Hallo aus Spanien.....
Hab schon alles an Zusatzprogrammen probiert, aber seit einigen Tagen bekomme ich Werbefenster ohne Ende. Hier mal mein HiJack-Log:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:59:41, on 26.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\Programme\Windows Defender\MsMpEng.exe
D:\Programme\Panda Software\Panda Internet Security 2007\pavsrv51.exe
D:\Programme\Panda Software\Panda Internet Security 2007\AVENGINE.EXE
D:\WINDOWS\system32\svchost.exe
D:\Programme\Panda Software\Panda Internet Security 2007\TPSrv.exe
D:\WINDOWS\system32\svchost.exe
d:\programme\panda software\panda internet security 2007\firewall\PNMSRV.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\Programme\Bonjour\mDNSResponder.exe
D:\Programme\Panda Software\Panda Internet Security 2007\PavFnSvr.exe
D:\Programme\Gemeinsame Dateien\Panda Software\PavShld\pavprsrv.exe
D:\Programme\Panda Software\Panda Internet Security 2007\AntiSpam\pskmssvc.exe
D:\Programme\Panda Software\Panda Internet Security 2007\PsImSvc.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Java\jre1.6.0_03\bin\jusched.exe
D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Programme\Panda Software\Panda Internet Security 2007\APVXDWIN.EXE
D:\Programme\Windows Defender\MSASCui.exe
D:\WINDOWS\system32\RunDll32.exe
D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
D:\WINDOWS\system32\ctfmon.exe
E:\software\TomTom HOME 2\HOMERunner.exe
D:\Programme\REALTEK RTL8187 Wireless LAN Driver and Utility\RtWLan.exe
D:\Programme\Panda Software\Panda Internet Security 2007\SRVLOAD.EXE
d:\programme\panda software\panda internet security 2007\WebProxy.exe
D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
E:\software\Mozilla Thunderbird\thunderbird.exe
D:\Programme\GetRight\GetRight.exe
F:\download\getright\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 169.254.43.100
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: IE to GetRight Helper - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - D:\Programme\GetRight\xx2gr.dll
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: {7f355c9a-53a5-6c39-7eb4-57003b3ac05c} - {c50ca3b3-0075-4be7-93c6-5a35a9c553f7} - (no file)
O2 - BHO: (no name) - {E98DC265-8776-47B0-9F29-65DC76117467} - (no file)
O3 - Toolbar: Traductor - {FF284F5C-7CF9-4682-8701-D467C1DBB99F} - E:\software\promt\PRMTIE\prmtie.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [ATIPTA] D:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [APVXDWIN] "D:\Programme\Panda Software\Panda Internet Security 2007\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [SCANINICIO] "D:\Programme\Panda Software\Panda Internet Security 2007\Inicio.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] D:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] E:\software\corel\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=040508 serial=DR12CEW-7476664-MRU lang=DE
O4 - HKLM\..\Run: [Windows Defender] "D:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [CtrlMod20] D:\DOKUME~1\MICHA~1.VEN\LOKALE~1\Temp\ctrlAT20.exe -m 72 -p"H:"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [7807db92] rundll32.exe "D:\WINDOWS\system32\kneqrrlq.dll",b
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BM8a978cce] Rundll32.exe "D:\WINDOWS\system32\kvluoasr.dll",s
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TomTomHOME.exe] "E:\software\TomTom HOME 2\HOMERunner.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stardock ObjectDock.lnk = E:\software\ObjectDock\ObjectDock.exe
O4 - Global Startup: Microsoft Office.lnk = E:\software\ms-office\Office\OSA9.EXE
O4 - Global Startup: REALTEK RTL8187 Wireless LAN Utility.lnk = ?
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Download with GetRight - D:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Mit GetRight downloaden - D:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Mit Getright-Browser öffnen - D:\Programme\GetRight\GRbrowse.htm
O8 - Extra context menu item: Open with GetRight Browser - D:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - E:\software\promt\PRMTIE\prmtie5.htm
O9 - Extra 'Tools' menuitem: Traducir - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - E:\software\promt\PRMTIE\prmtie5.htm
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - E:\software\promt\PRMTIE\options.htm
O9 - Extra 'Tools' menuitem: Personalizar las opciones de traducción - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - E:\software\promt\PRMTIE\options.htm
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\software\icq6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\software\icq6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://asia.msi.com.tw
O15 - Trusted Zone: http://global.msi.com.tw
O15 - Trusted Zone: http://www.msi.com.tw
O16 - DPF: {162247AF-26A7-44FC-A93A-69506EA244F3} (HWTest.HWTestControl) - http://service.maxdome.de/de/systemcheck/HWTest.CAB
O16 - DPF: {8167C273-DF59-4416-B647-C8BB2C7EE83E} (WebSDev Control) - http://liveupdate.msi.com.tw/autobios/LOnline/install.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7EFD03A6-85CB-43FA-B413-06CABD38B7C5}: NameServer = 80.58.61.250,80.58.61.254
O17 - HKLM\System\CCS\Services\Tcpip\..\{F7FDFA33-E07A-4691-9927-EE9FF2D4B324}: NameServer = 80.58.61.250,80.58.61.254
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: mljgeeb - mljgeeb.dll (file missing)
O23 - Service: Apple Mobile Device - Apple, Inc. - D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - D:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - D:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - D:\Programme\iPod\bin\iPodService.exe
O23 - Service: Panda Function Service (PAVFNSVR) - Panda Software International - D:\Programme\Panda Software\Panda Internet Security 2007\PavFnSvr.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - D:\Programme\Gemeinsame Dateien\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software International - D:\Programme\Panda Software\Panda Internet Security 2007\pavsrv51.exe
O23 - Service: Panda Antispam Engine (pmshellsrv) - Panda Software International - D:\Programme\Panda Software\Panda Internet Security 2007\AntiSpam\pskmssvc.exe
O23 - Service: Panda Network Manager (PNMSRV) - Panda Software International - d:\programme\panda software\panda internet security 2007\firewall\PNMSRV.EXE
O23 - Service: Panda IManager Service (PSIMSVC) - Panda Software - D:\Programme\Panda Software\Panda Internet Security 2007\PsImSvc.exe
O23 - Service: ServiceLayer - Nokia. - D:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Panda TPSrv (TPSrv) - Panda Software - D:\Programme\Panda Software\Panda Internet Security 2007\TPSrv.exe

