Ich habe hier eien Logfile von HJT, da auf dem rechner anscheinend spyware ist, die ich einfach nicht loswerde.


Ih bekomme immer eine Meldung in der Taskleiste: "Your Computer is infected" wenn ich draufklicke, komme ich auf dei Seite von Spyware strike. Ich denke, dass es nicht wirklich seriös ist.


Was kann man hier machen?


Logfile of HijackThis v1.99.1
Scan saved at 16:36:42, on 31.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\mssearchnet.exe
D:\WINDOWS\system32\nvctrl.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
D:\Programme\Gemeinsame Dateien\Autodata Limited Shared\Service\ADCDLicSvc.exe
D:\Programme\AVPersonal\AVWUPSRV.EXE
D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\wuauclt.exe
D:\WINDOWS\system32\wuauclt.exe
D:\Programme\AVPersonal\AVGNT.EXE
D:\Programme\AVPersonal\AVGUARD.EXE
D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\kernel.exe
D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\sc_watch.exe
D:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
D:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
D:\PROGRAMME\T-ONLINE\T-ONLINE_SOFTWARE_6\BROWSER\BROWSER.EXE
D:\DOKUME~1\Ortlieb\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

O2 - BHO: HomepageBHO - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - D:\WINDOWS\system32\hp597A.tmp
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] D:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [ToADiMon.exe] D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EPSON Stylus CX3200] D:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P19 "EPSON Stylus CX3200" /O6 "USB001" /M "Stylus CX3200"
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\spacklsp.dll
O16 - DPF: {F0BC061F-DAF9-4533-8011-53BCB4C10307} (Installations Assistent) - http://install.serviceurl.de/InstallationsAssistent.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4719CB7-1D13-476C-83EA-ABE2BEFC83AA}: NameServer = 217.237.151.225 217.237.150.225
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Autodata Limited License Service - Unknown owner - D:\Programme\Gemeinsame Dateien\Autodata Limited Shared\Service\ADCDLicSvc.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: EpsonBidirectionalService - Unknown owner - D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: T-Online DSL-Manager (TODslService) - T-Systems International GmbH - D:\Programme\T-Online\DSL-Manager\TODslSvc.exe

Cleanup
Nutze Cleanup wie beschrieben:
http://www.virus-protect.org

Arbeite das hier ab ==> Poste alle 4 Logs der letzten 3 Monate:
http://virus-protect.org/datfindbat.html

Danke sehr.. Das ist bei einem bekannten. werde es dann Donnerstag alles abarbeiten..

datfindbericht:

