Trojaner-Board - Alles durch Admin(Virus) gesperrt? Oo

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Alles durch Admin(Virus) gesperrt? Oo (https://www.trojaner-board.de/55351-alles-admin-virus-gesperrt-oo.html)

Alles durch Admin(Virus) gesperrt? Oo

:confused::confused:Hallo,ich habe vor ein paar Tagen eine Virusmeldung bekommen und habe die Datei eigentlich gelöscht.Als ich meinen PC heute wieder startete hatte ich einige Probleme,ich bekam andauernd gefälschte Fehlermeldungen von einem nicht funktionierendem und nicht deinstallierbarem Anti-Virusprogramm was ich nicht ein mal gedownloadet habe.Und unten in meiner Taskleiste steht neben der Uhrzeit "VIRUS ALERT!".Jetzt wollte ich den ganzen Schauder beenden.Merkte dann aber als ich Strg-Alt-Entf drückte,dass der Virus alles gesperrt hat.Fehlermeldung:"Der Taskmanager wurde durch den Administrator deaktiviert".Ich habe es schon mit Ausführen/regedit.exe versucht.Aber auch das ging in die Hose weil es vom Administrator deaktiviert ist.Was soll ich jetzt machen?Kann ich das irgendwie wieder hinbiegen???Außerdem ist Datenträger C: vom Arbeitsplatz verschwunden lässt sich aber noch mit Ausführen/C: öffnen.Need dringend help! :confused: :confused: :confused:

Hallo Meat :) und :hallo:

Bitte beachte die 7 Goldenen Regeln, außerdem hast Du Deinen Beitrag im falschen Unterforum gepostet.

Ich denke, das ein Admin den Beitrag ins richtige Unterforum verschiebt.

Bitte lies Dir das auch noch durch und befolge es auch :)

http://www.trojaner-board.de/22770-a...log-files.html

Gruß cad

Also da ich es vergessen habe mein Betriebssystem ist Windowns XP.HJT Code:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:40: VIRUS ALERT!, on 04.07.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Programme\Java\jre1.6.0_06\bin\jusched.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Programme\VMware\VMware Player\hqtray.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\Winamp\winampa.exe

C:\Programme\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\ICQ6\ICQ.exe

C:\WINDOWS\system32\rundll32.exe

C:\Programme\Sphairon\UB801R USB Wireless LAN Card\Installer\WINXP\ScConfig2500USB.exe

C:\Programme\Hamachi\hamachi.exe

C:\Dokumente und Einstellungen\Florian&Mama\Desktop\Progis\Spaß\mousometer.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\system32\cisvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\Programme\Gemeinsame Dateien\Teleca Shared\Generic.exe

C:\Programme\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\Programme\Spyware Doctor\pctsAuxs.exe

C:\Programme\Spyware Doctor\pctsSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\Gemeinsame Dateien\VMware\VMware Virtual Image Editing\vmount2.exe

C:\WINDOWS\system32\vmnat.exe

C:\WINDOWS\system32\vmnetdhcp.exe

C:\Programme\VMware\VMware Player\vmware-authd.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Opera\opera.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = h**p://www.loadcommander.com/config/proxy.pac

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: Mario Forever Toolbar Helper - {8036D4D7-AAD3-4793-AB49-329E437155A8} - C:\Programme\Mario Forever Toolbar\v2.0.0.3\Mario_Forever_Toolbar.dll (file missing)

O2 - BHO: QXK Olive - {8E1F2BC9-E92D-4D2E-B268-74FB9F908DD8} - C:\WINDOWS\kgqfweltedw.dll

O3 - Toolbar: Mario Forever Toolbar - {463DF6D5-BEC1-4d67-B217-59DB692DFC53} - C:\Programme\Mario Forever Toolbar\v2.0.0.3\Mario_Forever_Toolbar.dll (file missing)

