-.- wer mir erfolgreich hilft dem bin ich gerne bereit ein Logo oder derartiges zu kreieren. Soll ja nix umsonst für eure Mühe sein. (hab mauch versucht erstmal euer forum zu erkunden um mir selbst zu helfen..)

ok erstmal brav die Beschreibung und dann die Logfile.

Ich habe eine ROM-datei für einen emulator geladen und beim öffnen gemerkt das ein dialer versteckt ist. Trotz entfernen scheint es sich bereits installiert zu haben, da der PC erlahmt. Hinzu kommt das ich aus versehen Systemt32.exe den Zugriff aufs internet erlaubt hab. (jaja nich grad clever)
Ich habe aus Panik zusätzlich zum ZoneAlarm security set (Trialversion) noch diverse antispytools installiert. jetzt is noch zonealarm, search and destroy sowie adaware drauf. Trotz allem suchen und behandeln (laut spybot und zonealarm haben sich durch den virus Trojaner.downloader ziemlich Viele rasend schnell angesammelt) kommt bei jedem Boot die Nachricht von ZoneAlarm "Trojan.Bat.Regger.b in Quarantäne" beim nächsten Boot kommt ein anderer Name in die Quarantäne. Die wechseln sich einfach ab.


Ich hab vorhin angeblich alle Probleme beseitigt, im abgesicherten Modus gebootet, mit ausgeschalteter Systemwiederherstellung für alle Festplatten inklusive, schien alles clean. Aber die Quarantänemedlung kommt beim nächsten normalen Booten wieder.. Wie mach ich dem nun endlich den garaus ohne Windows neu zu installieren ??

anfänglicher "cleaner ?" Hijack :

Logfile of HijackThis v1.99.1
Scan saved at 20:05:54, on 15.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\systemt32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Programme\Mozilla Firefox\firefox.exe
Z:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/firefox?client=firefox-a&rls=org.mozilla:defficial
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHlprObj Class - {ich denke das ist ein key, den lass ich mal weg. Wenn dem nich so is, sagts bitte} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\\nTune.exe" clear
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [systemt32] systemt32.exe
O4 - HKLM\..\RunServices: [systemt32] systemt32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [****************] C:\Programme\****************\****************.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {...} - C:\Programme\Messenger\msmsgs.exe (file missing)
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\****************\SASWINLO.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ##Id_Stringblablabla## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SF FrontLine Drivers Auto Removal (v1) (sfrem01) - Protection Technology (StarForce) - C:\WINDOWS\system32\sfrem01.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Erneuter Hijack beim Posten :

Logfile of HijackThis v1.99.1
Scan saved at 21:07:09, on 15.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (...)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\systemt32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Programme\Mozilla Firefox\firefox.exe
Z:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/firefox?client=firefox-a&rls=org.mozilla:defficial
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHlprObj Class - {ich denke das ist ein key, den lass ich mal weg. Wenn dem nich so is, sagts bitte} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\\nTune.exe" clear
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [systemt32] systemt32.exe
O4 - HKLM\..\RunServices: [systemt32] systemt32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ##Id_String BLA BLA ## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SF FrontLine Drivers Auto Removal (v1) (sfrem01) - Protection Technology (StarForce) - C:\WINDOWS\system32\sfrem01.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe




Domo Arigato TT___TT

Hallo und im Trojaner Board!

Arbeite zunächst diese Punkte ab, damit wir einen besseren Überblick und mehr Informationen zu deinem System bekommen:



Dateien Online überprüfen lassen:

* Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
(lass auch die versteckten Dateien anzeigen!)

C:\WINDOWS\system32\systemt32.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)


Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp


MWAV (eScan) - Free Antivirus

-Lies dir folgende Anleitung genau durch und arbeite sie ab
-> Anleitung eScan
Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der *find.bat'.



Gruß
Sunny

ok ich dachte ZoneLabs hätte sich um das Problem geküümert weil ne ganze Weile nix mehr davon zu sehen war und alles sauber ..schien. Dann musste ich ZoneLabs deinstallieren (testphase) und hab die quarantänedatei löschen lassen weil ich dachte die ist weg. Soviel von meinem Wissen zu viren.

erstmal die virus Total Liste, ich arbeite die Punkte nach und nach ab..
oh und grad kam dieMeldung eines Trojaners "crypt-ulpm.gen" an...

