|
ConHook.D.14 Liebe Helfer, habe hier schon einmal erfolgreich Hilfe gefunden und würde Euch noch einmal meine logfiles anvertrauen. Erst einmal das Problem: AntiVir hat in verschiedenen Dateien des Pc`s diesen Trojaner entdeckt: "TR/ConHook.D.14" Das Einzige, dass derzeit auf dem Computer symptomatisch virenverdächtig ist, ist das Mozilla immer wieder Fenster von alleine auf macht- meist sind Werbeseiten, die ich nicht anderweitig aufgerufen habe. Ansonsten scheint mein Alice DSL-Modem immer eingeschaltet zu sein, auch wenn ich es ausschalte (es leuchtet weiterhin). Ach ja, und ich habe ein jpg. auf meinen Dektop gedownloaded, auch dieses konnte ich nicht öffnen. Fehlermeldung von Explorer.EXE: "Die Anwendung oder DLL C:/Programme/7-Zip/7-zip.dll ist keine gültige Windwos-Datei. Überprüfen Sie die Installationsdiskette." (Slash jeweils in die andere Richtung) Meldung von AntiVir: C:/System Volume Information/.../A0585018.dll Ich arbeite mit Windows XP und gehe mit Mozialla ins Netz. Braucht Ihr sonst noch Infos? Was soll ich tun, damit Ihr mir helfen könnt? Grüße, frage007 |
Hier habe ich gerade noch den Report von AntiVir erhalten: Code: Avira AntiVir Personal |
Hier noch dies: Code: Logfile of Trend Micro HijackThis v2.0.2 |
Mitten in den logfiles befindet sich ein smiley, den kriege ich leider nicht weg....hoffe, der stört nicht... |
Schliesse alle Fenster und starte Hijack This Klicke: Do a Systemscan only Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei O4 - HKLM\..\Run: [3a381b52] rundll32.exe "C:\WINDOWS\system32\yqubqbgr.dll",b O15 - Trusted Zone: *.amaena.com O15 - Trusted Zone: *.antimalwareguard.com O15 - Trusted Zone: *.antispyexpert.com O15 - Trusted Zone: *.avsystemcare.com O15 - Trusted Zone: *.gomyhit.com O15 - Trusted Zone: *.imageservr.com O15 - Trusted Zone: *.imagesrvr.com O15 - Trusted Zone: *.onerateld.com O15 - Trusted Zone: *.safetydownload.com O15 - Trusted Zone: *.spyguardpro.com O15 - Trusted Zone: *.storageguardsoft.com O15 - Trusted Zone: *.trustedantivirus.com O15 - Trusted Zone: *.virusremover2008.com O15 - Trusted Zone: *.virusschlacht.com O15 - Trusted Zone: *.amaena.com (HKLM) O15 - Trusted Zone: *.antimalwareguard.com (HKLM) O15 - Trusted Zone: *.antispyexpert.com (HKLM) O15 - Trusted Zone: *.avsystemcare.com (HKLM) O15 - Trusted Zone: *.gomyhit.com (HKLM) O15 - Trusted Zone: *.imageservr.com (HKLM) O15 - Trusted Zone: *.imagesrvr.com (HKLM) O15 - Trusted Zone: *.onerateld.com (HKLM) O15 - Trusted Zone: *.safetydownload.com (HKLM) O15 - Trusted Zone: *.spyguardpro.com (HKLM) O15 - Trusted Zone: *.storageguardsoft.com (HKLM) O15 - Trusted Zone: *.trustedantivirus.com (HKLM) O15 - Trusted Zone: *.virusremover2008.com (HKLM) O15 - Trusted Zone: *.virusschlacht.com (HKLM) O20 - AppInit_DLLs: tatoyr.dll O22 - SharedTaskScheduler: {ee2975b6-e8d5-405e-8448-8fe9590f6cfb} - cholecyst - (no file) klicke: Fix checked Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst Benutze malwarebytes-anti-malware http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html Note: Wähle bei Reiter: “Scanner”> "Quickscan durchfuehren". “Update “> klicke “Suche nache Aktualisierungen“ “Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“ Scan laufen lassen und Infizierungen entfernen Und poste das Log |
Hi Argus, danke für Deine Antwort. Hier das Logfile nach dem Malware-Scan: Code: Malwarebytes' Anti-Malware 1.31Dank und Gruß! |
Und hier ein aktuelles Hijack-Scan NACH dem Malware-Scan: Code: Logfile of Trend Micro HijackThis v2.0.2 |
