Ich benötige dringende Hilfe zu diesem Thema; mein Virenschutzprogramm meldet eine Warnung, leider kann ich die gefundene Datei nicht löschen, weil man nicht auf dieses pop-up zugreifen kann. Ich füge das logfile ein;

vielen Dank im Voraus

Logfile of HijackThis v1.98.2
Scan saved at 17:15:05, on 16.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\VPN Client\cvpnd.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe
C:\program files\altnet\points manager\points manager.exe
C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
C:\PROGRA~2\Altnet\DOWNLO~1\asm.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\PROGRA~1\Cognos\COMMON~1\bin\WINLOG~1.EXE
C:\WINDOWS\explorer.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\g.limongiello\Desktop\hijackthis_198\HijackThis.exe

R3 - URLSearchHook: PerfectNavBHO Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL
O2 - BHO: NavErrRedir Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe"
O4 - HKLM\..\Run: [PDFConverterReminder] "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\Ereg\Ereg.exe" -r "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\Ereg\ereg.ini"
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [KAZAA] C:\Programme\Kazaa\kazaa.exe /SYSTRAY
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points manager\points manager.exe -s
O4 - HKLM\..\Run: [SearchUpgrader] C:\Programme\Common files\SearchUpgrader\SearchUpgrader.exe
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: Pharma Rechenzentrum GmbH VPN Client.lnk = C:\Programme\VPN Client\ipsecdialer.exe
O8 - Extra context menu item: LEO Englisch <-> Deutsch - C:\Programme\LEO-Ext-for-IE\DE_EN.htm
O8 - Extra context menu item: LEO Französisch <-> Deutsch - C:\Programme\LEO-Ext-for-IE\DE_FR.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: PDF in Word öffnen (PDF Converter 2.0) - res://C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /500
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D6DD3F8-B781-4C8F-86C3-F3CF485F341F}: NameServer = 212.185.253.136

Hallo@Giuseppe Limongiello

Oeffne das HijackThis-->> Button "scan" -->> Haekchen setzen -->> Button "Fix checked" -->> PC neustarten

R3 - URLSearchHook: PerfectNavBHO Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL
O2 - BHO: NavErrRedir Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL

O4 - HKLM\..\Run: [SearchUpgrader] C:\Programme\Common files\SearchUpgrader\SearchUpgrader.exe
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe

neustarten

Loesche:
<C:\Programme\Gemeinsame Dateien\GMT
<C:\Programme\Common files\SearchUpgrader
<C:\Programme\Gemeinsame Dateien\CMEII

#oeffne das HijackThis:
HijackThis starten, den Config Button klicken - MiscTools - "Delete a file on reboot" .
In dem Fenster bei Dateiname einfügen\reinkopieren:

C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL

wenn dann die Frage kommt, ob neugestartet werden soll (will be deleted by Windows when the system restarts....Do you want to restart your computer now?" )-->>klicke "Yes"

#oeffne das HijackThis:
HijackThis starten, den Config Button klicken - MiscTools - "Delete a file on reboot" .
In dem Fenster bei Dateiname einfügen\reinkopieren:

C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL

wenn dann die Frage kommt, ob neugestartet werden soll (will be deleted by Windows when the system restarts....Do you want to restart your computer now?" )-->>klicke "Yes"
........................................................................................................

Datentraegerbereinigung: und Löschen der Temporary-Dateien
<Start<Ausfuehren<cleanmgr
#Click:Temporäre Internet Files/Temporäre Internet Dateien, o.k.
#Click:Temporäre Dateien, o.k

#deinstalliere fuer 15 Tage deinen Virenscanner und lade.
#eScan-Trial
http://www.mwti.net/antivirus/escan/esc ... ivirus.asp (15-Tage- trial-Freeversion)
klicke auf: awn2k3e.exe

Dann poste das neue Log vom HijackThis...zur Ueberpruefung.

mfg
Nikita

Hallo Nikita,

möchte mich herzlich bei Dir bedanken; ich bin den gut verständlichen Anweisungen gefolgt und es scheint, dass ich den Agenten los geworden bin; zumindest erscheint die Warnung nicht mehr.

