Hallo alle zusammen,

seit heute mittag (4.12) plagt mich eine ständig auftauchendeVirus bzw. Trojaner meldung.

Da ich mich ein wenig mit HijackThis und ähnlichem auskenne hab cih mein logfile schon überprüfen lassen, und alle kritischen dateien gelöscht.
Ebenso hab ich mein Ad-Aware und Antivir Virenscanner jeweils 2 mal laufen gelassen und siehe da:

Ad-Aware fand 128 kritische dateien (ja ich gebs zu ich hab shcon lange nichtmehr mein pc gescannt)
Antivir fang nur (!) 8 kritische dateien.

ich habe jedenfalls alle dateien gelöscht.
danach bin cih alles nochmal schritt für schritt mit einem freund von mir durchgegangen, doch wir bzw. er had nichts gefunden.

Hier sind die Screenshots die ich von dem "?" (programm, virenwarnhinweis?) gemacht habe:

h**p://img230.imageshack.us/img230/6444/unbenanntci7.jpg

h**p://img64.imageshack.us/img64/6947/unbenannt2ul1.jpg

h**p://img64.imageshack.us/img64/7771/unbenannt3jm6.jpg

wenn mann dann auf das ausrufezeichen unten geklickt hat, wird man zur folgenden seite verlinkt:

h**p://www.antivermins.com/?aff=11018

und ein popupfenster mit pornografischer werbung^^

nun meine eigentlichen fragen:

1. weiß jemand von euch wie man dieses dings wegbekommt?
2. Muss man das ernst nehmen also diese Viren/trojaner warnmeldung?
3. ist es wirklich erforderlich diese viren software runterzuladen?

Ich wär euch überaus dankbar wenn mir jemand helfen könnte!

greetz matze

Hi,
es wäre schön, wenn du uns nen HJT-Log von vor deiner Bereinigung und die Logfiles von ad-aware und Antivir hier reinstellen könntest.
Bzw uns die gefixten Beiträge und die Namen der Übeltäter nennen könntest.
Ein aktuelles HJT-Logfile wäre mit Sicherheit auch nicht schlecht.

Es gibt zwar nicht sooo viele Schadprogramme die sich als Virenschutzprogramme, aber doch zuviele als das ich diese Meldung jetzt sofort erkennen würde und den Trojaner/die Schadprogramme identifizieren könnte.

Das Ad-aware soviel findet ist übrigens fast normal, da es Cookies als kritische Dateien einstuft. Falls du dir des mal veranschaulichen willst, kannste ja einmal scannen, die Cookies löschen und nochmal scannen. Schon sind die 100+ Bedrohungen verschwunden.
Lg myrtille

Logfile of HijackThis v1.99.1
Scan saved at 14:00:08, on 05.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\CyberLink\PowerCinema\Kernel\TV\CLCap Svc.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\msco rsvw.exe
C:\Programme\CyberLink\PowerCinema\Kernel\CLML_NTS ervice\CLMLServer.exe
C:\Programme\CyberLink\PowerCinema\Kernel\CLML_NTS ervice\CLMLService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Apps\Softex\OmniPass\Omniserv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\UAService7.exe
C:\Programme\CyberLink\PowerCinema\Kernel\TV\CLSch ed.exe
C:\Apps\Softex\OmniPass\OPXPApp.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Video ActiveX Object\isamonitor.exe
C:\Programme\Video ActiveX Object\pmsngr.exe
C:\Programme\Video ActiveX Object\isamini.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Apps\Softex\OmniPass\scureapp.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
C:\Programme\CyberLink\PowerCinema\PCMService.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\MessengerPlus! 3\MsgPlus.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\twain_32\SiPix\SCDeluxe\DELUXECC.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
C:\Programme\Mozilla Firefox\firefox.exe
D:\Dokumente und Einstellungen\Far Cry\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = ICQ.com Search Results
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Google
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = Spieletipps.de Cheats und Tipps für über 13.000 Spiele
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Programme\Video ActiveX Object\isaddon.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Programme\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [OmniPass] C:\Apps\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\CyberLink\PowerCinema\PCMService.exe "
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [DELUXECC] C:\WINDOWS\twain_32\SiPix\SCDeluxe\DELUXECC.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_09\bin\jusched.exe "
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office\Office\1031\OLFSNT40.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) – h**p://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) – h**p://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) – h**p://messenger.zone.msn.com/binary...o.cab32846.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: MsgPlusLoader.dll
O20 - Winlogon Notify: OPXPGina - C:\Apps\Softex\OmniPass\opxpgina.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: flammei - {9d635a36-6b3c-4146-8625-f3aaf507bbf8} - C:\WINDOWS\system32\vcehaeb.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\CyberLink\PowerCinema\Kernel\TV\CLCap Svc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\CyberLink\PowerCinema\Kernel\TV\CLSch ed.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\CyberLink\PowerCinema\Kernel\CLML_NTS ervice\CLMLServer.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Apps\Softex\OmniPass\Omniserv.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe



ok das iss jetzt mein logfile, hab cih zwar erst heute erstellt aber vielleicht findet ihr ja etwas.

