Auch Virus Alert in Task Leiste.

Südafrikaner · 30.06.2008, 12:36

Guten Tag zusammen.
Ich habe auch dieses Virus Alert Problem. Oder vielmehr meine Schwester hat es.
Problem: Ich befinde mich in Südafrika und kommuniziere mit ihr über ICQ. Vor Ort hätte ich jetzt formatiert.
Aber eine Anleitung dafür und vorallem welche Daten sie vorher wie sichern soll geht einfach schlecht, deswegen würde ich gerne eine Formatierung vermeiden.
Programme kann sie keine runterladen, das mache ich und schicke sie ihr per ICQ.
Habe hier im Forum ein bisschen nach Lösungen gesucht und
deswegen schon das ein oder andere getestet:

Was bisher geschah:
Smitfraudfix im abgesicherten modus - keine Wirkung

Code:

ATTFilter

SmitFraudFix v2.141

Scan done at 13:21:12,42, 27.06.2008
Run from F:\Tools\Internet\Sicherheit\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning
 
Registry Cleaning done. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

Malwarebytes im normalen sowie abgesicherten Modus laufen lassen - keine Wirkung
Logdateien habe ich grad noch nicht, kann ich aber vermutlich bekommen.
spybot im abgesicherten Modus - keine Wirkung (sorry, log habe ich mir auch noch nicht schicken lassen).

SuperAntispyware Versuch 1
Angehängt weil zu groß.

Gegen Ende will SAS neustarten, um dann die Bereinigung zu vervollständigen. Wenn es nach dem Neustart erneut selbstständig startet, wird der PC direkt neugebootet. Seitdem ist der Benutzer nicht mehr im normalen bootmodus zu erreichen, weil er direkt einfach wieder runterfährt.
Also SUPERAntiSpyware im abgesicherten Modus laufen lassen.

Code:

ATTFilter

SUPERAntiSpyware Scan Log
SUPERAntiSpyware.com - AntiAdware, AntiSpyware, AntiMalware!

Generated 06/29/2008 at 07:08 PM

Application Version : 4.15.1000

Core Rules Database Version : 3493
Trace Rules Database Version: 1484

Scan type       : Complete Scan
Total Scan Time : 06:38:48

Memory items scanned      : 152
Memory threats detected   : 0
Registry items scanned    : 4805
Registry threats detected : 0
File items scanned        : 113845
File threats detected     : 2

Adware.Tracking Cookie
	C:\Dokumente und Einstellungen\xxx1\Cookies\xxx1@zbox.zanox[1].txt

Trojan.Dropper/Gen
	C:\WINDOWS\EKDA.EXE

['/CODE]
Benutzer geht immernoch nicht. Startet ständig neu.
Aber: die anderen Benutzer gehen noch, d.h. über die kann meine Schwester mich per ICQ erreichen.
Hier noch ein HijackThis log:
['CODE]
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:09:58, on 29.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Safe mode

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Hijack\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://w*w.winamp.com/getwinamp/
R3 - URLSearchHook: (no name) - {CE000994-A58C-4441-8938-744CD72AB27F} - (no file)
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKCU\..\Run: [LogitechSetup] I:\Setup\Setup.exe /start /restart /l:deu
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Programme\Norton Personal Firewall\ccPxySvc.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido\security suite\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: VeriSign Updater (navi) - VeriSign, Inc. - C:\Programme\VeriSign\NAVI\naviagent.exe
O23 - Service: Norton Personal Firewall Accounts Manager (NISUM) - Symantec Corporation - C:\Programme\Norton Personal Firewall\NISUM.EXE

--
End of file - 5654 bytes

Ich glaube wir haben 4 Benutzer auf WinXP laufen (in den logs xxx1 bis xxx4). Der Benutzer mit Administrator rechten war meiner, und das ist der, der jetzt nur noch im abgesicherten Modus lief. Dieses Virus Alert wurde aber nicht bei allen angezeigt.
Anhand der logs solltet ihr sehen können, dass mein Bruder auch ein Benutzerkonto hat und auf gewissen Seiten war, wo er eigentlich nicht sein sollte und da wohl der Virus herkommt.
Zuletzt versucht: Wir haben versucht CCleaner zu installieren, um es laufen zu lassen und per Combofix eine weitere log zu bekommen.
CCleaner brachte aber eine Fehlermeldung bei der Installation "fehler beim überschreiben der datei
c/programme/ccleaner/ccleaner.exe" bevor wir da weiterinstallieren habe ich mich entschieden jetzt doch erstmal nachzufragen.
Es wäre super nett, wenn mir jemand helfen könnte. Meine Schwester ist nicht dumm, sie braucht nur eine genaue Beschreibung was sie tun soll und dann macht sie das auch.
Systemwiederherstellung sollte deaktiviert sein und systemdateien sowie versteckte werden angezeigt (zumindest behauptet meine Schwester das nach Anleitung so eingestellt zu haben).
Vielen Dank schonmal.
Grüße aus dem Süden

Auch Virus Alert in Task Leiste.

Plagegeister aller Art und deren Bekämpfung: Auch Virus Alert in Task Leiste.

Auch Virus Alert in Task Leiste.

Ähnliche Themen: Auch Virus Alert in Task Leiste.