Hallo@Giuseppe Limongiello

Poste das neue log vom HijackThis.

mfg
Nikita

Hallo Nikita,
ich habe mich leider zu früh gefreut; kaum aus der Pause zurück, habe ich wieder dieselbe Warnung bekommen; ich füge Dir das highjack logfile:

Logfile of HijackThis v1.98.2
Scan saved at 13:44:53, on 17.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\VPN Client\cvpnd.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\Cognos\COMMON~1\bin\WINLOG~1.EXE
C:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Microsoft Office\OFFICE11\EXCEL.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\g.limongiello\Desktop\hijackthis_198\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe"
O4 - HKLM\..\Run: [PDFConverterReminder] "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\Ereg\Ereg.exe" -r "C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\Ereg\ereg.ini"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Pharma Rechenzentrum GmbH VPN Client.lnk = C:\Programme\VPN Client\ipsecdialer.exe
O8 - Extra context menu item: LEO Englisch <-> Deutsch - C:\Programme\LEO-Ext-for-IE\DE_EN.htm
O8 - Extra context menu item: LEO Französisch <-> Deutsch - C:\Programme\LEO-Ext-for-IE\DE_FR.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: PDF in Word öffnen (PDF Converter 2.0) - res://C:\Programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /500
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.pestscan.com/scanner/axscanner.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D6DD3F8-B781-4C8F-86C3-F3CF485F341F}: NameServer = 212.185.253.136

Hallo@Giuseppe Limongiello

Zu loeschen (manuell waere:)

<C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe

<C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
<C:\Programme\Gemeinsame Dateien\GMT\EGGCEngine.dll
<C:\Programme\Gemeinsame Dateien\GMT\egIEEngine.dll
<C:\Programme\Gemeinsame Dateien\GMT\EGIEProcess.dll
<C:\Programme\Gemeinsame Dateien\GMT\EGNSEngine.dll
<C:\Programme\Gemeinsame Dateien\GMT\GatorStubSetup.exe

<C:\Tools und Programme\Installer\DivXPro511
..................................................................................................................
belasse deinen Virenscanner und lade das Erkennungstool (loescht nicht)
<Das eScan AV Toolkit (mwav.exe) herunterladen, oeffnen, aber nicht scannen
http://www.mwti.net/antivirus/free_utilities.asp
*
danach die "kavupd.exe" (automatisches Update ueber DOS)
ausführen. (oder unter Start<Ausfuehren<%temp% die
"kavupd.exe" suchen) und anklicken.

<gehe in den abgesicherten Modus
http://www.tu-berlin.de/www/software/vi ... mode.shtml

und den Scanner mit der "mwav.exe" starten. Alle Häkchen setzen :
Auswählen: Memory, Startup-Folders, Registry, System Folders,
Services, Drive/All Local drives
<und "Scan " klicken.

<Öffne die mwav.log [oder: -->klick: "view Log" ] -> Bearbeiten -> Suchen ->
Wenn man infizierte Dateien in dem eScan Log finden will, sollte
man nach infected suchen und die Eintraege hier posten,

mfg
Nikita

Hallo Nikita,

ich habe keinen Ordner "GMT" auf meinem Rechner; habe aber dennoch eine Datei GMT.exe gefunden, allerdings im Ordner Windows entdeckt und dort gelöscht. Der Pfad C:\ Tools und Programme\Installer\DivXPro511 existiert allerdings auch nicht.

Soll ich mit dem weiteren Procedere fortfahren?

ja, du musst das Erkennungstool anwenden, da ich nicht vor deinem PC sitze und nachsehen kann.

mfg
Nikita

Guten Morgen,

hier sind die mit "infected" gekennzeichneten Dateien:

Tue Nov 16 18:39:31 2004 => File C:\DOKUME~1\G339C~1.LIM\LOKALE~1\TEMPOR~1\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[1].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.

