Trojaner-Board - *verzweifelt bin*

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - *verzweifelt bin* (https://www.trojaner-board.de/9638-verzweifelt.html)

*verzweifelt bin*

ok hallo!
habe gleiches problem wie braindead_paul! er postete am 13.11.04 etwas.

bin den hinweißen mit dem desktop gefolgt. allerdings habe ich das mit dem escan net hingekriegt.
und bei mir schaut des ja sicha anders aus. also bitte bitte hilfe, danke!

*verzweifeltbin*

danke,lg steffi

Hallo gemilli,

erstelle bitte ein Hijack This Logfile und poste es mittels copy&paste: http://www.trojaner-board.de/51130-a...ijackthis.html.

SD

Logfile of HijackThis v1.98.2
Scan saved at 18:48:02, on 15.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\WINDOWS\System32\systime.exe
C:\Programme\Company\Quick Start Button\QSB.exe
C:\WINDOWS\System32\systime.exe
C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe
E:\Hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://find-on-the-net.com/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.1:3128
O1 - Hosts: 127.0.0.3 n-glx.s-redirect.com
O1 - Hosts: 127.0.0.3 x.full-tgp.net
O1 - Hosts: 127.0.0.3 counter.sexmaniack.com
O1 - Hosts: 127.0.0.3 autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.autoescrowpay.com
O1 - Hosts: 127.0.0.3 www.awmdabest.com
O1 - Hosts: 127.0.0.3 www.sexfiles.nu
O1 - Hosts: 127.0.0.3 awmdabest.com
O1 - Hosts: 127.0.0.3 sexfiles.nu
O1 - Hosts: 127.0.0.3 allforadult.com
O1 - Hosts: 127.0.0.3 www.allforadult.com
O1 - Hosts: 127.0.0.3 www.iframe.biz
O1 - Hosts: 127.0.0.3 iframe.biz
O1 - Hosts: 127.0.0.3 www.newiframe.biz
O1 - Hosts: 127.0.0.3 newiframe.biz
O1 - Hosts: 127.0.0.3 www.vesbiz.biz
O1 - Hosts: 127.0.0.3 vesbiz.biz
O1 - Hosts: 127.0.0.3 www.pizdato.biz
O1 - Hosts: 127.0.0.3 pizdato.biz
O1 - Hosts: 127.0.0.3 www.aaasexypics.com
O1 - Hosts: 127.0.0.3 aaasexypics.com
O1 - Hosts: 127.0.0.3 www.virgin-tgp.net
O1 - Hosts: 127.0.0.3 virgin-tgp.net
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: IE Search Toolbar Helper - {2C5175A2-ADF3-4F57-AB70-BA90FD60A383} - C:\Programme\IESearchToolbar\IESearchToolbar.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: IE Search Toolbar - {EB381422-F797-4A98-A266-9DC490821907} - C:\Programme\IESearchToolbar\IESearchToolbar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKCU\..\Run: [QSB] C:\Programme\Company\Quick Start Button\QSB.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe
O4 - HKCU\..\Run: [Rura] C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O10 - Broken Internet access because of LSP provider 'c:\windows\newdotnet3_36.dll' missing
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.windupdates.com
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://www.free32.com/POP.CHM::/sp.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1098017348117

habe auch gerade im abgesicherten modus das escan laufen, es dürfte bald fertig sein. bis jetzt hat es folgendes:

total viruses found: 16
total errors: 207

lg steffi

@ gemilli,

Zitat:

habe auch gerade im abgesicherten modus das escan laufen, es dürfte bald fertig sein. bis jetzt hat es folgendes:

total viruses found: 16

im abgesicherten Modus, aber Du bist online? Läuft der eScan auf einem 2. Rechner? Wenn der eScan läuft, sollen - ebenso wie beim fixen mit Hijack This, alle anderen Programme abgeschaltet und der Rechner offline sein.

Teile uns bitte auch die Namen der Viren mit (siehe mein letztes Posting).

Platform: Windows XP (WinNT 5.01.2600)/MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000) - Dein Betriebssystem und Dein IE sind nicht up to date, besuche www.windowsupdate.com.

Zunächst bitte im Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren.

