Virus läßt sich nicht löschen, zudem blauer Bildschirm mit Meldung "Warning Spyware d
 

Hallo,

hab seit kurzem auf blauem Bildschirm die Meldung Warning Spyware detected ...

AntiVir erkennt:
C:\WINDOWS\system32\pphcnhnj0el2p.exe
TR/Fakealert.AG

und weiterhin installiert sich "Antivirus XP 2008" selbst.

mit bestem Dank im voraus
TBerger

Hier dazu das HJ-Log im abgesicherten Modus
Logfile of HijackThis v1.99.0
Scan saved at 13:24:51, on 19.07.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\Timo Berger\Eigene Dateien\Internet\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ISDN SpeedManager] "C:\Programme\T-Online\ISDN SpeedManager\Tomcat.exe"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [SetDefPrt] C:\Programme\Brother\Brmfl04g\BrStDvPt.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [lphcnhnj0el2p] C:\WINDOWS\system32\lphcnhnj0el2p.exe
O4 - HKLM\..\Run: [SMrhcjhnj0el2p] C:\Programme\rhcjhnj0el2p\rhcjhnj0el2p.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [cfgsrvsmart] C:\WINDOWS\system32\pqngrgbc.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart17.exe
O4 - Global Startup: Dienst-Manager.lnk = C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O4 - Global Startup: Start 3DxWare.lnk = C:\Programme\3Dconnexion\3Dconnexion 3DxWare\3dxsrv.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'spacklsp.dll' missing
O21 - SSODL: admenapp - {53E01839-9324-2D60-6817-046D491EDF64} - C:\Programme\mweubp\admenapp.dll
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Autodesk Data Management Job Dispatch - Autodesk Inc - C:\CAD11\Data Management Server 5\Server\Dispatch\Connectivity.WindowsService.JobDispatch.exe
O23 - Service: Autodesk EDM Server - - C:\CAD11\Data Management Server 5\Server\Webserver\Connectivity.EDMWS.Server.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: BrSplService - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: AVM FRITZ!web Routing Service - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Google Updater Service - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: T-Online DSL-Manager - T-Systems International GmbH - C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
O23 - Service: T-DSL SpeedManager - T-Systems Business Services - C:\Programme\T-DSL SpeedManager\TSMSvc.exe

