lfd. popups wg. Infizierung mit Spyware
 

Hallo,
ich habe seit einigen Tagen einen Virus auf meinem PC, der laufend verschiedene PopUp-Fenster öffnet, die auf eine Infizierung des PC's aufmerksam machen.
Einige Bereinigungen wurden von mir bereits durchgeführt, z.B. mit Spybot-Search & Destroy, FixVundo und SpyHunter.
Im SpyHunter habe ich einen Infekt (Itemname:igfxcui, Objektname: Trojan.Vundo, Typ: Registrykey) wiederholt bereinigt, aber nach dem Neustart zeigte Spyhunter wieder die gleiche Infektion an.
Ich habe auch das Forum nach ähnlichen Problemen durchsucht, aber nichts gefunden.
Ich bitte um Hilfe.
bipa

Mein Betriebssystem WindowsXP Prof.
Als Anhang aktuell Hijackthis.

Hallo Sunny,
vielen Dank für die prompte Antwort.
Ich habe die drei Aufgaben abgearbeitet und die Log-Dateien der Bereinigungen von Malwarebytes und ComboFix angehängt.
Nach dem Restart läuft der Computer nun schon über zwei Stunde und seitdem habe ich keine Popupfenster mehr erhalten.
Du wirst ja weitere Instruktionen für mich haben.

Die Miene meiner Enkeline verändert sich schon von :heulen: in :daumenhoc, denn es ist ihr Computer.

Gruß bipa



Malwarebytes' Anti-Malware 1.09
Datenbank Version: 547

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 142652
Scan Dauer: 37 minute(s), 43 second(s)

Infizierte Speicher Prozesse: 1
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 4
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicher Prozesse:
c:\WINDOWS\system32\jesahyta.exe (Trojan.Agent) -> No action taken.

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7dee5ba2-cb70-4bbb-bd94-208bba8aa6c4} (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{25560540-9571-4d7b-9389-0f166788785a} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{3dc201fb-e9c9-499c-a11f-23c360d7c3f8} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{63d0ed2c-b45b-4458-8b3b-60c69bbbd83c} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{98d9753d-d73b-42d5-8c85-4469cda897ab} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{9ff05104-b030-46fc-94b8-81276e4e27df} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jesahyta (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\{07b18ea9-a523-4961-b6bb-170de4475cca} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\altvxvm (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\bokpkov (Trojan.FakeAlert) -> No action taken.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)



ComboFix 08-03-23.2 - Laura 2008-03-26 9:38:25.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.536 [GMT 1:00]
ausgeführt von:: C:\Downloads\Spyware\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
The following files were disabled during the run:
C:\Programme\Enigma Software Group\SpyHunter\SpyHunterMonitor.dll

-- Other TimeOuts --
CF30142.exe /d /c C.bat
Findstr -MIF:/ "\\TTC\.pdb InsertAdvertisement"
GREP -i "C:\\Programme\\[^\\]*\\[^\\]*$"
VFind -tf -s282624 "C:\Programme\????????*[0-9].dll"
CF30142.exe /c " VFind.exe -ltf -s-1000000 -d+2007-12-26 "C:\Programme\*" >progfile.dat"
VFind.exe -ltf -s-1000000 -d+2007-12-26 "C:\Programme\*"
CF30142.exe /c " dir /a/s/b C:\_desktop.ini C:\desktop_.ini C:\cnsmin* C:\_install.exe >DirRoot"

((((((((((((((((((((((( Dateien erstellt von 2008-02-26 bis 2008-03-26 ))))))))))))))))))))))))))))))
.

2008-03-26 08:55 . 2008-03-26 09:36 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-03-26 08:55 . 2008-03-26 08:55 <DIR> d-------- C:\Dokumente und Einstellungen\Laura\Anwendungsdaten\Malwarebytes
2008-03-26 08:55 . 2008-03-26 08:55 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-03-24 14:30 . 2008-03-24 14:30 <DIR> d-------- C:\Programme\CCleaner
2008-03-23 18:00 . 2008-03-24 11:20 4,638 --a------ C:\WINDOWS\system32\tmp.reg
2008-03-23 13:51 . 2008-03-23 13:51 <DIR> d-------- C:\VundoFix Backups
2008-03-22 11:32 . 2008-03-22 16:25 <DIR> d-------- C:\Programme\Trojancheck 6
2008-03-21 18:57 . 2008-03-21 18:57 <DIR> d-------- C:\Programme\Lavasoft
2008-03-21 18:32 . 2008-03-21 18:32 <DIR> d-------- C:\Programme\Enigma Software Group
2008-03-21 17:38 . 2008-03-21 17:41 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-03-21 17:38 . 2008-03-26 08:48 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-21 16:58 . 2008-03-21 16:58 <DIR> d-------- C:\Programme\Trend Micro
2008-03-08 09:59 . 2008-03-10 15:54 <DIR> d-------- C:\Programme\IMVU
2008-03-08 09:59 . 2008-03-10 15:49 <DIR> d-------- C:\Dokumente und Einstellungen\Laura\Anwendungsdaten\IMVU
2008-03-02 10:31 . 2008-03-02 10:31 3,657,024 --a------ C:\From_Internet_16.mp3
2008-03-02 10:27 . 2008-03-02 10:28 6,369,604 --a------ C:\Flash_Video_55.mp4
2008-03-01 18:55 . 2008-03-01 18:55 22,594,332 --a------ C:\Flash_Video_54.mp4

