Hallo,

Ich habe zeit ein paar Tage ein paar probleme...

Folgendes:
Ich kann seit 3-4 keine Programme mehr Starten, die nach diesen 3-4 Tagen installiert wurden. Dachte zuerst das z.b. die Spiele kaputt seien, aber auf einem anderen Rechner laufen die alle einwandfrei.
Nun hab ich Antivir scannen lassen und den "TR/CRYPT.XPACK.GEN" gefunden. Leider kann dieser nicht gelöscht werden, da er immer wieder kommt. In der MSCONFIG habe ich mal nachgeguckt, beim Startup. Da stehen ein paar komische programme mit z.b. "afehjxs.." etc. drinnen. Wenn ich diese dann rausnehme und meinen Computer neustarte, ist wieder ein Neuer eintrag in der RunDLL unter anderem namen drin. Ad-Aware habe ich schon durchlaufen lassen, auch nichts gebracht. CWShredder meinte was, dass die MSCONFIG wahrscheinlich was haben solle.

Hier ist der eintrag der RUNDLL in der MSCONFIG:
RUN: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
Das sagt mir CWShredder...

Ich verzweifle langsam da ich auch nicht formatieren kann, da nicht viel zu sichern geht...

Bitte helft mir! Würde mich sehr freuen

Gruß

Hallo und

Erstelle bitte ein Log mit HijackThis und poste es hier in einem Zitat

Zitat

Wegen TR/CRYPT.XPACK.GEN muss man nicht unbedingt gleich formatieren! Aber je nach dem was noch so da ist wäre es möglicherweiße nötig!

Naja das "afehjxs" ist schon seltsam und für mich zu 99% ein Schadprogramm Aber das finden wir später heraus!

Habs mir runtergeladen, aber leider ist es halt so das ich keine Programme starten kann...

Habs mir runtergeladen, aber leider ist es halt so das ich keine Programme starten kann...

HÄH? Ähm hast du das HijackThis mal umbenannt? Bist du admin? Kommen fehlermeldungen? Alle infos müssen her sonst kann ich dir nicht weiterhelfen! Schon im Abgesichertmodus versucht?

Abgesichert noch nicht versucht. Das einzige was halt kommt ist: Die sanduhr und sont nix weiteres... Werde jetzt mal in den Abgesicherten modus gehen, melde mich gleich wieder

Abgesichert noch nicht versucht. Das einzige was halt kommt ist: Die sanduhr und sont nix weiteres... Werde jetzt mal in den Abgesicherten modus gehen, melde mich gleich wieder

Ok mach das, das sollte den fehler beheben wenn dieser durch den TR/CRYPT.XPACK.GEN vursacht wird!

So war im Abgesicherten modus, aber habe es destotroz nicht starten können. Irgendwas stimmt da nicht... Bitte sagt mir nicht, dass ich formatieren muss

So war im Abgesicherten modus, aber habe es destotroz nicht starten können. Irgendwas stimmt da nicht... Bitte sagt mir nicht, dass ich formatieren muss

Ok... das ist eben eine schwere situation da unsere werkzeuge eben programme sind! Und wenn diese nciht funktionieren können wir nicht viel machen! Seit wann kannst du keine programme mehr starten? Was meinst du mit programmen? Dein browser funktioniert doch! Meinst du nur die setups? Hast du schonmal nur die hijackthis.exe ausgeführt?
Fragen über Fragen

Ja also halt Programme wie Antivir etc. z.b. der AntivirAgent geht nicht mehr, Spiele gehen nicht mehr zu starten etc etc. Browser gehen noch, doch auch auf manche Seiten komme ich nicht...

Könntest du manuell alle für dich auffälligen Einträge im autostart hier rein posten? Oder einfach mal alles! Wenn wir es dadurch schaffen das du wieder programme benutzen kannst bin ich zufrieden danach gehts weiter!

Naja alle reinzuschreiben die Komisch sind is ja net schwer^^

qlfvebny RUNDLL32.exe der is aktiv

nun die unaktiven:
qlfvebny RUNDLL32.exe
ybrecfjn RUNDLL32.exe

wie man sieht: 1x ist die qlfvebny aktiv und beim anderen eintrag ist der gleiche inaktiv

Ähm so meinte ich das nicht! Ich meine mit den Pfaden etc.

So langsam bin ich mit meinem latein am ende!

Versuche mal die systemwiederherstellung!


Edit: Ok auf ein neues!