Starte den Editor Start - Zubehör – Editor und klicke Format,bei Zeilenumrbuch das Häcken entfernen Benutze CCleaner http://www.trojaner-board.de/51464-anleitung-ccleaner.html ComboFix(by sUBs) Download ComboFix und speichert es auf den Desktop! Schliesse alle Programme und Anwendungen mit Hintergrundwächtern inklusive der Firewall + Antivirusprogramme müssen deaktiviert sein Starte combofix.exe Note: Wenn ComboFix schon eher benutzt worden ist, kann es sein das eine Meldung kommt das es ein Update gibt Lass es zu das ComboFix ge-updatet wird Klicke OK im "NirCmd" Fenster klicke ja um Combofix zu starten Folge den Instruktionen in das Fenster Während Combofix lauft NICHT ins Fenster klicken sonst erfriert dein Rechner Wenn das Tool fertig ist,oeffnet sich ein logfile (C:\ combofix.txt) nun das KOMPLETTE Log mit rechtem Mausklick ab kopieren und ins Forum mit rechtem Mausklick "einfügen" Befolge diese Anleitung und installiere auch den Wiederherstellungskonsole |
Hi Argus, bin gerade dabei, Combofix zu installieren. Wir haben etwas Sorge, die Wiederherstellungskonsole zu installieren....könnte denn sonst tatsächlich alles weg sein?! Ich habe bereits mal vor kurzem versucht, Windows neu drauf zu spielen, wurde aber seitens Windows nicht empfohlen, da die Version auf dem Rechner mittlerweile neuer ist als auf der XP-CD, sprich, neue Updates etc. Muss ich diese Konsole einrichten, oder kann ich Combofix auch ohne diese Wiederherstellung durchlaufen lassen? Ich möchte nicht, dass XP in eine alte Version zurückfällt, die alles neue komplett löscht. |
Geht auch ohne:) |
Hier das Combo-Logfile. Ist sonst noch was zu tun? Danke für Deine Hilfe!! [code] ComboFix 08-12-28.04 - *** 2008-12-30 0:12:23.1 - FAT32x86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.767.483 [GMT 1:00] ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\ComboFix.exe * Neuer Wiederherstellungspunkt wurde erstellt Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !! . (((((((((((((((((((((((((((((((((((( Weitere Löschungen )))))))))))))))))))))))))))))))))))))))))))))))) . c:\dokumente und einstellungen\***\Anwendungsdaten\gadcom c:\dokumente und einstellungen\***\Desktop\notepad.exe c:\windows\system32\arlgnhye.ini c:\windows\system32\ctseqcph.ini c:\windows\system32\FF647904D3.dll c:\windows\system32\giuucmxj.ini c:\windows\system32\hpcqestc.dll c:\windows\system32\iOnXayxx.ini c:\windows\SYSTEM32\iOnXayxx.ini2 c:\windows\system32\ipfuhekx.dll c:\windows\system32\ipoqjecw.ini c:\windows\system32\lscscjlh.ini c:\windows\system32\mdm.exe c:\windows\system32\nvhmcfgs.ini c:\windows\system32\rgbqbuqy.ini c:\windows\system32\tatoyr.dll c:\windows\system32\tunhbpkj.dll c:\windows\system32\wvrfigvo.ini c:\windows\system32\xkehufpi.ini c:\windows\system32\xxyaXnOi.dll c:\windows\system32\yqubqbgr.dll c:\windows\Tasks\hkybyxcj.job . ((((((((((((((((((((((( Dateien erstellt von 2008-11-28 bis 2008-12-29 )))))))))))))))))))))))))))))) . 2008-12-29 21:31 . 2008-12-29 21:31 <DIR> d-------- c:\programme\Malwarebytes' Anti-Malware 2008-12-29 21:31 . 2008-12-29 21:31 <DIR> d-------- c:\dokumente und einstellungen\***\Anwendungsdaten\Malwarebytes 2008-12-29 21:31 . 2008-12-29 21:31 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes 2008-12-29 21:31 . 2008-12-03 19:52 38,496 --a------ c:\windows\SYSTEM32\DRIVERS\mbamswissarmy.sys 2008-12-29 21:31 . 2008-12-03 19:52 15,504 --a------ c:\windows\SYSTEM32\DRIVERS\mbam.sys 2008-12-29 21:27 . 