Warning Spyware detected. Bluescreenfake!

PaRaZzEe · 25.08.2008, 13:30

Hey Leute
Wie auch einige andere vor mir hab ich auch seit Gestern ein Problem.
Mein desktop Hintergrund wurde geändert und dort seh ich jetzt eine Warung:
Warning Spyware detected on your Computer....
In nem Threat vorher hab ich das BIld auch schonmal gesehn.

Die Menüpunkte um Bildschirmschoner und Desktophintergrund zu ändern sind verschwunden.

Ausserdem bekomm ab und zu nen Bluescreen, der nich von allein weg geht, aber sich wenn ich dann auf den Knopf zum reboot drücke, als Screensaver herausstellt. Er spielt kmir also den BLuescreen vor.
Hab das Programm auch shcon mit RunScanner gefunden und gelöscht.
Antivir is auch 2 mal durcgelaufen. Hat beim ersten Mal 3 Dateien gefunden und beim 2. mal keine mehr.

Ich hab versucht Smitfraudfix und SUPERAntiSpyware herunter zu laden, aber Firefox öffnet die Seiten nicht(Nur diese).
Hier erstmal die Logdatei vom Runscanner:

Code:

ATTFilter

Runscanner logfile http://www.runscanner.net 

* = signed file
- = file not found

General info
------------
Computer name : PARAZZEE
Creation time : 25.08.2008 13:18:50
Hosts <> 127.0.0.1 : 0
Hosts file location : %SystemRoot%\System32\drivers\etc
IE version : 6.0.2900.2180
OS : Microsoft Windows XP
OS Build : 2600
OS SP : Service Pack 2
RunScanner Version : 1.7.0.0
User Language : Deutsch (Deutschland)
User rights : Administrator
Windows folder : C:\WINDOWS

Running processes
-----------------
  C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe (Avira GmbH)
  C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe (Avira GmbH)
  C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe (Avira GmbH)
  C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe (Avira GmbH)
* C:\WINDOWS\system32\services.exe (Microsoft Corporation)
* C:\WINDOWS\System32\alg.exe (Microsoft Corporation)
  C:\Programme\ASUS\WLAN Card Utilities\Center.exe (ASUSTeK COMPUTER INC.)
* C:\WINDOWS\SOUNDMAN.EXE (Avance Logic, Inc.)
* C:\WINDOWS\system32\csrss.exe (Microsoft Corporation)
* C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation)
* C:\WINDOWS\system32\svchost.exe (Microsoft Corporation)
* C:\WINDOWS\system32\svchost.exe (Microsoft Corporation)
* C:\WINDOWS\System32\svchost.exe (Microsoft Corporation)
* C:\WINDOWS\System32\svchost.exe (Microsoft Corporation)
* C:\WINDOWS\System32\svchost.exe (Microsoft Corporation)
* C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.)
  C:\Programme\ZyDAS\ZD1211 802.11g Utility\ZDWlan.exe
* C:\Programme\Logitech\GamePanel Software\LCD Manager\Applets\LCDClock.exe (Logitech Inc.)
* C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe (Logitech Inc.)
* C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe (Logitech Inc.)
* C:\WINDOWS\system32\lsass.exe (Microsoft Corporation)
  C:\WINDOWS\System32\nvsvc32.exe (NVIDIA Corporation)
* C:\DOKUME~1\Julian\LOKALE~1\Temp\Rar$EX03.500\RunScanner.exe (Runscanner.net)
* C:\WINDOWS\system32\spoolsv.exe (Microsoft Corporation)
* C:\WINDOWS\Explorer.EXE (Microsoft Corporation)
* C:\WINDOWS\system32\winlogon.exe (Microsoft Corporation)
* C:\WINDOWS\system32\wuauclt.exe (Microsoft Corporation)
* C:\WINDOWS\system32\wuauclt.exe (Microsoft Corporation)
  C:\Programme\WinRAR\WinRAR.exe
  C:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe (Avira GmbH)

