hey !
hab seit gestern abend folgendes Problem :
in der taskleiste blinkt blau / rot das schild mit einer System Alert warnung !
desweiteren aktiviert sich mein virusprotect pro 3.6 (wußte gar nich ,dass ich das habe )

nun virusprotectpro zeigt mit 13 viren/trojaner etc an.
hab mich schonmal ein wenig durchgelesen und poste euch meinen HijackThis log :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:28:02, on 12.08.2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Security Tools\iesmn.exe
C:\WINDOWS\Dit.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Security Tools\iesmin.exe
C:\WINDOWS\DitExp.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe
C:\Programme\VirusProtectPro 3.6\VirusProtectPro 3.6.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Martin\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {34E6F97C-34E0-4CE5-B92B-F83634BEDC01} - C:\Programme\Security Tools\iesplg.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VirusHeal 3.9] "C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe" /h
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKLM\..\Policies\Explorer\Run: [user32.dll] C:\Programme\Security Tools\iesmn.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday Control) - file://C:\Programme\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {AE2B937E-EA7D-4A8D-888C-B68D7F72A3C4} (IPSUploader4 Control) - h**p://as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader4.cab
O16 - DPF: {AE563720-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://C:\Programme\AutoCAD 2002\InstBanr.ocx
O16 - DPF: {C6637286-300D-11D4-AE0A-0010830243BD} (InstaFred) - file://C:\Programme\AutoCAD 2002\InstFred.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview Control) - file://C:\Programme\AutoCAD 2002\AcPreview.ocx
O22 - SharedTaskScheduler: heterostyly - {cd0e4a1a-dbc2-48f7-9a6a-a41cac20bddc} - C:\WINDOWS\System32\fqdqs.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

--
End of file - 4728 bytes


------------------------------------

ich hoffe ihr könnt damit mehr anfangen als ich bzw ich bin mir sicher dass ihr das könnt :-)

vielen dank im vorraus !

gruß martin

Hallo.

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Sorry, aber deinem System fehlen jegliche Updates! Da macht eine Bereiniung fast schon keinen Sinn mehr. Hast du eine direkte Verbindung zum Internet oder hängst du hinter einem Router?

C:\Programme\Security Tools\iesmn.exe
C:\Programme\Security Tools\iesmin.exe
C:\Programme\Security Tools\iesplg.dll
C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe
C:\Programme\VirusProtectPro 3.6\VirusProtectPro 3.6.exe
C:\WINDOWS\System32\fqdqs.dll

Versuch dennoch mal diese Dateien bei Virustotal auszuwerten, poste alle Ergebnisse.

ich bin hinter einem router
hab auch sonst keine probleme mit viren....
nur gestern irgendwas falsches gedownloaded

was meinst du denn mit bei virustotal auswerten ?
VirusTotal

wenn ja ...wo da ?


gruß martin

Virustotal => VirusTotal - Free Online Virus and Malware Scan
Kopiere dort den Dateipfad mit copy & paste rein und klick dann auf "senden der datei"

ich bin hinter einem router

Das ist ein deutlicher Sicherheitsgewinn, denn der Router hat dich vor Netzwerkwürmern geschützt - ein (unkonfiguriertes) Windows XP ohne SP2 fängt sich bei einer Direktverbindung zum Internet sehr schnell Netzwerkwürmer ein.

Sieh zu, dass das SP2 so schnell wie möglich raufkommt, aber erst wenn die Schädlingsdateien weg sind. Das folgt noch nachher....erstmal wollen wir wissen, welche Schädlinge das sind, ich tippe aber auf Zlob/Smitfraud. Hast du dir vor einiger Zeit einen angeblichen Codec installiert?

so ! hier die ergebnisse :

C:\Programme\Security Tools\iesmn.exe
Ergebnis:

-> Avast 4.7.1029.0 2007.08.12 Win32:Zlob-ABC
BitDefender 7.2 2007.08.12 Trojan.Downloader.Zlob.AFH
ClamAV 0.91 2007.08.12 Trojan.Zlob-117
Microsoft 1.2704 2007.08.12 TrojanDownloader:Win32/Zlob.gen!A
Panda 9.0.0.4 2007.08.12 Adware/VideoActiveXObject
Prevx1 V2 2007.08.12 Generic.Dropper.xCodec
Rising 19.35.62.00 2007.08.12 Trojan.DL.Win32.Zlob.cdc
Symantec 10 2007.08.12 Trojan.Zlob

weitere Informationen
File size: 29696 bytes
MD5: 13afc56e7288062864047da9f24652d8
SHA1: 1bbd840c2783c78b4b84b75cc3119a59e772bc43
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=B4FED3D600EEC7DA746400F9A93E5D002FAC033A

C:\Programme\Security Tools\iesmin.exe

-> Ergebnis

BitDefender 7.2 2007.08.12 Trojan.Downloader.Zlob.AFH
eSafe 7.0.15.0 2007.08.10 suspicious Trojan/Worm
Prevx1 V2 2007.08.12 Generic.Dropper.xCodec
Rising 19.35.62.00 2007.08.12 Trojan.DL.Win32.Zlob.cdc
Webwasher-Gateway 6.0.1 2007.08.12 Win32.ModifiedUPX.gen!90 (suspicious)

weitere Informationen
File size: 5632 bytes
MD5: a45694c6d0429d736e5fa50fdd660a5c
SHA1: 86b523e7ad710f6886cf63ecf1fc9e7f62016d54
packers: UPX
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=A4254F4C00C744061606000A9866F800ADE4F5D7


C:\Programme\Security Tools\iesplg.dll
---> Ergebnis

Avast 4.7.1029.0 2007.08.12 Win32:Zlob-ABC
BitDefender 7.2 2007.08.12 Trojan.Downloader.Zlob.BEF
CAT-QuickHeal 9.00 2007.08.11 Trojan.Zlob.gen
ClamAV 0.91 2007.08.12 Trojan.Zlob-117
Panda 9.0.0.4 2007.08.12 Adware/VideoActiveXObject
Prevx1 V2 2007.08.12 Generic.Dropper.xCodec
Rising 19.35.62.00 2007.08.12 Trojan.DL.Win32.Zlob.cdc
Symantec 10 2007.08.12 Trojan.Zlob


weitere Informationen
File size: 11776 bytes
MD5: 1a924ca1ff7d951e5b693878e969d53f
SHA1: 4a24fe107d2a7d49bc2e9bb9f68e54b826ad629f
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=A466CB5D00A43E802E580038701EEA005EC3F60F

C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe
--> Ergebnis

Avast 4.7.1029.0 2007.08.12 Win32:Spycrush
Panda 9.0.0.4 2007.08.12 Suspicious file
Prevx1 V2 2007.08.12 VirusHeal:Spyware-All Variants
Symantec 10 2007.08.12 VirusHeal
Webwasher-Gateway 6.0.1 2007.08.12 Virus.Win32.FileInfector.gen (suspicious)

weitere Informationen
File size: 2256896 bytes
MD5: f199eb53ae2ae730de65ad5a563f9d3c
SHA1: 05ca8bfde6bc43028a647f74cf137e2f3f322543
packers: Armadillo
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?
PX5=03AED6BD0004AB9C702A22FE08DC91007077F5CE

C:\Programme\VirusProtectPro 3.6\VirusProtectPro 3.6.exe
--> Ergebnis

Fortinet 2.91.0.0 2007.08.12 Misc/VirusProtectPro
Ikarus T3.1.1.12 2007.08.12 Application.Win32.AdWare.VirusProtectPro
Kaspersky 4.0.2.24 2007.08.12 not-a-virus:FraudTool.Win32.VirusProtectPro.e
McAfee 5095 2007.08.10 potentially unwanted program VirusProtectpro
Microsoft 1.2704 2007.08.12 Program:Win32/VirusProtectpro
Panda 9.0.0.4 2007.08.12 Adware/VirusProtectPro
Prevx1 V2 2007.08.12 VirusProtectPro:Spyware-All Variants
VBA32 3.12.2.2 2007.08.11 Application.Win32.Adware.VirusProtectPro
Webwasher-Gateway 6.0.1 2007.08.12 Riskware.Fake.VirusProte


weitere Informationen
File size: 1802240 bytes
MD5: db06ec940b1009b77b1946e8215f10dc
SHA1: a5b98765a67eff96b3b685267f197d17036a6b19
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=EDBC84420018B28B80911B2B0E268000439F18E1

