Trojaner-Board - Große Probleme

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Große Probleme (https://www.trojaner-board.de/12026-grosse-probleme.html)

Hallo habe ein großes Problem!

E-Scan hat einen Virus gemeldet, den habe ich dan ganz schnell gelöscht, seit dem lassen sich fast keine Programme mehr starten, entweder öffnet sich das Fenster, öffnen mit, oder bei Systemprogrammen sagt er : c:/windows/sytem32/rundll32.exe
anwendung nicht gefunden.

Kann mir jemand helfen?

Logfile of HijackThis v1.98.2
Scan saved at 20:10:43, on 12.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Desktop\spiele\system\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchgateway.net/search/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchgateway.net/search/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://windows.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://GLOBAL.ACER.COM/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchgateway.net/search/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.searchgateway.net/search/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://freenet.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PSDrvCheck] "C:\Programme\Pinnacle\Instant PhotoAlbum\programs\PSDrvCheck.exe" -CheckReg
O4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Files\remoterm.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [PCTVRemote] C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\METINT~1\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKLM\..\Run: [lxbumon.exe] "C:\Programme\Lexmark 6200 Series\lxbumon.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programme\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [EzPrint] "C:\Programme\Lexmark 6200 Series\ezprint.exe"
O4 - HKLM\..\Run: [CamCheck] C:\Programme\NuCam\CamCheck\CamCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [LXBUCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXBUtime.dll,_RunDLLEntry@16
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &411 Ferret Toolbar search - res://C:\Programme\411Ferret\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: (no name) - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/

@felixcat
E-Scan hat einen Virus gemeldet, den habe ich dan ganz schnell gelöscht

wie heißt dein virus, und wo würde es gefunden?
chaosman

den namen weiß ich leider nicht mehr, gefunden hab ich ihn in windows.

@felixcat
den namen weiß ich leider nicht mehr, gefunden hab ich ihn in windows.
das habe ich schon befürchtet!
hast du hier schon mal nachgeschaut
http://search.microsoft.com/search/r...u=rundll32.exe
chaosman

ich habe leider keine xp cd!

Zitat:

Zitat von felixcat

ich habe leider keine xp cd!

sorry hab ich doch!

wenn ich das auf der seite beschriebene ausführe, kommt wieder: öffnen mit, er fragt mit welchem programm geöffnet werden soll, das macht der andauernd.

ok dann mach es so:
gebe bei ausführen expand X(dein cdlaufwerksbuchstabe zb. D):\i386\rundll32.ex_ c:\windows\rundll32.exe ein
dann klick auf OK.
fertig.

ja genau das habe ich gerade versucht.

und dann schreibt er öffnen mit? das ist merkwürdig..

ja genau, das fragt er immer, wenn ich weiß womit das programm zu öffnen ist läuft es dann auch optimal, normal ist das nicht oder?

das ist nicht normal....
ich weiß leider auch net weiter..

danke trotzdem, vielleicht kann mir jemand anders helfen.

öfter mal was neues ich weiß zwar nicht was ich gemacht habe aber jetzt versucht der rechner alle programme mit dem real-player zu offnen, auch das ausführen öffnet den real player. ??????????

@ felixcat

servus ;-) Was ist das denn? @ felixcat, "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) .. auf diese Weise erfahren wir, was Du da gelöscht hast.

Hallo,

Thu Jan 13 20:00:51 2005 => Total Disinfected Files: 0
Thu Jan 13 19:44:41 2005 => Total Disinfected Files: 0

es gab nur diese dateien mit desinfected.

@ felixcat, "öffne die mwav.log -> Bearbeiten -> Suchen -> virus eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre)

Thu Jan 13 19:44:39 2005 => Scanning File C:\DOKUME~1\METINT~1\LOKALE~1\Temp\virus.avi [**]
Thu Jan 13 19:44:41 2005 => ***** Checking for specific ITW Viruses *****
Thu Jan 13 19:44:41 2005 => Checking for Welchia Virus...
Thu Jan 13 19:44:41 2005 => Checking for LovGate Virus...
Thu Jan 13 19:44:41 2005 => Checking for CodeRed Virus...
Thu Jan 13 19:44:41 2005 => Checking for OpaServ Virus...
Thu Jan 13 19:44:41 2005 => Checking for Sobig.e Virus...
Thu Jan 13 19:44:41 2005 => Checking for Winupie Virus...
Thu Jan 13 19:44:41 2005 => Checking for Swen Virus...
Thu Jan 13 19:44:41 2005 => Checking for JS.Fortnight Virus...
Thu Jan 13 19:44:41 2005 => Checking for Novarg Virus...
Thu Jan 13 19:44:41 2005 => Checking for Pagabot Virus...
Thu Jan 13 19:44:41 2005 => Checking for Parite.b Virus...
Thu Jan 13 19:44:41 2005 => Checking for Parite.a Virus...
Thu Jan 13 19:44:41 2005 => Total Virus(es) Found: 0
Thu Jan 13 19:44:41 2005 => Virus Database Date: 2004/11/18
Thu Jan 13 19:44:41 2005 => Virus Database Count: 109789
Thu Jan 13 19:51:16 2005 => eScan AntiVirus Toolkit Utility.
Thu Jan 13 19:51:17 2005 => Scanning File C:\DOKUME~1\METINT~1\LOKALE~1\Temp\virus.avi
hu Jan 13 19:51:17 2005 => Virus Database Date: 2004/11/18
Thu Jan 13 19:51:17 2005 => Virus Database Count: 109789
Thu Jan 13 19:59:06 2005 => eScan AntiVirus Toolkit Utility.
Thu Jan 13 20:00:45 2005 => Scanning File C:\DOKUME~1\METINT~1\LOKALE~1\Temp\virus.avi
Thu Jan 13 20:00:51 2005 => ***** Checking for specific ITW Viruses *****
Thu Jan 13 20:00:51 2005 => Checking for Welchia Virus...
Thu Jan 13 20:00:51 2005 => Checking for LovGate Virus...
Thu Jan 13 20:00:51 2005 => Checking for CodeRed Virus...
Thu Jan 13 20:00:51 2005 => Checking for OpaServ Virus...
Thu Jan 13 20:00:51 2005 => Checking for Sobig.e Virus...
Thu Jan 13 20:00:51 2005 => Checking for Winupie Virus...
Thu Jan 13 20:00:51 2005 => Checking for Swen Virus...
Thu Jan 13 20:00:51 2005 => Checking for JS.Fortnight Virus...
Thu Jan 13 20:00:51 2005 => Checking for Novarg Virus...
Thu Jan 13 20:00:51 2005 => Checking for Pagabot Virus...
Thu Jan 13 20:00:51 2005 => Checking for Parite.b Virus...
Thu Jan 13 20:00:51 2005 => Checking for Parite.a Virus...
Thu Jan 13 20:00:51 2005 => Total Virus(es) Found: 0
Thu Jan 13 20:00:51 2005 => Virus Database Date: 2004/11/18
Thu Jan 13 20:00:51 2005 => Virus Database Count: 109789

