Guten Tag liebe Boarduser.
Ich hab ein kleines Problem, was auch ziemlig groß sein könnte
Ich hatte mir einen Kleinen Wurm eingefanen, was mein Antivirus auch gemeldet hatte (BitDefender Antivirus), hab diesen Wurm auch gelöscht... doch als immer als ich mein Firefox startete, kam die Meldung das dieser Wurm aktiv wird, dh. es lies sich nicht löschen
Ich hab auch nach dem namen gegooglet und wurd fündig, allerdings hatte es sich festgestellt das es eine Mahlware oder so sein soll (ich hab kein blassen schimmer was das ist)
Dann dacht ich mir, ich geh in den abgesicherten modus von Windows, und lösch es einfach Manuell und meine ganzen Cookies, hatte ich auch gemacht... am ende shcien es wieder normal zu sein, doch jetzt sind irgentwelche Prozesse im hintergrund am laufen die viel an der CPU auslastung fressen ( ich hab ein 3.00GHZ CPU und nur WMPlayer verbraucht UNMÖGLICH 10% an der auslastung)
Doch das ist das kleinste Problem, manchmal wenn ich mein Rechner etwas mehr anforder zu arbeiten, hängt er total oder reagiert garnicht mehr
Mit BitDefender hab ich auch nochmal das komplette System überprüft und nichts gefunden...
Mit TuneUp alle fehler bereinigt und es ist immernoch so Problematisch, kann mir jemand was empfehlen?
Danke im vorraus

Hallo

arbeite dies ab!

Cleanup, wie hier beschrieben, anwenden und + PC neu starten
http://www.gipsy-computer.de/downloads/ ... /index.php

Danach mit HijackThis ein Logfile erstellen. Wie das geht, siehst du hier!
http://www.gipsy-computer.de/anleitunge ... /index.php

Gruß

Gipsy

Clean durchgeführt und Hjack hatt dies ausgespuckt


Logfile of HijackThis v1.99.1
Scan saved at 17:01:57, on 10.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\VIAudioi\HDADeck\HDeck.exe
C:\Programme\Softwin\BitDefender8\bdmcon.exe
C:\Programme\Softwin\BitDefender8\bdoesrv.exe
C:\Programme\Softwin\BitDefender8\bdnagent.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\A4Tech\Mouse\Amoumain.exe
C:\Programme\ProcessGuard\pgaccount.exe
C:\Programme\ProcessGuard\procguard.exe
C:\Programme\WhatPulse\WhatPulse.exe
C:\Programme\ProcessGuard\dcsuserprot.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender8\vsserv.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\qip\qip.exe
C:\Dokumente und Einstellungen\Behrad\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:4001
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {68952EC1-8FF1-4303-9111-2820935E80DB} - C:\WINDOWS\system32\axbltocm.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [HDAudDeck] C:\Programme\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [BDMCon] "C:\Programme\Softwin\BitDefender8\bdmcon.exe"
O4 - HKLM\..\Run: [BDOESRV] "C:\Programme\Softwin\BitDefender8\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\Programme\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WheelMouse] C:\Programme\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [!1_pgaccount] "C:\Programme\ProcessGuard\pgaccount.exe"
O4 - HKCU\..\Run: [!1_ProcessGuard_Startup] "C:\Programme\ProcessGuard\procguard.exe" -minimize
O4 - HKCU\..\Run: [WhatPulse] C:\Programme\WhatPulse\WhatPulse.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 5806230750
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 5806222281
O17 - HKLM\System\CCS\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
O17 - HKLM\System\CS1\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: DiamondCS Process Guard Service v3.000 (DCSPGSRV) - DiamondCS - C:\Programme\ProcessGuard\dcsuserprot.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender8\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen –Button "Fix checked" -- PC neu starten

C:\Programme\WhatPulse\WhatPulse.exe
O4 - HKCU\..\Run: [WhatPulse] C:\Programme\WhatPulse\WhatPulse.exe

Kennst du die IP

127.0.0.1:4001

O17 - HKLM\System\CCS\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82

O17 - HKLM\System\CS1\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82


Wenn nicht dann auch fixen

Deinstalliere und lösche:

C:\Programme\WhatPulse


Virustotal --> Datei immer einzeln überprüfen lassen
http://www.virustotal.com/en/indexf.html

Den Pfad hier abkopieren --> in das weiße, leere Feld einfügen --> send drücken --> danach das Ergebnis abwarten (kann mehrere Minuten dauern) --> dieses Ergebnis abkopieren und hier posten

C:\WINDOWS\system32\axbltocm.dll

Mache bitte einen PandaOnlineScan und poste den Scanreport (see Report --> save Report --> und hier posten).

http://virus-protect.org/onlinescan.html

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen –Button "Fix checked" -- PC neu starten

Welchen Button? ich hab nur die .exe Button von Hijak und damit komm ich ins Hijak
"New Users Quickstart" Menü, da ist auch kein Button was einfach nur "scan" heißt.

WhatPulse war eigentlich ein Programm, (siehe hier) was eigentlich auch harmlos sein müsste, hab ich trotzdem entfernt...
Zu der IP, "127.0.0.1:4001" war eigentlich eine einstellung vom Proxy meines Browsers, ebenfalls vom Browser entfernt...

O17 - HKLM\System\CCS\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82

O17 - HKLM\System\CS1\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
kenn ich allerdings nicht...


