Windows XP: trojaner entfernen? setzt sich an programmdatei fest

Mach mal ein Logfile mit Hijackthis und poste ihn hier.

Außerdem mache einen komplett scan mit malwarebytes und bitdefender, poste von beiden die reporte.

Wird evtl NICHT reichen ... !!

zuerst : Zubehör .....
Plattenbereinigung machen zum löschen aller temporären Dateien

dann :
HijackThis , im Normalmodus !
Auswertung mit Bildern :
http://www.computerhilfen.de/hilfen-17-235710-0.html
Log oder Zusammenfassung  ggf hier posten.

-------------------------------------------------------------------------------------------------------------

Im Normalmodus sind etliche Dateien gesperrt .
Darum : Virenscan unbedingt immer im abgesicherten Modus  !

Ausserdem verstecken sich welche ggf in der Systemwiederherst.
Vor dem Scan dort unter SYSTEM die Systemwiederherstellumg AUS ,
(vorsicht, alle Punkte sind dann weg)

Virenscan machen  & ggf Scan mit Spybot S&D oder Adware-7/8 oder MalwareBytes

Systemwiederherst. wenn OK = wieder AN
Normalstart und Systemwiederherstellungspunkt setzen .
 

 

Wird evtl NICHT reichen ... !!

Ach ja...?
Woher weißt du ?
Glaskugel, Kaffeesatz oder Hellseher ??? 

 

Im Normalmodus sind etliche Dateien gesperrt .
Darum : Virenscan unbedingt immer im abgesicherten Modus  !

Dieser hier, ist der einzige Satz den man so stehen lassen kann ,was korrekte Aussage und/oder richtige  Schreibweise betrifft.....

Bei deinen anderen Tips setzt du zuviel Dinge als gegeben vorraus ...
...und was Spybot und AdAware finden soll ,was der hauseigene installierte Scanner nicht erkennt ,mußt du einem Fachmann hoffentlich nie erklären müssen...du kämst arg ins Stottern...


 

ggf Adwarscan mit 

Das muß auch was völlig neues und nur dir bekanntes sein.... ???

Man sollte meinen das ein Rentner der hier seine Kohle verfrühstückt,mehr Zeit haben sollte und ausführlichere Anleitungen schreiben kann..
Dieser Telegrammstil ist immer wieder auch Grund einem Hilfesuchenden zu sagen "mehr Input bitte",,,gelle ?
Du kannst nicht einerseits mehr Infos anfordern und andererseits im Stenostil Tips runterrattern

Wichtig ist, das System kennenzulernen  !!noch bevor ich irgendwelche wilden Löschaktinen machen lasse !!
Sir Reklov,
der darauf wartet vom HCK einmal eine gute und nachvollziehbare Anleitung zu lesen....

Hallo Sir Rektum...
NEEE , die sollte dann von DIR kommen !!

Deshalb schrieb ich "evtl" ... da mir ein HJT alleine zu wenig schien .
Und nur , um dem Poster eine vorläufige Hilfe zukommen zu lassen , bevor die KÖNNER wie Du kommen .

Ich bin wirklich nicht hier , um komplexe Viren (usw) Probleme zu lösen , aber mit meinem Vorschlag lägen evtl schon einige Details vor .....

Du hast ja mal wieder nur Häme und Wortklauberei parat , einen Vorschlag finde ich in deinem Beitrag leider nicht .
Würde gerne meinen Beitrag löschen , um einem BESSEREN Platz zu machen .
Und wenn ich mal einen richtig Guten von Dur finde , kopiere ich ihn auch gerne mit deinem Namen als "geklaut bei" hier rein.
Denn Helfer wie HELP sind leider selten inzwischen.
HCK     

also, nach den ganzen streitgesprächen bin ich nun doch dazu gekommen ein logfile von hijackthis zu erstellen. bitteschön und schon jetzt danke fürs weiterhelfen!


