Hallo!
Ich hab mir offensichtlich irgendwie ein Rudel Trojaner eingefangen, die mein AntiVir mir dauernd meldet.
Im einzelnen meldet AntiVir das Vorhandensein von:
TR/PUPER.BX
TR/Drop.Small.XL
TR/Small.GQ.4
TR/Dldr.Small.buy
TR/Click.526
TR/Dldr.DNSChan.R.5
Hab mich kurz in diesem Forum umgesehen und ein HJT-Protokoll angefertigt.
Könnt Ihr mir weiterhelfen? Ich hab doch von sowas null Ahnung.
Hier das HJT-Protokoll:
Logfile of HijackThis v1.99.1
Scan saved at 17:44:27, on 18.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\D-Link AirPlus\AIRPLUS.EXE
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\HP\Digital Imaging\bin\hpqgalry.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\Temporäres Verzeichnis 2 für hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\system32\{4D093EB5-8A6C-4BF7-8F6E-D836297668F4}.dll (file missing)
O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\system32\{4D093EB5-8A6C-4BF7-8F6E-D836297668F4}.dll (file missing)
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [hqgcr.exe] C:\WINDOWS\system32\hqgcr.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O4 - Global Startup: D-Link AirPlus Utility.lnk = ?
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1126543862963
O17 - HKLM\System\CCS\Services\Tcpip\..\{10A89568-CE41-4B78-A602-73E5DB96C243}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{74B410AF-041C-4B54-9BEF-133D32610F22}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{9B750F8A-C084-49AA-B88D-19E8F53C07FF}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{D899C9F6-B913-4512-B96E-43C71E9FA5ED}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{EACEE023-31AC-40F7-83D8-6183B61BDA15}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.194 85.255.112.98
O17 - HKLM\System\CS1\Services\Tcpip\..\{10A89568-CE41-4B78-A602-73E5DB96C243}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.194 85.255.112.98
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Ich steck mitten in meiner Diplomarbeit und brauch den Rechner. Hab gerade festgestellt, dass einer der Trojaner meinen desktop verunglimpft hat. Wie werd ich den Mist schnell los?

Danke im Voraus für Eure Hilfe!

MfG, Dog

Zitat von Reservoir_Dog

Ich hab mir offensichtlich irgendwie ein Rudel Trojaner eingefangen, die mein AntiVir mir dauernd meldet.

Hallo,

wie schafft man das eigentlich immer wieder?
Vor allem gleich so eine Menge? Das sieht ganz nach einem Besuch auf diversen Crack-Seiten aus...

TR/Dldr.DNSChan.R.5

Relevante Einträge sind diese:

O4 - HKLM\..\Run: [hqgcr.exe] C:\WINDOWS\system32\hqgcr.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{10A89568-CE41-4B78-A602-73E5DB96C243}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{74B410AF-041C-4B54-9BEF-133D32610F22}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{9B750F8A-C084-49AA-B88D-19E8F53C07FF}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{D899C9F6-B913-4512-B96E-43C71E9FA5ED}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\..\{EACEE023-31AC-40F7-83D8-6183B61BDA15}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.194 85.255.112.98
O17 - HKLM\System\CS1\Services\Tcpip\..\{10A89568-CE41-4B78-A602-73E5DB96C243}: NameServer = 85.255.113.194,85.255.112.98
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.194 85.255.112.98

85.255.113.194 = Umleitung auf einen Server in der Ukraine

In diesem Falle hilft leider nur eine Neuinstallation.
Es gibt keine andere Möglichkeit das System zu bereinigen.

Wirklich nicht!

Sorry,
Daniel

also muss ich den rechner plattmachen?
vorher noch irgendwas bereinigen?

ich kenn mich echt nicht aus und wie ich an den mist komme weiß ich auch nicht. hab was für die diplomarbeit gegoogelt, bin blindlings ein paar hits gefolgt und dann hab ich nur noch ne menge popups gesehen.

wie auch immer... bekomm ich ne anleitung, wie's weitergeht? denn ich weiß auch nicht, wie ich den rechner bereinigen muss.

Du arme Sau

Ich habe wenig Ahnung, aber wie Sunny schon meint, das sieht echt mies aus!

Aber wer Viren "macht" der ist echt ein kluges Ar***loc*!

mfg

Stefan

Zitat von Reservoir_Dog

also muss ich den rechner plattmachen?

Ja, musst du!

vorher noch irgendwas bereinigen?

Bereinigen nicht, aber vielleicht deine Daten sichern (z.B. brennen!)
Aber keine ausführbaren Dateien bzw Programme, diese könnten auch infiziert sein! D.h. nur Dokumente, Mp3´s, Videos usw.

bin blindlings ein paar hits gefolgt und dann hab ich nur noch ne menge popups gesehen.

Das wäre ein Grund dein Surfverhalten zu überdenken, das ist das Problem von vielen Leuten! Einfach "blindings" klicken und nicht dabei zu überlegen

bekomm ich ne anleitung, wie's weitergeht?

Aber sicher doch .. Neuinstallation
druck sie dir am besten aus, und beachte vor allem nach der Neuinstallation das Thema Absicherung! Dann passiert dir soetwas vielleicht (unter Umständen) nicht wieder

Gruß
Daniel

Zitat von Holzmichel_Hanz

Aber wer Viren "macht" der ist echt ein kluges Ar***loc*!

FALSCH!

Ein dummes Ar***loch!

Sorge für dich bzw. dein System mit Updates und Service Packs, sowie Brain 1.0, keine Antivirensoftware, keine Firewall wird dich schützen, wenn du nicht selbst anfängst zu DENKEN!

Gruß
Daniel

heißt neuinstallation, dass der alte kram von allein über den jordan geht, oder muss ich noch die festplatte formatieren o.ä:?

oder muss ich noch die festplatte formatieren o.ä:?

Lies dir den Link von mir nochmal ganz genau durch!!!
Sobald du die Festplatte entpartitionierst (mit Hilfe der Windows Installations CD!), ist alles weg .... wirklich alles.
Danach formatiert Windows eine oder mehrere Partitionen, so wie du willst!

(ich empfehle dir mindestens 2 Partitionen, eine wo dein Betriebssystem drauf kommt, und eine für Programme, MP3 usw.)


Gruß
Daniel

danke für eure schnelle hilfe!

hab den rechner bis nachts noch wieder einsatzfähig gekriegt und konnte am nächsten morgen beruhigt weiter an der diplomarbeit schreiben.

herzlichen dank vor allem an dich [gc]sunny!

mfg, Dog