Trojaner und Viren auf meinem Computer

[bogemile]

Hallo,

ich fürchte, meine Computer ist total mit Trojanern und Viren und was weiß ich noch allem verseucht. Habe mit Ad-Aware und Search & Destroy etliche Probleme gehabt. Zwar wurden die fast alle gelöscht, aber das kanns doch wohl unmöglich gewesen sein. Da ich mich in Euren anderen Beiträgen ein bisschen informiert habe, kommt hier noch das Logfile von HijackThis:Logfile of HijackThis v1.98.2
Scan saved at 13:39:21, on 11.09.2004
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP2 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Roxio\GoBack\GBPoll.exe
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\SymTray.exe
C:\WINNT\SOUNDMAN.EXE
C:\WINNT\System32\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINNT\System32\internat.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Roxio\GoBack\GBTray.exe
C:\Programme\Norton SystemWorks\Norton Utilities\SYSDOC32.EXE
C:\PROGRA~1\WinZip\winzip32.exe
C:\Programme\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O1 - Hosts: 12.129.205.209 auto.search.msn.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Startup: Norton System Doctor.LNK = C:\Programme\Norton SystemWorks\Norton Utilities\SYSDOC32.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: GoBack.lnk = C:\Programme\Roxio\GoBack\GBTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} - http://install.serviceurl.de/StarInstall.ocx

Ich hoffe, daß da noch was zu machen ist. Für Eure Hilfe wäre ich sehr dankbar, denn ich kann damit jetzt nichts anfangen, zumindest traue ich mir nicht zu, zu entscheiden, was schlecht ist und was nicht.

Gruß Bogemile

[Computerdirk]

Hallöchen,

also meiner Meinung nach solltest du dir eine aktuelle Version des Internet Explorer isntallieren. Und folgende Einträge solltest du fixen:

R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O1 - Hosts: 12.129.205.209 auto.search.msn.com
O4 - HKCU\..\Run: [internat.exe] internat.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} - http://install.serviceurl.de/StarInstall.ocx

So ich denke das sollte es gewesen. Dazu natürlich Antivirensoftware und Ad-aware oder spybot Search & Destroy immer auf aktuellem stand halten...

[Gabi]

@ dirk

was heißt denn fixen?

Danke schon mal

Gabi

[Computerdirk]

Hallöchen,

das ist eine Option des Programmes HijackThis, damit wird das Programm die entsprechend ausgewählten Einträge beheben...

Anleitung unter folgendem Link:

http://www.dirks-computerecke.de/hijackthis-anleitung.htm

[Gabi]

Hallo Dirk,

danke schön, das muss ich unbedingt mal zu Hause an meinem PC durchlaufen lassen, denn da surfen ja alle mit.

Gruß Gabi

[Nikita]

Hallo @bogemile

Fixe

R3 - URLSearchHook: (no name) - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O1 - Hosts: 12.129.205.209 auto.search.msn.com
O4 - HKCU\..\Run: [internat.exe] internat.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} - http://install.serviceurl.de/StarInstall.ocx

NEUSTARTEN

#mit Editor oeffnen:
die Host-Datei: in
c:\Windows\System32\drivers\etc\hosts
C:\WINNT\SYSTEM32\DRIVERS\ETC
Im Normalfall sollte dass hier drin stehen,
127.0.0.1 localhost

LOESCHEN:
Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
Hosts: 12.129.205.209 auto.search.msn.com

#Lade den "eScan"
http://www.mwti.net/antivirus/free_utilities.asp
suche mit der Suchfunktion von Windows eine "kavupd.exe" und anklicken.(kann auch im Temporary-Ordner sein)
Start<Ausfuehren< %temp%
Es oeffnet sich ein DOS-Fenster und es wird ein Update ausgeführt (dauert ein bisschen)
#Gehe unbedingt in den abgesicherten Modus (!)
http://www.bsi.de/av/texte/winsave.htm
#suche "mwav.exe und starte so den< eScan<. Alle Häkchen setzen und "Clean-Scan" klicken.