O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O3 - Toolbar: nqgpedlr - {AB802BE5-5918-4875-954F-C878E08FC60E} - C:\WINDOWS\nqgpedlr.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_06\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [VMware hqtray] "C:\Programme\VMware\VMware Player\hqtray.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Recordpad] "C:\Programme\NCH Swift Sound\Recordpad\recordpad.exe" -logon

O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe

O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize

O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [SecurePC] C:\Programme\Loadcommander.exe

O4 - HKCU\..\Run: [ykpuixj] c:\dokumente und einstellungen\florian&mama\lokale einstellungen\anwendungsdaten\ykpuixj.exe ykpuixj

O4 - HKCU\..\Run: [StripTVApp] "C:\Programme\StripTVApp.exe" /tray

O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent

O4 - HKCU\..\Run: [Steam] C:\Programme\Steam\Steam.exe -silent

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: hamachi.lnk = C:\Programme\Hamachi\hamachi.exe

O4 - Startup: Mousometer.lnk = ?

O4 - Global Startup: ScConfig2500USB.lnk = C:\Programme\Sphairon\UB801R USB Wireless LAN Card\Installer\WINXP\ScConfig2500USB.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: &Search - h**p://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZCfox000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - h**p://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBInitialSetup1.0.0.15-3.cab

O16 - DPF: {A20B1BB0-AC3D-4530-85F3-791B81303190} (ICQDevilImg Control) - h**p://xtraz.icq.com/xtraz/products/photo/english/ICQDevilImg.cab

O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apache2.2 - Unknown owner - c:\xampp\apache\bin\apache.exe (file missing)

O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - c:\xampp\filezillaftp\filezillaserver.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: mysql - Unknown owner - c:\xampp\mysql\bin\mysqld-nt.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe

O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Programme\VMware\VMware Player\vmware-authd.exe

O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe

O23 - Service: VMware Virtual Mount Manager Extended (vmount2) - VMware, Inc. - C:\Programme\Gemeinsame Dateien\VMware\VMware Virtual Image Editing\vmount2.exe

O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

O24 - Desktop Component 0: Privacy Protection - (no file)

Hi,
das hast du dir ja ne nette Sammlung von Ad- und Spyware auf deinem PC angesammelt. :D
Darf ich fragen wofür du VMWare benutzt? :D

Die Bereinigung wird länger dauern, wenn du also die Möglichkeit hast, schnell neuaufzusetzen ist das wahrscheinlich die bessere Alternative.

Ansonsten arbeite bitte Folgendes ab:

Smitfraudfix herunterladen und die Punkte unter "Suche" abarbeiten und das Log hier posten.

Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.

Führe die Datei navilog1.exe aus, eine Installationsroutine wird beginnen.
Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per
Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
Wähle E für Englisch im Sprachenmenü
Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

Danach sehen wir weiter.

lg myrtille

Edit:Zu der Frage wozu ich VMWare brauche:Hab noch alte PC Games...die funzen aber nur auf 98 deshalb hab ich mir das geholt^^

Also,ich hab das mal gemacht...Ganz schön lange Liste.....:(

Code:

SmitFraudFix v2.329
 

Scan done at 21:30:28,62, 12.07.2008

Run from 

C:\Dokumente und Einstellungen\***\Desktop\SmitfraudFix

OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT

The filesystem type is NTFS

Fix run in normal mode
 

»»»»»»»»»»»»»»»»»»»»»»»» Process
 

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Programme\Java\jre1.6.0_06\bin\jusched.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Programme\VMware\VMware Player\hqtray.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\Winamp\winampa.exe

C:\Programme\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\rundll32.exe

C:\DOKUME~1\****~1\LOKALE~1\Temp\setup88.exe

C:\Programme\Sphairon\UB801R USB Wireless LAN Card\Installer\WINXP\ScConfig2500USB.exe

C:\Dokumente und Einstellungen\***\Desktop\Progis\Spaß\mousometer.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\system32\cisvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\Programme\Spyware Doctor\pctsAuxs.exe

C:\Programme\Spyware Doctor\pctsSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\Gemeinsame Dateien\VMware\VMware Virtual Image Editing\vmount2.exe

