Hilfe Bei RiskTOOL.Win32HideWindowes and More
 

Hallo Liebe Pc Profis..

Habe folgendes Problem .

Hatte vor 1 wochen ein Komplett absturz meines Rechners nach AVG Viren scan der kein Virus gefunden hat scan lief 50 min . Wollte danach ins I-net dies ging 1. sehr langsam 2.der Rechner hing darauf Neustart Boot normal bis eigendlich das win xp Logo kommen sollte dafür kamm nur die meldung System32 dat.. beschä. oder fehlt. ein Repa. mit winxp cd nicht möglich . Der versuch abgesicher.Mod nicht möglich. Entnervt Neuinstall Win Xp musste aber das alte drauf belassen da viele Arbeiten drauf waren die sehr Wichtig sind .Nach der Neui. Läuft das sys soweit ich sagen kann Gut.Habe mein G-Date 2008 Komplett laufen lassen und es Wurde dieser Risk Tool.Win32.HideWindows und AdWare.Win32.UBar.w Enteckt habe diese in die Quarantäne schieben lassen .Nun Frage wie Werde ich diese Dinger los :snyper:und kann es darn gelägen habe das der absturz kamm vor 1 wo.
:heulen:

Ich versuche alle Fragen die ihr mir schickt so schnell und mit meinem Wissen zu beant.. ..

MFG

Arni79::singsing:

Ps.System

WinXP
Version 2002
SP 2
AMD 64x2Dual 6000+
2GB

Moinsen bin zwar keiner von den Profis aber kann dir nur Empfehlen Viren und anderes Gekröse direkt zu Löschen.

Hallo Dackie danke für deine Antwort ja löschen lassen sich die zwei schw.Viren nicht laut g-Data und dann weis ich nicht wenn ich die daten suche und direkt lösch ob sich nicht etwas am sys ändert.....:confused:


Mfg

Arni79:)

Naja hat sich ja schon was am System geändert sonst wären die dinger ja nich da. Solltest die versuchen zu löschen wenn das manuell nich geht mal im Taskmanager nachschauen ob die da drinne stehen und beenden.Die beiden sollten dir übrigens ungefragt Werbefenster vor die Nase setzen.

Halli hallo Arni79
Um alle weiteren Hilfeleistungen zu erleichtern und deine Systemsicherheit zu erhöhen arbeite bitte folgendes gründlich ab:

• Deinstalliere bitte Spybot, AdAware, Spyware Doctor und sonstige Anti-Spy/Malware Programme sowie personal-Firewalls wie ZoneAlarm!
  Installiert bleiben dürfen nur Anti-Malware oder SuperAntispyware ohne Wächter.
  .
• Software Updates aller installierten Programme auf die neueste Version (Secunia PSI kann hier wertvolle Hilfe leisten).
  .
• Update der Viren-Signaturen deines Anti-Viren Programmes.
  .
• Treiberupdate der Hardware (Grafikkarte, Soundkarte).
  .
• Windows Update -> Der Frischmacher.
  .
• Installation des aktuellen ServicePacks:
  • XP_ ServicePack3
  • Vista_ ServicePack1
  .
• Vernünftige Ordneransicht -> Einstellungen.
  .
• Abschalten unnötiger Dienste:
  • Vista_ TechNET
  .
• Firewall aktivieren: (Wenn beim installiertem AV-Prog eine Firewall dabei ist so kann diese verwendet werden!)
  • XP_ Firewall
  • Vista_ Firewall
  .
• Internetoptionen sicher gestallten: Start->Systemsteuerung->Internetoptionen->Sicherheit
  • Sicherheit: -> höchste Stufe
    Wähle danach: Stufe anpassen. Ändere die Einstellung: Anwendungen und uns. Dateien starten -> "Bestätigen" und Installation von Desktopobj. -> "Bestätigen".
  • Datenschutz: -> alle Cookies blockieren
  Nutze nicht den MS-InternetExplorer sondern einen alternativen Browser wie FireFox, Opera o.ä..
  .
• Räume mit cCleaner auf; Punkte 1&2.
  .
  Oben genannte Konfigurationen sind grundlegend wichtig! Führe sie also gewissenhaft durch und poste wenn es zu Problemen gekommen ist die du nicht selbstständig mit Hilfe der Boardsuche, Google oder Freunden lösen konntest.
  