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.8.15.0 2007.08.17 -
AntiVir 7.4.1.62 2007.08.16 HEUR/Crypted
Authentium 4.93.8 2007.08.17 -
Avast 4.7.1029.0 2007.08.16 -
AVG 7.5.0.476 2007.08.16 -
BitDefender 7.2 2007.08.17 -
CAT-QuickHeal 9.00 2007.08.16 -
ClamAV 0.91 2007.08.16 -
DrWeb 4.33 2007.08.17 -
eSafe 7.0.15.0 2007.08.16 -
eTrust-Vet 31.1.5066 2007.08.17 -
Ewido 4.0 2007.08.16 -
FileAdvisor 1 2007.08.17 -
Fortinet 2.91.0.0 2007.08.16 -
F-Prot 4.3.2.48 2007.08.16 -
F-Secure 6.70.13030.0 2007.08.17 -
Ikarus T3.1.1.12 2007.08.16 -
Kaspersky 4.0.2.24 2007.08.17 -
McAfee 5099 2007.08.16 -
Microsoft 1.2803 2007.08.16 -
NOD32v2 2467 2007.08.16 -
Norman 5.80.02 2007.08.16 -
Panda 9.0.0.4 2007.08.16 -
Prevx1 V2 2007.08.17 Generic.Malware
Rising 19.36.40.00 2007.08.17 -
Sophos 4.20.0 2007.08.12 -
Sunbelt 2.2.907.0 2007.08.17 VIPRE.Suspicious
Symantec 10 2007.08.17 -
TheHacker 6.1.8.170 2007.08.15 -
VBA32 3.12.2.2 2007.08.16 -
VirusBuster 4.3.26:9 2007.08.16 -
Webwasher-Gateway 6.0.1 2007.08.16 Heuristic.Crypted
weitere Informationen
File size: 932352 bytes
MD5: b368497d7b5ba2573eb9092c1f1153a8
SHA1: 27f1065588ef508a4bb464db9933d0c35a9cd930
packers: Themida
Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=E07A1D2200651C4E3A4D0E3BFFC04E00AB49BA3F
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.

Verzeichnis von C:\

17.08.2007 03:00 1.116 rollback.ini
16.08.2007 23:12 512

ScanSectorLog.dat
16.08.2007 12:19 1.610.612.736 pagefile.sys
02.12.2006 23:57 211 boot.ini
23.11.2005 05:07 47.564 NTDETECT.COM
23.11.2005 05:07 251.184 ntldr
23.11.2005 04:49 0 MSDOS.SYS
23.11.2005 04:49 0 IO.SYS
23.11.2005 04:49 0 CONFIG.SYS
23.11.2005 04:49 0 AUTOEXEC.BAT
23.08.2001 14:00 4.952 bootfont.bin
11 Datei(en) 1.610.918.275 Bytes
0 Verzeichnis(se), 3.628.957.696 Bytes frei

Verzeichnis von C:\WINDOWS\system32

16.08.2007 22:50 4.212 zllictbl.dat
16.08.2007 13:51 4.184 KGyGaAvL.sys
16.08.2007 12:20 63.136 nvapps.xml
14.08.2007 18:25 57.856 spoolsv.exe
14.08.2007 17:17 1.324 d3d9caps.dat
14.08.2007 17:17 2.206 wpa.dbl
13.08.2007 06:11 88 C117A4421C.sys
03.08.2007 15:04 156.360 FNTCACHE.DAT
26.06.2007 11:59 48.156 perfc007.dat
26.06.2007 11:59 39.992 perfc009.dat
26.06.2007 11:59 316.594 perfh007.dat
26.06.2007 11:59 311.604 perfh009.dat
26.06.2007 11:59 723.744


