[SammelThread] Viren, Würmer & Trojaner

[Spielkind]

Asche über mein Haupt. Evt. bin ich mit der 'Ferndiagnose' fehlgelegen.

Wenn die Neuinstallation ausfällt und Du den Tag der Infizierung kennst, kannst Du mal eine Systemwiederherstellung vom Vortag der Infektion versuchen. K.A. ob das klappt. Das wären imo die 'einfachen' Dinge die Du versuchen könntest...

Letztlich wird Dir nicht's anderes übrigbleiben als den Übeltäter zu finden, zu deativieren und zu löschen. Ein HiJackThis Log könnte den Übertäter entlarven. Anleitung und Analyse. Desinfektionen immer bei deaktivierter Systemwiederherstellung und im abgesicherten Modus durchführen.

 

[sc00ty]

werde ich gleich mal machen *klick* download fertig...

ich glaube aber dass es jetzt noch ernster wird; BLUESCREEN!
ich zitiere:
"STOP: c000021a schwerer Systemfehler
Der Systemprozess Windows Logon Process wurde unerwartet beendet.
Status 0xc0000005
(0x000000 0x000000)
Das System wurde heruntergefahren."

gehe ich richtig in der annahme dass es was damit zu tun hat...?

 

[Gonzo71]

Das hier müsste helfen: http://www.microsoft.com/resources/...Windows/XP/all/reskit/en-us/prmd_stp_mtgk.asp

 

[Spielkind]

Ein HiJackThis Log? Imo Nein. Wäre mir neu, das das zu Problemen führt. Laden, Entpacken, Starten, Log machen und Analysieren. Links zur Anleitung und Analyse habe ich gepostet. Nach dem Reboot ist der Rechner aber wieder hochgefahren?

 

[sc00ty]

@spielkind
du hast du hijackthis log vorgeschlagen. habe ich auch mal gemacht, fange damit auch nicht viel an:

... hier stand mal was wichtiges ^^

 

[Gonzo71]

Das hier sieht mir verdächtig aus:

O4 - HKCU\..\Run: [services32] C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000228.exe

jop, hier ist auch ne anleitung dazu: http://www.mytechsupport.ca/component/option,com_smf/Itemid,43/topic,10506.new
ab Post nummer 3 wirds interessant

 

[sc00ty]

verdammt... ich kann english noch nicht so perfekt... habe mal versucht es zu entziffern;
also ich soll die datei (ist bei mir wohl dieses mc...) im abges. modus mit killbox löschen...? habe ich das richitg entziffert?

muss echt sche*** für euch kommen, zu versuchen jmd zu helfen, der sowieso nicht allzu viel ahnung von pc's hat und
nicht mal gut engl kann... schonmal sorry im voraus

 

[Spielkind]

>O4 - HKLM\..\Run: [Network] C:\Programme\Network\network.exe
Dazu spuckt Google eine Trojanermeldung aus. Suche die Datei und scanne auf virusscan.jotti.org/de/

>O4 - HKCU\..\Run: [services32] C:\Programme\Gemeinsame Dateien\Windows\mc-110-12-0000228.exe
Dabei könnte es sich um Spy-Sheriff handeln?! Ist ein (mir) unbekanntes Programm.

>O4 - HKLM\..\Run: [Gtwatch] C:\WINDOWS\gtwatch.exe
Hast Du einen Mustek Scanner? Wenn ja ist der Eintrag nicht böse.

Ansonsten ist das Log imo sauber!

Edit:
Lösche die Tage das Log wieder aus Deinem Post... Am Besten hängst Du das Log zukünftig als *txt Datei mit dran.

 

[sc00ty]

jep, mustek scanner...

also ich habe versucht die datei zu durchsuchen aber die seite ist gerade zu überlastet trotzdem schonmal danke
für den link...

wie schaffe ich es die andere datei zu beseitigen?

ps. hing der bluescreen damit zusammen?

edit:
okay, wird gelöscht... aber warum?

 

[Gonzo71]

ps. hing der bluescreen damit zusammen?

Das wirst du merken wenn alle Viren/Trojaner gelöscht sind.

