Bracuhe bitte drinegend Hilfe

Hallo,

du hast dir auf jedenfall Smitfraud und Zlob eingefangen:

Siehe hier die Einträge:
O3 - Toolbar: emotrlq - {6805E89A-2BD3-44B7-8B13-3278155F5D5E} - C:\WINDOWS\emotrlq.dll
O21 - SSODL: admggxp - {75A10199-D70E-4AF1-B104-B11BCDB5A9BF} - C:\WINDOWS\admggxp.dll
O21 - SSODL: bdmnopx - {2AB0F61F-242C-49E5-897E-77E8A5239340} - C:\WINDOWS\bdmnopx.dll

Lade diese Datei auf http://virustotal.com hoch und poste hier dass Ergebnis.

C:\WINDOWS\dmdqdrxfdr.dll

gruß deniz

Werde ich gleich tun...
smitfraud habe ich in einem anderem Forum gelesen sollte man sich runterladen um dann zu scannen...

Also ich würde dir empfehlen zu formatieren , dann ist das Zeug weg.....

Mhh merkwürdig die Datei kommt mir mehr als verdächtig vor !!!

Ladt die bitte mal auf Avira hoch und warte auf denen ihre Mail.

http://analysis.avira.com/samples/index.php

Nun zu smitfraud und zlob!!

Öffne Hijackthis und mache einen Haken bei folgenden Einträge:

O3 - Toolbar: emotrlq - {6805E89A-2BD3-44B7-8B13-3278155F5D5E} - C:\WINDOWS\emotrlq.dll
O21 - SSODL: admggxp - {75A10199-D70E-4AF1-B104-B11BCDB5A9BF} - C:\WINDOWS\admggxp.dll
O21 - SSODL: bdmnopx - {2AB0F61F-242C-49E5-897E-77E8A5239340} - C:\WINDOWS\bdmnopx.dll

Anschließend klicke auf fix checked.

Mache danach einen Neustart und lasse Smitfraudfix drüber laufen, (Anleitung ist auf der Seite)

http://siri.geekstogo.com/SmitfraudFix_De.php

Wenn du damit fertig bist ein neues Logfile erstellen.


gruß deniz

Lustig oder nicht Lustig das ist hier die Frage.

Folgende Funde:
emotrlq.dll:
AVG 7.5.0.516 2008.02.11            Downloader.Zlob.VB
BitDefender 7.2 2008.02.11          Trojan.Zlob.CEY
Ikarus T3.1.1.20 2008.02.11 not-a-virus:AdWare.Win32.Vapsup.aoi

Kaspersky 7.0.0.125 2008.02.11 not-a-virus:AdWare.Win32.Vapsup.bbs

VBA32 3.12.6.0 2008.02.10 suspected of Downloader.Zlob.7 (paranoid heuristics)

admggxp.dll
BitDefender 7.2 2008.02.11 Trojan.Zlob.CER
CAT-QuickHeal None 2008.02.11 AdWare.Vapsup.axq (Not a Virus)
F-Prot 4.4.2.54 2008.02.11 W32/FakeAlert.E.gen!Eldorado
F-Secure 6.70.13260.0 2008.02.11 -
Ikarus T3.1.1.20 2008.02.11 Virus.Win32.Agent.LTS
Kaspersky 7.0.0.125 2008.02.11 not-a-virus:AdWare.Win32.Vapsup.azz
Prevx1 V2 2008.02.11 Downloader.Zlob
VBA32 3.12.6.0 2008.02.10 suspected of Downloader.Zlob.7


bdmnopx.dll
AntiVir 7.6.0.62 2008.02.11 ADSPY/Agent.PB
Avast 4.7.1098.0 2008.02.10 Win32:Agent-LTS
BitDefender 7.2 2008.02.11 Trojan.Zlob.CER
Ikarus T3.1.1.20 2008.02.11 Virus.Win32.Agent.LTS
Kaspersky 7.0.0.125 2008.02.11 not-a-virus:AdWare.Win32.Vapsup.bbv
Prevx1 V2 2008.02.11 Downloader.Zlob
VBA32 3.12.6.0 2008.02.10 suspected of Downloader.Zlob.7
Webwasher-Gateway 6.6.2 2008.02.11 Ad-Spyware.Agent.PB

Doch wohl ne Menge oder?
Werde noch den vorgeschlagenen Rest erledigen
Danke für die schnellen Antworten
 
 

Also die 3 Dateien auf dem Desktop sind nun weg...
nachdem ich Smitfrauffix so benutz habe wie du es gesagt hast guter junge!!
Es erscheinen auch kiene Fehlermeldungen mehr....
Mein Desktop ist zwar nun blau aber egal....
Hier der neue Hijack-File...
Muss ich nun noch was machen?
Vielen Dank und liebe Grüße