C:\WINDOWS\System32\fqdqs.dll
---> Ergebnis

Prevx1 V2 2007.08.12 Generic.Malware

weitere Informationen
File size: 12288 bytes
MD5: 73d737076b5cb74c717d68b40872ce1c
SHA1: 9c52582444f3dd84818cb7c90c4489e75a2ee606
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=39FC4DC1004ED78E308A0021A2F34000060A477C


so wenn du noch was brauchen solltest sag ruhig bescheid !

danke !

Du hast schon mal mindestens den Zlob drin, folge dieser Anleitung.

Poste danach ein neues HJT-Logfile, sowie eins von datfind.bat in der Anleitung erwähnt. Alternativ geht auch filelist (also entweder filelist ODER datfind, ich würde die aber filelist empfehlen)

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

hier die rapport file :

SmitFraudFix v2.211

Scan done at 18:24:28,40, 12.08.2007
Run from C:\Dokumente und Einstellungen\Martin\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{cd0e4a1a-dbc2-48f7-9a6a-a41cac20bddc}"="heterostyly"

[HKEY_CLASSES_ROOT\CLSID\{cd0e4a1a-dbc2-48f7-9a6a-a41cac20bddc}\InProcServer32]
@="C:\WINDOWS\System32\fqdqs.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{cd0e4a1a-dbc2-48f7-9a6a-a41cac20bddc}\InProcServer32]
@="C:\WINDOWS\System32\fqdqs.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

C:\WINDOWS\System32\fqdqs.dll -> Hoax.Win32.Renos.gen.o
C:\WINDOWS\System32\fqdqs.dll -> Deleted


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\DOKUME~1\Martin\STARTM~1\VirusProtectPro 3.6.lnk Deleted
C:\DOKUME~1\Martin\STARTM~1\PROGRA~1\VirusProtectPro Deleted
C:\DOKUME~1\ALLUSE~1\STARTM~1\Online Security Guide.url Deleted
C:\DOKUME~1\ALLUSE~1\STARTM~1\Security Troubleshooting.url Deleted
C:\DOKUME~1\Martin\Desktop\VirusProtectPro 3.6.lnk Deleted
C:\DOKUME~1\Martin\FAVORI~1\Online Security Test.url Deleted
C:\Programme\Security Tools\ Deleted
C:\Programme\VirusProtectPro 3.6\ Deleted

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{CA4D1220-39C2-47B9-A790-DEA71815CF71}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CA4D1220-39C2-47B9-A790-DEA71815CF71}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{CA4D1220-39C2-47B9-A790-DEA71815CF71}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End



neuer HijackThis log :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:29:17, on 12.08.2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Dit.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe
C:\Programme\Omniquad Total Security\TScutyNT.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\DitExp.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Omniquad Total Security\AntiSpy\TSAtiSy.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Dokumente und Einstellungen\Martin\Desktop\HiJackThis.exe

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: OsbornTech Popup Blocker - {C68AE9C0-0909-4DDC-B661-C1AFB9F5AE53} - C:\Programme\Omniquad Total Security\PopupBlocker\PopupBlocker.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VirusHeal 3.9] "C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe" /h
O4 - HKLM\..\Run: [Total Security] C:\Programme\Omniquad Total Security\TScutyNT.exe
O4 - HKLM\..\Run: [TotalSecurityUpdate] C:\Programme\Omniquad Total Security\TSAtUdt.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Popup Blocker - {0D555BC6-E331-48b3-A60E-AAC0DF79438A} - C:\Programme\Omniquad Total Security\PopupBlocker\PopupBlocker.dll
O9 - Extra 'Tools' menuitem: Popup Blocker - {0D555BC6-E331-48b3-A60E-AAC0DF79438A} - C:\Programme\Omniquad Total Security\PopupBlocker\PopupBlocker.dll
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday Control) - file://C:\Programme\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {AE2B937E-EA7D-4A8D-888C-B68D7F72A3C4} (IPSUploader4 Control) - http://as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader4.cab
O16 - DPF: {AE563720-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://C:\Programme\AutoCAD 2002\InstBanr.ocx
O16 - DPF: {C6637286-300D-11D4-AE0A-0010830243BD} (InstaFred) - file://C:\Programme\AutoCAD 2002\InstFred.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview Control) - file://C:\Programme\AutoCAD 2002\AcPreview.ocx
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

