R2 eintrag kann mit HJT nicht gelöscht werden
 

Hallo erstmal an alle, da ich neu im Forum bin!

Ich habe folgendes problem: es hatte sie ein programm auf meinem PC eingeschlichen, dass hier im forum schon bekannt war und ich hab es auch nach der Anleitung gelöscht bekommen, denke ich jedenfalls. das icon was immer in der taskleiste(neben der systemuhr) aufgetaucht ist hat sich glücklicherweise verabschiedet.
doch der PC läuft zusätzlich ungewöhnlich langsam und braucht ca. 5 minuten bis der komplette desktop aufgebaut ist!!! antivir sagt mir auch nach jedem neustart mehrere trojaner an, die ich mit keinem viren- oder spyware programm wegbekommen habe!
jedenfalls taucht dieser trojaner bei mir im HJT logfile unter R2 auf und kann einfach nicht gefixt werden. nach jedem neuem scan steht er wieder da!!!
kann mir jemand eventuell mit meinem problem helfen oder hat selber schon einmal dieses phenomän erlebt?????

Vielen dank schonmal im vorraus für eure hilfe!

p.s. ich kann keinen logfile posten, weil ich über einen anderen computer zur zeit ins netz gehen muss, da ich angst habe, dass sich bei jedem internetzugriff neue trojaner runterladen...

Bitte poste deine Logfile, dann kann man dir auch sagen wie du das problem loswirst !:dummguck: :D

@Mrburnz84
So im blinden Flug? ;) Es ist kein Phänomen, leider aber das Übliche: nicht alle Trojaner lassen sich entlarven, nicht alle entlarvten lassen sich entfernen.
Kannst Du vllt. verraten, was hast Du genau und welche Threads hier hast Du angeschaut?
PS: Angesichts deines erschöpften Nervensystems würde ich Dir dem Allen zum Trotz eine Neuaufsetzung empfehlen. Glaub mir, es geht schneller, als man denkt und viel schneller, als Systembereinigung mit ungewissem Ergebnis.:)

bitte leeesen, dann poooosten :) :D :heilig:

also ich habs nach der anleitung hier versucht zu entfernen: http://virus-protect.org/artikel/spyware/spywarequake.html
hat auch alles geklappt die beiden icons die unten rechts in der taskleiste waren haben sich verabschiedet und die dazu gehörigen popups ebenfalls, aber der rechner läuft halt immernoch vieeeeel zu langsam!
ok, ich werde mal versuchen den logfile per wechselmeium hier rüber zu holen und ins forum zu stellen, vielleicht kann mir ja dann jemand weiter helfen...

also erstens hab ich mir geirrt, die beiden einträge heissen F2 nicht R2...
und hier ist der logfile den ihr hoffentlich auswerten könnt:

Logfile of HijackThis v1.99.1
Scan saved at 10:48:30, on 01.06.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\SYSTEM32\Userinit.exe
C:\WINNT\Explorer.EXE
C:\HJT\hijackthis\HijackThis.exe

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINNT\system32\hfrci.exe
F2 - REG:system.ini: UserInit=C:\WINNT\SYSTEM32\Userinit.exe,sayfsba.exe
O2 - BHO: (no name) - {6BDBAAE9-6720-4AAB-2971-4DB60C13AFC8} - C:\WINNT\system32\midum.dll
O2 - BHO: Nothing - {b0398eca-0bcd-4645-8261-5e9dc70248d0} - C:\WINNT\system32\hpCF6F.tmp (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [vptray] C:\Programme\Symantec_Client_Security\Symantec AntiVirus\vptray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: ARtem Onair Client Manager.lnk = C:\winstall\Onair Client Manager\cmART.exe
O4 - Global Startup: Configuration Utility.lnk = C:\Programme\D-Link\D-Link DWL-650 Control Utility\Config.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O20 - AppInit_DLLs: C:\WINNT\system32\winspool.dll
O20 - Winlogon Notify: SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: DefWatch - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Programme\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe
O23 - Service: OmniForm Printer - Unknown owner - C:\WINNT\System32\ofps.exe

Hallo,

lass folgende Dateien bei VIRUSTOTAl
auswerten:

C:\WINNT\system32\midum.dll
C:\WINNT\system32\hfrci.exe
C:\WINNT\SYSTEM32\Userinit.exe,sayfsba.ex e

Poste danach das Ergebnis hier "komplett" in den Beitrag!

Gruß
Daniel

ok, die midum datei hab ich per email zu virustotal.com geschickt, aber die anderen beiden dateien existieren nicht in diesem ordner und können auch nirgendwo anders auf dem PC gefunden werden!!! was nun???

die midum.exe datei wurde analysiert, hier der bericht:

Results of a file scan
This is a report processed by VirusTotal on 06/02/2006 at 17:43:14 (CET) after scanning the file "midum.dll" file.

Antivirus Version Update Result
AntiVir 6.34.1.37 06.02.2006 no virus found
Authentium 4.93.8 06.02.2006 no virus found
Avast 4.7.844.0 06.02.2006 Win32:Agent-RY
AVG 386 06.01.2006 no virus found
BitDefender 7.2 06.02.2006 no virus found
CAT-QuickHeal 8.00 06.02.2006 no virus found
ClamAV devel-20060426 06.02.2006 no virus found
DrWeb 4.33 06.02.2006 Adware.ClickSpring
eTrust-InoculateIT 23.72.25 06.02.2006 no virus found
eTrust-Vet 12.6.2240 06.02.2006 Win32/Clspring!generic
Ewido 3.5 06.02.2006 no virus found
Fortinet 2.77.0.0 06.01.2006 no virus found
F-Prot 3.16f 06.02.2006 no virus found
Ikarus 0.2.65.0 06.02.2006 AdWare.PurityScan.AK
Kaspersky 4.0.2.24 06.02.2006 not-a-virus:AdWare.Win32.PurityScan.ak
McAfee 4776 06.02.2006 potentially unwanted program Adware-ClickSpring
Microsoft 1.1441 06.02.2006 no virus found
NOD32v2 1.1575 06.02.2006 no virus found
Norman 5.90.17 06.02.2006 no virus found
Panda 9.0.0.4 06.01.2006 Suspicious file
Sophos 4.05.0 06.02.2006 no virus found
Symantec 8.0 06.02.2006 no virus found
TheHacker 5.9.8.154 06.01.2006 no virus found
UNA 1.83 06.01.2006 no virus found
VBA32 3.11.0 06.02.2006 no virus found