  Häufig gestellte Fragen: XP | Vista

Überprüfe den Rechner danach mit SuperAntiSpyware und Anti-Malware und poste die logs.

Und poste bitte ein Hijackthis log.

hALLI hALLO undoreal habe mal die ganzen sachen gemacht soweit wie ich das machen konnte. schau doch mal drüber wenn du zeit hast ich Danke schon mal. Arni:)


SUPERAntiSpyware Scann-Protokoll
http://www.superantispyware.com

Generiert 12/18/2008 bei 07:03 PM

Version der Applikation : 4.23.1006

Version der Kern-Datenbank : 3678
Version der Spur-Datenbank : 1657

Scan Art : kompletter Scann
Totale Scann-Zeit : 01:25:02

Gescannte Speicherelemente : 314
Erfasste Speicher-Bedrohungen : 0
Gescannte Register-Elemente : 4394
Erfasste Register-Bedrohungen : 0
Gescannte Datei-Elemente : 142993
Erfasste Datei-Elemente : 0


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:16:10, on 18.12.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS.0\System32\smss.exe
C:\WINDOWS.0\system32\winlogon.exe
C:\WINDOWS.0\system32\services.exe
C:\WINDOWS.0\system32\lsass.exe
C:\WINDOWS.0\system32\Ati2evxx.exe
C:\WINDOWS.0\system32\svchost.exe
C:\WINDOWS.0\System32\svchost.exe
C:\WINDOWS.0\system32\spoolsv.exe
C:\WINDOWS.0\system32\Ati2evxx.exe
C:\Programme\G DATA AntiVirus\AVK\AVKService.exe
C:\Programme\G DATA AntiVirus\AVK\AVKWCtl.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS.0\Explorer.EXE
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\Programme\ASUS\AI Gear\GearHelp.exe
C:\Programme\G DATA AntiVirus\AVKTray\AVKTray.exe
C:\WINDOWS.0\system32\ctfmon.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://t-online.de/
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} -
C:\Programme\G DATA AntiVirus\Webfilter\AVKWebIE.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} -
C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Link Helper - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} -
C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: EWPBrowseObject Class - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} -
C:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} -
C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} -
C:\Programme\G DATA AntiVirus\Webfilter\AVKWebIE.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -
C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS.0\system32\NeroCheck.exe
O4 - HKLM\..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [AsusStartupHelp] C:\Programme\ASUS\AASP\1.00.15\AsRunHelp.exe
O4 - HKLM\..\Run: [Ai Gear Help] "C:\Programme\ASUS\AI Gear\GearHelp.exe"
O4 - HKLM\..\Run: [Easy-PrintToolBox]
C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [AVKTray] "C:\Programme\G DATA AntiVirus\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS.0\system32\ctfmon.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS.0\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS.0\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS.0\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS.0\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) -
C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - h**p://wwwimages.adobe.com/www.adobe.com/products/acrobat/nos/gp.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. -
C:\WINDOWS.0\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS.0\system32\ati2sgag.exe
O23 - Service: G DATA AntiVirus Proxy (AVKProxy) - G DATA Software AG -
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - G DATA Software AG -
C:\Programme\G DATA AntiVirus\AVK\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - G DATA Software AG -
C:\Programme\G DATA AntiVirus\AVK\AVKWCtl.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner -
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. -
C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation -
C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation -
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation -
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe

--
End of file - 7288 bytes


habe denn ccleaner 2.14 neuste version auch laufen lassen. wenn fehler bitte nicht böse sein Man(N) lernt nie aus,,

Mfg
Arni:party:

Du hast nicht alles gemacht!

Es fehlt nach wie vor das Service Pack 3. FÜHRE ALLE SCHRITTE AUS!