#Nach dem Scann, gehe wieder in den Normalmodus , scanne noch mal und poste alles, was als <deleted< und <renamed< und <no action taken< gefunden wurde das neue Log vom HijackThis noch mal.(denn der Dialer muss manuell geloescht werden !!!!)

mfg
Nikita

[bogemile]

Hallo,

also, mir ist alles klar mit dem Fixen und dem eScan, aber bei diesem Punkt weiß ich nicht genau, was ich da machen soll:

NEUSTARTEN

#mit Editor oeffnen:
die Host-Datei: in
c:\Windows\System32\drivers\etc\hosts
C:\WINNT\SYSTEM32\DRIVERS\ETC
Im Normalfall sollte dass hier drin stehen,
127.0.0.1 localhost

LOESCHEN:
Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
Hosts: 12.129.205.209 auto.search.msn.com

Vielleicht steh' ich auch irgendwie auf der Leitung, aber mit welchem Editor soll ich öffnen, und wie finde ich diese beiden Hosts zum Löschen genau?

Gruß
Bogemile

[GrayGhost]

Hallo,
Ich gehe mal davon aus, dass du den angegebenen Pfad finden kannst. Wenn nicht, dann gehe mal im Datei Explorer unter Extras -> Ordneroptionen -> Ansicht zur Option "Geschützte Systemdateien ausblenden" und nehme das Häkchen davor weg gegebenenfalls noch das Häkchen vor "Inhalte von Systemordnern anzeigen" setzen.

In dem Ordner ETC finderst du vermutlich 5 Dateien, alle ohne Dateiendung. Die Datei hosts klickst du mit der rechten Maustaste an und wählst Öffnen... Es öffnet sich ein Fenster, dort selektierst du die Option "Programm aus einer Liste auswählen". In der Liste suchst du nach "Editor" und wählst den Eintrag aus. Nun öffnet sich der Texteditor in dem du die Änderungen vornehmen kannst. So sieht die hosts Datei bei mir aus:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost

127.0.0.1 localhost

[Nikita]

oder du machst es mit diesem Tool:

Download < Hoster<
http://members.aol.com/toadbee/hoster.zip
Klicke: 'Restore Original Hosts' und klicke: 'OK'
Exit Program.

mfg
Nikita

[bogemile]

Hallo,

habe jetzt alles gefixt, einen Neustart gemacht und die hosts Datei gesucht und mit dem Editor geöffnet. Die zwei angegebenen hosts waren nicht mehr da, brauchte ich also auch nicht zu löschen.

Danach den eScan gedownloadet, aber die "kavupd.exe" nicht gefunden, weder mit der Suchfunktion noch im Temporary Odner.

Was soll ich jetzt machen?

Gruß
Bogemile

[Nikita]

Hallo @bogemile

scanne ohne Update (denn die kavupd.exe ist ein Updater ueber DOS)
Vielleicht ist sie in
Start<Ausfuehren<%temp% (reinkopieren)

Poste nach dem Scann, (abkopieren aus Viewer),was das Tool gefunden hat und das neue Log vom HijackThis.

mfg
Nikita

[Gabi]

@ nikita

guten morgen,

für welches Programm ist die kapuvd.exe?

Danke dir

Gabi

[Nikita]

Hallo @Gabi

kapuvd.exe ist der updater fuer das Antivirentool "eScan" (mwav.exe)
mfg
Nikita

[Gabi]

Hallo Nikita,

ich dachte es mir, wollte aber nur noch mal sichergehen, weil ich diese jetzt endlich gefunden habe*lach*

Gruß Gabi

[bogemile]

Hallo,

jetzt habe ich es endlich geschafft, aber mir scheint, da habe ich mir ganz schön was aufgeladen......

