Trojanisches Pferd TR/Dldr.Small.buy.1

[Freak-X.Heaven]

hey Jungs hab vor ein paar Wochen Trojanische Pferde bei mir entdeckt. Gestern war es noch BDS/Agent.AY, heute ist es schon TR/Dldr.Small.buy.1. Hab das schon mit dem Antivir versucht zu löschen ging nicht, deshalb hab ich das Hijackthis Tool heruntergeladen und hier ist mein Log:

Logfile of HijackThis v1.99.1
Scan saved at 15:47:08, on 17.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe
C:\windows\winsysban9.exe
C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Windows\services32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\wbem\unsecapp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\PROGRA~1\Network\ipnetwork.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\viktor\LOKALE~1\Temp\Rar$EX00.422\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NVRTCLK] C:\WINDOWS\system32\NVRTCLK\NVRTClk.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd9.exe
O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban9.exe
O4 - HKLM\..\Run: [gimmygames] C:\\gimmygames9.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [BullsEye Network] C:\Programme\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [IpNetwork] C:\Programme\Network\ipnetwork.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKCU\..\Run: [services32] C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000228.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} - http://promo.dollarrevenue.com/webmaste ... ad185a.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 6382593436
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 6382583483
O16 - DPF: {E6A3C1E2-F792-483E-9133-596215172BE9} (AcceptLang Class) - http://runonce.msn.com/setacceptlang.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D65833FC-4CDE-47FD-9FC0-A8D4068180CC}: NameServer = 192.168.122.252,192.168.122.253
O20 - Winlogon Notify: Explorer - C:\WINDOWS\system32\woploc.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe

Hoffe ihr könnt mir helfen, weil auf das Festplattenformatieren hab ich echt kein Bock drauf.

[Freak-X.Heaven]

ich glaub das Problem hat sich schon gelöst. Hab auf Eigeninitiative in dem Hijackthis die Häckchen gemacht:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [BullsEye Network] C:\Programme\BullsEye Network\bin\bargains.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} - http://promo.dollarrevenue.com/webmaste ... ad185a.exe

Vielleicht waren da noch welche dabei, aber ich denke ich hab sie alle jetzt reinkopiert.
Jetzt schaut mein Log so aus:

Logfile of HijackThis v1.99.1
Scan saved at 16:57:28, on 17.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programme\Network\ipnetwork.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\wbem\unsecapp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\viktor\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NVRTCLK] C:\WINDOWS\system32\NVRTCLK\NVRTClk.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [IpNetwork] C:\Programme\Network\ipnetwork.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 6382593436
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 6382583483
O16 - DPF: {E6A3C1E2-F792-483E-9133-596215172BE9} (AcceptLang Class) - http://runonce.msn.com/setacceptlang.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D65833FC-4CDE-47FD-9FC0-A8D4068180CC}: NameServer = 192.168.122.252,192.168.122.253
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe

Sagt mir bitte Bescheid falls ich irgendwas übersehen hab.

[Nikita]

mit dem Fixen ist der Virus noch nicht geloescht, sondern weiterhin auf dem System.

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

cd\
dir "C:\Programme\Gemeinsame Dateien\Windows" >> files.txt
dir "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders" >> files.txt
dir "C:\Programme\Gemeinsame Dateien" >> files.txt
notepad files.txt

[Freak-X.Heaven]

also ich bin fast fertig geworden mit deiner Aufgabe.
1. Ich hab den CleanUp so eingestellt wie es sein sollte und danach einen Neustart gemacht.
2. Ich hab die DatFind.bat aufgemacht, hab von den jeweiligen Pfaden die letzten 3 Monate reinkopiert und dann die Textdatei als list.bat abgespeichert.
Jetzt kommt das Problem: Wenn ich die list.bat aufmache, macht das Fenster ganz kurz auf und schließt sich wieder ohne dass ich irgendwas kopieren kann .

