CID popupfenster öffnen sich ständig

[Betty_BLN78]

hallo,

frohes fest allen. ich habe probleme mit nem popup fenster. CID .... habe auch schon ein logfile erstellt, nur leider habe ich keine ahnung davon ich hoffe jemand kann mir behilflich sein...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:31:16, on 24.12.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\PRISMSTA.EXE
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\pdf24\PDF24Updater.exe
C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PDFPrint] "C:\Programme\pdf24\PDF24Updater.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Proc Deaf Delete Peak] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\file joy proc deaf\SIXTH IDOL.exe
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Safe Bib] C:\DOKUME~1\user\ANWEND~1\TRANSI~1\junkmeal.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredi ... YYYYYYYYDE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\scieplugin.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/pr02/re ... NPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 6755826671
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 6755813859
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://static.ak.studivz.net/photouploa ... oader4.cab
O16 - DPF: {BD8667B7-38D8-4C77-B580-18C3E146372C} (Creative Toolbox Plug-in) - http://bmm.imgag.com/imgag/cp/install/crusher-de.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0EBD35DE-6293-48AB-BA9F-BBC271443198}: NameServer = 213.191.74.18 62.109.123.196
O17 - HKLM\System\CS1\Services\Tcpip\..\{0EBD35DE-6293-48AB-BA9F-BBC271443198}: NameServer = 213.191.74.18 62.109.123.196
O23 - Service: Kaspersky Personal Security Suite V (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XII\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XII\RpcSandraSrv.exe

--
End of file - 7456 bytes

[BlueScreen-Bertrand]

Vorbereitungen
Beende, bevor du fortfährst, die folgenden Programme, sofern sie laufen und vorhanden sind:
- Antivirenprogramme
- Firewall (außer Windows-Firewall)
- Spybot S&D TeaTimer
(In der Regel lassen sich alle über die Symbole rechts in der Taskleiste beenden oder anhalten)

Um sich bei der Verwendung von Onlinescannern oder HijackThis nicht störend auf die Leistung dieser Programme auszuwirken, sollten auch alle anderen Anwendungsprogramme beendet werden.

Ermittlung und Löschung gefährlicher Dateien
Lade File Eraser herunter und installiere das Programm. Lade dir dann die aktuelle Löschliste herunter. Beachte die Anleitung oder drucke sie aus (im abgesicherten Modus wird keine internetverbindung möglich sein). Führe noch keinen Löschvorgang durch!

Lade Datfindbat herunter und starte das Programm. Es werden mehrere Textdateien erstellt, die Listen der Inhalte wichtiger Ordner enthalten. Bearbeite diese Listen so, dass nur die Inhalte der letzten dreißig Tage angezeigt werden und speichere die Dateien ab.

Lade die folgenden Dateien auf der Website virustotal.com hoch, um sie zu überprüfen:

Code: Alles auswählen

C:\DOKUME~1\user\ANWEND~1\TRANSI~1\junkmeal.exe

Rufe die Website kaspersky.com/kos/german/...kavwebscan... im Internet Explorer auf; beachte die Hinweise.
Führe eine komplette Überprüfung durch und stelle den Bericht in CODE-Tags ein.

Starte Windows im abgesicherten Modus neu.
Lösche die folgenden Dateien:

Code: Alles auswählen

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\file joy proc deaf\SIXTH IDOL.exe

Lösche auch die oben genannten Dateien, falls sie bösartig sind und stelle den Bericht von Virustotal in CODE-Tags ein.

Wende jetzt File Eraser gemäß der Anleitung an.

Unnötige und gefährliche Einträge mit HijackThis beheben
Starte HijackThis erneut und wähle die folgenden Einträge durch Anhaken aus:

Code: Alles auswählen

O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Proc Deaf Delete Peak] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\file joy proc deaf\SIXTH IDOL.exe

O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZSYYYYYYYYDE

O16 - DPF: {BD8667B7-38D8-4C77-B580-18C3E146372C} (Creative Toolbox Plug-in) - http://bmm.imgag.com/imgag/cp/install/crusher-de.cab

Klicke dann auf Fix checked, um diese Einträge zu entfernen. Starte Windows neu.

Berichte erstellen
Erstelle mit HijackThis einen neuen Bericht und stelle ihn in CODE-Tags in diesem Thread ein, genauso, sofern vorhanden, die Berichte von Kaspersky, Virustotal und Datfindbat.

