Trojaner-Board - MediaPlex kann mit Spybot 1.2 nicht entfernt werden

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - MediaPlex kann mit Spybot 1.2 nicht entfernt werden (https://www.trojaner-board.de/12666-mediaplex-spybot-1-2-entfernt.html)

MediaPlex kann mit Spybot 1.2 nicht entfernt werden

Hallo,

ich bekomme den MediaPlex mit Spybot 1.2 nicht entfernt.
MediaPlex taucht sofort wieder auf.

Vielen Dank für die Hilfe.

Jörn

Logfile of HijackThis v1.99.0
Scan saved at 12:40:21, on 24.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\UPS\WorldShip\Dbnt25sv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Eset\nod32krn.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\UPSWSSVC.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\UPS\WorldShip\Wshipservicecom.exe
C:\WINNT\system32\svchost.exe
C:\Programme\XIMETA\NetDisk\LDServ.exe
c:\David\tld\code\CAPI\tld.exe
C:\WINNT\Explorer.EXE
C:\WINNT\SOUNDMAN.EXE
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\Programme\Roxio\WinOnCD 6 PE\DirectCD\DirectCD.exe
C:\Programme\Eset\nod32kui.exe
C:\WINNT\system32\internat.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\XIMETA\NetDisk\Admin.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINNT\system32\wuauclt.exe
C:\Programme\Canon\CanoScan Toolbox Ver4.0\CSTBox.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
L:\Software\HiJack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 6 PE\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Mountit.lnk = C:\Programme\Roxio\WinOnCD 6 PE\MountIt.exe
O4 - Global Startup: NetDisk Administrator.lnk = XIMETA\NetDisk\Admin.exe
O4 - Global Startup: VR-NetWorld Auftragsprüfung.lnk = VR-NetWorld\vrtoolcheckorder.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://www.partners.teklynx.com/qp2.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O16 - DPF: {928626A3-6B98-11CF-90B4-00AA00A4011F} (SurroundVideoCtrl Object) - http://www.buy@alfaromeo.com/Compone...d/MSSurVid.cab
O16 - DPF: {BB47CA33-8B4D-11D0-9511-00C04FD9152D} (ExteriorSurround Object) - http://www.buy@alfaromeo.com/Compone...or/Outside.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{611D01BE-2E65-4797-82CA-5EDCA0A42D03}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{8A6BC733-C11B-495E-8FC9-5280355916BC}: NameServer = 192.168.100.50
O17 - HKLM\System\CCS\Services\Tcpip\..\{9CCF451D-101D-45E4-A4CE-64D0642F2141}: NameServer = 192.168.100.51
O23 - Service: Centura SQLBase - Centura Software Corporation - C:\UPS\WorldShip\Dbnt25sv.exe
O23 - Service: DvISE Discussion Server - Tobit Software - c:\David\APPS\DSERVER\CODE\DSERVER.EXE
O23 - Service: DvISE Grabbing Server - Tobit Software - c:\David\APPS\DVGRAB\CODE\DVGRAB.EXE
O23 - Service: DvISE Host - Tobit Software - c:\David\APPS\DVHOST\CODE\DVHOST.EXE
O23 - Service: DvISE Mail Access Server - Tobit Software - c:\David\APPS\MASERVER\CODE\MASERVER.EXE
O23 - Service: DvISE PCL Conversion Server - Tobit Software - c:\David\APPS\FAXWARE\CONVERT\PCL\PCL.EXE
O23 - Service: DvISE PostMan - Tobit Software - c:\David\APPS\POSTMAN\CODE\POSTMAN.EXE
O23 - Service: DvISE Replica - Tobit Software - c:\David\APPS\REPLICA\CODE\REPLICA.EXE
O23 - Service: DvISE Service Layer - Tobit Software - c:\David\CODE\SL.EXE
O23 - Service: DvISE TLD 001 - Tobit Software - c:\David\tld\code\CAPI\tld.exe
O23 - Service: DvISE TVIndex - Unknown - c:\David\APPS\TVINDEX\TVINDEX.EXE
O23 - Service: DvISE WebBox - Tobit Software - c:\David\APPS\WEBBOX\CODE\WEBBOX.EXE
O23 - Service: AVM FRITZ!web Routing Service - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LANSCSI Helper Service - XIMETA, Inc. - C:\Programme\XIMETA\NetDisk\LDServ.exe
O23 - Service: NOD32 Kernel Service - Unknown - C:\Programme\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: SNMP Trap Service - Unknown - C:\WINNT\system32\snmptrap.exe (file missing)
O23 - Service: UPSWSSVC - Unknown - C:\WINNT\UPSWSSVC.exe
O23 - Service: WShipServiceCom - Unknown - C:\UPS\WorldShip\Wshipservicecom.exe

Malware auf dem System, mit eScan untersuchen

Zitat:

Neuen Ordner "bases" auf "c:\" erstellen. eScan downloaden. Mit Zip-Programm in neuen Ordner entpacken. Anleitung lesen. eScan online updaten, offline im abgesicherten Modus ausführen. Dauer des Scans ca 1 Stunde. Scan dient dem Aufspüren von Malware, wird bei kostenloser Version nicht entfernt. Kann manuell erledigt werden. Dies angeben:

=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:

zuzüglich die Namen der Viren: "öffne die mwav.log (oder die mwXface.log) [im Ordner c:\bases] -> bearbeiten -> suchen -> infected eingeben -> weitersuchen -> Treffer markieren/kopieren -> ins Forum übertragen."

