Hilfe bei Schädlingsbefall

[Gast]

Hallo liebe Besucher des Broodwar.de Technik Forums,

Du hast den Verdacht, dass sich Viren/Trojaner etc. in deinem PC eingenistet haben?
Du hast nervige PopUps oder es öffnen sich dutzende von Fensterm?
Deine Startseite ändert sich von alleine?
Du hast ungewollte Internet Explorer Toolbars?

Dann bist du hier richtig!
Dieser Thread kann benutzt werden, um Hilfe zu erlangen, wenn du selbst nicht mehr weiter kommst. Wir haben dazu eine Art "Hilfe-Routine" geschaffen, um zu gewährleisten, dass dir schnell und effizient geholfen werden kann.

HighJackThisLogs bitte als Text-Files anhängen und nicht posten!

---

Bitte gehe die nummerierten Punkte Schritt für Schritt durch!

Ein paar Worte vorab. Es ist NICHT besser bei Windows ME oder Windows XP die Systemwiederherstellung zu deaktivieren. Warum? Weil selbst ein infizierter Wiederherstellungspunkt besser ist wie keiner...
Bis auf ein paar wenige Fälle sind die Schädlinge in den den Ordnern der Systemwiederherstellung nicht aktiv. Sollte Windows durch einen Fehler beim reinigen oder Windows bedingt nicht mehr starten kann man oft per Systemwiederherstellung es wieder zum laufen bekommen und einen anderen Weg zum reinigen nehmen. Ist der PC sauber reinigt man zum Abschluss die Systemwiederherstellung und setzt einen neuen sauberen Punkt.

0. Download Ccleaner.
Es löscht schnell und komfortabel alle bekannten temp Ordner. http://www.ccleaner.com/ccdownload.php
Es beinhaltet auch ein Script was die Registry nach Fehlern absucht. Wir raten von dieser Funktion ab. Das vollständige löschen der tempfiles VOR dem scannen beschleunigt dieses erheblich. Das Program sollte man davon abgesehen einmal die Woche laufen lassen.

1. Virenscanner

• Du hast eine Flatrate? Dann und nur dann mach unter einer der folgenden Links einen online Virus Scan:
  BitDefender oder TrendMicro Trendmirco benutzt ein Javasricpt und ist somit auch
  auch für Mozilla/Firefox/Opera User benutzbar.
  
• Nun solltest du dir unter www.free-av.de oder free.grisoft.com einen kostenlosen Virenscanner downloaden und installieren - UPDATEN nicht vergessen!
  
• Modem- und ISDN-User sollten lieber AVG Antivirus von free.grisoft.com downloaden und installieren - UPDATEN nicht vergessen!
  
• ...und jeweils einen kompletten System Scan durchführen!
  Um wirklich sicher zu gehen solltest du den Scan im abgesicherten Modus durchführen! (Neustart -> BIOS Screen abwarten, sobald Windows startet F8 -> Abgesicherter Modus)
  WICHTIG: Unbedingt davor in den Optionen der Programme (also SOWOHL für das Scanmodul als auch für den residenten Virenwächter!) die Einstellungen anpassen! Heuristik ist Pflicht, für das Scanmodul mit maximaler Stufe, für den Wächter minimum auf mittel. Makroheuristik ebenfalls nicht deaktivieren! Desweiteren darauf achten, dass ALLE Dateien, unabhängig von ihrer Endung durchsucht werden, beim Lesen UND Schreiben geprüft wird und, dass auch gepackte Dateien durchsucht werden.
  Bei AntiVir ausserdem unter "Unerwünschte Programme" einen Haken bei "Alle aktivieren" machen, um u.A. Dialer-Schutz zu aktivieren.
  
• Unter http://www.bitdefender.com/bd/site/downloads.php?menu_id=21 kann man sich einen reinen On demand Virenscanner runterladen:
  -BitDefender Free Edition v8
  Nach der Installation das Liveupdate durchführen und eine kompletten scan durchführen. Bitdefender Free edt eignet sich hervorragend als Zweitscanner. Das er nur auf Aufforderung scannt kommt er keiner anderen Antivirussoftware in die Quere. Seine Erkennungraten auch bei Trojanern sind sehr gut.

=> JA! Ein solcher Scan dauert u.U. sehr lange. Wenn du allerdings deinen Schädling erfolgreich bekämpfen willst solltest du dies in Kauf nehmen.

• Mache einen Neustart.

2.1. Spybot - Search - Destroy, aktuelle Version 1.4

• Downloade und installiere Spybot - Search & Destroy inkl. SDHelper.exe und bitte nicht TeaTimer.exe (enthält einen Bug und kann beim reinigen erheblich stören).
• Starte Spybot und stelle sicher, dass du mit dem Internet verbunden bist. Klick auf Weiter.
• Klick auf “Search for updates” und “Download all updates”.
• Benutze “Immunize”.
• Wähle “Use program”.
• Beende die Internetverbindung
• Klick den “Überprüfen” Button oben im Fenster an. Wenn der Scan fertig ist, markiere alle gefundenen Sachen in ROT, dann klick auf “markierte Probleme beheben”.
• Mach einen Neustart.