16 18:39:31 2004 => File C:\DOKUME~1\G339C~1.LIM\LOKALE~1\TEMPOR~1\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[2].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken
Tue Nov 16 19:29:46 2004 => File C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[1].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.

Tue Nov 16 19:29:46 2004 => File C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[2].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.
Tue Nov 16 20:11:06 2004 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Tue Nov 16 20:11:06 2004 => Scanning File C:\Programme\AVPersonal\INFECTED\CBPPAPBNE.EXE.VIR
Wed Nov 17 08:59:59 2004 => File C:\WINDOWS\browserxtras\pn\remove.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.
Wed Nov 17 09:22:15 2004 => Total Disinfected Files: 0
Wed Nov 17 16:55:48 2004 => File C:\DOKUME~1\G339C~1.LIM\LOKALE~1\Temp\perfectnavUninstall.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.
Wed Nov 17 16:59:01 2004 => File C:\DOKUME~1\G339C~1.LIM\LOKALE~1\TEMPOR~1\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[1].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.
Wed Nov 17 16:59:01 2004 => File C:\DOKUME~1\G339C~1.LIM\LOKALE~1\TEMPOR~1\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[2].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.
Wed Nov 17 17:12:12 2004 => File C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temp\perfectnavUninstall.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.
Wed Nov 17 17:13:38 2004 => File C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[1].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.
Wed Nov 17 17:13:38 2004 => File C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EZ67QLEN\reisen_scr_motionAD_ok[1].js infected by "TrojanDownloader.JS.Psyme.o" Virus. Action Taken: No Action Taken.
Wed Nov 17 17:29:09 2004 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*
Wed Nov 17 17:29:09 2004 => Scanning File C:\Programme\AVPersonal\INFECTED\CBPPAPBNE.EXE.VIR
Wed Nov 17 18:11:17 2004 => File C:\System Volume Information\_restore{6A3075E7-0D4C-4FF1-918D-30292285EF8C}\RP245\A0039964.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.
Wed Nov 17 18:11:17 2004 => File C:\System Volume Information\_restore{6A3075E7-0D4C-4FF1-918D-30292285EF8C}\RP245\A0039965.exe infected by "TrojanDownloader.Win32.Keenval.f" Virus. Action Taken: No Action Taken.
Wed Nov 17 18:57:58 2004 => Total Disinfected Files: 0


grüsse

Hallo@Giuseppe Limongiello

1. Schritt:
Deaktivieren Wiederherstellung
«XP
http://service1.symantec.com/SUPPORT/IN ... 7105707924

2. Schritt:

Datentraegerbereinigung: und Löschen der Temporary-Dateien
<Start<Ausfuehren<cleanmgr
#Click:Temporäre Internet Files/Temporäre Internet Dateien, o.k.
#Click:Temporäre Dateien, o.k

3. Schritt:
#Windows Explorer -> "Extras/Ordneroptionen" ->
"Ansicht" -> Haken entfernen bei "Geschützte Systemdateien
ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen"
aktivieren -> "OK"

Suchfunktion von Windows:
1. "Bevorzugte Einstellungen ändern | Datei- und Ordnersuchverhalten
ändern | Erweitert [...] Empfohlen für fortgeschrittene Benutzer"
2. Über "OK" auf "Weitere Optionen" gehen und die folgenden Optionen
auswählen:
[x] Systemordner durchsuchen
[x] Versteckte Elemente durchsuchen
[x] Unterordner durchsuchen

Suche und loesche:
<C:\WINDOWS\browserxtras\pn\remove.exe
<C:\Dokumente und Einstellungen\g.limongiello\Lokale Einstellungen\Temp\perfectnavUninstall.exe

dann scanne noch mal mit eScan und berichte.

mfg
Nikita