|
AV Guard startet nicht Trojaner TR/Dldr.Agent.IG.3 / Dialer usw. Hallo, ich hoffe ich bin hier richtig. Ich hatte 3-4 Jahre Win ME und nie einen Virus o.ä. jetzt nach 3 Wochen Win XP Prof. mit SP2 hat es direkt erwischt. Dementsprechend habe ich eigentlich keine Ahnung bei der Viren/Trojaner Bekämpfung. Ich habe nur Antivir personal und die Win- Firewall installiert, dann überprüfe ich noch manchmal mit Adaware. Mit dem XP PC komme ich im Augenblick nicht ins Internet, zum Glück habe ich den alten PC noch. Gestern hat Antivir 3 Dateinen gemeldet die den Trojaner TR/Dldr.Agent.IG.3 enthalten sollen, die Dateien habe ich gelöscht. Dann war erst mal Ruhe, heute wurden mir zwei Dialer gemeldet (gehe aber über DSL ins Internet). Die habe ich auch gelöscht. Nun kommt beim Neustart die RUNDLL Fehlermeldung "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden". Da muss ich ja wohl noch etwas entfernen, nur was? Jetzt kann ich aber den Antivir Guard nicht mehr starten, auch wenn ich es über Systemsteuerung - Verwaltung - Dienste versuche zu starten klappt es nicht. Neu installiert habe ich Antivir auch - keine Änderung. So hier mal mein Logfile: Logfile of HijackThis v1.99.0 Scan saved at 18:27:31, on 07.02.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\basfipm.exe C:\Programme\Dell\OpenManage\Client\Iap.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe C:\Programme\Analog Devices\SoundMAX\spkrmon.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\hkcmd.exe C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe C:\WINDOWS\system32\dla\tfswctrl.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\switpa.exe C:\Programme\D-Link\D-Link DSL-260I USB ADSL Modem\dslmon.exe C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Dokumente und Einstellungen\Jani\Eigene Dateien\Tools\Hijackthis\hijackthis199\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.tiscali.de/web/ R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tiscali.de R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/ R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Tiscali O1 - Hosts: 216.40.230.4 desktop.kazaa.com O1 - Hosts: 216.40.230.4 alpha.kazaa.com O1 - Hosts: 216.40.230.4 shop.kazaa.com O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Programme\NewDotNet\newdotnet6_38.dll (file missing) O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe O4 - HKLM\..\Run: [DVDLauncher] "C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe" O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r O4 - HKLM\..\Run: [StarSkin] C:\PROGRAMME\STARSKIN\STARSKIN.EXE -H O4 - HKLM\..\Run: [switp] C:\WINDOWS\switpa.exe O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s O4 - HKLM\..\Run: [ISDNStatus] C:\Programme\BIL-ISDN\isdnsta.exe O4 - HKLM\..\Run: [msnmsgq32] C:\WINDOWS\msnmsgq.exe O4 - HKLM\..\Run: [clfmon] C:\WINDOWS\clfmon.exe O4 - HKLM\..\Run: [SheduIer] C:\WINDOWS\winagent.exe /i O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min O4 - Global Startup: DSLMON.lnk = ? O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_38.dll' missing O14 - IERESET.INF: START_PAGE_URL=http://www.tiscali.de O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105040704756 O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: Broadcom ASF IP monitoring service v6.0.4 - Broadcom Corp. - C:\WINDOWS\System32\basfipm.exe O23 - Service: Iap - Dell Inc - C:\Programme\Dell\OpenManage\Client\Iap.exe O23 - Service: spkrmon - Unknown - C:\Programme\Analog Devices\SoundMAX\spkrmon.exe Gibt es eine Möglichkeit ohne Formatieren oder Win - Neuinstallation? Das wäre toll! Grüße Jan |
