Virus deinstalliert AVG
 

Da ich in Programme ein mir unbekanntes Verzeichnis gefunden habe wollte ich meinen AVGFree Virenscanner laufen lassen, stellte aber fest, dass er nicht mehr wie bisher im System-Tray vorhanden war.
Im AVG-Programmverzeichnis gab es auch die exe.Dateien nicht mehr
Ich habe in Programme folgende mir unbekannte Verzeichnissse gefunden:
AOD
Common~1
STK013_V2.01
Der Virus muss AVG deinstalliert haben?

Logfile of HijackThis v1.99.1
Scan saved at 12:43:31, on 13.09.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\PTBSync\PTBSync.exe
C:\Programme\HHVcdV5Sys\VC5Play.exe
C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\WINDOWS\Twain_32\SlimU2TA\HotKey.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe
C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\FreeRamXPpro\FreeRAM XP Pro 1.40.exe
C:\Programme\Express ClickYes\ClickYes.exe
C:\Programme\Jana2\janad.exe
C:\RESSOU~1\LOGONB~1\WALLPA~1.90\WALLPA~1.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Ressources\Logonbootprogram\logonuibootrandomizer\LogonUIBootRandomizer.exe
C:\Programme\GMX\GMX SMS-Manager\SMSMngr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Virtual CD v5\System\VC5Tray.exe
C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Eigene Programme\ShortCut\ShortCut.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\HHVcdV5Sys\VC5SecS.exe
C:\Programme\RealVNC\VNC4\winvnc4.exe
C:\Programme\Microsoft Office\Office10\OUTLOOK.EXE
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\STK013_V2.01\STK013M.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\mmc.exe
C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\Spam und Viren\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [PTBSync] C:\Programme\PTBSync\PTBSync.exe /Start
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [VC5Player] C:\Programme\HHVcdV5Sys\VC5Play.exe
O4 - HKLM\..\Run: [RandomBoot] "C:\Ressources\Logonbootprogram\logonuibootrandomizer\RandomScreens.exe" /RandomizeBoot
O4 - HKLM\..\Run: [LogonUIBootRandomizer] "C:\Ressources\Logonbootprogram\logonuibootrandomizer\RandomScreens.exe" /RandomizeLogon
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\SlimU2TA\HotKey.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe" -quiet
O4 - HKCU\..\Run: [FreeRAM XP] "C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\FreeRamXPpro\FreeRAM XP Pro 1.40.exe" -win
O4 - HKCU\..\Run: [Express ClickYes] C:\Programme\Express ClickYes\ClickYes.exe
O4 - HKCU\..\Run: [WallPaper] C:\RESSOU~1\LOGONB~1\WALLPA~1.90\WALLPA~1.EXE /h
O4 - HKCU\..\Run: [LogonUIBootRandomizer] "C:\Ressources\Logonbootprogram\logonuibootrandomizer\LogonUIBootRandomizer.exe" /Minimized
O4 - HKCU\..\Run: [GMX SMS-Manager] C:\Programme\GMX\GMX SMS-Manager\SMSMngr.exe
O4 - HKCU\..\Run: [Eraser] C:\Programme\Eraser\eraser.exe -hide
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Startup: Verknüpfung mit Backup.lnk = C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Programme\Backup.VBS
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: ShortCut.lnk = C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Eigene Programme\ShortCut\ShortCut.exe
O4 - Global Startup: STK013 PNP Monitor.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: iOpus Internet Macros - {0483894E-2422-45E0-8384-021AFF1AF3CD} - C:\Programme\InternetMacros\imacros.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: concept/design's onlineTV - {B774EF33-E0FA-4538-BD7C-AFA31B21A530} - C:\Programme\onlineTV\onlineTV.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .au: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .bmp: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mid: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .wav: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O16 - DPF: {03BCF80B-B975-498C-B9CC-1F517915995A} (Office2003.Install) - https://secure.interfax.net/Office2003.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{64649DD0-B440-4145-918A-21B53D207A12}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{A2AD68DC-0A40-4FB5-A698-D4C7D40C2D9D}: NameServer = 80.69.98.110,212.113.0.3
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Jana Server 2 (Janad) - Thomas Hauck, Privat - C:\Programme\Jana2\janad.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Virtual CD v5 Security service (VC5SecS) - H+H Software GmbH - C:\Programme\HHVcdV5Sys\VC5SecS.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programme\RealVNC\VNC4\winvnc4.exe" -service (file missing)

Allerdings konnte ich den Virenscanner neu installieren, danach waren alle AVG Programmdateinen wieder vorhanden..
AVG hat danach folgendes gefunden:
Partition table (MBR),"Change","Changed"
Boot sector of disk C:,"Change","Changed"
C:\WINDOWS\system32\user32.dll,"Change","Changed"
C:\WINDOWS\system32\shell32.dll,"Change","Changed"
C:\WINDOWS\system32\ntoskrnl.exe,"Change","Changed"
C:\Dokumente und Einstellungen\Siegfried\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\msjld.jar-5fda7c69-52fb581f.zip:\GetAccess.class,"Trojan horse Java/ClassLoader","Infected, Embedded object"
C:\Dokumente und Einstellungen\Siegfried\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\msjld.jar-5fda7c69-52fb581f.zip:\InsecureClassLoader.class,"Virus identified Java/ByteVerify","Infected, Embedded object"
C:\Dokumente und Einstellungen\Siegfried\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\msjld.jar-5fda7c69-52fb581f.zip:\Installer.class,"Virus identified Java/ByteVerify","Infected, Embedded object"
C:\Dokumente und Einstellungen\Siegfried\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\msjld.jar-5fda7c69-52fb581f.zip,"Trojan horse Java/ClassLoader","Infected, Archive"

4 files infected; 0 moved to virus vault 0 healed, 0 deleted

Was kann man machen?

@schwemmer
scanne dein system mit escan
http://www.trojaner-board.de/showthread.php?t=17492


chaosman

Ich glaube ich habe son ähnliches Problem!...

[edit]
entfernt weil ot
[/edit]

@Dicky
eröffne bitte einen eigenen thread, es wird anders sehr unübersichtlich


chaosman

Probleme mit Antivir........
 

[edit]
entfernt weil ot
[/edit]

sorry @webmaster!

lösch die ma bitte wieder!habe das noch nicht so drauf!

[edit]
erledigt :cool:
[/edit]

Danke Chaosman.
Das ist das Log-File:(ohne Einträge für mirc.exe)

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "infected"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Fri Sep 16 08:42:24 2005 => System found infected with StartSurfing Spyware/Adware (config.dat)! Action taken: No Action Taken.
Fri Sep 16 08:48:45 2005 => File C:\Dokumente und Einstellungen\Siegfried\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\msjld.jar-5fda7c69-52fb581f.zip infected by "Trojan.Java.ClassLoader.c" Virus! Action Taken: No Action Taken.
Fri Sep 16 09:07:30 2005 => File C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\you are an idiot.htm infected by "Trojan.JS.Offiz" Virus! Action Taken: No Action Taken.
Fri Sep 16 09:26:58 2005 => Scanning File C:\Dokumente und Einstellungen\Siegfried\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SDU745E7\infected6xz[1].gif
Fri Sep 16 09:32:32 2005 => File C:\Programme\Evrsoft\1st Page 2000\IScripts\Buttons\Six buttons from hell.izs infected by "Trojan.JS.Loop" Virus! Action Taken: No Action Taken.
Fri Sep 16 11:03:01 2005 => Total Disinfected Files: 0
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Funde für "tagged"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Fri Sep 16 09:04:00 2005 => File C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\Pstools.zip tagged as not-a-virus:RiskTool.Win32.PsKill.1101. No Action Taken.
Fri Sep 16 09:04:32 2005 => File C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Dateien\Download\Screensaver\fishtank.exe tagged as "not-a-virus:AdWare.EZula.bc". Action Taken: No Action Taken.

Fri Sep 16 09:09:46 2005 => File C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Fri Sep 16 09:10:39 2005 => File C:\Dokumente und Einstellungen\Siegfried\Eigene Dateien\Eigene Programme\mIRC\download\foto.jpg tagged as not-a-virus:RemoteAdmin.Win32.RAdmin.20. No Action Taken.

Fri Sep 16 09:44:45 2005 => File C:\Programme\RealVNC\VNC4\wm_hooks.dll tagged as not-a-virus:RemoteAdmin.Win32.WinVNC.4. No Action Taken.
Fri Sep 16 09:45:07 2005 => File C:\Programme\STK013_V2.01\STK013K.exe tagged as "not-a-virus:AdWare.Cres". Action Taken: No Action Taken.
Fri Sep 16 10:56:26 2005 => File E:\Freigegbener Ordner\Spiele 1\Action free\southpm2.zip tagged as "not-a-virus:AdWare.ShowBehind.a". Action Taken: No Action Taken.
Fri Sep 16 10:57:56 2005 => File E:\Freigegbener Ordner\Spiele 1\danger_in_space.exe tagged as "not-a-virus:Dialer.Win32.gen". Action Taken: No Action Taken.
Fri Sep 16 10:59:09 2005 => File E:\Freigegbener Ordner\vnc-3.3.7-x86_win32.exe tagged as not-a-virus:RemoteAdmin.Win32.WinVNC-based.c. No Action Taken.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
Fri Sep 16 08:42:24 2005 => Offending file found: C:\DOKUME~1\SIEGFR~1\LOKALE~1\Temp\config.dat
Fri Sep 16 11:03:01 2005 => Total Virus(es) Found: 36
Fri Sep 16 11:03:01 2005 => Total Errors: 110
Fri Sep 16 11:03:01 2005 => Time Elapsed: 02:24:17
Fri Sep 16 11:03:01 2005 => Total Objects Scanned: 329767
Thu Sep 15 08:51:33 2005 => Virus Database Date: 2005/09/09
Fri Sep 16 08:37:32 2005 => Virus Database Date: 2005/09/09
Fri Sep 16 11:03:01 2005 => Virus Database Date: 2005/09/09
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~
~~~~~~~ © Haui ;-) ~~~~~~~
~~~~~~~ Dank an Cidre ~~~~~~~