Win XP: ich brauche dringend hilfe - virus!!!

Hier Escan runterladen->updaten wie beschrieben->in den abgesicherten-Modus booten->escan starten(doppelklick mwavscan.com)->zusätzlich alle Laufwerke und Services auswählen und das system damit scannen.

Danach ganz normal booten und nochmal ein LOG machen mit HIjackthis V1.98.2

Gruß

hallo,

ich habe den esan 1 stunde laufen lassen dann ging computer aus (das problem besteht seit ich das habe mit den viren) kann aber auch an was anderen liegen.
er hatte 1000de viren festgestellt + dasselbe war immer mit meinem adaware, u. ich habe gelesen, dass es viren gibt die sich in virenprogramme einnisten! und immer wieder beim neustart da sind?!
außerdem wollte ich mal wissen ob ich meine wiederherstellung deaktivieren muss (das geht auch nicht mehr) u. jemand sagte mir dass ich dort die viruse immer wider herbekomme?
was soll ich nun weiter machen?
das zeigt der hij. an:

Logfile of HijackThis v1.98.1
Scan saved at 20:38:42, on 26.08.2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\svxhost.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\System32\sistray.EXE
C:\WINDOWS\System32\khooker.exe
C:\WINDOWS\System32\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\voltio.exe
C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Dokumente und Einstellungen\Nadine\Desktop\hjt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.t-online.de/software/ie50/setpxy.pac
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Windows DLL host] "C:\WINDOWS\system32\config\systemprofile\winupd\winupd32.exe"
O4 - HKLM\..\Run: [System Startup] voltio.exe
O4 - HKLM\..\Run: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunServices: [Windows DLL host] "C:\WINDOWS\system32\config\systemprofile\winupd\winupd32.exe"
O4 - HKLM\..\RunServices: [System Startup] voltio.exe
O4 - HKLM\..\RunServices: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [System Startup] voltio.exe
O4 - HKCU\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0\aoltray.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/11ba9e71732edfe30515/netzip/RdxIE601_de.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab

Ja du sollst vorher im normalen-Modus die Systemwiederherstellung (SWH) deaktivieren weil sich dort auch Viren festsetzen und sich dadurch wieder ins system schreiben.

ußerdem wollte ich mal wissen ob ich meine wiederherstellung deaktivieren muss (das geht auch nicht mehr)

Was geht nicht mehr das deaktivieren der SWH oder die SWH als Funktion?

Ansonsten bei dem Link zu Escan gibts auch Sysclean lad dir das runter + Pattern-Datei und scann damit deine systempartition oder ganzen Rechner im abges.-Modus.

Vorher kannste noch im normalen-Modus folgende fixen:
O4 - HKLM\..\Run: [Windows DLL host] "C:\WINDOWS\system32\config\systemprofile\winupd\winupd32.exe"
O4 - HKLM\..\Run: [System Startup] voltio.exe
O4 - HKLM\..\Run: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunServices: [Windows DLL host] "C:\WINDOWS\system32\config\systemprofile\winupd\winupd32.exe"
O4 - HKLM\..\RunServices: [System Startup] voltio.exe
O4 - HKLM\..\RunServices: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [System Startup] voltio.exe
O4 - HKCU\..\RunOnce: [SVX Control Service] svxhost.exe
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/11ba9e71732edfe30515/netzip/RdxIE601_de.cab

Gruß

hallo danke erstmal,

also die systemwiederherstellung geht als funktion nicht mehr, das wollte ich ne zeitlang immer wieder machen hat aber ewig gedauert und es kam immer die meldung "nicht genügend virtueller speicher" danach habe ich daran etwas geändert, hat aber nix genützt, jetzt weiß ich auch nicht mehr was ich dort für eine zahl früher hatte, welche sollte man denn dort angeben (beim virtuellen speicher).

ok das mit dem anderen scan ist dort mit auf dem link von oben? gut werde ich machen,
also die systemwiederherstellung für immer deaktivieren? wie mache ich das gleich?

noch eine frage "fixen" bedeutet löschen oder?

und die letzte frage, jetzt als ich die würmer hatte oder habe kam ich nicht mehr ins internet solange der firewall (zonalarm) eingeschaltet war, ich musste ihn immer runterfahren,
sollte ich den besser deaktivieren/löschen, vielleicht sind dort ja die viren drinnen.

