Meliza

Hi Leute. Es geschah vor 3 Tagen als ich mit meinem Ex am telefon war. Meine Freundin schickte mir eine Rar Datei. Da sie eine gute Freundin ist und ich weiss sie würde mir kein Virus schicken und mein Ex mich abgelenkt hat, hab ich die Datei einfach angenommen ohne zu lesen was dabei stand. Nun na als die Datei ankam hab ich die geöffnet. Es stand was dran NTknrl, das war so ein graues Fenster welches schnell wieder verschwand. So schnell das ich nicht mal 100% sicher bin das es so hieß. Jedenfalls machte mein msn plötzlich und automatisch jedes Fenster meiner Online Kontakte auf.

Alle fragten mich was das ist was ich denen schicke, obwohl ich nicht mal was verschickt hab. Virus Programm hab ich Kaspersky 6.0. Hab das 2 mal durchlaufen lassen aber der findet den Virus nicht. Hab eben Systemwiederherstellung gemacht, das hat auch nichts gebracht. Bis gestern Abend war das nur so das der Virus kommt wenn ich in MSN angemeldet bin. Also das seh ich eben daran das er plötzlich alle Fenster von meinen Online Kontakten aufmacht. Gestern Abend aber kam das graue Fenster mit NTknrl einfach so auf. Eben grade auch. Eigentlich kenn ich mich ganz gut mit Pc´s aus, aber die Sache hier ist mir ein Rätsel.

Kennt einer von euch so ein Virus?
Wenn ja, wie krieg ich den weg?
Sollte ich mir eine neue msn addy holen?
Oder doch lieber PC formatieren?

Danke schonmal an alle im vorraus.

mfsto

Nein das bringt nichts:P


Nicht unbedingt. Da kann man noch was machen..


Mach folgendes:

Erstelle ein Hijackthis Logfile:
*Geh auf www.hijackthis.de
*Downloade das Programm (Unter Direktdownload oben Rechts)
*Doppelklick auf die Zip Datei
*Entpacke den Ordner in ein eigenes Verzeichnis ,z.B C:\Programme\Hijackthis.
!!! Nicht aus der Zip Datei starten !!!
*Öffne den Hijackthis Ordner und klicke auf das Symbol(Sprengstoff)
*Klicke auf "Do a system Scan and save a Logfile"
*Das Programm läuft durch(Dauert paar Sekunden)+es öffnet sich ein Text Editor Fenster
*Im Editor befindet sich das Logfile-->Kopiere das gesammte(!) Logfile hier in das Forum in <code> - Tags



Sag ma wie hieß das Zip-Archiv genau?

Mfg

Meliza

Ich habs eben probiert aber ich doof hab vorhin win-rar und zip von meiner Festplatte gelöscht :$ Gibts noch ne andere möglichkeit. Es öffnet sich zwar schon ein Editor Fenster aber da sind nur Kreise und Rechtecke und irgendwelche Zeichen. Also vollkommen das falsche.

mfsto

Also ein Entpackungsprogramm brauchst du aufjedenfall. Ohne das Logfile läuft nicht viel , da ich mir dadurch ein Überblick machen kann , was auf deinem Pc für Prozesse laufen und somit auch den Virus ausmachen kann.

Downloade dir ma eins:

>>Winrar<<

oder

>>Winzip<<

Geh dann die Anleitung von meinem vorigen Post genau durch.


