Bin infiziert mit Dropper.Gen

kunersra · 25.01.2009, 15:39

Hallo,

mein PC ist infiziert mit Dropper.Gen. Mein AntiVir hat ihn in Quarantäne gestellt.
Betriebssystem ist Windows XP.

Kann bitte jemand mein eben erstelltes Logfile von HijackThis prüfen und mir Hilfestellung geben, was ich jetzt tun muss?

Vielen Dank.

Sarah

------------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:25:43, on 25.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\T-Online\Dialerschutz-Software\DFInject.exe
C:\PROGRA~1\MESSEN~1\Msmsgs.exe
C:\Programme\T-Online\WLAN-Access Finder\ToWLaAcF.exe
C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\dokumente und einstellungen\ani\lokale einstellungen\anwendungsdaten\ewcic.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\INFOCOCKPIT.EXE
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Gemeinsame Dateien\Marmiko Shared\MWLaMaS.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe
C:\WINDOWS\System32\alg.exe
c:\programme\avira\antivir personaledition classic\avcenter.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\ani\Eigene Dateien\Eigene Downloads\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = htp://search.live.com/results.aspx?q=T-Online+Start-Center&src=IE-Address
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = htp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = htp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = htp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = htp://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [T-Online Dialerschutz-Software] "C:\Programme\T-Online\Dialerschutz-Software\Defender.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash
O4 - HKCU\..\Run: [MSMSGS] "C:\PROGRA~1\MESSEN~1\Msmsgs.exe" /background
O4 - HKCU\..\Run: [T-Online_Software_6\WLAN-Access Finder] C:\Programme\T-Online\WLAN-Access Finder\ToWLaAcF.exe /StartMinimized
O4 - HKCU\..\Run: [ewcic] "c:\dokumente und einstellungen\ani\lokale einstellungen\anwendungsdaten\ewcic.exe" ewcic
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {54BE6B6F-3056-470B-97E1-BB92E051B6C4} (DeviceEnum Class) - htp://h30155.www3.hp.com/ediags/dd/install/HPDriverDiagnosticsxp2k.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - htp://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - htps://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B00F579B-5030-4C02-8BA6-7DCC1815C61E}: NameServer = 217.237.151.142 217.237.150.188
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: T-Online Dialerschutz Dienst (DFSVC) - T-Systems Enterprise Services GmbH - C:\Programme\T-Online\Dialerschutz-Software\DFInject.exe
O23 - Service: T-Online WLAN Adapter Steuerungsdienst (MZCCntrl) - Deutsche Telekom AG, Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 7053 bytes

john.doe · 25.01.2009, 15:51

Hallo Sarah und

Klicke bei deinem Beitrag auf Editieren und ändere alle http in htp. Dann kann dir geholfen werden.

ciao, andreas

john.doe · 25.01.2009, 15:58

Gut gemacht.

Wie gehst du ins Internet?
Wohnst du Nähe Nürnberg?

1.) Deinstalliere (Start=>Systemsteuerung=>Software) folgende Programme:

Code:

ATTFilter

Java (veraltet)
Acrobat Reader (veraltet)

2.) Starte HJT => Do a system scan only => Markiere:

Code:

ATTFilter

O4 - HKCU\..\Run: [ewcic] "c:\dokumente und einstellungen\ani\lokale einstellungen\anwendungsdaten\ewcic.exe" ewcic
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

=> Fix checked.

3.) Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.

Führe die Datei navilog1.exe aus, eine Installationsroutine wird beginnen.
Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
Wähle E für Englisch im Sprachenmenü
Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

ciao, andreas

kunersra · 25.01.2009, 16:17

Hallo Andreas,

vielen Dank erstmal. Ich komme aus der Nähe von Baden-Baden. In Nürnberg war ich noch nie.

