View Full Version : werde zlob.Downloader nicht los
Hallo,
ich habe mir irgendwo zlob.Downloader gefangen und werde ihn nicht mehr los.
Spybot findet ihn - wenn ich dann das Problem beheben lasse, meldet TeaTimer, dass ich die Änderung zugelassen habe (ich nehme mal an den Löschvorgang in der Registry?) und bei nochmaliger Überprüfung wird auch kein zlob.Downloader mehr gefunden.
Er wird allerdings nach einem Reboot wieder von Spybot gefunden und ich kann das Spiel wieder von vorn beginnen.
Im Abgesicherten Modus habe ich Spybot auch mal laufen lassen, aber dann wird zlob.Downloader nicht gefunden :scratch:
Mir schwant, dass ich im TeaTimer irgendwas so eingestellt/verstellt habe, dass ich mir den Eintrag selber wieder erzeuge, aber ich kapier's nicht.
Danke schon mal im voraus und Gruß, Jerhaad
Du kannst versuchen, das Problem mit Spy<bot im abgesicherten Modus zu loesen. Sollte nach einem Neustart das Problem dann immer noch bestehen, poste bitte das ERgebnis des Spybotscans und ein Hijackthislog:
http://www.cidres-security.de/hijackthis.html
Hallo raman,
vielen Dank für deine Hilfe.
Habe den Rechner mit Spybot im abgesicherten Modus gescannt, aber wieder wurde dort NICHTS gefunden.
Danach habe ich den Rechner wieder Normal gestartet und dann wurde zlob.Downloader wieder gefunden. Aaarrgh!
Hier mein Spybot Search Result:
--- Search result list ---
Zlob.Downloader: Browser helper object (Registrierungsdatenbank-Schlüssel, fixed)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4da4616d-7e6e-4fd9-a2d5-b6c535733e22}
...oder meintest Du den kompletten Bericht mit allem durm und dran (5400 Zeilen)?
Hier mein HJT Log:
Logfile of HijackThis v1.99.1
Scan saved at 19:19:10, on 27.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\WINDOWS\system32\CmUCReye.exe
C:\Programme\Medion Info Display\MdionLCM.exe
C:\WINDOWS\system32\SerExt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\Programme\ewido anti-malware\ewidoguard.exe
C:\Programme\CA\eTrust Antivirus\InoRpc.exe
C:\Programme\CA\eTrust Antivirus\InoRT.exe
C:\Programme\CA\eTrust Antivirus\InoTask.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
C:\Programme\totalcmd\TOTALCMD.EXE
C:\Programme\HiJackThis\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://news.google.de/news?ned=de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
O2 - BHO: (no name) - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CmUCRRun] C:\WINDOWS\system32\CmUCReye.exe
O4 - HKLM\..\Run: [MedionVFD] "C:\Programme\Medion Info Display\MdionLCM.exe"
O4 - HKLM\..\Run: [AntivirusRegistration] C:\Programme\CA\Etrust Antivirus\Register.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe /c "
O4 - HKLM\..\Run: [EPSON Stylus C84 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C84 Series" /O5 "LPT1:" /M "Stylus C84"
O4 - HKLM\..\Run: [SerExt] SerExt.exe /unplug
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [ALDI_SUED_FotoSuite] "C:\Programme\ALDI Sued Foto Service\ALDI_Foto_Service\FotoSuite.exe" /autorun
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [Showwnd] showwnd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [EPSON Stylus C84 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C84 Series" /M "Stylus C84" /EF "HKCU"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: talk&surf 6.0 - Monitor.lnk.disabled
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {A461BF3E-96B0-488F-9ACA-202335DDCC4B} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1128778405937
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1141142460296
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoTask.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\Gigaset DECT\talk&surf_6_0\xcontrolcom.exe
Gruß,
Jerhaad
Ja, da war mal ein Zlob downloader( Ewido hat den gekillt?). Lese dir bitte diese Anleitung durch(nur suche!) http://siri.geekstogo.com/SmitfraudFix_De.php
Nach dem Suchlauf oeffnete sich ein Fenster mit dem Suchergebniss, poste dieses bitte hier.