17.08.2007 05:20 891.194 setupapi.log
17.08.2007 03:09 727 wiadebug.log
16.08.2007 12:19 50 wiaservc.log
16.08.2007 12:19 0 0.log
16.08.2007 12:19 2.048 bootstat.dat
16.08.2007 07:08 170.896

WindowsUpdate.log
15.08.2007 18:44 296.744 ntbtlog.txt
15.08.2007 17:47 101 wininit.ini
14.08.2007 23:44 116

NeroDigital.ini
03.08.2007 20:26 288 ODBC.INI
02.08.2007 12:39 1.140 mozver.dat
02.08.2007 12:20 0 nsreg.dat
31.07.2007 16:01 737 win.ini
23.07.2007 00:14 4.161 ODBCINST.INI
04.07.2007 21:26 200 RtlRack.ini

Verzeichnis von C:\WINDOWS

17.08.2007 05:20 891.194 setupapi.log
17.08.2007 03:09 727 wiadebug.log
16.08.2007 12:19 50 wiaservc.log
16.08.2007 12:19 0 0.log
16.08.2007 12:19 2.048 bootstat.dat
16.08.2007 07:08 170.896

WindowsUpdate.log
15.08.2007 18:44 296.744 ntbtlog.txt
15.08.2007 17:47 101 wininit.ini
14.08.2007 23:44 116

NeroDigital.ini
03.08.2007 20:26 288 ODBC.INI
02.08.2007 12:39 1.140 mozver.dat
02.08.2007 12:20 0 nsreg.dat
31.07.2007 16:01 737 win.ini
23.07.2007 00:14 4.161 ODBCINST.INI
04.07.2007 21:26 200 RtlRack.ini

Verzeichnis von C:\WINDOWS\temp

17.08.2007 03:13 0 Upd522.tmp
16.08.2007 12:22 16.384

Perflib_Perfdata_27c.dat
16.08.2007 00:29 256 ZLT01483.TMP
16.08.2007 00:29 256 ZLT01480.TMP
16.08.2007 00:23 256 ZLT00f80.TMP
16.08.2007 00:23 256 ZLT00f7d.TMP
15.08.2007 20:46 16.384

Perflib_Perfdata_24c.dat
15.08.2007 18:53 256 ZLT0130e.TMP
15.08.2007 18:53 256 ZLT0130b.TMP
15.08.2007 16:18 256 ZLT07e8d.TMP
15.08.2007 16:18 256 ZLT01ca1.TMP
15.08.2007 02:08 256 ZLT011cf.TMP
15.08.2007 02:08 256 ZLT011cb.TMP
15.08.2007 01:41 256 ZLT07d2e.TMP
15.08.2007 01:41 256 ZLT07d2b.TMP
12.08.2007 08:16 100 D653F3EC.TMP
07.08.2007 12:12 256 ZLT06f04.TMP
17 Datei(en) 36.196 Bytes

Verzeichnis von C:\DOKUME~1\Ich\LOKALE~1\Temp

17.08.2007 06:00 119.578 filelist.txt
17.08.2007 03:09 59.964

Adobelm_Cleanup.0001
17.08.2007 03:09 902 TWAIN.LOG
17.08.2007 03:09 5 Twain001.Mtx
17.08.2007 03:09 156 Twunk001.MTX
17.08.2007 00:53 29.032 AAX4F4.tmp
16.08.2007 12:20 98.304 ~DFD708.tmp
16.08.2007 02:38 98.304 ~DFE41E.tmp
16.08.2007 00:30 16.384 ~DF63C8.tmp
16.08.2007 00:23 16.384 ~DFB94D.tmp
15.08.2007 18:54 16.384 ~DF1725.tmp
15.08.2007 16:20 16.384 ~DF4928.tmp
15.08.2007 02:09 16.384 ~DFC316.tmp
15.08.2007 01:42 16.384 ~DF724A.tmp
14.08.2007 23:50 3.348 amt.log
14.08.2007 23:50 1.522 alm.log
14.08.2007 19:19 93.314

