System Volumen Information Ist befallen

Der Steckt in der Systemwiederherstellung. Deaktivier die mal und scanne dann neu. Hinterher wieder aktivieren.

Guten Morgen,
die Systemwiederherstellung hast du vermutlich schon deaktiviert, um dort alles zu bereinigen.
Aber auch die xplugin.dll muß gelöscht werden. Ist ein Bestandteil vom berühmt-berüchtigten  CoolWebSearch, schau z.B. hier:
 http://www.2-spyware.com/file-xplugin-dll.html
Also entweder mit dem CWShredder -freeware-Tool von
 http://www.intermute.com/products/cwshredder.html

oder manuell wie folgt:
denn das XPlugin.dll laesst sich nicht einfach so loeschen; man muss die dll vorher entladen.

Start<Ausfuehren<cmd
reinkopieren:
regsvr32 /u C:\Windows\System32\XPlugin.dll
<enter<

neustarten

C:\Windows\System32\XPlugin.dll suchen und loeschen.

Viel Erfolg.

Also erstmal danke das ihr mir Antwortet aber cwshredder findet nichts und die anderen beiden programme finden auch nichts Spyhunterr und spysubstract wie gesagt finden nichts so und mit start ausführen der tipp soll ich
in das dos fenster den text reinkopieren oder wie soll ich da vorgehen weil ich habe den text reinkopiert mit regsvr32 /u C:\Windows\System32\XPlugin.dll und bei enter drücken kommt ne meldung

Loadlibrary ("C:\Windows\System32\XPlugin.dll")fehlgeschlagen - Das Angegebene Modul wurde nicht gefunden

Wo habe ich da denn fehler gemacht und wie bekomme ich die sche..ß dailer nun noch weg weil die mich ankotzen und mein internet glaube ich auch langsammer machen und ich habe schon dsl also Helft mir mal Bitte weiter Danke ich bin auf dem gebiet nicht so gut Danke CyA

Hi !
Wenn hier CWShredder und Intermute's spysubstract nichts finden, dann ist das schon mal ein gutes Zeichen.

Und wenn du dann im Dos-Fenster den Hinweis bekommst
"Loadlibrary ("C:\Windows\System32\XPlugin.dll")fehlgeschlagen - Das Angegebene Modul wurde nicht gefunden "

dann ist da auch nichts mehr. Hast du so korrekt gemacht. Man hätte diese XPlugin.dll über die Windowssuche dann suchen können. Aber hast du so richtig gemacht. Wollte nur sicher gehen, dass nichts übersehen wurde, was man später bereut.

Und solange du NUR einen reinen DSL-Zugang hast, können dir Dialer sowieso nicht gefährlich werden.
Analog-Modem User sind hier gefährdet.

Etwas problematisch finde ich bei dir noch Spyhunter, den du offenbar hast.
Dieser stand lange Zeit auf der Liste der sog.rogue anti-spyware (die durch aggressive Werbung, false positives etc. Kunden versuchten zu bekommen). Schau dir dazu dies an:www.spywarewarrior.com/rogue_anti-spyware.htm#sites


Von dieser Liste sind sie zwischenzeitlich herunter. Aber Spyhunter gilt nachwievor als nur mittelmässiger Spywarescanner. Solltest du besser deinstallieren und durch anerkannte Tools wie Ad-aware, Spybot oder
Microsoft AntispyBeta1 ersetzen.

Aber spysubstract ist auch voll ok und gilt als guter Spywarescanner. Aber ein 2. oder 3. als Gegenmeinung kann nie schaden. Keiner findet alles.

So Supi Für Die hilfe aber
die seite wo es steht mit der liste ist leider english was ich nicht kann und das Programmm was bei mir was findet heißt MicroWorld AntiVirus Toolkit Utiliti Version 5.1.1 Und es ist Powered By Kaspersky und es findet als dailer oder trojaner 2 trainer für Starcraft ein spiel  und es findet was mich beunruhigt immer noch Dateien in Dem Ordner System Volume information

Die se scheiß dailer kotzen mich echt an
oder trojaner weiß net was es ist
und das Tool Löscht die auch nicht Von Alleine weil mann es Kaufen muß und Kennt nicht einer ein Richtig Gutes Tool von euch Was die findet und Löscht und Darf ich Was Aus dem Ordner Überhaupt Löschen


So und Die Datei Windows System32 Xplugin Dll Finde ich auch nicht mehr im selber suchen naja  ist vielleicht weggegangen Wer Weiß Also Schrweibt mir mal bitte ob mann da was löschen darf in der system volume information Danke Euer Scheiß_dailer CyA

Ach und ich habe noch was in C:\RECYCLER kann ich da was rauslöschen ist das der papier korb von norton oder was ist das
Danke

Guten Morgen!