Hallo, Zitat:
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s Wende LspFix und repariere damit dein WinSock. Zitat:
Mach erstmal folgendes: Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben. Poste anschliessend die Virus Log Information von eScan AntiVirus: Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen. |
Hallo, erst mal danke für die schnelle Hilfe, eScan läuft gerade seit einer Stunde (alle Files werden gescannt) und es dauert sicher noch 2 Stunden, aber zwischendurch kam die Fehlermeldung: Die Anweisung in "=x7c92103c" verweist auf Speicher in "0x00000000" Der Vorgang "writen" konnte nicht auf dem Speicher ausgeführt werden. Klicken sie OK um das Prog. zu beenden Klicken sie auf Abbrechen um zu bebuggen. Ich habe dann auf abbrechen geklickt und das Prog. läuft jetzt weiter. LspFix habe ich noch nicht ausgeführt ich hoffe das war OK. Mit Kazaa konnte ich mich mit dem PC eh nicht verbinden. Ich werde es daher deinstallieren. Gibt es da was zu beachten? EMule habe ich allerdings auch noch drauf. Grüße Jani |
Hast du "divx" installiert das verträgt sich nicht mit Win XP SP2 |
Hi, Zitat:
Da gab es übrigens schon eine Meldung: "DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken." Hat das was damit zu tun? Die Meldung hörte sich nicht so schlimm an. Grüße Jan |
Solche Meldungen sind nur schwer zu eruieren, könnte auch heissen eine fehlerhafter Sektor auf der Festplatte oder Ramspeicher. |
Hallo, so fertig mit infected wurde gefunden: Mon Feb 07 20:23:06 2005 => File C:\WINDOWS\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken Mon Feb 07 21:23:54 2005 => Scanning Folder : C:\Programme\AVPersonal\INFECTED\*.* Mon Feb 07 22:06:44 2005 => File C:\windows\adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action taken Mit "tagged" wurde der Eintrag gefunden den ich im letzten Post schon geschrieben habe DivX502Bundle.exe tagged as not-a-virus: Tool.Win32.Reboot. No Action Taken und das gleiche dann noch mal mit der Datei MilesT32.exe und painkiller_sp_demo_3_setup.exe Hört sich doch irgendwie nicht so schlimm an, oder? Der Folder "INFECTED" bei AVPersonal ist übrigens leer. Was muss ich jetzt tun? Grüße Jani |
Hi MaxPower, poste auch das Gesamtergebnis, steht ganz unten in der Logfile. Beispiel: Wed Feb 02 19:48:56 2005 => Total Files Scanned: 42805 Wed Feb 02 19:48:56 2005 => Total Virus(es) Found: 0 Wed Feb 02 19:48:56 2005 => Total Disinfected Files: 0 Wed Feb 02 19:48:56 2005 => Total Files Renamed: 0 Wed Feb 02 19:48:56 2005 => Total Deleted Files: 0 Wed Feb 02 19:48:56 2005 => Total Errors: 55 Wed Feb 02 19:48:56 2005 => Time Elapsed: 00:35:44 Wed Feb 02 19:48:56 2005 => Virus Database Date: 2005/01/31 Wed Feb 02 19:48:56 2005 => Virus Database Count: 116619 dartus |
Hi, mach ich. Mon Feb 07 22:33:24 2005 => Total Files Scanned 61443 Mon Feb 07 22:33:24 2005 => Total Virus(es) found: 5 Mon Feb 07 22:33:24 2005 => Total Disinfected Files: 0 Mon Feb 07 22:33:24 2005 => Total Files Renamed : 0 Mon Feb 07 22:33:24 2005 => Total Deleted Files: 0 Mon Feb 07 22:33:24 2005 => Total Errors: 13 Mon Feb 07 22:33:24 2005 => Time Elapsed 02:09:48 Mon Feb 07 22:33:24 2005 => Virus Database Date: 2005/02/07 Mon Feb 07 22:33:24 2005 => Virus Database Count: 117359 Mon Feb 07 22:33:24 2005 => Scan Completed. Mon Feb 07 22:47:59 2005 => Virus Database Date: 2005/02/07 Mon Feb 07 22:47:59 2005 => Virus Database Count: 117359 Mon Feb 07 22:47:59 2005 => AV Library Unloaded (3)... |