2.2. AdAware Personal, aktuelle Version 1.06

• Downloade und installiere AdAware.
• Am Ende der Installation entferne den Haken bei “show help file” und “perform full system scan”.
• Verbinde Dich mit dem Internet und führe das Update durch um die neusten Signaturen zu bekommen.
• Dann klickst Du oben auf das Rädchen-Icon und auf "Scanning" und dort setzt du einen Haken bei “Scan within archives”, klicke auf "Proceed".
• Beende die Internetverbindung
• Nun klicke den Button "Start", markiere “Perform full system scan” und dann gehe auf "Next".
• Wenn der Scan durch ist, dann klicke mit der rechten Maustaste in das Ergebnis-Fenster und wähle “Select All”, gehe auf "Next".
• Mach einen Neustart.

3.Ewido

• Downloade Dir die Ewido scan suite. www.ewido.net Bei der Installation bitte den Haken bei "Installiere Hintergrundwächter" und "einbinden in Kontextmenü" entfernen.
• Dann updaten und das Programm beenden.
• Neu starten und in den abgesicherten Modus booten, Ewido starten und einen kompletten Systemscan durchführen.
• Lasse Ewido alles entfernen was es finden.
  Ewido darf man 30 Tagen nutzen, bei vollem Funktionsumfang. Wer will darf sich dieses tolle Programm auch kaufen.
• Nach dem Scan wieder in den normalen Modus booten.
• Wer eine Flatrate hat kann auch den Ewido online scan benutzen, ACHTUNG FLATRATE BENÖTIGT.

4. HiJackThis

• Downloade HijackThis und speichere es in einem eigenem Verzeichnis.
  ( Es legt Backups an für den Fall, dass etwas schief geht. Diese Backups sollten nicht auf dem Desktop liegen oder in einem temporären Verzeichnis. Also öffne den Explorer und leg ein neues Verzeichnis an, etwa c:\hjt )
• Klicke mit rechts auf das File und wähle “Senden an... -> Desktop”.
• Schliesse alle Fenster und doppelklicke die Hijackthis Verknüpfung
• Wähle “Scan”, dann wird aus "Scan" “Save log”. Klicke darauf, speichere das log. Ein Notepad Fenster öffnet sich in welchem das Log File steht. Markiere alles und poste es als neue Antwort in diesem Thread.
• Wenn Du etwas weg lässt werden wir Dir nicht helfen können.
• HijackThis zeigt vieles an; “Gutes” wie “Böses” - also bitte versuche nicht, irgendetwas selber zu fixen, wenn du nicht genau weisst, was du tun sollst.

5. Systemwiederherstellung säubern

• Wenn alles gesäubert ist muss die Systemwiederherstellung noch gereinigt werden oder man kann sich wieder infizieren, wenn eine Systemwiederherstellung ausgeführt wird.
  Gehe nach Start-> Einstellung -> Systemsteuerung -> System, sollte es nicht sichtbar sein klicke Links auf "klassische Ansicht verwenden"
  Es öffnet sich ein neues Fenster, die Systemeigenschaften, klicke auf Systemwiederherstellung und setzte den Haken bei "Systemwiederherstellung auf allen Laufwerken deaktivieren", klicke auf ok.
  Geduld das kann etwas dauern, bis sich das Fenster schliesst. Mache einen Neustart dann wiederhole die Prozedur und entferne den Haken wieder. Beim nächsten Neustart sollte Windows automatisch einen
  neuen Wiederherstellungspunkt setzen. Wer dies manuell tuen will kann dies über Start-> (Alle) Programm-> Zubehör-> Systemprogramme-> Systemwiederherstellung machen.

6. Neue Infektionen vermeiden

• Solange dein System nicht up to date ist wirst du dich unweigerlich, allein durch den Fakt, dass du ins Internet eingewählt bist, auch weiterhin mit Schädlingen zu infizieren. Um also zu vermeiden, dass man während der Bereinigung von vorhandenen Schädlingen schon wieder von neuen infiziert wird bleiben leider nur wenige Möglichkeiten: Entweder du benutzt einen Router oder du installierst eine Software- bzw. Desktop-Firewall. Links dazu findest du weiter unten. Unter Windows XP kann man auch die integrierte Firewall benutzen. Allerdings hat diese ohne installiertes Service Pack 2 sehr viele Schwächen...
  Desweiteren solltest du dich, solange du nicht geupdatet hast, von nicht vertrauenswürdigen Webseiten (ich denke du weisst, was ich meine...) fern halten. Viele dieser Webseiten führen Code aus, der deinen Rechner mit weiteren Schädlingen infiziert. Ebenfalls empfehlenswert in einem solchen Fall ist ein alternativer Browser wie Opera oder FireFox.
  Bei besonders heimtückischen Schädlingen kann dies auch mit dem Papierkorb nötig sein.
  Der Grund: Schädlinge "tarnen" sich gerne als Teile des Systems um "unsichtbar" zu werden und verstecken sich dann eben in den Ordnern der Systemwiederherstellung oder des Papierkorbs.
  