Der C:\RECYCLER ist der Papierkorb von deinem PC. Alles was du gelöscht bzw. dort hineingeschoben hast und der PC IMMER NOCH weiterläuft, kann dort gefahrlos gelöscht werden. Man sollte auch den Papierkorb nicht allzu groß werden lassen, kostet ua. Speicherplatz.
Auch so manche DLL's, Cookies  etc. bleiben aktiv , bis  der Papierkorb geleert wurde!

Das immer noch was im System Volume information (= Systemwiederherstellung) ist, überrascht. Entweder hat die erste Deaktivierung nicht richtig funktioniert oder du hast wg. diesem Spiel einen Nachlader, der sich immer wieder neu aus dem Internet nachlädt.

Auch wie schon gesagt ist der Spyhunter u.U. verdächtig, da was nachzuladen. Zählt nicht gerade zu den Top-tools. Besser sind die anderen,die oben genannt wurden.

Mach folgendes nochmals zur Sicherheit:
- aktualisiere das MicroWorld AntiVirus Toolkit
  (ist nachwievor mit der beste Scanner in der
   Erkennung. Cleant leider nicht mehr, sondern
   zeigt nur an. Oder man kauft ihn dann!)
   
-  deaktiviere dann im nächsten Schritt ZUERST deine Systemwiederwiederherstellung (Arbeitsplatz-->
   Eigenschaften etc.)
   und gehe dann in den abgesicherten Modus mit F8
   ( wie das alles geht ,wird z.B. hier gut erklärt:
    http://www.heise.de/security/artikel/39543 )
   Mach im abgesicherten Modus den AV-Scan und
   hinterher aufschreiben, wo (welcher Pfad,
   also z.B.  C:\..... ) was (Namen!) gefunden wurde.

- Starte dann deinen PC neu im Normalmodus und
  mach dort zum Abschluß ein HJT-Logfile
  (gibts hier: www.hjt.klaffke.de oder
   www.hijackthis.de ), um zusehen, was noch da ist.
  Poste dann diese HJT-Logfile zum nachprüfen.

So habe mein Pc gescannt mit escan aber der lässßt mich nich in den ordner zum löschen der pc also ich komm nicht rein in system volumen information

Hilfe

und hier ist mein Hijackthis logfile

Logfile of HijackThis v1.99.1
Scan saved at 16:23:27, on 08.03.2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\Symantec\NORTON~1\GHOSTS~2.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\PROGRA~1\FRNDSL\FRNDSL.exe
C:\Programme\Avant Browser\avant.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\TOOLS\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: Alle Bilder von gleichem Server filtern - C:\Programme\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Hervorheben - C:\Programme\Avant Browser\Highlight.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Suchen - C:\Programme\Avant Browser\Search.htm
O8 - Extra context menu item: Zur Werbebanner-Filterliste hinzufügen - C:\Programme\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Öffne alle Links auf dieser Seite... - C:\Programme\Avant Browser\OpenAllLinks.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\TOOLS\MESSEN~1\yahoo\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\TOOLS\MESSEN~1\yahoo\YPager.exe
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{0C43AD6B-5E87-4D98-B853-E5F7B00D925B}: NameServer = 194.97.173.124 194.97.173.125
O17 - HKLM\System\CS1\Services\Tcpip\..\{0C43AD6B-5E87-4D98-B853-E5F7B00D925B}: NameServer = 194.97.173.124 194.97.173.125
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: GhostStartService - Symantec Corporation - C:\PROGRA~1\Symantec\NORTON~1\GHOSTS~2.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Programme\TOOLS\Sandra Lite 2005.SR1\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Programme\TOOLS\Sandra Lite 2005.SR1\RpcSandraSrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Hallo !
Sehr merkwürdig,daß sich die System Volume information
nicht deaktivieren lässt. Aber damit müssen wir im Moment leider leben. Allgemein  gilt jedoch, daß etwaige Viren, Dialer etc. nicht gefährlich sind, solange diese NUR in System Volume information vorkommen. Zum Problem wird es jedoch dann, wenn du irgendwann einmal eine Systemwiederherstellung machen willst/musst, dann bekommst du ALLES wieder aus der
Systemwiederherstellung zurück auf die Festplatte mit allen negativen Auswirkungen. Deswegen ist das kurzfristige  deaktivieren durchaus manchmal sinnvoll
(gibts sowieso nur bei ME +  XP),um es dort zu löschen.

Bitte prüfe nun vorab die FRNDSL.exe
in C:\PROGRA~1\FRNDSL\FRNDSL.exe mit
   http://virusscan.jotti.org

Was sagt jotti dazu ?

Fixe/lösche dann auf jeden Fall folgendes:

O4  - HKLM\..\Run:[KernelFaultCheck]
       %systemroot%\system32\dumprep 0 -k

O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe

Gehe dann mit beim HJT-Tool auf (rechts unten)
config--->Misc Tools---> open hosts file manager
und überprüfe dort die Host-Einträge.
Da sollte nur in der Schlußzeile stehen:
        127.0.0.1  local host

Generell solltest du auch Windowsupdate-Seite besuchen, dein XP ist nicht mehr aktuell und noch mehr gefährdet im Moment.

