kack virus über msn "is that u?"

((((((((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))
 
*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"msnmsgr"="\"C:\\Programme\\MSN Messenger\\msnmsgr.exe\" /background"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"NvCplDaemon"="RUNDLL32.EXE NvQTwk,NvCplDaemon initialize"
"SunJavaUpdateSched"="\"C:\\Programme\\Java\\jre1.5.0_09\\bin\\jusched.exe\""
"WinampAgent"="\"D:\\Programme\\Winamp\\Winampa.exe\""
"nwiz"="nwiz.exe /install"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"
"NeroCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,a2,03,00,00,00,\
  00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
  ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
  00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IpWins]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="ipwins"
"hkey"="HKLM"
"command"="C:\\Programme\\ipwins\\ipwins.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="MsnMsgr"
"hkey"="HKCU"
"command"="\"C:\\Programme\\MSN Messenger\\MsnMsgr.Exe\" /background"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="GoogleToolbarNotifier"
"hkey"="HKCU"
"command"="C:\\Programme\\Google\\GoogleToolbarNotifier\\1.0.720.3640\\GoogleToolbarNotifier.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"Messenger"=dword:00000002

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]   
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

Completion time: 06-11-28 12:08:58.92
C:\ComboFix.txt ... 06-11-28 12:09

Du musst erst die Systemwiederherstellung deaktivieren und dann das system offline scannen. Dann kannst du die Systemschädlinge bedenkenlos löschen. Bereinige danach die Regestry!

und wir bereinige ich die registry? da sollte man ja genau aufpassen, was man macht. also mit dem virenscanner oder wie?
danke schon mal!

Der Virenscanner ist nur dazu da die Viren von der Platte zu putzen!

Lade dir das Programm herunter   Backup]http://www.freewarepage.de und such das programm Regclean v4.1a  !Lass ihn einfach übers System laufen und alles löschen was er findet.

Davor bitte das Anwenden:

Start ->Ausführen ->regedit eingeben und mit "Enter" bestätigen.
Als nächstes wählst du im Fenster(oben links) Registrierung die Option ->Registrierungsdatei exportieren und speicherst diese in einem Ordner deiner Wahl.
Achtet unbedingt darauf, dass unter "Exportbereich" im unteren Teil des Fensters "Alles" ausgewählt ist (sonst wird nur der Teil der Registrierung gesichert, der im Textfeld "Gewählter Zweig" erscheint). Damit hast du ein komplettes Backup der momentan gültigen Registrierung angelegt.

Kannst also im Notfall alles zurückspielen wenn du willst. speichere die Datei dann auch noch extern ab , d.h auf einem usb stick etc

Sir Mannor

Hallo,
wo eigentlich hast du das Programm her,dessen du Log du hier vorzeigst ?
Von "Sabina" aus dem Protectus-Forum oder von "Ruby" aus dem Hijackthis-Forum ?
Forum-Hopping und Crossoverpostings ist eine nicht sehr gern gesehene Sache....
Wird meist mit Nichtbeachtung abgestraft...
Sir Reklov

hi,
habe es mit eScan geschafft, dass ding zu löschen.
sorry, das mit dem programm habe ich nciht verstanden.
aber danke für eure hilfe!
gruß

Hi,

was gibt es da nicht zu verstehen ???  ???  ???

einfach auf die homepage gehen das programm runterladen und das programm mal die regestry scannen lassen!

Dass du es mit eScan geschafft hast soll bedeuten dass der Thread fertig ist oder was ?
Mach mal einen Scan mit dem Kaspersky Online Scanner! Und poste dann das Logfile!