Habe alles ausgeführt, wie Du geschrieben hast. Folgend die Datei "fixnavi":

Search Navipromo version 3.7.1 began on 25.01.2009 at 16:10:07,45

!!! Warning, this report may include legitimate files/programs !!!
!!! Post this report on the forum you are being helped !!!
!!! Don't continue with removal unless instructed by an authorized helper !!!

Fix running from C:\Programme\navilog1

Updated on 02.01.2009 at 19h00 by IL-MAFIOSO

Microsoft Windows XP Home Edition ( v5.1.2600 ) Service Pack 3
X86-based PC ( Uniprocessor Free : AMD Sempron(tm) Processor 3200+ )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : ani ( Administrator )
BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.30 (Activated)
Firewall : Norton Internet Worm Protection 2006 (Not Activated)

C:\ (Local Disk) - NTFS - Total:24 Go (Free:3 Go)
D:\ (Local Disk) - NTFS - Total:124 Go (Free:112 Go)
E:\ (CD or DVD) - UDF - Total:4 Go (Free:0 Go)
F:\ (USB)
G:\ (USB)
H:\ (USB)
I:\ (USB)
J:\ (USB)

Search done in normal mode

*** Searching for installed Software ***

Favorit
InternetGameBox

*** Search folders in "C:\WINDOWS" ***

*** Search folders in "C:\Programme" ***

...\InternetGameBox found !

*** Search folders in "C:\Dokumente und Einstellungen\All Users.WINDOWS\startm~1\progra~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\All Users.WINDOWS\startm~1" ***

*** Search folders in "c:\dokume~1\alluse~1.win\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\ani\anwend~1" ***

*** Search folders in "C:\DOKUME~1\ADMINI~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\Anita\anwend~1" ***

*** Search folders in "C:\DOKUME~1\Manfred\anwend~1" ***

*** Search folders in "C:\DOKUME~1\MANFRE~1.KUN\anwend~1" ***

*** Search folders in "C:\DOKUME~1\MANFRE~1.000\anwend~1" ***

*** Search folders in "C:\DOKUME~1\micha\anwend~1" ***

*** Search folders in "C:\DOKUME~1\TEMP\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\ani\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\Anita\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\Manfred\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\micha\lokale~1\anwend~1" ***

*** Search folders in "C:\DOKUME~1\TEMP\lokale~1\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\ani\startm~1\progra~1" ***

*** Search folders in "C:\DOKUME~1\ADMINI~1\startm~1\progra~1" ***

*** Search folders in "C:\DOKUME~1\Anita\startm~1\progra~1" ***

*** Search folders in "C:\DOKUME~1\Manfred\startm~1\progra~1" ***

*** Search folders in "C:\DOKUME~1\MANFRE~1.000\startm~1\progra~1" ***

*** Search folders in "C:\DOKUME~1\micha\startm~1\progra~1" ***

*** Search with Catchme-rootkit/stealth malware detector by gmer ***
for more info : http://www.gmer.net

*** Search with GenericNaviSearch ***
!!! Possibility of legitimate files in the result !!!
!!! Must always be checked before manually deleting !!!

* Scan in "C:\WINDOWS\system32" *

* Scan in "C:\Dokumente und Einstellungen\ani\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\Anita\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\Manfred\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\micha\lokale~1\anwend~1" *

* Scan in "C:\DOKUME~1\TEMP\lokale~1\anwend~1" *

*** Search files ***

C:\WINDOWS\prefetch\INTERNETGAMEBOX.EXE-18FF3650.pf found !
C:\WINDOWS\prefetch\INTERNETGAMEBOX_SETUP.EXE-1EAA3A78.pf found !

*** Search specific Registry keys ***
!! Following keys are not certainly all infected !!

*** Complementary Search ***
(Search specific files)

1)Search new Instant Access files :

2)Heuristic Search :

* In "C:\WINDOWS\system32" :

* In "C:\Dokumente und Einstellungen\ani\lokale~1\anwend~1" :

ewcic.exe found !
ewcic.dat found !
ewcic_nav.dat found !
ewcic_navps.dat found !

