Hallo Leute,

ich habe folgendes Problem. Jedes Mal, wenn ich meinen PC starte, dann startet sich (zu sehen im Task-Manager) die Datei yhsrppjqqh.exe mit. Nach wenigen Sekunden fängt dieses Programm dann an, sich selbst immer wieder aufzurufen und auf nach ein paar Minuten habe ich hunderte dieser Dateien in meinem Task-Manager.
Die Systemauslastung geht natürlich auf 100% und mein PC ist vollkommen lahmgelegt.
Deswegen habe ich die Festplatte ausgebaut und diese an meinen zweiten PC angeschlossen, damit diese dort nicht als "Primary", sondern als zweite Festplatte ausgeführt wird. Auf diese Weise konnte ich ohne Probleme auf die Festplatte zugreifen und habe folgendes gemacht:

HiJackthis durchlaufen lassen (kein Ergebnis, das mir weitergeholfen hätte - Logfile folgt), sowie Ad-Aware, Malewarebytes und Antivir durchlaufen lassen. Diese drei Programme haben alle etwas gefunden und ich habe es bereinigen lassen.
Leider führt sich die Datei beim Systemstart weiterhin auf und die einzige Möglichkeit zu verhindern, dass mein PC abstürzt ist, dass ich die Datei sofort über den Task-Manager mit "Prozessstruktur beendet" kille. Dann läuft der PC auch ohne Probleme.

Des weiteren laufen seitdem auch auffällig viele svhost.exe auf meinem PC.


GOOGLE liefert übrigens keine Ergebnisse zu der *.exe-Datei - ich gehe davon aus, dass sich dieser Virus auf jedem PC anders benennt.


Hier das Log-File von HiJackThis (die Datei ist zwar in dem Log-File zu finden, ist aber nicht verschwunden, wenn ich auf "Fix" drücke):

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:33:16, on 20.09.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Programme\DU Meter\DUMeter.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\Programme\Kodak\printer\center\KodakSvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
*.local;*.local
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [DU Meter] C:\Programme\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Ad-Watch] C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: ChkDisk.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1222370501296
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - h**p://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: cru629.dat
O20 - Winlogon Notify: fdfaebcaebcd - C:\WINDOWS\system32\fdfaebcaebcd.dll (file missing)
O22 - SharedTaskScheduler: ghya673gidh87we9inkff - {BF56A325-23F2-42AD-F4E4-00AAC39CAA53} - (no file)
O23 - Service: Microsoft DDE+ server (a1239bbbc00a1f3c) - Unknown owner - C:\WINDOWS\system32\.a1239bbbc00a1f3c\a1239bbbc00a1f3c.exe (file missing)
O23 - Service: Microsoft DDE+ server a1239bbbc00a1f3cAlerter (a1239bbbc00a1f3calerter) - Unknown owner - C:\WINDOWS\TEMP\yhsrppjqqh.exe
O23 - Service: Avira AntiVir Planer (antivirschedulerservice) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (antivirservice) - Unknown owner - C:\Programme\Avira\AntiVir Desktop\avguard.exe (file missing)
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Kodak AiO Device Service (KodakSvc) - Eastman Kodak Company - C:\Programme\Kodak\printer\center\KodakSvc.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe

--
End of file - 6574 bytes

Ich hoffe, jemand kann mir helfen.


MfG,
Timosy

Ich habe die Datei jetzt im TEMP-Ordner gelöscht bekommen und es sieht so aus, als hätte es geholfen.
Das Problem mit den ganzen svhost bleibt jedoch.



MfG,
Timosy

Hallo und

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
         

Du hast wichtige Updates verpasst! Mehr dazu später. Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!!
Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Zitat von cosinus

Hallo und

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
         

Du hast wichtige Updates verpasst! Mehr dazu später. Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!!
Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Hallo und danke schonmal für die Antwort.

Was die Updates angeht, bin ich mir bewusst, dass ich einige "verpasst" habe. Liegt daran, dass die Leute von Microsoft bestimmt nicht so begeistert von mir wären.... wie auch immer
Ich habe mir den Thread mal eben angesehen und der Link zu diesem "RSIT" funktioniert nicht. Habe auch nochmal eben bei Google nachgeschaut, aber auch die Seite, die ich dort finde kann mir nicht angezeigt werden. Gibt es das Programm überhaupt noch? Habe nämlich in den letzten Tagen festgestellt, dass so ziemlich alle Online-Virenscanns nicht mehr zu erreichen sind.

Was Malewarebytes angeht, so findet das Programm mittlerweile nichts mehr. Der letzte Virus, der vorhin erfolgreich gelöscht wurde ist der folgende:

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\userinit.exe -> Quarantined and deleted successfully.


MfG,
Timosy

Was meinst Du damit, dass MS nicht so begeistert wäre? Du hast doch keine schwarze Version von Windows?
Bitte arbeite die Liste ab und poste die Logfiles.

Zitat von cosinus

Was meinst Du damit, dass MS nicht so begeistert wäre? Du hast doch keine schwarze Version von Windows?
Bitte arbeite die Liste ab und poste die Logfiles.