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-22 16:52 --------- d-----w C:\Dokumente und Einstellungen\Laura\Anwendungsdaten\AdobeUM
2008-03-22 15:25 --------- d-----w C:\Programme\Windows Media Connect 2
2008-03-22 15:25 --------- d-----w C:\Programme\DivX
2008-03-22 15:18 --------- d-----w C:\Dokumente und Einstellungen\Laura\Anwendungsdaten\U3
2008-03-08 08:11 --------- d-----w C:\Programme\Java
2008-02-16 18:05 --------- d-----w C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-02-15 14:00 --------- d-----w C:\Programme\Norton Security Scan
2008-02-09 08:46 --------- d-----w C:\Programme\Gemeinsame Dateien\DVDVIDEOSOFT
2000-01-07 10:53 696,320 ----a-w C:\Programme\Gemeinsame Dateien\XCMHook.dll
2000-01-06 14:57 24,576 ----a-w C:\Programme\Gemeinsame Dateien\XCPCMenu.exe
.

((((((((((((((((((((((((((((( snapshot@2008-03-24_15.14.56.70 )))))))))))))))))))))))))))))))))))))))))
.
+ 2008-03-25 12:17:12 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_64c.dat
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Google Update"="C:\Dokumente und Einstellungen\Laura\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.1.25.0\GoogleUpdate.exe" [2008-03-19 10:35 51184]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:57 15360]
"SweetIM"="C:\Programme\Macrogaming\SweetIM\SweetIM.exe" [2007-10-14 18:09 103712]
"WMPNSCFG"="C:\Programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 09:56 204288]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BluetoothAuthenticationAgent"="irprops.cpl" [2004-08-04 00:58 381440 C:\WINDOWS\system32\irprops.cpl]
"UC_Start"="C:\Programme\IBM\Updater\\ucstartup.exe" [2003-10-01 00:39 36864]
"UC_SMB"="" []
"dla"="C:\WINDOWS\system32\dla\tfswctrl.exe" [2004-01-28 10:04 118837]
"UpdateManager"="c:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" [2003-08-19 10:01 110592]
"Mouse Suite 98 Daemon"="ICO.EXE" [2003-11-20 23:08 57344 C:\WINDOWS\system32\ico.exe]
"Share-to-Web Namespace Daemon"="C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [2002-04-17 10:42 69632]
"NeroCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 11:50 155648]
"ElbyCheckElbyCDFL"="C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" [2001-12-06 13:09 45056]
"CRBroadCasting"="C:\Programme\CardReader2.0\CRBroadCasting.exe" [2004-07-27 02:47 24576]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2005-03-05 09:42 180269]
"MMTray"="C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe" [2006-01-17 13:26 135168]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-12-04 14:00 79224]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2003-10-31 19:42 32768]
"mmtask"="C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe" [2006-01-17 13:26 53248]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2005-12-20 20:54 278528]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2006-12-24 19:46 155648]
"IgfxTray"="C:\WINDOWS\system32\igfxtray.exe" [2007-01-13 09:47 131072]
"HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe" [2007-01-13 09:47 163840]
"Persistence"="C:\WINDOWS\system32\igfxpers.exe" [2007-01-13 09:46 135168]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 04:25 144784]
"Sony Ericsson PC Suite"="C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" [2007-03-28 00:07 593920]
"SweetIM"="C:\Programme\Macrogaming\SweetIM\SweetIM.exe" [2007-10-14 18:09 103712]
"SpyHunter Security Suite"="C:\Programme\Enigma Software Group\SpyHunter\SpyHunter3.exe" [2008-01-23 14:47 847872]
"IBMPRC"="C:\IBMTOOLS\UTILS\ibmprc.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:57 15360]

C:\Dokumente und Einstellungen\All Users\Startmen�\Programme\Autostart\
Adobe Gamma Loader.lnk - C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2005-01-06 15:53:20 113664]
Microsoft Office.lnk - C:\Programme\Microsoft Office\Office10\OSA.EXE [2001-02-13 01:01:04 83360]
Microsoft Outlook starten.lnk - C:\Programme\Microsoft Office\Office10\OUTLOOK.EXE [2001-03-07 08:15:54 46496]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\ICQLite\\ICQLite.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=

