cram

Hallo liebe Community,

Vor ca. zwei Wochen machte mein Antivir keine Updates mehe mit der Begründung es könne keine Verbindung zu den Update Servern hergestellt werde.

Avira hat ja bekannter Weise nicht die schnellsten Update Server also dachte ich mir,

okay, ich machs erststmal Manuell und lade das Update auf der Page direkt runter.

Fehlanzeige ich kann nicht auf die Seite, die läds einfach nicht als ob ich kein Inet habe... Es konnte keine Verbidnung hergestellt werden.


Dann habe ich Antivir deinstalliert und AVG installiert.

Alles hat geklappt, wunderbar jetzt will es das Update machen, geht wieder nicht keine Verbindung.

Ich versuche es wieder über die Seite zu laden und es geht nicht ich hab keinen Zugriff.

Ich versuchte auf mehrere Seiten zuzugreifen die etwas mit Virenschutz zutun haben klappte aber nicht.

Ich habe den Run ordner in der Regestry durchsucht, Prozesse kontrolliert, Virenscans gemacht...

Bin total Ratlos, soetwas hatte ich noch nie...

Was kann ich tun?

vielen Dank im Vorraus,

Marc

AVG hat gerade einen I-Worm generic gefunden, wenn ich diesen Wurm im Netz google kann ich zu keiner Seite (z.B. Trojanerboard) eine Verbindung herstellen.

Leonixx

Hallo,

bitte Combofix anwenden und das Logfile hier posten. Halte dich an die Anleitung im Link in meiner Signatur. Keine Angst, Combofix zerstört das System nicht. In seltenen Fällen funktioniert nach Anwendung von Combofix das Internet nicht mehr. Einfach Rechtsklick auf LanVerbindung und Reparieren. Sollte das Logfile zu groß für den Thread sein, dann in die Antwort als Dateianhang einfügen.

Gruss

cram

Ich kann nicht auf die ersten 4 Links, darunter Combofix zugreifen. Es sagt mir das die Verbidnung nicht möglich sei...

Das is echt gespänstisch ich fühle mich so als ob ich ständig überwacht werde... wie bei einem Trojaner...

Ich bin über einen Router am Moden angeschlossen... das Modem logischerweise auch am Router und sendet über W-Lan signale an den zweit PC im Wohnzimmer. Dort kann man problemlos auf Internet Seiten wie http://www.free-av.de/ gehen.

Bei mir nicht...

Ich bin wirklich ratlos...

Leonixx

Vermute mal das auch schon die DNS im Router manipuliert wurde. Um dies rückgängig zu machen, musst du den Router auf Werkseinstellungen zurücksetzen. Hast du es schon im abgesicherten Modus versucht? Weiterer Versuch, Rechtsklick auf LanVerbindung und Reparieren. Auch noch möglich, Rechner mit einer LinuxLiveCD starten. Dazu musst aber downloaden können und die .iso auf CD brennen. z.B. Knoppix http://www.knoppix.org/

cram

Das is echt zuviel... hab davon gar keine Ahnung...

Ich mach das mit Combofix morgen über den anderen PC... falls es eine Datei zum installn is schick ich se mir rüber vom anderen PC.

Dann poste ich den Bericht hier...

PolishStyler

Hi

ausßerdem um sicherzugehen auch nochmal superantispyware und malewarebytes antimalware drüberlaufen lassen
Programme findest du in Leonixx's signatur

cram

ComboFix 09-03-15.01 - Administrator 2009-03-17 13:01:26.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1023.588 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe
AV: AVG Anti-Virus Free *On-access scanning disabled* (Outdated)
* Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((( Dateien erstellt von 2009-02-17 bis 2009-03-17 ))))))))))))))))))))))))))))))
.