Verzeichnis von D:\WINDOWS\system32

02.02.2006 16:37 5.036 ncompat.tlb
02.02.2006 16:36 5.120 msvol.tlb
02.02.2006 16:36 7.883 nvapps.xml
02.02.2006 16:35 10.239 hp63DA.tmp
02.02.2006 16:35 21.001 ld6205.tmp
02.02.2006 16:10 10.239 hp4C1F.tmp
02.02.2006 16:03 10.239 hp54F6.tmp
01.02.2006 22:35 15.360 nvctrl.exe
01.02.2006 22:35 9.196 mssearchnet.exe
01.02.2006 22:33 2.206 wpa.dbl
30.01.2006 12:04 220.040 FNTCACHE.DAT
28.01.2006 18:00 4.286 ot.ico
28.01.2006 18:00 4.286 ts.ico
28.01.2006 12:09 102.400 replmap.dll
28.01.2006 12:07 13.837 mscornet.exe
04.01.2006 19:46 2.836.320 MRT.exe
29.12.2005 03:54 280.064 gdi32.dll
01.12.2005 04:31 1.492.480 shdocvw.dll
24.11.2005 00:58 1.022.464 browseui.dll
24.11.2005 00:58 3.013.632 mshtml.dll
06.11.2005 13:50 1.425 HLDRV.LOG
06.11.2005 13:50 264.704 hlvdd.dll
05.11.2005 04:16 606.208 urlmon.dll
05.11.2005 04:16 1.056.256 danim.dll
01.11.2005 11:30 114.688 spacklsp.dll
30.10.2005 20:38 380.350 perfh009.dat
30.10.2005 20:38 52.764 perfc009.dat
30.10.2005 20:38 391.000 perfh007.dat
30.10.2005 20:38 63.580 perfc007.dat
30.10.2005 20:38 897.954 PerfStringBackup.INI
21.10.2005 09:41 27.101 NULL
21.10.2005 09:34 0 h323log.txt
21.10.2005 09:27 23.392 nscompat.tlb
21.10.2005 09:27 16.832 amcompat.tlb
21.10.2005 08:44 607 $winnt$.inf
21.10.2005 08:41 2.951 CONFIG.NT
21.10.2005 08:39 488 WindowsLogon.manifest
21.10.2005 08:39 488 logonui.exe.manifest
21.10.2005 08:39 749 nwc.cpl.manifest
21.10.2005 08:39 749 cdplayer.exe.manifest
21.10.2005 08:39 749 sapi.cpl.manifest
21.10.2005 08:39 749 wuaucpl.cpl.manifest
21.10.2005 08:39 749 ncpa.cpl.manifest
21.10.2005 08:37 21.740 emptyregdb.dat
21.10.2005 04:40 664.064 wininet.dll
21.10.2005 04:40 474.112 shlwapi.dll
21.10.2005 04:40 530.944 mstime.dll
21.10.2005 04:40 39.424 pngfilt.dll
21.10.2005 04:40 146.432 msrating.dll
21.10.2005 04:40 448.512 mshtmled.dll
21.10.2005 04:40 96.768 inseng.dll
21.10.2005 04:40 251.392 iepeers.dll
21.10.2005 04:40 205.312 dxtrans.dll
21.10.2005 04:40 152.064 cdfview.dll
21.10.2005 04:40 55.808 extmgr.dll
20.10.2005 23:25 1.094.144 esent.dll
17.10.2005 22:20 118.272 t2embed.dll
17.10.2005 22:20 80.896 fontsub.dll
13.10.2005 00:11 15.584 spmsg.dll
06.10.2005 04:08 1.839.616 win32k.sys
23.09.2005 04:06 8.491.520 shell32.dll
10.09.2005 02:54 2.067.968 cdosys.dll
01.09.2005 02:44 292.352 winsrv.dll
01.09.2005 02:44 19.968 linkinfo.dll


Nummer 2 (nach enter-drücken im Fenster)

Verzeichnis von D:\DOKUME~1\Ortlieb\LOKALE~1\Temp

02.02.2006 16:36 16.384 Perflib_Perfdata_7d0.dat
30.01.2006 20:13 125 3FCA41B8.TMP
2 Datei(en) 16.509 Bytes
0 Verzeichnis(se), 38.336.512.000 Bytes frei


Nummer 3:


