| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-ManagerWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
19.08.2008, 14:57
| #1 |
| |  VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Hallo liebe Leute, ich hoffe ihr könnt mir helfen. Hier ein Kurzabriss meiner Symptome/Fehlermeldungen: ::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::: - "VIRUS ALERT!" neben Uhr in Taskleiste - blinkendes Symbol Roter Kreis mit weißem Kreuz in der Taskleiste - Beschnittenes Startmenü (Systemsteuerung und Netzwerkumgebung sind nicht mehr vorhanden) - Taskmanger nach Neustart nicht mehr abrufbar:"Der Taskmanager wurde durch den Administrator deaktiviert", dieses Problem ist korregierbar durch Kaspersky AV 2009 - Protection -Sytem Security - Security Analyzer. Ich kann dann wieder auf den Taskmanager zugreifen, nach einem Neustart tritt das Problem jedoch wieder auf - Nach jedem Neustart erscheinen, trotz vorherigem löschen, 3 Desktop-Icons: "Spyware&MalwareProtection", "Error Cleaner" und "Privacy Protector" (alle drei sind verknüpft mit "http://viruswebprotect2008.com/shandler.php?sid=0&aid=0&said=0&pn=0&sg=2" - Windows-Fehlermeldung "SYSTEM ALERT" poppt immer wieder auf (ca. alle 2 Minuten), ist laut Taskmanager an Prozess EXPLORER.EXE gebunden - Windows-Fehlermeldung "Windows Security Alert" poppt immer wieder auf (ca. alle 2 Minuten), ist laut Taskmanager an den Prozess CSRSS.EXE gebunden - Laufwerkreihenfolge ist verschoben (C:\ befindet sich weit unter allen anderen LW im Explorer) - Dateisuche über Startmenü: LW C:\ ist nicht anwählbar/wird nicht aufgeführt - Rechner ist extrem langsam :::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::: Ich habe bisher nur Kasperky AV 2009 drüberlaufen lassen, der hat auch einiges gefunden:  Mit HJT o.Ä. habe ich noch nie gearbeitet und deshalb vorerst die Finger davon gelassen. Da warte ich lieber auf konkrete Anweisung von einem der Profis hier. Ich hoffe ihr könnt mir helfen. Ich warte auf Anweisungen. Vielen Dank im voraus für eure Bemühungen. LG Indoril |
|
19.08.2008, 15:04
| #2 |
  |  VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Hi,
__________________folge den angegebenen Schritten der Reihenfolge nach: 1.) HijackThis Logfile posten, den Regeln entsprechend. 2.) Anleitung SmitfraudFix: Lade dir dieses Tool -> SmitfraudFix
2.) MalwareBytes Anti-Malware :
mfg
__________________ |
|
19.08.2008, 16:44
| #3 |
| | VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Vielen Dank ersteinmal für die ersten Schritte. Ich habe HJT 2x durchlaufen lassen einmal normal und einmal im abgesicherten Modus.
__________________Hier die HJT-LOGS: HJT-LOG Normal: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:17: VIRUS ALERT!, on 19.08.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\drivers\CDAC11BA.EXE C:\WINDOWS\Explorer.EXE C:\Programme\SyncroSoft\Pos\H2O\cledx.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe C:\Programme\Phonic\Firewire\Phonic_cpl.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe C:\WINDOWS\system32\wuauclt.exe C:\Anti\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: LabelCommand module - {18CB1A7B-94CD-4582-8022-ADA16851E44B} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\services\services.dll (file missing) O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O2 - BHO: QXK Olive - {CF94DBF9-B064-4473-8C40-BC68145805DA} - C:\WINDOWS\mesdxbrqetg.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: vwsrfton - {2969BC53-0B3D-4043-9C3C-ED7D3945C23D} - C:\WINDOWS\vwsrfton.dll O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: Phonic Control Panel.lnk = C:\Programme\Phonic\Firewire\Phonic_cpl.exe O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Web traffic protection statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1206473220146 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O20 - AppInit_DLLs: karina.dat,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll O21 - SSODL: tpabfelq - {8454EFE8-CA99-46C6-BD98-4D57DB0DAD7A} - C:\WINDOWS\tpabfelq.dll O21 - SSODL: wbqxfpgl - {E3799E18-C355-44C1-87F0-C6B2C14413C0} - C:\WINDOWS\wbqxfpgl.