Hallo
meine Schwester hat auf ihrem PC (WinXP SP2) einen Trojaner vom Smidfraud-Typ gefunden (spy.exe) und wollte ihn entsprechend der im Netz kursierenden Anleitungen und Programme (E-scan, Ad-aware, Spybot, Hijack) beseitigen, aber bevor sie soweit war, ging schon gar nix mehr, auch nicht im abgesicherten Modus. Wenn sie den Rechner hochfährt, dann erscheint nur ein Warnhinweis, dass Explorer.exe nicht gestartet werden kann, weil die wininit.dll nicht gefunden werden kann. Er schlägt eine Neuinstallation vor, aber er bootet noch nicht einmal richtig von der CD (im BIOS wurde es natürlich entsprechend umgestellt...), sondern zeigt wieder dieses Warnhinweis. Auch im abgesicherten Modus ist einzig der Task-Manager aufrufbar.

Was tun? Hilft nur Format c: ? Oder ist noch was zu retten?? So kann sie ja nicht einmal noch schnell was sichern...

Firewall und AntiVir hatte sie übrigens in der aktuellen Version, soweit ich weiss...

Danke für Eure Hilfe sagt biggi2000

ich hatte das auch mal =( ich habe den nicht runter gekriegt auch mein nachbar der richtig viel mit pc zu tun hat hat es net geschafft ich musste damals format c machen weil der mir alles kaputt gemacht hat

Hmmmmm, das klingt nicht gut.... aber danke erst einmal - ich werde es weitergeben...
biggi2000

is der desktop hintergrund blau?????und steht da was von ie explorer usw?? mein nachbar hat extra nachgeguggt wahrscheinlich kriegt er den weg!

Grrr.

Lade:
http://www.merijn.org/files/hijackthis.zip
=======
Entpacke in einen eigenen Ordner ==> Doppelklick auf: "Hijackthis.exe" ==> Haken setzen ==> [Noone of the above Just start the Programm] ==> Button [Scan] ==> Nach dem Scan [Save Logfile] Speichere es ==> Ein Editor öffnet sich: kopiere den Inhalt hierher ins Forum.

Hallo,
wenn ich meine Schwester richtig verstanden habe (ist gerade nicht zu erreichen) - geht auf ihrem PC gar nix mehr - also kein "lade" und "Entpacke in Ordner..." - im übrigen hatte sie ja Hijack runtergeladen, aber bevor sie dazu kam, irgendetwas damt zu machen, kam eben nur diese absolute Fehlermeldung, dass die Winitit.dll nicht gefunden werden kann....
Wie der desktop ausschaut, weiss ich nicht, muss ich erfragen.... ich meld mich dann, danke soweit!

So, der desktop IST blau und da steht was mit ie explorer!!!! Was nun???

Den Hijack kann sie starten (über den taskmanager), aber sie kommt ja nicht ins Internet um ihn zu posten (und sie sitzt am anderen Ende von Deutschland). Außerdem steht im Logfile nicht viel, sagt sie - sie hat ja noch gar nicht voll hochgefahren....
Andere Proggies gehen Nicht über den Taskmanager, jedesmal gleiche Fehlermeldung von der fehlenden wininet.dll...

WAS TUN???????
Sie faxt mir jetzt die logfile, soll ich die hier reintippen??
Was ist daran genau wissenswert?

So, hier kommt die Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 20:47:37, on 17.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\BearShare\BearShare.exe
C:\Programme\Anti-Blaxx 1.18\Anti-Blaxx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\PeerGuardian2\pg2.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Save\Save.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Flatrate Steckdose\flatrate.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\ArcorOnline\Arcor.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\PROGRA~1\ZIP\IZARC.EXE
C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\ARC6\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [Anti-Blaxx Manager] C:\Programme\Anti-Blaxx 1.18\Anti-Blaxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [PeerGuardian] C:\Programme\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [WhenUSave] "C:\Programme\Save\Save.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: FlatrateSteckdose.lnk = C:\Programme\Flatrate Steckdose\flatrate.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {DE60D5C8-47EA-4C55-8098-29B46808FA49} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {DE60D5C8-47EA-4C55-8098-29B46808FA49} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 4196776296
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 4196763437
O17 - HKLM\System\CCS\Services\Tcpip\..\{24BAB15B-9B68-432E-A26E-5D06126860D5}: NameServer = 195.50.140.252 195.50.140.114
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe



Sie hat gerade diesen Smitfraud-c-remover ausprobiert und schwups - der PC fuhr normal hoch (außer der desktop, der immer noch immer noch blau ist) - was nun? Alles Paletti oder was? Dürfen wir vor Freude an die Decke hüpfen oder müssen wir noch was nachschauen??
Danke sagt biggi2000

Ok, du hast noch WhenUSave drauf:

==============================

Hijack This Starten ==> Button: Noone of the above just start the programm ==> Button Scan ==> Die Checkbox vor folgenden Einträgen Aktiviren ==> Button Fix Checked ==> Neustart

O4 - HKCU\..\Run: [WhenUSave] "C:\Programme\Save\Save.exe"

==============================

Nach dem neustart löschst du:
C:\Programme\Save

Danach solltest du wieder sauber sein.

DANKE!!!!

Bittsehr!

Virustotal
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten --> kopiere das Ergebnis in das Sicherheitsforum
http://www.virustotal.com/flash/index_en.html


C:\WINDOWS\System32\PAStiSvc.exe

****************

oeffne das HijackThis-->> Button "scan" -->> Haekchen setzen -->> Button "Fix checked" -->> PC neustarten

O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {DE60D5C8-47EA-4C55-8098-29B46808FA49} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {DE60D5C8-47EA-4C55-8098-29B46808FA49} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)

***************
Deinstallieren und mit HJT fixen:

O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause

Clean P2P:
http://www.spywareinfo.com/articles/p2p/