und dazu escan-Log

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2008.03.07

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: Normal

eScan Version: 9.9.4
Sprache: German
D:\Temp\MWAV.LOG



~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei C:\WINDOWS\system32\lphcnhnj0el2p.exe infiziert durch den Virus "Trojan-Downloader.Win32.Small.yko"! Maßnahme ergriffen: Keine Maßnahme ergriffen.
Datei C:\WINDOWS\system32\lphcnhnj0el2p.exe infiziert durch den Virus "Trojan-Downloader.Win32.Small.yko"! Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Datei C:\Programme\rhcjhnj0el2p\rhcjhnj0el2p.exe markiert als "not-a-virus:FraudTool.Win32.XPAntivirus.md". Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Offending file found: C:\Dokumente und Einstellungen\Timo Berger\Anwendungsdaten\microsoft\internet explorer\quick launch\antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\antivirus xp 2008\antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\antivirus xp 2008\how to register antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\antivirus xp 2008\register antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Desktop\antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\programme\antivirus xp 2008\antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\programme\antivirus xp 2008\how to register antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\programme\antivirus xp 2008\register antivirus xp 2008.lnk
Offending file found: C:\Dokumente und Einstellungen\All Users\Startmenü\programme\antivirus xp 2008.lnk
~~~~~~~~~~~
~~~~ Spyware (Vorsicht: Oft Fehlalarm!)
~~~~~~~~~~~
MicroWorld AntiVirus und Antispyware Toolkit.
MicroWorld AntiVirus und Antispyware Toolkit.
Scannen Spyware: Aktiviert
***** Registrierungsdatenbank und Dateisystem werden auf Schnüffelprogramme (Spyware) und werbefinanzierte Software (Adware) überprüft *****
Loading Spyware Signatures from new External Database [Name: D:\Temp\spydb.avs, Size: 839103].
Indexed Spyware Databases Successfully Created...
System found infected with emesx.dll Spyware/Adware (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{000000da-0786-4633-87c6-1aa7a4429ef1})! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler/{0656a137-b161-cadd-9777-e37a75727e78})! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (HKEY_CLASSES_ROOT\clsid\{0b682cc1-fb40-4006-a5dd-99edd3c9095d})! Action taken: Keine Maßnahme ergriffen.
System found infected with aroundweb toolbar Spyware/Adware (HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar/{0e1230f8-ea50-42a9-983c-d22abc2eeb4c})! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (HKEY_CLASSES_ROOT\clsid\{54645654-2225-4455-44a1-9f4543d34545})! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (HKEY_CLASSES_ROOT\clsid\{5c7f15e1-f31a-44fd-aa1a-2ec63aaffd3a})! Action taken: Keine Maßnahme ergriffen.
System found infected with msn smarttags Spyware/Adware (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{9dd4258a-7138-49c4-8d34-587879a5c7a4})! Action taken: Keine Maßnahme ergriffen.
System found infected with mediaupdate Spyware/Adware (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{b8c0220d-763d-49a4-95f4-61dfdec66ee6})! Action taken: Keine Maßnahme ergriffen.
System found infected with vividence connector Spyware/Adware (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{c3bcc488-1ae7-11d4-ab82-0010a4ec2338})! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (how to register antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (register antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (how to register antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (register antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with antivirusxp 2008 Corrupted Adware/Spyware (antivirus xp 2008.lnk)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\software\dpcproxy)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\software\wkey)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcr\applications\accessdiver.exe)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\software\microsoft\windows nt\currentversion\winlogon\notify\logons)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hklm\software\microsoft\windows\currentversion\explorer\browser settings)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\software\invictus)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\typelib)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\software\microsoft\windows\currentversion\shellserviceobjectdelayload/systemcheck2)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcu\hol5_vxiewer.full.1)! Action taken: Keine Maßnahme ergriffen.
System found infected with combo Spyware/Adware (hkcr\hol5_vxiewer.full.1)! Action taken: Keine Maßnahme ergriffen.
Eintrag "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" verweist auf das ungültige Objekt "C:\Programme\SPYWAREfighter\". Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
laufende Prozesse - commandline
~~~~~~~~~~~~~~~~~~~~~~
System Idle Process -
System -
smss.exe - \SystemRoot\System32\smss.exe
csrss.exe -
winlogon.exe - winlogon.exe
services.exe - C:\WINDOWS\system32\services.exe
lsass.exe - C:\WINDOWS\system32\lsass.exe
svchost.exe - C:\WINDOWS\system32\svchost -k DcomLaunch
svchost.exe -
MsMpEng.exe - "C:\Programme\Windows Defender\MsMpEng.exe"
svchost.exe - C:\WINDOWS\System32\svchost.exe -k netsvcs
svchost.exe -
svchost.exe -
aawservice.exe - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
explorer.exe - C:\WINDOWS\Explorer.EXE
mexe.com - "D:\Temp\mexe.com"
ScanningProcess.exe -
cmd.exe - cmd /c ""C:\Dokumente und Einstellungen\Timo Berger\Eigene Dateien\Internet\find.bat" "
cscript.exe - cscript C:\escan\prclst.vbs //nologo
wmiprvse.exe -
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
ERROR!!! ScanFile fails for C:\DOKUME~1\TIMOBE~1\Desktop\NICHTV~1\7820IN~1.EXE
ERROR!!! Invalid Entry \??\D:\Temp\catchme.sys in SYSTEM\CurrentControlSet\Services\catchme. Action Taken: No Action Taken
ERROR!!! Invalid Entry System32\Drivers\mtk.sys in SYSTEM\CurrentControlSet\Services\MTK. Action Taken: No Action Taken
ERROR!!! ScanFile Fails for C:\PROGRA~1\T-DSLS~1\PCANDIS5.SYS...
ERROR!!! Invalid Entry System32\Drivers\spyemrg.sys in SYSTEM\CurrentControlSet\Services\SpyEmrg. Action Taken: No Action Taken
ERROR!!! Invalid Entry \SystemRoot\\SystemRoot\System32\DRIVERS\sr.sys in SYSTEM\CurrentControlSet\Services\sr. Action Taken: No Action Taken
ERROR!!! Invalid Entry C:\WINDOWS\mfcsz32.exe /s in SYSTEM\CurrentControlSet\Services\�%AF夶À¨. Action Taken: No Action Taken
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Zahl der gescannten Objekte: 65361
Zahl der kritischen Objekte: 32
Zahl der desinfizierten Objekte: 0
Zahl der umbenannten Dateien: 0
Zahl der gelöschten Objekte: 0
Zahl der Fehler: 377
Zeit verstrichen: 00:08:27
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Speicherüberprüfung: Aktiviert
Registrierungsdatenbank-Überprüfung: Aktiviert
Überprüfung des Startordners: Aktiviert
Überprüfung des Systemordners: Aktiviert
Überprüfung der Dienste: Aktiviert
Option Überprüfung der Laufwerke deaktiviert
Überprüfung der Ordner: Deaktiviert

Batchstart: 14:00:53,06
Batchende: 14:00:56,45

@ MrDeath,

hab Malwarebytes´ Anti-Malware benutzt und damit alles gesäubert. Ich fand das Programm hier in einem anderen Thread.

gruß Tberger

Hallo,

habe gestern auch das gleiche Problem gehabt. War einfach auf dem Bildschirm. Habe natürlich, (man wird ja manchmal auch schlauer) die Anweisung für das Runterladen der Virenscanner nicht befolgt. Ich habe nun mein altes Ad-Aware auf neuesten Stand gebracht un durchlaufenlassen. Ich muß sagen, ein Teilerfolg. Die Anzeige von - Antivirus XP 2008 demo- war schon mal verschwunden (habe win 2000 professionel au NT-Basis) kam mir daher auch sehr verdächtig vor. Der blaue Bildschirm ist aber immer noch und wenn man etwas wartet logt sich der oder die auch noch in die DOS-Ebene ein. Verschwindet aber sofort, wenn ich eine beliebige Taste drücke und es erscheint der alte desktop mit der Anzeige--Warning-Spyware....
Jetzt habe ich aber Deinen Bericht gelesen und werde auch noch den Rest killen. Über den Erfolg werde ich noch berichten.
Ach so. mir viel auch auf, das ich nicht mehr mit der rechten Maustaste in die Bildschirmschoner reinkam. Also muß dies ein pseudo-Bildschirm sein und im Hintergrung läuft der alte Desktop, den man aber nicht sieht. Die Hintergrundfarbe ist auch beim pseudo intensiver.

Gruß logartmin