--
End of file - 4770 bytes


Verzeichnis von C:\

12.08.2007 18:27 1.207.959.552 pagefile.sys
12.08.2007 18:24 2.734 rapport.txt
06.04.2007 13:54 194 boot.ini

Verzeichnis von C:\WINDOWS\system32

12.08.2007 18:27 88.566 nvapps.xml
12.08.2007 18:24 0 tmp.txt
12.08.2007 18:24 2.144 tmp.reg
09.08.2007 18:01 2.184 wpa.dbl
20.07.2007 21:52 5.214 jupdate-1.6.0_02-b06.log
12.07.2007 02:22 139.264 javaws.exe
12.07.2007 02:22 69.632 javacpl.cpl
12.07.2007 01:22 135.168 javaw.exe
12.07.2007 01:22 135.168 java.exe


Verzeichnis von C:\WINDOWS\Prefetch

12.08.2007 18:31 14.946 CMD.EXE-087B4001.pf
12.08.2007 18:31 106.600 WINRAR.EXE-3588DFE8.pf
12.08.2007 18:29 80.348 IEXPLORE.EXE-2CA9778D.pf
12.08.2007 18:29 13.210 NOTEPAD.EXE-336351A9.pf
12.08.2007 18:29 19.320 WMIPRVSE.EXE-28F301A9.pf
12.08.2007 18:29 57.058 HIJACKTHIS.EXE-30CDC95E.pf
12.08.2007 18:28 29.474 TSUDT.EXE-0424FE3C.pf
12.08.2007 18:28 22.294 WUAUCLT.EXE-399A8E72.pf
12.08.2007 18:28 18.930 TSATUDT.EXE-25CA7885.pf
12.08.2007 18:28 750.432 NTOSBOOT-B00DFAAD.pf
12.08.2007 18:21 10.392 IESMN.EXE-36DF1E02.pf
12.08.2007 18:18 12.164 NOTEPAD.EXE-189578DA.pf
12.08.2007 18:17 10.696 REGEDIT.EXE-1B606482.pf
12.08.2007 18:17 30.022 SMITFRAUDFIX.EXE-3297F62F.pf
12.08.2007 18:09 70.766 MSIMN.EXE-0B61806C.pf
12.08.2007 16:57 27.792 DFRGNTFS.EXE-269967DF.pf
12.08.2007 16:57 12.166 DEFRAG.EXE-273F131E.pf
12.08.2007 16:57 388.888 Layout.ini
12.08.2007 16:49 15.432 RUNDLL32.EXE-2E5AF1D7.pf
12.08.2007 16:44 21.044 SSFLWBOX.SCR-12F43B2F.pf
12.08.2007 15:36 34.512 IRSETUP.EXE-0A1512C9.pf
12.08.2007 15:36 9.490 TSUPDATE.EXE-19C8B6C5.pf
12.08.2007 15:29 20.254 SIGUPDT.EXE-2ED779E3.pf
12.08.2007 15:29 25.742 TSATISY.EXE-02781F08.pf
12.08.2007 15:29 26.988 TSCUTYNT.EXE-0D1194E8.pf
12.08.2007 15:29 17.460 REGSVR32.EXE-25EEFE2F.pf
12.08.2007 15:28 21.464 IRSETUP.EXE-03BF6121.pf
12.08.2007 15:28 7.904 TSANTISPY.EXE-1CFCCA2C.pf
12.08.2007 15:23 47.790 AVSCAN.EXE-05AECC0E.pf
12.08.2007 14:33 37.644 VIRUSPROTECTPRO 3.6.EXE-34FF5AEE.pf
12.08.2007 14:14 41.508 DRWTSN32.EXE-2B4B52AC.pf
12.08.2007 14:14 66.376 DWWIN.EXE-30875ADC.pf
12.08.2007 14:14 61.772 ACRORD32.EXE-153330F0.pf
12.08.2007 14:02 41.138 VIRUSHEAL 3.9.EXE-35FFF645.pf
12.08.2007 14:01 31.624 VH_SETUP.EXE-01EF97F8.pf
12.08.2007 13:56 42.896 UPDATE.EXE-13D57D76.pf
12.08.2007 13:56 12.892 PREUPD.EXE-358AA1C1.pf
11.08.2007 21:54 17.114 LOGONUI.EXE-0AF22957.pf
11.08.2007 21:53 22.180 MSMSGS.EXE-32066BA5.pf
11.08.2007 21:32 35.960 AD-AWARE2007.EXE-1AE91ED3.pf
11.08.2007 21:28 5.656 IESMIN.EXE-21DF1862.pf
11.08.2007 21:23 91.440 ICQLITE.EXE-2AEFACA7.pf
11.08.2007 21:23 148.396 DUMPREP.EXE-1B46F901.pf
11.08.2007 21:02 26.408 AAWSERVICE.EXE-10F504AB.pf
11.08.2007 21:02 26.582 MSIEXEC.EXE-2F8A8CAE.pf