Boote dann in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, und fixe dann mit Hijack This (Häk'chen setzen und auf Fix Checked klicken):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://213.159.117.134/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://find-on-the-net.com/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://213.159.117.134/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://213.159.117.134/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://213.159.117.134/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = h**p://213.159.117.134/index.php

O1 - Hosts: 127.0.0.3 n-glx.s-redirect.com
O1 - Hosts: 127.0.0.3 x.full-tgp.net
O1 - Hosts: 127.0.0.3 counter.sexmaniack.com
O1 - Hosts: 127.0.0.3 autoescrowpay.com
O1 - Hosts: 127.0.0.3 w*w.autoescrowpay.com
O1 - Hosts: 127.0.0.3 w*w.awmdabest.com
O1 - Hosts: 127.0.0.3 w*w.sexfiles.nu
O1 - Hosts: 127.0.0.3 awmdabest.com
O1 - Hosts: 127.0.0.3 sexfiles.nu
O1 - Hosts: 127.0.0.3 allforadult.com
O1 - Hosts: 127.0.0.3 w*w.allforadult.com
O1 - Hosts: 127.0.0.3 w*w.iframe.biz
O1 - Hosts: 127.0.0.3 iframe.biz
O1 - Hosts: 127.0.0.3 w*w.newiframe.biz
O1 - Hosts: 127.0.0.3 newiframe.biz
O1 - Hosts: 127.0.0.3 w*w.vesbiz.biz
O1 - Hosts: 127.0.0.3 vesbiz.biz
O1 - Hosts: 127.0.0.3 w*w.pizdato.biz
O1 - Hosts: 127.0.0.3 pizdato.biz
O1 - Hosts: 127.0.0.3 w*w.aaasexypics.com
O1 - Hosts: 127.0.0.3 aaasexypics.com
O1 - Hosts: 127.0.0.3 w*w.virgin-tgp.net
O1 - Hosts: 127.0.0.3 virgin-tgp.net

O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)

O2 - BHO: IE Search Toolbar Helper - {2C5175A2-ADF3-4F57-AB70-BA90FD60A383} - C:\Programme\IESearchToolbar\IESearchToolbar.dll

O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)

O3 - Toolbar: IE Search Toolbar - {EB381422-F797-4A98-A266-9DC490821907} - C:\Programme\IESearchToolbar\IESearchToolbar.dll

O4 - HKLM\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKCU\..\Run: [SysTime] C:\WINDOWS\System32\systime.exe

O10 - Broken Internet access because of LSP provider 'c:\windows\newdotnet3_36.dll' missing
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.windupdates.com
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!h**p://w*w.free32.com/POP.CHM::/sp.exe

boote in den normalen Modus.

beende:

P2P Networking.exe
systime.exe

lösche
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
C:\Programme\IESearchToolbar\IESearchToolbar.dll
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
C:\Programme\IESearchToolbar\IESearchToolbar.dll
C:\WINDOWS\System32\systime.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe

Aktiviere die Systemwiederherstellung.

Überprüfe mit virusscan.jotti.dhs.org:

C:\Programme\Company\Quick Start Button\QSB.exe
C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe

Ergebnis?

SD

ich bin über einen 2. rechner im internet, war also mit dem "virus-infizierten" computer im abgesicherten

modus:

escan ergab folgendes:
not a virus:
File C:\Programme\IESearchToolbar\IESearchToolbar.dll tagged as not-a-virus:AdWare.ToolBar.Perez.a. No

Action Taken.
File C:\DOKUME~1\MC\ANWEND~1\bcwo.exe tagged as not-a-virus:AdWare.PurityScan.w. No Action Taken.
File C:\WINDOWS\System32\tmp.exe tagged as not-a-virus:AdWare.ToolBar.Perez.a. No Action Taken.
File C:\Programme\%EXTRACT_DIR%\Save.exe tagged as not-a-virus:AdWare.SaveNow.ae. No Action

Taken.
File C:\Programme\%EXTRACT_DIR%\SaveUninst.exe tagged as not-a-virus:AdWare.SaveNow.af. No Action

Taken.
File C:\Programme\IESearchToolbar\IESearchToolbar.dll tagged as not-a-virus:AdWare.ToolBar.Perez.a. No

Action Taken.
File C:\Programme\MP3 Programm\setupcdripper.exe tagged as not-a-virus:AdWare.BargainBuddy.a. No

Action Taken.
File C:\Programme\MyWay\myBar\1.bin\NPMYWAY.DLL tagged as not-a-virus:AdWare.ToolBar.MyWay.f. No

Action Taken.
File C:\WINDOWS\system32\tmp.exe tagged as not-a-virus:AdWare.ToolBar.Perez.a. No Action Taken.
File C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe tagged as

not-a-virus:AdWare.PurityScan.w. No Action Taken.
File C:\Programme\CD to WAV and MP3 Ripper\MthreeTopText_ezStub.exe tagged as

not-a-virus:AdWare.EZula.p. No Action Taken.