Unrated items
-------------
002   C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe (Avira GmbH)
002   C:\Programme\ASUS\WLAN Card Utilities\Center.exe (ASUSTeK COMPUTER INC.)
002 * C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe (Logitech Inc.)
002 * C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe (Logitech Inc.)
002   C:\WINDOWS\system32\NvCpl.dll (NVIDIA Corporation)
002   C:\Programme\QuickTime\qttask.exe (Apple Inc.)
005   C:\Programme\ZyDAS\ZD1211 802.11g Utility\ZDWlan.exe
010   C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe (Avira AntiVir Personal - Free Antivirus Guard)
010   C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe (Avira AntiVir Personal - Free Antivirus Planer)
010   C:\WINDOWS\System32\nvsvc32.exe (NVIDIA Display Driver Service)
010   C:\Programme\WinPcap\rpcapd.exe (Remote Packet Capture Protocol v.0 (experimental))
011   C:\WINDOWS\System32\DRIVERS\AegisP.sys (AEGIS Protocol (IEEE 802.1x) v3.4.3.0)
011   C:\WINDOWS\system32\ASNDIS5.SYS (ASNDIS5 Protocol Driver)
011 * C:\Programme\Avira\AntiVir PersonalEdition Classic\avgio.sys (avgio)
011 * C:\Programme\Avira\AntiVir PersonalEdition Classic\avgntflt.sys (avgntflt)
011 * C:\WINDOWS\system32\DRIVERS\avipbb.sys (avipbb)
011   C:\WINDOWS\system32\drivers\npf.sys (NetGroup Packet Filter Driver)
011   C:\WINDOWS\System32\DRIVERS\nv4_mini.sys (nv)
011   C:\WINDOWS\System32\Drivers\sptd.sys (sptd)
011   C:\WINDOWS\system32\DRIVERS\ssmdrv.sys (ssmdrv)
011   C:\WINDOWS\System32\drivers\sfdrv01.sys (StarForce Protection Environment Driver (version 1.x))
011   C:\WINDOWS\System32\drivers\sfhlp02.sys (StarForce Protection Helper Driver (version 2.x))
011   C:\WINDOWS\System32\drivers\sfvfs02.sys (StarForce Protection VFS Driver (version 2.x))
011   C:\WINDOWS\system32\drivers\StarOpen.sys (StarOpen)
011   C:\WINDOWS\system32\ZDPNDIS5.SYS (ZDPNDIS5 NDIS Protocol Driver)
031   C:\Programme\Gemeinsame Dateien\System\OLE DB\msdaipp.dll (Microsoft Corporation) {E1D2BF42-A96B-11d1-9C6B-0000F875AC61}
031   C:\Programme\Gemeinsame Dateien\System\OLE DB\msdaipp.dll (Microsoft Corporation) {E1D2BF42-A96B-11d1-9C6B-0000F875AC61}
031   C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\PKMCDO.DLL (Microsoft Corporation) {CD00020A-8B95-11D1-82DB-00C04FB1625D}
031   C:\Programme\Gemeinsame Dateien\System\OLE DB\msdaipp.dll (Microsoft Corporation) {E1D2BF40-A96B-11d1-9C6B-0000F875AC61}
033   C:\WINDOWS\system32\oembios.exe
042   C:\Programme\PartyGaming\PartyPoker\RunApp.exe {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}
052   GUID / CLSID not found {7E853D72-626A-48EC-A868-BA8D5E23E045}
052   C:\Programme\Free Download Manager\iefdm2.dll {CC59E0F9-7E43-44FA-9FAA-8377850BF205}
061   C:\WINDOWS\System32\nvshell.dll {1CDB2949-8F65-4355-8456-263E7C208A5D}
061   C:\WINDOWS\System32\nvshell.dll {1E9B04FB-F9E5-4718-997B-B8DA88302A47}
061   C:\WINDOWS\System32\nvcpl.dll (NVIDIA Corporation) {A70C977A-BF00-412C-90B7-034C51DA2439}
061   C:\WINDOWS\System32\nvshell.dll {1E9B04FB-F9E5-4718-997B-B8DA88302A48}
061   C:\WINDOWS\System32\nvcpl.dll (NVIDIA Corporation) {FFB699E0-306A-11d3-8BD1-00104B6F7516}
061   C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll (Avira GmbH) {45AC2688-0253-4ED8-97DE-B5370FA7D48A}
061   C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL (Microsoft Corporation) {BDEADF00-C265-11D0-BCED-00A0C90AB50F}
061   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
100   Start Page HKCU : http://google.daemonsearch.com/intl/
102   GUID / CLSID not found {32683183-48a0-441b-a342-7c2a440a9478}
105   Alles mit FDM herunterladen : file://C:\Programme\Free Download Manager\dlall.htm
105   Auswahl mit FDM herunterladen : file://C:\Programme\Free Download Manager\dlselected.htm
105   Datei mit FDM herunterladen : file://C:\Programme\Free Download Manager\dllink.htm
105   Videos mit FDM herunterladen : file://C:\Programme\Free Download Manager\dlfvideo.htm
173   C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll (Avira GmbH) {45AC2688-0253-4ED8-97DE-B5370FA7D48A}
173   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
221   C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll (Avira GmbH) {45AC2688-0253-4ED8-97DE-B5370FA7D48A}
221   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
225   C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll (Avira GmbH) {45AC2688-0253-4ED8-97DE-B5370FA7D48A}
225   C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll (Avira GmbH) {45AC2688-0253-4ED8-97DE-B5370FA7D48A}
225   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
225   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
227   C:\Programme\WinRAR\rarext.dll {B41DB860-8EE4-11D2-9906-E49FADC173CA}
229   C:\WINDOWS\System32\nvshell.dll {1E9B04FB-F9E5-4718-997B-B8DA88302A48}
229   C:\WINDOWS\System32\nvcpl.dll (NVIDIA Corporation) {A70C977A-BF00-412C-90B7-034C51DA2439}