2008-12-29 21:27 <DIR> d-------- c:\dokumente und einstellungen\***\Virenbekämpfung 2008-12-16 15:16 . 2008-12-16 15:16 <DIR> d-------- c:\programme\Avira 2008-12-16 15:16 . 2008-12-16 15:16 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira 2008-12-16 14:43 . 2008-12-16 14:43 <DIR> d--hs---- C:\FOUND.217 2008-12-15 22:47 . 2008-12-15 22:47 <DIR> d-------- c:\programme\Panda Security 2008-12-15 22:20 . 2004-10-16 13:38 299,008 --a------ c:\dokumente und einstellungen\***\Anwendungsdaten\DESINSTALADOR_AVCINEEDSP.exe 2008-12-14 20:33 . 2008-12-14 20:33 <DIR> d-------- c:\dokumente und einstellungen\***\Anwendungsdaten\Twain 2008-12-14 15:20 . 2008-12-14 15:20 <DIR> d-------- c:\programme\Webtools 2008-12-14 08:55 . 2008-12-14 08:55 <DIR> d--hs---- C:\FOUND.216 2008-12-13 18:57 . 2008-12-13 18:57 0 --a------ c:\windows\msicpl.ini 2008-12-13 10:27 . 2008-12-13 10:27 <DIR> d--hs---- C:\FOUND.215 2008-12-11 13:43 . 2008-12-11 13:43 <DIR> d--hs---- C:\FOUND.214 2008-12-09 15:04 . 2008-12-09 15:04 <DIR> d--hs---- C:\FOUND.213 2008-12-08 07:37 . 2008-12-08 07:37 <DIR> d--hs---- C:\FOUND.212 2008-12-05 07:56 . 2008-12-05 07:56 <DIR> d--hs---- C:\FOUND.211 2008-12-04 23:21 . 2008-12-04 23:21 <DIR> d--hs---- C:\FOUND.210 2008-12-03 19:08 . 2008-12-03 19:08 <DIR> d--hs---- C:\FOUND.209 . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-12-29 20:11 1,606 ----a-w c:\windows\SYSTEM32\PerfStringBackup.TMP 2008-11-04 18:12 --------- d-----w c:\programme\Windows Media Connect 2 2006-11-22 22:27 58 ----a-w c:\programme\Neu Wavesound.wav 2006-03-15 19:05 11,253 ---h--w c:\programme\folder.htt . (((((((((((((((((((((((((((( Autostartpunkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "HP Software Update"="c:\programme\HP\HP Software Update\HPWuSchd2.exe" [2005-05-11 49152] "SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784] "QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2006-09-01 282624] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-06-28 8466432] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-06-28 81920] "avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497] "SoundMan"="SOUNDMAN.EXE" [2005-06-20 c:\windows\soundman.exe] "nwiz"="nwiz.exe" [2007-06-28 c:\windows\SYSTEM32\nwiz.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360] c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\ Microsoft Office.lnk - c:\programme\Microsoft Office\Office\OSA9.EXE [1999-04-30 65588] Adobe Gamma Loader.exe.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2006-05-30 110592] Adobe Reader - Schnellstart.lnk - c:\programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Programme\\Mozilla Firefox\\firefox.exe"= "c:\\Program Files\\Real\\RealPlayer\\RealPlay.exe"= "c:\\Program Files\\WS_FTP\\WS_FTP95.exe"= "c:\\Programme\\Skype\\Phone\\Skype.exe"= R3 ovt530;Webcam Deluxe;c:\windows\system32\Drivers\ov530vid.sys [2007-01-07 161792] S3 AVMUNET;AVM FRITZ!Box;c:\windows\system32\DRIVERS\avmunet.sys [2007-01-19 15104] S3 FXDRV;FXDRV;\??\D:\Fxdrv.sys [] S3 genmcmnUSB;USB Scroll Mouse Driver;c:\windows\system32\DRIVERS\gflmouhid.sys [] S3 NETFWDSL;AVM FRITZ!web DSL PPP;c:\windows\system32\DRIVERS\NETFWDSL.SYS [2007-01-23 367104] S3 PDNMp50;PDNMp50 NDIS Protocol Driver;\??\c:\windows\System32\drivers\PDNMp50.sys [] S3 PDNSp50;PDNSp50 NDIS Protocol Driver;\??