Hallo,

Ich habe seit ein paar Tagen große Probleme mit einem Wurm, den ich noch nicht ausfindig machen konnte.

Bevor ihr guten Rat gebt:
Ich habe schon viel versucht!
Alle diese Versionen upgedatet und durchchecken lassen:
- Antivir
- Spybot
- Ad-aware
- FixSober
- Stinger

W32.sober müsste doch eigentlich gefunden worden sein mit FixSober.
Antivir signalisiert nur Warnungen, findet jedoch nichts. Die Warnungen beziehen sich wohl auf Dataminer, die ich über Spybot und Ad-aware ausfindig machen konnte. Daran liegts aber wohl nicht...

Die Probleme:

- Langsamer Seitenaufbau, meist nicht möglich -> "Die Seite kann nicht angezeigt werden."

- Oft wird nach Eingabe einer URL mit .de Endung diese mit einer zweiten Endung zur Doppelendung .de.com verwandelt.

- Zuletzt ist die URL http://drummerforum.de umgewandelt worden in http://dummy.de.org/index.htm

- Outlook läuft kaum mehr, ständig Fehlermeldungen. Emails kommen und gehen nur sehr sporadisch.

- Häufiger Eingang von Emails des Adressaten CASINO

Wer weiß Rat - wäre sehr nett!
Evtl. ist der Virus über eine Zip Datei mit Fotos gekommen, die ich von einem Bekannten jedoch erwartet hatte und keinen Virus befürchtet habe. Wie kann ich das evtl. prüfen?

Hallo,

lade und scanne mit eScan AntiVirus wie beschrieben.
Danach die Virus Log Information von eScan AntiVirus posten:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Erstelle mit HiJackThis ein Log-File und poste es hier rein.
Persönliche Informationen, wie Benutzername und dergleichen, bitte unkenntlich machen.

Danke, bin dabei.
ui, wie lange dauert das denn? Nach 1:36 und 80.000 Dateien sind jetzt 24 Viren gefunden worden und ist noch nicht fertig

So:

File C:\WINDOWS\System32\bH.dll infected by "not-a-virus:AdvWare.BiSpy.b" Virus. Action Taken: File Renamed.

File C:\WINDOWS\System32\bs5-nt15v.exe infected by "not-a-virus:AdvWare.BookedSpace.b" Virus. Action Taken: File Renamed.

File C:\WINDOWS\System32\SHAgentNew.dll infected by "not-a-virus:AdvWare.ShopAtHome.b" Virus. Action Taken: File Renamed.

File C:\Dokumente und Einstellungen\Johannes\Lokale Einstellungen\Temp\cd_clint.dll infected by "not-a-virus:AdvWare.Cydoor" Virus. Action Taken: File Renamed

File C:\Dokumente und Einstellungen\Johannes\Lokale Einstellungen\Temp\remove.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: File Deleted.

Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*

File C:\Programme\MyWay\myBar\1.bin\MY2NS.EXE infected by "not-a-virus:AdvWare.Toolbar.MyWay.b" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP30\A0025086.DLL infected by "not-a-virus:AdvWare.Toolbar.MyWay.e" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025238.dll infected by "not-a-virus:AdvWare.BiSpy.b" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025239.exe infected by "not-a-virus:AdvWare.BookedSpace.b" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025240.dll infected by "not-a-virus:AdvWare.ShopAtHome.b" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025243.EXE infected by "not-a-virus:AdvWare.Toolbar.MyWay.b" Virus. Action Taken: File Renamed.

File C:\WINDOWS\Downloaded Program Files\SAHAgent_.exe infected by "not-a-virus:AdvWare.Sahat.c" Virus. Action Taken: File Renamed.

File C:\WINDOWS\Downloaded Program Files\SahHtml_.exe infected by "not-a-virus:AdvWare.Sahat.c" Virus. Action Taken: File Renamed.

File C:\WINDOWS\Downloaded Program Files\ycomp5_0_2_7.dll infected by "not-a-virus:AdvWare.Toolbar.Yahoo" Virus. Action Taken: File Renamed.

File C:\WINDOWS\iLookup\TTIL.exe infected by "not-a-virus:AdvWare.EZula.d" Virus. Action Taken: File Renamed.

File D:\Programme\SaveNow\SaveNow.exe infected by "not-a-virus:AdvWare.SaveNow.aa" Virus. Action Taken: File Renamed.

File D:\Programme\SaveNow\savenowupdate.exe infected by "not-a-virus:AdvWare.SaveNow.aa" Virus. Action Taken: File Renamed.

File D:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025245.exe infected by "not-a-virus:AdvWare.SaveNow.aa" Virus. Action Taken: File Renamed.

File D:\System Volume Information\_restore{0F55EC4B-A53E-48BB-B107-13C9D81D9FF6}\RP36\A0025246.exe infected by "not-a-virus:AdvWare.SaveNow.aa" Virus. Action Taken: File Renamed.

***File E:\Barthezz - Infected.mp3 having Size Restriction ***

File E:\Barthezz - Infected.mp3 [**]


***** Scanning complete. *****

Thu Oct 07 21:49:30 2004 => Total Number of Files Scanned: 102206
Thu Oct 07 21:49:30 2004 => Total Number of Virus(es) Found: 28
Thu Oct 07 21:49:30 2004 => Total Number of Disinfected Files: 0
Thu Oct 07 21:49:30 2004 => Total Number of Files Renamed: 18
Thu Oct 07 21:49:30 2004 => Total Number of Deleted Files: 1
Thu Oct 07 21:49:30 2004 => Total Number of Errors: 1
Thu Oct 07 21:49:30 2004 => Time Elapsed: 02:12:17
Thu Oct 07 21:49:30 2004 => Virus Database Date: 2004/09/08
Thu Oct 07 21:49:30 2004 => Virus Database Count: 103474

Thu Oct 07 21:49:30 2004 => Scan Completed.


Das nenn ich infiziert

Logfile of HijackThis v1.98.2
Scan saved at 22:17:54, on 07.10.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
C:\Programme\my-playlist\my-playlist.exe
C:\Programme\Telekom\Eumex 704PC LAN\Capictrl.exe
C:\Programme\Telekom\Eumex 704PC LAN\HNetCtrl.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\CTSVCCDA.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\Johannes\LOKALE~1\Temp\mwavscan.com
C:\DOKUME~1\Johannes\LOKALE~1\Temp\kavss.exe
C:\WINDOWS\System32\notepad.exe
C:\Dokumente und Einstellungen\Johannes\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: (no name) - {00041A26-7033-432C-94C7-6371DE343822} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PC-CAM 600 STI App Registration] RunDLL32.exe PD023pin.dll,RunDLL32EP 512
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [LDM] C:\Programme\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [my-playlist] "C:\Programme\my-playlist\my-playlist.exe" /Autostart
O4 - Global Startup: CAPIControl.lnk = ?
O4 - Global Startup: Gator eWallet.lnk = C:\Programme\Gator.com\Gator\Gator.exe
O4 - Global Startup: HomeNet Control.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Buyertools Reminder - {27914077-B4D6-4A0E-9763-76B6E9DD9A81} - C:\Programme\Buyertools\Buyertools Reminder\ReminderIE.exe
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: eBay Homepage - {D4951B60-8FF9-4813-B716-FF3E75386E74} - http://www.preispiraten.de/cgi-bin/e...://www.ebay.de (file missing)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: Yahoo! Chat - http://cs6.chat.sc5.yahoo.com/c381/chat.cab
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - http://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://cs6.chat.sc5.yahoo.com/v43/yacscom.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-12.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/2492b055b25de81...dxIE601_de.cab
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.141/code/PWActiveXImgCtl.CAB
O16 - DPF: {8714912E-380D-11D5-B8AA-00D0B78F3D48} (Yahoo! Webcam Upload Wrapper) - http://chat.yahoo.com/cab/yuplapp.cab
O16 - DPF: {D67AC55A-B750-41A4-BEE6-020E017A7996} (IEPlugIn Class) - http://install.cokemusic.de/client/p...LER_loader.exe
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex...l_v1-0-3-0.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/de/check/qdiagh.cab?319
O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - http://us.dl1.yimg.com/download.yaho...bio5_0_2_7.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8A21CE1A-A888-4B60-BBC8-EBEED0DA16D9}: NameServer = 192.168.69.254

28-19=9 no action taken

Poste doch mal diese und ebenso ein neues HJT Log-File:
Öffne die mwav.log -> Bearbeiten -> Suchen -> tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

EDIT: Hast ja schon ein Log-File erstellt.

Fixe diese Einträge (Haken setzen und auf Fix Checked klicken):
O2 - BHO: (no name) - {00041A26-7033-432C-94C7-6371DE343822} - (no file)
O4 - Global Startup: Gator eWallet.lnk = C:\Programme\Gator.com\Gator\Gator.exe
O9 - Extra button: Buyertools Reminder - {27914077-B4D6-4A0E-9763-76B6E9DD9A81} - C:\Programme\Buyertools\Buyertools Reminder\ReminderIE.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: eBay Homepage - {D4951B60-8FF9-4813-B716-FF3E75386E74} - http://www.preispiraten.de/cgi-bin/...p://www.ebay.de (file missing)
Alle O16

Wichtig:
Aktuelle dir dein System, denn sonst hast du den Mist oder schlimmeres bald wieder drauf!
http://v5.windowsupdate.microsoft.co...r/default.aspx

- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html
- Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org

File C:\WINDOWS\firestorm.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\AGASetup0609.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\Dokumente und Einstellungen\Johannes\Lokale Einstellungen\Temp\~vis0000\rebootnt.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\Programme\MLH\dating.exe tagged as not-a-virus:RiskWare.Dialer.gen. No Action Taken.

File C:\Programme\ORL\VNC\VNCHooks.dll tagged as not-a-virus:RiskWare.RemoteAdmin.WinVNC.1540. No Action Taken.

File C:\Programme\ORL\VNC\vncviewer.exe tagged as not-a-virus:RiskWare.RemoteAdmin.WinVNC.333. No Action Taken.

File C:\Programme\Winrar 2.90\AGASetup0609.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\VNC für Windows\vncviewer\vncviewer.exe tagged as not-a-virus:RiskWare.RemoteAdmin.WinVNC.333. No Action Taken

File C:\WINDOWS\firestorm.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Ok, sind sauber.

Arbeite die einzelnen Punkte noch ab, dann hast du auch in Zukunft ein sauberes System.

Für die Zukunft:
http://www.mathematik.uni-marburg.de...ompromise.html

Vielen Dank für die große Hilfe Cidre!

Leider geht der Link zum Windows Update nicht...

Jetzt gehts mit dem Link - werde noch wahnsinnig.

Hatte auch heute vormittag schon versucht Windows upzudaten...
Die Updates sind soweit ich das gesehen habe auch vorgenommen worden... das ganze fing dann aber wieder von vorne an, beim 3. Durchlauf habe ich abgebrochen.

Und was hatte ich jetzt drauf für Viecher?
Ist dieses Buyertool für Ebay gefährlich?

Ist dieses Buyertool für Ebay gefährlich?

Sorry, da ist mir ein Fehler unterlaufen. Buyertools ist nicht gefährlich. Installiere es erneut.

Und was hatte ich jetzt drauf für Viecher?

Du hattest eine Trojaner Downloader Keenval und diverse Adware drauf.
http://sarc.com/avcenter/venc/data/adware.keenval.html

Ich möchte Mozilla als Hauptinternet-Client verwenden.
Ich hatte vorher auch parrallel zum Internet Explorer "Mozilla Firebird".

Bei Mozilla ist jetzt leider auch der Seitenaufbau über DSL etwas langsamer als bei Internet Explorer.
>>> Muss ich das in Kauf nehmen?
Ist auch nicht sooo dramatisch. Mit Mozilla muss ich aber erst noch "warm werden".
>>> Ich habe noch nicht die Einstellungsmöglichkeit für eine deutschsprachige Benutzeroberfläche finden können.
>>> Gibt es eine leichtverständliche Anweisung, um von Outlook auf den Mozillla Email-Clienten umzusteigen, einschließlich Übernahme des Adressbuches?

Gruß Johannes

Bei Mozilla ist jetzt leider auch der Seitenaufbau über DSL etwas langsamer als bei Internet Explorer. Muss ich das in Kauf nehmen?

Nein, musst du nicht.
Lade Mozilla Optimizer und optimiere die Performance.

>>> Ich habe noch nicht die Einstellungsmöglichkeit für eine deutschsprachige Benutzeroberfläche finden können.

Ein wenig Geduld. An der Übersetzung wird gearbeitet.

Gibt es eine leichtverständliche Anweisung, um von Outlook auf den Mozillla Email-Clienten umzusteigen, einschließlich Übernahme des Adressbuches?

http://www.thunderbird-mail.de/intro/intro.php
http://thunderbird.bric.de/index.php?page=faq

Gut vielen Dank,

Leider lässt sich die Datei zur Optimierung von Mozilla bei mir nicht "anwenden" da passiert nichts.

So, ich habe nochmal durchsuchen lassen:

Mon Oct 11 19:43:29 2004 => ***** Scanning complete. *****

Mon Oct 11 19:43:29 2004 => Total Number of Files Scanned: 91990
Mon Oct 11 19:43:29 2004 => Total Number of Virus(es) Found: 9
Mon Oct 11 19:43:29 2004 => Total Number of Disinfected Files: 0
Mon Oct 11 19:43:29 2004 => Total Number of Files Renamed: 0
Mon Oct 11 19:43:29 2004 => Total Number of Deleted Files: 0
Mon Oct 11 19:43:29 2004 => Total Number of Errors: 2
Mon Oct 11 19:43:29 2004 => Time Elapsed: 02:16:46
Mon Oct 11 19:43:29 2004 => Virus Database Date: 2004/09/08
Mon Oct 11 19:43:29 2004 => Virus Database Count: 103474

Mon Oct 11 19:43:29 2004 => Scan Completed.

Jetzt frage ich mich, ob nicht doch wieder was Böses drauf ist...