Virus! Bitte helft mir!!!!

[Martin0809]

Link entfernt.

Hi,
also seit kurzem erst habe ich einen Virus. Man sieht es indem sich einfach Fenster öffnen mit werbung oder wenn ich auf ein Youtube-link klicke dann komme ich nicht zum Video sondern zur Werbung und all solche sachen. Könnt ihr mir bitte helfen??
Danke

Edit 2007-10-23, BSB

[BlueScreen-Bertrand]

Unterlasse bitte das Posten von Links zu potenziell gefährlichen Websites.

Mache Folgendes:
Erstelle ein Logfile mit HijackThis gemäß Anleitung und poste es in CODE-Tags in diesem Thread, damit wir sehen können, welche Programme auf deinem Computer laufen und welche Probleme dadurch verursacht werden können. Die aktuellste Version des Programms bekommst du hier ("HijackThis Executable").

[Martin0809]

ok....hab ich gemacht.

hier das Log File :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:34:39, on 23.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\keyhook.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iISystem Wiper\SystemWiper.exe
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\PVR Series\PVR_Console\PVR3.exe
C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.bearshare.com/sidebar.html?src=ssb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.bearshare.com/sidebar.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: ChangerBHO Class - {0edc6c20-a31c-11db-8ab9-0800200c9a66} - C:\WINDOWS\system32\BPEnhanb.dll
O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)
O2 - BHO: WeeklyExecuter Class - {f015f320-ab08-11db-abbd-0800200c9a66} - (no file)
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /firstlogon
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [iIWiper] C:\Programme\iISystem Wiper\SystemWiper.exe m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: PVR Console.lnk = C:\Programme\PVR Series\PVR_Console\PVR3.exe
O4 - Global Startup: PVR3Watch.lnk = C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
O4 - Global Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

--
End of file - 3831 bytes

Code: Alles auswählen

Code: Alles auswählen

[BlueScreen-Bertrand]

1.: Lade File Eraser herunter und installiere das Programm. Lade dir dann die aktuelle Löschliste herunter und wende das Programm gemäß Anleitung an.

2.: Starte HijackThis erneut und wähle die folgenden Einträge durch Anhaken aus:

Code: Alles auswählen

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.bearshare.com/sidebar.html?src=ssb

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.bearshare.com/sidebar.html?src=ssb

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb

O2 - BHO: ChangerBHO Class - {0edc6c20-a31c-11db-8ab9-0800200c9a66} - C:\WINDOWS\system32\BPEnhanb.dll

O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)

O2 - BHO: WeeklyExecuter Class - {f015f320-ab08-11db-abbd-0800200c9a66} - (no file)

Klicke dann auf Fix checked, um diese zu entfernen. Starte Windows neu.

3.: Deine Installation von Windows ist technisch nicht länger aktuell. Besuche die Website update.microsoft.com, um Windows zu aktualisieren und Sicherheitslücken zu schließen.

4.: Erstelle mit HijackThis ein neues Logfile und poste es in CODE-Tags in diesen Thread.

Überlege dir, ob es für deine Bedürfnisse nicht ausreichend wäre, mit einem eingeschränkten Benutzerkonto zu arbeiten, dadurch lassen sich fast alle sicherheitskritischen Angriffe abwehren.

[Martin0809]

hab noch ne Frage: Die Löschliste umfasst ja fast alle Dateien von system32 und noch viele andere Dateien. Soll ich da wirklich alles löschen? und in dem Ordner "Löschliste" sind ja 2 Dateien..soll ich da alle 2 Löschlisten durchnehmen und die enthaltenen Dateien löschen? Mach ich damit nicht den ganzen Windows kaputt?
Sorry...aber ich hab grad nen neuen PC und ich hab noch nicht soviel Ahnung davon...

[BlueScreen-Bertrand]

Wenn du Windows 2000 oder NT verwendest, musst du ntütlich die Löschliste mit dem passenden Namen auswählen. Wenn du eine andere Version von Windows verwendest, dementsprechend die Liste "loeschliste".
Die Dateien sind geprüft, es sollte keine Probleme geben, auch wenn Dateien aus system32 gelöscht werden.

Hast du die Anleitungen und die Hilfeseiten eigentlich gelesen? Die Fragen hab ich ja noch nie gestellt bekommen...

[Martin0809]

ok....ich hab grad alles so gemacht wie du es mir erklärt hast aber
wenn ich die Liste bei FileEraser hochlad und dann auf "Löschen" klicke
dann steht da unten das "0" von "419" Dateien gelöscht wurden ...also das es gar nichts gelöscht hat. Was soll ich jetzt tun?

