Backdoor.Ciadoor.dd ----> Bitte um Hilfe

[TobiTobsn]

Moin Moin,

wollte mal fragen ob mir jemand weiterhelfen kann. Mei BitDefender bringt eine infizierte Datei in c:\windows\system32\wsock32.sys

Hab mal n Log erstellt und wollte fragen ob mir jemand damit helfen kann.

Logfile of HijackThis v1.99.1
Scan saved at 20:22:48, on 11.09.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Softwin\BitDefender Professional Edition\bdswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\avmwlanstick\FRITZWLANMini.exe
C:\Programme\internet explorer\iexplore.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\WinRAR\WinRAR.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
c:\programme\softwin\bitdefender professional edition\bdmcon.exe
C:\Programme\Softwin\BitDefender Professional Edition\vsserv.exe
C:\Dokumente und Einstellungen\Tobi\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box;192.168.178.1
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: load=C:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: N.Cs4 - {E14DCE67-8FB7-4721-8149-179BAA4D792C} - C:\WINDOWS\system32\wsock32.sys
O4 - HKLM\..\Run: [BDMCon] C:\Programme\Softwin\BitDefender Professional Edition\\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender Professional Edition\\bdnagent.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender Professional Edition\bdswitch.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\FRITZWLANMini.exe
O4 - HKLM\..\Run: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\RunServices: [Generic Host Process] C:\WINDOWS\system32\scvhost.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung (SharedAccess) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender Professional Edition\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)



Danke schonmal im Voraus.

Gruß Tobi

[Humdinger]

Hallo

Mach bitte noch folgendes:

CCLEANER ausführen

Lade dir Navilog1.zip,auf dem Desktop speichern & entpacken,danach wird einen Ordner Navilog1 auf dem Desktop erstellt.Nun muss du dieser Ordner öffnen,dann Doppelklick auf Navilog1.bat,dann Sprache Auswahl F|f-->Französisch & E|e-->Englisch,den Anweisungen auf dem Bildschirm folgen,immer eine beliebige Taste druecken bis ein Auswahl Fenster erscheint,dann die Taste 1,den Anweisungen auf dem Bildschirm folgen & am Ende den Inhalt von fixnavi.txt hier posten.

WINDOWSSCAN ausführen und posten

[TobiTobsn]

Moin Moin,

danke schonmal für deine schnelle Antwort!!

Hier der Post bzw. die Fixnavi.txt

Search Navipromo version 3.1.1 began on 24.09.2007 at 18:04:39,00

!!! Warning, this report may include legitimate files/programs !!!
!!! Post this report on the forum you are being helped !!!
!!! Don't continue with removal unless instructed by an authorized helper !!!
Fix running from C:\Programme\navilog1
Updated on 21.09.2007 at 18h00 by IL-MAFIOSO

Microsoft Windows XP [Version 5.1.2600]
Version Internet Explorer : 6.0.2900.2180

Done in safe mode

*** Searching for installed Software ***




*** Search folders in C:\WINDOWS ***



*** Search folders in C:\Programme ***



*** Search folders in C:\Dokumente und Einstellungen\All Users\Application Data ***




*** Search folders in C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten ***


*** Search folders in C:\DOKUME~1\ALLUSE~1\STARTM~1\PROGRA~1 ***


*** Search with BlackLight Engine/F-secure ***
BlackLight Engine is a product of F-secure, for more info:
http://www.f-secure.com/blacklight/blacklight_help.html


F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================

Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of October, 2007.
Version information: 2.2.1064.

[+] Started on 09/24/07 at 18:04:41.
[-] ERROR: F-Secure BlackLight cannot be used in safe mode.
[+] Exited on 09/24/07 at 18:04:41 (return code = 3).


*** Search with GenericNaviSearch ***
!!! Possibility of legitims files in the result !!!
!!! To be always checked before manually deleting !!!

* Scan C:\WINDOWS\system32 *



*** Search files ***




*** Search registry keys ***


*** Complementary Search ***
(Search specifics files)

1)Search known files:

2)Heuristic Search :


3)Certificates Search :

Certificate Egroup not found !