Missing files
-------------
011 C:\WINDOWS\system32\drivers\Abiosdsk.sys
011 C:\WINDOWS\system32\drivers\abp480n5.sys
011 C:\WINDOWS\system32\drivers\adpu160m.sys
011 C:\WINDOWS\system32\drivers\Aha154x.sys
011 C:\WINDOWS\system32\drivers\aic78u2.sys
011 C:\WINDOWS\system32\drivers\aic78xx.sys
011 C:\WINDOWS\system32\drivers\air20cjh.sys
011 C:\WINDOWS\system32\drivers\AliIde.sys
011 C:\WINDOWS\system32\drivers\amsint.sys
011 C:\WINDOWS\system32\drivers\asc.sys
011 C:\WINDOWS\system32\drivers\asc3350p.sys
011 C:\WINDOWS\system32\drivers\asc3550.sys
011 C:\WINDOWS\system32\drivers\Atdisk.sys
011 C:\WINDOWS\system32\drivers\cd20xrnt.sys
011 C:\WINDOWS\system32\drivers\Changer.sys
011 C:\WINDOWS\system32\drivers\CmdIde.sys
011 C:\WINDOWS\system32\drivers\Cpqarray.sys
011 C:\WINDOWS\system32\drivers\dac2w2k.sys
011 C:\WINDOWS\system32\drivers\dac960nt.sys
011 C:\WINDOWS\system32\drivers\dpti2o.sys
011 C:\WINDOWS\system32\drivers\hpn.sys
011 C:\WINDOWS\system32\drivers\hpt3xx.sys
011 C:\WINDOWS\system32\drivers\i2omgmt.sys
011 C:\WINDOWS\system32\drivers\i2omp.sys
011 C:\WINDOWS\system32\drivers\ini910u.sys
011 C:\WINDOWS\system32\drivers\IntelIde.sys
011 C:\WINDOWS\system32\drivers\lbrtfdc.sys
011 C:\WINDOWS\system32\drivers\mraid35x.sys
011 C:\WINDOWS\system32\drivers\PCIDump.sys
011 C:\WINDOWS\system32\drivers\PDCOMP.sys
011 C:\WINDOWS\system32\drivers\PDFRAME.sys
011 C:\WINDOWS\system32\drivers\PDRELI.sys
011 C:\WINDOWS\system32\drivers\PDRFRAME.sys
011 C:\WINDOWS\system32\drivers\perc2.sys
011 C:\WINDOWS\system32\drivers\perc2hib.sys
011 C:\WINDOWS\system32\drivers\ql1080.sys
011 C:\WINDOWS\system32\drivers\Ql10wnt.sys
011 C:\WINDOWS\system32\drivers\ql12160.sys
011 C:\WINDOWS\system32\drivers\ql1240.sys
011 C:\WINDOWS\system32\drivers\ql1280.sys
011 C:\WINDOWS\system32\drivers\Simbad.sys
011 C:\WINDOWS\system32\drivers\Sparrow.sys
011 C:\WINDOWS\system32\drivers\sym_hi.sys
011 C:\WINDOWS\system32\drivers\sym_u3.sys
011 C:\WINDOWS\system32\drivers\symc810.sys
011 C:\WINDOWS\system32\drivers\symc8xx.sys
011 C:\WINDOWS\system32\drivers\TosIde.sys
011 C:\WINDOWS\system32\drivers\ultra.sys
011 C:\WINDOWS\system32\drivers\ViaIde.sys
011 C:\WINDOWS\system32\drivers\WDICA.sys
061 deskpan.dll
171 C:\WINDOWS\system32\blphc3vmj0ev6e.scr