\c:\windows\System32\drivers\PDNSp50.sys [] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs UxTuneUp . Inhalt des "geplante Tasks" Ordners 2008-12-19 c:\windows\Tasks\1-Klick-Wartung.job - c:\programme\TuneUp Utilities 2007\SystemOptimizer.exe [2007-08-02 12:40] . - - - - Entfernte verwaiste Registrierungseinträge - - - - BHO-{43B9381F-5E29-4C20-AEC4-09A2F8B7A4F9} - c:\windows\system32\xxyaXnOi.dll BHO-{8fa6b2ee-d71a-4a3a-9570-da389dd12524} - c:\windows\system32\tatoyr.dll Notify-vtUnllKB - vtUnllKB.dll . ------- Zusätzlicher Suchlauf ------- . uStart Page = about:blank mStart Page = hxxp://alice.aol.de uInternet Connection Wizard,ShellNext = hxxp://fritz.box/cgi-bin/webcm?getpage=../html/de/help/popup.html&var:lang=de&var:pagename=hilfe_status O16 -: DirectAnimation Java Classes - c:\windows\Downloaded Program Files\DirectAnimation Java Classes.osd - file://c:\windows\Java\classes\dajava.cab O16 -: Microsoft XML Parser for Java - c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd - file://c:\windows\Java\classes\xmldso.cab c:\windows\Downloaded Program Files\IlosoftImageUpload.dll - O16 -: {DC6FEBC5-0A2D-458A-A01B-5DB15EEC4305} hxxp://webc.***.de/controls/IlosoftImageUpload.dll FF - ProfilePath - c:\dokumente und einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\i0krtkom.default\ FF - prefs.js: browser.startup.homepage - FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nppl3260.dll FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprjplug.dll FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprpjplug.dll FF - plugin: c:\programme\Opera\program\plugins\npdivx32.dll FF - plugin: c:\programme\Opera\program\plugins\Npindeo.dll ATTENTION: FIREFOX POLICES IS IN FORCE FF - user.js: yahoo.homepage.dontask - true. ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-12-30 00:17:08 Windows 5.1.2600 Service Pack 2 FAT NTAPI Scanne versteckte Prozesse... Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . ------------------------ Weitere laufende Prozesse ------------------------ . c:\programme\AVIRA\ANTIVIR PERSONALEDITION CLASSIC\SCHED.EXE c:\programme\AVIRA\ANTIVIR PERSONALEDITION CLASSIC\AVGUARD.EXE c:\programme\FRITZ!DSL\IGDCTRL.EXE c:\windows\SYSTEM32\NVSVC32.EXE c:\windows\SYSTEM32\RUNDLL32.EXE c:\windows\SYSTEM32\RUNDLL32.EXE . ************************************************************************** . Zeit der Fertigstellung: 2008-12-30 0:18:47 - PC wurde neu gestartet ComboFix-quarantined-files.txt 2008-12-29 23:18:46 Vor Suchlauf: 230 Verzeichnis(se), 14.741.569.536 Bytes frei Nach Suchlauf: 230 Verzeichnis(se), 14,893,187,072 Bytes frei 158 Code: |
Start > Ausführen> Kopiere rein ComboFix /U OK Weisst du was dies ist? c:\dokumente und einstellungen\***\Anwendungsdaten\DESINSTALADOR_AV CINEEDSP.exe Diese Eintraege kannst du auch entfernen C:\FOUND.217 usw |
Start > Ausführen> Kopiere rein ComboFix /U OK --> Bei Start taucht "Ausführen" nicht mehr auf. Wie kann das sein?! Kann ich es woanders finden? Kenne dies nicht: c:\dokumente und einstellungen\***\Anwendungsdaten\DESINSTALADOR_AV CINEEDSP.exe Wo kann ich diese Einträge entfernen? Welche noch? Diese Eintraege kannst du auch entferen C:\FOUND.217 usw Dank und Gruß! |
Versuche mal die Windows-Taste + R um Ausführen zu starten |
Danke, mit Tastenkürzel hat`s geklappt, habe Combo deinstalliert. Nur wo ich C:\FOUND.217 entfernen kann, weiß ich nicht. Kannst Du mir das bitte noch verraten? Ansonsten dürfte jetzt doch alles in Ordnung sein? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:14 Uhr. |
Copyright ©2000-2025, Trojaner-Board