Danke

Hi Todymelody,

klinke mich kurz in Deinem Thread mit ein ...

Hallo Ihr,

habe ein "MRU-List"-Prob (was auch immer das sein mag) und bin ein absoluter Dumm-User. Krieg ich das wieder weg???
Gestern war mein Startmenü und Desktop weg - ich konnte nur über den Task-Manager auf die Daten zugreifen - scheint aber ansonsten alles erst einmal wieder zu laufen.


Ad-Aware:

ArchiveData(MRU List.bckp)
Referencefile : SE1R38 11.04.2005
======================================================

MRU LIST
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[0]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\runmru
obj[1]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\comdlg32\opensavemru\*
obj[2]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\comdlg32\opensavemru\EXE
obj[3]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\comdlg32\opensavemru\lnk
obj[4]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\comdlg32\opensavemru\reg
obj[6]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\explorer\comdlg32\lastvisitedmru
obj[7]=MRU RegReference : software\microsoft\directdraw\mostrecentapplication name
obj[8]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\microsoft management console\recent file list
obj[9]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\internet explorer\typedurls
obj[10]=MRU RegReference : S-1-5-21-602162358-1935655697-854245398-1000\software\microsoft\windows\currentversion\applets\regedit lastkey


Hijackthis sagt:

Logfile of HijackThis v1.99.1
Scan saved at 09:22:28, on 12.04.2005
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\regsvc.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\Explorer.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\internat.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\jkuk\LOKALE~1\Temp\RarExe0o.v00\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O12 - Plugin for .: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe

Könnt Ihr damit etwas anfangen??? Für Hilfe jeglicher Art wäre ich dankbar aber bitte nicht schimpfen ... bin schon verzweifelt genug ...

LG, Oerchen

Okay, Danke für die Hilfe!

Hallo@todymelody

Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Versteckte Dateien und Ordner-> "alle Dateien und Ordner anzeigen" aktivieren
+
Im Windows-Explorer->Extras->Ordneroptionen->den Reiter "Ansicht"->Dateien und Ordner-> "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren

Deaktivieren Wiederherstellung
«XP
Arbeitsplatz-->rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(nach der Reinigung aktiviere sie wieder)

Gehe in die registry

Start<Ausfuehren--> regedit

mit rechtsklick loeschen:

HKEY_USERS\S-1-5-18\Software\LQ
HKEY_USERS\.DEFAULT\Software\LQ

HKCU\Software\LQ
HKLM\Software\ohbbackup
HKLM\Software\Elitum

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=userinit.exe,userinit32.exe
O2 - BHO: (no name) - {ED103D9F-3070-4580-AB1E-E5C179C1AE41} - (no file)
O4 - HKLM\..\Run: [etbrun] C:\windows\system32\eliteclr32.exe
O8 - Extra context menu item: Shorten URL - http://www.cjb.net/menuext.html
O9 - Extra button: Search - {00000000-0000-0000-0000-000000000000} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: Search - {0DB86BD3-CC1E-4908-9920-FB50C33E0BD1} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O13 - WWW. Prefix: http://
O15 - Trusted Zone: *.awmdabest.com
O15 - Trusted Zone: *.awmdabest.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/62479 ... e-c337.cab
O16 - DPF: {9E98E84C-79E1-49C3-82EB-798FCD552EFB} - http://advnt01.com/dialer/internazionale_ver4.CAB
O16 - DPF: {AD0B8220-7DA4-4C0A-8532-B25A9F631D3D} (VacPro.internazionale_ver10) - http://advnt01.com/dialer/internazionale_ver10.CAB
O16 - DPF: {D909E944-3A96-4280-9983-9D00001973A4} (Access Control) - http://www.eingang69.de/EroticAccess/ex ... pecial.ocx
O16 - DPF: {FFCEABDA-C04E-7F4A-E9B6-DFA72B2F49FB} - http://213.200.210.10/dl/101/DE648_1020.exe

PC neustarten

•KillBox
http://www.bleepingcomputer.com/files/killbox.php

•Delete File on Reboot <--anhaken

und klick auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\userinit32.exe
C:\WINDOWS\protector_update.exe
C:\WINDOWS\Downloaded Program Files\access_special.ocx
C:\WINDOWS\Downloaded Program Files\internazionale_ver10.ocx
C:\WINDOWS\Downloaded Program Files\internazionale_ver4.ocx
C:\WINDOWS\System32\shdocvw.dll
C:\windows\system32\eliteclr32.exe

PC neustarten

C:\WINDOWS\SYSTEM\elite.... --> alle *exe und *dat und *dll , die mit elite... beginnen ,suchen und loeschen

C:\WINDOWS\TEMP\<---ALLES LOESCHEN IN DIESEM ORDNER !!!!!

