Hi,

ist es nicht zum kotzen? Da macht man eine Windowsneuinstallation, und während man auf das Internetupdate wartet hate man 50 neue Viren drauf, von denen AVGuard leider nur 2 findet.

Hie mein Log, ich bin für jede Hilfe dankbar:

Logfile of HijackThis v1.97.7
Scan saved at 17:07:36, on 21.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\wuosdial.exe
C:\WINDOWS\System32\ms32cfg.exe
C:\WINDOWS\System32\winupdate32.exe
C:\WINDOWS\System32\Linux.exe
C:\WINDOWS\System32\kern-mxe.exe
C:\WINDOWS\System32\ms32cfg.exe
C:\WINDOWS\System32\devldr32.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\taskmgr.exe
E:\Eigene Dateien\Setup2\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.garfield.com/comics/comics_todays.html
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] Linux.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [wuosdial] wuosdial.exe
O4 - HKLM\..\Run: [Microsoft Features] ms32cfg.exe
O4 - HKLM\..\Run: [WindowsRegKey update] winupdate32.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\RunServices: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] Linux.exe
O4 - HKLM\..\RunServices: [wuosdial] wuosdial.exe
O4 - HKLM\..\RunServices: [Microsoft Features] ms32cfg.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winupdate32.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] Linux.exe
O4 - HKCU\..\Run: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKCU\..\Run: [wuosdial] wuosdial.exe
O4 - HKCU\..\Run: [Microsoft Features] ms32cfg.exe
O4 - HKCU\..\Run: [WindowsRegKey update] winupdate32.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3093914611
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60
O17 - HKLM\System\CS1\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60

Gruß
TK-949

Hallo @TK-949

Deaktiviere die Wiederherstellung
http://service1.symantec.com/SUPPORT/IN ... 7105707924

fixe

O4 - HKLM\..\Run: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKLM\..\Run: [Microsoft Update Machine] Linux.exe
O4 - HKLM\..\Run: [wuosdial] wuosdial.exe
O4 - HKLM\..\Run: [Microsoft Features] ms32cfg.exe
O4 - HKLM\..\Run: [WindowsRegKey update] winupdate32.exe
O4 - HKLM\..\RunServices: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKLM\..\RunServices: [Microsoft Update Machine] Linux.exe
O4 - HKLM\..\RunServices: [wuosdial] wuosdial.exe
O4 - HKLM\..\RunServices: [Microsoft Features] ms32cfg.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winupdate32.exe
O4 - HKCU\..\Run: [Microsoft Update Machine] Linux.exe
O4 - HKCU\..\Run: [Microsoft Update Emulator] kern-mxe.exe
O4 - HKCU\..\Run: [wuosdial] wuosdial.exe
O4 - HKCU\..\Run: [Microsoft Features] ms32cfg.exe
O4 - HKCU\..\Run: [WindowsRegKey update] winupdate32.exe

neustarten


http://www.kaspersky.com/remoteviruschk.html
Ueberpruefe das bitte mit Kaspersky, damit ich die Namen der Wuermer kenne
C:\WINDOWS\System32\wuosdial.exe
C:\WINDOWS\System32\ms32cfg.exe
C:\WINDOWS\System32\winupdate32.exe
C:\WINDOWS\System32\Linux.exe
C:\WINDOWS\System32\kern-mxe.exe
C:\WINDOWS\System32\ms32cfg.exe

Dann lade
#Lade eScan (entpacke in C:\ base )
http://www.mwti.net/antivirus/free_utilities.asp
Nun suchst du eine "kavupd.exe" und anklicken.
<Es oeffnet sich ein DOS-Fenster und es wird ein Update ausgeführt(dauert ein bisschen)

Gehe in den abgesicherten Modus
http://www.bsi.de/av/texte/winsave.htm
#dort ::suche eine "mwav.exe und starte so den< eScan<. Alle Häkchen setzen und "Clean-Scan" klicken.
...................................................................................................