Hier das Ergebnis vom eScan:
File C:\WINNT\erdkunde.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
File C:\WINNT\landkarte.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
File C:\WINNT\System32\ATPartners.dll_tobedeleted infected by "TrojanDownloader.Win32.Rameh.c" Virus. Action Taken: File Deleted.
File C:\WINNT\System32\in3.dll infected by "TrojanDownloader.Win32.Keenval.e" Virus. Action Taken: File Deleted.
File C:\Dokumente und Einstellungen\HelmutNick1\Anwendungsdaten\Microsoft\Office\Zuletzt verwendet\20040428 6???????????(???_CTC-Disc.LNK infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\HelmutNick1\Lokale Einstellungen\Temp\Del36.tmp infected by "not-a-virus:AdvWare.180Solutions" Virus. Action Taken: File Deleted.
File C:\Dokumente und Einstellungen\HelmutNick1\Lokale Einstellungen\Temp\Del5E.tmp infected by "not-a-virus:AdvWare.180Solutions" Virus. Action Taken: File Deleted.
File C:\Dokumente und Einstellungen\HelmutNick1\Lokale Einstellungen\Temp\Ebates.exe infected by "not-a-virus:AdvWare.HelpExpress" Virus. Action Taken: File Renamed.
File C:\Programme\Norton SystemWorks\Norton AntiVirus\Quarantine\671D0862 infected by "I-Worm.Sircam.c" Virus. Action Taken: File Deleted.
File C:\Programme\Norton SystemWorks\Norton AntiVirus\Quarantine\6A26110B infected by "I-Worm.Sircam.c" Virus. Action Taken: File Deleted.
File C:\WINNT\erdkunde.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
File C:\WINNT\iDefender\def_bundle.exe infected by "TrojanDownloader.Win32.Wren.d" Virus. Action Taken: File Deleted.
File C:\WINNT\iLookup\TTIL.exe infected by "not-a-virus:AdvWare.EZula.a" Virus. Action Taken: File Renamed.
File C:\WINNT\landkarte.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
File D:\CTC\20040428 6???????????(???_CTC-Disc.xls infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File D:\Programme\Bildschirmschoner\asianbikini_vol1.exe infected by "not-a-virus:AdvWare.Toolbar.Quick.a" Virus. Action Taken: File Renamed.
File D:\Programme\Bildschirmschoner\asianbikini_vol2.exe infected by "not-a-virus:AdvWare.Toolbar.Quick.a" Virus. Action Taken: File Renamed.
File D:\Programme\Bildschirmschoner\asianbikini_vol3.exe infected by "not-a-virus:AdvWare.Toolbar.Quick.a" Virus. Action Taken: File Renamed.
File D:\Programme\Bildschirmschoner\bikini3_whg.exe infected by "not-a-virus:AdvWare.HelpExpress" Virus. Action Taken: File Renamed.
File C:\WINNT\erdkunde.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.
File C:\WINNT\landkarte.exe.exe tagged as not-a-virus:PornWare.Dialer.Intexdial. No Action Taken.


Und hier das neue Logfile von HijackThis:
Logfile of HijackThis v1.98.2
Scan saved at 10:33:06, on 16.09.2004
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP2 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\Programme\Roxio\GoBack\GBPoll.exe
C:\Programme\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINNT\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\SymTray.exe
C:\WINNT\SOUNDMAN.EXE
C:\WINNT\System32\atiptaxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Roxio\GoBack\GBTray.exe
C:\Programme\Norton SystemWorks\Norton Utilities\SYSDOC32.EXE
C:\Programme\Adobe\Acrobat 5.0\Reader\AcroRd32.exe
C:\Programme\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ccRegVfy] C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Programme\Gemeinsame Dateien\Symantec Shared\Symtrdr.exe
O4 - Startup: Norton System Doctor.LNK = C:\Programme\Norton SystemWorks\Norton Utilities\SYSDOC32.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: GoBack.lnk = C:\Programme\Roxio\GoBack\GBTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab

Ist mir, bzw. meinem Computer noch zu helfen

Gruß
Bogemile