Aus irgendeinem Grund funktioniert der RSIT-Link jetzt wieder.


Hier also die Log-Files: <KLICK>

Bitte mal den Avenger anwenden

Vorbereitungen:
a) Deaktiviere den Hintergrundwächter vom Virenscanner.
b) Stöpsele alle externen Datenträger vom Rechner ab.


Danach:

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus. Die Haken unten wie abgebildet setzen:



3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld: (Vorsicht, die Liste ist lang, bitte wirklich ALLES exakt kopieren!!)

registry keys to delete:
HKLM\software\microsoft\shared tools\msconfig\startupreg\msn webcam hack
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fdfaebcaebcd

registry values to delete:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLS
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler | ghya673gidh87we9inkff

folders to delete:
C:\WINDOWS\system32\.a1239bbbc00a1f3c

files to delete:
C:\WINDOWS\tasks\{7B02EF0B-A410-4938-8480-9BA26420A627}.job
C:\WINDOWS\tasks\{BB65B0FB-5712-401b-B616-E69AC55E2757}.job
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Rar$EX04.875\msn webcam hack.exe
C:\WINDOWS\system32\fdfaebcaebcd.dll
C:\WINDOWS\system32\iebho1A.dll
C:\WINDOWS\system32\stu2.exe
C:\WINDOWS\rejjwusl.txt
C:\WINDOWS\System32\drivers\828b2086.sys
C:\WINDOWS\system32\drivers\qhtrdmxrptewmdxv.sys
C:\WINDOWS\system32\drivers\lsxnucnbdd.sys
C:\WINDOWS\system32\0B.tmp
C:\WINDOWS\TEMP\yhsrppjqqh.exe

drivers to delete:
828b2086
qhtrdmxrptewmdxv
yxztndtjhasfgpj
scdkjpvju
a1239bbbc00a1f3c
a1239bbbc00a1f3calerter
         

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

Hast Du das genau so mit dem CFScript auch gemacht? Die Einträge, die ich so löschen wollte, sind nämlich immer noch da.

Zitat von cosinus

Hast Du das genau so mit dem CFScript auch gemacht? Die Einträge, die ich so löschen wollte, sind nämlich immer noch da.

Ja, habe ich gemacht. Zuerst hatte ich die *.txt-Datei falsch benannt; dann habe ich sie umbenannt und den Vorgang nochmal gestartet. Daraufhin hat das Programm irgendwas gesagt von wegen Fertigstellungsvorgang 1, 2, 3, 4, 5, 6, 6A usw. und irgendwann hat er dann neu gesatartet und mir das Logfile ausgegeben.

Nur bei den XXX hatte ich keine Ahnung, wovon du redest, aber ich gehe mal davon aus, dass der Beitrag vorgefertigt war und mich das deshalb nicht betrifft... oder?

Ja, das mit den XXX ist da absichtlich drin, weil hin und wieder was aus dem Suerporfil gelöscht werden muss. Und ich tippe solche riesigen Anleitungen ja nicht immer neu ab

Probieren wir das Löschen der gleichen Objekte noch mal mit dem Avenger statt Combofix:

Bitte mal den Avenger anwenden

Vorbereitungen:
a) Deaktiviere den Hintergrundwächter vom Virenscanner.
b) Stöpsele alle externen Datenträger vom Rechner ab.


Danach:

1.) Lade Dir von hier Avenger als gehweg.exe => File-Upload.net - gehweg.exe auf den Desktop

2.) Doppelklick die Datei "gehweg.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:



3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:

Registry values to delete:
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List | 6993:TCP
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile | EnableFirewall

files to delete:
c:\windows\system32\gknegnm.dll

drivers to delete:
itqfkn
zfqwucpro
         

4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Registry value "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List|6993:TCP" deleted successfully.
Registry value "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile|EnableFirewall" deleted successfully.

Error:  file "c:\windows\system32\gknegnm.dll" not found!
Deletion of file "c:\windows\system32\gknegnm.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

Driver "itqfkn" deleted successfully.
Driver "zfqwucpro" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
         

coooooosiiiiinuuuuuuuus...... !?

Ja hier bin ich
Manchmal übersehe ich einige Threads das möge man mir verzeihen
Mach mal bitte ein frisches RSIT-Logfile

Zitat von cosinus

Ja hier bin ich
Manchmal übersehe ich einige Threads das möge man mir verzeihen
Mach mal bitte ein frisches RSIT-Logfile

Kein Problem.. Habe mich nur gewundert, weil du sonst immer nach einem Tag geantwortet hast und ich dich ab und zu online gesehen habe


<KLICK 4 RSIT-Log>

Das Logfile sieht okay aus. Gibts noch Probleme?
Wenn nicht, bitte mal die Updates prüfen:

Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Es geht v.a. um den IE8, auch wenn Du ihn nicht nutzt.


Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.


Java-Update
Deine derzeitig installierte Version von Java ist veraltet, was ebenfalls ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alten Versionen zu löschen und auf die neuste zu aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.