Sir Mannor

Ich habe ebenfalls einen Virus gekriegt über MSN, bzw angeblich von einem Messenger Kontakt. Der Virus scheint bekannt zu sein, denn er heisst: msrr.exe und hält mich ziemlich auf Trab. Ich habe mir Hijack This runtergeladen damit ich auch ein Filereport bieten kann:


Logfile of HijackThis v1.99.1
Scan saved at 01:53:48, on 03.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Softwin\BitDefender10\bdmcon.exe
C:\Programme\Softwin\BitDefender10\bdagent.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Xantrias\Eigene Dateien\HijackThis.exe

O4 - HKLM\..\Run: [BDMCon] "C:\Programme\Softwin\BitDefender10\bdmcon.exe" /reg
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\Softwin\BitDefender10\bdagent.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender10\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Bitte, wenn ihr etwas verdächtiges seht und/oder wisst wie ich diesen Virus wegkriege, postet es rein und ihr habt einen weiteren Freund gefunden!   

P.S: msrr.exe verursacht zwar ein paar Dinge, doch ich weiss nicht ob es auch für folgende Viren verantwortlich ist...die Dateien lauten: gotgo, telebos und wininstall 
Der Bitdefender nennt sie:
Win32.Worm.Im.Licat.C
BehavesLike:Win32.ExplorerHijack
Dropped:Application.Clickspring.A

Bitte helft mir, denn jedes Mal, wenn ich in die Eigene Dateien gehe, kommen diese drei Virenmeldungen vom Bitdefender. Danke

Hallo,
dein Logfile of HijackThis hat keinen negativen Eintrag.
Überprüfe deinen PC mal mit dem Freeware Online-Scanner von F-Secure.
Für eine schnelle und kostenlose Überprüfung des kompletten Systems bietet dieser
Online-Scanner gute Dienste und liefert eine zweite Meinung. Übrigens, er läuft nur unter dem Microsoft Internet Explorer mit ActiveX und besitzen eine Reinigungsfunktion.

Beachte bitte dabei die folgende Anleitung genau und arbeite sie unbedingt in der Reihenfolge und vollständig ab!

Deaktiviere zuerst die Systemwiederherstellung von Windows, nur bei XP und ME.
Eine Anleitung dazu findet man unter: http://www.bsi.de/av/texte/wiederher.htm
Auch der Hintergrundscanner von Bitdefender sollte für die nächsten Schritte deaktiviert sein!

Lösche bitte deinen Browser-Cache und alle sonstigen Temporären Dateien,
ebenso den Papierkorb. Benutze dazu einfach die Freeware CCleaner,
http://www.ccleaner.com/ccdownload.asp
und führe den Befehl Cleaner aus.

F-Secure Online Scanner
http://support.f-secure.com/enu/home/ols3.shtml
(Einige wenige Teile der Software sind in Englisch)
Wähle die Option “Vollständiger Systemscan“

Zur Kontrolle sollte noch eine Überprüfung mit dem kostenlosen Online-Scanner von Ewido  vorgenommen werden.
Zum Teil in Englisch und nur für Windows XP und 2000
http://www.ewido.net/de/onlinescan/
Gut bei der Spyware / Adware Erkennung und Beseitigung.
Wenn Malware entdeckt, muss nach dem Scan der Button “Remove Infections“ gedrückt werden, damit die Schadprogrammen automatisch beseitigen.
(Eventuellen Meldungen beim Scan von Ewido unter “TrackingCookie“ sind harmlos und stellen keine akute Gefahr dar)

Poste bitte auf jeden Fall die ausführlichen Berichte der Scanner hier !
Boote jetzt den PC neu und aktiviere die Systemwiederherstellung wieder.

Scanning Report
Sunday, December 03, 2006 13:04:39 - 14:34:05

Computer name: XUBLIS-PC
Scanning type: Scan system for viruses, rootkits, spyware
Target: C:\ D:\
Result: 7 malware found
Backdoor.Win32.MSNMaker.ab (virus)

    * C:\PROGRAMME\MSN MESSENGER\MSNMSGR.EXE (Renamed & Submitted)
    * C:\PROGRAMME\MSN MESSENGER\MSRR.EXE (Renamed & Submitted)

Email-Worm.Win32.Banwarum.f (virus)

    * C:\DOKUMENTE UND EINSTELLUNGEN\XANTRIAS\TELEBOS.EXE (Renamed & Submitted)