Ich sende dir mal meine list.bat bearbeitet zu:

Verzeichnis von C:\WINDOWS\system32

17.02.2006 15:11 234.272 NeRaidWizardsl.dll
17.02.2006 15:11 235.066 s4rs0e97eh.dll
16.02.2006 18:20 2.206 wpa.dbl
17.01.2006 11:54 34.064 lhacm.acm
10.01.2006 08:19 115.768 FNTCACHE.DAT
04.01.2006 19:37 23.392 nscompat.tlb
04.01.2006 19:37 16.832 amcompat.tlb
04.01.2006 16:47 146.650 BuzzingBee.wav
04.01.2006 16:47 940.794 LoopyMusic.wav
04.01.2006 16:17 6.919 jupdate-1.5.0_06-b05.log
04.01.2006 16:11 40.128 perfc009.dat
04.01.2006 16:11 311.740 perfh009.dat
04.01.2006 16:11 48.354 perfc007.dat
04.01.2006 16:11 316.924 perfh007.dat
04.01.2006 16:11 723.744 PerfStringBackup.INI
04.01.2006 15:42 251 spupdwxp.log
04.01.2006 14:08 25.065 wmpscheme.xml
04.01.2006 14:04 261 $winnt$.inf
04.01.2006 14:02 2.951 CONFIG.NT
04.01.2006 14:01 488 WindowsLogon.manifest
04.01.2006 14:01 488 logonui.exe.manifest
04.01.2006 14:01 749 wuaucpl.cpl.manifest
04.01.2006 14:01 749 ncpa.cpl.manifest
04.01.2006 14:01 749 nwc.cpl.manifest
04.01.2006 14:01 749 sapi.cpl.manifest
04.01.2006 14:01 749 cdplayer.exe.manifest
04.01.2006 14:00 21.740 emptyregdb.dat
04.01.2006 13:57 0 h323log.txt
08.12.2005 16:25 2.723.680 MRT.exe

Verzeichnis von C:\DOKUME~1\viktor\LOKALE~1\Temp

17.02.2006 22:45 204 jusched.log
17.02.2006 22:35 2 Twain001.Mtx
17.02.2006 22:35 156 Twunk001.MTX
17.02.2006 22:35 0 Twunk002.MTX
17.02.2006 22:35 477 TWAIN.LOG
17.02.2006 22:35 32.768 ~DF6A47.tmp
17.02.2006 22:33 32.768 ~DF74CE.tmp

