Nichts hilft: Search&Destroy, AdAwareSe, McAfeeStinger--> Cyberlog-X Virus

Hallo ihr Spezialisten!



Bin absoluter PC Anfänger und habe neuerdings folgende Meldungen (Windows XP pro)

- unten Rechts in der Leiste : infiziert mit CYBERLOG-X Spyware
- TROJAN-SPY.WIN32@mx
- PSW.X-VIR TROJAN
- W32.MYZORFK@YF

- Es öffnen sich selbständig Werbefenster mit kostenpflichtigen Antviren Programmen.
- Spybot Search and Destroy findet zwar was--> ich lösche gefundenes (ohne zu wissen ob ich evtl auch wichtiges lösche) öffnet zig kleine Fenster mit "Resident verweigerte Änderung von BD News Agent...",manches verweigert er "schwarze Liste" und maches lässt er zu "weiße Liste" aber unten an der Leiste zeigt er mir immer noch den Spyware-Befall an.

- Bei Ad Aware SE genauso wie Spybot

- McAfee Stinger Scanned und Scanned (wenn er dann fertig ist löscht er selbständig Viren???) jedenfalls auch kein Erfolg

Ich habe als Antivirus Bitdefender 9 der ständig auch Viren verhindert (zeigt er an) .

Fakt ist,daß ich mit Kapersky UND GHOSTSURF (welches jeder schlecht gesprochen hat) NIE Probleme mit Viren und Spyware hatte!
Aber dann wurde mir gesagt,daß beides das System verlangsamt und nun habe ich den Salat!

Wer kann mir da helfen...so daß es auch ein Anfänger versteht!
DANKE!

P.S. Ich bin zwar ein guter Boxer, aber den Rechner K.O. schlagen hilft ja auch nicht!

 

http://forum.kaspersky.com/index.php?showtopic=23525

 

Hast du das und das vorher gelesen?

Wenn du jeden Schädling einzeln in Google eingibst, werden dir massig Möglichkeiten angeboten, das Zeugs zu beseitigen. Einfacher und vor allem sicherer wäre es aber meiner Meinung nach, dein System neu aufzusetzen und z.B. diese gut gemeinten Hinweise zu beachten.

Ob du nun Bitdefender, Kaspersky oder sonst ein Antivirentool benutzt: Wer sein System trotz dieser Tools so verseucht, geht ziemlich fahrlässig mit seinem Rechner um und sollte erst einmal seine Internetgewohnheiten hinterfragen. Und so etwas wie Ghostsurf mag deiner Meinung nach irgendwelche Surf-Spuren von dir verwischen, die Schädlinge hält es bei ungesunden Internet-Aktivitäten nicht fern...

(Wahrscheinlich fehlt hier ein "Viren, Würmer, Trojaner, Rootkits"-Crack, um standesgemäß zu antworten, Tschuldigung )

EDIT: Links ergänzt

 

Mit ein wenig Handarbeit sollten wir die Dinger wegbekommen.

TROJAN-SPY.WIN32@mx kommt über ActiveX ins System, meist über XXX-Seiten.
Lade dir bitte den Process Explorer herunter, wir brauchen ihn um den Trojaner zu killen.

Gehe über den Arbeitsplatz in das Verzeichnis C:\Windows\Programme und lasse das Fenster offen stehen, der Trojaner befindet sich im Ordner Video ActiveX Object.

Starte den Process Explorer und beende die Prozesse (Rechtsklick auf den Prozess und Kill Process Tree wählen) pmmon.exe, pmsngr.exe.

Wechsel in das offene Arbeitsplatzfenster und lösche den Ordner Video ActiveX Object.

Zu fixen gäbe es noch die isaddon.dll mit HijackThis.

Der Erste ist weg.

Wenn dir die Handarbeit keine Freude macht, dann nimm wie von deoroller verlinkt SmitfraudFix.

 

Hallo Leute!

Hat ein wenig gedauert...

In kurzform habe ich folgende Schritte vorgenommen:
- Hijackthis scan---> den rapport find ich nicht mehr!
- Smitfraud im abgesicherten Modus gestartet
- counterspy im abgesicherten Modus laufen lassen

Nun erscheinen keine Spyware oder Viren-Meldungen unten rechts...es SCHEINT alles in Ordnung zu sein!?

Hier ausführlich zu meiner Vogehensweise:

Suche:
Doppelklick auf die SmitfraudFix.exe
Wähle die 1 und drücke auf Enter um einen Bericht der infizierten Dateien zu bekommen. Dieser Bericht wird üblicherweise auf der Festplatte gefunden, als C:\rapport.txt -> bitte umbenennen in rapport-1.txt

Reinigung:
Starte deinen Rechner in den abgesicherten Modus neu auf (bevor das Windows Bild erscheint, die F8 Taste eindrücken, immer wieder F8 drücken)
Mach einen Doppelklick auf SmitfraudFix.exe
Wähle die 2 und drücke auf Enter um die infizierten Dateien zu löschen
Du wirst dann gefragt: Do you want to clean the registry ? antworte mit Y (ja) und drücke auf Enter um das Desktop Bild zu entfernen und die Registry Schlüssel der Infektion zu bereinigen.
Das Programm wird nun überprüfen, ob die wininet.dll infiziert ist. Du wirst möglicherweise gefragt, die infizierte Datei entfernen zu lassen (wenn sie gefunden wird): Replace infected file ? antworte Y (ja) und drücke auf Enter um eine saubere Datei zu bekommen.
Du solltest deinen Rechner nun neu aufstarten, um den Reinigungsprozess zu beenden. Das Logfile findest du auf deiner Festplatte, normalerweise als C:\rapport.txt