Auch ein Check mit Ad-aware (v.1.05) und Spybot (v.1.3) kann nie schaden als weitere Tools neben
Intermute's spysubstract, der durchaus ok ist.

Ein anderes kostenloses Tool wäre     
a-squared Free(enthält nur den Scanner) von
http://www.emsisoft.de/de mit Schwerpunkt
Trojaner,Würmer und Dialer.

Für Dialerbekämpfung ist neben Kaspersky (bwz. escan, der mit den Kaspersky-Signaturen arbeitet) auch das
kostenlose AntiVir sehr gut.

Viel Erfolg.

Hi  weißt du auch Wirklich was Dumpreg-1 ist für eine anwendung nicht das ich die fixe und mein drucker oder so geht net mehr

Weißte auch wes das ist
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe

nicht das ich das fixe und irgendwas geht net mehr
und denn rest werd ich mal durchgehen
und meine systemwiederherstellung kann ich deaktivieren habe ich auch getan und neu gestartet und wieder angemacht und heute scanne ich nochmal
und noch eine frage was können Trojaner so böses alles anrichten bei mir
Wo ich nicht rein komme ist systemvolumen informartion da wollte ich riengehen und es geht nicht hm wollte die dateien mit hand löschen aber geht net


So und dann habe ich noch was gefunden ich habe in C:immer eine datei die mir nicht geheuer ist
Name: 23990098.$$$
Typ $$$ Datei
Göße 0KB

Nach löschen kommt sie immer wieder

und wollte wissen ob ich diesen ordner löschen kann
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp
Weil da auch eigen artige ordner inhalten sind
Danke

Guten morgen !

Die beiden o.g. Einträge kannst du ohne Gefahr löschen.
1.)Dieser Dumpreg-1 Eintrag wird vom BS nach einem
   Systemabsturz erstellt. Enthält Informationen,wieso
   ein Absturz war und man kann dann (wenn man will)
   diesen Bericht an Microsoft senden (was viele nicht
   tun bzw. wollen).
   Ist aber für den Laien völlig unverständlich und
   nur für Profis überhaupt interpretierbar.
   Diesen HJT-eintrag kannste ohne Probleme löschen.
   Aber kannst ihn auch stehen lassen, hat keinerlei
   Auswirkungen auf deinen PC und "stört" mehr aus
   optischen Gründen bzw. für dich nutzlos.
2. wg. O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe

   Wenn du diese IP 82.179.166.145 z.B. mit
   http://www.iks-jena.de/cgi-bin/whois überprüftst,
   wirst du feststellen ,daß sich dahinter eine
    St.-Petersburger Adresse (70 Bolshoy pr. V.O.)
   verbirgt (Dialer ?!), denn ich glaube nicht, daß
   du einen Internetprovider aus St.Petersburg hast.

Deinen Lokale Einstellungen\Temp-Ordner solltest du nicht löschen, wohl aber von Zeit zu Zeit (vorallem bei Viren etc.Problemen) den Inhalt.
Grund bzw. Erklärungen siehe z.B. hier:
 www.emsisoft.de/de/support/faq/?id=7

Diese 23990098.$$$ ist völlig harmlos und ist eine
Temporary file.
Dateiendungen kannst du z.b. hier nachschauen:
http://www.endungen.de/index.php

An die systemvolumen information selbst solltest du nicht rangehen und wird auch vom BS "als letzten Rettungsanker" besonders geschützt; deswegen kommen auch z.B. Scanner da nicht ran. Diese MUSS man nur dann deaktivieren, wenn sich mal Viren etc. dort einschleichen.Dann wird es gefährlich,wenn man mal eine Systemwiederherstellung macht.
Manche schalten allerdings auch diese System Volume information (= Systemwiederherstellung) komplett aus,um Platz zu sparen. Haben aber dafür z.B. vorher ein sauberes Image der Festplatte angelegt, so daß sie jederzeit die wieder zurückspielen können.

Was sagt jotti zu FRNDSL.exe ?

Was können Trojaner? Je nach Artund Name verdammt viel.
Von Passwörter klauen, Tastatureingaben mitschreiben bis zur Übernahme und Steuerung deines PC's durch Hacker.
Lies dir z.b. www.emsisoft.de/de, www.trojaner-info.de
und ähnliche Seiten durch.

Jo danke ich dir Richard wa und mit denn Dailern in System Volumen sind auch weg weil ich sie deaktiviert habe neu start Aktiviert und dann waren se weg supi gemacht und mit denn anderen teilen von hijackthis überleg ich mir noch ob ich die weg mache vorallem mit denn eintrag der internet seite dort wo du gesagt hast das der in st.petersgburg ist dan weiß ich net ob das von freenet ist mein anbieter fürs dsl