* In "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" :

* In "C:\DOKUME~1\Anita\lokale~1\anwend~1" :

* In "C:\DOKUME~1\Manfred\lokale~1\anwend~1" :

* In "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" :

* In "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" :

* In "C:\DOKUME~1\micha\lokale~1\anwend~1" :

* In "C:\DOKUME~1\TEMP\lokale~1\anwend~1" :

3)Certificates Search :

Egroup certificate not found !
Electronic-Group certificate not found !
Montorgueil certificate not found !
OOO-Favorit certificate not found !
Sunny-Day-Design-Ltd certificate not found !

4)Search others known folders and files :

*** Search completed on 25.01.2009 at 16:14:14,90 ***

Gruß

Sarah

kunersra · 25.01.2009, 16:21

Ach so, der PC geht mit T-Online Start Center 6.0 ins Internet über den Windows Internet Explorer.

-Sarah

john.doe · 25.01.2009, 16:30

Ich wollte wissen, ob du per WLAN, Modem oder Router ins Internet gehst. Du hast da einen Antidialer, der nur dann Sinn macht, wenn du mit Modem oder ISDN-Karte ins Internet gehst.

1.) Rufe das Programm bitte erneut auf und wähle die Option 2

Das Programm wird nun deinen Rechner neustarten. Schließe also alle Fenster und bestätige den Neustart.
Sollte der Rechner nicht neustarten, tue dies bitte manuell.
Nach dem Neustart läuft der Fix zuende. Bitte einfach abwarten, bis NaviFix beendet ist und keine Fenster öffnen.
Es öffnet sich erneut ein Fenster mit dem Scanergebnis. Speichere das Ergebnis ab und schließe den Editor. Nun sollten deine Desktopsymbole wieder erscheinen
Das Scanergebnis bitte hier posten.

Sollten die Desktopsymbole nicht von selbst wieder erscheinen, rufe mit [Strg][Alt][Entf] den Taskmanager auf und wähle unter Prozesse => Neuer Task ausführen aus. Gib dort explorer ein.

2.) Malwarebytes Antimalware ausführen und Logfile posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

3.) Superantispyware laden, starten und Log posten, so wie hier beschrieben: http://www.trojaner-board.de/51871-a...tispyware.html

4.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

kunersra · 25.01.2009, 16:48

Ich gehe über Teledat 431 lan v. T Com ins Internet.

zu 1.:

Scan:

Navipromo Removal version 3.7.1 started on 25.01.2009 at 16:35:36,53

Fix running from C:\Programme\navilog1

Updated on 02.01.2009 at 19h00 by IL-MAFIOSO

Microsoft Windows XP Home Edition ( v5.1.2600 ) Service Pack 3
X86-based PC ( Uniprocessor Free : AMD Sempron(tm) Processor 3200+ )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : ani ( Administrator )
BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.30 (Activated)
Firewall : Norton Internet Worm Protection 2006 (Not Activated)

C:\ (Local Disk) - NTFS - Total:24 Go (Free:3 Go)
D:\ (Local Disk) - NTFS - Total:124 Go (Free:112 Go)
E:\ (CD or DVD) - UDF - Total:4 Go (Free:0 Go)
F:\ (USB)
G:\ (USB)
H:\ (USB)
I:\ (USB)
J:\ (USB)

Automatic removal
with Catchme and GNS results

Cleanning stage done on Reboot

*** fsbl1.txt not found ***
(Check that Catchme found nothing in Search Mode)

*** Deleting with Backups GenericNaviSearch results ***

* Deletion in "C:\WINDOWS\System32" *

* Deletion in "C:\Dokumente und Einstellungen\micha\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\ani\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\Anita\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\Manfred\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" *

* Deletion in "C:\DOKUME~1\TEMP\lokale~1\anwend~1" *

*** Deleting folders in "C:\WINDOWS" ***

*** Deleting folders in "C:\Programme" ***

...\InternetGamebox ...deleting...
...\InternetGamebox deleted !