11.08.2007 20:58 52.842 AAW2007.EXE-29919CFF.pf
11.08.2007 20:31 54.184 AVCENTER.EXE-37584419.pf
11.08.2007 19:03 50.614 WMPLAYER.EXE-09969332.pf
11.08.2007 18:32 20.700 BR7.EXE-122BF4AB.pf
11.08.2007 18:32 20.646 RUNDLL32.EXE-1644B964.pf
11.08.2007 18:32 8.156 LAF2.EXE-1EC234A9.pf
11.08.2007 18:32 15.912 GUARDGUI.EXE-1BD45C30.pf
11.08.2007 18:31 21.418 OJXGTBZ.EXE-12302C65.pf
11.08.2007 18:31 26.244 LAF1.EXE-1B095997.pf
11.08.2007 18:17 8.542 FREECELL.EXE-0CC25C3B.pf
11.08.2007 18:15 20.902 RUNDLL32.EXE-32240B45.pf
11.08.2007 13:13 51.196 ADOBEUPDATER.EXE-370FC314.pf
11.08.2007 13:07 18.628 AVGNT.EXE-36CA4640.pf
11.08.2007 13:05 51.902 AVNOTIFY.EXE-22AE9451.pf
07.08.2007 18:19 24.858 SETUP_WM.EXE-19AC5A9B.pf
05.08.2007 17:28 38.918 WINAMP.EXE-08C38ED9.pf
05.08.2007 12:34 66.980 GOOGLEEARTH.EXE-0978F2AD.pf
04.08.2007 11:42 13.002 IMAPI.EXE-0BF740A4.pf
04.08.2007 11:42 48.886 EXPLORER.EXE-082F38A9.pf
04.08.2007 11:42 8.404 RUNDLL32.EXE-451FC2C0.pf
04.08.2007 11:31 50.250 NERO.EXE-32314E31.pf
04.08.2007 00:25 19.778 WKDSTORE.EXE-31475208.pf
04.08.2007 00:25 90.586 WINWORD.EXE-259486DA.pf
03.08.2007 21:11 50.298 AVGUARD.EXE-3490B18B.pf
31.07.2007 15:39 40.286 HELPSVC.EXE-2878DDA2.pf
31.07.2007 14:43 9.532 MSI6D.TMP-34311C7A.pf
31.07.2007 14:42 13.960 SXE63.TMP-307E3D60.pf
31.07.2007 14:42 50.418 GOOGLE_EARTH_BZXE.EXE-1C283B88.pf
30.07.2007 19:54 16.690 RUNDLL32.EXE-2A94BB85.pf
30.07.2007 19:09 81.896 HL.EXE-24836D99.pf
29.07.2007 15:18 26.270 MMC.EXE-14140460.pf
28.07.2007 21:01 20.496 KARTEIKARTENTRAINER551.EXE-12E13FAF.pf
28.07.2007 20:23 66.554 ACRORD32INFO.EXE-19D979CC.pf
20.07.2007 21:52 36.562 JAVAW.EXE-037D6A47.pf
20.07.2007 21:52 28.620 PATCHJRE.EXE-20AA67A5.pf
20.07.2007 21:52 7.386 JAVA.EXE-1980726E.pf
20.07.2007 21:52 9.638 UNPACK200.EXE-087E38E4.pf
20.07.2007 21:52 5.406 LAUNCHER.EXE-2D15694C.pf
20.07.2007 21:51 65.244 ZIPPER.EXE-267AD91C.pf
20.07.2007 21:50 24.292 JRE-6U2-WINDOWS-I586-P-IFTW_7-02D7AB05.pf
20.07.2007 21:50 8.100 JAVA.EXE-01F61F8C.pf
20.07.2007 21:50 32.300 JUCHECK.EXE-048DEDE3.pf
19.07.2007 20:48 13.000 RUNDLL32.EXE-4BCF3F87.pf
19.07.2007 20:48 15.982 RUNDLL32.EXE-47A42AF0.pf
19.07.2007 17:15 9.464 RUNDLL32.EXE-268BFF96.pf
18.07.2007 22:10 20.278 AGENTSVR.EXE-002E45AB.pf
13.07.2007 16:54 51.260 STEAM.EXE-25824B4E.pf
13.07.2007 16:47 14.884 MSHEARTS.EXE-0D7FE295.pf
13.07.2007 09:09 72.984 ACAD.EXE-1AA7FD22.pf
11.07.2007 12:09 13.000 RUNDLL32.EXE-1603C5FA.pf
11.07.2007 12:06 25.120 STYEXE.EXE-210A97F8.pf
10.07.2007 23:06 13.000 RUNDLL32.EXE-44B1F120.pf
10.07.2007 22:57 14.412 RUNDLL32.EXE-1399D52B.pf
06.07.2007 18:17 13.726 RUNDLL32.EXE-165C78EB.pf
05.07.2007 23:14 13.000 RUNDLL32.EXE-253057E6.pf
05.07.2007 21:53 75.460 VOLOVIEW.EXE-0D11B85E.pf