2009-03-17 12:50 . 2009-03-17 12:50 <DIR> d-------- c:\programme\CCleaner
2009-03-16 13:34 . 2009-03-16 16:03 <DIR> d--h----- C:\$AVG8.VAULT$
2009-03-16 13:12 . 2009-03-16 13:12 <DIR> d-------- c:\windows\system32\drivers\Avg
2009-03-16 13:12 . 2009-03-16 13:12 <DIR> d-------- c:\programme\AVG
2009-03-16 13:12 . 2009-03-16 13:12 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-03-16 13:12 . 2009-03-16 13:12 325,640 --a------ c:\windows\system32\drivers\avgldx86.sys
2009-03-16 13:12 . 2009-03-16 13:12 107,912 --a------ c:\windows\system32\drivers\avgtdix.sys
2009-03-16 13:12 . 2009-03-16 13:12 10,520 --a------ c:\windows\system32\avgrsstx.dll
2009-03-05 15:13 . 2009-03-05 15:13 90,112 -ra-s---- c:\windows\system32\bfighxbf.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))) ))))
.
2009-03-17 11:51 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-03-16 22:09 --------- d-----w c:\programme\Steam
2009-03-16 20:28 --------- d-----w c:\dokumente und einstellungen\Administrator\Anwendungsdaten\teamsp eak2
2009-03-15 11:29 --------- d-----w c:\programme\Bonjour
2009-03-13 11:19 --------- d-----w c:\programme\Spybot - Search & Destroy
2009-03-13 00:16 --------- d-----w c:\programme\Gemeinsame Dateien\Adobe
2009-02-07 16:27 --------- d--h--r c:\dokumente und einstellungen\Administrator\Anwendungsdaten\SecuRO M
2009-02-07 16:24 108,144 ----a-w c:\windows\system32\CmdLineExt.dll
2009-01-29 18:54 --------- d-----w c:\programme\MSXML 4.0
2009-01-29 18:52 --------- d-----w c:\programme\Microsoft Games
2009-01-29 18:26 --------- d--h--w c:\programme\InstallShield Installation Information
2009-01-29 18:26 --------- d-----w c:\programme\Avanquest update
2009-01-29 13:24 --------- d-----w c:\dokumente und einstellungen\Administrator\Anwendungsdaten\ICQ
2009-01-23 15:19 --------- d-----w c:\programme\Soldier of Fortune II - Double Helix
2008-12-21 12:32 410,984 ----a-w c:\windows\system32\deploytk.dll
1999-04-23 22:22 12 --sha-w c:\windows\system\WININETICMP32.drv
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-07-26 13570048]
"NvMediaCenter"="c:\windows\system32\NvMcTray. dll" [2008-07-26 86016]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2009-03-16 1932568]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 c:\windows\KHALMNPR.Exe]
"nwiz"="nwiz.exe" [2008-07-26 c:\windows\system32\nwiz.exe]
"PD0630 STISvc"="P0630Pin.dll" [2005-06-05 c:\windows\system32\P0630Pin.dll]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
Logitech SetPoint.lnk - c:\programme\Logitech\SetPoint\SetPoint.exe [2008-08-30 805392]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2008-05-02 01:42 72208 c:\programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTWLgn.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]
2009-03-16 13:12 10520 c:\windows\system32\avgrsstx.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.XFR1"= xfcodec.dll
"msacm.l3fhg"= mp3fhg.acm
"msacm.divxa32"= divxa32.acm
"VIDC.X264"= x264vfw.dll
"VIDC.HFYU"= huffyuv.dll
"vidc.i263"= i263_32.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\contro l\session manager]
BootExecute REG_MULTI_SZ autocheck autochk /r \??\T:\0autocheck autochk *

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"t:\\Programme\\ICQ\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Steam\\steamapps\\cram311\\cou nter-strike source\\hl2.exe"=
"t:\\Programme\\Firefox\\firefox.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"t:\\Programme\\Bearshare\\BearShare.exe"=
"c:\\Programme\\Steam\\steamapps\\cram311\\cou nter-strike\\hl.exe"=
"c:\\Programme\\AVG\\AVG8\\avgupd.exe"=
"c:\\Programme\\AVG\\AVG8\\avgnsx.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\GloballyOpenPorts\List]
"22323:UDP"= 22323:UDP:DefinitionsPublish CommonUS
"11666:TCP"= 11666:TCP:DefinitionsPublish AssembliesNET
"63911:TCP"= 63911:TCP:DefinitionsPublish VisualMovie
"22269:UDP"= 22269:UDP:DefinitionsPublish WebComponents