*** Deleting folders in "C:\Dokumente und Einstellungen\All Users.WINDOWS\startm~1\progra~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\All Users.WINDOWS\startm~1" ***

*** Deleting folders in "c:\dokume~1\alluse~1.win\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\micha\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\ani\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\Anita\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\Manfred\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\MANFRE~1.KUN\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\MANFRE~1.000\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\TEMP\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\micha\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\ani\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\Anita\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\Manfred\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" ***

*** Deleting folders in "C:\DOKUME~1\TEMP\lokale~1\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\micha\startm~1\progra~1" ***

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\startm~1\progra~1" ***

*** Deleting folders in "C:\DOKUME~1\ani\startm~1\progra~1" ***

*** Deleting folders in "C:\DOKUME~1\Anita\startm~1\progra~1" ***

*** Deleting folders in "C:\DOKUME~1\Manfred\startm~1\progra~1" ***

*** Deleting folders in "C:\DOKUME~1\MANFRE~1.000\startm~1\progra~1" ***

*** Deleting files ***

C:\WINDOWS\INTERNETGAMEBOX.EXE-18FF3650.pf deleted !
C:\WINDOWS\INTERNETGAMEBOX_SETUP.EXE-1EAA3A78.pf deleted !

*** Deleting temporary files ***

Cleaning of C:\WINDOWS\Temp done !
Cleaning of C:\Dokumente und Einstellungen\micha\lokale~1\Temp done !

*** Complementary Search ***
(Search specific files)

1)Deletion with backups new Instant Access files:

2)Heuristic search and deletion with backups :

* In "C:\WINDOWS\system32" *

* In "C:\Dokumente und Einstellungen\micha\lokale~1\anwend~1" *

* In "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" *

* In "C:\DOKUME~1\ani\lokale~1\anwend~1" *

ewcic.exe found !
Copy ewcic.exe done !
ewcic.exe deleted !

ewcic.dat found !
Copy ewcic.dat done !
ewcic.dat deleted !

ewcic_nav.dat found !
Copy ewcic_nav.dat done !
ewcic_nav.dat deleted !

ewcic_navps.dat found !
Copy ewcic_navps.dat done !
ewcic_navps.dat deleted !

C:\WINDOWS\prefetch\ewcic*.pf found !
Copy C:\WINDOWS\prefetch\ewcic*.pf done !
C:\WINDOWS\prefetch\ewcic*.pf deleted !

* In "C:\DOKUME~1\Anita\lokale~1\anwend~1" *

* In "C:\DOKUME~1\Manfred\lokale~1\anwend~1" *

* In "C:\DOKUME~1\MANFRE~1.KUN\lokale~1\anwend~1" *

* In "C:\DOKUME~1\MANFRE~1.000\lokale~1\anwend~1" *

* In "C:\DOKUME~1\TEMP\lokale~1\anwend~1" *

*** Copy Registry to Safebackup folder ***

Backing up Registry done !

*** Cleaning Registry ***

Registry cleaned

*** Certificates ***

Egroup Certificate not found !
Electronic-Group Certificate not found !
Montorgueil Certificate not found !
OOO-Favorit Certificate not found !
Sunny-Day-Design-Ltd Certificate not found !

*** Search others known folders and files ***

*** Cleaning stage complete on 25.01.2009 at 16:38:54,54 ***

Die weiteren Punkte werde ich jetzt abarbeiten.

john.doe · 25.01.2009, 16:52

Die Werbefenster sollten jetzt schon weg sein. Der Rechner war mit Navipromo infiziert. Das habt ihr euch geholt, als jemand (mit Anmeldenamen Anita) die Internetgamebox installiert hat.

Zitat:

Ich gehe über Teledat 431 lan v. T Com ins Internet.

