Hallo,

ich habe ein relatives grosses Problem und weiss nicht wie ich es lösen soll. Es begann damit, dass die spybotsd.exe Datei auf einmal unauffindbar war auf meinem Computer. Also habe ich das Proggi neu installiert -> spybotsd.exe fehlt wieder. Alles desinstalliert, neu herunter geladen, installiert -> keine spybotsd.exe. Antivirus Programm wollte ich wechseln, habe also für einige Tage keine diesbezügliche Software. Trotzdem hatte ich mir aus dem Netz PC TOOLS ANTIVIRUS heruntergeladen um mal zu prüfen ob vielleicht irgendwas vorliegt. Ich installiere also das Programm. Oh Wunder, die Startdatei fehlt auch hier, ebenfalls eine .exe Datei. Das kann doch kein Zufall sein. Hab ich mir das irgendwas eingefangen oder wo kann das Problem liegen. Ich bin leider hilflos.

Poste ein komplettes Hijackthis-Logfile.

Logfile of HijackThis v1.99.1
Scan saved at 12:56:40, on 12.02.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\PC Tools\PCTAVSvc.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\user\Local Settings\Temp\wz4afb\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.lu/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [PCTAVApp] "C:\Program Files\PC Tools\PCTAV.exe" /MONITORSCAN
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\pc tools\lsp\pctlsp.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1140460193531
O17 - HKLM\System\CCS\Services\Tcpip\..\{E77D189D-0F51-43FB-8750-6BFA02CE80F0}: NameServer = 194.154.192.101 194.154.192.102
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: PC Tools AntiVirus Engine (PCTAVSvc) - PC Tools Research Pty Ltd - C:\Program Files\PC Tools\PCTAVSvc.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

Danke im voraus !!!

Laufen da wirklich nur 15 Prozesse?
Mach doch mal bitte einen Check mit Blacklight und poste das Ergebnis.

Ich denke schon, kenne mich nicht besonders gut mit HijackThis usw. aus.

Hier mal das Log von Blacklight :

02/13/07 11:47:13 [Info]: BlackLight Engine 1.0.55 initialized
02/13/07 11:47:13 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/13/07 11:47:13 [Note]: 7019 4
02/13/07 11:47:13 [Note]: 7005 0
02/13/07 11:47:22 [Note]: 7006 0
02/13/07 11:47:22 [Note]: 7011 428
02/13/07 11:47:22 [Note]: 7026 0
02/13/07 11:47:22 [Note]: 7026 0
02/13/07 11:47:32 [Note]: FSRAW library version 1.7.1021
02/13/07 11:47:34 [Info]: Hidden file: c:\Documents and Settings\user\Application Data\hidires\hidr.exe
02/13/07 11:47:34 [Note]: 10002 2
02/13/07 11:47:34 [Info]: Hidden file: c:\Documents and Settings\user\Application Data\hidires\m_hook.sys
02/13/07 11:47:34 [Note]: 10002 2
02/13/07 11:47:34 [Note]: 10002 3
02/13/07 11:47:34 [Note]: 10002 3
02/13/07 11:47:34 [Note]: 10002 2
02/13/07 11:47:34 [Note]: 10002 2
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\empty.txt
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\filters.xml
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\news.png
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\paint.png
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\profiles\blank.txt
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample1.jpg
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample2.jpg
02/13/07 11:48:49 [Note]: 10002 3
02/13/07 11:48:49 [Note]: 10002 2
02/13/07 11:48:49 [Note]: 10002 2
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepaden.hlp
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepadsm.dll
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepadsv.exe
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\imlang.dll
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\PADRS404.DLL
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs411.dll
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs412.dll
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs804.dll
02/13/07 11:51:13 [Note]: 10002 3
02/13/07 11:51:13 [Note]: 10002 2
02/13/07 11:51:13 [Note]: 10002 2
02/13/07 11:54:16 [Note]: 7007 0

Halloele.

Das ja schon komisch hier...

@cosinus was haeltst du von dem hier

C:\Program Files\PC Tools\PCTAVSvc.exe

in Kombination mit allen O10 Eintraegen kommt mir das schon sehr spanisch vor.

Iykanthropos scan diese datei
C:\Program Files\PC Tools\PCTAVSvc.exe
doch bitte mal auf VIRUSTOTAL - Free Online Virus and Malware Scan
und poste das logfile mit ALLEN Angaben

Dann saug dir doch schon mal LSPfix LSPFix - repairs Winsock 2 settings download, reviewed and rated from Spychecker.com - ABER noch NICHT BENUTZEN !
Hab nur so 'ne Ahnung das du es brauchen wirst
Sollten diese Eintraege boese sein bringt es naemlich nichts sie zu fixen.

Da kein virenscanner mehr funzt lass doch f-secure selbst mal drueber schauen und poste auch hier das komplette logfile.

F-Secure Support-Seiten: F-Secure Online-Virenscanner

Bis bald

C:\Program Files\PC Tools\PCTAVSvc.exe

sollte normalerweise PCTAV.EXE heissen. Aber sobald die Software (übrigens handelt es sich hierbei um ein Freeware Antivirus Programm, mit dem ich den Computer mal checken wollte) installiert ist, entsteht zwar der Link auf dem Desktop aber ohne das Programm Logo. Und wenn ich es anklicke, findet der PC die Startdatei nicht (PCTAV.EXE). Die PCTAVSvc.EXE ist die einzige Datei auf dem PC die so ähnlich heisst. Mir kommt es vor als wenn irgend ein Programm die Ausführungsdateien von Antivirussoftware sofort bei deren Installation umbeneennt, beschädigt oder was auch immer.

