AntiVir deinstallieren trotz Dateien in "infected"

[sunshine_11]

Hallo,

ich wollte heute AntiVir auf den aktuellsten Stand bringen und mal wieder das Internet-Update durchführen. Es wurde dann folgende Nachricht angezeigt:

"Ein Versionskonflikt oder eine abgelaufene Lizenzdatei liegt vor. Ein Download der kompletten Installationsdatei ist deshalb nötig."

Also habe ich auf "ja" geklickt und wollte dann das Setup durchführen. Dort wurde dann jedoch eine Nachricht gebracht, dass das Setup nicht durchgeführt werden kann, weil AntiVir gerade noch anderweitig beschäftigt ist. Als ich das Setup dann abgebrochen habe, wurde erneut das Fenster mit dem "AntiVir Internet Updater" gestartet...es hat sich also im Kreis gedreht.

Dann dachte ich mir, ich deinstalliere AntiVir und installiere die neueste Version von der Homepage. Als ich "uninstall" geklickt habe, kam die Nachricht:

"UNSETUP für AntiVir/Me löscht AntiVir von Ihrer Festplatte. Das gesamte Installationsverzeichnis wird dabei gelöscht. (C:\PROGRAMME\AVPERSONAL\)
Auch Logfiles und infizierte Dateien gehen dabei verloren.
Wenn Sie danach AntiVir neu installieren möchten, müssen Sie Administratorrechte besitzen.
Sind Sie sicher, daß Sie AntiVir löschen wollen?"

Habe dann erstmal abgebrochen und geschaut, ob sich in "infected" Dateien befinden...und da stehen wirklich noch 3 Dateien drin:
#INDEX#
1C4B0FB6.2D1
7AC6B36F.326

Jetzt macht mir natürlich diese Index-Datei Angst. Die kann ich doch nicht einfach löschen, oder?
Ich bin ein absoluter Laie, wenn es um solche Sachen geht und bin total verunsichert, was ich löschen kann und was nicht. Außerdem kommen diese infizierten Dateien wohl noch von einem Virus namens spy.kstaff.5, den ich mir letztes Jahr im Dezember eingefangen habe (denk ich zumindest, weil im Log kein anderer Virus drin steht).

Ja, und dann gibts da noch eine Datei unter C, die "TP~61B1.TMP" heißt, keine Ahnung inwieweit die damit etwas zu tun hat...aber ich getrau mich auch nicht die zu löschen, weil ich auch nicht weiß, wo die herkommt (und öffnen getrau ich mir sie erst Recht nicht.)

Könnt ihr mir bitte sagen, wie ich weiter handeln soll? Kann ich AntiVir bedenkenlos löschen oder kann es sein, dass dann gar nichts mehr geht? (Hab ich Administratorrechte?)

P.S.: Ach ja, ich geh über ein Netzwerk ins Internet und hab gestern mein Passwort geändert...keine Ahnung ob das von Bedeutung ist. Alles andere ging aber noch normal.
Weitere Änderungen habe ich nicht vorgenommen und auch nichts de- oder installiert.

[Holy Marcell]

gut lösche erst mal deinen Temp-Bereich:

Start ==> Ausführen ==> "explorer.exe %tmp%" eingeben und in dem neuen Ordner bedenkenlos alles löschen.


Start ==> Ausführen ==> "explorer.exe %temp%"
Hierfür dasselbe.

==============================

Lösche die infected Dateien (auch die "#index#") dann probier mal den Internetupdater zu starten.

=============================

ansonsten Lädst du dir den neuen Antivir setup herunter, gehst aus dem Inet und deinstallierst Antivir (und wieder neumachen)

=============================

Dann machst du das hier:

Damit dir geholfen werden kann, brauchen wir zunächst mal ein HijackThis-log.

1. erstelle einen Ordner Hijack This irgendwo auf deiner Festplatte (HijackThis muß nicht installiert werden, aber es braucht einen eigenen Ordner, damit es Backups erstellen kann)
2. lad dir HijackThis z.B. hier runter -->
   http://www.downloads.subratam.org/hijackthis.zip
3. speicher die Hijack This.zip, und entpacke sie anschließend in deinen HijackThis-Ordner
4. führe das Programm aus, (einfach Doppelklick auf die EXE),
5. drücke Do a system scan and save a logfile
6. speicher das logfile
7. das gespeicherte logfile öffnet sich automatisch im Text-Editor , markiere alles (mit „Bearbeiten --> alles markieren“ oder über „Strg + A“), und kopiere es (mit „Rechtsklick --> Kopieren“ oder über "Strg + C")
8. schreibe eine Antwort in deinem eigenen Beitrag (klick „post reply“) und füge das komplette logfile in deine Antwort ein (mit „Rechtsklick --> Einfügen“ oder über „Strg + V“), dann können die Experten dir sagen, was Sache ist.

oder lies dir die Anleitung hier mal durch -->
http://yourhighness.eddys-domain.de/hijackthis.html
Created by Miezmutz

[sunshine_11]

Okay, die Temp-Dateien hab ich gelöscht (hab aber im temp-Ordner noch andere Ordner wie Brilliant, Cookies, PPT10.0, TempFolder.aaa etc.). Kann ich die ganzen Ordner auch löschen oder müssen die bleiben?

Die infected-Dateien hab ich erstmal noch gelassen, hab mich nich getraut die zu löschen

Dann hab ich aber nochmal versucht das AntiVir-Update zu machen. Kam wieder das gleiche, aber diesmal hab ich das erste Fenster (wo er erstmal die Dateien runterläd) geschlossen, als er das Setup durchführen wollte, und dann ging es auf einmal.