Schau mal, ob sich der Antidialer von T-Com deinstallieren lässt. Falls ja, deinstalliere ihn. Falls nein, dann fixen wir das.

ciao, andreas

kunersra · 25.01.2009, 17:31

Hallo Andreas,

konnte den Antidialer deinstallieren.

zu 2.:

Malwarebytes' Anti-Malware 1.33
Datenbank Version: 1691
Windows 5.1.2600 Service Pack 3

25.01.2009 17:22:27
mbam-log-2009-01-25 (17-22-27).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 135235
Laufzeit: 26 minute(s), 58 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

und weiter gehts.....

john.doe · 25.01.2009, 19:00

Bin jetzt längere Zeit nicht erreichbar.

Aktuelles Java gibt es hier: Download der Java-Software von Sun Microsystems
Statt Acrobat empfehle ich FoxIt: Foxit Software - Foxit Reader 3.0 for Windows

SuperAntiSpyware wird vermutlich nur ein paar (ungefährliche) Cookies finden.

ciao, andreas

kunersra · 25.01.2009, 19:01

Hallo,

hier ist der Log von Punkt 3:
Das Programm hat sie gelöscht, habe aber noch nicht neu gestartet.
Soll ich jetzt den Punkt 4 ausführen?

Gruß

Sarah

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 01/25/2009 at 06:29 PM

Application Version : 4.25.1012

Core Rules Database Version : 3728
Trace Rules Database Version: 1699

Scan type : Complete Scan
Total Scan Time : 00:51:22

Memory items scanned : 561
Memory threats detected : 0
Registry items scanned : 4432
Registry threats detected : 1
File items scanned : 65266
File threats detected : 18

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\ani\Cookies\ani@im.banner.t-online[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@atdmt[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@revsci[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@ad.yieldmanager[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@apmebf[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@mediaplex[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@www.etracker[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@statse.webtrendslive[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@zanox[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@doubleclick[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@insightexpressai[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@webmasterplan[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@indextools[2].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@adfarm1.adition[1].txt
C:\Dokumente und Einstellungen\ani\Cookies\ani@tradedoubler[1].txt
C:\Dokumente und Einstellungen\*-2833B9E2.000\Cookies\*@im.banner.t-online[1].txt

Trojan.DNSChanger-Codec
HKU\S-1-5-21-854245398-1614895754-839522115-1004\Software\fcn

Adware.Vundo/Variant-MSFake
C:\PROGRAMME\NAVILOG1\REG.EXE

Malware.DriveCleaner
D:\EIGENE DOWNLOADS\INSTALLDRIVECLEANERSTART_DE.EXE

john.doe · 25.01.2009, 19:09

Zitat:

Malware.DriveCleaner
D:\EIGENE DOWNLOADS\INSTALLDRIVECLEANERSTART_DE.EXE

Du (ihr) solltet nicht jeden Mist aus dem Internet laden. Alles kann gefährlich sein. Programme grundsätzlich vorher bei www.virustotal.com checken lassen. Programme immer beim Hersteller laden.

Alle Programme, die wir benutzt haben, deinstallieren oder löschen. Mein voriges Post beachten.

Zitat:

Soll ich jetzt den Punkt 4 ausführen?

Ja.

ciao, andreas

kunersra · 25.01.2009, 19:25

Bevor ich die Software lösche. -Soll ich die Software SUPERAntiSpyware vollends ausführen (das was in der Beschreibung zum Scan stand)?
Oder reicht das Log?

Gruß

Sarah

john.doe · 25.01.2009, 19:26

Zitat:

Soll ich die Software SUPERAntiSpyware vollends ausführen (das was in der Beschreibung zum Scan stand)?

Da er etwas gefunden hat, ja.

ciao, andreas

kunersra · 25.01.2009, 19:28

4.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

Wie kann ich das über die Uploadfile posten? Verstehe ich leider nicht!

Bin infiziert mit Dropper.Gen

Log-Analyse und Auswertung: Bin infiziert mit Dropper.Gen