Verzeichnis von D:\WINDOWS

02.02.2006 16:36 633 win.ini
02.02.2006 16:36 0 0.log
02.02.2006 16:36 2.091.135 WindowsUpdate.log
02.02.2006 16:36 50 wiaservc.log
02.02.2006 16:36 159 wiadebug.log
02.02.2006 16:35 2.048 bootstat.dat
02.02.2006 16:20 124.276 ntbtlog.txt
02.02.2006 16:19 32.626 SchedLgU.Txt
31.01.2006 17:07 227 system.ini
31.01.2006 16:05 963.200 setupapi.log
30.01.2006 11:48 1.374 imsins.log
30.01.2006 11:48 96.718 comsetup.log
30.01.2006 11:48 121.976 tsoc.log
30.01.2006 11:48 14.350 ocmsn.log
30.01.2006 11:48 313.574 iis6.log
30.01.2006 11:48 57.219 ntdtcsetup.log
30.01.2006 11:48 13.381 tabletoc.log
30.01.2006 11:48 16.370 KB896424.log
30.01.2006 11:48 45.536 netfxocm.log
30.01.2006 11:48 13.092 msgsocm.log
30.01.2006 11:48 18.356 MedCtrOC.log
30.01.2006 11:48 131.316 ocgen.log
30.01.2006 11:48 253.230 FaxSetup.log
30.01.2006 11:47 85.054 msmqinst.log
30.01.2006 11:47 1.374 imsins.BAK
30.01.2006 11:47 11.602 KB910437.log
30.01.2006 11:47 16.459 updspapi.log
30.01.2006 11:47 18.385 KB905915.log
30.01.2006 11:47 11.322 KB912919.log
30.01.2006 11:47 3.130 KB885884.log
30.01.2006 11:46 10.473 KB908519.log
29.01.2006 17:26 139 msicpl.ini
24.01.2006 22:39 47.566 wmsetup.log
18.01.2006 14:21 400 ODBC.INI
12.01.2006 21:17 3.119 DirectX.log
12.01.2006 21:13 276 game.ini
11.01.2006 22:15 69 NeroDigital.ini
26.12.2005 12:45 211 uno.ini
08.11.2005 14:25 339 CoDUO.INI
06.11.2005 13:31 137 ETOSP.INI
26.10.2005 19:35 28.776 KB899587.log
26.10.2005 19:35 27.893 KB896422.log
26.10.2005 19:35 27.703 KB885835.log
26.10.2005 19:35 26.578 KB885836.log
26.10.2005 19:35 27.394 KB885250.log
26.10.2005 19:35 27.586 KB901017.log
26.10.2005 19:34 27.912 KB899591.log
26.10.2005 19:34 28.094 KB893756.log
26.10.2005 19:34 25.488 KB896423.log
26.10.2005 19:34 25.629 KB873339.log
26.10.2005 19:34 25.695 KB888113.log
26.10.2005 19:34 26.238 KB887742.log
26.10.2005 19:34 25.637 KB887472.log
26.10.2005 19:34 27.025 KB896358.log
26.10.2005 19:34 25.736 KB891781.log
26.10.2005 19:34 32.210 KB902400.log
26.10.2005 19:33 22.851 KB890046.log
26.10.2005 19:33 20.755 KB896688.log
26.10.2005 19:33 19.644 KB893066.log
26.10.2005 19:33 19.735 KB899589.log
26.10.2005 19:33 20.055 KB905414.log
26.10.2005 19:33 19.364 KB901214.log
26.10.2005 19:33 17.815 KB888302.log
26.10.2005 19:33 19.778 KB900725.log
26.10.2005 19:33 12.160 KB886185.log
26.10.2005 19:32 17.338 KB904706.log
26.10.2005 19:32 17.639 KB905749.log
26.10.2005 19:32 16.431 KB896428.log
26.10.2005 19:32 17.114 KB894391.log
26.10.2005 19:32 17.255 KB890859.log
24.10.2005 22:40 6.369 KB893803v2.log
24.10.2005 22:40 7.001 KB898461.log
21.10.2005 11:14 316.640 WMSysPr9.prx
21.10.2005 10:25 745 CoD.INI
21.10.2005 10:11 9.228 EPSTPLOG.TXT
21.10.2005 10:10 11.544 EPSTPLOG.BAK
21.10.2005 09:37 1.456 COM+.log
21.10.2005 09:34 0 Sti_Trace.log
21.10.2005 09:31 1.310 regopt.log
21.10.2005 09:27 244 wmsetup10.log
21.10.2005 08:47 829 OEWABLog.txt
21.10.2005 08:47 803.742 setuplog.txt
21.10.2005 08:45 8.192 REGLOCS.OLD
21.10.2005 08:44 187.370 setupact.log
21.10.2005 08:44 630 setuperr.log
21.10.2005 08:41 0 control.ini
21.10.2005 08:40 4.161 ODBCINST.INI
21.10.2005 08:39 749 WindowsShell.Manifest
21.10.2005 08:38 1.023 sessmgr.setup.log
21.10.2005 08:37 36 vb.ini
21.10.2005 08:37 37 vbaddin.ini
21.10.2005 08:37 133 DtcInstall.log
21.10.2005 08:35 200 cmsetacl.log



Nummer 4:

Verzeichnis von D:\

02.02.2006 16:44 0 sys.txt
02.02.2006 16:42 6.902 system.txt
02.02.2006 16:42 350 systemtemp.txt
02.02.2006 16:39 99.345 system32.txt
02.02.2006 16:35 267.964.416 hiberfil.sys
02.02.2006 16:35 402.653.184 pagefile.sys
21.10.2005 09:41 565 TO_InstallLog.txt
7 Datei(en) 670.724.762 Bytes
0 Verzeichnis(se), 38.336.528.384 Bytes frei



So, das sind die 4 Logs.


Hoffe ihr könnt helfen..