Logfile of HijackThis v1.99.1
Scan saved at 20:50:40, on 11.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\a-squared Free\a2service.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Web.de\adminsvc.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\DAEMON Tools Lite\daemon.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\OnlineControl\ocontrol.exe
C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\Dokumente und Einstellungen\NoMann\Desktop\HijackThis.exe

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S14D.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [AdobeUpdater] C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun
O4 - Startup: Sinus 154 stick WLAN Manager.lnk = C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: OnlineControl.lnk = C:\Programme\OnlineControl\ocontrol.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: WEB.DE Browser Update (AdminSVC) - hablamax - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Web.de\adminsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

Zu früh gefreut?
Auf Virustotal.com werden leider die betreffenden Dateien noch als Viren erkannt...
Wir werden sehen was ich tun werde...
Vielleicht doch formatieren....
Hab zwar ne lizensierte XP, aber leider keine CD mehr....
Wisst ihr was man da tun kann?

Grüße South

Logfile sieht nun sauber aus 

Such mal die datei und guck ob die noch da ist,wenn ja mit killbox killen:

C:\WINDOWS\dmdqdrxfdr.dll

Wenn sie nicht mehr da ist,dann würde ich sagen ist dein System wieder clean. Würde aber trotzdem zur sicherheit Antivire im Abgesicherten modus scannen lassen.


gruß deniz

Danke!
Die Dmdqdrxfdr.dll ist nicht mehr da....
Dafür "nur" noch diese: emotrlq.dll

Die is aber lt. Virustotal.com noch infiziert....

grüße

Lade dir Killbox runter und lösche sie damit.
 

Alles klar
werde ich tun....
vielen Dank für deine Hilfe!
Liebe Grüße von South
Hier noch der Rapport von AntiVir:
Dateiname Ergebnis
 emotrlq.dll  MALWARE

Die Datei 'emotrlq.dll' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen ADSPY/Vapsup.bbs gegeben. Bei der Bezeichnung "ADSPY/" handelt es sich um eine Ad- oder Spyware. Diese verändert den Browser und dessen Einstellungen z.B. mittels Registry und NTFS-Streams. Häufig werden IEExploits z.B. zum Ansprechen der browserhelper.dll ausgenutzt.Ein Erkennungsmuster ist mit Version 7.00.02.121 der Virendefinitionsdatei (VDF) hinzugefügt.


Alternativ können Sie die Ergebnisse der Analyse hier einsehen:
http://analysis.avira.com/samples/details.php?uniqueid=vg9R1B9nVFBM18dB0AUWVCzwwsPhysUg&incidentid=122429


 

Du solltest eigentlich die Datei hier hochladen C:\WINDOWS\dmdqdrxfdr.dll

Jetzt wissen wir nicht was dass für ein Schädling war, ob es ein Trojaner war,Adware war,Spyware war,ein Rootkit war oder oder oder.

 

Sorry!!!!

Hab ich verrafft!
Jetzt wohl zu spät da die Datei weg is....
Trotzdem vielen Dank für alles!
Hast mir ne menge Ärger und Aufwand erspart

Grüße South

Hallo...könnte jemand mal schauen ob ob mein computer clean ist? ??? sage erstmal danke



C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
c:\hp\HPEZBTN\HPBtnSrv.exe
c:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Program Files\[verify-U] AVS\[verify-U]-Service.exe
C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\system32\taskeng.exe
c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\servicing\TrustedInstaller.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\hp\support\hpsysdrv.exe
C:\Program Files\Hewlett-Packard\On-Screen OSD Indicator\OSD.exe
C:\WINDOWS\RtHDVCpl.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\schtasks.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\1&1\1&1 EasyLogin\EasyLogin.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Windows\system32\conime.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\taskeng.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil9c.exe
C:\Program Files\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\hp\kbd\kbd.exe
C:\Program Files\Free Download Manager\fdm.exe
C:\Windows\system32\cmd.exe
C:\Windows\system32\taskeng.exe
c:\program files\google\googletoolbar1user.exe
C:\Windows\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows

C:\Windows\fsxloqf.exe FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\maik


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\maik\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\maik\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"LoadAppInit_DLLs"=dword:00000000


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller
DNS Server Search Order: 192.168.178.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{3144016D-27D2-43F0-80C6-96E176D3E69F}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{3144016D-27D2-43F0-80C6-96E176D3E69F}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{3144016D-27D2-43F0-80C6-96E176D3E69F}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1