{E469E805-E012-4A29-A536-99AE33FE0C6D}estk_ribs_bg

d.png
14.08.2007 19:19 45.630

{BCD30B43-9083-4441-9284-E528A1285042}Setup.ico
14.08.2007 19:19 20.376

{BCD30B43-9083-4441-9284-E528A1285042}background.p

ng
14.08.2007 19:19 42.014

{762E17C8-C547-4B10-B053-F329F39A0D80}bridge.ico
14.08.2007 19:19 74.256

{045CFB2B-65A3-49C9-BABC-E4452254C7AF}background.p

ng
14.08.2007 19:19 41.561

{045CFB2B-65A3-49C9-BABC-E4452254C7AF}Titan.ico
14.08.2007 18:19 98.304 ~DF9816.tmp
14.08.2007 04:40 163.648 N670UA.shd
13.08.2007 06:08 0 isC0.tmp
13.08.2007 06:08 0 isBB.tmp
12.08.2007 15:39 16.384 ~DF9C15.tmp
12.08.2007 02:34 113 D653F3EC.TMP
11.08.2007 15:11 16.384 ~DFA0B9.tmp
11.08.2007 13:49 16.384 ~DF39C3.tmp
10.08.2007 21:57 16.384 ~DF6B33.tmp
10.08.2007 20:23 16.384 ~DFE50.tmp
08.08.2007 02:41 29.032 AAXCA.tmp
07.08.2007 12:12 16.384 ~DF7836.tmp
04.08.2007 01:47 16.384 ~DF2F74.tmp
03.08.2007 22:18 29.032 AAX3A.tmp
03.08.2007 21:55 29.032 AAX37.tmp
03.08.2007 05:39 10.479.786 files.zip
03.08.2007 05:29 36.459

[Live-eviL]_Galaxy_Express_999_-_1-10_[BATCH].torr

ent
03.08.2007 01:23 167.936 CLI.exe
03.08.2007 01:22 0 is27.tmp
03.08.2007 01:21 0 is1F.tmp
03.08.2007 00:06 16.384 ~DFBBCF.tmp
02.08.2007 12:38 3.705.350 JoiA.tmp
02.08.2007 12:38 3.705.350 Joi9.tmp
02.08.2007 12:19 16.384 ~DF466.tmp
25.07.2007 03:46 29.032 AAX14.tmp
25.07.2007 03:46 1.409 tmpB8F86.FOT
23.07.2007 19:28 29.032 AAXA.tmp
23.07.2007 00:10 1.000 curtmpreg.dbf
23.07.2007 00:09 3.584 14f009e.mst
29.06.2007 16:20 59.964 ~e5.0001
27.06.2007 19:39 42.120 Revelation.ttf
25.06.2007 21:26 24.516 SIntfNT.dll
25.06.2007 21:26 12.067 SIntf16.dll
25.06.2007 21:26 19.924 SIntf32.dll
25.06.2007 21:26 36.864 CmdLineExt02.dll

Es fehlt noch der eScan, bei dem du sicherlich noch dabei bist , und von der filelist das Verzeichnis von C:\WINDOWS\Prefetch. Das ist sehr wichtig für die Bereinigung.

Gruß
Sunny

ok nach 8 std scan (habs nich über ausführen gemacht sondern einfach übern Button hoff das war ok. auch hab ich nich drann gedacht das neu runtergeladene e-scan Prog zu aktualisieren) hab ich die Find.bat versehentlich erst im normalen Modus gestartet, hoff das is kein Problem, sowas passiert leider bei Schlaflosigkeit..muss zugeben ich bin von der Anleitung auch jetzt noch etwas verwirrt.

Das protokoll ist so riesig, ich kann das garnicht in euer Board einfügen

Beim Scan im abgesicherten Modus wurden 18 viren (...!) gefunden inklusive Wurm. Da ich mir nun nich sicher bin was ich machen soll kopier ich einfach mal die Teilel des Protokolls rein die ich als wichtig erahne. Wenn ihr entnervt seid, am Ende von diesem Eintrag steht was von gefundenem Virus. Von einem *verwirrt*
apropo antivir hat grad wieder nen trojaner gefunden *ausrast*



