Trojaner/Dialer im _restore\Archiv......
 

Hi Leute.
Habe meinen Rechner (Win ME) mit AntiVir gescannt und ziemlich blöde Sachen lernen müssen :koch: . Z.B. FS156.cab ist eine infizierte Datei (TR\StartPage.lx) im "_RESTORE\ARCHIV" Verzeichniss. WIE kann ich dieses Verzeichniss öffnen und bearbeiten?????? :schmoll: .
Kann mir irgendjemand Antworten liefern?
Ich Danke euch schonmal im Vorraus.

Hallo,

deaktiviere die Systemwiederherstellung, danach Neustart und aktiviere sie wieder.
http://service1.symantec.com/SUPPORT...30807134146924
Das Problem sollte gelöst sein.

Erstelle danach mit HiJackThis ein Log-File und poste es hier rein.

Hi Cidre. :aplaus:
Erstmal Danke für deine Antwort!
Halte mich bitte nicht für einen Vollidioten, aber wie deaktiviere ich die Systemwiederherstellung? :crazy:

Würde ich nie machen. :D
Aber klick mal den Link an, den ich bereits oben gepostet habe:
http://service1.symantec.com/SUPPORT...30807134146924
;)

Hi,
Hier ist der Dussel vom Dienst.
Nach der deaktivierung der Systemwiederherstellung waren alle Trojaner und Dialer weg. AntiVir hat das vorhingenannte Verzeichniss nicht mehr angezeigt.
Anbei trotzdem das Logfile.

;) Danke für deine Hilfe :heilig: , ich dachte nicht, das das Thema relativ einfach ist. :o

schau dir doch bitte mal die Adresse in der letzten Zeile an

Logfile of HijackThis v1.98.2
Scan saved at 13:31:42, on 22.08.2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
E:\PROGRAMME\NORTON CLEANSWEEP\CSINJECT.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
E:\T-ONLINE\SPEEDMGR.EXE
E:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\DIT.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\DITEXP.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
E:\T-ONLINE\TSMSVC.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
E:\PERSöNLICHE VERZEICHNISSE\EIGENE PROGRAMME\HIJACKTHIS\HIJACKTHIS.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://lycos.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
F1 - win.ini: run=C:\WINDOWS\INETSRV\SERVICES.EXE
O2 - BHO: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\PROGRAMME\ADOBE\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EumexInst] "F:\Setup.exe"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "E:\T-ONLINE\SPEEDMGR.EXE"
O4 - HKLM\..\Run: [AVGCtrl] E:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [dit] dit.exe
O4 - HKLM\..\Run: [InCD] E:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [ist service uninstall x] C:\WINDOWS\SIMPLE1.EXE /u
O4 - HKLM\..\Run: [DXDllRegExe] C:\WINDOWS\SYSTEM\dxdllreg.exe
O4 - HKLM\..\Run: [AVSCHED32] E:\PROGRAMME\AVPERSONAL\AVSCHED32.EXE /min
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [CSINJECT.EXE] e:\PROGRA~1\NORTON~1\CSINJECT.EXE
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: CAPI Control.lnk = E:\Programme\Eumex 504PC USB\Capictrl.exe
O4 - Startup: OfficeManager Terminerinnerung.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O15 - Trusted Zone: www.mt-download.com

@ loetfix

Installiere den IE 6 mit allen aktuellen Patches.

Diese Einträge noch fixen:
F1 - win.ini: run=C:\WINDOWS\INETSRV\SERVICES.EXE
O2 - BHO: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)
O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)
O4 - HKLM\..\Run: [ist service uninstall x] C:\WINDOWS\SIMPLE1.EXE /u
O15 - Trusted Zone: www.mt-download.com

Zur Sicherheit:
Das eScan AV Toolkit (mwav.exe) herunterladen, die Datei in den Ordner "c:\Bases" (wichtig !) entpacken und danach die "kavupd.exe" (Update) ausführen.
Abgesicherter Modus und den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan clean" klicken.
http://www.mwti.net/antivirus/free_utilities.asp

Danach die Virus Log Information des eSacan posten.

Hi Cidre

Da hast du mir ja ganz schön Arbeit verschafft :kloppen: , aber ich war selten so Froh darüber. :crazy: . Bist du in Software zu Hause? Wie bekomme ich die umbenannten Viren ganz weg?
Kann ich den Ordner in C:\ Download löschen?




File C:\WINDOWS\Downloaded Program Files\Q330995.exe infected by "TrojanDropper.Win32.Small.hx" Virus. Action Taken: File Deleted.

File C:\WINDOWS\iLookup\TTIL.exe infected by "not-a-virus:AdvWare.EZula.a" Virus. Action Taken: File Renamed.

File C:\WINDOWS\iGator\Trickler3103_PIC_fs_DMPT.exe infected by "not-a-virus:AdvWare.Gator" Virus. Action Taken: File Renamed.

File C:\WINDOWS\iGator\trickler3103_pic_fs_dmpt_3103.exe infected by "not-a-virus:AdvWare.Gator" Virus. Action Taken: File Renamed.

File C:\Recycled\Q330995.exe infected by "TrojanDropper.Win32.Small.hx" Virus. Action Taken: File Deleted.

File C:\Programme\filesubmit\FaithHillSetup2.zip\TBEZA127Q.exe infected by "not-a-virus:AdvWare.Toolbar.Quick.a" Virus. Action Taken: File Renamed.

File C:\Programme\filesubmit\FaithHillSetup2.zip\NNEZTA388.exe infected by "not-a-virus:AdvWare.NewDotNet" Virus. Action Taken: File Renamed.

File C:\Programme\QuickSearch\QuickSearchBar1_27.dll infected by "not-a-virus:AdvWare.Toolbar.Quick.a" Virus. Action Taken: File Renamed.

File C:\Programme\NewDotNet\newdotnet3_88.dll infected by "not-a-virus:AdvWare.NewDotNet" Virus. Action Taken: File Renamed.

Indem du sie manuell löscht.

Den Inhalt des Ordners kannst du bedenkenlos löschen.