File C:\WINDOWS\System32\systime.exe infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No

Action Taken.
File C:\WINDOWS\mstasks1.exe infected by "TrojanDownloader.Win32.Monurl.gen" Virus. Action Taken: No

Action Taken.
File C:\WINDOWS\mstasks2.exe infected by "Trojan.Win32.Favadd.c" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\toolbar.exe infected by "Trojan.Win32.LowZones.f" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\systime.exe infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No

Action Taken.
File C:\Programme\AVPersonal\INFECTED\sp.VIR infected by "Trojan.Win32.Spooner.a" Virus. Action Taken:

No Action Taken.
File C:\WINDOWS\Downloaded Program Files\load.exe infected by "TrojanDownloader.Win32.Small.yx" Virus.

Action Taken: No Action Taken.
File C:\WINDOWS\mstasks1.exe infected by "TrojanDownloader.Win32.Monurl.gen" Virus. Action Taken: No

Action Taken.
File C:\WINDOWS\mstasks2.exe infected by "Trojan.Win32.Favadd.c" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\drivers\etc\hosts infected by "Trojan.Win32.Qhost.k" Virus. Action Taken: No

Action Taken.
File C:\WINDOWS\system32\systime.exe infected by "Trojan.Win32.StartPage.pu" Virus. Action Taken: No

Action Taken.
File C:\WINDOWS\toolbar.exe infected by "Trojan.Win32.LowZones.f" Virus. Action Taken: No Action Taken.

habe ansonsten alles befolgt was du mir geschrieben hast.

allerdings funktioniert momentan das internet auf dem laptop nicht, daher kann ich diese virenprüfung noch nicht durchführen! obwohl es heute schon mal ging....aba es schaut soweit ganz gut auf dem laptop aus....

danke vielmals!!!!!!!!

muss ich jetzt noch was machen? außer dieser virenprüfung?

@ gemilli,

schön, dass wir nun wissen, welche Malware Du auf Deinem System hast. Ich nehme an, Du willst sie dort nicht lassen? Um sie also wieder vom System runterzukriegen, musst Du sie von Hand löschen:

Boote dann in den abgesicherten Modus, deaktiviere die Systemwiederherstellung, "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und in die Windows Suche übertragen -> löschen!" (Zitat Cidre) Wenn Du alle infizierten Dateien gelöscht hast, boote in den normalen Modus und aktiviere die Systemwiederherstellung.

Information zu den Trojanern, die sich auf Deinem System befinden, findest Du im Virusverzeichnis von Sophos, zum Beispiel für den Troj/Qhosts--> "Erläuterung". Du solltest dringend Dein Betriebssystem updaten, das heisst das aktuelle Service Pack runterladen und den IE aktualisieren. Dein System und Dein IE bieten Schwachstellen für Trojaner dieser Art.

Lade das Clear Prog runter, leere damit die Ordner TEMP, Temporary Internet Files, Cookies und den Verlauf.

- Vorbeugende Maßnahmen
- Entfernungs-Tools
- IE sicher konfigurieren und Browser-Sicherheit
- Einschränktes Benutzerkonto: www.ntsvcfg.de.
- www.mathematik.uni-marburg.de
- faq.underflow.de

Erstelle bitte ein neues Hijack This Logfile und poste es.

SD

vielen dank!

also es funktioniert denk ich alles wieder, zumindest zeigt er mir keine fehler an!

ein problem hab ich jetzt jedoch noch. ich kann das windows update sprich SP2 nicht downloaden weil das internet auf dem laptop nicht geht. allerdings ging es bevor ich den escan etc. durchführte und sachen löschte....kann es sein, dass ich was mitgelöscht habe, was fürs internet verantwortlich ist??

hier auf jeden fall mal der log:
Logfile of HijackThis v1.98.2
Scan saved at 16:35:03, on 16.11.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Company\Quick Start Button\QSB.exe
C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe
C:\Dokumente und Einstellungen\MC\Desktop\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.1:3128
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKCU\..\Run: [QSB] C:\Programme\Company\Quick Start Button\QSB.exe
O4 - HKCU\..\Run: [Rura] C:\Dokumente und Einstellungen\MC\Anwendungsdaten\bcwo.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O10 - Broken Internet access because of LSP provider 'c:\windows\newdotnet3_36.dll' missing
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1098017348117

danke nochmals für die hilfe!!!

Lade dir den LSP-Fix herunter
http://www.cexx.org/lspfix.htm

und repariere damit deine Internet Verbindung, dann dürfte es wieder gehen.

Aktiviere aber lieber die WinXP Firewall bevor du wieder ins internet gehst um dir die updates herunterzuladen, sonst haste gleich wieder besuch auf dem rechner.