliessend das Ergebnis von allen 3 Dateien!
(das ganze deutet zusätzlich noch auf den Swizzor hin!)

Gruß
Daniel

hey super und danke für die hilfe!!!

alsooo:
------------------------------------------------
windrx32.dll:

Antivirus Version Update Result
AntiVir 6.35.0.21 07.15.2006 TR/PCK.Klone.G.14
Authentium 4.93.8 07.14.2006 no virus found
Avast 4.7.844.0 07.14.2006 no virus found
AVG 386 07.14.2006 no virus found
BitDefender 7.2 07.16.2006 no virus found
CAT-QuickHeal 8.00 07.13.2006 no virus found
ClamAV devel-20060426 07.15.2006 no virus found
DrWeb 4.33 07.16.2006 no virus found
eTrust-InoculateIT 23.72.69 07.14.2006 no virus found
eTrust-Vet 12.6.2297 07.14.2006 no virus found
Ewido 4.0 07.16.2006 no virus found
Fortinet 2.77.0.0 07.16.2006 W32/Klone.G
F-Prot 3.16f 07.14.2006 no virus found
F-Prot4 4.2.1.29 07.14.2006 no virus found
Ikarus 0.2.65.0 07.14.2006 no virus found
Kaspersky 4.0.2.24 07.16.2006 Packed.Win32.Klone.g
McAfee 4807 07.14.2006 no virus found
Microsoft 1.1508 07.16.2006 no virus found
NOD32v2 1.1663 07.16.2006 no virus found
Norman 5.90.23 07.14.2006 no virus found
Panda 9.0.0.4 07.15.2006 Adware/SuperSpider
Sophos 4.07.0 07.16.2006 Troj/Nebuler-C
Symantec 8.0 07.16.2006 Trojan Horse
TheHacker 5.9.8.176 07.15.2006 no virus found
UNA 1.83 07.14.2006 no virus found
VBA32 3.11.0 07.15.2006 no virus found
VirusBuster 4.3.7:9 07.15.2006 no virus found

Aditional Information
File size: 18432 bytes
MD5: d89f684bdee3fe0369d5865042afb1df
SHA1: 23185a456c85becc5967b1c3470d1e11b69f463c
packers: PecBundle, PECompact
------------------------------------------------

xxyaxvt.dll:

Antivirus Version Update Result
AntiVir 6.35.0.21 07.15.2006 ADSPY/Virtumonde.B
Authentium 4.93.8 07.14.2006 no virus found
Avast 4.7.844.0 07.14.2006 no virus found
AVG 386 07.14.2006 Adware Generic.OWI
BitDefender 7.2 07.16.2006 no virus found
CAT-QuickHeal 8.00 07.13.2006 no virus found
ClamAV devel-20060426 07.15.2006 no virus found
DrWeb 4.33 07.16.2006 Trojan.Virtumod
eTrust-InoculateIT 23.72.69 07.14.2006 Win32/Vundo.BK!Trojan
eTrust-Vet 12.6.2297 07.14.2006 Win32/Vundo
Ewido 4.0 07.16.2006 Adware.Virtumonde
Fortinet 2.77.0.0 07.16.2006 Adware/Virtumonde
F-Prot 3.16f 07.14.2006 no virus found
F-Prot4 4.2.1.29 07.14.2006 no virus found
Ikarus 0.2.65.0 07.14.2006 no virus found
Kaspersky 4.0.2.24 07.16.2006 not-a-virus:AdWare.Win32.Virtumonde.cd
McAfee 4807 07.14.2006 Vundo
Microsoft 1.1508 07.16.2006 no virus found
NOD32v2 1.1663 07.16.2006 no virus found
Norman 5.90.23 07.14.2006 W32/Virtumonde.JY
Panda 9.0.0.4 07.16.2006 Spyware/Virtumonde
Sophos 4.07.0 07.16.2006 no virus found
Symantec 8.0 07.16.2006 Downloader
TheHacker 5.9.8.176 07.15.2006 Adware/Virtumonde.cd
UNA 1.83 07.14.2006 Adware.Virtumonde
VBA32 3.11.0 07.15.2006 AdWare.Win32.Virtumonde.cd
VirusBuster 4.3.7:9 07.15.2006 no virus found

Aditional Information
File size: 39437 bytes
MD5: 02494be3dce8c6c49c34437d606b6bda
SHA1: 47e4c7b745e1a4c81fc21e84b7173b069ff86e53
packers: embedded
------------------------------------------------


regsvr32.exe:



Antivirus Version Update Result
AntiVir 6.35.0.21 07.15.2006 no virus found
Authentium 4.93.8 07.14.2006 no virus found
Avast 4.7.844.0 07.14.2006 no virus found
AVG 386 07.14.2006 no virus found
BitDefender 7.2 07.16.2006 no virus found
CAT-QuickHeal 8.00 07.13.2006 no virus found
ClamAV devel-20060426 07.15.2006 no virus found
DrWeb 4.33 07.16.2006 no virus found
eTrust-InoculateIT 23.72.69 07.14.2006 no virus found
eTrust-Vet 12.6.2297 07.14.2006 no virus found
Ewido 4.0 07.16.2006 no virus found
Fortinet 2.77.0.0 07.16.2006 no virus found
F-Prot 3.16f 07.14.2006 no virus found
F-Prot4 4.2.1.29 07.14.2006 no virus found
Ikarus 0.2.65.0 07.14.2006 no virus found
Kaspersky 4.0.2.24 07.16.2006 no virus found
McAfee 4807 07.14.2006 no virus found
Microsoft 1.1508 07.16.2006 no virus found
NOD32v2 1.1663 07.16.2006 no virus found
Norman 5.90.23 07.14.2006 no virus found
Panda 9.0.0.4 07.16.2006 no virus found
Sophos 4.07.0 07.16.2006 no virus found
Symantec 8.0 07.16.2006 no virus found
TheHacker 5.9.8.176 07.15.2006 no virus found
UNA 1.83 07.14.2006 no virus found
VBA32 3.11.0 07.15.2006 no virus found
VirusBuster 4.3.7:9 07.15.2006 no virus found

Aditional Information
File size: 12288 bytes
MD5: 11c0120338810ae234280bdc5649b498
SHA1: b2b5e9ce96223d0febb5212dbae04e17fd6aa2b1

sodele...ich hoff ich habs richtig gemacht


gruß Backs

uii n virtumonde virus schlag das mal bei sophos nach ich muss selber nochmal gucken scheint aber bei allen dateien die infiziert sind bei dir ein hartnäckiger virus zu sein

Hi,

also sophos erklärt zwar wie man das ding wegbekommt, aber nur in verbindung mit deren software die natürlich nicht kostenlos ist... das ist mir zu unsicher, da andere programme das auch versprechen...

also entweder bekomm ich ihn so los, oder ich mach die platte platt...

das 2. ehr ungern ...

IST ES MÖGLICH DAS SING SO WEGZUBEKOMMEN???

gruß Backs

es gibt removaltools für deine funde

achso...

da ist das für virtumonde:
http://securityresponse.symantec.com...r/FxVMonde.exe

aber wenn ewido alles erkennt...scan doch im abgesicherten modus und entferne den unrat!
vorher natürlich temporär aufräumen das sich da ncihts in den tempordnern bverheddert hat, was dir nach dem pc start wieder anläuft!

viel erfolg!