Hallo leute.

Mein problem ist das, das ich ab und zu bestimmte seiten wie z.B. www.die-stämme.de , www.yahoo.de , www.msn.de , www.google.de usw nicht öffnen kann. Wenn es mal wieder nicht geht, muss ich erst die explorer.exe schließen, damit ich auf diese seiten drauf kann. Desweiteren hab ich probleme mit einigen programmen wie photoimpact 12, icq, windows media player usw. Wenn ich eines dieser programme laufen habe und irgend eine taste drück (egal welche) schließt sich das programm. Ich hab mal gehört das die csrssc.exe daran schuld sei das die programme sich schließen, also habe ich sie gelöscht. Hat aber nichts gebracht.

Könnte mal jemand gucken ob er was findet??


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:17:46, on 12.07.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\Programme\Virtual CD v9\System\VC9SecS.exe
C:\WINDOWS\system32\wscntfy.exe
C:\PROGRA~1\Mozilla Firefox\firefox.exe
C:\Programme\Skype\Phone\Skype.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [e8ca778f] rundll32.exe "C:\WINDOWS\system32\xvulejva.dll",b
O4 - HKLM\..\Run: [BMebf94413] Rundll32.exe "C:\WINDOWS\system32\wqeissue.dll",s
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [Jnskdfmf9eldfd] C:\DOKUME~1\BESITZ~1.MUH\LOKALE~1\Temp\csrssc.exe
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: (no name) - {08b0e5c0-4fcb-11cf-aaa5-00401c608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08b0e5c0-4fcb-11cf-aaa5-00401c608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1f460357-8a94-4d71-9ca3-aa4acf32ed8e} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: ICQ6 - {e59eb121-f339-4851-a3ba-fe49c35617c2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {e59eb121-f339-4851-a3ba-fe49c35617c2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [java_sun] Java (Sun)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1207168627640
O16 - DPF: {d27cdb6e-ae6d-11cf-96b8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: jhsf8d984jief8dsfus98jkefn - {C5AF49A2-94F3-42BD-F434-2604812C897D} - C:\WINDOWS\system32\jfiehayd.dll
O23 - Service: Adobe LM Service (adobe lm service) - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Kaspersky Anti-Virus 7.0 (avp) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: TuneUp Drive Defrag-Dienst (tuneup.defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: Virtual CD v9 Management Service (VC9SecS) - H+H Software GmbH - C:\Programme\Virtual CD v9\System\VC9SecS.exe

--
End of file - 3550 bytes

Hi,

dein Rechner ist schwer befallen. Du hast nicht nur einen sondern mehrere Trojaner auf deinem Rechner.

Ich kann dir nur raten den Rechner so schnell wie möglich Neuaufsetzen und bis dahin den Rechner vom Internet zu trennen.

Wichtig!

Wenn Du einen anderen Rechner zur Verfügung hast ändere dort die Zugangsdaten für:

• Webmail Account
• Spiele Accounts
• Pay Pal
• FTP Logins
• Ebay und andere Auktionshäuser
• einfach alle auf diesem Rechner genutzten Logins
• Wenn Du OnlineBanking auf dem Rechner betrieben hast, prüfe die Kontobewegung auf Unregelmäßigkeiten

Dein Befall sammelt alle Daten, die er bekommen kann!

MBR Rootkit

Lade dir mbr.exe von GMER herunter und führe ihn aus.

Poste das Log bitte hier, nur zur Sicherheit.

lg myrtille

:-O OMG was hab ich denn gemacht -.-"

Vielen dank für die antwort!!!

Und diese mbr.exe öffnet kurz diese eingabeaufforderungs box und schliießt sich direkt. Da kommt nicht mit log file oder ähnliches.

:-O OMG was hab ich denn gemacht -.-"

Die falschen Seiten angesurft. Im Zweifelsfall. Deswegen ja auch der Hinweis auf das Passwort fürn ftp-login:
Wenn jemand von einem infizierten Rechner seine Webseite modifiziertt, nutzt der Trojaner das, um sich auf der Seite ebenfalls niederzulassen und von dort aus weitere Rechner zu infizieren.

Gegen derartige Einfallsvektoren helfen zb die Addons NoScript und Flashblack für den Firefox. So kann man auf unbekannten Seiten das ausführen von Skripten verhindern.

@mbr.exe
Das ist seltsam.
Lade dir die Datei erneut herunter und speichere sie auf dem Desktop ab (wenn die alte da schon liegt, bitte vorher löschen )
Rufe dann über Start->Ausführen ->cmd eingeben & enter drücken die Konsole auf.
Gib dort cd Desktop <enter> und dann mbr.exe >mbr.log <enter> ein. Nun sollte das Logfile eigentlich auf deinem Desktop erscheinen.
(Der Befehl überschreibt eine eventuell vorhandene mbr.log auf deinem Desktop)

lg myrtille

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK




Mehr steht da nicht. [Ist das alles???

Ja. Das sieht gut aus.

Das bedeutet, dass du durch ein formatieren der Festplatte tatsächlich alle Spuren deines Befalls entfernen wirst und sich nichts in anderen Teilen deines Rechners versteckt.

lg myrtille

Das ist ja gut :aplaus:

Noch ne frage und meine letzte....

Gibt es keine andere möglichkeit als formatieren.

Ach noch eine:

Könnte es auch sein das sich die viren in meinen persönlichen sachen wie musik, texte oder soar in programmen fest gehangen haben und ich nacher das selbe problem hab??

Hi,
es gibt sicherlich Möglichkeiten die Symptome zu entfernen und den Rechner sauber erscheinen zu lassen. Ob man den Rechner wirklich sauber kriegen könnte: Weiß ich nicht, aber ich bezweifele es.

Es wäre auf jedenfall nicht weniger aufwendig als das Neuaufsetzen.

Zu deiner letzten Frage:
Generell gilt: Keine ausführbaren Dateien sichern, also alles was exe, scr, pif, inf, com und co als Endung haben, sollte nicht gesichert werden.

Für weitere wichtige Hinweise halte die bitte an unser Anleitung fürs Neuaufsetzen m
Die wichtigsten Punkte sind: SP2 (bzw SP3) & Antivirenprogramm einspielen vor dem ersten Internetkontakt, Platte formatieren, nur sichere Software installieren, etc.

lg myrtille

Gut :-D Danke. Jetzt bin ich wieder ein meter schlauer^^ Ich werde alles mal so machen wie beschrieben.

Dieses Board ist echt zum empfehlen h:

Wenn nochmal was sein sollte, werde ich mich sofort an euch wenden!

Gruß

So..... es ist vollbracht

Hab jetzt alles runter geschmissen, windows neu drauf gehauen, AVG 8.0 instaliert und Windows updates aktiviert. Damit sollte ich auf der sicheren seite sein.

Gruß Adly