ri Aug 17 10:19:41 2007 => **********************************************************
Fri Aug 17 10:19:41 2007 => eScan AntiVirus Toolkit Utility.
Fri Aug 17 10:19:41 2007 => Copyright © 2003-2006, MicroWorld Technologies Inc.
Fri Aug 17 10:19:41 2007 => **********************************************************
Fri Aug 17 10:19:41 2007 => Source: C:\DOKUME~1\Ich\Desktop\mwav.exe
Fri Aug 17 10:19:41 2007 => Version 9.3.7
Fri Aug 17 10:19:41 2007 => Protokolldatei: C:\DOKUME~1\Ich\LOKALE~1\Temp\MWAV.LOG
Fri Aug 17 10:19:41 2007 => MWAV Registered: FALSE.
Fri Aug 17 10:19:41 2007 => User Account: Ich
Fri Aug 17 10:19:41 2007 => OS Type: Windows Workstation
Fri Aug 17 10:19:41 2007 => OS: Windows XP
Fri Aug 17 10:19:41 2007 => Ver: Service Pack 2 (Build 2600)
Fri Aug 17 10:19:41 2007 => Windows Root Folder: C:\WINDOWS
Fri Aug 17 10:19:41 2007 => Windows Sys32 Folder: C:\WINDOWS\system32
Fri Aug 17 10:19:41 2007 => DHCP NameServer: 192.168.2.1
Fri Aug 17 10:19:41 2007 => Interface0 DHCPNameServer: 192.168.2.1
Fri Aug 17 10:19:41 2007 => Local Fixed Drives: c:\,f:\,g:\,z:\
Fri Aug 17 10:19:41 2007 => MWAV Mode: Only Scan files.

Fri Aug 17 10:19:41 2007 => ********** Files created/modified in last fortnight in Windows Folder **********
Fri Aug 17 10:19:41 2007 => C:\WINDOWS\NeroDigital.ini (116), 14-Aug-2007
Fri Aug 17 10:19:41 2007 => C:\WINDOWS\ODBC.INI (288), 03-Aug-2007
Fri Aug 17 10:19:41 2007 => C:\WINDOWS\wininit.ini (101), 15-Aug-2007
Fri Aug 17 10:19:41 2007 => C:\WINDOWS\system32\C117A4421C.sys (88), 13-Aug-2007
Fri Aug 17 10:19:42 2007 => C:\WINDOWS\system32\Drvvfp.hlp (203641), 23-Apr-1998 [S]
Fri Aug 17 10:19:42 2007 => C:\WINDOWS\system32\KGyGaAvL.sys (4184), 16-Aug-2007
Fri Aug 17 10:19:42 2007 => C:\WINDOWS\system32\spoolsv.exe (57856), 14-Aug-2007, Microsoft Corporation, Microsoft® Windows® Operating System
Fri Aug 17 10:19:42 2007 => C:\WINDOWS\system32\SpOrder.dll (11264), 02-Aug-2007, Microsoft Corporation, Microsoft(R) Windows NT(TM) Operating System
Fri Aug 17 10:19:42 2007 => C:\WINDOWS\system32\vfpodbc.dll (977680), 07-Dec-1999 [S], Microsoft Corporation, Microsoft® Visual FoxPro®
Fri Aug 17 10:19:42 2007 => ********************************************************************************

Fri Aug 17 10:19:42 2007 => Letztes Datum der MWAV Dateien: 16 Aug 2007 10:27:3.
Fri Aug 17 10:19:50 2007 => AV Bibliothek wird geladen...
Fri Aug 17 10:19:50 2007 => MWAV doing self scanning...
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\getvlist.exe
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\main.avi
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\virus.avi
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\ScanningProcess.exe
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\kave.dll
Fri Aug 17 10:19:50 2007 => Scanne Datei C:\DOKUME~1\Ich\LOKALE~1\Temp\prloader.dll
Fri Aug 17 10:19:50 2007 => MWAV files are clean.
Fri Aug 17 10:19:54 2007 => Virus-Datenbank Datum: 8/16/2007
Fri Aug 17 10:19:54 2007 => Virus-Datenbank Zähler: 381736
Fri Aug 17 10:20:33 2007 => Virusliste wird erstellt... getvlist.exe C:\DOKUME~1\Ich\LOKALE~1\Temp\vlist.txt