Code: Alles auswählen

Der Text in Code-Tags sieht später so aus und wird zwischen die Tags [code]und[/code] geschrieben.

[Betty_BLN78]

erstmal vielen dank für deine mühen.

das "hört" sich alles soooo schwierig an. ich hoffe nur ich kann das. nicht das ich mein laptop in die luft jag wie kann ich mich denn in zukunft davor schützen? vorher hatte ich ja avast bis gestern... scheint ja auch nicht das wahre zu sein. und dann eine für euch sicher banale frage: was ist ein thread????

viele grüsse aus berlin

[BlueScreen-Bertrand]

Diesen Thread hier hast du erstellt, um dein Problem zu beschreiben. Um innerhalb eines Threads weiterzuschreiben, musst du nur auf "Antwort erstellen" klicken.

avast! finde ich jetzt nicht schlcht, bei mir hat es sich in Extremfällen jedenfalls schnell gemeldet (im Gegensatz zu einem Programm mit Anti- am Anfang).

Es kann beim Arbeiten mit HijacklTHis nichts kaputt gehen, solange du nach Anleitung vorgehst. Falls dann etwa snicht geht, kann man die von HJT angelegten Backups wiederherstellen.

Um sich besser vor soetwas zu schützen gibt es zwei wichtige Regeln:
- Nichts runterladen, was man nicht kennt oder was nicht gut beschrieben ist
- unter einem eingeschränkten Konto arbeiten.
Siehe dazu auch: http://www.madeonapc.de/kb/105/default.php

[Betty_BLN78]

huhu, beim online scannen vom arbeitsplatz tauchen zwei viren auf... was nu??

PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Mittwoch, 26. Dezember 2007 22:03:53
Betriebssystem: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.98.1
Letztes Update der Antiviren-Datenbanken: 26/12/2007
Anzahl der Einträge in den Antiviren-Datenbanken: 494565
-------------------------------------------------------------------------------

Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Arbeitsplatz:
C:\
D:\

Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 44773
Viren gefunden: 2
Infizierte Objekte gefunden: 2
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 00:50:58

Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\0094_File_Monitoring_eventlog.rpt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\0098_Web_Monitoring_eventlog.rpt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\detected.idx Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\detected.rpt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\eventlog.rpt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab\AVP6\Report\report.rpt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Anwendungsdaten\Microsoft\Feeds Cache\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Verlauf\History.IE5\MSHist012007122620071227\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\user\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Programme\MSN Messenger\riched20.dll Infizierte Objekte: not-a-virus:AdTool.Win32.MyWebSearch übersprungen
C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
C:\System Volume Information\_restore{05AB8B31-7DEE-4166-8212-D3DB397A56DB}\RP109\A0011494.dll Infizierte Objekte: not-a-virus:AdTool.Win32.MyWebSearch.au übersprungen
C:\System Volume Information\_restore{05AB8B31-7DEE-4166-8212-D3DB397A56DB}\RP179\change.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\S7E7963E7.tmp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Sti_Trace.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\CatRoot2\edb.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\CatRoot2\tmp.edb Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\Internet.evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\fidbox.dat Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\fidbox.idx Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\fidbox2.dat Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\fidbox2.idx Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562dfc5b4.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562dfcc98.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f4936b.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f49b09.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f4a302.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f4a9e6.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f52b03.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\TEMP\cch~562f53225.htp Das Objekt ist gesperrt übersprungen
C:\WINDOWS\wiadebug.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\wiaservc.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen

Die Untersuchung wurde abgeschlossen.

[BlueScreen-Bertrand]

Starte noch einmal im angesicherten Modus und lösche manuell:
C:\Programme\MSN Messenger\riched20.dll

C:\System Volume Information\_restore{05AB8B31-7DEE-4166-8212-D3DB397A56DB}\RP109\A0011494.dll

Bei der zweiten Datei kann es eventuell Probleme geben; sonst versuchen, das Viorus mit einem AV-Programm zu eliminieren.

[gipsy111]

C:\System Volume Information\_restore{05AB8B31-7DEE-4166-8212-D3DB397A56DB}\RP109\A0011494.dll

Für dieses Problem einfach mal dies ausprobieren!

Start --> Systemsteuerung --> System --> Systemwiederherstellung --> "Systemwiederherstellung auf ....." anklicken --> ok --> PC neustarten --> und dann wieder alles rückgängig machen.