• Wer sich heutzutage mit einem Windows 2000- oder XP-Rechner ohne Updates ins Internet traut wird ohne Schutzmaßnahmen wie Firewall unweigerlich ohne eigenes Zutun von jeder Menge sogenannter "Malware" infiziert. Malware ist ein Sammelbegriff für Dateien, die programmiert wurden, um einem Rechner zu schaden (in ihn einzudringen; engl. mal ~ schlecht), also Viren, Trojaner, Keylogger, Tracking Cookies, Spyware, usw. usf....
  Das nette Zeug eben.
  Also: UPDATEN.
  WIE, fragst du. http://windowsupdate.com/ - simple as that.
  Wenn du nicht updaten kannst weil dein Key gesperrt ist: Pech. Wir fühlen uns nicht weiter für dich zuständig. Du weißt, wieso.
  Unter Windows 2000 ist das Service Pack 4, unter XP das Service Pack 2 mit jeweils dem neusten Internet Explorer PFLICHT. Selbst, wenn ihr zum surfen nicht den IE benutzt.
  
  Solange Windowsupdate besuchen bis ALLE Sicherheitsupdates installiert wurden. Dies kann bedeuten das man mehrmals Windowsupdate besuchen muss. Windows kann sich automatisch updaten. Das sollte man auch nutzen.
  
  WICHTIG: Erst updaten, wenn du 100%ig Malware-Frei bist! Verschiedene Schädlinge bringen dein System ansonsten komplett zum Erliegen und machen es unbenutzbar!
  Lass dir also besser von uns bestätigen, dass du auf der sicheren Seite bist oder trage die Konsequenzen...

---

Wir sitzen nicht vor Eurem Computer, also sagt uns, was und ob ihr etwas zusätzlich gemacht habt, wie einen anderen Virenscanner benutzt, oder irgendein anderes Tool, um den Schädlingen Herr zu werden.
Eine kurze Beschreibung Eures Problems wäre auch hilfreich. Wenn etwas von den oben genannten Sachen nicht ging dann sagt uns das bitte.

---

Vorbeugen ist besser!

• Spywareblaster SpywareBlaster soll verhindern, dass Spyware überhaupt installiert wird.
• IE/Spyad IE/Spyad setzt über 4000 Webseiten und Domains auf die Liste der "Eingeschränkten Websites" im Inetnet Explorer was dramatischen Einfluss auf die Möglichkeiten hat, euer System zu infizieren. Simpel ausgedrückt unterdrückt es Downloads (Cookies usw.) von den gelisteten Seiten, ohne zu verhindern, dass man die Seiten weiterhin normal betrachten kann.
• MVPS Hosts file Die MVPS Hosts-Datei ersetzt deine HOSTS Datei (C:\WINNT\system32\drivers\etc) und enthält bekannte Werbe- und Spywareseiten usw. - sie verhindert, dass dein Computer eine Verbindung zu diesen Seiten aufbaut indem sie den Verbindungsversuch auf die Lokale IP 127.0.0.1 umleitet (das ist dein eigener Rechner). Nachdem du diese Datei installiert hast musst du Tools wie das Immunisieren von Spybot, Spywareblaster sowie IE/Spyad ernet ausführen, da diese ebenfalls auf die HOSTS Datei zugreifen. Danach solltest du deine HOSTS Datei vor Zugriff schützen, indem du sie als schreibgeschützt markierst. (Spybot kann das: Erweiter Modus wählen, dort links im Menü unter Werkzeuge -> IE-Spielereien.)
  Achtung: Diese HOSTS-Datei ist für schwache Rechner NICHT geeignet! (unter 500MHz)

---

Wir empfehlen ausserdem, den Inhalt deiner "temp" bzw. "tmp"-Ordner (im Userprofil: Dokumente und Einstellungen\benutzername\Lokale Einstellungen sowie in Windows: C:\WINNT\ bzw. C:\WINDOWS\) sowie die "Temporary Internet Files" (Internet Explorer: Extras -> Internetoptionen) sowie den Inhalt des Papierkorbs (Rechtsklick -> Papierkorb leeren) in regelmässigen Abständen zu leeren. Man muss um diese Ordner zu sehen im Explorer unter den Extras -> Ordneroptionen -> Ansicht folgende Optionen setzen:
Haken bei "Geschützte Systemdateien ausblenden" raus, Versteckte Dateien und Ordner: "Alle Dateien und Ordner anzeigen", unter XP: "Dateien in Systemordnern anzeigen".
Ccleaner eignet sich hervoragend dafür dies schnell und komfortabel zu tun.
---

Related Links:
Sygate Personal Firewall
Kerio Personal Firewall
Opera (alternativer Webbrowser)
Mozilla Firefox (alternativer Browser #2)
BitDefender
CCleaner
Spybot
Adaware
Free-AV (Antivir)
Grisoft
HijackThis
Ewido
IE/SpyAd
Spywareblaster
MVPS Hosts file
http://windowsupdate.com/
http://officeupdate.com/


Siehe auch: "Tony Klein's good advice":
So how did I get infected in the first place? / "Also, wie bin ich eigentlich infiziert worden?" (englisch!)


