Virus W32/Agent.AB nicht weg

Hier mal das gleiche Problem:
http://www.trojaner-board.de/showthread.php?t=6540
Also HijackThis herunterladen on Log hier posten oder automatisch auswerten lassen.
http://www.hijackthis.de/
http://www.wintotal.de/Tipps/Eintrag.php?TID=873

Benutz mal About:Buster

Wenn das nicht hilft mach mal ein Hijackthis-Log

Gruß

Ich hab jetzt hier mal die Log von Hijackthis:

Logfile of HijackThis v1.98.2
Scan saved at 10:01:16, on 26.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\TerraTec\Scheduler\TTTimer.exe
C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTvRc.exe
C:\ICQLite\ICQLite.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Real\RealPlayer2\RealPlay.exe
C:\Programme\FSI\F-Prot\F-StopW.EXE
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
C:\WINDOWS\system32\cisvc.exe
C:\DATEV\SYSTEM\PSNTSERV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cidaemon.exe
C:\hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = iexplore
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O3 - Toolbar: Yahoo! Assistent - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [TerraTec Scheduler] C:\Programme\Gemeinsame Dateien\TerraTec\Scheduler\TTTimer.exe
O4 - HKLM\..\Run: [TerraTec Remote Control] C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTvRc.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer2\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [F-StopW] C:\Programme\FSI\F-Prot\F-StopW.EXE
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKCU\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\AIM95\aim.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.gericom.com
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/yinst0401.cab
O20 - AppInit_DLLs: C:\WINDOWS\System32\hlpne.dll
---

Bitte Bitte helft mir jetzt!

Haste Ablout:Buster jetzt ausgeführt?

Gruß

Hab das AboutBluster durchgeführt.
Beim ersten mal hat es unendlich mal die ominöse Datei c:\windows\system32\hlpne.dll removed.
Nach dem Neustart hat es dann die Datei nicht mehr gefunden aber der Virus ist laut RealTimeProtector noch da...

Hilfe!!!!!!

Hast About:Buster im abges.-Modus ausgeführt?
Ansonsten nimm sysclean auch im abges.-Modus?

Kannste noch folgendes runterladen
http://home.pages.at/winlinks/StealthTest.zip <-rechtsklick->ziel speichern

Irgendwohin entpacken und dann starten->Suche starten und das LOG mit rechtsklick ins Ergebnisfenster kopieren (in zwischenablage kopieren) und hier einfügen.

Aber solange warten bis unten kein ### Please wait ### mehr steht, musste runterscrollen um das zu sehn:

Gruß

Hab jetzt auch den Stealth-Test gemacht. Hier das LOG:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main, Search Bar: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main, Search Page: http://www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main, HomeOldSP: about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Search, SearchAssistant: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, Search Bar: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, Search Page: http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, Default_Page_URL: http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, Default_Search_URL: http://www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main, HomeOldSP: about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search, SearchAssistant: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search, CustomizeSearch:
R1 - HKU\.DEFA\Software\Microsoft\Internet Explorer\Main, Search Bar: http://www.google.com
R1 - HKU\.DEFA\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.gericom.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Search Bar: http://www.google.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.gericom.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Search Bar: http://www.google.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.gericom.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Search Bar: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Search Page: http://www.google.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.google.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, HomeOldSP: about:blank
R0 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Search, SearchAssistant: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Search Bar: http://www.google.com
R1 - HKU\S-1-5\Software\Microsoft\Internet Explorer\Main, Start Page: http://www.gericom.com
O2 - BHO:Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O2 - BHO:(no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ANTIVI~1\SPYBOT~1\SDHelper.dll
O2 - BHO:Error - {6C3BCF10-FF27-4D06-9FCA-AACD57A498DD} - C:\WINDOWS\System32\mke.dll
F2 - HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
F2 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon, Userinit: C:\WINDOWS\system32\userinit.exe,
F2 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs: C:\WINDOWS\System32\hlpne.dll
F2 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon, shell: Explorer.exe
F2 - HKU\.DEFA\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
F2 - HKU\S-1-5\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
F2 - HKU\S-1-5\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
F2 - HKU\S-1-5\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
F2 - HKU\S-1-5\Software\Microsoft\Windows NT\CurrentVersion\Windows, load:
O4 - HKCU..\Run:[CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU..\Run:[InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU..\Run:[IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKCU..\RunOnce:[ICQ Lite] C:\ICQLite\ICQLite.exe -trayboot
O4 - HKLM..\Run:[ATIModeChange] Ati2mdxx.exe
O4 - HKLM..\Run:[SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM..\Run:[SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM..\Run:[PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM..\Run:[TerraTec Scheduler] C:\Programme\Gemeinsame Dateien\TerraTec\Scheduler\TTTimer.exe
O4 - HKLM..\Run:[TerraTec Remote Control] C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTvRc.exe
O4 - HKLM..\Run:[ICQ Lite] C:\ICQLite\ICQLite.exe -minimize
O4 - HKLM..\Run:[QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM..\Run:[RealTray] C:\Programme\Real\RealPlayer2\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM..\Run:[F-StopW] C:\Programme\FSI\F-Prot\F-StopW.EXE
O4 - HKLM..\Run:[ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKU\.DEFA..\Run:[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
O4 - HKU\S-1-5..\Run:[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
O4 - HKU\S-1-5..\Run:[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
O4 - HKU\S-1-5..\Run:[CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKU\S-1-5..\Run:[InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKU\S-1-5..\Run:[IW_Drop_Icon] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDisc
O4 - HKU\S-1-5..\RunOnce:[ICQ Lite] C:\ICQLite\ICQLite.exe -trayboot
O4 - HKU\S-1-5..\Run:[CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
Stealthed *.dll's:

Stealthed *.exe's:

Stealthed *.sys's:


Hilf mir bitte!
Danke

Die 2 markierten Dateien sind die Verursacher.
Sind aber anscheinend 2 verschiedene Varianten.

1. Variante:
Entfernen von: file://X:\...\.\...\Temp\sp.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Search, SearchAssistant: file://C:\DOKUME~1\Rene\LOKALE~1\Temp\sp.html
O2 - BHO:Error - {6C3BCF10-FF27-4D06-9FCA-AACD57A498DD} - C:\WINDOWS\System32\mke.dll


2.Variante:
Entfernen von: res://x:..\xxx.dll/sp.html#xxxx

F2 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs: C:\WINDOWS\System32\hlpne.dll

Die erste Variante sollte klar sein und auch so zu beseitigen sein wie angegeben.

Die 2te Variante isn bischen stressiger, wenn die Anleitung nicht hinhaut gehste in die Registrierung start->ausführen->regedit) zu folgendem Schlüssel:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows
Dann machste nen rechtsklick auf das in der linken spalte markierte windows->umbenenne zu Windows_1 dann aus Reg-Editor wieder schliesen und neu booten.

Oder du probierst vorher den SP.Html-Cleaner sollte auch gehn der macht genau das gleiche + löscht die Dateien.

Gruß