Die aufgeführten Zeilen zum fixen musste alle in HIjackthis(nach dem scannen) vorne bei den kleinen vierecken anklicken und dann unten auf fix checked drücken.

Dann werden alle von dir angeklickten Zeilen aus der Registrierung gelöscht.
Durch das löschen werden sie beim nächsten booten nicht mehr geladen und man kann sie löschen oder besser in den abgesicherten-Modus gehn und mit Sysclean das system scannen.

Und/Oder nach dem Fixen den Taskamanger aufrufen (ctrl-alt-del) und unter Prozesse nach den dateien(winupd32.exe,voltio.exe, etc) suchen die in den Zeilen enthalten sind und diese mit rechtsklick beenden und im explorer oder Suchfunktion suchen und manuell löschen.
Manche sind aber versteckt die findet dann nur Escan oder Sysclean im abges.-Modus drum is die Variante besser und auch komfortabler.

Achso und zur Systemwiederherstellung, wenn du die deaktivierst werden alle wiederherstellungspunkte gelöscht und du hast wieder Speicher frei.

Wenn du Virenfrei bist soltest sie natürlich wieder aktivieren.

Und virtueller Speicher is bei jedem verschieden, wennste viel Ram hast reicht sicher 500Mb wenn nicht machste halt mehr oder jenachdem wieviel Platz du noch  
hast

Gruß

hallo,

danke für die tipps.
ich kann leider das andere virenprogramm nicht runterladen da ich ganz schnell aus dem internet fliege!
was soll ich jetzt tun?
das escan habe ich vorhin durchlaufen lassen, muss ich da noch was löschen? oder macht der das von selbst? er hat übrigens 9 oder 10 viren festgestellt.
ich fliege also imm er noch aus netz + ohne firewall auszumachen,komme ich garnicht rein.

Haste denn die Zeilen gefixt die ich geschrieben habe?
Mach nochmal ein Hijackthis-LOg dann sieht man was passiert ist.

Was heisst du fliegst aus dem INternet?
Geht er Offline oder gehen die Seiten nicht aufzurufen?

Gruß

hi,

ich habe das alle gefixt ja so siehts aus:

Logfile of HijackThis v1.98.1
Scan saved at 15:35:42, on 28.08.2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\Nadine\Desktop\hjt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SVX Control Service] svxhost.exe
O4 - HKLM\..\Run: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\Run: [System Startup] voltio.exe
O4 - HKLM\..\RunServices: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunServices: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\RunServices: [System Startup] voltio.exe
O4 - HKLM\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [System Startup] voltio.exe
O4 - HKCU\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0\aoltray.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab

wenns jetzt wieder drinnen ist kann ich nichts dafür gefixt hab ichs jedenfalls.
u. ich bin so ca 5-10 min manchm.länger manchm.kürzer im internet dann kommt so ein komischer ton.
und ich kann dann keine weitere seiten mehr aufrufen, (die weiße seite mitder schrift links - weißt du bestimmt was ich meine (seite konnte nicht gefunden werden oder so ähnlich.
ich komme desw. beim runterladen von dem sysclean bis zu 47% dann ist schluss.
bin echt verzweifelt langsam.

Dann mach erstmal folgendes:

Fixe die folgenden Zeilen:
O4 - HKLM\..\Run: [SVX Control Service] svxhost.exe
O4 - HKLM\..\Run: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\Run: [System Startup] voltio.exe
O4 - HKLM\..\RunServices: [SVX Control Service] svxhost.exe
O4 - HKLM\..\RunServices: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\RunServices: [System Startup] voltio.exe
O4 - HKLM\..\RunOnce: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SVX Control Service] svxhost.exe
O4 - HKCU\..\Run: [System Startup] voltio.exe
O4 - HKCU\..\RunOnce: [SVX Control Service] svxhost.exehost.exe

Dann bootest in den abgesicherten-Modus machst nochmal hijackthis auf und scannst, und schaust ob die Zeilen wieder da sind, wenn ja nochmal alle fixen.