---

Besucht die Microsoft Update Webseite öfters! Es ist sehr wichtig, http://www.windowsupdate.com regelmässig aufzurufen, um sicherzustellen, dass auf deinem Computer immer die neusten Sicherheitsupdates installiert sind. Wenn neue Updates verfügbar sind installiere diese, starte deinen Rechner neu und besuche die Seite nochmal bis keine Updates mehr gefunden werden.

---

Der Übersicht wegen wird hier immer nur der aktuellste Fall zu sehen sein. Erledigte Fälle werden ins Schädlingsarchiv verschoben.

Andere Posts als Helpanfragen werden gelöscht!

Ein Hinweis noch: Bitte überprüft, wer euch da helfen will und was er euch da erzählen will.
Solange der jeweilige Benutzer nicht Moderator oder Administrator ist oder [For]Hood heisst wird für Tipps KEINE Garantie übernommen.
Weiterhin geben wir zu bedenken, dass immer etwas schief gehen kann; auch wir sind keine Götter!
Deshalb lasst auch besser die Finger von den Sachen, bei denen ihr nicht genau wisst, was ihr tut.

Sollte etwas nicht klar sein dann fragt uns - wir helfen gerne!

---

Dieser Text darf ohne Verweis auf diesen Beitrag und ausdrückliche Genehmigung durch [For]Hood, mAiLmAn oder andere broodwar.de-Staffmitglieder nicht, auch nicht auszugsweise, veröffentlicht werden.
Irrtümer und Fehler vorbehalten.
Weder die Verfasser des Textes noch bw.de können für Schäden, die durch Malware oder deren Entfernung, an deinem Rechner oder deinen Daten enstehen könnte, haftbar gemacht werden.

Leider gilt dasselbe für die "Hersteller" der ganzen lustigen Programme.
Also haltet die Augen auf und habt ein Backup parat.
Und betet, dass diese Schweine eines Tages alle vom Blitz erschlagen werden.

V. 2.3 (4.1.2006)

 

[Gast]

nocturn, zurück in den anderen thread

nur bissel datenmüll:

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)

 

[[For]Hood2]

Original geschrieben von Shihatsu
hum onlinescan ohne browser fällt ihm schwer meinte er gestern abend...

Stimmt auffällig so beim 2tem lesen wusste ich auf einmal was ich vergessen hatte

Fixen mit HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/service/redir/ie_suche.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de/service/redir/ie_t-online.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von T-Online International AG
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=www-proxy.t-online.de:80;ftp=ftp-proxy.t-online.de:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.t-online.de;localhost;<local>
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O4 - HKLM\..\Run: [svshost] svshost.exe

Neustarten
Von einem anderen Rechner runterladen und per Floppy /USBstick rüber bringen: WinsockFix: http://www.winsockfix.nl/winsockxpfix.exe

Starten und auf Fix klicken. neustarten lassen sollte wieder alles gehen.

 

[DerTotmacher]

Hallo HOOD & CO

....ja mich gibts noch. Seit 2h dreht mein Rechner am Rad. Opera stürzt ab. Lesezeichen alle weg. Thunderbird stürzt ab...alle mails weg (richten sie ein neues Konto ein....)
mein Ogame account wurde gehackt (o:10h) konnte ich aber retten, da die dort die emailadressen erst nach 7 tagen ändern.

Nun im Explorer:
alle meine Ordner haben sich in folgende Symbole verwandelt:
Detailansicht für txt. dateien und Bäume


Ich werd panisch!!!!

Sitze hinter einem Router und nutze Kaspersky...werde alles mir zur Verfüng stehende unternehmen!!!

als erstes das Hijackthis LOG:

Hier werden keine HiJackThisLogs (...blaaaaaa) ich schätze das haben wir per PN geklärt,ja??


jetzt lass ich adaware drüber laufen !

Adaware findet nix

Jetzt auf anraten meines Kumpels(huhu Nick):
habe ich das Cisco VPN deaktiviert.
&
lauft jetzt dieser Scanner:

http://de.trendmicro-europe.com/consumer/housecall/housecall_launch.php

€dit:Guten Morgen: Der Trendmicroscanner hat scheinbar aufgehört zu arbeiten. Und zwar ist gerade auf meinem DVD-Rom Laufwerk (Wo noch eine StarTrek(Original)DVD drinne ist.
Datei bei der er den Dienst versagt heißt:
E:\VIDEO_TS\VTS_03_0.ifo
schade das er ix mehr macht. ABer ich denke man kann davon uasgehen das er C durch hat.
-Bei den Ergebnissen hat hat er auch 2 Sachen gefunden:
1 Infektion:
BHO_SE.52578
1 Gefundene:
1HTTP COOKIES (genauer wird er nicht,aber vielleichtz gehört das ja auch zusammen?)