*** Search completed on 24.09.2007 at 18:05:03,48 ***



und hier der Report des Windowsscans:

Die 30 neuesten Dateien im Ordner Windows:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS *****
***** ***** ***** ***** *****

24.09.2007 ntbtlog.txt 18 14:317.194
24.09.2007 bootstat.dat 18 14:2.048
24.09.2007 WindowsUpdate.log 18 12:322.151
24.09.2007 SchedLgU.Txt 18 12:32.562
24.09.2007 0.log 18 08:0
21.09.2007 avmcowlan.log 18 26:350
21.09.2007 setupapi.log 18 25:786.525
21.09.2007 GTA-SA_Trn_Settings.ini 12 44:1.078
19.09.2007 GTA-SA_Trn_Garage.gar 14 41:128
18.09.2007 DirectX.log 17 24:1.953
17.09.2007 SpywareDoctor505Installation.log 19 28:279
08.09.2007 winamp.ini 22 00:192
28.08.2007 mpsettings.ini 17 20:332
28.08.2007 NeroDigital.ini 17 20:116
22.08.2007 wiaservc.log 13 00:50
22.08.2007 wiadebug.log 13 00:216
20.07.2007 wmsetup.log 15 18:1.019
16.07.2007 cdplayer.ini 21 23:34
12.07.2007 setupact.log 23 50:173.229
12.07.2007 system.ini 22 45:227
12.07.2007 win.ini 22 45:676
12.07.2007 mozver.dat 22 08:1.140
12.07.2007 nsreg.dat 21 44:0
12.07.2007 ODBC.INI 21 11:400
07.05.2007 spupdsvc.log 23 46:28.949
07.05.2007 DtcInstall.log 23 46:360
07.05.2007 WMSysPr9.prx 23 46:316.640


Die 50 neuesten Dateien im Ordner Windows\system32:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32 *****
***** ***** ***** ***** *****

24.09.2007 wpa.dbl 17 31:2.206
19.09.2007 CmdLineExt.dll 13 11:98.304
17.09.2007 perfh009.dat 19 40:395.200
17.09.2007 perfc009.dat 19 40:59.440
17.09.2007 perfh007.dat 19 40:408.618
17.09.2007 perfc007.dat 19 40:71.598
17.09.2007 PerfStringBackup.INI 19 40:946.822
06.09.2007 03_h-blockx_-_countdown_to_insanity.mp3 13 44:6.039.424
06.09.2007 del32.bat 13 42:156
06.09.2007 g7bdo7u457.ini 13 38:6.228.680
28.08.2007 Chmtps.psc 17 20:16
28.08.2007 prospeed_bmp2jpg.dll 17 20:22.016
27.07.2007 lhacm.acm 18 11:34.064
12.07.2007 BASSMOD.dll 22 43:10.752
12.07.2007 FNTCACHE.DAT 22 36:241.536
12.07.2007 97131E3F1C.sys 22 19:56
12.07.2007 KGyGaAvL.sys 22 19:1.682
12.07.2007 sockspy.dll 20 55:73.728
12.07.2007 msvcr71.dll 20 55:348.160
12.07.2007 mfc71u.dll 20 55:1.047.552
12.07.2007 msvcp71.dll 20 55:499.712
12.07.2007 mfc71.dll 20 55:1.060.864
07.05.2007 spupdwxp.log 23 45:269
07.05.2007 h323log.txt 22 04:0
07.05.2007 wmpscheme.xml 21 15:25.065
07.05.2007 $winnt$.inf 21 11:261
07.05.2007 CONFIG.NT 21 08:2.951
07.05.2007 amcompat.tlb 21 08:16.832
07.05.2007 nscompat.tlb 21 08:23.392
07.05.2007 logonui.exe.manifest 21 07:488
07.05.2007 WindowsLogon.manifest 21 07:488
07.05.2007 ncpa.cpl.manifest 21 07:749
07.05.2007 wuaucpl.cpl.manifest 21 07:749
07.05.2007 cdplayer.exe.manifest 21 07:749
07.05.2007 sapi.cpl.manifest 21 07:749
07.05.2007 nwc.cpl.manifest 21 07:749
07.05.2007 emptyregdb.dat 21 06:21.740
08.03.2007 pxafs.dll 01 51:129.784
08.03.2007 pxcpya64.exe 01 51:64.760
08.03.2007 pxdrv.dll 01 51:510.712
08.03.2007 pxhpinst.exe 01 51:72.440
08.03.2007 pxinsa64.exe 01 51:64.760
08.03.2007 px.dll 01 51:547.576
08.03.2007 vxblock.dll 01 51:39.672
08.03.2007 pxmas.dll 01 51:187.128
08.03.2007 pxsfs.dll 01 51:1.628.920
08.03.2007 pxwave.dll 01 51:379.640