Dann schauste in den Taskmanager(ctrl+alt+del) ob du unter Prozesse die oben in den Zeile enthaltenen Dateien findest(voltio.exe svxhost etc)

Die beendest dann alle(rechtsklick auf die jeweilige Datei)->process beenden.

Wennst das gemacht hast suchst die Dateien über die Suchfunktion oder direkt im windows-Explorer und löschst die Dateien.

Dann kannste nochmal Escan starten und bei den Einstellungen alle Laufwerke und Services anklicken und dann scannen lassen.

Gruß

hallo, so siehts jetzte aus.
habe alles gemacht, aber noch eine frage dazu.
im taskmanager habe ich nur das msgs oder wie das heißt entdeckt
dann habe ich ja im explorer gesucht da kamen aber folgende drei dateien:


msmsgs

msmsgs.exe.manifest

MSMSGS.EXE-32066BA5.pf

soll ich die alle löschen?
sollte ich dort übrigens nur nachdenen suchen, die im taskmanager waren oder auch nach den anderen?

ich habe jetzt übrigens den sysclean, nur das pattern geht noch nicht.
welches virenprogramm ist überhaupt das beste?
ich habe 2mal adaware (6.0 + personal) kann ich da  das 6.0 löschen ist das die ältere version??
dann habe ich noch stinger, antivire, firewall (welcher mich komischereweise nicht ins netz lässt...???








Logfile of HijackThis v1.98.1
Scan saved at 20:59:36, on 28.08.2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\w32usb2.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\System32\sistray.EXE
C:\WINDOWS\System32\khooker.exe
C:\WINDOWS\System32\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\sllights.exe
C:\T-ONLINE\BSW3\ToDuCAlC.EXE
C:\PROGRA~1\INTERN~1\IEXPLORE.EXE
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\ftp.exe
C:\Dokumente und Einstellungen\Nadine\Desktop\hjt.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Win32 USB2.0 Driver] w32usb2.exe
O4 - HKLM\..\RunServices: [Win32 USB2.0 Driver] w32usb2.exe
O4 - HKLM\..\RunOnce: [Win32 USB2.0 Driver] w32usb2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Win32 USB2.0 Driver] w32usb2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [Win32 USB2.0 Driver] w32usb2.exe
O4 - Global Startup: AOL 7.0 Tray-Symbol.lnk = C:\Programme\AOL 7.0\aoltray.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3566A371-3CEF-4305-A2A1-08346B8DBE80}: NameServer = 217.237.149.225 194.25.2.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{3566A371-3CEF-4305-A2A1-08346B8DBE80}: NameServer = 217.237.149.225 194.25.2.129

Jo die alten scheinen weg zu sein, jetzt haste aber wieder neue andere Dateien...das sicher auch schädlinge sind.

Musste schauen das du sysclean komplett runterkriegst und dann damit im abges.-Modus scannen.

Ansonsten wenn das nicht tja hilft dann wohl nur noch ne Neuinstalltion.

Und ein gutes Virenprog ist Kaspersky AV oder Mcafee

Gruß

hallo,

ich habe  das pattern nach mehrmaligen anläufen endlich drauf. leider kann ich das sysclean nicht laufen lassen (kkommt immer medlung dass ich noch das was ich gerade runtergeladen haben noch runterladen muss)
habe alles probiert. was ist das nun wider?

Haste die Patternd-Datei (lptxxx.zip) in den Ordner entpackt wo sysclean.com liegt?

Wenn nicht gehts nicht.

Gruß

hallo,

ja ich habe alles versucht oder habe ich das falsche runtergeladen? lpt 162 ist das das richtige?
ich habe draufgezogen, extrahiert oder was es noch alles gibt,versucht zu öffnen, alles vergeblich.
wie tue ich das entpacken, was muss ich da genau machen??