Trojan, Worm

    hallo leute, :)

    ich habe folgende probleme bei denen ich mir selbst nicht helfen kann...

    mein system benutzt:
    -windows home edition

    anti-Viren/-spyware etc. progs: (alles freeware)
    -adaware se personal
    -antivir
    -spybot search and destroy
    -hijackthis
    -zonealarm firewall

    hab vorgestern etwas mit hijackthis genfunden ==> perfhmon.exe (Worm)
    kann diesen aber nicht ohne weiteres löschen.
    dadurch bin ich auf easy spyremover gekommen, der diesen laut internet entfernen soll.

    seit 2 tagen: (leider keine freeware)
    -easy spyremover

    dieser findet folgendes:
    -Vb.akv (Trojan)
    -Zapchas.F (Trojan)
    -Dldr.iBill.V (Trojan)
    -Worm/Korgo.F.var (Worm)

    alles übele Sachen wenn man auf der antivir seite informationen darüber anschaut. :-?

    kann mir jemand helfen wie man die dinger mit freeware oder manuell los wird? (easyspyremover kostet pro benutzung 10$ lol)

    Über eine schnelle Antwort würde ich mich freuen.

    Danke für die schnelle antwort, werd ich sofort ausführen und danach den hijackthis log posten.

    Zitat von xtrange

    Danke für die schnelle antwort, werd ich sofort ausführen und danach den hijackthis log posten.

    poste bitte alle 3 Reporte

    ---------------------------------------------------------
    AVG Anti-Spyware - Scan-Bericht
    ---------------------------------------------------------

    + Erstellt um: 15:16:58 06.03.2007

    + Scan-Ergebnis:


    HKU\S-1-5-21-403571462-2498685333-2321534736-1007\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{6001CDF7-6F45-471B-A203-0225615E35A7} -> Adware.Generic : Keine Aktion durchgeführt.
    C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\C8GWMWMF\drsmartload_js[1].html -> Downloader.IstBar.j : Keine Aktion durchgeführt.
    C:\WINDOWS\system32\winupdate.exe -> Downloader.Small.ia : Keine Aktion durchgeführt.
    C:\Programme\Gemeinsame Dateien\miuf\miufd\vocabulary -> Downloader.TSUpdate.j : Keine Aktion durchgeführt.
    C:\WINDOWS\Downloaded Program Files\UERSU_0001_N68M1402NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.d : Keine Aktion durchgeführt.


    ::Berichtende

    Panda

    Incident Status Location

    Adware:adware/dollarrevenue Not disinfected c:\windows\keyboard41.dat
    Adware:adware/ist.istbar Not disinfected Windows Registry
    Adware:adware/sqwire Not disinfected Windows Registry
    Virus:Trj/Zapchast.D Disinfected C:\WINDOWS\system32\c.bat
    Virus:W32/Sdbot.ftp.worm Disinfected C:\WINDOWS\system32\o Hijackthis

    O4 - HKLM\..\Run: [Dit] Dit.exe
    O4 - HKLM\..\Run: [VOBRegCheck] C:\WINDOWS\System32\VOBREGCheck.exe -CheckReg
    O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
    O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\alphjvns.exe
    O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
    O4 - HKLM\..\Run: [AudCtrl] RunDll32 AudCtrl.dll,RCMonitor
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
    O4 - HKLM\..\Run: [CTStartup] C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE /run
    O4 - HKLM\..\Run: [Easy SpyRemover] C:\Programme\Easy SpyRemover\EasySpyRemover.exe /smart
    O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
    O4 - HKCU\..\Run: [EPSON Stylus COLOR 580] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_AICN03.EXE /P22 "EPSON Stylus COLOR 580" /O6 "USB001" /M "Stylus COLOR 580"
    O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
    O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
    O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Internetprogramme\ICQ\ICQLite\ICQLite.exe
    O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Internetprogramme\ICQ\ICQLite\ICQLite.exe
    O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O11 - Options group: [INTERNATIONAL] International*
    O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5C…b?1099219997500
    O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
    O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
    O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
    O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
    O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
    O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
    O23 - Service: Performance Logs (Perfhmon) - Unknown owner - C:\WINDOWS\System32\Perfhmon.exe (file missing)
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
    O23 - Service: WUSB54Gv42SVC - Unknown owner - C:\Programme\Linksys Wireless-G USB Wireless Network Monitor\WLService.exe" "WUSB54Gv42.exe (file missing)
    O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

    Logfile of HijackThis v1.99.1
    Scan saved at 16:38:04, on 06.03.2007
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v7.00 (7.00.6000.16414)