***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32\drivers\etc\hosts *****
***** ***** ***** ***** *****

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost

127.0.0.1 localhost



***** ***** ***** ***** *****
***** Scanning Processe *****
***** ***** ***** ***** *****


Abbildname PID Sitzungsname Sitz.-Nr. Speichernutzung
========================= ===== ================ ========== ===============
System Idle Process 0 0 16 K
System 4 0 216 K
smss.exe 144 0 372 K
csrss.exe 196 0 4.280 K
winlogon.exe 220 0 2.432 K
services.exe 264 0 4.412 K
lsass.exe 276 0 5.148 K
svchost.exe 424 0 3.868 K
svchost.exe 468 0 4.364 K
svchost.exe 524 0 9.520 K
swdsvc.exe 580 0 24.824 K
explorer.exe 744 0 15.768 K
SDTrayApp.exe 796 0 6.832 K
taskmgr.exe 1032 0 1.600 K
cmd.exe 1312 0 1.632 K
tasklist.exe 160 0 3.820 K
wmiprvse.exe 240 0 5.216 K



Microsoft Windows XP [Version 5.1.2600]


http://www.paules-pc-forum.de
***** Malware Team *****


***** Ende des Scans 24.09.2007 um 18:16:31,55 ***





Vielen Dank.
Tobi

[Humdinger]

13 Sept - 24 Sept, die Antwort hat aber gedauert. Poste daher bitte einen aktuellen HijackThis log

[TobiTobsn]

Tach.


Hier die Aktuelle Hijack-Log:



Logfile of HijackThis v1.99.1
Scan saved at 18:32:16, on 24.09.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Doctor\swdsvc.exe
C:\Programme\Spyware Doctor\SDTrayApp.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Softwin\BitDefender Professional Edition\bdmcon.exe
C:\Programme\Softwin\BitDefender Professional Edition\bdswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\avmwlanstick\FRITZWLANMini.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender Professional Edition\vsserv.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Tobi\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box;192.168.178.1
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [BDMCon] C:\Programme\Softwin\BitDefender Professional Edition\\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender Professional Edition\\bdnagent.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender Professional Edition\bdswitch.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\FRITZWLANMini.exe
O4 - HKLM\..\Run: [SDTray] "C:\Programme\Spyware Doctor\SDTrayApp.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\swdsvc.exe
O23 - Service: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung (SharedAccess) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender Professional Edition\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[gipsy111]

Cleanup anwenden, wie hier beschrieben, + PC neu starten
http://virus-protect.org/cleanup.html
_______________________________________________________________________________________

öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung (SharedAccess) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing)
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender Professional Edition\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

_____________________________________________________________________________________

gehe in die Registry

Start->Ausführen --> regedit

»»»
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)
DisableRegistryTools = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)

»»»
HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)

Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn.

»»»
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\ - disablecad -> löschen
_____________________________________________________________________________________

Avenger
http://virus-protect.org/artikel/tools/avenger.html

kopiere rein:

Files to delete:
C:\WINDOWS\system32\lollol.sys
C:\WINDOWS\system32\del32.bat
C:\WINDOWS\system32\wsock32.sys
C:\WINDOWS\system32\ckl009.dat
C:\WINDOWS\system32\scvhost.exe
C:\WINDOWS\C:\WINDOWS\System32\svchost.exe

klicke die grüne Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten
**
poste das Logfile, das nach dem Neustart erscheint
____________________________________________________________________________________

Mache ein Kaspersky - Onlinescan und poste den Report
http://www.kaspersky.com/de/virusscanner

Gruß

Gipsy

[TobiTobsn]

Diese beiden Einträge sind bei mir nicht verzeichnet.

DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)
DisableRegistryTools = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)

der einzige Eintrag ist:

Standart REG_SZ 0

[gipsy111]

Okay wenn sie nicht da sind, dann lass sie weg

[TobiTobsn]

Dieser Eintrag ist auch nicht da


HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD

[TobiTobsn]

So, nun.

Nächstes Problem is, dass wenn ich Avenger ausgeführt hab, mein PC neu startet, aber danach ein "schwarzes Kästchen" auf m Bildschirm erscheint mit folgendem Inhalt:

Die Eingabeaufforderung ist vom Administrator deaktiviert worden.

Kann ich das ganze im abgesicherten Modus nochmal machen???

[gipsy111]

Hast du das gemacht

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\ - disablecad -> löschen