C:\Programme\Gemeinsame Dateien\Teleca Shared\Generic.exe

C:\WINDOWS\system32\vmnat.exe

C:\WINDOWS\system32\vmnetdhcp.exe

C:\Programme\VMware\VMware Player\vmware-authd.exe

C:\Programme\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programme\Java\jre1.6.0_06\bin\jucheck.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Dokumente und Einstellungen\***\Desktop\Ascent kram\YouTube Repack 2.3.2\db\bin\mysqld-nt.exe

C:\Dokumente und Einstellungen\***\Desktop\Ascent_4552\ascent-logonserver.exe

C:\Dokumente und Einstellungen\***\Desktop\Ascent_4552\ascent-world.exe

C:\Programme\Opera\opera.exe

C:\WINDOWS\system32\cmd.exe

C:\Programme\Navilog1\catchme.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

C:\WINDOWS\NOTEPAD.EXE

C:\Dokumente und Einstellungen\***\Desktop\SmitfraudFix\Policies.exe

C:\WINDOWS\system32\cmd.exe
 

»»»»»»»»»»»»»»»»»»»»»»»» hosts
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles
 
 
 
 
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\***~1\FAVORI~1
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Desktop
 
 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme 
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"SubscribedURL"=""

"FriendlyName"="Privacy Protection"

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Die derzeitige Homepage"
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, following keys are not inevitably infected!!!
 

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri
 
 
 

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, following keys are not inevitably infected!!!
 

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

+--------------------------------------------------+

[!] Suspicious: kgqfweltedw.dll

BHO: QXK Olive - {8E1F2BC9-E92D-4D2E-B268-74FB9F908DD8}

TypeLib: {D9D7A9C7-E0D3-4C8E-9289-A0E04D30E4AA}

Interface: {26BE45FE-B14B-4674-B4CA-09BD19C1F4C8}

Interface: {E7D2C5E1-E886-4C1A-9E5B-FA4755162B9F}
 

[!] Suspicious: nqgpedlr.dll

Toolbar: nqgpedlr - {AB802BE5-5918-4875-954F-C878E08FC60E}

TypeLib: {7FD9DE6F-3A11-4BA6-B17E-E5C2D1FBB371}

Interface: {A124E2A3-9F8A-4108-B566-EE6BA80B19C7}

Classe: nqgpedlr.btre

Classe: nqgpedlr.ToolBar.1
 
 

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, following keys are not inevitably infected!!!
 

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, following keys are not inevitably infected!!!
 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll
 
 

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, following keys are not inevitably infected!!!
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"="wbsys.dll"
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, following keys are not inevitably infected!!!
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Rustock
 
 
 

»»»»»»»»»»»»»»»»»»»»»»»» DNS
 

Description: NVIDIA nForce Networking Controller - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

Description: UB801R USB Wireless LAN Card #3 - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

Description: UB801R USB Wireless LAN Card #3 - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection
 
 

»»»»»»»»»»»»»»»»»»»»»»»» End

Code:

Search Navipromo version 3.6.0 began on 12.07.2008 at 21:34:31,85
 

!!! Warning, this report may include legitimate files/programs !!!

!!! Post this report on the forum you are being helped !!!

!!! Don't continue with removal unless instructed by an authorized helper !!!

Fix running from C:\Programme\navilog1

Actual User Account : "***" 
 

Updated on 27.06.2008 at 23h00 by IL-MAFIOSO
 
 

Microsoft Windows XP [Version 5.1.2600]

Version Internet Explorer : 6.0.2900.2180

Filesystem type : NTFS
 

Search done in normal mode
 

*** Searching for installed Software ***
 
 

*** Search folders in "C:\WINDOWS" ***
 
 

*** Search folders in "C:\Programme" ***
 
 

*** Search folders in "c:\dokume~1\alluse~1\anwend~1" ***
 
 

*** Search folders in "c:\dokume~1\alluse~1\startm~1\progra~1" ***
 

...\InternetGameBox found !
 