So und jetzt kann ich die Infektionen automatisch oder individuell säubern.
-Ich wähle automatisch.
Danach mache ich Scann mit Kaspersky.

-Halte Euch auf dem laufenden, und hoffge das bald jemand antwortet

€dit:
Ich kann nix machen!! ICh komme in kein Menü oder sowas wo ich die Sachen löschen kann die er gefunden hat...


nun denn ich starte Kaspersky.





Grüße panischer Totmacher

 

[DerTotmacher]

irgendwie krieg ichs bei editieren nicht hin noch nen Nahang zumachen....daher jetzt hier das LOG von gestern abend 1:00

 

[[For]Hood2]

Nix zu sehen die Symptome deuten aber auch nicht auf einen Trojaner oder so hin. Check mal Deine HD mit Herstellertool. Achja sicher Deine Daten vorher und mach einen Speichertest.

Wenn das keinen Aufschluss gibt komm wieder.

 

[Ronschk]

ähmm hab auch mal wieder ein problem, wenn auch net wegen den bösen schädlingen. hab mir vor kurzer zeit auch mal die sygate firewall geladen. jede min zeigt sie mir (min 1-2 mal) an, dass sie etwas geblockt hätte (im rechten unteren bildschirmrand). erstmal bringt es nichts wenn ich auf "do not show this window again" drücke, da (meiner meinung nach) genau das selbe eine min später wieder angezeigt wird. außerdem zeigt er das auch immer an wenn ich den media player starte. hab die firewall bei meinem bruder auch druff gemacht und er sagt, er bekommt kaum solche fenster zu sehen. nromalerweise würde mich das nicht stören (außer das *pling*-geräusch das jedes mal entsteht) aber bei jedem 2.-3. mal verkleinert sich das spiel was ich spiele....


meine frage: liegt das an ner defekten firewall oder muss ich da etwas einstellen? (aber das hat mein bruder eigentlich auch nicht gemacht) oder is da einfach ein pöser pöser mensch der die ganze zeit mein pc hacken will? -.-


wenn das net bald aufhören sollte nehm ich doch lieber die gute alte win. firewall

 

[[For]Hood2]

Unter werkzeuge/optionen haken bei Benachrichtigungen verbergen setzen.

 

[Ronschk]

omg thx sry dass ich dich mit so ner shice belästige ^^

 

[[For]Hood2]

np

 

[[For]Hood2]

Jo ich denke auch es ist l2m-
Erstmal dies hier fixenund Datei löschen:
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd7.exe


dann ->Download L2mfix from one of these two locations:

http://www.atribune.org/downloads/l2mfix.exe
http://www.downloads.subratam.org/l2mfix.exe

Save the file to your desktop and double click l2mfix.exe. Click the Install button to extract the files and follow the prompts, then open the newly added l2mfix folder on your desktop. Double click l2mfix.bat and select option #1 for Run Find Log by typing 1 and then pressing enter. This will scan your computer and it may appear nothing is happening, then, after a minute or 2, notepad will open with a log. Copy the contents of that log and paste it into this thread.

IMPORTANT: Do NOT run option #2 OR any other files in the l2mfix folder until you are asked to do so! This Fix must NOT be run in safe mode for it to work.

if you receive, while running option #1, an error similar like: ''C:\windows\system32\cmd.exe
C:\windows\system32\autoexec.nt the system file is not suitable for running ms-dos and microsoft windows applications. choose close to terminate the application.."...then please use option 5 or the web page link in the l2mfix folder to solve this error condition. do not run the fix portion without fixing this first.


Bitte daran dneken den report anhängen

 

[Ronschk]

danke danke für die schnelle antwort... is ziemlich plöde wenn sich immer fenster öffnen ^^

hier der report






ach ja: was machste eigentlich damit? gibbet da irgendeinen eintrag an dem du feststellst was ich nu machen muss? wenn ja: wäre das für mich theoretisch auch machbar? (will dich ja net immer belästigen )

 

[Ronschk]

sry für doppelpost... hatte verpeilt anzuhängen

 

[[For]Hood2]

Nun ich kann im Report sehen welche Cracks du benutzt und welche Software warez ist und welche nicht ^^.

Ich kann sehen ob Du mit L2m infiziert bist und mit welcher Version. Du hast die neuste

Close any programs you have open since this step requires a reboot.

From the l2mfix folder on your desktop, double click l2mfix.bat and select option #2 for Run Fix by typing 2 and then pressing enter. It will process then start. Your desktop and icons will disappear (this is normal). L2mfix will continue to scan your computer and when it's finished, it will be ready for a reboot. Press any key to reboot. After the reboot notepad will open with a log. Copy the contents of that log and paste it back into this thread, along with a new hijackthis log.

