Nerviges Spywarezeugs

26.08.2007, 10:13

Hi leute,

ich habe ein nerviges Problem, und zwar folgendes: Irgendwie hat sich auf meinem computer Spywarezeugs installiert. Alle paar Sekunden kommt immer so eine meldung, es wurden Trojaner usw...gefunden. dann werde ich zu einer Seite weitergeleitet.
was kann ich machen dass das aufhört?

ReinMan · 26.08.2007, 10:24

Scanne mit deinem Antivirenprogramm dein System durch lade dir Spybot und Adaware plus Hijackthis und poste ein Logfile von Hijackthis hier ins Forum. Mit Spybot und Adaware gehst du auf Viren,Trojaner,Spyware,Malware etc suche

mfsto · 26.08.2007, 11:16

Falls du die Programme durchlaufen lässt , die ReinMan gepostet hat , teil uns bitte die Namen der Funde mit

Würde dir empfehlen erstma ein Hijackthis Logfile zu posten:

Erstelle ein Hijackthis Logfile:
*Geh auf www.hijackthis.de
*Downloade das Programm (Unter Direktdownload oben Rechts)
*Doppelklick auf die Zip Datei
*Entpacke den Ordner in ein eigenes Verzeichnis ,z.B C:\Programme\Hijackthis.
!!! Nicht aus der Zip Datei starten !!!
*Öffne den Hijackthis Ordner und klicke auf das Symbol(Sprengstoff)
*Klicke auf "Do a system Scan and save a Logfile"
*Das Programm läuft durch(Dauert paar Sekunden)+es öffnet sich ein Text Editor Fenster
*Im Editor befindet sich das Logfile-->Kopiere das gesammte(!) Logfile hier in das Forum in <code> - Tags

Mfg

26.08.2007, 11:30

mal schauen ob ich das richtig verstanden habe

Code:

Logfile of HijackThis v1.99.1
Scan saved at 12:24:35, on 26.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\avpsnn.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Lexmark 1200 Series\lxczbmgr.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Lexmark 1200 Series\lxczbmon.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programme\Java\jre1.5.0_12\bin\jusched.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\Migele\Desktop\eMule\emule.exe
C:\Programme\USRobotics\Wireless USB Manager\USR54G.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\Programme\MSN Messenger\usnsvc.exe
C:\Programme\Java\jre1.5.0_12\bin\jucheck.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\AntiVir PersonalEdition Classic\avnotify.exe
C:\WINDOWS\system32\WISPTIS.EXE
C:\Programme\Spyware Terminator\SpywareTerminator.exe
C:\PROGRA~1\Crawler\Toolbar\CToolbar.exe
C:\PROGRA~1\SPYWAR~1\STServer.Exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Migele\LOKALE~1\Temp\Rar$EX07.797\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php...MjI6Ojg5&lid=2
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\Programme\Crawler\Toolbar\ctbr.dll
O2 - BHO: MSVPS System - {208D7BCC-9857-4C9E-823B-D04E72490A67} - C:\WINDOWS\mxduo.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_12\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\Programme\Crawler\Toolbar\ctbr.dll
O4 - HKLM\..\Run: [Lexmark 1200 Series] "C:\Programme\Lexmark 1200 Series\lxczbmgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_12\bin\jusched.exe"
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOKUME~1\Migele\LOKALE~1\Temp\{0DDEE826-D3F2-4BEC-A237-488C23ECFF29}\{D1DA2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0007"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Dokumente und Einstellungen\Migele\Desktop\eMule\emule.exe -AutoStart
O4 - Global Startup:  USRobotics Wireless USB Adapter.lnk = C:\Programme\USRobotics\Wireless USB Manager\USR54G.exe
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_12\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_12\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://furz10.spaces.live.com/PhotoUpload/MsnPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2646266D-E1A6-4A91-BD08-58631021F22C}: NameServer = 85.255.113.141,85.255.112.145
O17 - HKLM\System\CCS\Services\Tcpip\..\{EB1D4D29-7839-4F50-90DB-5B6763F07960}: NameServer = 85.255.113.141,85.255.112.145
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.141 85.255.112.145
O17 - HKLM\System\CS1\Services\Tcpip\..\{2646266D-E1A6-4A91-BD08-58631021F22C}: NameServer = 85.255.113.141,85.255.112.145
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.141 85.255.112.145
O17 - HKLM\System\CS2\Services\Tcpip\..\{2646266D-E1A6-4A91-BD08-58631021F22C}: NameServer = 85.255.113.141,85.255.112.145
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.141 85.255.112.145
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\Programme\Crawler\Toolbar\ctbr.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: wmphost - {7E96D1B8-792E-4DF7-A874-6F47B2224F06} - C:\WINDOWS\wmphost.dll
O21 - SSODL: wmpdev - {BD3CC76E-8F1D-467F-9942-E6BF2A4A8C96} - C:\WINDOWS\wmpdev.dll
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