*** Search folders in "C:\Dokumente und Einstellungen\***\anwend~1" *** 
 
 

*** Search folders in "C:\DOKUME~1\ADMINI~1\anwend~1" *** 
 
 

*** Search folders in "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" *** 
 
 

*** Search folders in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" *** 
 
 

*** Search folders in "C:\Dokumente und Einstellungen\***\startm~1\progra~1" *** 
 
 

*** Search folders in "C:\DOKUME~1\ADMINI~1\startm~1\progra~1" *** 
 

*** Search with Catchme-rootkit/stealth malware detector by gmer ***

for more info : h**p://www.gmer.net
 

No file found
 
 

*** Search with GenericNaviSearch ***

!!! Possibility of legitimate files in the result !!!

!!! Must always be checked before manually deleting !!!
 

* Scan in "C:\WINDOWS\system32" *
 

* Scan in "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" * 
 

* Scan in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" * 
 
 
 

*** Search files *** 
 
 

C:\WINDOWS\system32\nvs2.inf found !
 

*** Search specific Registry keys ***
 

HKEY_CURRENT_USER\Software\Lanconfig found ! 

HKEY_CURRENT_USER\Software\mc found ! 
 

*** Complementary Search ***

(Search specific files)
 

1)Search new Instant Access files :
 
 

2)Heuristic Search :
 

* In "C:\WINDOWS\system32" :
 
 

* In "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" : 
 

ykpuixj.dat found !

ykpuixj_nav.dat found !

ykpuixj_navps.dat found !
 

* In "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" : 
 
 

3)Certificates Search :
 

Egroup certificate not found !

Electronic-Group certificate found !

OOO-Favorit certificate found !

Sunny-Day-Design-Ltd certificate not found !
 

4)Search known files :
 
 
 

*** Search completed on 12.07.2008 at 21:45:45,98 ***

So...das wären die beiden Logs.

Hi,
Sind wir doch, dass die Listen lang sind froh. :D
Die Tools, die die Logs erstellt haben, können, dass was sie finden auch entfernen. :D

Also einmal bei der Smitfraudfixanleitung den Abschnitt "Reinigung" abarbeiten.

Danach bitte folgendes tun:

Rufe das Programm Navilog bitte erneut auf und wähle die Option 2
Das Programm wird nun deinen Rechner neustarten. Schließe also alle Fenster und bestätige den Neustart.
Sollte der Rechner nicht neustarten, tue dies bitte manuell.
Nach dem Neustart läuft der Fix zuende. Bitte einfach abwarten, bis NaviFix beendet ist und keine Fenster öffnen.
Es öffnet sich erneut ein Fenster mit dem Scanergebnis. Speichere das Ergebnis ab und schließe den Editor. Nun sollten deine Desktopsymbole wieder erscheinen
Das Scanergebnis bitte hier posten.

Sollten die Desktopsymbole nicht von selbst wieder erscheinen, rufe mit Strg+Alt+Entf den Taskmanager auf und wähle unter Prozesse->"Neuen Task ausführen" aus. Gib dort explorer ein.

Lade dir anschließend bitte Malwarebytes herunter und lasse das Programm alles löschen was es findet.

Poste alle Logs danach bitte hier. (Bitte halte die angegebene Reihenfolge ein ;) )

@vmware
Ok, war nur neugierig. :D War auch nicht ganz ernstgemeint ;)
Viele Leute nutzen Vmware als zusätzliche Sicherung beim surfen... dachte das wär bei dir auch der Fall und war daher etwas über die "Sammlung" an Adware überrascht. ;)
lg myrtille

Also ich glaub es is alles weg...