Verzeichnis von C:\WINDOWS

12.08.2007 18:27 0 0.log
12.08.2007 18:27 1.535.796 WindowsUpdate.log
12.08.2007 18:27 653.105 setupapi.log
12.08.2007 18:27 2.048 bootstat.dat
12.08.2007 18:26 127.694 ntbtlog.txt
12.08.2007 18:25 179.844 setupact.log
12.08.2007 18:22 32.572 SchedLgU.Txt
12.08.2007 15:29 15.613 Omniquad Total Security Setup Log.txt
12.08.2007 15:29 39 winomnifile.dat
05.08.2007 17:31 95 winamp.ini
03.08.2007 09:18 69 NeroDigital.ini
28.07.2007 11:52 2.038 ModemLog_Creatix V.9X DSP Data Fax Modem.txt


Verzeichnis von C:\WINDOWS\tasks

12.08.2007 18:27 6 SA.DAT
18.08.2001 14:00 65 desktop.ini
2 Datei(en) 71 Bytes
0 Verzeichnis(se), 44.123.971.584 Bytes frei

Verzeichnis von C:\WINDOWS\temp

12.08.2007 13:56 0 Upd6A.tmp
11.08.2007 13:05 0 Upd69.tmp
09.08.2007 18:03 0 Upd68.tmp
08.08.2007 17:44 0 Upd67.tmp
06.08.2007 23:21 0 Upd66.tmp
05.08.2007 23:21 0 Upd65.tmp
04.08.2007 21:57 0 Upd64.tmp
03.08.2007 21:09 0 Upd63.tmp
02.08.2007 20:38 0 Upd62.tmp
01.08.2007 18:17 0 Upd61.tmp
31.07.2007 14:40 0 Upd60.tmp
30.07.2007 14:40 0 Upd5F.tmp
28.07.2007 20:02 0 Upd5E.tmp
27.07.2007 18:55 0 Upd5D.tmp
26.07.2007 18:05 0 Upd5C.tmp
25.07.2007 18:05 0 Upd5B.tmp
24.07.2007 18:05 0 Upd5A.tmp
23.07.2007 17:37 0 Upd59.tmp
22.07.2007 17:37 0 Upd58.tmp
21.07.2007 14:46 0 Upd57.tmp
20.07.2007 08:26 0 Upd56.tmp
18.07.2007 22:11 0 Upd55.tmp
17.07.2007 21:50 0 Upd54.tmp
16.07.2007 21:14 0 Upd53.tmp
15.07.2007 18:19 0 Upd52.tmp
14.07.2007 17:57 0 Upd51.tmp
13.07.2007 16:45 0 Upd50.tmp
13.07.2007 08:54 0 Upd4F.tmp
12.07.2007 22:13 0 Upd4E.tmp
12.07.2007 22:13 0 Upd4D.tmp
12.07.2007 22:13 0 Upd4C.tmp
12.07.2007 13:23 0 Upd4B.tmp
10.07.2007 21:02 0 Upd4A.tmp
09.07.2007 20:08 0 Upd49.tmp
08.07.2007 20:08 0 Upd48.tmp
07.07.2007 20:08 0 Upd47.tmp
06.07.2007 20:08 0 Upd46.tmp
05.07.2007 19:48 0 Upd45.tmp
03.07.2007 23:16 0 Upd44.tmp
02.07.2007 19:29 0 Upd43.tmp
01.07.2007 16:26 0 Upd42.tmp


Verzeichnis von C:\DOKUME~1\Martin\LOKALE~1\Temp

12.08.2007 18:31 115.633 filelist.txt
12.08.2007 18:29 8.196 TFR8.tmp
12.08.2007 18:29 114.688 ~DFA0FF.tmp
12.08.2007 18:27 32.768 ~DFF162.tmp
12.08.2007 18:27 8.196 TFR1.tmp
12.08.2007 18:27 32.707 VHealLang.ini