Optional:
Wenn du die Zones und Restricted Zones wiederherstellen willst, gib die 3 ein und drücke auf Enter.
Du wirst gefragt: Restore Trusted Zone ? antworte Y (ja) und drücke auf Enter um die Trusted Zones zu löschen.


------------------------------------------
dann gehts mit CounterSpy weiter

Lade eine kostenlose Trialversion von CounterSpy runter (Deutsche Anleitung).

Update das Programm online.
Beende die Internet-Verbindung.
Starte deinen Rechner neu auf in den abgesicherten Modus (Anleitung).
Scanne deinen Rechner mit CounterSpy im abgesicherten Modus.

Stelle das Programm nach dem Scan so ein, dass es alles entfernt (-> Remove), was es gefunden hat.

Man kann nach dem Scan unter > Options wählen, was man mit der Malware machen will:
* Ignore
* Quarantine
* Remove

Wähle bei jeder einzelnen gefundenen Malware immer -> Remove.

Speichere das Logfile.
Starte den Rechner neu auf.

-> Poste bitte das 1. CounterSpy Logfile.

CounterSpy entfernt mit einem Durchgang immer nur einen Teil Malware aufeinmal vom System.
Deaktiviere die Systemwiederherstellung,
boote den Rechner,
aktiviere die Systemwiederherstellung.
Vergib einen vorläufigen Systempunkt.
Verwende nun wieder CounterSpy,
mit den gleichen Einstellungen > Options > Remove nach dem Scan.
Speichere das Logfile und poste es.
Mach das solange, bis CounterSpy nichts mehr findet.
Boote den Rechner nach jedem Scan neu auf

 

hier der Smitsfraud rapport

SmitFraudFix v2.171

Scan done at 0:37:42,81, 20.04.2007
Run from C:\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\SharedTaskScheduler]
"{3baa1ad8-ee49-4772-bf0b-f55083e0f7aa}"="ephemeran"

[HKEY_CLASSES_ROOT\CLSID\{3baa1ad8-ee49-4772-bf0b-f55083e0f7aa}\InProcServer32]
@="C:\WINDOWS\System32\yuspej.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{3baa1ad 8-ee49-4772-bf0b-f55083e0f7aa}\InProcServer32]
@="C:\WINDOWS\System32\yuspej.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\system32\yuspej.dll Deleted
C:\DOKUME~1\ALLUSE~1\STARTM~1\Online Security Guide.url Deleted
C:\DOKUME~1\Vllaznim\FAVORI~1\Online Security Test.url Deleted
C:\Programme\SpywareLocked 3.5\ Deleted

»»»»»»»»»»»»»»»»»»»»»»»» DNS



»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End
--------------------------------------------------------
und hier der highjackthis rapport NACHDEM ich oben geannte schritte durchgenommen habe!

Logfile of HijackThis v1.99.1
Scan saved at 11:27:51, on 20.04.2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc .exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINDOWS\Explorer.EXE
C:\progra~1\softwin\bitdef~1\bdnagent.exe
C:\progra~1\softwin\bitdef~1\bdswitch.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender9\vsserv.exe
c:\progra~1\softwin\bitdef~1\bdmcon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Prevx\pxbho.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {D435A2CC-523E-41F4-B2F9-74FCBAE30C4A} - C:\WINDOWS\System32\pxmas32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [BDNewsAgent] "c:\progra~1\softwin\bitdef~1\bdnagent.exe"
O4 - HKLM\..\Run: [BDSwitchAgent] "c:\progra~1\softwin\bitdef~1\bdswitch.exe"
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\System32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [BDMCon] c:\progra~1\softwin\bitdef~1\bdmcon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_11\bin\jusched.exe
O4 - HKLM\..\Run: [PrevxOne] "C:\Programme\Prevx1\PXConsole.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Dream Poker - {D45D9D5F-B491-4c95-8B05-FA6B6C69CA82} - C:\Microgaming\Poker\dreampokerMPP\MPPoker.exe
O9 - Extra button: Poker.com - {6FDD5236-C9F0-49ef-935D-385F5E21991A} - C:\Programme\Poker.com\Poker.exe (HKCU)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F551} (Flatcast Viewer 4.15) - http://www.flatcast.com/obj/NpFv415.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - C:\Programme\Prevx1\PXAgent.exe" -f (file missing)
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sunbelt CounterSpy Antispyware (SBCSSvc) - Sunbelt Software - C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc .exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)
------------------------------------------------------------
counterspy rapport folgt.....

 

Kleiner Tipp am Rande: Wenn mit den Schädlingen bei dir alles in trockenen Tüchern ist, solltest du mal ServicePack 2 installieren!