Rapport.txt:

Code:

SmitFraudFix v2.329
 

Scan done at  9:13:02,50, 14.07.2008

Run from 

C:\Dokumente und Einstellungen\***\Desktop\SmitfraudFix

OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT

The filesystem type is NTFS

Fix run in normal mode
 

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix

!!!Attention, following keys are not inevitably infected!!!
 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll
 

»»»»»»»»»»»»»»»»»»»»»»»» Killing process
 
 

»»»»»»»»»»»»»»»»»»»»»»»» hosts
 
 

127.0.0.1       localhost
 

»»»»»»»»»»»»»»»»»»»»»»»» VACFix
 

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

C:\WINDOWS\kgqfweltedw.dll deleted.

C:\WINDOWS\nqgpedlr.dll deleted.
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix
 

S!Ri's WS2Fix: LSP not Found.
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix
 

GenericRenosFix by S!Ri
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files
 
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
 

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri
 
 
 

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
 

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri
 
 

»»»»»»»»»»»»»»»»»»»»»»»» DNS
 

Description: NVIDIA nForce Networking Controller - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

Description: UB801R USB Wireless LAN Card #3 - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

Description: UB801R USB Wireless LAN Card #3 - Paketplaner-Miniport

DNS Server Search Order: 192.168.0.1
 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{2CB91525-CD70-45BF-BC3E-E1C6FF4447BD}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{7B16B318-2BC0-4F0C-A276-E7CDE97A64E0}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{BD3E7DBC-16C4-43A5-9FD6-ABAF695E4E64}: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, following keys are not inevitably infected!!!
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning
 

Registry Cleaning not selected.

 

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix

!!!Attention, following keys are not inevitably infected!!!
 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll
 
 

»»»»»»»»»»»»»»»»»»»»»»»» End

cleannavi.txt:

Code:

Navipromo Removal version 3.6.0 started on 14.07.2008 at  9:17:53,28
 

Fix running from C:\Programme\navilog1

Actual User Account : "***" 
 

Updated on 27.06.2008 at 23h00 by IL-MAFIOSO
 
 

Microsoft Windows XP [Version 5.1.2600]

Internet Explorer : 6.0.2900.2180

Filesystem type : NTFS
 

Automatic removal 

with Catchme and GNS results
 
 

Cleanning stage done on Reboot
 

 

*** fsbl1.txt not found ***

(Check that Catchme found nothing in Search Mode)

 
 

*** Deleting with Backups GenericNaviSearch results ***
 

* Deletion in "C:\WINDOWS\System32" *
 
 

* Deletion in "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" * 
 
 

* Deletion in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" * 
 
 
 

*** Deleting folders in "C:\WINDOWS" ***
 
 

*** Deleting folders in "C:\Programme" ***
 
 

*** Deleting folders in "c:\dokume~1\alluse~1\anwend~1" ***
 
 

*** Deleting folders in "c:\dokume~1\alluse~1\startm~1\progra~1" ***
 

...\InternetGamebox ...deleting... 

...\InternetGamebox deleted ! 
 
 

*** Deleting folders in "C:\Dokumente und Einstellungen\***\anwend~1" *** 
 
 

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\anwend~1" *** 
 
 

*** Deleting folders in "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" *** 
 
 

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" *** 
 
 

*** Deleting folders in "C:\Dokumente und Einstellungen\***\startm~1\progra~1" *** 
 
 

*** Deleting folders in "C:\DOKUME~1\ADMINI~1\startm~1\progra~1" *** 
 
 
 

*** Deleting files ***
 

C:\WINDOWS\system32\nvs2.inf deleted !
 

*** Deleting temporary files ***
 

Cleaning of C:\WINDOWS\Temp done !
 

*** Complementary Search ***

(Search specific files)
 

1)Deletion with backups new Instant Access files:
 

2)Heuristic search and deletion with backups :
 
 

* In "C:\WINDOWS\system32" *
 
 

* In "C:\Dokumente und Einstellungen\***\lokale~1\anwend~1" * 
 

ykpuixj.dat found !

Copy ykpuixj.dat done !

ykpuixj.dat deleted !
 

ykpuixj_nav.dat found !

Copy ykpuixj_nav.dat done !

ykpuixj_nav.dat deleted !
 

ykpuixj_navps.dat found !