Ich werde eure Tipps aber mal befolgen. Danke.

O.K. gut, jetzt kann ich damit auch was anfangen.

Dann sieht dein log fuer mich soweit sauber aus. Was aber bei deinen Problemen umso schlimmer ist. Bei den O10 Eintraegen warte bitte ab was cosinus sagt. Bin mir nicht 100%tig sicher; und das sollte man sein bevor man LSPfix benutzt.

Lass also mal f-secure drueber gucken -> lofgile posten.

Und dann das hier: MicroWorld - Produkt-Downloadcenter
ganz unten auf der Seite findest du MWAVE.
das ist ein freesoft Tool von eScan welches keine Installation benoetigt. Zieh dir MWAVE bitte direkt auf einen USB Stick und starte es von dort aus. Ich hoffe dein kleiner Kukuk ist nicht allzu intelligent.
Hier im Forum unter Anleitungen findest du eine Anleitung zu eScan. Bitte liess dir diese gruendlich durch sonst geht das logfile in die Hose.
Poste dann auch das eScan log und dann werden wir mal sehen.

Viel Erfolg Undoreal

Hallo,
du hast den hier im System :http://www.sophos.de/security/analyses/w32baglekj.html
Damit kommst du um ein Neuaufsetzen nicht rum !
Suche dir bei §Anleitungen ,FAQ,Links" den Thread "Neuaufsetzen des systems und die anschließende Absicherung"

@undoreal
Schau mal in dem Link den Reiter erweitert an und vergleiche die aufgeführten Prozesse mit denen im Log von Blacklight :"Documents und Settings"
Irrlicht

Das mit f-secure klappt nicht. Ich hab's 5 mal versucht und es scheitert immer am Updaten der Virus Definitionen. Also irgendwas klappt bei mir wirklich gar nicht mehr.

Dafür ging es mit dem Online scanner von Bitdefender. Komischerweise konnten auch hier lediglich die etwas älteren Definitionen gefunden werden und die neuen nicht...

Liest du eigentlich was man dir schreibt ?
Folge doch mal dem Link den ich dir postete !!
Irrlicht

Zitat von irrlicht

Liest du eigentlich was man dir schreibt ?
Folge doch mal dem Link den ich dir postete !!
Irrlicht

Sachte sachte, bin ja dabei. Ich hab doch bloss undoreal geantwortet.

@ undoreal

PCTAVSvc.exe hab ich scannen lassen. Alles ok damit.

MWAV hab ich von einer 2. Festplatte gestartet, da ich keinen USB Stick zur Hand hatte. Hat trotzdem geklappt. MWAV hat 8 Viren gefunden und alles beseitigt. Aber die Logfile war RIESENGROSS (7,6 MB). Die kann ich schlecht posten. Da stand jede einzelne Datei drin die gescannt wurde.

Aber nichts desto trotz, als ich SPYBOT installieren wollte, das gleiche Problem wie vorher -> die Startdatei vom Programm fehlt sofort nach der Installation. MWAV findet aber nichts mehr.

Schau mal in dem Link den Reiter erweitert an und vergleiche die aufgeführten Prozesse mit denen im Log von Blacklight :"Documents und Settings"
Irrlicht

Sollte sich lykanthropos auch ansehen.

W32/Bagle-KJ löscht die folgenden Registrierungseinträge, wodurch die Konfiguration des Starts im abgesicherten Modus beeinträchtigt wird:

Und das ist ja richtig fies.

@lykanthropos

PCTAVSvc.exe hab ich scannen lassen. Alles ok damit.

MWAV hab ich von einer 2. Festplatte gestartet, da ich keinen USB Stick zur Hand hatte. Hat trotzdem geklappt. MWAV hat 8 Viren gefunden und alles beseitigt. Aber die Logfile war RIESENGROSS (7,6 MB). Die kann ich schlecht posten. Da stand jede einzelne Datei drin die gescannt wurde.

Aber nichts desto trotz, als ich SPYBOT installieren wollte, das gleiche Problem wie vorher -> die Startdatei vom Programm fehlt sofort nach der Installation. MWAV findet aber nichts mehr.

Das ist jetzt völlig Wurst. Da kannst Du nur noch machen, was irrlicht Dir sagte.
Und lies Dir die Beschreibung bei Sophos wirklich mal durch!
Alleine unter "Erweitert" wirst Du verstehen, was bei Dir los ist,
und was Du falsch gemacht hast.
Eins hast Du aufjeden Fall gelernt - Du kannst Dich nicht auf (Sicherheits-)Programme verlassen. Nicht, weil diese "Mist" sind. Du hast den E-Mail-Anhang geöffnet.

Sorry, aber ihr versteh gleich nur noch Bahnhof. IHR kennt euch vielleicht bestens mit diesen Dingen aus, aber ICH bin nicht so der Profi darin. Anhand eurer diversen Vorschläge, weiss ich leider immer noch nicht wie ich das Problem lösen soll.

Ihr müsst schon verstehen, dass nicht jeder sich so gut auskennt wie ihr.