R1 SSHDRV86;SSHDRV86;C:\WINDOWS\System32\drivers\SSHDRV86.sys [2005-11-21 15:19]
R2 ibmfilter;ibmfilter;C:\WINDOWS\System32\drivers\ibmfilter.sys [2004-03-19 21:05]
R3 pelmouse;Mouse Suite Driver;C:\WINDOWS\system32\DRIVERS\pelmouse.sys [2003-01-10 22:55]
R3 pelusblf;USB Mouse Low Filter Driver;C:\WINDOWS\system32\DRIVERS\pelusblf.sys [2003-02-11 22:25]
R3 portio;TPM Service;C:\WINDOWS\system32\DRIVERS\NscTpmDD.sys [2004-04-27 21:11]
R3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-27 17:53]
S3 jnv4_mib;jnv4_mib;C:\DOKUME~1\Laura\LOKALE~1\Temp\jnv4_mib.sys []
S3 PLCNDIS5;PLCNDIS5 NDIS Protocol Driver;C:\WINDOWS\System32\PLCNDIS5.SYS [2002-09-10 05:44]
S3 se59bus;Sony Ericsson Device 089 driver (WDM);C:\WINDOWS\system32\DRIVERS\se59bus.sys [2006-09-05 20:07]
S3 se59mdfl;Sony Ericsson Device 089 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\se59mdfl.sys [2006-09-05 20:07]
S3 se59mdm;Sony Ericsson Device 089 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\se59mdm.sys [2006-09-05 20:07]
S3 se59mgmt;Sony Ericsson Device 089 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\se59mgmt.sys [2006-09-05 20:08]
S3 se59nd5;Sony Ericsson Device 089 USB Ethernet Emulation SEMC59 (NDIS);C:\WINDOWS\system32\DRIVERS\se59nd5.sys [2006-09-05 19:06]
S3 se59obex;Sony Ericsson Device 089 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\se59obex.sys [2006-09-05 20:09]
S3 se59unic;Sony Ericsson Device 089 USB Ethernet Emulation SEMC59 (WDM);C:\WINDOWS\system32\DRIVERS\se59unic.sys [2006-09-05 19:06]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6828b261-017b-11dc-a2bd-00184d0c6847}]
\Shell\AutoRun\command - E:\LaunchU3.exe

*Newly Created Service* - CATCHME

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{969B3B70-8765-11D5-9809-0050BACBF861}]
rundll32.exe advpack.dll,LaunchINFSection C:\Programme\CyberLink\MP3PowerEncoder\Cyber.inf,PerUserStub
.
Inhalt des "geplante Tasks" Ordners
"2008-02-15 15:11:01 C:\WINDOWS\Tasks\Norton Security Scan.job"
- C:\Programme\Norton Security Scan\Nss.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-26 09:40:56
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\Programme\Enigma Software Group\SpyHunter\SpyHunterMonitor.dll

PROCESS: C:\WINDOWS\system32\lsass.exe
-> C:\Programme\Enigma Software Group\SpyHunter\SpyHunterMonitor.dll
.
Zeit der Fertigstellung: 2008-03-26 9:41:28
ComboFix-quarantined-files.txt 2008-03-26 08:41:25
ComboFix2.txt 2008-03-24 14:15:13
.
2008-03-25 08:17:06 --- E O F ---


Infizierte Dateien:
c:\WINDOWS\system32\jesahyta.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\wlaxupgt.exe (Trojan.Agent) -> No action taken.

Hallo Sunny,

ich habe Malwarebytes nochmals ausgeführt und es wurden keine infizierten Objekte gefunden.

Der Tool OTMoveIt by OldTimer wurde ausgeführt, das Ergebnis ist angefügt
(Beide Dateien wurden nicht gefunden).

Nun sind mir bei meinem ersten Scan von Malwarebytes folgende Einträge aufgefallen:
Haben diese irgendwelche Auswirkungen?

Bis jetzt sind keinerlei Popup-Fenster mehr erschienen. Ich hoffe, daß nun kein "Rest" mehr vorhanden ist.
Viele Grüße von
Bipa und Laura(Enkeline)















Malwarebytes' Anti-Malware 1.09
Datenbank Version: 547

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 147752
Scan Dauer: 41 minute(s), 57 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
(Keine Malware Objekte gefunden)

-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-


OTMoveIt2

File/Folder c:\WINDOWS\system32\jesahyta.exe not found.
File/Folder C:\WINDOWS\wlaxupgt.exe not found.

OTMoveIt2 by OldTimer - Version 1.0.21 log created on 03262008_180612

Sehr schön, es hat alles so funktioniert wie es funktionieren sollte. :daumenhoc
Ich denke das nun alles wieder in Ordnung ist mit dem System deiner Enkelin. ;)

Hallo Sunny,

vielen Dank für die tolle Hilfe und den Tips, mit denen mein Problem super gelöst wurde. Ich kann Dich nur weiterempfehlen.
Falls Ihr eine Art Spendenkasse unterhaltet, teile mir bitte die Daten mit.

________________________
Gruß bipa :aplaus::aplaus:

Hallo bipa,

es bedarf keiner "finanziellen Leistungen", es reicht voll und ganz das du uns weiterempfiehlst. :daumenhoc

Grüße
Daniel