IMPORTANT: Do NOT run any other files in the l2mfix folder unless you are asked to do so! Do Not run in safe mode!!
If after the reboot the log does not open double click on it in the l2mfix folder.

 

[Ronschk]

freut mich doch zu hören, dass ich den neusten hab ^^

thxx, dass du das machst
hier neuer log

 

[[For]Hood2]

Sieht gut aus nun noch ein HijackThis log dann sollten wir fast fertig sein.

 

[Ronschk]

okay hier




ach ja: was kann man gegen dialer tun? irgendwie wurde da anscheinend einer installiert aber der kann net connecten wegen der firewall...
hab gegoogelt hab aber nur was gefunden, was sie anzeigen soll... und das macht es nicht :/

hab mir ja ne schöne scheiße besammen gesammelt

 

[Habicht]

Nächstes Mal gibt es gelb.

 

[ReaveR]

hallo hab auch ein virenproblem...
bitdefender schon rüberlaufen lassen, der hat auch n paar sachen gelöscht...

jetzt kommt am anfang aber immer die Meldung ibm00001.exe nicht gefunden =( und irgendwie hab ich auch das gefühl das der pc immer noch n bisschen langsamer ist als vorher!

hänge mal die hjt file an!
hoffend auf hilfe
gruß
ReaveR

 

[ReaveR]

so hab nochmal alle schritte von oben aus dem topic durchgeführt.
d.h.
-ccleaner ausgeführt und temp dateinen etc gelöscht
-bitdefender v.8.0 heruntergeladen updates gemacht und durchlaufen lassen
-Spybot runtergeladen und durchlaufen lassen
-ewido runtergeladen und durchlaufen lassen im abgesicherten modus

nun den neuen hjt log erstellt.
also der aktuelle log (gerade gemacht) sieht so aus:

Nach geraumer zeit hängt sich die "explorer.exe" auf d.h. ich werde gefragt ob ich den fehler an microsoft senden will
nachdem ich dann nein angeklickt habt kommt eine ähnliche fehlermeldung von der Datein "drwtsn32.exe" und ob ich die fehlermeldung an ms schicken will... die taskleiste ist dann gefreezed sowie der bildschirm bis auf die aktiven fenster.
Kann dann explorer.exe und dieses drwtsn32.exe im taskmanager beenden und über ausführen den explorer neu starten =/

HLP plz

 

[[For]Hood2]

Original geschrieben von Ronschk
okay hier




ach ja: was kann man gegen dialer tun? irgendwie wurde da anscheinend einer installiert aber der kann net connecten wegen der firewall...
hab gegoogelt hab aber nur was gefunden, was sie anzeigen soll... und das macht es nicht :/

hab mir ja ne schöne scheiße besammen gesammelt

sorry irgendwie habichkeine Benachrichtigung bekommen, nun kann ich in dem Log nix sehen, weils leer ist, bitte poste nochmal ein neues.

 

[[For]Hood2]

Ok ReaveR
Fix folgendes mir HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
F2 - REG:system.ini: Shell=
O2 - BHO: Idea2 SidebarBrowserMonitor Class - {45AD732C-2CE2-4666-B366-B2214AD57A49} - C:\Programme\Desktop Sidebar\sbhelp.dll
O8 - Extra context menu item: Subscribe in Desktop Sidebar - res://C:\Programme\Desktop Sidebar\sbhelp.dll/menuhandler.html
O9 - Extra button: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Programme\Desktop Sidebar\sbhelp.dll
O9 - Extra 'Tools' menuitem: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Programme\Desktop Sidebar\sbhelp.dll
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll
O20 - Winlogon Notify: ssldr - ssldr32.dll (file missing)
O20 - Winlogon Notify: wancp - wancp.dll (file missing)
O21 - SSODL: SysTray.Exbr - {6368D1FC-6F5C-4f1b-B164-E67214F678E9} - C:\WINDOWS\system32\fngeqhbc.dll (file missing)
O21 - SSODL: DCOM Server - {2C1CD3D7-86AC-4068-93BC-A02304BB8C34} - C:\WINDOWS\system32\dcom_14.dll (file missing)

Danach machste Du einen neustart und machst ein neues log, welches Du an dein nächstes Post einfügst.
Vorher downloade und starte Blacklight, mache nur ein LOG! NICHTS ANDERES!!! füge das Log in dein nächstes Post mit ein.
http://www.f-secure.com/blacklight/

 

[Ronschk]

np hier bekommste nochma nen neuen



edit: hmm irgendwie funzt das nicht... wenn ich normal hochladen will, sagt er mir das das eine ungültige datei is. sie endet auch mit .log
wenn ich das in .txt ändere is sie leer

öhmm soll ich das jetzt posten oda bin ich nur bissle dumm?

 

[[For]Hood2]

Kopiere dein Log mal in dein nächstes Post, ausnahmsweise.