Tracking Cookie (spyware)

    * System (Disinfected)
    * System
    * System (Submitted)

W32/Malware (virus)

    * C:\DOKUMENTE UND EINSTELLUNGEN\XANTRIAS\WINSTALL.EXE (Submitted)

Statistics
Scanned:

    * Files: 16865
    * System: 3552
    * Not scanned: 6

Actions:

    * Disinfected: 1
    * Renamed: 3
    * Deleted: 0
    * None: 3
    * Submitted: 5

Files not scanned:

    * C:\PAGEFILE.SYS
    * C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
    * C:\WINDOWS\SYSTEM32\CONFIG\SAM
    * C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
    * C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
    * C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM

Options
Scanning engines:

    * F-Secure Libra: 2.4.2, 2006-12-01
    * F-Secure AVP: 7.0.171, 2006-12-01
    * F-Secure Orion: 1.2.37, 2006-12-02
    * F-Secure Blacklight: 1.0.31, 0000-00-00
    * F-Secure Draco: 1.0.35, 0260-02-44
    * F-Secure Pegasus: 1.19.0, 2006-08-29

Scanning options:

    * Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ZIP XXX
    * Use Advanced heuristics


AVG Anti-Spyware - Scan-Bericht
---------------------------------------------------------

 + Erstellt um:   14:56:14 03.12.2006

 + Scan-Ergebnis:   



:mozilla.16:C:\Dokumente und Einstellungen\Xantrias\Anwendungsdaten\Mozilla\Firefox\Profiles\3u8fpmdp.default\cookies.txt -> TrackingCookie.Falkag : Keine Aktion durchgeführt.
C:\Dokumente und Einstellungen\Xantrias\Cookies\[email protected][1].txt -> TrackingCookie.Planetactive : Keine Aktion durchgeführt.


::Berichtende

Diesen ewido online scan konnte ich im abgesicherten Modus nicht starten. Dafür hab ich das dort empfohlene Scanprogramm benutzt: AVG Anti-Spyware

Ich hoffe damit kann ich helfen. Vielen Dank

OK,
F-Secure hat ein paar Malware gefunden und sie alle neutralisiert.
Somit sollte dein Problem eigentlich gelöst sein.
Kannst du noch ein negatives Verhalten beobachten?

Zur Sicherheit scanne den PC unbedingt noch mit dem folgengen OnlineScanner:
Panda ActiveScan
http://www.pandasoftware.com/activescan/de/activescan_principal.htm
(Findet zwar auch Spyware und Adware, kann diese aber nicht bereinigen.
Eventuellen Meldungen von Panda unter “Spyware:Cookie“ sind harmlos und stellen keine akute Gefahr dar.)
   

Der Virus ist nicht weg...der kommt bei jeden start wieder...werde ich eine Formatierung durchführen müssen? -.- hab ich erst vor kurzem  gemacht. Aber vielen Dank.

Auch Gut!

Achte darauf das nach der Windows Installtion gleich ein guter Virensanner installiert wird. Und vergesse nicht im Anschluss alle Windows XP Sicherheitsupdates einzuspielen!   

oh, man ich hab den Selben Virus, weiß abe rnur wie ich Antivir drüber laufen laß, da ich mich nicht auskenne.Bei mir ist Antivir angesprungen und hat gleich mehrere angezeigt:
z. B. einen Dropper, Backdoor..., Wurm und einen Trojaner, das ganze Programm, bin völlig aus dem Häuschen und fühle mich richtig schlecht.
Hab Angst dass die Daten weg sind (das Meiste ist natürlich auf CD gebrannt, mach das aber nur 1 mal pro Woche o. alle 14 Tage) oder ich den PC teuer reparieren lassen muss.
Hab mir das alles jetzt hier mal ausgedruckt, sehe aber teilweise Probleme, da ich nicht ganz alles verstehe. Gibt es irgendwo eine Schritt für Schritt Anleitung, die auch für totale Leien verständlich ist.
Schon mal lieben Dank im Voraus, Ihr Lieben!