Viel Spaß und Mfg

Gipsy

[Betty_BLN78]

also... file eraser ging nicht. das programm hat null dateien gelöscht. komisch. aber hier mal die anderen sachen...

Code: Alles auswählen

Logfile

of Trend Micro HijackThis v2.0.2
Scan saved at 20:46:00, on 27.12.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\PRISMSTA.EXE
C:\Programme\pdf24\PDF24Updater.exe
C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PDFPrint] "C:\Programme\pdf24\PDF24Updater.exe"
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Safe Bib] C:\DOKUME~1\user\ANWEND~1\TRANSI~1\junkmeal.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\scieplugin.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/par ... nicode.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/pr02/re ... NPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftup ... 6755826671
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 6755813859
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://static.ak.studivz.net/photouploa ... oader4.cab
O23 - Service: Kaspersky Personal Security Suite V (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Security Suite V\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XII\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite XII\RpcSandraSrv.exe

--
End of file - 6188 bytes

Code: Alles auswählen

Datfind.bat

Datfind.bat
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: F488-3821

Verzeichnis von C:\WINDOWS\system32

27.12.2007 20:23 2.206 wpa.dbl
27.12.2007 09:41 404.302 perfh009.dat
27.12.2007 09:41 63.522 perfc009.dat
27.12.2007 09:41 419.544 perfh007.dat
27.12.2007 09:41 76.410 perfc007.dat
27.12.2007 09:41 974.848 PerfStringBackup.INI
24.12.2007 09:18 2.953 CONFIG.NT
13.12.2007 09:03 387.268 TZLog.log
11.12.2007 23:34 200.704 ssldivx.dll
11.12.2007 23:34 1.044.480 libdivx.dll
03.12.2007 00:00 18.684.536 MRT.exe
13.11.2007 12:31 60.416 tzchange.exe
31.10.2007 00:19 3.590.656 mshtml.dll
29.10.2007 23:42 1.293.312 quartz.dll
29.10.2007 16:07 373.760 xpsp3res.dll
25.10.2007 17:42 8.501.248 shell32.dll
25.10.2007 09:28 222.720 wmasf.dll
17.10.2007 10:29 5.686 jupdate-1.6.0_03-b05.log
11.10.2007 00:46 232.960 webcheck.dll
11.10.2007 00:46 1.159.680 urlmon.dll
11.10.2007 00:46 824.832 wininet.dll
11.10.2007 00:46 671.232 mstime.dll
11.10.2007 00:46 105.984 url.dll
11.10.2007 00:46 102.400 occache.dll
11.10.2007 00:46 193.024 msrating.dll
11.10.2007 00:46 478.208 mshtmled.dll
11.10.2007 00:46 44.544 iernonce.dll
11.10.2007 00:46 267.776 iertutil.dll
11.10.2007 00:46 52.224 msfeedsbs.dll
11.10.2007 00:46 27.648 jsproxy.dll
11.10.2007 00:46 1.831.424 inetcpl.cpl
11.10.2007 00:46 459.264 msfeeds.dll
11.10.2007 00:46 6.065.664 ieframe.dll
11.10.2007 00:46 124.928 advpack.dll
11.10.2007 00:46 132.608 extmgr.dll
11.10.2007 00:46 383.488 ieapfltr.dll
11.10.2007 00:46 63.488 icardie.dll
11.10.2007 00:46 230.400 ieaksie.dll
11.10.2007 00:46 153.088 ieakeng.dll
11.10.2007 00:46 214.528 dxtrans.dll
11.10.2007 00:46 384.512 iedkcs32.dll
10.10.2007 11:59 13.824 ieudinit.exe
10.10.2007 11:59 70.656 ie4uinit.exe
10.10.2007 06:46 161.792 ieakui.dll
29.09.2007 17:50 243.920 FNTCACHE.DAT
24.09.2007 22:31 139.264 javaws.exe
24.09.2007 22:31 69.632 javacpl.cpl

Code: Alles auswählen

2.Log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: F488-3821

Verzeichnis von C:\DOKUME~1\user\LOKALE~1\Temp

27.12.2007 20:28 2.076 jusched.log
27.12.2007 20:26 1.013 ~WRD0001.doc
27.12.2007 20:26 16.384 ~WRF0000.tmp
27.12.2007 20:26 512 ~DF4685.tmp
27.12.2007 20:26 512 ~DF3AC9.tmp
24.12.2007 09:24 51.885 caevents.log
24.12.2007 09:23 0 kleaner.log
7 Datei(en) 72.382 Bytes
0 Verzeichnis(se), 16.034.582.528 Bytes frei