Hijack This Log hab ich aber auch noch gespeichert.

Hab aber inzwischen ein anderes Problem entdeckt. Und zwar hab ich AdAware das erste mal durchgeführt und gleich so ca. 170 verdächtige Sachen gefunden...woher weiß man, was jetzt wirklich gelöscht werden muss und was nur irgendwie zum System gehört und nicht gelöscht werden darf, aber trotzdem angezeigt wird?

Hijack This Log:

Logfile of HijackThis v1.99.1
Scan saved at 10:22:21, on 22.07.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\ALISNDMG.EXE
C:\WINDOWS\LTSMMSG.EXE
C:\PROGRAMME\ACER\POWERKEY\POWERKEY.EXE
C:\PROGRAMME\SYNAPTICS\SYNTP\SYNTPLPR.EXE
C:\PROGRAMME\SYNAPTICS\SYNTP\SYNTPENH.EXE
C:\WINDOWS\SYSTEM\KEYMAP.EXE
C:\WINDOWS\SYSTEM\QTTASK.EXE
C:\WINDOWS\SYSTEM\FPDISP4A.EXE
C:\PROGRAMME\AHEAD\INCD\INCD.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\REAL\UPDATE_OB\REALSCHED.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\PROGRAMME\SETI@HOME\SETI@HOME.EXE
C:\PROGRAMME\VIEWPOINT\VIEWPOINT MANAGER\VIEWMGR.EXE
C:\WINDOWS\SYSTEM\HIDSERV.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMME\OUTLOOK EXPRESS\MSIMN.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMME\MSN MESSENGER\MSNMSGR.EXE
C:\EIGENE DATEIEN\HIJACK THIS\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.acer.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.acer.com/
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\YCOMP5_0_2_7.DLL
O2 - BHO: VX2Obj Class - {00000000-5eb9-11d5-9d45-009027c14662} - C:\WINDOWS\VX2.DLL
O2 - BHO: UCmore Toolbar - {ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D} - C:\PROGRAMME\UCMORE\UCMIE.DLL
O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\PROGRAMME\DAP\DAPBHO.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: UCmore Toolbar - {53CBEE82-D747-11d3-9ED0-005004189684} - C:\PROGRAMME\UCMORE\UCMIE.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\PROGRAMME\DAP\DAPIEBAR.DLL
O3 - Toolbar: Yahoo! Assistent - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\YCOMP5_0_2_7.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [ALiSndMgr] ALiSndMg.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [AcerPowerkey] "C:\Programme\Acer\Powerkey\Powerkey.exe"
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [VolKey] C:\WINDOWS\SYSTEM\Keymap.exe
O4 - HKLM\..\Run: [Launch App] c:\DMSINFO\launapp.exe
O4 - HKLM\..\Run: [Hidserv] Hidserv.exe run
O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\SYSTEM\QTTASK.EXE
O4 - HKLM\..\Run: [FinePrint Dispatcher v4] C:\WINDOWS\SYSTEM\fpdisp4a.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\PROGRA~1\AVPERS~1\AVGCTRL.EXE" /min
O4 - HKLM\..\Run: [seticlient] C:\Programme\SETI@home\SETI@home.exe -min
O4 - HKLM\..\Run: [ViewMgr] C:\Programme\Viewpoint\Viewpoint Manager\ViewMgr.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html
O8 - Extra context menu item: Cached Snapshot of Page - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html
O8 - Extra context menu item: Similar Pages - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html
O8 - Extra context menu item: Backward Links - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html
O8 - Extra context menu item: Translate into English - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmtrans.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dll
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRAMME\YAHOO!\MESSENGER\YHEXBMES0411.DLL
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRAMME\YAHOO!\MESSENGER\YHEXBMES0411.DLL
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\PROGRAMME\AIM95\AIM.EXE
O12 - Plugin for .php: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin2.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.acer.com/
O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} (Yahoo! Assistent) - http://us.dl1.yimg.com/download.yahoo.c ... _0_2_7.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxyz.mht!http://xxxtgp.ath.cx/loud.chm::/bridge-c32.cab


++

[Yourhighness]

Hi!

# Nutze den CCleaner um die Temporären Dateien zu löschen...

# Dein IE ist veraltet. Installiere den IE6

# Häckchen vor folgende Einträge setzen und am Schluss fix checked:

O2 - BHO: VX2Obj Class - {00000000-5eb9-11d5-9d45-009027c14662} - C:\WINDOWS\VX2.DLL

O2 - BHO: UCmore Toolbar - {ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D} - C:\PROGRAMME\UCMORE\UCMIE.DLL

O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\PROGRAMME\DAP\DAPBHO.DLL

O3 - Toolbar: UCmore Toolbar - {53CBEE82-D747-11d3-9ED0-005004189684} - C:\PROGRAMME\UCMORE\UCMIE.DLL

O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - ms-its:mhtml:file://c:\nosuxyz.mht!http://xxxtgp.ath.cx/loud.chm::/bridge-c32.ca b

++++++++++++++++++++++++++++++

Killbox (bebilderte Anleitung):
http://nikita.eddys-domain.de/killbox.html

*C:\WINDOWS\VX2.DLL
*C:\PROGRAMME\UCMORE\UCMIE.DLL
*C:\PROGRAMME\UCMORE\UCMIE.DLL
*C:\PROGRA~1\DAP\DAP.EXE
*bridge-c32.ca b

NEUSTART

MfG,