Mfg

Meliza

Logfile of HijackThis v1.99.1
Scan saved at 00:54:33, on 05.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\Ati2evxx.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\LEXBCES.EXE
I:\WINDOWS\system32\spoolsv.exe
I:\WINDOWS\system32\LEXPPS.EXE
i:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
I:\WINDOWS\system32\Ati2evxx.exe
I:\WINDOWS\Explorer.EXE
I:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\wscntfy.exe
I:\Programme\Java\jre1.5.0_06\bin\jusched.exe
I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
I:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\LVComSX.exe
I:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
I:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe
I:\Programme\Logitech\QuickCam10\QuickCam10.exe
I:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iw ctrl.exe
I:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
I:\WINDOWS\system32\ctfmon.exe
I:\Programme\Messenger\msmsgs.exe
I:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
I:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe
I:\WINDOWS\system32\wuauclt.exe
I:\Programme\Internet Explorer\IEXPLORE.EXE
I:\Programme\Windows Media Player\wmplayer.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\system32\rundll32.exe
I:\DOKUME~1\Romic\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zylom.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - I:\Programme\AskTBar\SrchAstt\1.bin\A5SRCHAS.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - I:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - I:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Ask Search Assistant BHO - {9CB65201-89C4-402c-BA80-02D8C59F9B1D} - I:\Programme\AskTBar\SrchAstt\1.bin\A5SRCHAS.DLL
O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - I:\Programme\AskTBar\bar\2.bin\ASKTBAR.DLL
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - I:\Programme\AskTBar\bar\2.bin\ASKTBAR.DLL
O4 - HKLM\..\Run: [SunJavaUpdateSched] I:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [kis] "I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] I:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKLM\..\Run: [PinnacleRemote] I:\Programme\Pinnacle\Shared Files\remoterm.exe
O4 - HKLM\..\Run: [LVCOMSX] "I:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\LVComSX.exe"
O4 - HKLM\..\Run: [TkBellExe] "I:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Lexmark X5100 Series] "I:\Programme\Lexmark X5100 Series\lxbabmgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "I:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "I:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe "
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "I:\Programme\Logitech\QuickCam10\QuickCam10.e xe" /hide
O4 - HKLM\..\Run: [WLAN Quick Starter] "I:\Programme\WLAN Quick Starter\WLAN Quick Starter.exe" -update
O4 - HKLM\..\Run: [wlconfig] "I:\Programme\WLAN Monitor\wlconfig.exe" -autostart
O4 - HKLM\..\Run: [NeroFilterCheck] I:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [InstantTray] I:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [IW_Drop_Icon] I:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iw ctrl.exe /DropDisc
O4 - HKCU\..\Run: [MessengerPlus3] "I:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [H/PC Connection Agent] "I:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [ctfmon.exe] I:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "I:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "I:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\\ie_banner_deny.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - I:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - I:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - I:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {55027008-315F-4F45-BBC3-8BE119764741} (Slide Image Uploader Control) - http://www.slide.com/uploader/SlideImageUploader.cab
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary...n.cab56986.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - I:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - I:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: I:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: klogon - I:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - I:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - I:\WINDOWS\system32\WPDShServiceObj.dll
O21 - SSODL: printers - {C1CF8392-7871-40D6-82C7-5EB2769C8F7C} - libcintle2.dll (file missing)
O23 - Service: AccSys WiFi Component (accsvc) - AccSys GmbH - I:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - I:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - I:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - I:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - i:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - I:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NBService - Nero AG - I:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - I:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe


Habs jetzt doch anders hingekriegt, aber das alles steht bei mir dranne. Danke dir schon mal für deine Mühe.

mfsto

Hi,

es ist wichtig , dass du Hijackthis in einen eigenen Ordner entpackst , da sonst , wie du einfach aus der Zip Datei gestartet, keine Backups angelegt werden können.
Ein Entpackungsprogramm wie WinZip brauch man auch sonst immer .Da brauchst du nichts zu befürchrten , dass dadurch der Virus wiederkommt oder sonst was

Fixe mit Hijackthis folgende Einträge,nachdem du einen eigenen Ordner wie z.B C:\Programme\Hijackthis erstellt und Hijackthis nach dort entpackt hast:


Wie fixe ich?
*Starte Hijackthis
*Starte ein Durchlauf
*Danach erscheint das Logfile +Fenster mit mehreren Einträgen(O2 usw.)
*Haken bei den entsprechenden Einträgen
*Klicke auf "Fix Checked"




So und hier haben wir den Virus:

O21 - SSODL: printers - {C1CF8392-7871-40D6-82C7-5EB2769C8F7C} - libcintle2.dll (file missing)


Es scheint als ob der Virus nicht mehr auf deinem Pc ist.
Kann gut sein das dein Virenprogramm ihn schon gelöscht hat.

