|
HJT log moin also ich habe den wurm Worm/RBot.87904 wäre dankbar wenn mir jemand sagen kann was ich noch entfernen muss oder wie ich sonst verfahren soll. schonmal danke im vorraus Gruß Fred Logfile of HijackThis v1.99.0 Scan saved at 19:11:06, on 09.04.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: E:\WINDOWS\System32\smss.exe E:\WINDOWS\system32\winlogon.exe E:\WINDOWS\system32\services.exe E:\WINDOWS\system32\lsass.exe E:\WINDOWS\system32\Ati2evxx.exe E:\WINDOWS\system32\svchost.exe E:\WINDOWS\System32\svchost.exe E:\WINDOWS\system32\Ati2evxx.exe E:\WINDOWS\Explorer.EXE E:\WINDOWS\system32\spoolsv.exe E:\Programme2\Creative\SBLive\Diagnostics\diagent.exe C:\programme\ICQLite\ICQLite.exe E:\Programme\Java\jre1.5.0_02\bin\jusched.exe E:\Programme\AVPersonal\AVGNT.EXE E:\Programme\AVPersonal\AVGUARD.EXE E:\Programme\AVPersonal\AVWUPSRV.EXE E:\WINDOWS\system32\CTsvcCDA.exe E:\WINDOWS\system32\MsPMSPSv.exe E:\Programme\Internet Explorer\iexplore.exe C:\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.1:3128 R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\programme\ICQToolbar\toolbaru.dll O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\programme\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [ATIPTA] E:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [diagent] E:\Programme2\Creative\SBLive\Diagnostics\diagent.exe startup O4 - HKLM\..\Run: [UpdReg] E:\WINDOWS\UpdReg.EXE O4 - HKLM\..\Run: [razertra] E:\Programme2\razertra.exe O4 - HKLM\..\Run: [ICQ Lite] C:\programme\ICQLite\ICQLite.exe -minimize O4 - HKLM\..\Run: [SunJavaUpdateSched] E:\Programme\Java\jre1.5.0_02\bin\jusched.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\programme\quicktime\qttask.exe" -atboottime O4 - HKLM\..\Run: [NeroFilterCheck] E:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [AVGCtrl] "E:\Programme\AVPersonal\AVGNT.EXE" /min O4 - HKCU\..\Run: [Steam] C:\Programme\Valve\Steam\Steam.exe -silent O4 - HKCU\..\RunOnce: [ICQ Lite] C:\programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: PowerReg Scheduler.exe O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\programme\ICQToolbar\toolbaru.dll/SEARCH.HTML O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - E:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - E:\Programme\Messenger\msmsgs.exe O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{F16E6F70-B827-4DAA-9C8D-BE799C5985E9}: NameServer = 192.168.0.1 O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - E:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - E:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown - E:\WINDOWS\system32\ati2sgag.exe O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - E:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - E:\WINDOWS\system32\CTsvcCDA.exe |
@fredl0r wo würde der RBot.87904 gefunden? chaosman |
einmal in C:SYSTEM VOLUME INFORMATION und in nem runtergeladenen archiv |
@fredl0r lasse mal in nem runtergeladenen archiv überprüfen http://virusscan.jotti.org/de/ und poste das ergebnis chaosman |
hab das archiv leider nicht mehr.. habs gelöscht |
|
alles klar |
Sat Apr 09 20:29:03 2005 => File E:\DOKUME~1\fredl0r\LOKALE~1\Temp\ICD1.tmp\WinServAdX.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. Sat Apr 09 20:42:33 2005 => File C:\HijackThis\backups\backup-20041221-230846-223.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. Sat Apr 09 20:58:38 2005 => File C:\spiele\OilTycoonSetup-dm.exe infected by "not-a-virus:AdWare.Trymedia.a" Virus. Action Taken: No Action Taken. Sat Apr 09 21:16:28 2005 => File E:\Dokumente und Einstellungen\fredl0r\Lokale Einstellungen\Temp\ICD1.tmp\WinServAdX.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. die sachen oben finde ich wenn ich im editor suche.. aber die 8 unten werden bei mw angezeigt die hab ich einfach auch nochmal gepostet. File E:\DOKUME~1\fredl0r\LOKALE~1\Temp\ICD1.tmp\WinServAdX.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. File C:\HijackThis\backups\backup-20041221-230846-223.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. File C:\programme\gamers.IRC\girc432.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken. File C:\programme\gamers.IRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken. File C:\programme\mIRC\mirc.exe tagged as not-a-virus:RiskWare.mIRC.6.14. No Action Taken. File C:\spiele\OilTycoonSetup-dm.exe infected by "not-a-virus:AdWare.Trymedia.a" Virus. Action Taken: No Action Taken. File D:\was bleibt\kleinkrams\mirc614.exe tagged as not-a-virus:RiskWare.mIRC.6.14. No Action Taken. File E:\Dokumente und Einstellungen\fredl0r\Lokale Einstellungen\Temp\ICD1.tmp\WinServAdX.dll infected by "not-a-virus:AdWare.WinAD.f" Virus. Action Taken: No Action Taken. |
@fredl0r alle gefundene dateien, bis auf die 3 RiskWare.mIRC.6.16, in den abgesicherten modus manuell löschen. leere auch mal deine TIFs Temporary Internet Files Leere diese Ordner: C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temp C:\WINDOWS\Downloaded Program Files C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temporary Internet Files chaosman |
alles klar.. dann sag ich vielen vielen dank für die nette und so schnelle hilfe :bussi: LG Fred |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 14:38 Uhr. |
Copyright ©2000-2025, Trojaner-Board