Ich hab Lspfix gestartet Unter Keep wird angezeigt: mswsock.dll TCP/IP winrnr.dll NTDS rsvpsp.dll (Protocol handler) Unter Remove steht: newdotnet6_38.dll New.net Name Space Provider Besteht die Chance das, wenn ich den Eintrag entferne,ich wieder mit dem PC ins Netz komme? Einwählen geht aber im Explorer sagt er mir dann es kann keine Verbindung hergestellt werden. Und wie bekomme ich AVGuard wieder ans laufen und nutzt das überhaupt was? Grüße Jani |
Nun habe ich völlig eigenmächtig LspFix ausgeführt und newdotnet6_38.dll New.net entfernt. Ins Internet komme ich wieder und AVGuard startet auch automatisch. Kazaa lite ist deinstalliert. Bei Start kommt aber immer noch die Fehlermeldung: "Fehler beim Laden von C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL Das angegebene Modul wurde nicht gefunden" So ganz gefällt mir das noch nicht. Ich habe auch Antivir mit ausgeschalteter Systemwiederherstellung (die ist immer noch ausgeschaltet, soll ich die wieder einschalten?) und im abgesicherten Modus alle Files durchsuchen lassen, da gab es keinen Alarm mehr, Antivir kann aber nicht alle Dateien öffnen, das sieht dann z.b. so aus: C:\windows\system32\config default Zugriff verweigert! Fehler beim Öffnen der Datei. Fehlercode: 0x000D WARNUNG! Zugriffsfehler/Datei gesperrt! Was kann ich noch tun? Dank und Grüße Jani |
Jetzt habe ich auch den Eintrag Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~2.DLL,NewDotNetStartup -s in der Reg. gefunden und gelöscht, die Warnung beim Start ist weg. Es gibt aber noch mehr Einträge in der Reg. wenn ich unter "NEWDOT" suche soll ich die auch alle löschen? Ein Verzeichnis mit Namen NewDotNet gibt es auch noch, darin sind eine readme.html und ein file unistall6_38.exe. Ich vermute mal das kann/sollte ich auch löschen? |
Prinzipiell sind in deinem Fall alle Einträge, in denen sich NewDotNet befindet zu löschen. Prinzipiell ist aber auch ein regestry-backup sehr nützlich, wenn man nicht 100% weiss, was man löscht. |
hi http://filepony.de/download-cwshredder/ letzter eintrag ganz unten start->systemsteuerung->software->programme ändern oder entfernen-> nachsehen, ob hier ein,oder mehrere programme installiert sind, die nicht absichtlich von dir installiert wurden, deinstallieren -> name der programme hier posten! kann ein programm nicht deinstalliert werden, ein möglicher grund, es ist in verwendung, mit dem taskmanager beenden und dann deinstallieren. Ich hab Lspfix gestartet Unter Keep wird angezeigt: mswsock.dll TCP/IP winrnr.dll NTDS rsvpsp.dll (Protocol handler) Unter Remove steht: newdotnet6_38.dll New.net Name Space Provider wenn bei lspfix die datei bereits auf der rechten seite steht dann häkchen setzen und finish drücken, lspfix repariert dann nur noch die registry einträge und das problem ist gelöst, nicht wieder nach links schieben. |
Hallo, ist ja super hier! Langsam bin ich beruhigt und kann wohl ins Bett. :sleepy: Kazaabegone habe ich auch ausgeführt und der hat noch einiges entfernt (Reg. natürlich vorher gesichert) Und wenn das stimmt: http://www.computerhilfen.de/hilfen-17-37994-20.html brauche ich mir wegen dem: adiras.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" ja auch keine Gedanken mehr machen? Ich hätte dann nur noch ein Programm das mir nichts sagt, bzw verdächtig vorkommt: Offer Agent (keine Größe oder andere Angaben dazu vorhanden) Danke euch! Jani |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 03:43 Uhr. |
Copyright ©2000-2025, Trojaner-Board