Verzeichnis von C:\WINDOWS

17.02.2006 21:29 159 wiadebug.log
17.02.2006 21:29 611.523 WindowsUpdate.log
17.02.2006 21:29 50 wiaservc.log
17.02.2006 21:29 0 0.log
17.02.2006 21:29 2.048 bootstat.dat
17.02.2006 17:37 29.726 SchedLgU.Txt
17.02.2006 17:32 116 NeroDigital.ini
17.02.2006 16:43 137.634 ntbtlog.txt
17.02.2006 15:12 0 winsysupd91.dat
16.02.2006 18:21 0 winsysupd81.dat
16.02.2006 18:20 90.112 winsysban9.exe
16.02.2006 18:20 40.960 winsysupd9.exe
14.02.2006 08:21 0 winsysupd71.dat
14.02.2006 08:21 90.112 winsysban8.exe
14.02.2006 08:20 36.864 winsysupd8.exe
13.02.2006 23:16 446.334 setupapi.log
13.02.2006 22:56 400 ODBC.INI
13.02.2006 22:43 19 SoundConverter.INI
12.02.2006 13:49 43 drsmartload2.dat
12.02.2006 13:49 0 myupdates1.dat
12.02.2006 13:49 52.480 myupdates.exe
12.02.2006 13:49 69.632 winsysban7.exe
12.02.2006 13:48 20.480 winsysupd7.exe
07.02.2006 21:29 42.230 wmsetup.log
22.01.2006 16:54 525 QIII.INI
22.01.2006 16:51 365 DTN32.INI
17.01.2006 18:38 40 nero.INI
16.01.2006 18:35 687 win.ini
16.01.2006 18:11 253.952 Setup1.exe
16.01.2006 18:11 74.752 ST6UNST.EXE
14.01.2006 19:09 0 nsreg.dat
14.01.2006 19:08 107.132 UninstallFirefox.exe
14.01.2006 19:08 3.180 mozver.dat
13.01.2006 22:44 276 game.ini
13.01.2006 22:24 13.876 DirectX.log
13.01.2006 16:59 330 nsw.log
04.01.2006 19:37 459 wmsetup10.log
04.01.2006 19:36 316.640 WMSysPr9.prx
04.01.2006 19:26 1.355 imsins.log
04.01.2006 19:26 1.683 tabletoc.log
04.01.2006 19:26 33.533 ntdtcsetup.log
04.01.2006 19:26 6.156 ocmsn.log
04.01.2006 19:26 224.287 iis6.log
04.01.2006 19:26 68.948 tsoc.log
04.01.2006 19:26 56.095 comsetup.log
04.01.2006 19:26 126.359 KB898461.log
04.01.2006 19:26 7.229 msgsocm.log
04.01.2006 19:26 5.723 netfxocm.log
04.01.2006 19:26 3.988 medctroc.Log
04.01.2006 19:26 73.195 ocgen.log
04.01.2006 19:26 133.854 FaxSetup.log
04.01.2006 19:26 52.776 msmqinst.log
04.01.2006 19:26 128.425 KB893803v2.log
04.01.2006 15:44 28.949 spupdsvc.log
04.01.2006 15:44 360 DtcInstall.log
04.01.2006 15:43 1.165 OEWABLog.txt
04.01.2006 15:43 724.907 setuplog.txt
04.01.2006 15:41 451.921 svcpack.log
04.01.2006 15:38 200 cmsetacl.log
04.01.2006 15:38 299.552 WMSysPrx.prx
04.01.2006 15:38 1.330 sessmgr.setup.log
04.01.2006 15:01 28.521 xpsp1hfm.log
04.01.2006 15:01 35.437 KB835732.log
04.01.2006 15:01 1.060.845 setupapi.log.0.old
04.01.2006 15:01 32.244 Q810833.log
04.01.2006 15:00 23.708 KB834707-IE6-20040929.115007.log
04.01.2006 15:00 22.839 KB828741.log
04.01.2006 15:00 13.049 Q329834.log
04.01.2006 15:00 20.385 KB823559.log
04.01.2006 14:59 19.936 Q817606.log
04.01.2006 14:59 19.471 Q329441.log
04.01.2006 14:58 15.877 Q810577.log
04.01.2006 14:58 12.973 Q811630.log
04.01.2006 14:57 9.406 Q329170.log
04.01.2006 14:57 1.625 Q329115.log
04.01.2006 14:57 1.265 Q329390.log
04.01.2006 14:56 960 Q323255.log
04.01.2006 14:56 650 Q329048.log
04.01.2006 14:53 5.796 KB842773.log
04.01.2006 14:53 171.092 setupact.log
04.01.2006 14:39 11.342 Windows Update.log
04.01.2006 14:19 248 accessdll.log
04.01.2006 14:18 1.467 avmadd32.log
04.01.2006 14:18 105 avmsysnet.log
04.01.2006 14:05 8.192 REGLOCS.OLD
04.01.2006 14:03 622 setuperr.log
04.01.2006 14:02 0 control.ini
04.01.2006 14:02 4.161 ODBCINST.INI
04.01.2006 14:01 749 WindowsShell.Manifest
04.01.2006 13:59 37 vbaddin.ini
04.01.2006 13:59 36 vb.ini
04.01.2006 13:55 2.492 regopt.log
04.01.2006 13:54 0 Sti_Trace.log
04.01.2006 13:52 231 system.ini
04.10.2005 14:12 90.112 soundman.exe