mfsto · 26.08.2007, 14:16

Bevor wir weiter machen:
Entpacke Hijackthis bitte in einen eigenen Ordner , wie z.B C.\Programme\Hijackthis und nicht aus de Zip Datei starten.

Also du hast da einiges drauf auf deinem Rechner.
Ok, dann fangen wir ma an:

Extras-->Ordneroptionen
-Erweiterungen bei bekannten Dateitypen ausblenden -> Haken weg
-Geschützte Systemdateien ausblenden -> Haken weg
-Inhalte von Systemordnern anzeigen -> Haken setzen
-Versteckte Dateien und Ordner -> Alle Dateien und Ordner anzeigen

Wenn du die Einstellungen übernommen hast suchst du folgende Datein:

C:\WINDOWS\system32\avpsnn.exe
C:\WINDOWS\wmphost.dll
C:\WINDOWS\wmpdev.dll

Wenn du die Datein gefunden hast , lädst du sie einzelnd bei einem Onlinescanner hoch:

VirusTotal
oder
Jotti

Poste anschließend das Ergebnis von allen drei Scans hier ins Forum.Bitte den vollständigen Bericht und nicht irgendwelche Brocken

Mfg

26.08.2007, 16:19

so hab es so gemacht wie du es gesagt hast, aber die C:\WINDOWS\system32/avpsnn.exe hab ich nicht gefunden.

Code:

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.8.25.0 2007.08.24 - 
AntiVir 7.4.1.63 2007.08.25 - 
Authentium 4.93.8 2007.08.26 - 
Avast 4.7.1029.0 2007.08.26 - 
AVG 7.5.0.484 2007.08.25 - 
BitDefender 7.2 2007.08.26 - 
CAT-QuickHeal 9.00 2007.08.25 - 
ClamAV 0.91 2007.08.26 - 
DrWeb 4.33 2007.08.26 - 
eSafe 7.0.15.0 2007.08.26 - 
eTrust-Vet 31.1.5085 2007.08.24 - 
Ewido 4.0 2007.08.26 - 
FileAdvisor 1 2007.08.26 - 
Fortinet 2.91.0.0 2007.08.26 Adware/AdClicker 
F-Prot 4.3.2.48 2007.08.26 - 
F-Secure 6.70.13030.0 2007.08.26 - 
Ikarus T3.1.1.12 2007.08.26 Trojan-Downloader.Win32.Agent.bjc 
Kaspersky 4.0.2.24 2007.08.26 - 
McAfee 5105 2007.08.24 AdClicker-FC 
Microsoft 1.2803 2007.08.26 Trojan:Win32/Agent.gen!L 
NOD32v2 2484 2007.08.25 - 
Norman 5.80.02 2007.08.24 - 
Panda 9.0.0.4 2007.08.26 Adware/VideoPlugin 
Prevx1 V2 2007.08.26 Trojan.SystemPoser 
Rising 19.37.62.00 2007.08.26 - 
Sophos 4.21.0 2007.08.26 - 
Sunbelt 2.2.907.0 2007.08.25 - 
Symantec 10 2007.08.26 - 
TheHacker 6.1.9.173 2007.08.26 - 
VBA32 3.12.2.3 2007.08.26 - 
VirusBuster 4.3.26:9 2007.08.25 - 
Webwasher-Gateway 6.0.1 2007.08.26 - 
weitere Informationen 
File size: 241664 bytes 
MD5: 291e6eefb17abf5f9646e0234af0d016 
SHA1: 87ffc29209d4810e4e1b207790c9270fa2fd17d4 
Prevx info: http://fileinfo.prevx.com/fileinfo.a...03E30037233EF3