Hallo,

ich habe jetzt Spybot 1.4B2 installiert und
alle Probleme wurden behoben.
Könnt Ihr noch etwas entdecken?

Mein neues Logfile sieht jetzt so aus.

Danke für die Hilfe!

Jörn

Logfile of HijackThis v1.99.0
Scan saved at 13:38:36, on 24.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\UPS\WorldShip\Dbnt25sv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Eset\nod32krn.exe
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\UPSWSSVC.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\MsPMSPSv.exe
C:\UPS\WorldShip\Wshipservicecom.exe
C:\WINNT\system32\svchost.exe
C:\Programme\XIMETA\NetDisk\LDServ.exe
c:\David\tld\code\CAPI\tld.exe
C:\WINNT\Explorer.EXE
C:\WINNT\SOUNDMAN.EXE
C:\Programme\ScanSoft\OmniPageSE\opware32.exe
C:\Programme\Roxio\WinOnCD 6 PE\DirectCD\DirectCD.exe
C:\Programme\Eset\nod32kui.exe
C:\WINNT\system32\internat.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\XIMETA\NetDisk\Admin.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINNT\system32\wuauclt.exe
C:\Programme\Canon\CanoScan Toolbox Ver4.0\CSTBox.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
L:\Software\HiJack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Omnipage] C:\Programme\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\WinOnCD 6 PE\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Programme\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Mountit.lnk = C:\Programme\Roxio\WinOnCD 6 PE\MountIt.exe
O4 - Global Startup: NetDisk Administrator.lnk = XIMETA\NetDisk\Admin.exe
O4 - Global Startup: VR-NetWorld Auftragsprüfung.lnk = VR-NetWorld\vrtoolcheckorder.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://www.partners.teklynx.com/qp2.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/viewers/ipixx.cab
O16 - DPF: {928626A3-6B98-11CF-90B4-00AA00A4011F} (SurroundVideoCtrl Object) - http://www.buy@alfaromeo.com/Compone...d/MSSurVid.cab
O16 - DPF: {BB47CA33-8B4D-11D0-9511-00C04FD9152D} (ExteriorSurround Object) - http://www.buy@alfaromeo.com/Compone...or/Outside.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{611D01BE-2E65-4797-82CA-5EDCA0A42D03}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{8A6BC733-C11B-495E-8FC9-5280355916BC}: NameServer = 192.168.100.50
O17 - HKLM\System\CCS\Services\Tcpip\..\{9CCF451D-101D-45E4-A4CE-64D0642F2141}: NameServer = 192.168.100.51
O23 - Service: Centura SQLBase - Centura Software Corporation - C:\UPS\WorldShip\Dbnt25sv.exe
O23 - Service: DvISE Discussion Server - Tobit Software - c:\David\APPS\DSERVER\CODE\DSERVER.EXE
O23 - Service: DvISE Grabbing Server - Tobit Software - c:\David\APPS\DVGRAB\CODE\DVGRAB.EXE
O23 - Service: DvISE Host - Tobit Software - c:\David\APPS\DVHOST\CODE\DVHOST.EXE
O23 - Service: DvISE Mail Access Server - Tobit Software - c:\David\APPS\MASERVER\CODE\MASERVER.EXE
O23 - Service: DvISE PCL Conversion Server - Tobit Software - c:\David\APPS\FAXWARE\CONVERT\PCL\PCL.EXE
O23 - Service: DvISE PostMan - Tobit Software - c:\David\APPS\POSTMAN\CODE\POSTMAN.EXE
O23 - Service: DvISE Replica - Tobit Software - c:\David\APPS\REPLICA\CODE\REPLICA.EXE
O23 - Service: DvISE Service Layer - Tobit Software - c:\David\CODE\SL.EXE
O23 - Service: DvISE TLD 001 - Tobit Software - c:\David\tld\code\CAPI\tld.exe
O23 - Service: DvISE TVIndex - Unknown - c:\David\APPS\TVINDEX\TVINDEX.EXE
O23 - Service: DvISE WebBox - Tobit Software - c:\David\APPS\WEBBOX\CODE\WEBBOX.EXE
O23 - Service: AVM FRITZ!web Routing Service - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LANSCSI Helper Service - XIMETA, Inc. - C:\Programme\XIMETA\NetDisk\LDServ.exe
O23 - Service: NOD32 Kernel Service - Unknown - C:\Programme\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: SNMP Trap Service - Unknown - C:\WINNT\system32\snmptrap.exe (file missing)
O23 - Service: UPSWSSVC - Unknown - C:\WINNT\UPSWSSVC.exe
O23 - Service: WShipServiceCom - Unknown - C:\UPS\WorldShip\Wshipservicecom.exe

Bitte eScan anwenden. Beschreibung s.o./Link. Gewißheit schafft Sicherheit.

Hallo,

EScan hat folgendes auf dem Rechner gefunden. Die Files habe ich bereits gelöscht. Was meint Ihr? Ist noch irgendetwas zu tun?

Danke. Jörn

File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SJ0Y147X\wbk326.tmp infected by "Trojan-Spy.HTML.Smitfraud.a" Virus.

File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\Y8E5J5KS\wbk185.tmp infected by "Exploit.IFrame.FileDownload" Virus.