antonija

hallo, ich habe einen Virus / Trojaner / Wurm eingefangen...
ueber msn hat mir eine Freundin die zip Datei myphoto.zip geschickt, habe sie mit Nod32 gescannt, und mit superantispyware, nix gefunden.. aufgemacht..
als ich die Datei dann oeffnen wollte, gingen auf einmal alle Fenster zu und die Datei war weg, nur die .zip noch da. Die Datei hat sich dann an alle meine Kontakte geschickt..
Ich habe bei Google ein par Tips gefunden, und tools, hat aber nichts gebracht, es ist immer noch da. Ich habe mit Nod meinen ganzen PC gescannt und mit online Kaspersky, mit SymantecFix for Dumaru, alles nix gefunden.
ich habe irgendein online Uniblue Registrybooster gestartet, der hat 655 Fehler gefunden, wollte aber nix machen, da ich mich nicht damit auskenne...
Nod hat mir heute ploetzlich zwei mal gemeldet, dass er etwas geloescht hat und meine Kontakte haben die Datei myphoto.zip noch 5-6 mal von mir erhalten...

Hilfe bitte
Mit HJT kenne ich mich nicht so gut aus, ich versuche einen Log zu posten...


PS: Habe Vista

antonija

Logfile of HijackThis v1.99.1
Scan saved at 19:30:55, on 10.3.2008
Platform: Unknown Windows (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16609)

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\TOSHIBA\Power Saver\TPwrMain.exe
C:\Program Files\TOSHIBA\SmoothView\SmoothView.exe
C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Program Files\TOSHIBA\Utilities\KeNotify.exe
C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe
C:\Program Files\Synaptics\SynTP\SynToshiba.exe
C:\Program Files\Camera Assistant Software for Toshiba\CEC_MAIN.exe
C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
c:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
c:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
c:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\mstasks.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSwMgr.exe
C:\Windows\system32\rundll32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\DllHost.exe
C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SVPWUTIL] C:\Program Files\TOSHIBA\Utilities\SVPWUTIL.exe SVPwUTIL
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [TPwrMain] %ProgramFiles%\TOSHIBA\Power Saver\TPwrMain.EXE
O4 - HKLM\..\Run: [HSON] %ProgramFiles%\TOSHIBA\TBS\HSON.exe
O4 - HKLM\..\Run: [SmoothView] %ProgramFiles%\Toshiba\SmoothView\SmoothView.exe
O4 - HKLM\..\Run: [00TCrdMain] %ProgramFiles%\TOSHIBA\FlashCards\TCrdMain.exe
O4 - HKLM\..\Run: [HWSetup] \HWSetup.exe hwSetUP
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Toshiba Registration] C:\Program Files\Toshiba\Registration\ToshibaRegistration.exe
O4 - HKLM\..\Run: [IaNvSrv] C:\Program Files\Intel\Intel Matrix Storage Manager\OROM\IaNvSrv\IaNvSrv.exe
O4 - HKLM\..\Run: [KeNotify] C:\Program Files\TOSHIBA\Utilities\KeNotify.exe
O4 - HKLM\..\Run: [Camera Assistant Software] "C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe"
O4 - HKLM\..\Run: [SynTPStart] C:\Program Files\Synaptics\SynTP\SynTPStart.exe
O4 - HKLM\..\Run: [PDVD8LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD8\Language\Language.exe"
O4 - HKLM\..\Run: [Windows Task Mgr] mstasks.exe
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [MSConfig] "C:\Windows\system32\msconfig.exe" /auto
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\nnnnk.dll,#1
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKCU\..\Run: [Uniblue RegistryBooster 2] c:\program files\uniblue\registrybooster 2\StartRegistryBooster.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O8 - Extra context menu item: Append to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra button: eBay - {C08CAF1D-C0A3-40D5-9970-06D067EAC017} - http://www.webtip.ch/cgi-bin/toshiba/tracker_url.pl?EN (file missing)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll
O11 - Options group: [INTERNATIONAL] International*
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: SQL Server FullText Search (ACROSS) (msftesql$ACROSS) - Unknown owner - C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\msftesql.exe" -s:MSSQL.1 -f:ACROSS (file missing)
O23 - Service: SQL Server (ACROSS) (MSSQL$ACROSS) - Unknown owner - C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sACROSS (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: TOSHIBA Navi Support Service (TNaviSrv) - TOSHIBA Corporation - C:\Program Files\TOSHIBA\TOSHIBA DVD PLAYER\TNaviSrv.exe
O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\Windows\system32\TODDSrv.exe
O23 - Service: TOSHIBA Power Saver (TosCoSrv) - TOSHIBA Corporation - C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe
O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - c:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)

julchri

Hallo,

schalte mal Deine Systemwiederherstellung aus.
Dann gehst Du in den abgesicherten Modus (beim Hochfahren F8 klicken) und machst einen Virenscan.
Nach Neustart wieder die Systemwiederherstellung einschalten.
Lade Dir Ad-Aware und Spybot runter.
Danach HijackThis, hier ist die Anleitung

Wenn das alles nicht hilft, wirst Du um eine Neuinstallation nicht herum kommen.