 

[Ronschk]

dankö

Logfile of HijackThis v1.99.1
Scan saved at 20:14:20, on 19.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\0190WA~1\WARN0190.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\ewido\security suite\ewidoctrl.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\PROGRA~1\0190WA~1\w0svc.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
D:\Spiele\GUILD WARS\Gw.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [0190 Warner] C:\PROGRA~1\0190WA~1\WARN0190.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Sinus 154 stick WLAN Manager.lnk = ?
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O20 - Winlogon Notify: Setup - C:\WINDOWS\system32\irlol5331.dll (file missing)
O20 - Winlogon Notify: winzoa32 - winzoa32.dll (file missing)
O23 - Service: 0190/0900 Warner Überwachungsdienst (0190_0900_Warner_MonitorService) - Mirko Böer - C:\PROGRA~1\0190WA~1\w0svc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

 

[ReaveR]

so als ich mit Hijackthis fixen wollte kam ne fehlermeldung zu dem punkt:
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll

Blacklight weiss ich nicht wo ich n log speichere...
Sagt mir aber Hidden Items: 1
Item Name: sysbus32.sys Action: None

hoffe du kannst mit der info was anfangen...
thx bis hierhin schonmal gruß
ReaveR

 

[[For]Hood2]

ok Ronksch fixe diese beiden noch mit HijackThis:
O20 - Winlogon Notify: Setup - C:\WINDOWS\system32\irlol5331.dll (file missing)
O20 - Winlogon Notify: winzoa32 - winzoa32.dll (file missing)

Scanne mit Ewido einmal nach um etwaige reste zu entfernen. Das wars dann. Noch Probleme?

 

[[For]Hood2]

Original geschrieben von ReaveR
so als ich mit Hijackthis fixen wollte kam ne fehlermeldung zu dem punkt:
O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll

Blacklight weiss ich nicht wo ich n log speichere...
Sagt mir aber Hidden Items: 1
Item Name: sysbus32.sys Action: None

hoffe du kannst mit der info was anfangen...
thx bis hierhin schonmal gruß
ReaveR

Entschuldige Reaver bitte nicht O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll
fixen das gehört zu Bitdefender, das hab ich verübersehen und sollte nicht ind er Liste auftauchen:/


C:\WINDOWS\SYSTEM32\DRIVERS\sysbus32.sys scheint ein Rootkit zu sein. Lasse Blacklight ncohmal laufen diesmal wenn er sysbus32.sys anzeigt wähle umbenennen, wenn Blacklight damit fertig ist beende es und starte neu. Dann postet Du bitte ein neues HijackThis log und evt auftretende Fehlermeldungen.

 

[ReaveR]

Jo hab ich korrigieren umbenennen lassen die Datei (der hat mir allerdings nicht gesagt wie er sie jetzt genannt hat!

Irgendwas ist aber immer noch nicht ganz richtig mit der explorer.exe (also mit dem desktop etc) weil der sich gerade z.B. auf einmal neugestartet hat (diesmal allerdings ohne Fehlermeldung o.ä.)...

Hab auch das gefühl als sein mein internet ganz schön langsam (hänge an nem Router und bei meinem mitbewohner ist alles ganz normal wie immer...) teilweise dauert es halt etwas länger bis opera überhaupt anfängt die Seiten zu laden...

ich warte mal ab und probier noch n paar Sachen aus und ob noch fehlermeldungen oder abstürtze kommen...

Kannst du mir übrigens ne gescheite freeware Firewall empfehlen?
Wenn ich die Windows Firewall anmachen will sagt der mir "Aufgrund eines unbekannten Problems können die Einstellungen der Firewall nicht angezeigt werden." was ich nur mit "ok" beantworten kann...

Gruß ReaveR

 

[ReaveR]

so nach ein wenig surfen und downloaden mit Azureus(Bittorrent) ist wieder der explorer abgeschmiert und fehlermeldung das
drwtsn32.exe beendet werden muss...

habe dann auch irgendwie immer komische programme im hintergrund (wscntfy.exe , wdfmgr.exe , wuauclt.exe)...kA ob dir das hilft bei der fehlersuche...

gruß
ReaveR

 

[Habicht]

@ Cart,

da du auf meine pn nicht antwortest, poste ich einfach nochmal. Ich hätte
gerne gewusst, warum du meinen Beitrag hier gelöscht und mir eine Vorab-
verwarnung erteilst? Gegen was soll ich verstoßen haben?

 

[[For]Hood2]

Original geschrieben von ReaveR
Jo hab ich korrigieren umbenennen lassen die Datei (der hat mir allerdings nicht gesagt wie er sie jetzt genannt hat!

Irgendwas ist aber immer noch nicht ganz richtig mit der explorer.exe (also mit dem desktop etc) weil der sich gerade z.B. auf einmal neugestartet hat (diesmal allerdings ohne Fehlermeldung o.ä.)...

