winupdate.exe Virus?! Wie entfernen?

[El Aguila]

Hallo,
habe seit 2 Tagen ein heftiges Problem...und zwar zeigt mir die benutzerkontensteuerung folgende Nachricht an beim Systemstart: winupdate.exe (c: benutzer/appdata/Roaming/winupdater.exe)
habe nach gegoogelt und denke das es ein Virus ist aber ich bekomme ihn mit meinem avira virusprogramm nicht weg...was kann ich tun? bitte helft mir!

 

[SlipKn0T]

Im Abgesicherten modus denke mal, dass du den dann wegbekommst bevor der Win-ladebalken kommt F8 drücken

 

[El Aguila]

also hab mal mit hijack nen logfile erstellt. schaut mal:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:29:23, on 31.01.2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\RocketDock\RocketDock.exe
C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe
C:\Program Files (x86)\avmwlanstick\WLanGUI.exe
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\QIP Infium\QIP.exe
C:\Program Files (x86)\Winamp\winamp.exe
C:\Program Files (x86)\BitTorrent\BitTorrent.exe
C:\Users\Martin\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.qip.ru/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.qip.ru
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.qip.ru/ie
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = Root: HKCU; Subkey: Software\Microsoft\Internet Explorer\SearchUrl; ValueType: string; ValueName: '; ValueData: '; Flags: createvalueifdoesntexist noerror; Tasks: AddSearchQip
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files (x86)\ICQ6Toolbar\ICQToolBar.dll
R3 - URLSearchHook: (no name) - {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} - (no file)
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: 217.112.88.118 pes6gate-ec.winning-eleven.net
O1 - Hosts: 210.249.144.166 we9stun.winning-eleven.net
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~2\Office12\GR469A~1.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: (no name) - {1DBAB667-A486-421e-AFE4-CF07DD0088E5} - (no file)
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4FE6-8A56-BBB695989046} - C:\Program Files (x86)\ICQ6Toolbar\ICQToolBar.dll
O4 - HKLM\..\Run: [AVMWlanClient] C:\Program Files (x86)\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [HKLM] C:\Users\Martin\AppData\Roaming\WinUpdater.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SpyHunter Security Suite] C:\Program Files (x86)\Enigma Software Group\SpyHunter\SpyHunter3.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files (x86)\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [HKCU] C:\Users\Martin\AppData\Roaming\WinUpdater.exe
O4 - HKLM\..\Policies\Explorer\Run: [Policies] C:\Users\Martin\AppData\Roaming\WinUpdater.exe
O4 - HKCU\..\Policies\Explorer\Run: [Policies] C:\Users\Martin\AppData\Roaming\WinUpdater.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~2\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Program Files (x86)\ICQ7.0\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Program Files (x86)\ICQ7.0\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Encarta Suchleiste - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files (x86)\Common Files\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~2\MICROS~2\Office12\GRA32A~1.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Program Files (x86)\avmwlanstick\WlanNetService.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\x86\ekrn.exe
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Program Files (x86)\ICQ6Toolbar\ICQ Service.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files (x86)\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: Sony Ericsson OMSI download service (OMSI download service) - Unknown owner - C:\Program Files (x86)\Sony Ericsson\Sony Ericsson PC Suite\SupServ.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
O23 - Service: @C:\Program Files (x86)\TuneUp Utilities 2010\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software - C:\Program Files (x86)\TuneUp Utilities 2010\TuneUpDefragService.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files (x86)\TuneUp Utilities 2010\TuneUpUtilitiesService64.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 10546 bytes

 

[phil-ip]

haste ma geschaut, ob das teil im autostart sitzt?

start / ausführen / "msconfig"

ansonsten einfach in abgesicherten modus gehen und manuell löschen..

 

[El Aguila]

ja wenn ich wüsste wo er ist würde ich ihn ja löschen manuell aber ich weiß es ja nicht!!