Wie gehts weiter??

Übrigens.. das Problem ist ähnlich wie hier

http://www.informationsarchiv.net/foren ... ected.html

Jedoch verschwindet das rote Kreuz und das Pop-Up einfach nicht.

Es wird ständig ein Programm insatliert "Spyware Strike" und Das system spinnt öfters.

el Carlos:

Nikita oder Yourhighness kümmern sich darum. Heute abend

el karlos
arbeite es genau in dieser Reihenfolge wie angegeben ab und kopiere den scanreport vom etrust (onlinescanner)

http://virus-protect.org/artikel/bfu/spyaxebfu.html

Also, das Problem ist weg. Vielen Danke an alle Helfer.





Das kam bei dem etrustscan heraus:

Scan-Ergebnisse: 26013 Dateien wurden gescannt. 4 Viren wurden gefunden.

Datei Infektion Status Pfad
Online Security Guide.url Win32.Moisho infected D:\Dokumente und Einstellungen\All Users\Startmenü\
Security Troubleshooting.url Win32.Moisho infected D:\Dokumente und Einstellungen\All Users\Startmenü\
Dd1.url Win32.Moisho infected D:\RECYCLER\S-1-5-21-746137067-1532298954-725345543-1003\
Dd2.url Win32.Moisho infected D:\RECYCLER\S-1-5-21-746137067-1532298954-725345543-1003\

Ich konnte diese Dateien jedoch weder über den Explorer, noch mit Hilfe der Killbox finden. Auch der etrustscanner konnte sie nicht finden/löschen.



Falls ihrs braucht:

Das kam beim Scan von BFU raus:
BFU v1.00.9
Windows XP SP2 (WinNT 5.01.2600 SP2)
Script started at 16:23:35, on 04.02.2006

Option pause between commands: 100 ms
Failed: FileDelete D:\DOKUME~1\Ortlieb\LOKALE~1\Temp\~DF66ED.tmp (operation failed)
Failed: FileDelete D:\DOKUME~1\Ortlieb\LOKALE~1\Temp\~DFCC9E.tmp (operation failed)
Failed: FileDelete D:\DOKUME~1\Ortlieb\LOKALE~1\Temp\~DFFE59.tmp (operation failed)
Failed: FileDelete D:\DOKUME~1\Ortlieb\LOKALE~1\Temp\~WRF0000.tmp (operation failed)
Failed: FileDelete D:\WINDOWS\system32\replmap.dll (operation failed)
Warning: unknown command 'Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\SpywareStrike' on line #77
Failed: FolderDelete D:\Programme\SpyAxe (folder not found)
Failed: FolderDelete D:\Programme\SpywareStrike (folder not found)
Failed: FolderDelete D:\Programme\MalwareWipe (folder not found)
Failed: FolderDelete D:\Dokumente und Einstellungen\Ortlieb\Startmenü\Programme\SpyAxe (folder not found)
Failed: FolderDelete D:\Dokumente und Einstellungen\Ortlieb\Startmenü\Programme\MalwareWipe (folder not found)
Script completed.

Das kam beim cleanUp heraus:
CleanUp! started on 02/04/06 16:27:30.
D:\Dokumente und Einstellungen\Ortlieb\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat currently in use. Will be deleted when Windows is restarted.
D:\Dokumente und Einstellungen\Ortlieb\Lokale Einstellungen\Verlauf\History.IE5\index.dat currently in use. Will be deleted when Windows is restarted.
D:\Dokumente und Einstellungen\Ortlieb\Lokale Einstellungen\Verlauf\History.IE5\MSHist012006020420060205\index.dat - deleted
mal sehen was der nächste Neustart bringt.

Auch nach dem Neustart alles in Ordnung. Nochmal Danke

*replmap.dll
ueberpruefe, ob diese dll noch da ist,,,, wenn ja...loeschen

*leere den papierkorb

*
SmitRem2.8 --> http://noahdfear.geekstogo.com/click%20 ... k.php?id=1
öffne smitRem --> Doppelklick: RunThis.bat warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)

suche die txt-Datei und poste sie

*
http://virus-protect.org/zip/recyclerem.zip

recyclerem.bat doppeltklicken mit "Y" (oder "J") bestaetigen --> der PC wird neustarten

dann scane noch mal