[Martin0809]

und noch am Anfang wenn ich die Löschliste öffne dann kommt das da:

14:56:17: Can not enumerate files in directory 'C:\Program Files\Media Access ' (error 3: das System kann den angegebenen Pfad nicht finden.)
14:56:17: Can not enumerate files in directory 'C:\Program Files\Media Access ' (error 3: das System kann den angegebenen Pfad nicht finden.)
14:56:17: Can not enumerate files in directory 'C:\Programme\MyWebSearch ' (error 3: das System kann den angegebenen Pfad nicht finden.)
14:56:17: Can not enumerate files in directory 'C:\Programme\MyWebSearch ' (error 3: das System kann den angegebenen Pfad nicht finden.)

[BlueScreen-Bertrand]

Das ist doch gut, dann wurde keine der in der Liste genannten Dateien gefunden.
Die Dateien sind Bestandteile von Spyware, Viren oder gefährlichen Programmen. Der Liste werden immer wieder neue Einträge hinzugefügt.

Also, File Eraser musste keine gefährlichen Dateien löschen, weil keine da waren.
Jetzt kannst du die Schritte 2, 3 und 4 abarbeiten.

[Martin0809]

Ok! YouTube funktioniert jetzt wieder...
Danke nochmal an Dich und das Forum! Echt Super!!!

mfg Martin0809

hier noch das letzte Log File :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:17:33, on 25.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\keyhook.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iISystem Wiper\SystemWiper.exe
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\PVR Series\PVR_Console\PVR3.exe
C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /firstlogon
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [iIWiper] C:\Programme\iISystem Wiper\SystemWiper.exe m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: PVR Console.lnk = C:\Programme\PVR Series\PVR_Console\PVR3.exe
O4 - Global Startup: PVR3Watch.lnk = C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
O4 - Global Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 3315972961
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 3316361270
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

--
End of file - 3592 bytes

[BlueScreen-Bertrand]

1.: Lade die AVG-Antispyware von der Website http://ewido.net/de/download/ herunter und installiere das Programm.

2.: (entfällt)

3.: Starte HijackThis und wähle die folgenden Einträge durch Anhaken aus:

Code: Alles auswählen

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb

Klicke dann auf Fix checked, um diese zu entfernen. Starte Windows neu.

4.: Windows wurde noch nicht aktualisiert. Besuche die Website update.microsoft.com, um Windows zu aktualisieren und Sicherheitslücken zu schließen.

Es fehlen noch mindestens drei Sicherheitsupdates!

5.: Starte jetzt AVG-Antispyware und führe eine vollständige Überprüfung des Systems durch. Falls Dateien nicht gelöscht werden können, musst du diesen Schritt im abgesicherten Modus wiederholen.

6.: Starte Windows neu, erstelle ein aktuelles Logfile und poste es in CODE-Tags in diesen Thread.

[Martin0809]

also...ich kann meinen Windows nicht aktualiesieren weil ich angeblich keinen zulässigen Product-Key hab und als ich dann bei Microsoft angerufen hab ist niemand rangegangen also hab ich jetz diesen Arbeitsauftrag übersprungen und hab weiter gemacht....hier das LogFile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:40:49, on 26.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\keyhook.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iISystem Wiper\SystemWiper.exe
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\PVR Series\PVR_Console\PVR3.exe
C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\wpabaln.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /firstlogon
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [iIWiper] C:\Programme\iISystem Wiper\SystemWiper.exe m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: PVR Console.lnk = C:\Programme\PVR Series\PVR_Console\PVR3.exe
O4 - Global Startup: PVR3Watch.lnk = C:\Programme\PVR Series\PVR_Console\PVRWatch.exe
O4 - Global Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 3315972961
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 3316361270
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Prog

[Humdinger]

Überprüfe mal so das Erbgebnis:

Onlinescan vom gesamten System (wähle Arbeitsplatz):
Kaspersky Online Scanner
benötigt ActiveX --> IE ,
d.h. du mußt dafür Active X evtl. freigeben unter Interneteinstellungen.
Report vollständig posten.

[BlueScreen-Bertrand]

also...ich kann meinen Windows nicht aktualiesieren weil ich angeblich keinen zulässigen Product-Key hab und als ich dann bei Microsoft angerufen hab ist niemand rangegangen also hab ich jetz diesen Arbeitsauftrag übersprungen und hab weiter gemacht....

ist ja mal ein Lacher, "bei Microsoft geht niemand ans Telefon", na klar!

Lade das Key Update Tool herunter und gib den CD-Key an, der auf dem grünlichen Aufkleber auf der Rückseite des PCs steht.
http://www.microsoft.com/genuine/selfhe ... 2d47a87857

Logfiles das nächste Mal bitte vollständig posten.
Was hat sich beim Scan mit der AVG-Antispyware ergeben?

[Martin0809]

also....bei Microsoft hat halt das 1.mal jemand gesprochen und aufgelegt und brim 2.mal war es besetzt wie beim 3. und 4. mal. Und bei dem AVG Antispyware hab ich den ganzen PC durchgescannt und dann kamen da 3.384 infizierte objekte ,davon 11 "Mittelgefährlich" und 1"Hochgefährlich" ...die hab ich dann gelöscht ,waren irgendwelche viruse.