Code: Alles auswählen

3. Log

27.12.2007 20:22 1.253.890 WindowsUpdate.log
27.12.2007 20:22 50 wiaservc.log
27.12.2007 20:22 159 wiadebug.log
27.12.2007 20:22 0 0.log
27.12.2007 20:22 2.048 bootstat.dat
26.12.2007 19:58 3.643 setupapi.log
17.12.2007 13:37 68 DVDRegionFree.INI
23.11.2007 14:27 116 NeroDigital.ini
23.10.2007 17:47 286.720 Setup1.exe
23.10.2007 17:47 73.216 ST6UNST.EXE
21.10.2007 21:12 48 S7E7963E7.tmp
11.10.2007 10:52 0 iplayer.INI
23.09.2007 08:14 400 ODBC.INI
23.09.2007 08:14 644 win.ini
18.07.2007 20:30 1.140 mozver.dat
27.06.2007 08:12 116 wininit.ini
16.06.2007 09:48 0 nsreg.dat
13.06.2007 14:21 1.036.288 explorer.exe
08.06.2007 07:26 316.640 WMSysPr9.prx
15.05.2007 07:34 3.886 ModemLog_Intel(R) 537EA Modem.txt
25.04.2007 06:32 119 telephon.ini
19.04.2007 13:05 60.416 ALCFDRTM.EXE
19.04.2007 13:05 60.416 ALCFDRTM.VER
13.04.2007 16:59 0 Sti_Trace.log
13.04.2007 16:54 231 system.ini
13.04.2007 16:23 0 control.ini
13.04.2007 16:23 4.161 ODBCINST.INI
13.04.2007 16:21 749 WindowsShell.Manifest
13.04.2007 16:18 37 vbaddin.ini
13.04.2007 16:18 36 vb.ini

Code: Alles auswählen

4. Log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: F488-3821

Verzeichnis von C:\WINDOWS\TEMP

27.12.2007 20:24 409 WGANotify.settings
27.12.2007 20:22 255 WGAErrLog.txt
23.12.2007 09:07 16.384 Perflib_Perfdata_6c8.dat
3 Datei(en) 17.048 Bytes
0 Verzeichnis(se), 16.034.615.296 Bytes frei

Code: Alles auswählen

5. Log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: F488-3821

Verzeichnis von C:\WINDOWS\Downloaded Program Files

11.12.2007 14:32 214 DivXPlugin.inf
21.10.2007 21:40 2.305 kavwebscan.inf
06.06.2007 17:34 2.631.480 ImageUploader4.ocx
06.06.2007 17:32 377 ImageUploader4.inf
13.04.2007 16:21 65 desktop.ini
13.04.2007 14:27 367 LegitCheckControl.inf
28.02.2007 19:24 361 OGAControl.inf
09.01.2007 07:30 110.592 PURde-de.dll
20.06.2006 14:44 379.704 MsnPUpld.dll
19.06.2006 13:40 393 MsnPUpld.inf
14.07.2005 15:28 365 f3initialsetup1.0.0.15-3.inf
26.05.2005 03:19 293 muweb.inf
26.05.2005 03:19 291 wuweb.inf
13.01.2005 14:59 233 Crusher.inf
15.10.2004 06:53 110.592 PURde-xx.dll
22.09.2004 14:59 110.592 PURen-us.dll
16 Datei(en) 3.348.224 Bytes
0 Verzeichnis(se), 16.034.611.200 Bytes frei