 

[phil-ip]

hast du nicht geschrieben (c: benutzer/appdata/Roaming/winupdater.exe)..
such doch ma dein system nach winupdaters.exe ab.. der roaming-ordner wird ausgeblendet (versteckt). musste natürlich noch einstellen.

ansonsten einfach googlesuche --> roaming-verzeichnis

---EDIT---

so ich hab schnell gegoogelt.. schau ma in richtung C:\Users\BENUTZERNAME\AppData\Roaming\.. (versteckte datien/ordner anzeigen!!!)

 

[El Aguila]

ja aber auch wenn ich versteckte ordner anzeigen mache ist da kein roaming ordner!!! die roaming ordner die da waren habe ich gestern schon gelöscht...ich bin verzweifelt!!
winupdate.exe da findet er nix!!!

 

[phil-ip]

achso dann hast du gestern also auch schon die datei "winupdater.exe" gelöscht und trotzdem kommt immer noch die nachricht?

man bin ich blind. in deiner log steht doch alles drin..

C:\Users\Martin\AppData\Roaming\WinUpdater.exe

.. Die Datei hast du also bereits gelöscht??

 

[El Aguila]

ja diesen roaming ordner gab es so gar nicht sonder nur drei andere roaming blabla ordner und die habe ich bereits gelöscht...ich weiß echtn icht mehr was ich machen soll....

 

[phil-ip]

starte ma im abgesicherten modus und gib in die adressleiste deines explorers "C:\Users\Martin\AppData\Roaming\" ein (mit enter bestätigen)

dann solltest du in das verzeichnis kommen..

ansonsten würd ich eventuell ausführen --> regedit und in der Registry nach Einträgen mit Winupdater.exe suchen und ggf. löschen.. Wobei es immer etwas problematisch ist, wenn man so in der Registry rumfummelt..

Ooooder einfach mal Windows neu drauf klatschen (Windowssetup: Reparieren).. (ohne formatieren!!)

Ergänzung (31. Januar 2010)

Oder einfach Windows Eingabeaufforderung: del /f C:\Users\Martin\AppData\Roaming\WinUpdater.exe


Mit einer dieser Lösungen wird es klappen.. berichte mal von deinem Erfolg!

 

[El Aguila]

hmm also im abgesicherten modus gibt es den ordner auch nicht und in der registry möchte ich auch nicht so rumfummeln und grad wollte ich windows reparieren aber die option reparieren zeigt er mir gar nicht an...wo gibt es die option?
was ist eine windows eingabeaufforderung?

 

[phil-ip]

mach den edior auf. schreib "del /f C:\Users\Martin\AppData\Roaming\WinUpdater.exe" rein und speicher das ganze mit endung ".bat" (batch).. danach machste einfach doppelklick auf die datei. fertig! ansonsten wie gesagt windows-setup-reparatur.. (google suche!)

edit: guckst du hier: http://www.windows-tweaks.info/html/reparieren.html

und hier: http://de.jimdo.com/wiki/upload/e/e0/Eingabeaufforderung_vista.png

apropos: mach doch mal nen bildschirmfoto von der meldung, die du meinst...

Ergänzung (31. Januar 2010)

und hat's gefruchtet???

 

[haihappen81]

Habe über Google nach "winupdater" gesucht und habe dann diesen Entrag gefunden, weil ich das Problem bis vor 20 Minuten auch hatte!

Du musst in der Registrierung (Start>ausführen>REGEDIT eingeben und Enter drücken) nach "winupdater" suchen und alle Einträge, die darauf verweisen löschen. Aber darauf achten, dass wirklich nur Enträge mit "winupdater" und nicht die mit"winupdate"!!! gelöscht werden!


Danach öffnest du den Windows-Explorer und geht auf "Organisieren>Ordner- und Suchoptionen" und deaktivierst "Geschütze Systemdateien ausblenden (damit taucht der Roaming-Ordner wieder auf!) und setzt einen Haken bei "Ausgeblendete Dateien, Ordner und Laufwerke anzeigen.

Danach killst du über den Taskmanager die winupdater.exe und löscht sie aus dem Verzeichnis C:\Users\dein Name\AppData\Roaming.

...ach ja die Autostart-Einträge auch entfernen...

...damit sollte das Problem erledigt sein!