Gibt es noch irgendwelche Anzeichen auf den Virus?
Öffnen sich immer noch ,wenn du in MSN reingehst, jede Menge Fenster ?
Falls ja , können wir dann weitere Aktionen in Angriff nehmen.

Mfg

Meliza

Vielen Dank erst mal. Hab das jetzt genauso gemacht wie du gesagt hast. Ich werd das mal die nächsten Tage beobachten. Aber soweit ich mich erinnere kamen das letzte mal die Fenster in msn heute Mittag auf. Sonst nicht im Laufe des Tages. Werde dies aber noch weiter beobachten. Tut mir leid, aber jetzt muss ich dir noch eine Frage stellen. Und zwar kennst du dich vllt. gut msn aus. Das Problem ist folgendes. Ich mach mein PC an, dann als erstes MSN, dann Internet Explorer, mein Musik Ordner und wmp. Die Sache ist jetzt die, wenn ich nach ca. 20 Minuten ein anderes Programm öffnen will, kommt immer eine Fehlermeldung. drwtsn kann das programm nicht öffnen. Und das geht dann die ganze Zeit so, egal was ich noch öffnen will. Manchmal hängt auch meine Inet Verbindung und ladet erst wieder weiter wenn ich auf Strg+Alt+Entf. alle Prozesse beende die drwtsn heißen. Manchmal wenn ich dennoch versuche ein Programm zu öffnen obwohl immer die Fehlermeldung kommt, dann geht mein PC einfach aus und fährt nochmal hoch. Das komische ist aber, wenn der messenger nicht geöffnet ist, dann kann ich jederzeit auf jedes Programm zugreifen.

Meistens sieht das dann so aus wenn ich Strg+Alt+Entf gehe

mfsto

Dafür sind wir doch hier

Uhhh 84 Prozesse ...Da ist was faul
Diese ganzen drw(usw.) Prozesse..

Tauchen die ganzen Prozesse auch auf , wenn du deinen Pc hochfährst und Msn nicht startest ?
Oder hängt das explizit mit Msn zusammen?


Ich würde dir empfehlen mit Mozilla Firefox im Internet zu surfen.
Der Internet Explorer hat eine Menge Sicherheitslücken und ist von der Bedienung auch nicht grade ein Hingucker.
Mozilla Download


Mach außerdem folgendes:

Wenn du damit fertig bist poste nochma ein aktuelles Hijackthis Logfile
und berichte , ob die Prozesse auch auftauchen wenn du Msn nicht startest.


Mfg

Meliza

Soviel ich beobachtet hab nur wenn der messenger offen ist. Eben ist er mir wieder abgestürzt. Na ja ich versuch das mal auf die schnelle.

mfsto

Ah ok gut zu wissen.

Lass erstma den Msn Cleaner drüber laufen.

Danach machst du folgendes:


Lade dir den Norman Malware Cleaner

* Cleanertool direktdownload --> Norman_Malware_Cleaner http://download.norman.no/public/Nor...re_Cleaner.exe
* Deaktivieren der Systemwiederherstellung
* Rechner in den abgesicherten Modus starten (beim start F8 drücken)
* Auswahl der/des Laufwerks über - Add/Remove - am besten alle Laufwerke prüfen lassen
* Start des Cleanertools mit - Start -
* Eventuell nochmaliger durchlauf des Tools
* Neustart des Systems in den Normalmodus
* Poste die Funde der gefundenen Schädlinge die Logdatei wird auf dem Desktop abgelegt
-------------------------------------------------------
* Lege bitte diesen Ordner an c:\programm_download\asqaured
* Download a-squared free (http://www.emsisoft.com/en/software/download/)in diesen Ordner
* Installiere das Tool in den vorgegebenen ordner
* Starte das Programm und beginne zuerst mit der Update funktion
* Nun wechsle in den Abgesicherten Modus(Beim Booten mehrmals hintereinander F8 drücken)
* Scanne und bereinige mit a-squared das System
* Logfile posten

Melde dich danach nochma und teile uns mit ,ob das Problem mit den vielen Prozessen immer noch vorhanden ist.

Ich brauch jetzt erstma Schlaf :O
Bin morgen Mittag wieder da.

Mfg