Verzeichnis von c:\

17.02.2006 22:54 0 dirdat.txt
17.02.2006 21:29 1.610.612.736 pagefile.sys
04.01.2006 15:38 211 boot.ini
04.01.2006 15:34 47.564 NTDETECT.COM
04.01.2006 15:34 251.184 ntldr
04.01.2006 14:02 0 MSDOS.SYS
04.01.2006 14:02 0 IO.SYS
04.01.2006 14:02 0 CONFIG.SYS
04.01.2006 14:02 0 AUTOEXEC.BAT
18.08.2001 11:00 4.952 bootfont.bin

So hab ich zumindest verstanden wie ich es machen soll. Wenn irgendwas falsch an meiner Formatierung des Textes ist, dann sag mir bitte Bescheid.
Danke schon mal im Voraus

PS: kann ich den Bitdefender 8 Standard neben meinem Antivir laufen lassen?

[Nikita]

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

Code: Alles auswählen

cd\
dir "C:\Programme\Gemeinsame Dateien\Windows" >> files.txt
dir "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders" >> files.txt
dir "C:\Programme\Gemeinsame Dateien" >> files.txt
notepad files.txt

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ..

C:\WINDOWS\system32\NeRaidWizardsl.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\woploc.dll
C:\WINDOWS\system32\s4rs0e97eh.dll

C:\Programme\Gemeinsame Dateien\CMEII\CMEIIAPI.dll
C:\Programme\Gemeinsame Dateien\CMEII\GAppMgr.dll
C:\Programme\Gemeinsame Dateien\CMEII\GController.dll
C:\Programme\Gemeinsame Dateien\CMEII\GDwldEng.dll
C:\Programme\Gemeinsame Dateien\CMEII\GIocl.dll
C:\Programme\Gemeinsame Dateien\CMEII\GIoclClient.dll
C:\Programme\Gemeinsame Dateien\CMEII\GMTProxy.dll
C:\Programme\Gemeinsame Dateien\CMEII\GObjs.dll
C:\Programme\Gemeinsame Dateien\CMEII\GStore.dll
C:\Programme\Gemeinsame Dateien\CMEII\GStoreServer.dll
C:\Programme\Gemeinsame Dateien\CMEII\Gtools.dll
C:\PROGRAMME\GEMEINSAME DATEIEN\CMEII\CMESYS.EXE

C:\Programme\Gemeinsame Dateien\GMT\EGGCEngine.dll
C:\Programme\Gemeinsame Dateien\GMT\egIEEngine.dll
C:\Programme\Gemeinsame Dateien\GMT\EGIEProcess.dll
C:\Programme\Gemeinsame Dateien\GMT\EGNSEngine.dll
C:\Programme\Gemeinsame Dateien\GMT\GatorStubSetup.exe
C:\Programme\Gemeinsame Dateien\GMT\gtrawbm.fil
C:\Programme\Gemeinsame Dateien\GMT\GUninstaller.exe
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe

C:\Programme\Gemeinsame Dateien\Windows\services32.exe
C:\Programme\Gemeinsame Dateien\system32.dll
C:\Programme\Gemeinsame Dateien\services.exe
C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000228.exe
C:\Programme\Gemeinsame Dateien\Windows\ack.html
C:\Programme\Gemeinsame Dateien\Windows\AutoIt3.exe
C:\Programme\Gemeinsame Dateien\Windows\request.html

C:\WINDOWS\winsysupd91.dat
C:\WINDOWS\winsysupd81.dat
C:\WINDOWS\winsysban9.exe
C:\WINDOWS\winsysupd9.exe
C:\WINDOWS\winsysupd71.dat
C:\WINDOWS\winsysban8.exe
C:\WINDOWS\winsysupd8.exe
C:\WINDOWS\drsmartload2.dat
C:\WINDOWS\myupdates1.dat
C:\WINDOWS\myupdates.exe
C:\WINDOWS\winsysban7.exe
C:\gimmygames9.exe
C:\WINDOWS\winsysupd7.exe