Lade SilentRunners von dieser Seite auf den Desktop runter. Alle Programme schließen und SilentRunners starten. In der Abfrage "nein" wählen, damit die "supplementary searches" ebenfalls ausgeführt werden. Die weitere Abfrage mit "ja" bestätigen. Nun warten, bis SilentRunners mit einem Fenster bestätigt fertig zu sein, dies kann einige Zeit dauern. Das Logfile findest Du danach auf dem Desktop. Dessen Inhalt posten

Stelle dein system so ein das Alle versteckten dateien und ordner angezeigt werden und bekannte dateiendungen nicht umbenannt werden!

Windows XP: Gehen Sie im Menü zum Eintrag "Extras" und klicken Sie dort auf "Ordneroptionen". Im sich öffnenden Einstellungsfenster wählen Sie nun den Reitereintrag "Ansicht" aus. In der Liste, die sich nun präsentiert, nehmen Sie das Häkchen bei "Erweiterungen für bekannte Dateiendungen ausblenden" raus und bestätigen die Aktion mit einem Klick auf den Button "Übernehmen".
Windows Vista: Gehen Sie im Menü zum Eintrag "Organisieren". Dort wählen Sie den Eintrag "Ordner- und Suchoptionen" aus. Im sich öffnenden Einstellungsfenster wählen Sie nun den Reitereintrag "Ansicht" aus. In der Liste, die sich anschließend präsentiert, nehmen Sie das Häkchen bei "Erweiterungen für bekannte Dateiendungen ausblenden" raus und bestätigen die Aktion mit einem Klick auf den Button "Übernehmen".

Wenn du das gemacht hast ändere den namen von Hijackthis.exe in ABC.com und versuche es zu starten!


PS: Danke KarlKarl für deine tipps ich war mit dem latein am ende

Also da steht:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\system32\ctfmon.exe" [MS]
"msnmsgr" = ""C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background" [MS]
"igndlm.exe" = "C:\Programme\Download Manager\dlm.exe /windowsstart /startifwork" ["IGN Entertainment"]
"MSMSGS" = ""C:\Programme\Messenger\msmsgs.exe" /background" [MS]
"DAEMON Tools Lite" = ""C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun" ["DT Soft Ltd"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"avgnt" = ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]
"ATIModeChange" = "Ati2mdxx.exe" ["ATI Technologies, Inc."]
"MSConfig" = "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{03665797-2FCF-4499-AA61-0F9B0981AC55}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\dxxrefmo.dll" [file not found]
{04e86ebb-9287-470d-bc45-4ffd8975b73b}\(Default) = "{b37b5798-dff4-54cb-d074-7829bbe68e40}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\ctgabq.dll" [null data]
{4D218E33-71DE-447F-89F0-068984D6A006}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\ddayw.dll" [file not found]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Spybot-S&D IE Protection"
\InProcServer32\(Default) = "C:\Programme\Spybot - Search & Destroy\SDHelper.dll" ["Safer Networking Limited"]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
-> {HKLM...CLSID} = "SSVHelper Class"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_03\bin\ssv.dll" ["Sun Microsystems, Inc."]
{78EC0F96-9DD7-4C3E-A5A6-16A638985440}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\pmnnl.dll" [null data]
{9030D464-4C02-4ABF-8ECC-5164760863C6}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Windows Live Anmelde-Hilfsprogramm"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll" [MS]
{AF69DE43-7D58-4638-B6FA-CE66B5AD205D}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Google Toolbar Notifier BHO"
\InProcServer32\(Default) = "C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll" ["Google Inc."]
{B3740027-0036-49BF-98E7-04F4F903D67B}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\ljjhhfg.dll" [file not found]
{C1E5149F-A9E4-44C5-B4C8-05B78DAEAA0D}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Dokumente und Einstellungen\Lowfyr\Lokale Einstellungen\Temporary Internet Files\Content.IE5\S1QJ4PA3\silent.dll[1].bak" [MS]
{CC59E0F9-7E43-44FA-9FAA-8377850BF205}\(Default) = (no title provided)
-> {HKLM...CLSID} = "FDMIECookiesBHO Class"
\InProcServer32\(Default) = "C:\Programme\Free Download Manager\iefdm2.dll" [null data]
{D995E5C1-2FCF-4499-AA61-0F9B0981AC55}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\dxxrefmo.dll" [file not found]
{F156768E-81EF-470C-9057-481BA8380DBA}\(Default) = (no title provided)
-> {HKLM...CLSID} = "FlashGet GetFlash Class"
\InProcServer32\(Default) = "C:\Programme\FlashGet\getflash.dll" ["www.flashget.com"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
"{73B24247-042E-4EF5-ADC2-42F62E6FD654}" = "ICQ Lite Shell Extension"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [file not found]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {HKLM...CLSID} = "Portable Media Devices Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\
<<!>> "{B3740027-0036-49BF-98E7-04F4F903D67B}" = "*b" (unwritable string)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\ljjhhfg.dll" [file not found]