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE O23 - Service: dlcf_device - - C:\WINDOWS\system32\dlcfcoms.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe -- End of file - 6025 bytes Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:37: VIRUS ALERT!, on 19.08.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Safe mode Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Anti\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: LabelCommand module - {18CB1A7B-94CD-4582-8022-ADA16851E44B} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\services\services.dll (file missing) O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O2 - BHO: QXK Olive - {CF94DBF9-B064-4473-8C40-BC68145805DA} - C:\WINDOWS\mesdxbrqetg.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: vwsrfton - {2969BC53-0B3D-4043-9C3C-ED7D3945C23D} - C:\WINDOWS\vwsrfton.dll O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: Phonic Control Panel.lnk = C:\Programme\Phonic\Firewire\Phonic_cpl.exe O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Web traffic protection statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1206473220146 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O20 - AppInit_DLLs: karina.dat,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll O21 - SSODL: tpabfelq - {8454EFE8-CA99-46C6-BD98-4D57DB0DAD7A} - C:\WINDOWS\tpabfelq.dll O21 - SSODL: wbqxfpgl - {E3799E18-C355-44C1-87F0-C6B2C14413C0} - C:\WINDOWS\wbqxfpgl.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE O23 - Service: dlcf_device - - C:\WINDOWS\system32\dlcfcoms.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe -- End of file - 5377 bytes SmitfraudFix.exe: - habe alles nach anleitung gemacht. funktionierte jedoch beim anklicken nicht wie in der Anleitung beschrieben. SmitfraudFix legte stattdessen einen Ordner mit Dateien an. Vielleicht hast du ja eine erklärung dafür. Hier ein Screen:  Jedoch sind nach dem Neustart im Normalmodus folgende Symptome verschwunden: - VIRUS ALERT! bei der Uhr = weg - Blinkendes Kreis mit Kreuz Symbol = weg - Desktop-Icons (die 3 bösen) = weg - Beschnittenes Startmenü = wieder normal (Systemsteuerung verfügbar) - Taskmanagerzugriff = wieder möglich auch ohne vorherigen Fix durch Kaspersky - Rechner ist wieder schnell - Laufwerksreihenfolge im Explorer stimmt wieder - LW C:\ in der Dateisuche wiedr anwählbar Kurz: die Symptome sind bekämpft. Ich lasse grade nochmal Malwarebytes Anti-Malware durchlaufen. Das dauert ja noch, hat aber bisher 5 infizierte Objekte gefunden. So weit, so gut. Ich hoffe du kannst was mit den geposteten Logs anfangen und hast vllt auch eine Erklärung für die SmitfraudFix-Sache. Ich warte auf weitere Anweisungen. Vielen Dank nochmals!! Ich glaube bald wird alles gut  LG Indoril |
|
19.08.2008, 16:53
| #4 |
| | VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Hi, ein Logfile reicht, das im normalen Modus. Zu SmitfraudFix. hast du es im abgesicherten Modus geöffnet? Hättest du nämlich machen sollen, steht ja da. Die angelegten Dateien sind i.O. mfg
__________________ mfg, Patrick Technische Kompromittierung => Tatort Internet Keine Windows-CD? Selbst brennen. |
|
19.08.2008, 17:04
| #5 |
| | VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Ja ich habe es erst im abgesicherten gestartet, als die exe nur das verzeichnis anlegete habe ich es auch nochmal im normalen modus versucht. das gleiche. |
|
19.08.2008, 17:08
| #6 |
| | VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager Gehe in den Safe Mode und klicke auf dei SmitfraudFix.cmd. Dann klappt es auch, Option 2 nicht vergessen.
__________________ --> VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager |
|
| Themen zu VIRUS ALERT! neben Windows Uhr, Kein Zugriff auf Sytemsteuerung und Task-Manager |
| administrator, alert, csrss.exe, error, error cleaner, explorer.exe, folge, immer wieder, kaspersky, löschen, netzwerkumgebung, neustart, privacy protector, problem, prozess, security, security alert, spyware, system alert, systemsteuerung, task-manager, taskmanager, virus, virus alert, virus alert!, weißem kreuz, windows, windows security, windows security alert |
Hybrid-Darstellung