C:\Windows\Downloaded Programm Files\ -->alles löschen

C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\<--alles loeschen (lasse nur die index.dat)

C:\WINDOWS\EliteToolBar<--loeschen
C:\WINDOWS\EliteSideBar<--loeschen


•Antivirus (free)
http://www.free-av.de/

Nach dem Installationsscan (in Ruehe abwarten und alles Bestaetigen waehrend der Installation:
Optionen--> Konfiguration-->Heuristik-->win32 Datei-heuristik--> aktivieren--> auf Mittel stellen

[X] Speicher
[X] Bootsektor Suchlaufwerke
[ ] Unbekannte Bootsektoren melden
[X] Alle Dateien
[ ] Programmdateien

Gehe in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt) und mache einen Komplettscann mit dem Antivirus

Dann poste mir den Report vom Scann+ das neue Log vom HijackTHis

----------------------------------------------------------------------------------------------------

INFO:

* Creates file C:\windows\system\elitenun32.exe.
* Creates directory C:\WINDOWS\EliteToolBar.
* Creates file C:\WINDOWS\TEMP\tmp9099.tmp.
* Creates file C:\WINDOWS\SYSTEM\eliteerror32.dat.
[ Changes to registry ]
* Creates key "HKCU\Software\LQ".
* Creates key "HKLM\Software\ohbbackup".
* Creates key "HKLM\Software\Elitum".
* Sets value "AD"="0" in key "HKCU\Software\LQ".
* Sets value "AC"="0" in key "HKCU\Software\LQ".
* Sets value "U"="0" in key "HKCU\Software\LQ".
* Sets value "I"="{000000-0000-000000" in key "HKCU\Software\LQ".
* Sets value "TM"="10" in key "HKCU\Software\LQ".
* Creates value "antiware"="c:\windows\system\elitenun32.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".
[ Network services ]
* Looks for an Internet connection.
* Downloads file from *http://update32.searchmiracle.com/update.php?0&c=L&os=XP&init=1&id={000000-0000-000000&v=3.2&country=&state=&city=* as C:\WINDOWS\TEMP\tmp9099.tmp.
[ Process/window information ]
* Creates a mutex l4ajgfGb.
* Enumerates running processes.
* Enumerates running processes several parses....
* Modifies other process memory.
* Creates a remote thread.
* Will automatically restart after boot (I'll be back...). (1.56 seconds taken)

Hallo@Oerchen

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

PC neustarten

#ClaerProg..lade die neuste Version <1.4.1
http://www.clearprog.de/downloads.php
<und saeubere den Browser.
Das Programm löscht die Surfspuren des Internet Explorers ab Version 5.0, des Netscape/Mozilla und des Opera:
- Cookies
- Verlauf
- Temporäre Internetfiles (Cache)

CWShredder
http://www.intermute.com/spysubtract/cw ... nload.html
* Double-click on CWShredder.exe.
* Click "Fix ->" and click "OK" at the prompt.

#Ad-aware SE Personal 1.05 Updated
http://fileforum.betanews.com/detail/965718306/1
Laden--> Updaten-->scannen-->PC neustarten--> noch mal scannen

#neue Startseite
gehe zur Systemsteuerung --> Internetoptionen --> auf dem Reiter Allgemein bei Temporäre Internetdateien klickst du Dateien löschen --> auch bei Alle Offlineinhalte löschen das Häkchen setzen und mit OK bestätigen --> Auf den Reiter Programme gehen und dort auf Webeinstellungen zurücksetzen klicken, mit Ja bestätigen, fall Nachfrage kommt --> auf Übernehmen und abschließend auf OK klicken und stelle eine neue Startseite ein


•Antivirus (free)
http://www.free-av.de/

Nach dem Installationsscan (in Ruehe abwarten und alles Bestaetigen waehrend der Installation:
Optionen--> Konfiguration-->Heuristik-->win32 Datei-heuristik--> aktivieren--> auf Mittel stellen

[X] Speicher
[X] Bootsektor Suchlaufwerke
[ ] Unbekannte Bootsektoren melden
[X] Alle Dateien
[ ] Programmdateien

Gehe in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt) und mache einen Komplettscann mit dem Antivirus

Dann poste mir den Report vom Scann+ das neue Log vom HijackTHis

----------------------------------------------------------------------------------------------------

Danke

Hallo@todymelody

Der Antivirus hat ganze Arbeit geleistet

•eScan-Erkennungstool
eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich:
http://www.mwti.net/antivirus/free_utilities.asp
oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche
kavupd.exe, die klickst du an--> (Update- in DOS) ausführen

-->mwav.exe oeffnen-->alle Haekchen setzen-->scannen-->View Log anklicken--> Bearbeiten anklicken--> "infected" reinschreiben
und nun alles rauskopieren, was angezeigt wird-->