2 Probleme: PHISH/DeutBkfraud.L-Virus und Zonealarm Install

[morix]

hallo experten! seit heute (nach meinem täglichen antivir update) kriege ich folgende antivir meldung, wenn ich in thunderbird die emails eines accounts abrufe (bei allen anderen accounts nicht):

C:\DOKUMENTE UND EINSTELLUNGEN\MORIX\ANWENDUNGSDATEN\THUNDERBIRD\PROFILES\3D05KK63.DEFAULT\MAIL\POP.BYTECAMP.NET\INBOX

Enthält Signatur des PHISH/DeutBkfraud.L-Virus.
Diese Datei ist ein E-Mail Ordner der nicht gelöscht oder verändert werden darf.

auf die frage "Was soll mit der Datei geschehen?" kann ich nur "Zugriff erlauben und Datei belassen" auswählen

zweites problem: beim versuch, Zonealarm zu installieren da ich der windows eigenen irgendwie nicht mehr traue, erhalte ich gleich nach ausführen der installations-exe-datei folgende Fehlermeldung:

Validation failed for C:\WINDOWS\system32\vsdata.dll

HJT liefert folgendes Log:

Logfile of HijackThis v1.99.1
Scan saved at 14:24:12, on 20.09.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\system32\slserv.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Cisco Systems\VPN Client\vpngui.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\DOKUME~1\morix\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.spiegel.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local.,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://www.ea.com/downloads/rtpatch/EARTPX.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4842671906
O17 - HKLM\System\CCS\Services\Tcpip\..\{26CAF152-D574-4420-9405-F9034EED2845}: Domain = gwdg.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{26CAF152-D574-4420-9405-F9034EED2845}: NameServer = 134.76.10.46,134.76.33.21
O17 - HKLM\System\CCS\Services\Tcpip\..\{4660A497-A0D1-425D-8E24-AB2919EE6712}: NameServer = 192.168.2.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = gwdg.de,gwdg.de
O17 - HKLM\System\CS1\Services\Tcpip\..\{26CAF152-D574-4420-9405-F9034EED2845}: Domain = gwdg.de
O17 - HKLM\System\CS1\Services\Tcpip\..\{26CAF152-D574-4420-9405-F9034EED2845}: NameServer = 134.76.10.46,134.76.33.21
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = gwdg.de
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = gwdg.de,gwdg.de
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Bonjour Dienst (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

was kann ich tun?

[morix]

okay ich denke, das erste problem konnte ich mit ein bischen rumprobieren beheben:

ich habe die datei "C:\DOKUMENTE UND EINSTELLUNGEN\MORIX\ANWENDUNGSDATEN\THUNDERBIRD\PROFILES\3D05KK63.DEFAULT\MAIL\POP.BYTECAMP.NET\INBOX" (und "C:\....\POP.BYTECAMP.NET\TRASH", da war das auch drin) mit dem windows editor geöffnet und auf gut glück einfach die mails gelöscht, die offensichtlich phishing mails für deutsche bank kunden waren. also nach "bank" gesucht und alles drumrum gelöscht und die entsprechenden dateien gespeichert. seitdem meldet antivir auch nichts mehr in inbox und trash!

stellt sich nur noch die frage, was mit der zonealarm installation und dieser ominösen vsdata.dll los ist... bitte helft mir!

[balazi]

Hallo,

es ist einige Zeit seit der letzten Antwort vergangen, nun habe ich aber das gleiche Problem:

Seit Ende August kann ich aus meinem Netscape Inbox-Ordner keine Dateien löschen, weil sofort folgende Meldung von AntiVir erscheint:

C:\WINDOWS\ANWENDUNGSDATEN\MOZILLA\PROFILES\ZITA\9PUFZ8BJ.SLT\MAIL\POP.ONLINEHOME-4.DE\TRASH
Enthält Signatur des PHISH/DeutBkfraud.B-Virus

Die Datei ist eine Mailbox und kann deshalb nicht gelöscht werden.
Die Datei wurde entsprechend der Standardeinstellung blockiert.

Die im vorigen Beitrag beschriebene Lösung schien einfach zu sein, nur kann ich sie nicht ausführen, weil dann nämlich wiederum die obige Meldung erscheint, und wenn ich auf OK klicke (die einzige Möglichkeit, erscheint folgende Meldung:

C:\WINDOWS\ANWENDUNGSDATEN\MOZILLA\PROFILES\ZITA\9PUFZ8BJ.SLT\MAIL\POP.ONLINEHOME-4.DE\TRASH
Sie haben keine Berechtigung zum Öffnen der Datei.
Wenden Sie sich an den Besitzer der Datei oder an den Administrator.

Da kann ich dann wieder nur auf OK klicken und bin nicht weiter gekommen.

In der Vergangenheit habe ich zwar auch E-mails von Banken und Sparkassen mit dem bekannten Pishing-Inhalt erhalten, sie aber sofort gelöscht und auch keinem Link gefolgt oder eventuellen Anhang geöffnet. Deshalb habe ich auch keine Erklärung dafür, wie sich die Phish-Datei in meinen Trash-Ordner gelangen konnte.

Es betrifft zwar nur das Löschen von E-mails, lesen, schreiben, antworten, weiterleiten ist alles kein Problem, trotzdem stört es mich.

Ach ja, noch was: Ich habe Windows 98.

Für Eure Hilfe wäre ich sehr dankbar!

[balazi]

Hallo,

ich habe das Problem doch noch auf die in dem 2. Beitrag genannte Weise gelöst, nämlich indem ich die Datei in WordPad geöffnet habe, denn für den Editor war sie zu lang.

Vorher habe ich aber noch AntiVir beendet, denn wie ich in einem anderen Beitrag auf dieser Homepage gelesen habe, konnte ich wegen AntiVir nicht auf die Datei zugreifen.

Dann habe ich den ganzen Inhalt der Datei gelöscht, denn glücklicherweise betraf die Phish-Datei meinen Trash-Ordnder, also brauchte ich die E-mails eh nicht.

Dann habe ich den Ordner komprimiert, den Rechner neu gestartet, und seit dem kann ich aus dem Inbox-Ordner wieder ohne Probleme E-mails löschen.



Danke für alle bisherigen Beiträge und viel Erfolg denen, die sich bisher mit diesem Virus abgemüht haben!

balazi