spyware 180Solution/VX2 entfernen
 

Hallo!
Ich habe durch Zufall entdeckt, daß sich auf meinem PC wohl spyware befindet! Über escan habe ich rausbekommen, daß es sich um 180Solution sowie VX2 handelt.
Da ich mich aber nicht besonders gut damit auskenne, konnte ich trotz verzweifelter Versuche noch kein Mittel dagegen finden und wende mich nun an euch! Habe hier mal den Hijack eingefügt, könnt ihr aus den Einträgen mein Problem erkennen und lösen?
Brauche eine detaillierte Anleitung, wie ich diesen Mist aus meinem System verbannen kann!


Logfile of HijackThis v1.99.1
Scan saved at 22:34:44, on 29.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\RWTH Aachen\Cisco VPN Client\cvpnd.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\DOKUME~1\AA6B0~1.HOF\LOKALE~1\Temp\Rar$EX00.406\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.faz.net/s/homepage.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.medion.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [SpyHunter] C:\Programme\Enigma Software Group\SpyHunter\SpyHunter.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: RWTH Aachen Cisco VPN Client.lnk = C:\Programme\RWTH Aachen\Cisco VPN Client\vpngui.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {543CDDE7-DF47-47DD-9339-0B023AC5DCA8} - http://www.medionshop.de (file missing) (HKCU)
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.de
O16 - DPF: {00000000-0000-0000-0000-d4c4b96b0d97} -
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\RWTH Aachen\Cisco VPN Client\cvpnd.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Poste mal den Log von escan:

Teile uns dann das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

Hier die gefundenen Dateien!

Tue Mar 29 20:49:51 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.
Tue Mar 29 20:49:51 2005 => File System Found infected by "180Solutions Spyware/Adware" Virus. Action Taken: No Action Taken.

Tue Mar 29 20:49:51 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.
Tue Mar 29 20:49:51 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.

Da waren noch andere Dateien, die als "not-a-virus" deklariert waren. Die konnte ich bereits durch einfaches Löschen beseitigen. (hoffe das war richtig?)

Poste auch mal den Teil der mwav.log, der ungefähr so aussieht:

=> Total Files Scanned: xxxx
=> Total Virus(es) Found: xxxx
=> Total Disinfected Files: xxx
=> Total Files Renamed: xxxxx
=> Total Deleted Files: xxxx
=> Total Errors:xxxx
Time Elapsed: xxxx
Virus Database Date: xxxxx
Virus Database Count: xxxxx

Ist am Ende der mwav.log finden

Sorry, hat etwas gedauert! Hier ist nun der log! Hat wieder die beiden Viren gefunden, die ich unten eingefügt habe!

Wed Mar 30 09:56:53 2005 => ***** Scanning complete. *****

Wed Mar 30 09:56:53 2005 => Total Objects Scanned: 32995
Wed Mar 30 09:56:53 2005 => Total Virus(es) Found: 2
Wed Mar 30 09:56:53 2005 => Total Disinfected Files: 0
Wed Mar 30 09:56:53 2005 => Total Files Renamed: 0
Wed Mar 30 09:56:53 2005 => Total Deleted Objects: 0
Wed Mar 30 09:56:53 2005 => Total Errors: 0
Wed Mar 30 09:56:53 2005 => Time Elapsed: 10:20:15
Wed Mar 30 09:56:53 2005 => Virus Database Date: 2005/03/28
Wed Mar 30 09:56:53 2005 => Virus Database Count: 123733

Wed Mar 30 09:56:53 2005 => Scan Completed.

@ Levie

Navigiere jeweils in der Registry [1] zu diesem Schlüssel HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer
Bars\ und auch HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Explorer
Bars\ und entferne die beiden Unterschlüssel [2].

[1] Start -> Ausführen -> regedit eingeben und OK
[2] {30d02401-6a81-11d0-8274-00c04fd5ae38} und {0E5CBF21-D15F-11D0-8301-00AA005B4383}

Hallo Cidre!
Habs versucht, aber diese Einträge gibts nicht in den Verzeichnissen! Gibts noch andere Möglichkeiten?

Habe die Schlüssel in der Reg gesucht und gefunden:

{30d02401-6a81-11d0-8274-00c04fd5ae38} unter HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\

bzw.

{0E5CBF21-D15F-11D0-8301-00AA005B4383} unter
HKEY_USERS\S-1-5-21-3307144382-2122901767-3685698554-1007\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowse

Kann ich die da auch einfach rauslöschen? Oder was sollich da tun?

Ja, lösche beide.

Durchsuche nochmal die mwav.log nach den beiden Object CLSID, denn dort müsste Dir jeweils der genaue Schlüssel angezeigt werden.

Vielen Dank!
Werde es mal probieren!