Ja, ewido hat den zlob.Downloader auch gefunden und beseitigt, aber er taucht eben trotzdem nach jeden Computerneustart wieder auf.
Hier das Ergebnis von SmitFraudFix:
SmitFraudFix v2.36
Scan done at 20:21:10,23, 27.04.2006
Run from D:\Gerhard\Computer Info\Virenbek„mpfung\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Gerhard\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Start Menu
»»»»»»»»»»»»»»»»»»»»»»»»
»»»»»»»»»»»»»»»»»»»»»»»» Desktop
»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme
»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!! Attention, follow keys are not inevitably infected !!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{E2CA7CD1-1AD9-F1C4-3D2A-DC1A33E7AF9D}"="USB Ware"
»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection
»»»»»»»»»»»»»»»»»»»»»»»» End
Hier der Ewido Report nachdem ich malwieder rebootet hatte:
---------------------------------------------------------
ewido anti-malware - Scan Report
---------------------------------------------------------
+ Erstellt am: 20:32:11, 27.04.2006
+ Report-Checksumme: 7425BF8D
+ Scanergebnis:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4da4616d-7e6e-4fd9-a2d5-b6c535733e22} -> Adware.Generic : Gesäubert mit Backup
HKU\S-1-5-21-339411202-725976200-3386525499-1008\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4DA4616D-7E6E-4FD9-A2D5-B6C535733E22} -> Adware.Generic : Gesäubert mit Backup
::Report Ende
2 Moeglichkeiten, die wir versuchen koennen. Erstens wird der Eintrag im abgesicherten Modus repariert(Spybot oder Ewido), erscheint er dann immer noch? Ist der EIntrag bei Spybot ueber Erweiterter Modus/Werkzeuge/BHO sicht und loeschbar?
Mache zusaetzlich noch einen Kontrollscan mit Drweb Cureit: http://virus-protect.org/cureit.html
Ich glaube aber nicht, das da noch eine Datei ist, die zum Zlob gehoert. Ich gebe es eher auf den Tea-Timer. Ist mein Suendenbock Nummer eins! ;)
Hi Raman,
wie gesagt, im abgesicherten Modus wird erst gar nichts gefunden - also ist auch nichts zu reparieren. Erst wenn ich wieder normal boote ist der Eintrag wieder da. Daher war mein eigener Tip am Anfang ja auch Tea Timer.
Wie überzeuge ich ihn nach einer Säuberung mit Spybot oder Ewido alles alte zu vergessen und diesen Zustand als neu und korrekt zu akzeptieren? Die Verbots/Erlaubt Liste leeren? Oder einfach ganz ausschalten und nicht mehr benutzen?
BTW, ich habe lange gebraucht, die Verbotsliste überhaupt zu finden (über das Icon unten rechts in der Taskleiste). Warum taucht die nicht auch unter Werkzeuge auf? Oder habe ich sie da nur übersehen?
Bei BHOs steht nichts.
DrWeb rennt gerade...
Gruß,
Gerhard
Mist, DrWeb hat auch noch was gefunden - Das ist ja echt 'ne Pest:
>C:\System Volume Information\_restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP56\A0002536.exe infiziert mit Trojan.Popuper - gelöscht
C:\System Volume Information\_restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP56\A0002562.dll infiziert mit Trojan.Fakealert - gelöscht
C:\System Volume Information\_restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP60\A0002722.exe infiziert mit Trojan.Popuper - gelöscht
>C:\System Volume Information\_restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP67\A0003099.exe infiziert mit Trojan.DownLoader.8438 - gelöscht
Hier gehe ich mal davon aus, dass das nicht wirklich der Fall ist:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Backups\regLocal.reg möglicherweise infiziert mit SCRIPT.Virus
Prüfstatistiken
Geprüfte Objekte: 214635
Infizierte Objekte gefunden: 4
Objekte mit Modifikation gefunden: 0
Verdächtige Objekte gefunden: 1
Adware-Programm gefunden: 0
Dialer-Programm gefunden: 0
Scherz-Programm gefunden: 0
Riskware programm gefunden: 0
Hacktool-Programm gefunden: 0
Desinfizierte Objekte: 0
Gelöschte Objekte: 4
Umbenannte Objekte: 0
Verschobene Objekte: 0
Ignorierte Objekte: 5
Leistung:: 447 Kb/s
Dauer:: 00:42:27
Gute Nacht,
Gerhard
Moin Raman,
Heureka!!! :)
Es ist in der Tat TeaTimer, der den Eintrag immer wieder selbst erstellt.