Naja Danke schonmal

Xkwadrat · 25.08.2008, 14:01

Hallo,

habe das gleiche Problem gehabt. Mit dem Hintergrund habe ich wieder hinbekommen.

Hierzu eine Anleitung die ich im Netz gefunden habe:

"Das Problem mit den verschwundenen Reitern hatte ich nach einem Virusbefall auch. Sollte wie folgt zu lösen sein:

In der Registry folgenden Unterschlüssel suchen:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

Dort finden sich verschiedene DWORD-Einträge, z. B.
NoDispCPL REG_DWORD 0x000000001 (1)
Klickt der Anwender jetzt auf dem Desktop mit der rechten Maustaste und will die Eigenschaften aus dem Kontextmenü aufrufen, erfährt er, dass der Admin das Feature ausgeschaltet hat ;-)
Sollte dieser Wert also auf 1 stehen, dann Doppelklick auf NoDispCPL und statt der 1 eine 0 reinschreiben.

Fehlen nur einzelne Reiter, dann erstellt man diese einfach. (Unten ist beschrieben, wie.) Folgende Reiter sind möglich:
NoDispAppearancePage
NoDispBackgroundPage
NoDispScrSavPage
NoDispSettingsPage
und eben der obige NoDispCPL, der gleich die ganze Anzeige verbietet.

Eine 1 als Wert für den Schlüssel bedeutet jeweils ein JA!
Wenn also der Anwender will, dass der Reiter für den Desktop NICHT angezeigt wird, mit dem man z. B. das Hintergrundbild auswählen oder strecken etc. kann, dann muss er nur bei
NoDispBackgroundPage eine 1 als Wert angeben. In der Regel wird man das aber gerade NICHT wollen ;-) Also eine 0 eingeben.

DWORD-Werte erstellen:
Achtung! Es funzt gar nix, wenn ihr einen REG_SZ Eintrag erstellt!
Zuerst unter dem obigen Schlüssel bis in den Unterordner Systems gehen, dort Rechtsklick und NEU -> DWORD-Wert auswählen. Den dann entsprechend benennen, z. B. NoDispCPL, und dann Doppelklick darauf und einfach eine 0 eingeben, die ohnehin vorgegeben drin stehen dürfte. Fertig. Das Ganze für jeden Schlüssel wiederholen. Die Änderungen wirken sich sofort aus - ohne Runterfahren"

Ich habe jetzt nur das Problem, dass Google mich ständig umleitet auf andere Seiten.