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
<<!>> "Authentication Packages" = "msv1_0"|"C:\WINDOWS\system32\pmnnl"

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
<<!>> "BootExecute" = "autocheck autochk *"|"lsdelete" [null data]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]
<<!>> ljjhhfg\DLLName = "ljjhhfg.dll" [file not found]

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
ICQLiteMenu\(Default) = "{73B24247-042E-4EF5-ADC2-42F62E6FD654}"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [file not found]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
ICQLiteMenu\(Default) = "{73B24247-042E-4EF5-ADC2-42F62E6FD654}"
-> {HKLM...CLSID} = "MCLiteShellExt Class"
\InProcServer32\(Default) = "C:\Programme\ICQLite\ICQLiteShell.dll" [file not found]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]


Default executables:
--------------------

HKLM\SOFTWARE\Classes\.exe\(Default) = "exefile"
<<!>> HKLM\SOFTWARE\Classes\exefile\shell\open\command\(Default) = ""%1"%*" [file not found]


Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]


Startup items in "Lowfyr" & "All Users" startup folders:
--------------------------------------------------------

C:\Dokumente und Einstellungen\Lowfyr\Startmenü\Programme\Autostart
"AM772CFG" -> shortcut to: "C:\Programme\Wireless LAN Utility\Am772cfg.exe" ["Advanced Micro Devices Inc."]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 19
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in 1.6.0_03"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_03\bin\ssv.dll" ["Sun Microsystems, Inc."]
-> {HKLM...CLSID} = "Java Plug-in 1.6.0_03"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.6.0_03\bin\npjpi160_03.dll" ["Sun Microsystems, Inc."]

{B863453A-26C3-4E1F-A54D-A2CD196348E9}\
"ButtonText" = "ICQ Lite"
"MenuText" = "ICQ Lite"
"Exec" = "C:\Programme\ICQLite\ICQLite.exe" [file not found]

{D6E814A0-E0C5-11D4-8D29-0050BA6940E3}\
"ButtonText" = "FlashGet"
"MenuText" = "FlashGet"
"Exec" = "C:\Programme\FlashGet\FlashGet.exe" ["FlashGet.com"]

{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}\
"MenuText" = "Spybot - Search && Destroy Configuration"
"CLSIDExtension" = "{53707962-6F74-2D53-2644-206D7942484F}"
-> {HKLM...CLSID} = "Spybot-S&D IE Protection"
\InProcServer32\(Default) = "C:\Programme\Spybot - Search & Destroy\SDHelper.dll" ["Safer Networking Limited"]

{E59EB121-F339-4851-A3BA-FE49C35617C2}\
"ButtonText" = "ICQ6"
"MenuText" = "ICQ6"
"Exec" = "C:\Programme\ICQ6\ICQ.exe" ["ICQ, Inc."]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Programme\Messenger\msmsgs.exe" [MS]


HOSTS file
----------

C:\WINDOWS\System32\drivers\etc\HOSTS

maps: 3 domain names to IP addresses,
2 of the IP addresses are *not* localhost!


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Google Updater Service, gusvc, ""C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe"" ["Google"]
Hotspot Shield Service, HotspotShieldService, "C:\Programme\Hotspot Shield\bin\openvpnas.exe" [null data]
Lavasoft Ad-Aware Service, aawservice, "C:\Programme\Lavasoft\Ad-Aware\aawservice.exe" ["Lavasoft"]
npkcmsvc, npkcmsvc, "C:\Nexon\Mabinogi\npkcmsvc.exe" ["INCA Internet Co., Ltd."]
PnkBstrA, PnkBstrA, "C:\WINDOWS\system32\PnkBstrA.exe" [null data]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]


---------- (launch time: 2008-09-27 08:18:20)
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 65 seconds.
---------- (total run time: 105 seconds)

Hofffe da steht was helfendes drin...

Und eben habe ich nochmal eine fehlermeldung bekommen




EDIT:
Wenn ich nun aus hijack.exe, abc.com mache, passiert immernoch das gleiche... Kurz Sanduhr mehr nicht

Kann mir keiner helfen?