Ostseesand

Hi,

dein logfile hat ein paar unregelmässigkeiten und trojaner.
bereinige sie mit dem fixen im hijackthis.
je öfter du deinen pc jetzt einschaltest und online gehst, umso öfter werden deine kontakte mit der datei bombardiert.

versuch dann noch folgendes:
start---ausführen---msconfig eingeben und enter drücken
dann zu systemstart gehen
dort bei msnservice.exe den markierungs-haken rausmachen
pc neu starten
dann suchst du unter c:\recycler die datei msnservice.exe und löscht sie raus.
(ist der ordner nicht zun sehen, musst du unter ordneroptionen die versteckten und systemordner anzeigen anklicken)
jetzt machst du folgendes:
start---ausführen---regedit eingeben
dann suchst du mit der SUCHE_FUNKTION die datei msnservice.exe
alles was du dazu findest, löscht du heraus.

dann den pc neu starten
es kann sein, dass du dein msn eventuell neu installieren musst, aber nun bekommt keiner mehr deine datei zugeschickt.

ps: dein system ist nicht auf dem aktuellen updatestand und dein java erst recht nicht.
das musst du noch abändern!!!

ReinMan

O9 - Extra button: eBay - {C08CAF1D-C0A3-40D5-9970-06D067EAC017} - http://www.webtip.ch/cgi-bin/toshiba/tracker_url.pl?EN (file missing)

Diesen Eintrag markierst du und gehst auf "Fix check".

O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\nnnnk.dll,#1

Diese DLL lädst du bei virustotal.com hoch und lässt sie auswerten.

C:\Windows\system32\mstasks.exe

Das ist ein Trojaner diesen Eintrag markierst du bitte auch und gehst auf "Fix check".

Dann Update bevor du scannst die beiden Tool Spybot und Adaware.

Schon einen kompletten System-Scan gemacht ?

julchri

Auweia, da war ich aber langsam. Hab das logfile nicht gesehen, sorry.

antonija

erstmals danke fuer die Hilfe

erm... wie meinst du, mein System ist nicht auf dem aktuellen Updatestand? Ich habe in control panel/windows update alles heruntergeladen.
wie kann ich java updaten?

msnservice.exe gibts weder im msconfig startup noch im registry.
c:recycler kann ich nicht finden... :S
ich habe unter show hidden folders einen Haken gemacht, trotzdem nix...

Adaware und spybot habe ich heruntergeladen, upgedatet und gescannt
bei Adaware waren nur paar tracking cookies und MRUlist .
Spybot hat ausser tracking cookies was gefunden, habe ich geloescht
Virtumonde.dll oder so

das ebay und nnnnk.dll habe ich im HJT weg gemacht,
bei virustotal.com habe ich die Datei hochgeladen und mir ist nicht ganz klar, was herausgekommen ist.... Result: 11/32 (34.38%)
manche Antivirus Programme meinen, es ist ein Tr.Vundo/Gen, oder
W32/Virtumonde.G.gen!Eldorado

ich habe mein ganzes System mit NOD32 gescannt, auch im Safe mode, nix gefunden...

antonija

Spybot hat auf einmal was gemeldet, weiss nicht, was das heisst und es kam aus heiterem Himmel...

important registry entry that has been changed
category: System startup global entry
change: value added
Entry: BMedacf3ce
NewData:C:\Windows\system32\rpsdwueg.dll

und noch zweimal das selbe, bis auf
New Data:C\Windows\system32\obskwakw.dll
New Data:C\Windows\system32\d..(irgendetwas...)

allow change deny change

ich habe deny gedrueckt und save my decision
jetzt kommt ein Fenster von Spybot "denied registry change", das hat sich ca 100 Mal unten links geoeffnet...
(und es oeffnen sich weiterhin neue....)

ReinMan

Okay wie es aussieht wurdest du mit dem VirtuMonde-Schädling infiziert.

http://www.entfernen-spyware.de/virt...entfernen.html

Lädst dir diesen Scanner dafür und löscht anschließend Virtu.

Dann lädst du dir Ewido runter und machst einen Speicher-Scan,Registry-Scan und einen kompletten System-Scan. Alles was gefunden wird schreibst du dir auf teilst uns mit und löscht es anschließend.

http://avg-anti-spyware.softonic.de/

Ostseesand

Hi,

du hast doch vista, oder?
das sollte im logfile so aussehen:
Platform: Windows Vista (WinNT 6.00.1904)
bei dir steht:
Platform: Unknown Windows (WinNT 6.00.1904)
benutze bitte das Hijackthisversion 2.00 !!!

dein java kannst du hier aktualisieren---->klick

nenne bitte die hijackthis.exe in asdf.exe um und scanne erneut.
ist eine veränderung im logfile sichtbar?

wenn wirklich der virtu-monde im spiel ist, dann hat er richtig zugeschlagen und schon etliche systemdateien geändert. er könnte zb deine antivirenprogramme manipulieren, dass sie scannen, aber nix anzeigen.

befolge mal reinmans tip.
dann scanne den pc nocheinmal mit der umbenannten hijackthis.exe.