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:16:37, on 03.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Update Service\livesrv.exe
C:\Programme\BitDefender\BitDefender 2008\vsserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\Programme\Adobe\Acrobat 7.0\Distillr\AcroDist.exe
C:\Programme\BitDefender\BitDefender 2008\bdagent.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\System32\imapi.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\Programme\Zone Labs\ZoneAlarm\MailFrontier\mantispm.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: BitDefender Toolbar - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - C:\Programme\BitDefender\BitDefender 2008\IEToolbar.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [BitDefender Antiphishing Helper] "C:\Programme\BitDefender\BitDefender 2008\IEShow.exe"
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\BitDefender\BitDefender 2008\bdagent.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ALTEREGO] C:\WINDOWS\SYSTEM32\ALTEREGO.vbs
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1935655697-1343024091-725345543-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Vera')
O4 - HKUS\S-1-5-21-1935655697-1343024091-725345543-1004\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime (User 'Vera')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-21-1935655697-1343024091-725345543-1004 Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe (User 'Vera')
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163095009327
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - BitDefender SRL - C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Update Service\livesrv.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - BitDefender S.R.L. - C:\Programme\BitDefender\BitDefender 2008\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - BitDefender - C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Communicator\xcommsvr.exe

--
End of file - 7502 bytes

 

Hallo

C:\WINDOWS\SYSTEM32\ALTEREGO.vbs

hier abkopieren und bei Virustotal

einkopieren (mit Strg+V)
abwarten - Ergebnis abkopieren und vollständig hier posten

+

Punkt 3 hier posten
http://www.computerhilfen.de/hilfen-17-235710-0.html#msg1169966

 ??? hats damit zu tun ???
http://alterego-themovie.com/

www.endungen.de findet :
vbs   Script file           Microsoft Visual Basic   
vbs   Visual Basic Script   Visual Basic

0 bytes size received / Se ha recibido un archivo vacio

das ist alles, was virustotal zu C:\WINDOWS\SYSTEM32\ALTEREGO.vbs
sagt. ich glaube auch, in einem früheren scanvorgang vom bitdefender gelesen zu haben, dass er eben jene datei gelöscht hat. wobei: alterego heißt mein computer, bzw die festplatte......

was nun? ich lasse den bitdefender nochmal laufen und poste dann das ergebnis.

danke und hilfe!!!

bei vbs halt lieber einmal mehr scannen, wie dieses Beispiel zeigt:

 

Datei MARKUSFISCHER.vbs empfangen 2008.05.21 14:04:49 (CET)
Status: Beendet

Ergebnis: 24/32 (75.00%)
Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.20.0 2008.05.21 VBS/Solow
AntiVir 7.8.0.19 2008.05.21 HEUR/Exploit.HTML
Authentium 5.1.0.4 2008.05.21 VBS/Solow.A
Avast 4.8.1195.0 2008.05.21 VBS:Solow-C
AVG 7.5.0.516 2008.05.21 VBS/Small
BitDefender 7.2 2008.05.21 Generic.ScriptWorm.E3FEE188
CAT-QuickHeal 9.50 2008.05.19 VBS/IETitle
ClamAV 0.92.1 2008.05.21 -
DrWeb 4.44.0.09170 2008.05.21 VBS.Generic.582
eSafe 7.0.15.0 2008.05.20 -
eTrust-Vet 31.4.5808 2008.05.21 VBS/Slogod
Ewido 4.0 2008.05.21 -
F-Prot 4.4.2.54 2008.05.16 VBS/Solow.A
F-Secure 6.70.13260.0 2008.05.21 VBS/Solow.I
Fortinet 3.14.0.0 2008.05.21 -
GData 2.0.7306.1023 2008.05.21 Virus.VBS.AutoRun.au
Ikarus T3.1.1.26.0 2008.05.21 Virus.VBS.AutoRun.c
Kaspersky 7.0.0.125 2008.05.21 Virus.VBS.AutoRun.au
McAfee 5299 2008.05.20 VBS/IE-Title
Microsoft 1.3520 2008.05.21 Worm:VBS/Slogod.F
NOD32v2 3116 2008.05.21 VBS/Butsur.E
Norman 5.80.02 2008.05.20 VBS/Solow.I
Panda 9.0.0.4 2008.05.21 VBS/FlashJumper.E.worm
Prevx1 V2 2008.05.21 -
Rising 20.45.12.00 2008.05.21 Worm.VBS.Sowel.a
Sophos 4.29.0 2008.05.21 VBS/Solow-Gen
Sunbelt 3.0.1123.1 2008.05.17 -
Symantec 10 2008.05.21 VBS.Solow
TheHacker 6.2.92.314 2008.05.20 -
VBA32 3.12.6.6 2008.05.20 -
VirusBuster 4.3.26:9 2008.05.20 VBS.Niric.B
Webwasher-Gateway 6.6.2 2008.05.21 Heuristic.Exploit.HTML
weitere Informationen
File size: 4288 bytes
MD5...: 4c1e8483a5d2df0361c7d5ddf77eb2a8
SHA1..: 6e33bd8426a45dc45fa7bfe644027d0b6eda06fc

Report  v. Punkt 3 ?