PaRaZzEe · 25.08.2008, 15:10

Ja das Problem hatte ich auch.
Es sieht so aus als hätte ichs es halbwegs behoben.
Ich hab bei Firefox einfach ein Add-on deinstalliert, dass sich wohl von selbst installiert hatte und mich immer falsch umgeleitet hatt.
Jetzt bringt er mich nicht mehr auf andere Seiten, aber öffnen kann ich die Seiten trotzdem nicht.

Ich habe jetzt mit nem anderen PC Smitfrauffix heruntergeladen.
Hier ist der Log vor dem Clean:

Code:

ATTFilter

SmitFraudFix v2.339

Scan done at 14:46:02,46, 25.08.2008
Run from C:\Dokumente und Einstellungen\Julian\Eigene Dateien\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is 
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\Julian\Eigene Dateien\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\a.exe FOUND !
C:\WINDOWS\system32\tdssservers.dat detected, use a Rootkit scanner
C:\WINDOWS\system32\tdssadw.dll detected, use a Rootkit scanner
C:\WINDOWS\system32\tdssinit.dll detected, use a Rootkit scanner
C:\WINDOWS\system32\tdssl.dll detected, use a Rootkit scanner
C:\WINDOWS\system32\tdsslog.dll detected, use a Rootkit scanner
C:\WINDOWS\system32\tdssmain.dll detected, use a Rootkit scanner
C:\WINDOWS\system32\drivers\tdssserv.sys detected, use a Rootkit scanner

»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator.PARAZZEE


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator.PARAZZEE\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\ADMINI~1.PAR\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme 


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,C:\\WINDOWS\\system32\\oembios.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK



»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CS2\Services\Tcpip\..\{FB955EB3-194E-414F-8089-CE63EC8A6085}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

und hier der Log nach dem Clean im abgesicherten Modus:

Code:

ATTFilter

SmitFraudFix v2.339

Scan done at 14:51:11,18, 25.08.2008
Run from C:\Dokumente und Einstellungen\Julian\Eigene Dateien\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is 
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\system32\a.exe Deleted

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CS2\Services\Tcpip\..\{FB955EB3-194E-414F-8089-CE63EC8A6085}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning
 
Registry Cleaning done. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

Ausserdem hier die Log von Malwarebytes:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1087
Windows 5.1.2600 Service Pack 2

16:02:57 25.08.2008
mbam-log-08-25-2008 (16-02-57).txt

Scan-Methode: Vollständiger Scan (C:\|L:\|)
Durchsuchte Objekte: 126189
Laufzeit: 43 minute(s), 15 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 3
Infizierte Registrierungswerte: 5
Infizierte Dateiobjekte der Registrierung: 5
Infizierte Verzeichnisse: 1
Infizierte Dateien: 18

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\oembios.exe -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\oembios.exe -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\oembios.exe,) Good: (userinit.exe) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\WINDOWS\system32\sysproc64 (Trojan.Agent) -> Delete on reboot.

Infizierte Dateien:
C:\System Volume Information\_restore{2815D212-E14A-46A8-84E0-D66D3691F05F}\RP3\A0000001.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\sysproc64\sysproc32.sys (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\sysproc64\sysproc86.sys (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\oembios.exe (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssl.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssserf.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\tdssserv.sys (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\lphc3vmj0ev6e.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\phc3vmj0ev6e.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Julian\Lokale Einstellungen\Temp\.tt2.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Julian\Lokale Einstellungen\Temp\.tt3.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Julian\Lokale Einstellungen\Temp\.ttB.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Julian\Lokale Einstellungen\Temp\.ttC.tmp (Trojan.Downloader)

Ach ja, Im Forum posten kann ich auch nicht, sonder muss dazu auch an einen anderen PC.
Bei GMX Emails schreiben usw geht auch nicht.

Warning Spyware detected. Bluescreenfake!

Plagegeister aller Art und deren Bekämpfung: Warning Spyware detected. Bluescreenfake!