PC neustarten

nach dem Neustart suche: C:\!KillBox
und loesche alle dort befindlichen Dateien manuell

deinstalliere\loesche :
C:\Programme\Gemeinsame Dateien\CMEII
C:\Programme\BullsEye Network
C:\Programme\Gemeinsame Dateien\GMT
C:\Programme\Network
C:\Programme\InetGet
C:\Programme\InetGet2

l2mfix -->Option 2 abarbeiten
http://virus-protect.org/l2mfix.html
nach neustart + scan poste diesen Scanreport

arbeite die zango.bfu ab
http://virus-protect.org/artikel/bfu/zango_bfu.html

[Freak-X.Heaven]

Hier ist mein L2mfix-Log nach dem Neustarten:
[quote]L2mfix 010406
Creating Account.
Der Befehl wurde erfolgreich ausgef

[Nikita]

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

Code: Alles auswählen

cd\
dir "C:\Programme\Gemeinsame Dateien\Windows" >> files.txt
dir "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders" >> files.txt
dir "C:\Programme\Gemeinsame Dateien" >> files.txt
notepad files.txt

**

[Freak-X.Heaven]

also ich hab jetzt den folgenden Text kopiert und jetzt kommt das hier heraus:

Code: Alles auswählen

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 00D5-2C5F

Verzeichnis von C:\Programme\Gemeinsame Dateien

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 00D5-2C5F

Verzeichnis von C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders

17.02.2006  22:42    <DIR>          .
17.02.2006  22:42    <DIR>          ..
09.01.2006  18:48    <DIR>          1031
09.01.2006  18:48    <DIR>          1033
17.02.2006  22:43               401 files.txt.txt
14.02.2001  21:45         1.318.912 MSONSEXT.DLL
13.02.2001  00:23            58.784 MSOSV.DLL
19.03.1999  08:46           127.032 MSOWS407.DLL
04.06.1999  01:09           122.937 MSOWS409.DLL
06.08.2000  09:04           401.462 MSVCP60.DLL
22.01.2001  03:25            69.632 PKMAXCTL.DLL
22.01.2001  03:25           872.448 PKMCDO.DLL
22.01.2001  03:25           159.744 PKMCORE.DLL
07.02.2001  09:59           106.496 PKMFORMS.DLL
12.02.2001  04:01           692.224 PKMRES.DLL
22.01.2001  03:25            28.672 PKMSSTLB.DLL
22.01.2001  03:25            40.960 PKMTEMPL.DLL
22.01.2001  03:25            24.576 PKMTRACE.DLL
22.01.2001  03:25            86.016 PKMWS.DLL
22.01.2001  03:25           237.568 PROMDEMO.DLL
22.01.2001  03:25           184.320 SECMGR.DLL
22.01.2001  03:25           323.584 VAIDDMGR.DLL
22.01.2001  03:25            32.768 VAIMEM.DLL
              19 Datei(en)      4.888.536 Bytes
               4 Verzeichnis(se), 23.363.641.344 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 00D5-2C5F

Verzeichnis von C:\Programme\Gemeinsame Dateien

17.02.2006  23:20    <DIR>          .
17.02.2006  23:20    <DIR>          ..
13.01.2006  20:07    <DIR>          Adobe
22.01.2006  14:12    <DIR>          Ahead
04.01.2006  14:18    <DIR>          AVM
04.01.2006  18:54    <DIR>          Blizzard Entertainment
09.01.2006  18:48    <DIR>          Designer
04.01.2006  14:00    <DIR>          Dienste
13.01.2006  22:33    <DIR>          InstallShield
04.01.2006  16:16    <DIR>          Java
13.02.2006  19:55    <DIR>          Microsoft Shared
17.02.2006  16:48    <DIR>          mssoap
13.02.2006  23:00    <DIR>          Nokia
04.01.2006  13:52    <DIR>          ODBC
13.02.2006  23:00    <DIR>          PCSuite
17.02.2006  23:20    <DIR>          Softwin
04.01.2006  13:52    <DIR>          SpeechEngines
09.01.2006  18:48    <DIR>          System
               0 Datei(en)              0 Bytes
              18 Verzeichnis(se), 23.363.641.344 Bytes frei


soll ich die anderen Punkte (l2mfix usw.) noch mal machen?

