Hi erstmal alle, bin neu hier.

Vorweg, ich hab schon ne zeitlang im internet gesucht, aber leider nicht genau mein passendes problem gefunden.
und zwar:

nachdem am 03.03.2008 ich mir einen schönen Virus per USB-Stick eingefangen habe musste ich alle meine systeme (2 pcs, 1 laptop) bereinigen.
den einen pc hab ich mit einer selbsterstellten recovery ziemlich schnell hinbekommen.

jetzt ist das problem beim laptop: ich will ihn sehr ungern neu aufsetzten weil er änderungen hat die nicht so leicht zu wiederholen sind.

ich denke das der virus zu 99% beseitigt wurde (zumindest merk ich fast nichts mehr)

Das einzigste was übrig blieb ist, dass wenn ich in den ordner optionen/versteckte dateien anzeigen ändern möchte, übernimmt er es nicht.
er sagt zwar ok, aber wenn ich das fenster wieder aufmache steht es wieder auf "versteckte dateien verbergen..."

habt ihr ne idee wie ich das letzte 1% beseitigen kann? *g*

Ich hab bereits AdAware laufen lassen und HijackThis zeigt auch nichts "böses"

Hier der log:
---------------------LOG-ANFANG--------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:30:32, on 18.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\oodag.exe
E:\Rainlendar\Rainlendar2.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.10.10.2:8080
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Rainlendar2] E:\Rainlendar\Rainlendar2.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{3829DCA2-45E9-4026-A136-451D3AF2AB91}: NameServer = 192.168.0.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{3829DCA2-45E9-4026-A136-451D3AF2AB91}: NameServer = 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{3829DCA2-45E9-4026-A136-451D3AF2AB91}: NameServer = 192.168.0.1
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: F-Prot Antivirus Update Monitor - Unknown owner - C:\Programme\FSI\F-Prot\fpavupdm.exe (file missing)
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

--
End of file - 3854 bytes
---------------------LOG-ENDE-----------------------

Ne idee? braucht ihr noch mehr logs, daten, sonstwas?

Grüße
2five

Hallo

In dem Log ist allerdings nichts zu sehen.
Lasse Malwarebytes Anti Malware suchen (Anleitung in meiner Signatur).
Ausserdem lasse Blacklight scannen KLICK

Nur zur Ergänzung:

Führe ein Java Update durch! Deinstalliere vorher alle alten Java Versionen (Systemsteuerung / Software). Durch alte Java Versionen können Schädlinge auf Dein System gelangen. Dies gilt für jegliche Software!

danke schonmal für antwort
ich hab alles gemacht was ihr gesagt habt.
Java update, Malware scan, blacklight scan.

nur leider wurd nichts gefunden
malware log:

Malwarebytes' Anti-Malware 1.11
Datenbank Version: 651

Scan Art: Komplett Scan (C:\|D:\|E:\|)
Objekte gescannt: 67802
Scan Dauer: 42 minute(s), 11 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
(Keine Malware Objekte gefunden)


und nun?

gruß
2five

Hi,
rufe bitte mal unter Start->Ausführen->Regedit auf.

Erstelle dann als erstes ein Backup. Klicke auf "Registry" und dann auf "Registry exportieren" und speichere die Registry unter backup.reg.

Navigiere dann zu folgendem Schlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL

und gib hier bitte den Typ des Schlüssels "CheckedValue" und seinen Wert an.

lg myrtille

zuerst was ich komisch fande,
als ich registry aufrief war der ordner den du genannt hast schon offen...
obwohl ich da nie drin war...

ok und zu den werten:

Typ:
REG_DWORD

Wert:
0x00000000 (0)

Binärwert:
hmm binärwert konnt ich nich kopieren
stehn aber überall nullern drin.

jupp

Das ist allerdings seltsam. Hat sonst noch jemand Zugang zu deinem Rechner?

Lade dir bitte zudem noch Regmon herunter. Dieses Programm dokumentiert sämtliche Zugriffe auf die Registry und sollte daher auch diesen Eintrag überwachen. Somit sollten wir herausfinden, welche Datei den Wert wieder zurücksetzt. Werden denn andere Einstellungen problemlos übernommen?

Am besten gibst du als erstes einen Filter ein, etwa den Schlüssel, der überwacht werden soll und versuchst dann nochmal die Dateien über Ordneroptionen sichtbar zu machen.

Das sollte gleich 2 Sachen zeigen:
a)Versucht der Explorer überhaupt den Schlüssel zuzugreifen
b) greift sonst noch wer auf den schlüssel zu

Ansonsten nochmal regedit aufrufen und dann dort von Hand den Wert bei "Checked Value" von 0 auf 1 setzen, indem du einen Rechtsklick auf "Checked Value" machst und dort auf "Ändern" klickst. Dann gibst du dort 1 ein, achte dabei darauf, dass unter "Basis" der Punkt "Dezimal" angewählt ist und klickst auf "Ok".

lg myrtille

also das ist only mein notebook, den benutzt ich in der schule, arbeit, home
also hab ich ihn sogar nie aus den augen...

Das sollte gleich 2 Sachen zeigen:
a)Versucht der Explorer überhaupt den Schlüssel zuzugreifen
b) greift sonst noch wer auf den schlüssel zu

zu a:
laut beobachtung greift der explorer garnicht auf den ordner zu!

zu b:
es hat auch keiner auf diesen ordner zugegriffen nur ich selbst wenn ich die registry öffnete.


nachdem ich den wert manuel auf 1 geändert hatte
hat sich zunächst nichts getan
ABER ich konnte in den ordneroptionen nun ohne probleme den wert ändern
hin und her alles wunderbar!

kann es sein das es einfach eine sperre war die nun aufgehoben ist?

ich vermute mal der damalige virus hatte in der registry den eintrag auf 0 gesetzt und ich konnte in den ordneroptionen wegen der regel nichts ändern.

auf jedenfall dank ich dir vielmals ich kann wieder meine ordner sehen :aplaus::aplaus::aplaus::aplaus::aplaus::aplaus:

Schön zu hören, dass es jetzt geht
Seltsam ist das ganze schon, aber das Hauptziel haben wir erreicht

Bevor du gehst, solltest du noch alle installierten Javaversionen über Start->Systemsteuerung->Software deinstallieren und nur die neueste Version von Sun wieder installieren.

Die bei dir installierte Javaversion ist eine Einladung für jede Menge Malware.

lg myrtille

achso, ich dachte mit nem update wäre es getan?
oder macht er kein versionsupdate?

gruß und danke nochmal

Hi
Versionsupdates macht er nicht, nein.
Das ist allerdings unerheblich, da der Updater bei dir gar nicht lief.

Der Updater muss allerdings auch nicht unbedingt laufen, solange du die Updates dann von Hand aktualisierst.

Die Version 1.5 ist jetzt grobgeschätzt anderthalb Jahre alt.