Hab auch das gefühl als sein mein internet ganz schön langsam (hänge an nem Router und bei meinem mitbewohner ist alles ganz normal wie immer...) teilweise dauert es halt etwas länger bis opera überhaupt anfängt die Seiten zu laden...

ich warte mal ab und probier noch n paar Sachen aus und ob noch fehlermeldungen oder abstürtze kommen...

Kannst du mir übrigens ne gescheite freeware Firewall empfehlen?
Wenn ich die Windows Firewall anmachen will sagt der mir "Aufgrund eines unbekannten Problems können die Einstellungen der Firewall nicht angezeigt werden." was ich nur mit "ok" beantworten kann...

Gruß ReaveR

Mit der Firewall warten wir mal bis Du den Mist los bist. Dann werden wir auch wieder die WIndows Firewall zum laufen bekommen.

Nun mache bitte einen online scan bei Ewido und bei Bitdefender, beide erlauben am ende ein Log zu erstellen , die logs bitte posten.

 

[[For]Hood2]

Habicht bitte eröffne hier: http://forum.ingame.de/broodwar/forumdisplay.php?forumid=523 ein neues post, danke.

Solltest Du ein malware problem haben dann poste dein problem mit einen HijackThis log als anhang.

 

[Ronschk]

okay is alles wieder paletti

hmm das, worüber ich mir am meisten sorgen gemacht habe war der dialer....
wollte mir eben ne serial suchen, habs dann aber auch ganz schnell wieder sein lassen, weil 1000de vieren warnungen gekommen sind....
später irgendwann wurde von meiner firewall gemeldet das sich das was mit dem netz verbinden will. habs natürlich nicht erlaubt.

darauf hin erschien ein fenster... ich würde es dir gerne zeigen aber ich kann das bild im mom nicht hochladen.

Dialer
Conessionne impossible!
il programma serà terminato.



nun ja... hab daraus geschlossen, das er sich nicht verbinden konnte ^^

hatte das ganze zwei mal.... hab mir dann auch ein 0190-warner (-.-) runtergeladen, aber der als einzige bedrohung mein antvir angezeigt wenn ich es updaten will.

würde mann denn die dialer bei hijack sehen? bzw falls das ding doch unbemerkt gearbeitet haben sollte, hätte ich was zu befürchten? (hab kein 'OK' oder sonst irgendwas im i-net eingegeben...)

falls man es nicht sieht... gibbet da nen prog? hab gegooglet und auch sufu benutzt aber nichts gefunden

 

[ReaveR]

jo hab die beiden durchlaufen lassen...
komischerweise hat BD nix gefunden, ewido allerdings einiges! hab zuerst ewido durchlaufen lassen dann BD...hab aber von ewido nix fixen lassen (und von BD auch nicht ...hat ja nix gefunden...)

Gruß
ReaveR

 

[[For]Hood2]

@Ronschk hast DU dsl oder ISDN/Modem verbindung?

@ReaveR alles von Ewido entfernen lassen die dateien gehören alle zusammen, wech damit

 

[ReaveR]

jo hab ich gemacht...scheint jetzt auch alles zu laufen...

gerade kam aber eine meldung von BD:
c:windows\system32\drivers\sysbus32.sys.ren
wär ein virus wäre aber geblockt worden und der computer nicht infiziert worden.

Soll ich die Datei manuell löschen?

(und die win firewall geht immer noch nicht =/ immer noch die gleiche meldung)

 

[Ronschk]

dsl

 

[[For]Hood2]

Original geschrieben von ReaveR
jo hab ich gemacht...scheint jetzt auch alles zu laufen...

gerade kam aber eine meldung von BD:
c:windows\system32\drivers\sysbus32.sys.ren
wär ein virus wäre aber geblockt worden und der computer nicht infiziert worden.

Soll ich die Datei manuell löschen?

(und die win firewall geht immer noch nicht =/ immer noch die gleiche meldung)

Ja kannst sie löschen.

Öffen Notepad und kopiere das in fett darein:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="20000"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"UpdatesDisableNotify"=-
"AntiVirusDisableNotify"=-
"FirewallDisableNotify"=-
"AntiVirusOverride"=-
"FirewallOverride"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
"AUOptions"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole]
"EnableDCOM"="Y"

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=-
"DisableRegistryTools"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions]
"Melt"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile]
"EnableFirewall"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile]
"EnableFirewall"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
"Start"=dword:00000002

Speicher das als fix.reg ab und füge es durch doppelklcik in deine REgistry. Da stellt einige Standardeinstellungen wieder her. Mache einen neustart danach sollte die Fw wieder laufen.

@Ronschk mit dsl brauchst du keine Angst vor Dialer haben es sein du hast noch eine ISDN oder Modem verbindung am Rechner. Fehlt diese kann dirmit einem Dialer nichts passieren.

 

[Ronschk]

das beruhigt mich doch
thxx für die hilfe, werd versuche ne zeit lang clean zu bleiben