zer0o

Hey bei mir öffnet sich immer wieder links voll dof

ich vermute es hat was mit "Anti Spyware 2008 " zu tun da es von einmal auf meinem pc war

[align=center] bitte umschnelle hilfe!!![/align]

stockcarpilot

Hallo,

Als erstes downloadest du dir malwarebytes Anti- Malware (kostenlos )
updatest es und startest deinen PC im abgesicherten Modus.
Dann ein vollscan und löscht alle Funde.
Dann melde dich was für ein Ergebnis du bekommen hast.

Wifinoob

Nach stockcarpilots Schritt lädst du dir bitte Hijackthis herunter. Scannst und postest dein Logfile hier.

Hijackthis --> klick

zer0o

Hier stockcarpilot:

Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1015
Windows 5.1.2600 Service Pack 2

16:07:11 02.08.2008
mbam-log-8-2-2008 (16-07-11).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 135191
Laufzeit: 42 minute(s), 41 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 3
Infizierte Registrierungsschlüssel: 21
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 29

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\WINDOWS\system32\byXPIyXn.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\qzafth.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\qoMeDUMe.dll (Trojan.Vundo) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{4a1feb3b-a34e-40c6-b42a-ff46b8546884} (Trojan.Vundo) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{4a1feb3b-a34e-40c6-b42a-ff46b8546884} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{c7c9e2f9-db8c-41d6-962f-d971b04c92ed} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{c7c9e2f9-db8c-41d6-962f-d971b04c92ed} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{6eb35830-8222-4990-a484-d21fedd4b033} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{6eb35830-8222-4990-a484-d21fedd4b033} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\qomedume (Trojan.Vundo) -> Delete on reboot.
HKEY_CLASSES_ROOT\cablerouting.cablerouting (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\cablerouting.cablerouting.1 (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{8b8df25f-2c47-4473-8e1c-7f54ac7ef481} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winzzc32 (Dialer) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvid er (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSMGR (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Trojan.Vundo) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks\{6eb35830-8222-4990-a484-d21fedd4b033} (Trojan.Vundo) -> Delete on reboot.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\LSA\Notification Packages (Trojan.Vundo) -> Data: c:\windows\system32\byxpiyxn -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\byxpiyxn -> Delete on reboot.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\byXPIyXn.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\nXyIPXyb.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\nXyIPXyb.ini2 (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\qzafth.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\sacgjpqa.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\aqpjgcas.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\xqexiuua.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\auuixeqx.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\qoMeDUMe.dll (Trojan.Vundo) -> Delete on reboot.
C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\services\services.dl l (Trojan.BHO) -> Delete on reboot.
C:\Dokumente und Einstellungen\Coldsnap.PHILIP-E3R6U9PF\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0RFSOWBJ\kb456456[1] (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Programme\NetBattle\virtual.drv (Adware.Winad) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP120\A0136691.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP141\A0146085.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP164\A0170868.dll (Adware.BHO) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP164\A0170869.dll (Adware.BHO) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP164\A0170870.dll (Spyware.Marketscore) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP146\A0146432.dll (Adware.BHO) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP146\A0146431.dll (Adware.BHO) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{52C00271-86EC-4A9B-815C-C08123044F99}\RP146\A0146433.dll (Spyware.Marketscore) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\fbkbep.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mqsuycdo.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ljJDTLdb.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\rrnhltrs.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\winzzc32.dll (Dialer) -> Delete on reboot.
C:\WINDOWS\cookies.ini (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\pskt.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\BM9b1946b4.xml (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\BM9b1946b4.txt (Trojan.Vundo) -> Quarantined and deleted successfully.

zer0o

und hier Wifinoob:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:15:03, on 02.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\a-squared Anti-Malware\a2service.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Arovax AntiSpyware\arovaxantispyware.exe
C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Secure Solutions\Antispyware 2008 XP\as2008xp.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Windows NT\Zubehör\WORDPAD.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.at/
R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll
R3 - URLSearchHook: (no name) - {0579B4B6-0293-4d73-B02D-5EBB0BA0F0A2} - C:\Programme\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: (no name) - {0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2} - (no file)
O2 - BHO: CableRouting module - {18CB1A7B-94CD-4582-8022-ADA16851E44B} - C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\services\services.dl l (file missing)
O3 - Toolbar: Ask Toolbar - {F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Programme\AskSBar\bar\1.bin\ASKSBAR.DLL
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe"
O4 - HKLM\..\RunOnce: [Execute] C:\WINDOWS\System32\Tools\DelFolders.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Arovax AntiSpyware] C:\Programme\Arovax AntiSpyware\arovaxantispyware.exe /s
O4 - HKCU\..\Run: [s9201] "C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Secure Solutions\Antispyware 2008 XP\as2008xp.exe" /autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Reboot.exe
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O20 - AppInit_DLLs: qzafth.dll
O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Programme\a-squared Anti-Malware\a2service.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe

--
End of file - 6037 bytes

stockcarpilot

Hallo,

da konnte sich Malwarebytes ja richtig austoben.
Hat ja eine Menge gefunden und in die Quarantäne verschoben.

Da ich noch kein Logfile von HighjackThis ausgewertet habe, werden
sich bestimmt jetzt die Spezialisten melden und dir weiterhelfen.

Aber egal wie das Endergebnis aussieht, sollte man sich dann
Gedanken machen wie so ein fieses Zeug auf den Rechner
gelangen konnte.

Gruß stockcarpilot

Freezex

Folgendes fixxen:

C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Secure Solutions\Antispyware 2008 XP\as2008xp.exe

R3 - URLSearchHook: (no name) - {0579B4B6-0293-4d73-B02D-5EBB0BA0F0A2} - C:\Programme\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL

O2 - BHO: (no name) - {0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2} - (no file)

O2 - BHO: CableRouting module - {18CB1A7B-94CD-4582-8022-ADA16851E44B} - C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\services\services.dl l (file missing)

Unbekannt
O4 - HKLM\..\RunOnce: [Execute] C:\WINDOWS\System32\Tools\DelFolders.exe

O4 - HKCU\..\Run: [s9201] "C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Secure Solutions\Antispyware 2008 XP\as2008xp.exe" /autorun

O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html

O20 - AppInit_DLLs: qzafth.dll

8o Aiaiai ziemlich viele Sachen

Dein System ist ziemlich zerbombt. Ich würde an deiner Stelle an eine Neuinstalation denken.

Wenn du keine Neu-installation machen möchtest, solltest du auf jedenfall "Kaspersky online scan" durchlaufen lassen. Und nachdem du alles gefixxed hast ein weiteren Scan, nach einem Neu Start, hier rein setzten.

Wifinoob

Neuinstallation ist nicht unbedingt erforderlich.

Gut möglich das die Maßnamen die wir hier getroffen haben schon ausreichen.
Sensible Daten würde ich auf dem PC aber in jedem Fall nicht speichern.

stockcarpilot

Hallo

Ich habe festgestellt, das du viele Toolbars installiert hast. Oft passiert
es ja beim Installieren von Programmen das Häkchen übersehen
werden und sich diese verdammten Toolbars dann installieren.
Ich glaube das diese Toolbars Spyware begünstigen.

Ich brauche diese Dinger nicht aber andere User sehen das vielleicht
anders. Diese aber nur am Rande.
Wichtiger ist aber ein sauberes System als erstes.

Bin mal gespannt ob der Online Scanner noch etwas findet.

Sonst bleibt leider nur formatieren.

Gruß stockcarpilot

TIPower

Nixs.............................................. ..............................