Code:

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.8.25.0 2007.08.24 - 
AntiVir 7.4.1.63 2007.08.25 - 
Authentium 4.93.8 2007.08.26 - 
Avast 4.7.1029.0 2007.08.26 - 
AVG 7.5.0.484 2007.08.25 - 
BitDefender 7.2 2007.08.26 - 
CAT-QuickHeal 9.00 2007.08.25 - 
ClamAV 0.91 2007.08.26 - 
DrWeb 4.33 2007.08.26 - 
eSafe 7.0.15.0 2007.08.26 - 
eTrust-Vet 31.1.5085 2007.08.24 - 
Ewido 4.0 2007.08.26 - 
FileAdvisor 1 2007.08.26 - 
Fortinet 2.91.0.0 2007.08.26 - 
F-Prot 4.3.2.48 2007.08.26 - 
F-Secure 6.70.13030.0 2007.08.26 - 
Ikarus T3.1.1.12 2007.08.26 - 
Kaspersky 4.0.2.24 2007.08.26 - 
McAfee 5105 2007.08.24 potentially unwanted program Ultimate 
Microsoft 1.2803 2007.08.26 - 
NOD32v2 2484 2007.08.25 - 
Norman 5.80.02 2007.08.24 - 
Panda 9.0.0.4 2007.08.26 Adware/VideoPlugin 
Prevx1 V2 2007.08.26 Generic.Malware 
Rising 19.37.62.00 2007.08.26 - 
Sophos 4.21.0 2007.08.26 - 
Sunbelt 2.2.907.0 2007.08.25 - 
Symantec 10 2007.08.26 - 
TheHacker 6.1.9.173 2007.08.26 - 
VBA32 3.12.2.3 2007.08.26 - 
VirusBuster 4.3.26:9 2007.08.25 - 
Webwasher-Gateway 6.0.1 2007.08.26 - 
weitere Informationen 
File size: 335872 bytes 
MD5: 032e4e1b2cb14825e3463571058a0678 
SHA1: 7f05b260b3bc8efad887a52c7a9c640cfa76b8b1 
Prevx info: http://fileinfo.prevx.com/fileinfo.a...E513002BA3D7F5

Psycot-X · 26.08.2007, 16:35

Geh mal in den Windows /system32/ Ordner und drücke dann nacheinander avpsnn.exe, wenn sie dann nicht angezeigt wird, überprüfe ob ein Häckchen bei all den Sachen ist, bzw. nicht ist.

26.08.2007, 16:46

ich habe alles nochmal überprüft und immer noch nichts gefunden.

Psycot-X · 26.08.2007, 16:57

Dann mach nocheinmal hijackthis

mfsto · 26.08.2007, 17:05

Erstma egal um die Exe kümmern wir uns später

Kannst du bitte bei beiden Berichten posten um welche Datei es sich handelt , die hochgeladen wurde .Den ganzen Head Bereich posten, d.h Size usw.!
Du machst nochmal ein Scan der beiden Datein und poste das ganze Ergebnis

Und ein Hijackthis Logifle bringt es jetzt erstma nichts..

Mfg

Sie betrachten gerade: Nerviges Spywarezeugs