VirusTotal:
AhnLab-V3 2007.4.10.0 04.10.2007 no virus found
AntiVir 7.3.1.48 04.10.2007 ADSPY/Stud.D
Authentium 4.93.8 04.09.2007 no virus found
Avast 4.7.936.0 04.10.2007 Win32:Trojano-3384

Aditional Information
File size: 20816 bytes
MD5: db339ee4992868e46aa2f9f8684dc68d
SHA1: 63de245dd080805daff86461fd1d626478d49f41
packers: UPX
packers: UPX


Mit IExplorer geprüfter Panda Online Scan:


Incident Status Location

Adware:adware/savenow Not disinfected Windows Registry
Adware:adware/whenusearch Not disinfected Windows Registry
Spyware:Cookie/Atlas DMT Not disinfected C:\Dokumente und Einstellungen\Behrad\Cookies\behrad@atdmt[1].txt
Spyware:Cookie/Doubleclick Not disinfected C:\Dokumente und Einstellungen\Behrad\Cookies\behrad@doubleclick[2].txt
Hacktool:HackTool/NetCat.A Not disinfected C:\Dokumente und Einstellungen\Behrad\Desktop\Multi-Connector1.1\eip\nc.exe
Hacktool:HackTool/NetCat.A Not disinfected C:\Dokumente und Einstellungen\Behrad\Desktop\Multi-Connector1.1\fb\nc.exe

Deweiteren möchte ich hinzufügen das "Multi-Connector1" warscheinlich mein MultiTeamSpeak ist, womit ich mehrfach TeamSpeak öffnen kann, also müsste es auch harmlos sein...

Rizz hat geschrieben:

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen –Button "Fix checked" -- PC neu starten

Welchen Button? ich hab nur die .exe Button von Hijak und damit komm ich ins Hijak
"New Users Quickstart" Menü, da ist auch kein Button was einfach nur "scan" heißt.

Hier eine ausführliche Anleitung!

http://virus-protect.org/hjtkurz.html
____________________________________________________________________________________

Downloade CounterSpy
http://virus-protect.org/counterspy.html

und führe die aktuellen Updates durch. Danach einen vollständigen Scan machen. Am Ende alles auf remove stellen. Danach den Scanreport hier posten!
____________________________________________________________________________________

poste ein neues HijackThis Logfile!

Gruß

Gipsy

Counter Spy Ergebnisse:
WhenU.Save Adware (General) more information...
Details: WhenU.SaveNow is an adware application that displays pop-up advertising on the desktop in response to users' web browsing.
Status: Ignored

Files detected
C:\Programme\DAEMON Tools\SetupDTSB.exe

Hijak ergebnisse:
Logfile of HijackThis v1.99.1
Scan saved at 02:21:04, on 11.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ProcessGuard\dcsuserprot.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender8\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\VIAudioi\HDADeck\HDeck.exe
C:\Programme\Softwin\BitDefender8\bdmcon.exe
C:\Programme\Softwin\BitDefender8\bdoesrv.exe
C:\programme\softwin\bitdefender8\bdnagent.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\A4Tech\Mouse\Amoumain.exe
C:\Programme\ProcessGuard\pgaccount.exe
C:\Programme\Sunbelt Software\CounterSpy\SBCSTray.exe
C:\Programme\ProcessGuard\procguard.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Dokumente und Einstellungen\Behrad\Eigene Dateien\Teamspeak2_RC2\TeamSpeak.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\qip\qip.exe
C:\Dokumente und Einstellungen\Behrad\Desktop\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {68952EC1-8FF1-4303-9111-2820935E80DB} - C:\WINDOWS\system32\axbltocm.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [HDAudDeck] C:\Programme\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [BDMCon] "C:\Programme\Softwin\BitDefender8\bdmcon.exe"
O4 - HKLM\..\Run: [BDOESRV] "C:\Programme\Softwin\BitDefender8\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\Programme\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WheelMouse] C:\Programme\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [!1_pgaccount] "C:\Programme\ProcessGuard\pgaccount.exe"
O4 - HKLM\..\Run: [IP Changer 2.0] C:\Programme\Plustech Inc.\IP Changer 2.0\yourapp.Exe
O4 - HKLM\..\Run: [SBCSTray] C:\Programme\Sunbelt Software\CounterSpy\SBCSTray.exe
O4 - HKCU\..\Run: [!1_ProcessGuard_Startup] "C:\Programme\ProcessGuard\procguard.exe" -minimize
O4 - HKCU\..\Run: [WhatPulse] C:\Programme\WhatPulse\WhatPulse.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 5806230750
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 5806222281
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
O17 - HKLM\System\CS1\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: DiamondCS Process Guard Service v3.000 (DCSPGSRV) - DiamondCS - C:\Programme\ProcessGuard\dcsuserprot.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sunbelt CounterSpy Antispyware (SBCSSvc) - Sunbelt Software - C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender8\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

O17 - HKLM\System\CCS\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82
O17 - HKLM\System\CS1\Services\Tcpip\..\{23B4C079-74C5-4FE0-82A2-C6A2A724EE02}: NameServer = 213.191.74.11 213.191.92.82

Nach zweifach wiederholten Fixen + Neustart des Pcs Sind diese Meldungen wieder vorgekommen

Ich glaube die Adressen sind harmlos. Ich habe jetzt mal verschiedene Post durchgelesen und die Adresse wurde nie entfernt.

Ist jetzt wieder alles ok?

Jetzt funktioniert alles (fast) wie früher, aber ich kann mich nicht beschweren...

Außer mein System, es verbraucht jetzt ca. 5-15% an CPU auslastung

Hier sieht man Deutlich wieviel meine CPUs Artbeiten müssen, das nur wenn ich mein Windows Media Player anhab, bei 3 Gigaherz Leistung?

Ich bitte um antwort, ist das Normal!?

Ja das ist normal!

Ich haben einen mit 3,4 Ghz und der verbraucht beim Windows Media Player

5-10 % CPU Auslastung und 350 ASP!

Vielleicht haben noch andere Aussagen dazu?