R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [2009-03-16 325640]
R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\drivers\avgtdix.sys [2009-03-16 107912]
R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2009-03-16 298264]
R3 P0630VID;Creative WebCam Live!;c:\windows\system32\drivers\P0630Vid.sys [2008-08-29 91841]
S2 dnfgmxg;Shell Update;c:\windows\system32\svchost.exe -k netsvcs [2001-08-18 14336]
S2 gczgxhsw;Shell Boot;c:\windows\system32\svchost.exe -k netsvcs [2001-08-18 14336]
S2 gqzszcbki;Driver Support;c:\windows\system32\svchost.exe -k netsvcs [2001-08-18 14336]
S2 mpetu;Driver Shell;c:\windows\system32\svchost.exe -k netsvcs [2001-08-18 14336]
S2 SRTime;Discovery Policy;c:\windows\system32\svchost.exe -k netsvcs [2001-08-18 14336]
S3 PciCon;PciCon;\??\e:\pcicon.sys --> e:\PciCon.sys [?]
S3 s3017bus;Sony Ericsson Device 3017 driver (WDM);c:\windows\system32\drivers\s3017bus.sys [2008-10-30 83880]
S3 s3017mdfl;Sony Ericsson Device 3017 USB WMC Modem Filter;c:\windows\system32\drivers\s3017mdfl.sys [2008-10-30 15016]
S3 s3017mdm;Sony Ericsson Device 3017 USB WMC Modem Driver;c:\windows\system32\drivers\s3017mdm.sys [2008-10-30 110632]
S3 s3017mgmt;Sony Ericsson Device 3017 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s3017mgmt.sys [2008-10-30 104616]
S3 s3017nd5;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (NDIS);c:\windows\system32\drivers\s3017nd5.sys [2008-10-30 25512]
S3 s3017obex;Sony Ericsson Device 3017 USB WMC OBEX Interface;c:\windows\system32\drivers\s3017obex.sy s [2008-10-30 100648]
S3 s3017unic;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (WDM);c:\windows\system32\drivers\s3017unic.sys [2008-10-30 110120]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
SRTime
UxTuneUp
mpetu
gczgxhsw
dnfgmxg
gqzszcbki
.

cram

Inhalt des "geplante Tasks" Ordners

2009-03-13 c:\windows\Tasks\1-Klick-Wartung.job
- t:\programme\TuneUp\OneClick.exe [2007-12-14 12:17]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

WebBrowser-{4F11ACBB-393F-4C86-A214-FF3D0D155CC3} - (no file)
HKLM-Run-CmUsbSound - cmcnfgu.cpl


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/webhp?sourceid=navclient&hl=de&ie=UTF-8
uInternet Settings,ProxyOverride = *.local
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: &NeoTrace It! - t:\progra~1\NEOTRA~1\NTXcontext.htm
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: {{1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - {0854DA01-5BF8-4E9D-A0E9-3CD5500AFB8C} - c:\progra~1\GEMEIN~1\WEBSPE~1.0\LgxIEBar.dll
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozill a\Firefox\Profiles\2quvgfdd.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - component: c:\programme\AVG\AVG8\Firefox\components\avgssff.d ll
FF - plugin: c:\programme\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll
FF - plugin: c:\programme\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll
FF - plugin: t:\programme\DivX Web Player\DivX\DivX Web Player\npdivx32.dll

---- FIREFOX Richtlinien ----
FF - user.js: yahoo.homepage.dontask - true.

************************************************** ************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-17 13:02:25
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

************************************************** ************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\d nfgmxg]
"ServiceDll"="c:\windows\system32\igbjr.dll"
--

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\g czgxhsw]
"ServiceDll"="c:\windows\system32\igbjr.dll"
--

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\g qzszcbki]
"ServiceDll"="c:\windows\system32\igbjr.dll"
--

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\m petu]
"ServiceDll"="c:\windows\system32\igbjr.dll"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-343818398-2139871995-839522115-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:d7,e9,11,f5,1b,bc,16,86,27,9b,af,2a,7a,3a ,55,59,a7,71,5f,5c,42,9e,3e,
67,21,93,de,39,a8,c0,d0,b6,81,76,5b,34,d7,10,ca,a7 ,18,de,8a,de,40,01,d5,fe,\
"??"=hex:41,e0,42,8c,cf,55,c7,95,2b,14,4d,f8,66,7b ,0c,1b