@myrtille: danke schonmal ja dass mit den cookies hab cih erst später bemerkt.

hier ist ein bild von dem angeblichen trojaner:

h**p://img216.imageshack.us/img216/9173/unbenannt4bl6.jpg

Hi,
also ich sehe noch Überbleibsel von diesem Video ActiveX Object, deinstalliere, sofern noch vorhanden, das Programm über ->
Start -> Einstellungen -> Systemsteuerung -> Software

Wenn das nicht reicht, dann benutze bitte Smitfraufix.
Fixe anschließen diesen Eintrag in HJT:

R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Programme\Video ActiveX Object\isaddon.dll

Und lösche den Video active....-ordner noch manuell.
Das dürfte es für den Bösewicht dann gewesen sein.
Poste anschließend ein neues HJT.Logfile und mach mal einen escan
, da ich nicht glaube, dass dein Problem dadurch behoben wird.
Wäre natürlich schön wenn ich mich irre.

lg myrtille

SmitFraudFix v2.128

Scan done at 17:24:54,25, 05.12.2006
Run from D:\Dokumente und Einstellungen\Far Cry\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» D:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\vcehaeb.dll FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» D:\Dokumente und Einstellungen\Far Cry


»»»»»»»»»»»»»»»»»»»»»»»» D:\Dokumente und Einstellungen\Far Cry\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu

D:\DOKUME~1\ALLUSE~1\STARTM~1\Online Security Guide.url FOUND !
D:\DOKUME~1\ALLUSE~1\STARTM~1\Security Troubleshooting.url FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» D:\DOKUME~1\FARCRY~1\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme

C:\Programme\Video ActiveX Object\ FOUND !
C:\Programme\Virus-Bursters\ FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{9d635a36-6b3c-4146-8625-f3aaf507bbf8}"="flammei"

[HKEY_CLASSES_ROOT\CLSID\{9d635a36-6b3c-4146-8625-f3aaf507bbf8}\InProcServer32]
@="C:\WINDOWS\system32\vcehaeb.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{9d635a36-6b3c-4146-8625-f3aaf507bbf8}\InProcServer32]
@="C:\WINDOWS\system32\vcehaeb.dll"



»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="MsgPlusLoader.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32


»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End


Ok, dass ist mein SF logfile.
Habe die datei active blabla.. in software gelöscht.
Habe dann per HJT folgendes gelöscht:
"R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)"

Doch bei:
"O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Programme\Video ActiveX Object\isaddon.dll"
gabs einige probleme, diese datei lässt sich anscheinend nicht löschen.

habs mehrmals versucht aber dann kommt immer diese seltsame meldung:

h**p://img223.imageshack.us/img223/9909/unbenannt5dv5.jpg

Danach hab ich eben wie auf dem bild beschrieben, alle Explorer fenster und Firefox fenster geschlossen, doch es hat nicht geklappt.
was kann ich tun dass ich die datei doch löschen kann?

ein Escan mache ich noch im laufe des tages. danke

Hi,
irgendwie scheint das mit Smitfraud nicht so recht geklappt zu haben.
Mein Fehler: wähle die Option 2 zum säubern. Das die Files böse sind wussten wir ja schon EDIT: und nicht im abgesicherten Modus

Jetzt aber erstmal das abzuhandelnd neue Protokoll.
Ich denke ich habe dein Pseudo-Virenprogramm erkannt: Virusbursters

Also bitte auch den deinstallieren, bei der Gelegenheit kannste mal gucken ob da nicht noch mehr Unbekanntes rumschwirrt, dass deinstalliert werden kann.

Lade bitte auch die Datei

C:\WINDOWS\system32\vcehaeb.dll

bie virustotal hoch. Bin mir nicht sicher wozu die gehört.

Anschließend nochmal die Smitfraudfix Geschichte, diesmal eben mit Option 2.

Abschließend kannst du nochmal das fixen der Einträge probieren und die zu den Programmen gehörenden Ordner löschen, benutz killbox falls sich die Dateien nicht löschen lassen. (delete on reboot)

lg myrtille

ok hab die datei hochgeladen und dass hier ist dabei rausgekommen:

AntiVir 7.2.0.49 12.06.2006 HEUR/Malware
Authentium 4.93.8 12.05.2006 no virus found
Avast 4.7.892.0 12.06.2006 no virus found
AVG 386 12.06.2006 no virus found
BitDefender 7.2 12.06.2006 no virus found
CAT-QuickHeal 8.00 12.05.2006 no virus found
ClamAV devel-20060426 12.06.2006 no virus found
DrWeb 4.33 12.06.2006 no virus found
eSafe 7.0.14.0 12.06.2006 no virus found
eTrust-InoculateIT 23.73.78 12.06.2006 no virus found
eTrust-Vet 30.3.3234 12.06.2006 Win32/Spax!generic
Ewido 4.0 12.05.2006 no virus found
Fortinet 2.82.0.0 12.06.2006 no virus found
F-Prot 3.16f 12.05.2006 no virus found
F-Prot4 4.2.1.29 12.05.2006 no virus found
Ikarus T3.1.0.26 12.05.2006 no virus found
Kaspersky 4.0.2.24 12.06.2006 no virus found
McAfee 4911 12.05.2006 no virus found
Microsoft 1.1804 12.06.2006 no virus found
NOD32v2 1904 12.06.2006 Win32/TrojanDownloader.Zlob.AMJ
Norman 5.80.02 12.05.2006 no virus found
Panda 9.0.0.4 12.06.2006 Suspicious file
Prevx1 V2 12.06.2006 Generic.Zlob!DL
Sophos 4.12.0 12.06.2006 no virus found
Sunbelt 2.2.907.0 11.30.2006 no virus found
TheHacker 6.0.3.130 12.06.2006 no virus found
UNA 1.83 12.05.2006 no virus found
VBA32 3.11.1 12.05.2006 suspected of Downloader.Zlob.51 (paranoid heuristics)
VirusBuster 4.3.15:9 12.05.2006 no virus found

ja stimmt, habe vergessen zu erwähnen dass ich immer auf die virusbusters homepage verwießen werde. sorry

soll ich jetz via kill box den file C:\WINDOWS\system32\vcehaeb.dll löschen?

werde heute noch per Smitfraud den neuen Scan machen aber dann eben mit option 2.

habe ansonsten keine dateien gefunden die schädlich währen.

grüße matze