Fri Aug 17 10:22:24 2007 => **********************************************************
Fri Aug 17 10:22:24 2007 => eScan AntiVirus Toolkit Utility.
Fri Aug 17 10:22:24 2007 => Copyright © 2003-2006, MicroWorld Technologies Inc.
Fri Aug 17 10:22:24 2007 =>
Fri Aug 17 10:22:24 2007 => Support: support@mwti.net
Fri Aug 17 10:22:24 2007 => Web: http://www.mwti.net
Fri Aug 17 10:22:24 2007 => **********************************************************
Fri Aug 17 10:22:24 2007 => Version 9.3.7
Fri Aug 17 10:22:24 2007 => Protokolldatei: C:\DOKUME~1\Ich\LOKALE~1\Temp\MWAV.LOG
Fri Aug 17 10:22:24 2007 => User Account: Ich
Fri Aug 17 10:22:24 2007 => Windows Root Folder: C:\WINDOWS
Fri Aug 17 10:22:24 2007 => Windows Sys32 Folder: C:\WINDOWS\system32
Fri Aug 17 10:22:24 2007 => OS: Windows XP
Fri Aug 17 10:22:24 2007 => Ver: Service Pack 2 (Build 2600)
Fri Aug 17 10:22:24 2007 => Letztes Datum der MWAV Dateien: 16 Aug 2007 10:27:3.

Fri Aug 17 10:22:24 2007 => Optionen vom Benutzer ausgewählt:
Fri Aug 17 10:22:24 2007 => Specherüberprüfung: Aktiviert
Fri Aug 17 10:22:24 2007 => Registry Überprüfung: Aktiviert
Fri Aug 17 10:22:24 2007 => StartUp-Ordner Überprüfung: Aktiviert
Fri Aug 17 10:22:24 2007 => System-Ordner Überprüfung: Aktiviert
Fri Aug 17 10:22:24 2007 => Überprüfung der Systembereiche: Deaktiviert
Fri Aug 17 10:22:24 2007 => Überprüfung der Dienste: Aktiviert
Fri Aug 17 10:22:24 2007 => Überprüfung der Festplatten: Deaktiviert
Fri Aug 17 10:22:24 2007 => Überprüfung aller Festplatten :Aktiviert
Fri Aug 17 10:22:24 2007 => Verzeichniss Überprüfung: Deaktiviert

Fri Aug 17 18:38:52 2007 => ***** Überprüfe spezielle ITW Viren *****
Fri Aug 17 18:38:52 2007 => Überprüfe auf Welchia Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf LovGate Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf CodeRed Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf OpaServ Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Sobig.e Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Winupie Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Swen Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf JS.Fortnight Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Novarg Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Pagabot Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Parite.b Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Parite.a Virus...
Fri Aug 17 18:38:52 2007 => Überprüfe auf Adware.SeekSeek Virus...
Fri Aug 17 18:38:52 2007 => File F:\AUTORUN.INF related to Fujack worm found!
Fri Aug 17 18:38:52 2007 => Datei F:\AUTORUN.INF infiziert von "Fujack" Virus. Aktion vorgenommen: No Action Taken.


Fri Aug 17 18:38:52 2007 => ***** Scan vollständig. *****

Fri Aug 17 18:38:52 2007 => Gescannte Dateien: 319211
Fri Aug 17 18:38:52 2007 => Gefundene Viren: 18
Fri Aug 17 18:38:52 2007 => Anzahl der desinfizierten Dateien: 0
Fri Aug 17 18:38:52 2007 => Umbenannte Dateien: 0
Fri Aug 17 18:38:52 2007 => Anzahl der gelöschten Dateien: 0
Fri Aug 17 18:38:52 2007 => Anzahl Fehler: 458
Fri Aug 17 18:38:52 2007 => Dauer des Scans bisher: 08:16:22
Fri Aug 17 18:38:52 2007 => Virus-Datenbank Datum: 8/16/2007
Fri Aug 17 18:38:52 2007 => Virus-Datenbank Zähler: 381736