12.08.2007 18:27 65.536 ~DF9C51.tmp
08.08.2007 23:48 41 FB703BE2.TMP
8 Datei(en) 377.765 Bytes
0 Verzeichnis(se), 44.123.963.392 Bytes frei



so ich hoffe es fehlt nichts !

gruß martin

Das sieht soweit ganz gut aus. Allerdings dürfte dieser hier

C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe

noch im System sein, das sieht nach Spyware aus, die sich als nützliche Software tarnt. Geh mal folgendermaßen vor, um das zu löschen:

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:



2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:

Folders to delete:
C:\Programme\VirusHeal 3.9

3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.



4.) Danach das System unverzüglich neu starten lassen
5.) Poste ausserdem den Inhalt der C:\avenger.txt Datei.

Danach kannst du mit HijackThis diesen Eintrag fixen:

O4 - HKLM\..\Run: [VirusHeal 3.9] "C:\Programme\VirusHeal 3.9\VirusHeal 3.9.exe" /h

Treten dann noch die Meldungen in der Taskleiste auf?

hier der inhalt der avenger datei :

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\pucbbbtt

*******************

Script file located at: lktfbqbh

Could not open script file! Error

Could not open script file! Status: 0xc000003b Abort!

hab auch die eine zeile gefixt !
die meldung in der taskleiste is weg !

aber die software VirusHeal is immer noch drauf ? kann ich die nun so löschen oder was mach ich am besten damit ?

schonmal vielen vielen dank für deine hilfe !!!!!

gruß martin

Schau mal nach ob der Ordner C:\Programme\VirusHeal 3.9 überhaupt noch existiert!

Und sieh zu, dass das Service Pack 2 möglichst bald ins System kommt. Besuch danach solange die Windows-Updateseite mit dem IE, bis dir keine wichtigen Updates mehr angezeigt werden.

service pack2 wird grad heruntergeladen

aber den Ordner C:\Programme\VirusHeal 3.9 gibts immer noch...
reicht es den einfach zu deinstallieren ?
systemsteuerung -> software -> deinstallieren ?

gruß martin

Ähm also eigentlich sollte der Ordner schon gelöscht werden. Versuch mal den Ordner manuell zu löschen, wenns nicht geht, dann schau im Taskmanager nach dem Prozess VirusHeal 3.9.exe und beende ihn - danach erneut versuchen.