    Einmal editiert, zuletzt von EstherCH (6. Mai 2018 um 12:28)

    Incident Status Location

    Adware:adware/dollarrevenue Not disinfected c:\windows\keyboard41.dat
    Adware:adware/ist.istbar Not disinfected Windows Registry
    Adware:adware/sqwire Not disinfected Windows Registry
    Virus:Trj/Zapchast.D Disinfected C:\WINDOWS\system32\c.bat
    Virus:W32/Sdbot.ftp.worm Disinfected C:\WINDOWS\system32\o

    ---------------------------------------------------------
    AVG Anti-Spyware - Scan-Bericht
    ---------------------------------------------------------

    + Erstellt um: 15:16:58 06.03.2007

    + Scan-Ergebnis:


    HKU\S-1-5-21-403571462-2498685333-2321534736-1007\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{6001CDF7-6F45-471B-A203-0225615E35A7} -> Adware.Generic : Keine Aktion durchgeführt.
    C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\C8GWMWMF\drsmartload_js[1].html -> Downloader.IstBar.j : Keine Aktion durchgeführt.
    C:\WINDOWS\system32\winupdate.exe -> Downloader.Small.ia : Keine Aktion durchgeführt.
    C:\Programme\Gemeinsame Dateien\miuf\miufd\vocabulary -> Downloader.TSUpdate.j : Keine Aktion durchgeführt.
    C:\WINDOWS\Downloaded Program Files\UERSU_0001_N68M1402NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.d : Keine Aktion durchgeführt.


    ::Berichtende

    ccleaner anwenden, lösche alle Temp und Cookies
    http://virus-protect.org/ccleaner.html


    Gehe in die Registry
    Start-->Ausführen--> regedit

    lösche:
    HKLM\SYSTEM\CurrentControlSet\Services\Perfhmon\ <----
    HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Perfhmon\ <---
    HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Perfhmon\ <---


    KILLBOX - Pocket KillBox
    http://virus-protect.org/killbox.html

    Options: Delete on Reboot --> anhaken
    und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
    reinkopieren: ........


    C:\WINDOWS\keyboard41.dat
    C:\WINDOWS\system32\winupdate.exe
    C:\WINDOWS\System32\Perfhmon.exe


    PC neustarten in den abgesicherten Modus

    Scan erneut mit AVG, aber diesmal bitte alles löschen
    http://virus-protect.org/ewido.html
    poste den Report

    scan im abgesicherten Modus auch mit Antivir, alle Funde löschen

    PC Neustart


    Dies sagt mir nichts, scanne daher sicherheitshalber mal:

    virustotal
    http://www.virustotal.com/en/indexf.html
    Oben auf der Seite --> auf Durchsuchen klicken --> oder gleich Datei mit korrektem Pfad einkopieren) -->
    Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten

    C:\WINDOWS\System32\alphjvns.exe

    Report abkopieren und vollständig posten

    und

    poste einen neuen Hijackthislog

    Viele Grüße
    WhiteKnight

    Bei AVG wurde alles gelöscht hab den bericht nur zuerst gespeichert dann gelöscht ^^ sorry
    versucht sofort alles was du geschrieben hast..
    thx

    Mir ist noch aufgefallen das bei dem onlinecheck, ne warnung von antivir rausging. bei den activeX steuerelementen soll angeblich ein wurm stecken.
    Ich hatte alles ignoriert und antivir abgeschaltet.

    hab den ccleaner benutzung und die dateien löschen lassen....
    in dem Reg.Edit kann ich die gewünschten pfade nicht löschen...
    die suchefunktion ist wohl schlecht aber manuell kann ich auch nichts finden! :|
    mach jetzt bei killbox weiter!

    ok danke für eure Tips!
    vor dem Report, noch eine Frage am Rande. Beim dem ActiveX Tool das Panda beim erstbenutzen installieren will, meldet mein Antivirus folgende Virenbedrohung: W95/Blumblebee.1738

    Ist das normal bzw. geht davon keine Gefahr aus??
    Hier nun der Report von Panda:

    Incident Status Location

    Potentially unwanted tool:application/myway Not disinfected HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0494D0D9-F8E0-41AD-92A3-14154ECE70AC}
    Spyware:Cookie/Casalemedia Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.casalemedia.com/]
    Spyware:Cookie/YieldManager Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[ad.yieldmanager.com/]
    Spyware:Cookie/Overture Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.overture.com/]
    Spyware:Cookie/Doubleclick Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.doubleclick.net/]
    Spyware:Cookie/Atlas DMT Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.atdmt.com/]
    Spyware:Cookie/WebtrendsLive Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[statse.webtrendslive.com/]
    Spyware:Cookie/adultfriendfinder Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.adultfriendfinder.com/]
    Spyware:Cookie/onestat.com Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[stat.onestat.com/]
    Spyware:Cookie/Adtech Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.adtech.de/]
    Spyware:Cookie/Ccbill Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.ccbill.com/]
    Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\originsnake\Anwendungsdaten\Mozilla\Firefox\Profiles\muxoorxp.default\cookies.txt[.as-eu.falkag.net/]
    Potentially unwanted tool:Application/NirCmd.A Not disinfected C:\fixwareout\FindT\nircmd.exe

    kp den Blumblebee kannst du ja nach dem scan mit antivir sauber entfernen.wieso der mitgeschickt wird ist äusers fraglich.

    hijackthis log

    Logfile of HijackThis v1.99.1
    Scan saved at 22:54:42, on 06.03.2007
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v7.00 (7.00.6000.16414)


    Antivir bericht

    AntiVir PersonalEdition Classic
    Erstellungsdatum der Reportdatei: Dienstag, 6. März 2007 20:49

    Es wird nach 691355 Virenstämmen gesucht.

    Lizenznehmer: Avira AntiVir PersonalEdition Classic
    Seriennummer: 0000149996-ADJIE-0001
    Plattform: Windows XP
    Windowsversion: (Service Pack 2) [5.1.2600]
    Benutzername: Welsch
    Computername: MW

    Versionsinformationen:
    BUILD.DAT : 217 12749 Bytes 05.12.2006 16:57:00
    AVSCAN.EXE : 7.0.3.5 208936 Bytes 15.01.2007 16:19:52
    AVSCAN.DLL : 7.0.3.0 35880 Bytes 16.12.2006 13:05:39
    LUKE.DLL : 7.0.3.2 143400 Bytes 16.12.2006 13:05:40
    LUKERES.DLL : 7.0.2.0 9256 Bytes 16.12.2006 13:05:40
    ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 10:26:20
    ANTIVIR1.VDF : 6.37.1.151 4303360 Bytes 23.02.2007 14:21:46
    ANTIVIR2.VDF : 6.37.1.182 86528 Bytes 01.03.2007 13:03:31
    ANTIVIR3.VDF : 6.37.1.202 51200 Bytes 06.03.2007 09:33:25
    AVEWIN32.DLL : 7.3.1.38 2322944 Bytes 24.02.2007 14:21:46
    AVPREF.DLL : 7.0.2.0 23592 Bytes 16.12.2006 13:05:39
    AVREP.DLL : 6.37.1.100 1142824 Bytes 18.02.2007 20:47:36
    AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 23.06.2006 10:26:17
    AVPACK32.DLL : 7.2.0.5 368680 Bytes 26.10.2006 17:50:07
    AVREG.DLL : 7.0.1.2 30760 Bytes 15.01.2007 16:19:52
    NETNT.DLL : 6.32.0.0 6696 Bytes 27.09.2005 07:56:47
    RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 16.12.2006 13:05:34
    RCTEXT.DLL : 7.0.12.0 77864 Bytes 16.12.2006 13:05:34

    Konfiguration für den aktuellen Suchlauf:
    Job Name.........................: Lokale Festplatten
    Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldiscs.avp
    Protokollierung..................: niedrig
    Primäre Aktion...................: interaktiv
    Sekundäre Aktion.................: ignorieren
    Durchsuche Masterbootsektoren....: aus
    Durchsuche Bootsektoren..........: ein
    Bootsektoren.....................: E:,
    Durchsuche Speicher..............: ein
    Durchsuche Laufende Programme....: ein
    Durchsuche Registrierung.........: ein
    Datei Suchmodus..................: Alle Dateien
    Durchsuche Archive...............: ein
    Rekursionstiefe einschränken.....: 20
    Archiv Smart Extensions..........: ein
    Makrovirenheuristik..............: ein
    Dateiheuristik...................: mittel
    Erweiterte Sucheinstellungen.....: 0x00001000

    Beginn des Suchlaufs: Dienstag, 6. März 2007 20:49

    Der Suchlauf über gestartete Prozesse wird begonnen:
    Durchsuche Prozess 'avscan.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'avcenter.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'avgas.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'explorer.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'lsass.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'winlogon.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'csrss.exe' - '1' Module wurden durchsucht
    Durchsuche Prozess 'smss.exe' - '1' Module wurden durchsucht
    Es wurden '12' Prozesse mit '12' Modulen durchsucht

    Der Suchlauf über die Bootsektoren wird begonnen:
    Bootsektor 'C:\'
    [HINWEIS] Es wurde kein Virus gefunden!
    Bootsektor 'D:\'
    [HINWEIS] Es wurde kein Virus gefunden!
    Bootsektor 'E:\'
    [HINWEIS] Es wurde kein Virus gefunden!

    Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
    Die Registry wurde durchsucht ( 20 Dateien ).


    Der Suchlauf über die ausgewählten Dateien wird begonnen:

    Beginne mit der Suche in 'C:\' <BOOT>
    C:\pagefile.sys
    [WARNUNG] Die Datei konnte nicht geöffnet werden!
    C:\WINDOWS\system32\ActiveScan\pskavs.dll
    [FUND] Enthält Signatur des Windows-Virus W95/Blumblebee.1738
    [INFO] Die Datei wurde gelöscht.
    Beginne mit der Suche in 'D:\' <BACKUP>
    Beginne mit der Suche in 'E:\' <RECOVER>


    Ende des Suchlaufs: Dienstag, 6. März 2007 22:29
    Benötigte Zeit: 1:40:42 min

    Der Suchlauf wurde vollständig durchgeführt.

    6795 Verzeichnisse wurden überprüft
    273640 Dateien wurden geprüft
    1 Viren bzw. unerwünschte Programme wurden gefunden
    1 Dateien wurden gelöscht
    0 Viren bzw. unerwünschte Programme wurden repariert
    0 Dateien wurden in die Quarantäne verschoben
    0 Dateien wurden umbenannt
    1 Dateien konnten nicht durchsucht werden
    273639 Dateien ohne Befall
    6675 Archive wurden durchsucht
    1 Warnungen
    0 Hinweise

    AVG bericht

    ---------------------------------------------------------
    AVG Anti-Spyware - Scan-Bericht
    ---------------------------------------------------------

    + Erstellt um: 20:45:42 06.03.2007

    + Scan-Ergebnis:


    C:\System Volume Information\_restore{BE2FC4D2-32FC-4079-902E-799BB7000B44}\RP476\A0177604.exe -> Downloader.Small.ia : Gesäubert.


    ::Berichtende

    C:\WINDOWS\System32\alphjvns.exe konnte ich nicht an virustotal senden.
    die datei existiert angeblich nicht oder ich kann sie nicht finden ^^

    Einmal editiert, zuletzt von EstherCH (6. Mai 2018 um 12:30)

    Hallo

    Sieht doch schon sehr gut aus.

    Die Warnmeldung von Antivir ist ein Fehlalarm, kann man also ignorieren. Alle hier durchgeführten Scans sind sicher. Mache bitte noch folgendes:


    Deaktiviere die Systemwiederherstellung:
    1. Klicken Sie auf Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz, und klicken Sie auf Eigenschaften.
    2. Klicken Sie auf die Registerkarte Systemwiederherstellung.
    3. Aktivieren Sie das Kontrollkästchen Systemwiederherstellung deaktivieren (oder das Kontrollkästchen Systemwiederherstellung auf allen Laufwerken deaktivieren), und klicken Sie auf OK.
    4. Klicken Sie auf Ja, wenn Sie gefragt werden, ob Sie die Systemwiederherstellung wirklich deaktivieren möchten.
    http://support.microsoft.com/default.aspx?scid=kb;de;310405


    boote in den abgesicherten Modus

    dann

    gehe in die Registry
    Start - Ausfuehren - regedit
    bearbeiten - suchen - MyWay

    hkey_local_machine\software\MyWay <--löschen

    dann

    Klicke: Start -Ausführen- schreibe: cmd
    dann kopiere in das DOS-Fenster:

    del %windir%\temp\*.* /f

    klicke "enter"
    schreibe Y

    dann weiter im abgesicherten Modus:

    öffne das HijackThis-->> Button "scan" -->> Häkchen setzen vor diese Einträge-->> Button "Fix checked" -->> PC neustarten

    O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\alphjvns.exe
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O11 - Options group: [INTERNATIONAL] International*
    O23 - Service: Performance Logs (Perfhmon) - Unknown owner - C:\WINDOWS\System32\Perfhmon.exe (file missing)

    Nach Neustart

    aktiviere die Systemwiederherstellung wieder

    Führe HouseCall durch am besten mit dem Internetexplorer. Behebe alle Funde auch die Sicherheitsrelevanten.
    http://de.trendmicro-europe.com/consumer/house…call_launch.php

    Neustart

    poste nun bitte nur das erste Log von Datfindbat
    http://virus-protect.org/datfindbat.html
    1.Log Verzeichnis von C:\WINDOWS\system32\

    Viele Grüße
    WhiteKnight

    Viele Grüße
    WhiteKnight

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden