|
Letzte Rettung? Hallo! Ich hoffe, ihr könnt mir helfen, ich bin hier langsam am verzweifeln. Nachdem ich heute Mittag noch meine übliche Viren- und Spyware-Prüfung hab durchlaufen lassen (Norton, AdAware und Spybot) und nichts gefunden wurde, sieht das mittlerweile ganz anders aus! :kloppen: Scheinbar hab ich mir vorhin irgendeinen Trojaner oder Virus oder so eingefangen und ich werde ihn nicht wieder los. Wenn ich meinen Explorer öffne, bekomm ich bis zu drei weitere Fenster zu irgendwelchen Seiten, die ich noch nie in meinem Leben gesehen habe und AdAware und Spybot finden bei jedem Durchlauf neue Probleme, die nach Beheben aber sofort wieder da sind. :( Ich hab mir nun also dieses Hijack-Programm besorgt und drüberlaufen lassen. Mein Log sieht folgendermaßen aus: Logfile of HijackThis v1.99.0 Scan saved at 20:42:08, on 04.01.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\PROGRA~1\ICQ\ICQ.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\explorer.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Messenger\msmsgs.exe C:\Dokumente und Einstellungen\Baddie\Desktop\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.angelinvestigations.de/index2.html O1 - Hosts: 69.20.16.183 auto.search.msn.com O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll O10 - Unknown file in Winsock LSP: c:\windows\system32\aklsp.dll O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/...lInstaller.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1102359609890 O18 - Filter: text/html - {4A1A51A9-34E4-403B-8AB2-E595D4D3613D} - C:\Dokumente und Einstellungen\Baddie\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.26.dat O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe Ich wäre sehr dankbar, wenn mir jemand erzählen könnte, wo das Problem liegt und vor allem, wie genau ich das wieder weg bekomme. Und bitte ganz langsam Schritt für Schritt, denn ich bin eine PC-Blondine! :D |
http://www.cexx.org/lspfix.htm lspfix runterladen und ausführen, und alles außer mswsock.dll, winrnr.dll, und rsvpsp.dll zu remove schießen und schließlich auf finish gefixt werden sollte: O1 - Hosts: 69.20.16.183 auto.search.msn.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.angelinvestigations.de/index2.html O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52...llInstaller.exe O18 - Filter: text/html - {4A1A51A9-34E4-403B-8AB2-E595D4D3613D} - C:\Dokumente und Einstellungen\Baddie\Lokale Einstellungen\Anwendungsdaten\microsoft\internet explorer\V0.26.dat aber ich jedenfalls konnte keine anzeichen für viren finden. deswegen lad dir mal escan runter und scanne mal, gib dann nachdem du das alles erledigt hast, einen erneuten log von hijack this und geb das Ergebnis von escan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren" her in einen beitrag |
Ein HiJackThis - Log-File kannst du HIER auch selbst auswerten lassen. |
dass reicht doch nicht aus @chris47803 es gibt dinge die nicht mit hijack this beheben werden können. die automatische auswertung weiß außerdem manche dinge nicht. sie kann bspw. keine viren erkennen. und die autom. erkennung hat sich schonmal geirrt und einen bösen prozess als gut befunden. es ist besser die logs weiterhin hier zu posten |
Zitat:
Zitat:
Zitat:
Hijack this sagt jetzt folgendes: Logfile of HijackThis v1.99.0 Scan saved at 21:29:19, on 04.01.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\Programme\Norton AntiVirus\navapsvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\PROGRA~1\ICQ\ICQ.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\explorer.exe C:\Programme\Internet Explorer\iexplore.exe C:\DOKUME~1\Baddie\LOKALE~1\Temp\mwavscan.com C:\DOKUME~1\Baddie\LOKALE~1\Temp\kavss.exe C:\Programme\Messenger\msmsgs.exe C:\Dokumente und Einstellungen\Baddie\Desktop\HijackThis.exe O1 - Hosts: 69.20.16.183 auto.search.msn.com O1 - Hosts: 69.20.16.183 search.netscape.com O1 - Hosts: 69.20.16.183 ieautosearch O1 - Hosts: 69.20.16.183 ieautosearch O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [ccRegVfy] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1102359609890 O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe Und escan hab ich mir runtergeladen und drüberlaufen lassen. Dabei hat er 24 Viren gefunden... :( Soll ich jetzt hier den riesigen Log davon posten? Oder alle 24 mühsam per Hand raussuchen? :confused: |
@Bad Cat poste nur das ergebnis EscanErgebnis Teile uns das Ergebnis des eScan mit: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." chaosman |
Hmpf! Komm mir hier gerade total blöd vor. Ihr versucht mir hier zu helfen und ich check mal wieder nichts. :kloppen: Also, @chaosman: Ich hab das jetzt mal gemacht und er hat mir gerade mal ein Problem markiert: C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\R1ZGXN7O\loader2[1].ocx infected by "Trojan-Downloader.Win32.Agent.ex" Virus. Action Taken: No Action Taken. Das scheint zumindest EIN Problem von den 24 zu sein, die er als Virus gefunden hat. |
@Bad Cat denn wirst du leicht los lade dir clearprog bei www.clearprog.de programm starten, alle häkchen bei IE und windows setzen, löschen poste bitte die andere escanergebnisse auch chaosman |
ich kann eigentlich schon darauf schließen, dass die meisten viren im ordner temporary internet files sind. hm.. geh in abgesicherten modus und lass mal den ordner leeren (start/programme/zubehör/systemprogramme/datenträgerbereinigung) dort c: auswählen und alles auswählen dort. dann auf OK. dann lass nochma escan drüber laufen und poste das ergebnis wie vorhin genannt. und wenn du das alles hast, update die virendefinitonen von norton antivirus -_- das gibts doch net dass ein (eigentlich recht teuerer) virenscanner wie norton antivirus diese viren nicht erkennt. oh chaosman war schneller^^ |
Okay, ich hab mittlerweile noch einige andere Programme ausprobiert und wie es scheint auch einige Viren (?) wegbekommen, denn heute morgen waren es bereits 30, die escan mir angezeigt hat. Ich hab mir jetzt mal die Mühe gemacht und die verbleibenden 24 per Hand (! - ging nicht anders) aus dem Logfile von escan rauszusuchen: C:\WINDOWS\system32\guard.tmp infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\IEMenuExtension.exe infected by "not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\akupd.dll infected by "TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\aklsp.dll infected by "TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\appsetup.exe infected by "Trojan-Downloader.Win32.Small.aco" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\guard.tmp infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\kt4sl7h71.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\gpj6l31s1.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\akcore.dll infected by "not-a-virus:AdWare.Coreak" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\inetFuel.exe infected by "not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken. C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\R1HU7NR7\AppWrap[1].exe infected by "Trojan-Dropper.Win32.Small.of" Virus. Action Taken: No Action Taken. C:\DOKUME~1\Baddie\LOKALE~1\TEMPOR~1\Content.IE5\ZXPKXDNF\AppWrap[1].exe infected by "Trojan-Dropper.Win32.Small.of" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\akupd.dll infected by "TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\aklsp.dll infected by "TrojanDownloader.Win32.Agent.br" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\appsetup.exe infected by "Trojan-Downloader.Win32.Small.aco" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\guard.tmp infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\kt4sl7h71.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\gpj6l31s1.dll infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\akcore.dll infected by "not-a-virus:AdWare.Coreak" Virus. Action Taken: No Action Taken. C:\WINDOWS\system32\inetFuel.exe infected by "not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken. C:\WINDOWS\Temp\nsdtmp09.dll infected by "not-a-virus:AdWare.MetaDirect.a" Virus. Action Taken: No Action Taken. C:\WINDOWS\Downloaded Program Files\WinServAdX.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. C:\WINDOWS\Downloaded Program Files\SAHAgent_.exe infected by "not-a-virus:AdWare.ShopAtHome.b" Virus. Action Taken: No Action Taken. C:\WINDOWS\IEMenuExtension.exe infected by "not-a-virus:AdWare.ToolBar.Ucmore" Virus. Action Taken: No Action Taken. Norton ist auf dem neusten Stand, aber er findet nichts! Soviel also zu diesem ach so tollen Programm... :koch: |
@ Bad Cat Lade den Total Commander und nimm folgende Einstellung vor: Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK Navigiere im linken Fenster zu dem besagten Ordnern bzw. Dateien und lösche diese (markieren -> F8 -> JA). |
Okay, ich habe nun die meisten von den Sachen mit dem Total Commander gelöscht. Bei einigen von den Dateien zeigt er aber eine Warnung an, dass es sich um versteckte oder Systemdateien handelt. Kann ich die denn so einfach löschen oder funktioniert dann anschließend gar nichts mehr bei mir? :confused: |
Die kannst du alle bedenkenlos löschen. |
Ich hab alles gelöscht bis auf dieses Exemplar: C:\WINDOWS\system32\guard.tmp infected by "not-a-virus:AdWare.Look2Me.u" Virus. Action Taken: No Action Taken. Wenn ich das löschen will, sagt mir Total Commander, dass das Programm womöglich schreibgeschützt sei und deswegen nicht gelöscht werden kann. Ich bin daraufhin mal manuell zu der Datei gegangen und hab unter "Eigenschaften" nachgeschaut, aber dort steht nicht, dass die Datei schreibgeschützt ist. Wie bekomme ich das Ding denn dann von meinem PC? |
HJT öffnen -> Config -> Misc Tools -> Delete a File on reboot -> navigiere dann zur C:\WINDOWS\system32\guard.tmp -> Öffnen -> nächste Frage mit JA beantworten. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 18:50 Uhr. |
Copyright ©2000-2025, Trojaner-Board