Ich weiß nicht, warum ich erst jetzt auf die Idee gekommen bin :banghead: aber der einfachste aller Tests zeigt's mir.
- Rechner gestartet
- Ewido oder Spybot finden zlob.Downloader
- TeaTimer ausgeschaltet
- zlob geloescht
- Rechner ausgeschaltet
- Neu gestartet
- und siehe da: Kein TeaTimer -> Kein zlob und nichts mehr da!
Da hätte ich wahrlich früher drauf kommen können.
Also, "Tschüss TeaTimer!"
Danke für Deine Hilfe :bigthumb: ,
Gruß, Gerhard.
Gut, das das Problem beseitigt ist.
Wegen die Virenfunden in "System Volume Information", deaktiviere dazu bitte die Systemwiederherstellung, starte neu und aktiviere sie wieder:
http://www.bsi.bund.de/av/texte/wiederher.htm
Nutze auch noch bitte die Datentraegerbereinigung: http://support.microsoft.com/default.aspx?scid=kb;de;315246
und du solltest dich nach einem neuen AV-PRogramm umsehen. Ich gehe davon aus, das dein Etrust abgelaufen ist!? Wenn du dich fuer ein neues AV-Programm entschieden hast(Ewido alleine reicht nicht), musst du Etrust vorher deinstallieren.
Hallo Raman,
bin jetzt im Büro, hatte vorher aber noch ein unschönes Erlebnis - kaum hatte ich den letzten Post geschrieben hat sich mein Internetzugang komplett verabschiedet. Keine Ahnung was da wieder los ist. Hoffentlich nur eine Störung beim Provider.
Mein eTrust war halt auf dem Aldi-Rechner drauf und hat sich auch brav immer selbstständig die neusten Virendefinitionen gesaugt. Ich glaube nicht, dass das Abo abgelaufen ist. :scratch:
Ist AntiVir eine vernünftige (kostenlose) Alternative?
Deine weiteren Tips werde ich heute Abend versuchen.
Danke.
Gruß,
Gerhard
Ich dachte immer diese Abos liefen nur drei Monate? Ich kann das aber auch mit Panda Antivirus verwechselt haben...
Ja, Antivir ist ganz brauchbar, erkennt leider keine Adware, aber dafuer ist ja Spybot da! ;)
Ja, ich glaube das Abo gilt für 90 Tage aber die sind noch nicht rum. Danach werde ich bestimmt mit Erinnerungsmails bombardiert.
So, ich denke, momentan ist alles sauber - habe gleich mal wieder ein Image des Rechners gesichert. Man weiß ja nie...
Ich weiß leider nicht so genau, wie ich mich in Zukunft besser schützen kann. Firewall und Antivirenprogramm sind Pflicht, aber ist es wirklich besser den IE nicht mehr zu benutzen und statt dessen Firefox oder ähnliches zu verwenden? Machen Spybot und ewido das gleiche? Wieviele "Wächter" kann bzw. muss man gleichzeitig laufen lassen? Irgendwann ist dann mein neuer Rechner wieder so lahm wie der alte, weil soviel Mist im Hintergrund passiert.
Vielen Dank nochmal für Deine Hilfe. Hast auf jeden Fall 'n Bier oder 'nen Kaffee oder so gut bei mir ;-)
Gruß und schönes WE
Gerhard