Copy ykpuixj_navps.dat done !

ykpuixj_navps.dat deleted !
 
 

* In "C:\DOKUME~1\ADMINI~1\lokale~1\anwend~1" * 
 
 

*** Copy Registry to Safebackup folder ***
 

Backing up Registry done !
 

*** Cleaning Registry ***
 

Registry cleaned
 
 

*** Certificates ***
 

Egroup Certificate not found !

Electronic-Group Certificate deleted !

OOO-Favorit Certificate deleted !

Sunny-Day-Design-Ltd Certificate not found !
 

*** Cleaning stage complete on 14.07.2008 at  9:20:51,65 ***

mbam-log-x-xx-xxxx (xx-xx-xx).txt:

Code:

Malwarebytes' Anti-Malware 1.20

Datenbank Version: 948

Windows 5.1.2600 Service Pack 2
 

11:45:08 14.07.2008

mbam-log-7-14-2008 (11-45-08).txt
 

Scan Art: Komplett Scan (C:\|E:\|)

Objekte gescannt: 175487

Scan Dauer: 1 hour(s), 41 minute(s), 50 second(s)
 

Infizierte Speicher Prozesse: 0

Infizierte Speicher Module: 0

Infizierte Registrierungsschlüssel: 19

Infizierte Registrierungswerte: 2

Infizierte Datei Objekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 10
 

Infizierte Speicher Prozesse:

(Keine Malware Objekte gefunden)
 

Infizierte Speicher Module:

(Keine Malware Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_CLASSES_ROOT\bhonew.bho (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\bhonew.bho.1 (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{87fd33c2-7891-45d5-acd1-7935f9aea26b} (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{87fd33c2-7891-45d5-acd1-7935f9aea26b} (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{4937d5d1-2039-409a-bd83-fec9b39b2356} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{caf9d798-c659-4b9b-8e19-ee27c3d04ee7} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Typelib\{15c7d7ad-a87a-4c0d-9d8b-637fcd3488ef} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\xml.xml (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\TypeLib\{9233c3c0-1472-4091-a505-5580a23bb4ac} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\xml.xml.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{147a976f-eee1-4377-8ea7-4716e4cdd239} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{2e9937fc-cf2f-4f56-af54-5a6a3dd375cc} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{741de825-a6f0-4497-9aa6-8023cf9b0fff} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256a51-b582-467e-b8d4-7786eda79ae0} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256a51-b582-467e-b8d4-7786eda79ae0} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1d4db7d2-6ec9-47a3-bd87-1e41684e07bb} (Adware.MyWebSearch) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Somefox (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\MenuExt\&Search\ (Adware.Hotbar) -> Quarantined and deleted successfully.
 

Infizierte Datei Objekte der Registrierung:

(Keine Malware Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine Malware Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\msxml71.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{54F0141E-5647-4204-AD0F-7F3816F7D691}\RP169\A0084991.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{54F0141E-5647-4204-AD0F-7F3816F7D691}\RP169\A0085984.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{54F0141E-5647-4204-AD0F-7F3816F7D691}\RP169\A0086106.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{54F0141E-5647-4204-AD0F-7F3816F7D691}\RP170\A0086169.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\eane.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

E:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\~osD9.tmp\rkupginstaller.exe (Spyware.Marketscore) -> Quarantined and deleted successfully.

C:\WINDOWS\okmdepgb.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\mrvtdpqe.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\axrfgvek.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Thx dann^^

Erstell bitte noch ein Log mit DSS um zu überprüfen ob noch was auf deinem Rechner ist:

Lade dir DSS
Schließe alle Anwendungen und führe DSS.exe dann mit einem Doppelklick aus
Führe während DSS arbeitet bitte keine anderen Aktionen durch
Am Ende öffnen sich 2 Datein main.txt und extra.txt
Poste den Inhalt beider Dateien hier

Die Logs sehen allerdings schonmal recht gut aus :)

lg myrtille