Hi Trojaner-Board-Team

ich hoffe, dass dieser Post angesichts der Probleme anderer User nicht unnötig ist, ich als absolut unerfahrener User im Ungang mit Trojanern komme aber einfach nicht weiter. Wie viele andere auch habe ich das Problem mit der HomeSearch Seite (URL:res://mdvgt.dll/index.html#37794), die sich als Startseite nicht entfernen lässt sowie mit den ständigen Pop-Ups.

Ich habe viele Foreneinträge gelesen (in verschiedenen), habe einiges ausprobiert (z.B. den Tipp mit dem Download von http://oz.msie.tv/uninstall.exe bzw. dem hochschrauben aller AntiVirGuard Einstellungen, habe mit eScan im abgesicherten Modus gescannt (... nichts gefunden) und habe mit der automatischen HijackThis Analyse die als böse eingestuften Einträge gefixt ... gebracht hat's alles nichts, bei jedem I-Explorerstart (ich schwöre, dass ich Browser wechseln werde, wenn das Problem hier gelöst ist ...) und Win-Explorer Start kommt folgende Meldung:

"C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02"

Löschen lässt sie sich natürlich nicht ...

Also hier ist mein (im abgesicherten Modus erstelltes) HiJackThis-Log:

Logfile of HijackThis v1.98.1
Scan saved at 20:36:15, on 07.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Wenn mir jemand detailliert beschreiben könnte, was zutun ist (wie gesagt, ich habe KEINERLEI Erfahrung im Umgang mit Trojanern bzw. Editieren der Registry etc.) wäre ich ihm zu höchstem Dank verpflichtet ... ich weiß nichtmehr weiter :(

Mit freundlichen Grüßen und Dank im Vorraus
Michael Bovet

C:\WINDOWS\nted.dll
C:\WINDOWS\QMMQE.DAT

Überprüfe die Dateien mal hier: http://www.kaspersky.com/de/scanforvirus
Zumindest die erste müsste doch erkannt werden. Ich kann somit auch nicht verstehen, warum dies nicht von eScan gefunden wurde.
Ergebnis?

Dann solltest du REGELMÄSSIG auf www.windowsupdate.com vorbeischauen und alle Updates und Patches installieren. Mach dies mal gleich ...

C:\WINDOWS\nted.dll -> nted.dll Infiziert: TrojanDownloader.Win32.Agent.bq
C:\WINDOWS\QMMQE.DAT -> warum auch immer, die datei ist nicht im Windows Ordner vorhanden ?!

Warum eScan sie nicht erkannte ist mir auch nicht klar, ich sollte die neuste Version haben ... und nun ? Die neusten Patches&Updates sind geladen.

Dies fixen:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll
O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe

Danach diese Datei C:\WINDOWS\nted.dll manuell löschen! Am besten im abgesicherten Modus!

Schützen kannst du dich durch einen anderen Browser: www.firefox-browser.de ist schnell, sicher und kostenlos.

Wegen der QMMQE.DAT: Die versteckten Dateien lässt du dir ja scheinbar anzeigen -> Explorer -> Ansicht -> Optionen -> versteckte Dateien anzeigen

Hi Christian
erstmal vielen Dank bis zu diesem Punkt, meine Startseite habe ich wieder (auch wenn ich C:\WINDOWS\nted.dll nichtmehr löschen könnte, da sie eim Neustart im abgesicherten Modus nichtmehr vorhanden war?!)

Nichtsdestotrotz meldet AntiVirGuard immernoch, dass der Trojaner auf der Festplatte sei, jedoch in einer anderen Datei steckt (ich reiche sie später nach)

Vielmehr beunruhigt mich, dass AntiV.G. nun einen weiteren Trojaner in Sekunde - bis Minutenabständen meldet, und zwar TR/Spy.Tofger.BI.2, jedoch JEDESMAL in einer anderen Datei (z.B. C:\WINDOWS\SDKTK32.EXE oder C:\WINDOWS\SYSTEM32\D3WT32.EXE), so dass er sich wiederum nicht löschen lässt. Hilfe?!

Neue HiJackThisLogDatei:

Logfile of HijackThis v1.98.1
Scan saved at 23:03:49, on 07.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\system32\sdkit.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Darüberhinaus sind in meinem Windowsordner Dutzende Unterordner mit Namen wie $NtUninstallKB823182$ oder $NtUninstallKB823182$, die Anwendungen mit dem Namen "spuninst" enthalten - gibt es da einen Zusammenhang?!

Weiterhin hilfesuchend und dankend
Michael Bovet

Löschen:
C:\WINDOWS\system32\sdkit.exe
C:\WINDOWS\system32\sdkyo32.dll (dieser Agent variert bei jedem Neustart)

Dies dann fixen:
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll
O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe

Versuch die Datei nun zu löschen ohne Neustart durchzuführen bzw. ohne abg. Modus.!

Danach lass nochmal AntiVir bzw. e-Scan im abgesicherten Modus laufen.