Code: Alles auswählen

6. Log

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: F488-3821

Verzeichnis von C:\

27.12.2007 20:33 0 sys.txt
27.12.2007 20:33 1.082 down.txt
27.12.2007 20:32 396 tmp.txt
27.12.2007 20:29 6.248 system.txt
27.12.2007 20:28 588 systemtemp.txt
27.12.2007 20:25 103.183 system32.txt
27.12.2007 20:22 535.875.584 hiberfil.sys
27.12.2007 20:22 805.306.368 pagefile.sys
21.04.2007 06:05 230 License.key
13.04.2007 16:23 0 AUTOEXEC.BAT
13.04.2007 16:23 0 CONFIG.SYS
13.04.2007 16:23 0 MSDOS.SYS
13.04.2007 16:23 0 IO.SYS
13.04.2007 16:11 211 boot.ini
28.07.2006 15:30 8.076.288 GERMUI.msp
28.07.2006 15:30 8.636.416 MSSP3GE.msp
28.07.2006 11:15 3.563 MSSP3GE_readme.txt
28.07.2006 11:09 3.554 MUI_readme.txt
17.07.2006 01:00 4.952 bootfont.bin
17.07.2006 01:00 251.184 ntldr
17.07.2006 01:00 47.564 NTDETECT.COM
21 Datei(en) 1.358.317.411 Bytes
0 Verzeichnis(se), 16.034.607.104 Bytes frei

Code: Alles auswählen

und das war der onlinescann:

Datei junkmeal.exe_ empfangen 2007.12.26 19:46:59 (CET)
Status: Beendet
Ergebnis: 3/31 (9.68%)
Filter
Drucken der Ergebnisse
Email:



Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.12.27.10 2007.12.26 -
AntiVir 7.6.0.46 2007.12.26 -
Authentium 4.93.8 2007.12.26 -
Avast 4.7.1098.0 2007.12.26 -
AVG 7.5.0.516 2007.12.26 -
BitDefender 7.2 2007.12.26 Trojan.Obfus.6.Gen
CAT-QuickHeal 9.00 2007.12.26 -
ClamAV 0.91.2 2007.12.26 -
DrWeb 4.44.0.09170 2007.12.26 -
eSafe 7.0.15.0 2007.12.26 -
eTrust-Vet 31.3.5400 2007.12.24 -
Ewido 4.0 2007.12.26 -
FileAdvisor 1 2007.12.26 -
Fortinet 3.14.0.0 2007.12.26 -
F-Prot 4.4.2.54 2007.12.25 -
F-Secure 6.70.13030.0 2007.12.26 -
Ikarus T3.1.1.15 2007.12.26 -
Kaspersky 7.0.0.125 2007.12.26 -
McAfee 5193 2007.12.26 -
Microsoft 1.3109 2007.12.26 -
NOD32v2 2747 2007.12.25 -
Norman 5.80.02 2007.12.26 -
Panda 9.0.0.4 2007.12.25 -
Prevx1 V2 2007.12.26 Heuristic: Suspicious Self Modifying File
Rising 20.24.21.00 2007.12.26 -
Sophos 4.24.0 2007.12.26 -
Sunbelt 2.2.907.0 2007.12.21 -
Symantec 10 2007.12.26 -
TheHacker 6.2.9.169 2007.12.26 -
VBA32 3.12.2.5 2007.12.26 suspected of MalwareScope.Trojan-Downloader.Obfuscated.2 (paranoid heuristics)
VirusBuster 4.3.26:9 2007.12.26 -
weitere Informationen
File size: 413184 bytes
MD5: a9de11a92aab5c972b136570e1374f87
SHA1: f961e2893113fe2e738d7e6c839bfe54aa0171ce
PEiD: -
Prevx info: http://info.prevx.com/aboutprogramtext. ... 002248F64B

[BlueScreen-Bertrand]

Lösche die Datei C:\DOKUME~1\user\ANWEND~1\TRANSI~1\junkmeal.exe im abgesicherten Modus.
Fixe mit HijackThis:
O4 - HKCU\..\Run: [Safe Bib] C:\DOKUME~1\user\ANWEND~1\TRANSI~1\junkmeal.exe
Mehr kann ich jetzt nicht sehen. Gibt's noch Probleme?

[Betty_BLN78]

guten morgen,

also gestern gabs kein popupfenster mehr und heut grad auch nicht. dieser abgesicherte modus funktioniert nicht... ich habs nach anleitung gemacht aber meine F8 taste geht nicht... F2 und F12 funktionieren.

werd dann jetzt die letzen schritte ausführen.
nochmals vielen dank für die schnelle hilfe. echt cool.

[BlueScreen-Bertrand]

Unter Windows 95 und 98 funktionierte auch F5, um ohne Auswahl im abgesicherten Modus zu starten; vielleicht ist das bei XO auch noch so.

[Betty_BLN78]

wenn ich F5 drücke komm ich in den abgesicherten modus. vielen dank für alles. guten rutsch.