Und poste das Anti-Malware log.

eine fund habe ich

Malwarebytes' Anti-Malware 1.31
Datenbank Version: 1520
Windows 5.1.2600 Service Pack 2

19.12.2008 16:18:24
mbam-log-2008-12-19 (16-18-24).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 198441
Laufzeit: 56 minute(s), 4 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS.0\system32\drivers\etc\services (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

Hallo Arni79,

du hast immer noch nicht das Service Pack 3 installiert, du musst die ganze Liste abackern!

LG

Hallo Aggro Berlin und Undoreal

also habe heute versucht xp sp3 zuladen ging nicht warum .
Muss dazu sagen habe diesen Rechner von meinem Bruder zum Geburtzeltag geschenkt bekommen da er sich einen neuen aufgbaut hat in den USA.

ich sag mal soviel der IT Experte bin ich nicht weis aber wie der Rechner angeht:)

Da mein Bruder in der USA Lebt kann dieser mir auch nicht so schnell Helfen mit dieser sache oder über Remot.Naja keinen Plan was mit diesem ding noch weiter hin passiert .will doch nur mein steuerprogramm erletigen mich nervt aber dieser Virus man kann ja nie sagen ob einem jemand gerrade über die Schulters.beim Daten eingeben......

Was soll ich tun ich hab versucht alles zu erletigen

MFG
ARNI:(:killpc:

Wie meinst du das? Funktioniert der Download nicht? Wenn ja, warum?

Oder funktioniert die Installation nicht? Welche Fehlermeldungen bekommst du?
Wenn wir dir helfen sollen dann musst du uns alle Informationen zukommen lassen.

Hi sory das hatte ich ja vergessen....
der hat gemeldet Prüfung nicht bestanden laut Aussage meiner frau da ich zu diesem zeitpukt nicht anwesend war.soll ich das noch mal probieren..:schmoll:
mfg arni

:confused: ich versteh' überhaupt nicht was du mir sagen willst..

Ich würde sagen sein PC hat die Gültigkeitsprüfung von Windows nicht bestanden und er kann sich deswegen kein SP3 runterladen/intallieren..

Viel mehr konnte ich aus seinem Beitrag auch nicht verstehen :)

MfG dborys

Hallo

ich kann nur sagen was mir meine Frau aufgeschr. hat Gültigkeitsprüfung nicht Bestanden.

Mehr kann ich auch nicht sagen.

Frage soll ich das noch mal Probieren?


MFG

Arni

Wenn dein OS gecrackt ist bist du selber Schuld.

Kaufe dir Windows und setze den Rechner neu auf. Oder drück' dich klarer aus...

Hallo undoreal

Tut mir leit wenn ich evt so eine version haben sollte .Habe denn rechner so bekommen damit ich meine steuersachen bzw online Banking erletigen kann.

Es liegt oder lag Nie die absicht meinerseits Vor mit einer gecrackt xp version zuarbeiten. wenn ich so etwas weis bin ich schlauer.

Hab mir Heute eine neue ECHTE XP ver. gekauft setzt das sys neu auf und kick den anderen mist runder. Danke aber Trotzdem. für die Hilfe Jungs.

MFG
Arni

Bereinigung nach einer Kompromitierung

Hinweis: Die Analyse eines Virenscanners ist völlig unzureichend, um Aussagen über das System zu machen, kann aber als Hilfsmittel eingesetzt werden, sofern er von einem sauberen System aus betrieben wird.

Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist.

Master Boot Record überprüfen:

Lade dir die mbr.exe von gmer auf den Desktop und führe die Datei aus.

Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck indiziert, musst du eine Bereinigung vornehmen.

Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.
Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig.
Dann führe die mbr.bat. durch einen Doppelklick aus.
Dabei muss sich die mbr.exe von gmer ebenfalls auf dem Desktop befinden!

Der MBR wird bereinigt und es erscheint ein log. Dieses log solltest du hier posten!

Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen.

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV sowie andere AV-Scanner findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!

hier der mbr lock is dieser ok?
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

MfG

Arni79

Gut, der MBR ist in Ordnung.

Dann kannst du weitermachen...