Fri Aug 17 18:38:52 2007 => Scan vollständig.

hey sunny. Bei prefetch war nix im Bereich von 30 tagen eingetragen daher hab ich nix eingefügt. das letzte war im 6ten Monat. *schwangeren Bauch reib* *abkratz*

ja der Escan war nich grad kurz. Man bin ich jetzt fertig.. v

danke im voraus ^^

achja wenn ich auf den link von find.bat klick öffnet sich n fenster wo mir was in text form irgendwas programmtechnisches erklärt. Soll ich das alles reinkopieren??

zweite Maustaste auf den Link der find.bat und dann "Ziel speichern unter.."

oh..ahhh... ich bin einfach übermüdet...

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2007.06.16.01

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NORMAL

eScan Version: 9.3.7
Sprache: German
C:\DOKUME~1\Ich\LOKALE~1\Temp\MWAV.LOG

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: Keine Aktion vorgenommen.
System found infected with flashfxp Spyware/Adware ({e5a1691b-d188-4419-ad02-90002030b8ee})! Action taken: Keine Aktion vorgenommen.
System found infected with whenu.savenow Spyware/Adware (cmdlineext02.dll)! Action taken: Keine Aktion vorgenommen.
System found infected with whenu.savenow Spyware/Adware (war3_install.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with marketdart Spyware/Adware (md.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with marketdart Spyware/Adware (md.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with whenu.savenow Spyware/Adware (cmdlineext02.dll)! Action taken: Keine Aktion vorgenommen.
System found infected with whenu.savenow Spyware/Adware (war3_install.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with marketdart Spyware/Adware (md.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with savenow Adware (C:\WINDOWS\system32\unrar.dll)! Action taken: Keine Aktion vorgenommen.


~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei F:\AUTORUN.INF infiziert von "Fujack" Virus. Aktion vorgenommen: No Action Taken.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Offending file found: C:\DOKUME~1\Ich\LOKALE~1\Temp\cmdlineext02.dll
Offending file found: C:\DOKUME~1\Ich\LOKALE~1\Temp\war3_install.exe
Offending file found: C:\Dokumente und Einstellungen\Ich\Desktop\games\the maid`s story\md.exe
Offending file found: C:\Dokumente und Einstellungen\Ich\Eigene Dateien\zeug\themaidsstory\the maid`s story\md.exe
Offending file found: C:\Dokumente und Einstellungen\Ich\Lokale Einstellungen\temp\cmdlineext02.dll
Offending file found: C:\Dokumente und Einstellungen\Ich\Lokale Einstellungen\temp\war3_install.exe
Offending file found: C:\Dokumente und Einstellungen\Ich\Eigene Dateien\zeug\themaidsstory\the maid`s story\md.exe
Offending file found: C:\WINDOWS\system32\unrar.dll
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{31fc9903-5bd1-11da-93e2-806d6172696f} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{31fc9907-5bd1-11da-93e2-806d6172696f} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{843d467d-73aa-11da-abf3-000129d1bc36} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{96183438-73e9-11da-abf5-000129d1bc36} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{bf7cb98b-1047-11db-b2bd-806d6172696f} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{bf7cb98f-1047-11db-b2bd-806d6172696f} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fe8165e5-0ebd-11db-9de8-806d6172696f} !!!
Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fe8165e9-0ebd-11db-9de8-806d6172696f} !!!


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Prozesse und Module
~~~~~~~~~~~~~~~~~~~~~~
Executable Command Found in {31fc9907-5bd1-11da-93e2-806d6172696f}\Name\Shell\AutoRun\command: F:\Autorun.exe
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Gescannte Dateien: 319211
Gefundene Viren: 18
Anzahl der desinfizierten Dateien: 0
Umbenannte Dateien: 0
Anzahl der gelöschten Dateien: 0
Anzahl Fehler: 458
Dauer des Scans bisher: 08:16:22
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Specherüberprüfung: Aktiviert
Registry Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung aller Festplatten :Aktiviert

Batchstart: 20:39:24,67
Batchende: 20:39:53,28