--
End of file - 11315 bytes


Vielen Dank

Micha

Hi,

Bitte folgende Files prüfen:

D:\WINDOWS\system32\kvluoasr.dll
D:\WINDOWS\system32\kneqrrlq.dll
D:\DOKUME~1\MICHA~1.VEN\LOKALE~1\Temp\ctrlAT20.exe

http://www.virustotal.com/flash/index_en.html
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen
Poste die Ergebnisse mit Filename!

chris

Hallo Chris,

di ersten beiden Dateien hat er nicht angenommen, da 0 Byte, hatte ich mit "AVG" schon gefunden und "erledigt", kommt aber bei jedem Windows-Start eine Fehlermeldung, dass er die beiden DLL nicht findet!!??????
Bei der letzten kommt das raus:

D:\DOKUME~1\MICHA~1.VEN\LOKALE~1\Temp\ctrlAT20.exe:

MD5: 991ff056c5d21994a13d01cac1ae165b
Datum 2008.03.23 22:53:08 (CET) [>2D]
Ergebnisse 0/32
Permalink: analisis/2da9639e2580c3bbab7a582f6c9f2cfc

Danke

Micha

Hi,

lass uns das mal fixen:

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Beim fixen müssen alle Programme geschlossen sein!

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: {7f355c9a-53a5-6c39-7eb4-57003b3ac05c} - {c50ca3b3-0075-4be7-93c6-5a35a9c553f7} - (no file)
02 - BHO: (no name) - {E98DC265-8776-47B0-9F29-65DC76117467} - (no file)
O4 - HKLM\..\Run: [CtrlMod20] D:\DOKUME~1\MICHA~1.VEN\LOKALE~1\Temp\ctrlAT20.exe -m 72 -p"H:"
O4 - HKLM\..\Run: [7807db92] rundll32.exe "D:\WINDOWS\system32\kneqrrlq.dll",b
O4 - HKLM\..\Run: [BM8a978cce] Rundll32.exe "D:\WINDOWS\system32\kvluoasr.dll",s
20 - Winlogon Notify: mljgeeb - mljgeeb.dll (file missing)

Dann sollten die Fehlermeldungen beim Booten weg sein, was macht der Rechner (die netten kleinen Fenster)?

Zur Sicherheit noch ein Scan mit Combofix:
Combofix
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Chris

Hi,

alles gemacht, werbefenster kommen immer noch und mit "combo-fix" habe ich mir einen fetten Virus eingefangen (trg/Bancos.RQ) ???????????????

Micha

Hi,

wenn Du den Download von der angegebenen Location gemacht hast, dürfte kein Virus enthalten sein. Allerdings nutzt Combofix ähnliche Techniken, d. h. er wird (ähnlich wie Smithfraudfix) von einigen Scannern als Virus erkannt.
Scanner abschalten und ComboFix durchführen und Log posten...

Silentrunner durchführen:
Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen.
Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten.
http://www.silentrunners.org/Silent%20Runners.zip

Hostfile posten:
Lade das Host-file (C:\WINDOWS\system32\drivers\etc\hosts) in einen Texteditor (im Explorer drauf klicken, rechte Maus, senden an -> editor).
Kopiere den Inhalt und poste ihn hier...
(Da können eventuell "Umleitungen" enthalten sein...

chris