#Dann poste bitte, was der <eScan< gefunden hat.....am Besten , du machst noch mal einen Scann im Normal modus

UND KOPIERE AUS DEM VIEWER ALLES <INFIZIERTE< ab, also <no action taken< oder <deleted<

#Loesche unter <Internetoptionen< die TemporaryInternetfiles

(Poste das Virenlog von eScan und und das Log vom HijackThis und die Infos von Kaspersky

Nikita

So, das hat kaspersky ausgeworfen:

wuosdial.exe - infected by Backdoor.Rbot.gen
ms32cfg.exe - infected by Backdoor.Rbot.gen
winupdate32.exe - OK
Linux.exe - infected by Backdoor.Rbot.gen
kern-mxe.exe - infected by Backdoor.SdBot.ma

Das kam bei escan im abgesicherten modus raus:

Sun Aug 22 06:38:28 2004 => File C:\WINDOWS\System32\wdnupdate.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:37 2004 => File C:\WINDOWS\System32\kern-mxe.exe infected by "Backdoor.SdBot.ma" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:38 2004 => File C:\WINDOWS\System32\ms32cfg.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:41 2004 => File C:\WINDOWS\System32\wuosdial.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:42 2004 => File C:\WINDOWS\System32\Linux.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:42 2004 => File C:\WINDOWS\System32\winsys.exe infected by "Backdoor.Rbot.d" Virus. Action Taken: File Renamed.
Sun Aug 22 06:38:42 2004 => File C:\WINDOWS\System32\MSlti32.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
Sun Aug 22 06:43:35 2004 => File C:\Programme\AVPersonal\INFECTED\PDSched.VIR infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.

Im normalmodus war dann nichts mehr, nachdem ich die letzte Datei aus dem INFECTED Ordner gelöscht habe.

Num mein aktuelles HijackThisLog:

Logfile of HijackThis v1.97.7
Scan saved at 06:58:07, on 22.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\winupdate32.exe
C:\WINDOWS\System32\devldr32.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Kitston Traplis\Lokale Einstellungen\Temp\mwavscan.com
C:\Dokumente und Einstellungen\Kitston Traplis\Lokale Einstellungen\Temp\kavss.exe
C:\WINDOWS\system32\notepad.exe
E:\Eigene Dateien\Setup2\Desktop\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.garfield.com/comics/comics_todays.html
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Hilfsprogramme\Acrobat Reader\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [WindowsRegKey update] winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winupdate32.exe
O4 - HKCU\..\Run: [WindowsRegKey update] winupdate32.exe
O4 - Global Startup: Sygate Personal Firewall.lnk = C:\Programme\Sygate\SPF\Smc.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3093914611
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60
O17 - HKLM\System\CS1\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60

Ich hoffe mal, dass jetzt alles in Ordnung ist, und auch bleibt.

@TK-949
Nichts ist in Ordnung
Der Kaspersky hat einen
nicht erkannt<W32/SdBot-BM<
http://www.sophos.com/virusinfo/analyse ... botbm.html

#Deaktiviere die Wiederherstellung

Fixe
O4 - HKLM\..\Run: [WindowsRegKey update] winupdate32.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winupdate32.exe
O4 - HKCU\..\Run: [WindowsRegKey update] winupdate32.exe

neustarten

Start<Ausfuehren<regedit
loesche, wenn es existiert
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Security Patch = WinUpdate32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Security Patch = WinUpdate32.exe

Each user has a registry area named HKEY_USERS\[code number indicating user]\. For each user locate the entry:

HKU\[code number]\Software\Microsoft\Windows\
CurrentVersion\Run\Security Patch = WinUpdate32.exe

loesche , wenn es existiert

neustarten

#Loesche:
C:\WINDOWS\System32\winupdate32.exe

#Noch mal mit Antivrus (<alle Dateien, Heuristik:hoch) scannen

UND POSTE DAS lOG NOCH MAL.
Nikita

Logfile of HijackThis v1.97.7
Scan saved at 15:09:24, on 22.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Internet Explorer\iexplore.exe
E:\Eigene Dateien\Setup2\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.garfield.com/comics/comics_todays.html
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Hilfsprogramme\Acrobat Reader\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - Global Startup: Sygate Personal Firewall.lnk = C:\Programme\Sygate\SPF\Smc.exe
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3093914611
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60
O17 - HKLM\System\CS1\Services\Tcpip\..\{0E736C48-631A-47C6-ACEA-052917226AD4}: NameServer = 81.173.194.68 194.8.194.60

Jetzt aber...

...ist alles sauber..
Gruss
Nikita

Danke