Hallo,

habe seit dem 31.12.08 den Virus Win32.Agent.sd den ich gestern mit Spybot gefunden und "bereinigt" habe.

Ich habe XP SP3 prof. mit einem Raid1 System. Nachdem ich die letzten Tage so einige Startprobleme hatte und mich wunderte daß das Avira Update vom Notebook problemlos ging, aber nicht auf meinem Desktop hatte ich mal Windows Update gefahren ging auch nicht. Zuletzt hatte ich es am 20.12. laufen gelassen, problemlos.
Dann hatte ich Avira deinstalliert und die Neuinstallation machte dasselbe auch.
Kein Update möglich aber Spybot funzte und brachte diese Fehlermeldung

PHP-Code:

--- Report generated: 2009-01-04 20:45 ---

Win32.Agent.sd: [SBI $72640A46] Programm-Verzeichnis (Verzeichnis, fixed)
  c:\resycled\
Win32.Agent.sd: [SBI $8DCCA8F7]  Daten (Datei, fixed)
  c:\resycled\boot.com
Win32.Agent.sd: [SBI $58009CA6]  Installationsprogramm (Datei, fixed)
  c:\autorun.inf 


Danach weiter gegoogelt und gelesen und u.a. hier den winUpdRstre!22.exe gefunden und laufen gelassen.
Updates gingen immer noch nicht.

Danach den HJT laufen lassen, der fand auch nichts mehr. Dann weiter die Tipps hier gelesen und das Programm Malwarebytes gefunden und laufen gelassen,
der findet folgende

PHP-Code:

Malwarebytes' Anti-Malware 1.32
Datenbank Version: 1617
Windows 5.1.2600 Service Pack 3

05.01.2009 10:54:18
mbam-log-2009-01-05 (10-54-10).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 226621
Laufzeit: 1 hour(s), 14 minute(s), 23 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\videosoft (Trojan.DNSChanger) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\Mozilla Firefox\components\iamfamous.dll (Spyware.Passwords) -> No action taken.
C:\WINDOWS\system32\msqpdxodlsbpjn.dll (Trojan.TDSS) -> No action taken.
C:\WINDOWS\system32\drivers\msqpdxyuhylqjg.sys (Trojan.Agent) -> No action taken. 


Der macht aber nichts. Wie bekomme ich die Viren nun runter?
Und wie bekomme ich wieder die Updates zum Laufen?

HJT hatte hiernach auch nichts festgestellt, keinen der vier Bedrohungen von MBAM

Ich hoffe nicht mein System neu aufsetzten zu müssen.

Danke für eure Hilfe

Dieter

EDIT
vielleicht gut für euch noch zu wissen. Seit dem ist auch mein NTFS System in RAW Dateisystem verändert. Meldete CHKDSK
Letzter Norton Ghost Sicherungslauf 18.12.08 am 1.01.09 meldete er kein NTFS System gefunden TrueImage sicherte aber problemlos, weshalb ich auch gar nicht an einen Virus dachte.

hallo,

nach dem zweiten Lauf mit Malwarebytes Anti-Malware war dann das System wieder "sauber".

Die Registry habe ich dann manuell von den Videosoft einträgen gereinigt.
Nun habe ich alles weg bis auf die Einträge der Ukrainischen IP`s in der Registry
z.B. in
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range78
das wiederholt sich dann mehrmals in
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range76

HKey_Users\.Default\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range76

HKey_Users\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range76

HKey_Users\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range44

HKey_Users\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range44

HKey_Users\S-1-5-21\xxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx\Software\Microsoft\Windows\CurrentVersion\Internet Setting

Vielleicht weiß ja einer ob das wichtig ist oder auch komplett raus kann


Gruß
Dieter