welcher punkt genau ist punkt 3? hier mal das protokoll vom bitdefender:

BitDefender Protokolldatei
Produkt : BitDefender Antivirus 2008
Version : BitDefender UIScanner v.11
Protokoll Datum : 21:38:15 03/06/2008
Programmpfad: : C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender\Desktop\Profiles\Logs\deep_scan\1212521895_1_00.xml

PrüfpfadPfad0000: C:\
Pfad0001: F:\


PrüfoptionenAuf Viren prüfen : Ja
Auf Adware prüfen : Ja
Auf Spyware prüfen : Ja
Auf Anwendungen prüfen : Ja
Auf Dialer prüfen : Ja
Auf Rootkits prüfen : Ja


Bitte wählen Sie die Installations-OptionenÜberprüft die Systemregistrierung von Windows : Ja
Cookies überprüfen : Ja
Boot-Sektoren prüfen : Ja
Speicher-Prozesse : Ja
Archive prüfen : Ja
Laufzeitkomprimierung prüfen : Ja
E-Mails prüfen : Ja
Alle Dateien prüfen : Ja
Heuristische Prüfung : Ja
Geprüfte Erweiterungen : 
Ausgeschlossene Erweiterungen : 


Ablauf festlegenWählen Sie eine Aktion aus, die bei einem Virenfund angewendet wird : Desinfiziert
Wählen Sie eine Aktion für verdächtige Objekte aus : Nie
Wählen Sie eine Aktion aus, die bei einer versteckten Datei angewendet wird : Nie


Zusammenfassung der PrüfungVirensignaturen : 1255973
Archiv Plug-Ins : 42
E-Mail Plug-Ins : 6
Scan Plug-Ins : 12
Archiv Plug-Ins : 42
System Plug-Ins : 4
Archiv Plug-Ins : 7


Gesamtübersicht der PrüfungGeprüfte Objekte: : 291705
Infizierte Objekte: : 0
Verdächtige Objekte : 0
Geklärte Objekte : 0
Einzelne Viren gefunden : 0
Geprüftes Datenverzeichnis : 6109
Boot-Sektoren prüfen : 2
Archive prüfen : 2608
Input-Output Fehler : 31
Prüfzeit : 00:00:52:13
Dateien pro Sekunde : 93


Zusammenfassung der geprüften ProzesseGeprüfte Dateien : 37
Infiziert mit: : 0


Überprüft die Systemregistrierung von WindowsGeprüfte Dateien : 298
Infiziert mit: : 0


Übersicht der geprüften CookiesGeprüfte Dateien : 0
Infiziert mit: : 0


Verbleibende ProblemeObjekt Name Bedrohungsname: Abschluss Status


Gelöste ProblemeObjekt Name Bedrohungsname: Abschluss Status


Nicht zu prüfende ObjekteObjekt Name Grund Abschluss Status

tjaja, zwischendurch ist die kiste mal wieder ca 3 mal abgeschmiert. also neustart...

dankedankedankehilfehilfehilfe

hier noch der bericht von malwarebytes...



Malwarebytes' Anti-Malware 1.14
Datenbank Version: 818

22:18:19 03.06.2008
mbam-log-6-3-2008 (22-18-19).txt

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 133158
Scan Dauer: 27 minute(s), 22 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
(Keine Malware Objekte gefunden)

und weiter???
 ??? ??? ???
 

Man könnte mit einer BartPE cd arbeiten,in C`T 26/07 war eine version drin,die eine virenscanner mit 1 jähriger updateberechtigung enthielt.Die entsprechende Cd mußte man selber bauen.

ich hatte mir aus der ct eine cd bestellt zum thema sicherheit und virenkiller (oder so). darafu war unter anederm knoppix und knoppicillin. beide sind aber leider nicht durch meine festplatte durchgekommen - beide programme konnten sich entweder nicht vollständig straten oder haben spätestens beim überprüfen der festplatte schlappgemacht...

dann hatte ein bekannter meine festplatte an seinem rechner virenscannen und -befreien lassen. daraufhin war ungefähr eine woche alles ok und dann ging es eben wieder los mit dem lustigen "ich-schalte-mich-dann-mal-aus-spiel".

bleibt dann wohl doch nur noch das totale plattmachen, oder? wäre tatsächlich froh, wenn dem nicht so sein müsste, zumindest bis das aktuelle projekt abgeschlossen ist...

danke jedenfalls nochmal jedem, der mir irgendwelche hinweise geben kann!
 

und verzeihung für die tausend rechtschreibfehler. übermüdet.