Versuch mal diesen OnlineScan, vielleicht kann der den Trojaner killen: http://de.trendmicro-europe.com/consumer/housecall/housecall_launch.php

 

[sc00ty]

kann das nicht auch antivir, spybot, tuneup, ad-aware oder pestpatrol machen? is das nicht das gleiche?

 

[Gonzo71]

Anscheinend nicht, sonst hättest Du das problem schon seit gestern nicht mehr oder?

 

[sc00ty]

na gut, da ist was dran! ich werde mal die datei durchsuchen lassen... auch wenn mir die site eig nicht so seriös erscheint...
ich vertraue dem gockel! ^^

 

[Spielkind]

Auf virusscan.jotti kann man einzelne Dateien mit vielen Virenscannern scannen. Mir geht's darum, verdächtige Dateien als Schädlinge zu identifizieren. Wenn dies sicher ist, lösche die vakanten Dateien und ggf. deren Ordner und die zugehörigen Registryeinträge. Die Registryeinträge können via HiJackThis gelöscht werden.

Aufgrund der o.g. Trojanermeldung von Google könntest Du einen eScan machen. eScan basiert afaik auf Kaspersky. Er scannt aber nur, desinfizieren muss man von Hand.

Edit:
virusscan.jotti ist jetzt wieder Online

*Werbung* Mein (Online-) Virenscannerfavorit: f-secure.de. Weis jetzt aber net ob man Kunde sein muss...

 

[sc00ty]

also...
network.exe ist dann wohl ein trojaner... und jetzt? abgesicherter modus und killbox? (juhu wie ich dieses progr liebe! )

 

[Spielkind]

Jepp, aber die Systemwiederherstellung und Registryputzen mit HiJackThis net vergessen. Was ist mit der anderen Datei? Nen Registrycleaner (z.B. TuneUp) zum Schluß kann imo net schaden.

 

[sc00ty]

okay danke jungs! mir ist grade aufgefallen dass ich killbox nicht mehr drauf habe ich mache es morgen mal wieder
drauf und dann bin ich frei!!! dann fehlt nur noch diese mc-irgendwas-datei und mal guckn ob die überhaupt nen virus ist.

morgen gegen 14uhr poste ich wieder und erkläre euch die (hoffentlich gute) lage der dinge! danke an gonzo und spielkind!
ihr habt mir echt geholfen!

/edit
alsooo... habe mit killbox dieses network.exe gelöscht... hab keine probleme.
jetzt habe ich aber ja noch dieses "mc-110-12-0000228.exe"!? soll ich das auch löschen?

ps. also wenn ich diese datei suche (dem pfad folgen) komme ich nur an eine datei namens "psapi.dll"!?

/edit2
zusammenfassend;
ich habe beide dateien (dieses mc-10001.... und network.exe) gelöscht. es kommt weniger werbung als davor... trotzdem kommt noch was!?
weiss vll noch jemand was ich tun könnte?

niemand da der rat weiss?

 

[Spielkind]

Es könnte zwischenzeitlich auch neuer Schadcode nachgeladen worden sein. Mach nocheinmal ein HiJackThisLog. Könnte auch sein, das ich etwas übersehen hätte. Täte mir leid.

 

[sc00ty]

ok... hier ist es schon

@spielkind
musst dich nicht entschuldigen... hauptsache es hilft!

 

[Spielkind]

>O20 - Winlogon Notify: Uninstall - C:\WINDOWS\system32\o4nsle571h.dll

Irgendwie denke ich, der Eintrag war gestern nicht im Log... Okay, Google bringt das mit Spyware in Verbindung... desinfizieren, neu booten und nochmal ein Log machen.

Edit:
Ah, jetzt ja! Auf Wintotal gibt's ein Removal Tool: >Klick mich< und nach 'Look2Me-Fix' suchen

Und a2free soll diese Spyware auch desinfizieren >Klick mich<

Edit2:
>C:\Programme\Microsoft IntelliType Pro\type32.exe

Du hast ein Microsoftkeyboard? Ist nicht der typische Installationsordner.

>C:\Programme\Miranda IM\miranda32.exe

Du verwendest Miranda? Weil, ist wieder nicht der typische Installationsordner.

>O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_04\bin\npjpi142_04.dll

Dein Java ist uralt. Derzeit ist 1.5.0_06 aktuell >Klick mich< Bitte aktuallisieren.