@ felixcat

das sieht ja schonmal gut aus, ist aber nicht das, was wir hier sehen wollen.

"Öffne die mwXface.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

Thu Jan 13 19:44:41 2005 => Total Files Scanned: 3173
Thu Jan 13 19:44:41 2005 => Total Virus(es) Found: 0
Thu Jan 13 19:44:41 2005 => Total Disinfected Files: 0
Thu Jan 13 19:44:41 2005 => Total Files Renamed: 0
Thu Jan 13 19:44:41 2005 => Total Deleted Files: 0
Thu Jan 13 19:44:41 2005 => Total Errors: 1

Das habe ich gefunden, ich weiß aber nicht was du mit mwXface.log meinst.

@ schadowdance

ich komme gerade nicht weiter, ich kenne mwXface.log nicht, was soll ich machen?

Zitat:

Zitat von felixcat

Thu Jan 13 19:44:41 2005 => Total Files Scanned: 3173

--> update den eScan und scanne nochmal im abgesicherten Modus, offline, bitte alle Festplatten. Lies Dir vorher die Anleitung bitte nocheinmal und sehr gründlich durch, schau Dir die Abbildungen an und mache, was Dir dort vorgegeben wird.

jetzt hat eScan einen virus gefunden!

Fri Jan 14 19:56:16 2005 => Total Files Scanned: 2823
Fri Jan 14 19:56:16 2005 => Total Virus(es) Found: 1
Fri Jan 14 19:56:16 2005 => Total Disinfected Files: 0
Fri Jan 14 19:56:16 2005 => Total Files Renamed: 0
Fri Jan 14 19:56:16 2005 => Total Deleted Files: 0
Fri Jan 14 19:56:16 2005 => Total Errors: 0
Fri Jan 14 19:56:16 2005 => Time Elapsed: 00:02:33
Fri Jan 14 19:56:16 2005 => Virus Database Date: 2005/01/14
Fri Jan 14 19:56:16 2005 => Virus Database Count: 115455

Fri Jan 14 19:56:16 2005 => Scan Completed.
Fri Jan 14 19:53:55 2005 => File C:\WINDOWS\SETF.tmp infected by "not-a-virus:AdWare.BiSpy.s" Virus. Action Taken: No Action Taken.

@ felixcat

ich kann mir immer noch nicht vorstellen, dass der eScan bei Dir vorschriftsmäßig auf dem System läuft. Es sind viel zu wenig gescannte Dateien. Aber mir fehlt leider die Gabe, Dir zu erklären, was Du machen sollst, und in Deinen Rechner hineinschauen kann ich nicht.

Besuche diese Seite und lade Dir die Entfernungstools von Spyware und Adware 'Ad-Aware 6 Personal' und 'Spybot-Search & Destroy 1.3' runter. (Antwort zum DSO Exloit bei der Anwendung von Spybot-Search & Destroy 1.3). Update die Programme online und scanne Deinen Rechner nacheinander mit diesen Programmen. Lass alle noch bestehenden Probleme beheben.

Erstelle dann ein neues HJT-Logfile und poste es.

ich hoffe ich habe alles richtig gemacht.

Logfile of HijackThis v1.98.2
Scan saved at 23:33:05, on 14.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\Dokumente und Einstellungen\Metin Tietjen\Desktop\spiele\system\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchgateway.net/search/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchgateway.net/search/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://windows.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://GLOBAL.ACER.COM/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.searchgateway.net/search/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://freenet.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PSDrvCheck] "C:\Programme\Pinnacle\Instant PhotoAlbum\programs\PSDrvCheck.exe" -CheckReg
O4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Files\remoterm.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [PCTVRemote] C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\METINT~1\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKLM\..\Run: [lxbumon.exe] "C:\Programme\Lexmark 6200 Series\lxbumon.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programme\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [EzPrint] "C:\Programme\Lexmark 6200 Series\ezprint.exe"
O4 - HKLM\..\Run: [CamCheck] C:\Programme\NuCam\CamCheck\CamCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [LXBUCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXBUtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &411 Ferret Toolbar search - res://C:\Programme\411Ferret\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)