[Nikita]

scanne mit panda und kopiere den scanreport
http://virus-protect.org/onlinescan.html

[Freak-X.Heaven]

hier mein scanreport von panda:

Incident Status Location

Adware:adware/exact.bargainbuddy Not disinfected C:\WINDOWS\SYSTEM32\bbchk.exe
Adware:adware/maxifiles Not disinfected Windows Registry
Spyware:Cookie/2o7.net Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@2o7[2].txt
Spyware:Cookie/Advertising Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@advertising[2].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@as-eu.falkag[2].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@as1.falkag[2].txt
Spyware:Cookie/Doubleclick Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@doubleclick[1].txt
Spyware:Cookie/Statcounter Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@statcounter[1].txt
Spyware:Cookie/Tradedoubler Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@tradedoubler[1].txt
Spyware:Cookie/Adserver Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@z1.adserver[1].txt
Spyware:Cookie/2o7.net Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@2o7[2].txt
Spyware:Cookie/Advertising Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@advertising[2].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@as-eu.falkag[2].txt
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@as1.falkag[2].txt
Spyware:Cookie/Doubleclick Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@doubleclick[1].txt
Spyware:Cookie/Statcounter Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@statcounter[1].txt
Spyware:Cookie/Tradedoubler Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@tradedoubler[1].txt
Spyware:Cookie/Adserver Not disinfected C:\Dokumente und Einstellungen\viktor\Cookies\viktor@z1.adserver[1].txt
Adware:Adware/SaveNow Not disinfected C:\Programme\DAEMON Tools\SetupDTSB.exe
Adware:Adware/Exact.SearchBar Not disinfected C:\WINDOWS\system32\exul.exe
Adware:Adware/Exact.SearchBar Not disinfected C:\WINDOWS\system32\javexulm.vxd
Adware:Adware/Exact.BargainBuddy Not disinfected C:\WINDOWS\system32\mqexdlm.srg

[Nikita]

deinstalliere:
C:\Programme\DAEMON Tools

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ......

C:\WINDOWS\SYSTEM32\bbchk.exe
C:\Programme\DAEMON Tools\SetupDTSB.exe
C:\WINDOWS\system32\exul.exe
C:\WINDOWS\system32\javexulm.vxd
C:\WINDOWS\system32\mqexdlm.srg

PC neustarten

nach dem Neustart suche: C:\!KillBox
und loesche alle dort befindlichen Dateien manuell

scanne und poste den scanreport
http://virus-protect.org/spysweeper.html

[Freak-X.Heaven]