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\Curr entVersion\System*]
"OOSAFEERASE03.00.00.01MSWINDOWS"="07C646265E96509 7C555A691E9289610D8905A7CDAF5B65B2326CAEAFEBC9E127 BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BE CC74CFEBC9E127BECC74CFEBC9E127BECC74CA6A0AC4980AC7 9338EDD5E5BE2F6E6679DB7CE019D40AA5C8EDD5E5BE2F6E66 70F2F23EDE5D89AC00F0E9382E1EB182FE2B625C47A51014CA 6295B9E86BB0135242EF0A8E1A7039BF1737B3DB27C3BA265B E5D1C0644844A52AA8D98B2718C639BF12B60173A552493D1D E4D9E7777B9AB7716C5992248F9787E00B169534217FDFE667 AF5603FEDD0AC5220767F896289857D5A8CFC37C4818C9B4B2 782D450689E6AC0C16EE1351DCE1789E6B99FAE65D175550EE B2D376BFD002940A8EE368CDCB1DF91BDD4D57E45273E6B4FD D573B8C1195208A777F4344FEF35BF02E10AF886DE853AAA1D 310DF2F59D36DD9369A269C5E98F5DC73B0901FB7738AA1CBA BB60053C49545D2FDB48E5AC5479E4A26571457A05115896AD B1C6555A9CFF86D4001757AE2339E8D9CDAA13A91ACB615172 A8BB5434ADD3C60E1D0270631CDF440BC10DBFBD0A492355C7 77D0674C1B3A642EA2AF69E31071D1633DCDAB3A2D916B141A 4CDF87678DE8F8530E2E057600579C8A39AA4663FD50DA742E 6B6F343679311E547F7C8BC3F25D8486849050E7B19DB9CE0E 586EC90D1AF766F10636F1CCAE7815F11F7F24080660DDD7EF E45122640627FDC3CAB99A32FEA3C0A3530DF7213308C7A80B F8DBC031C0D431CA017D37695B27A58AD7FF3EFE89760D369A 359C37E4DDC845E19A3E966C14E56CE9D8C5F2DB8A1CD35956 A9B8852C3C9169A03104BA1574B1D1837382F4E4BCC937B6EC 4F3D32CB59BF360C5B9405949C13DA870498DFCBBDD83AB711 209D8C3474A4A5084CAE4CA4DF3E4DFBFB73B280FC734C2021 AD1E518186A7BF8CB899FD269A592D3680DEE4935BB443114F 55D32BA46C8D1D3D07AD4D78E212673E5ED3879BA7D27FA562 3A51C592F77B68987F45AB1A7654C67513207E810AEE1675C0 961F5E916566A1109CE693FD2036CE6B5ADFD68C3177862E2A F7DDC7A7D7DBC6C4B799390CF6685B0B94A7BD55F06DE6302E 5F9C3CDD9CCAD9E077A462F8B879EA59A98D7C157EDEC098DC AE6B836FA05E6DA2B108BD4516CE4EF45246368D76EA2637C0 28CC36022337CF9C1FDCA66B3B07F332972A8578C58D8FCF60 EDE6B3F3712A77711A314476D8E3974238AF29CF62A2CE2A78 6E7929018C0F8A3AD26881F9564F7B7E0E369B2F39CE01F2E1 58017E811E5D114AF92EBB41A351E898D545795E29368DD51A AC48E1DBEEE6365B5B0F845AC1FEB03B70BEAF08FFA974E432 3EAB5B095EC003C23751719124AA124A7CE0E073F9C5640D3A C95B9BB74B5880723550A2FD7B66797F1CA4E8AF7A9C9A4921 319E7A8C3FEEE1D3ABEE6ACB76BCE801C"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(808)
c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTWlgn.dll
c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTServ.dll
.
Zeit der Fertigstellung: 2009-03-17 13:04:05
ComboFix-quarantined-files.txt 2009-03-17 12:04:03

Vor Suchlauf: 13 Verzeichnis(se), 130.300.129.280 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 130,234,388,480 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOW S
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Micro soft Windows XP Professional" /fastdetect /NoExecute=OptIn

Current=3 Default=3 Failed=1 LastKnownGood=4 Sets=1,2,3,4
189

Leonixx

e:\PciCon.sys
c:\windows\system32\igbjr.dll

Diese beiden Dateien bei Virustotal hochladen und auswerten lassen. Poste das Ergebnis. www.virustotal.com

Wurde der Router auf Werkseinstellungen zurückgestellt?

cram

Nein, noch nicht...

Wenn ich das jetzt zurück stelle hat der PC im Wohnzimmer dann noch inet, das is der PC meines Vaters...