hier ist mein report:
********
23:46: | Beginn der Sitzung, Samstag, 18. Februar 2006 |
23:46: Spy Sweeper gestartet
23:46: Suchvorgang unter Verwendung der Definitionsversion eingeleitet. 617
23:46: Suchvorgang im Arbeitspeicher wird gestartet
23:48: Suchvorgang im Arbeitspeicher abgeschlossen, Dauer: 00:02:08
23:48: Suchvorgang in Registrierung wird gestartet
23:48: Gefunden Adware: gain - common components
23:48: HKCR\clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}\ (11 Teilspuren) (ID = 126731)
23:48: HKLM\software\classes\clsid\{21ffb6c0-0da1-11d5-a9d5-00500413153c}\ (11 Teilspuren) (ID = 126751)
23:48: Gefunden Adware: exact cashback/bargain buddy
23:48: HKLM\software\exactutil\ || etserver (ID = 509557)
23:48: HKLM\software\exactutil\ || newpartnername (ID = 509559)
23:48: HKLM\software\exactutil\ || system (ID = 509561)
23:48: HKLM\software\exactutil\ || utilfolder (ID = 509699)
23:48: HKLM\software\exactutil\ || partnerid (ID = 509702)
23:48: HKLM\software\gator.com\ (4617 Teilspuren) (ID = 528933)
23:48: Gefunden Adware: findthewebsiteyouneed hijack
23:48: HKU\S-1-5-21-1957994488-562591055-839522115-1003\software\microsoft\internet explorer\search\searchassistant explorer\main\ || default_search_url (ID = 555437)
23:48: HKLM\software\gator.com\gator\ (4580 Teilspuren) (ID = 724411)
23:48: HKLM\software\exactutil\ || buildnumber (ID = 728386)
23:48: HKLM\software\exactutil\ || ccode (ID = 728389)
23:48: Gefunden Adware: dollarrevenue
23:48: HKLM\software\microsoft\drsmartload2\ (1 Teilspuren) (ID = 1134137)
23:48: Gefunden Adware: maxifiles
23:48: HKU\S-1-5-21-1957994488-562591055-839522115-1003\software\xbtb04715\ (1 Teilspuren) (ID = 1156401)
23:48: Suchvorgang in Registrierung abgeschlossen, Dauer:00:00:05
23:48: Suchvorgang in Cookies wird gestartet
23:48: Gefunden Spy Cookie: 2o7.net cookie
23:48: viktor@2o7[2].txt (ID = 1957)
23:48: Gefunden Spy Cookie: advertising cookie
23:48: viktor@advertising[2].txt (ID = 2175)
23:48: Gefunden Spy Cookie: falkag cookie
23:48: viktor@as-eu.falkag[1].txt (ID = 2650)
23:48: viktor@as1.falkag[2].txt (ID = 2650)
23:48: Gefunden Spy Cookie: atwola cookie
23:48: viktor@atwola[1].txt (ID = 2255)
23:48: Gefunden Spy Cookie: statcounter cookie
23:48: viktor@statcounter[1].txt (ID = 3447)
23:48: Gefunden Spy Cookie: tradedoubler cookie
23:48: viktor@tradedoubler[1].txt (ID = 3575)
23:48: Gefunden Spy Cookie: adserver cookie
23:48: viktor@z1.adserver[1].txt (ID = 2142)
23:48: Suchvorgang in Cookies abgeschlossen, Dauer: 00:00:01
23:48: Suchvorgang in Dateien wird gestartet
23:50: Gefunden Adware: tibs dialer
23:50: xxx.lnk (ID = 79520)
23:50: Gefunden Adware: 180search assistant/zango
23:50: zango.lnk (ID = 91109)
23:50: Suchvorgang in Dateien abgeschlossen, Dauer: 00:02:06
23:50: Die Vollsuche wurde abgeschlossen. Abgelaufene Zeit 00:04:23
23:50: Gefundene Spuren: 9245
********
23:43: | Beginn der Sitzung, Samstag, 18. Februar 2006 |
23:43: Spy Sweeper gestartet
23:46: | Ende der Sitzung, Samstag, 18. Februar 2006 |

[Nikita]

nun muesste eigentlich wieder alles in Ordnung sein..

suchen/loeschen
zango.lnk
xxx.lnk

wende noch mal cleanup an
http://virus-protect.org/cleanup.html

[Freak-X.Heaven]

also ich konnte zango.lnk und xxx.lnk nicht finden. Vielleicht sind sie gar nicht mehr da. Auf jeden Fall dank ich dir vielmals dass du mir geholfen hast . Ich hab schon daran gedacht dass wenn es am Wochenende nicht klappt dann werd ich meinen PC formatieren. Falls ich nochmal Probleme mit meiner PC-Sicherheit habe dann meld ich mich nochmal.
PS: kann du mir vielleicht mal irgendwelche Programme empfehlen die ich nebenbei laufen lassen kann? Auf jeden Fall werd ich mir mal den Firefox holen, das ist schon mal sicher.
PS. 2: kann ich mein DAEMON TOOL wieder installieren?

[Nikita]

0.
scanne mit der bfu
http://virus-protect.org/artikel/bfu/zango_bfu.html

1.
DAEMON TOOL wird als Spyware angesehen ....

2.
Firefox
http://virus-protect.org/firefox.html

3.
Windows Defender (free)
http://virus-protect.org/ms.html