SpyBot 1.6 reagiert beim starten nicht!

[Anjay]

Hallo liebe Leute!

Ich habe ein Problem mit SpyBot und hoffe ihr könnt mir dabei weiter helfen!
Habe mir schon einige Theards durchgelesen, bin aber leider zu keinem Ergebnis gekommen.

Mein SpyBot startet nicht mehr. Der Teatimer läuft zwar im Hintergrund, jedoch lässt sich dass Hauptprogramm nicht öffnen. Bei einem Doppelklick bleibt der Bildschirm unverändert! Habe dass Programm auch de- und wieder installiert. Bei der Installation ist mir aufgefallen, dass sich dass Programm nicht installieren lässt, wenn ich den Haken bei "Während der Installation auf Update prüfen" lasse, dann kommt sofort eine Fehlermeldung, dass die Seite http://www.safer-networking.org/updallorditor.php" nicht gefunden werden kann und die Installation bricht ab. Nachträglich lassen sich über dass SpyBot Symbol unten rechts in der Taskleiste auch keine Updates durchführen.

Mir ist ausserdem aufgefallen, dass ich garkein AntiVir-Prog mehr Updaten kann.

Alle hat damit begonnen, dass mein Northon ein Virus gefunden hat ("Backdoor.Tidserv") der verursachte, dass alle Googleergebnisse auf willkürliche andere Seiten verwies (z.B. gibt man Ebay bei Google ein und es kommt als Ergebniss www.ebay.de herraus, kommte ich durch den Link auf irgent eine Spamsite). Diesen Virus habe ich durch Northon löschen lassen und ist nun verschwunden. Dass Google Problem bleibt allerdings.

Bitte bitte um Hilfe!! Habe den Rechner vom Netzwerk getrennt.. kann ihn aber nicht deinstallieren wegen wichtigen Datenbanksätze!

MFG

André

 

[Matt]

Hallo,

ich vermute, du hast dir da mehr als diesen einen Trojaner eingefangen. Da du noch zu falschen Seiten weitergeleitet wirst, zeigt meiner Meinung nach deutlich, dass sich noch Schädlinge auf deinem Rechenr befinden.

Kannst du den genauen Pfad angeben, an dem Norton den Schädling gefunden hat?

Ich bin leider nicht autorisiert, dir jetzt konkret zu helfen, also dir zu sagen, mit welchen tools du deinen Rechner wieder flott bekommst.

Ein Mitglied von Team Spybot wird dir aber sicherlich bald helfen.

 

[Anjay]

Hey Matt!

Ja, ich vermute es leider auch!
Leider funktioniert mein SpyBot ja nicht.

Ich hab mal nachgeschaut.. Norton gibt mir an, dass der Pfand folgender ist:

C:\\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp Internet Files\Content.IE5\4L0DAV72

Die Datei heißt "mito[1].gif"

Danke für eine erste und bitte um eine nächste Nachricht.
Auf dass, dass du bald Authorisiert wirst!

Mfg
André

 

[Matt]

Hey Matt!
Ja, ich vermute es leider auch!
Leider funktioniert mein SpyBot ja nicht.

Es könnte durchaus der Fall sein, dass ein Schädling Spybot blockiert. :sad:

Ich hab mal nachgeschaut.. Norton gibt mir an, dass der Pfand folgender ist:
C:\\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp Internet Files\Content.IE5\4L0DAV72
Die Datei heißt "mito[1].gif"

Das ist ja schon mal ein Anfang. Sieht so aus, als hätte sich da was im Internet Explorer festgebissen...

Danke für eine erste und bitte um eine nächste Nachricht.
Auf dass, dass du bald Authorisiert wirst!

Da ich kein Mitglied von Team Spybot bin, kann ich dir auch nicht in deren Namen helfen. Zudem kenne ich mich beim Auswerten von logfiles (noch) nicht genug aus. Hier gibt es noch eine interessante Seite für dich zum lesen:
http://forums.spybot.info/showthread.php?t=288

Ein Mitglied von Team Spybot wird aber sicherlich nach einem HijackThis-Report verlangen. Das Tool HijackThis 2.02 kannst du hier downloaden:
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe und anschließend auf deinem Rechner installieren.

Warte bitte auf weitere Anweisungen eines Mitglieds von Team Spybot.

Ich habe bereits zwei Mitglieder vom Team Spybot angeschrieben und hoffe, dass sie dir bald helfen können.

 

[raman]

Hallo Anjay

TDSS Malware ist ziemlich aggressiv. Du kannst Combofix nutzenn um dies zu entfernen.
Du solltest dennoch deine wichtigsten Daten vor dem Einsatz von CF extern sichern..


Downloade es von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichere es auf den Desktop
Danach schliesse alle Fenster, deaktiviere alle Hintergrundwaechter (AV und z.B. Spybots Tea-Timer) starte die combofix.exe, lies die Informationen auf den auftauchenden Fenstern und beantworte sie danach mit Ja.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Waehrend des Scans bitte nichts am Rechner unternehmen
Es kann moeglich sein, das der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
http://www.bleepingcomputer.com/combofix/de/wie-combofix-benutzt-wird

Nutze immer eine aktuelle Version von Combofix, auch wenn du "deine" erst vor einem Tag heruntergeladen hast.

 

[Anjay]

Hey Matt!

Ja, Danke dir auf jedenfall schonmal! Echt super von dir!

Was ich noch vergessen haben zu erwähnen:

Der Rechner bleibt seitdem auch bei fast jedem zweiten "Neu Start" beim "Willkommen"-Fenster von Windows hängen. Dass einzige was dann hilf, ist der 5-Sek.-Halt auf dem Powerknopf des Rechners...

MFG

André

 

[Matt]

Hallo Anjay

TDSS Malware ist ziemlich aggressiv. Du kannst Combofix nutzenn um dies zu entfernen.
Du solltest dennoch deine wichtigsten Daten vor dem Einsatz von CF extern sichern..


Downloade es von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichere es auf den Desktop
Danach schliesse alle Fenster, deaktiviere alle Hintergrundwaechter (AV und z.B. Spybots Tea-Timer) starte die combofix.exe, lies die Informationen auf den auftauchenden Fenstern und beantworte sie danach mit Ja.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Waehrend des Scans bitte nichts am Rechner unternehmen
Es kann moeglich sein, das der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
http://www.bleepingcomputer.com/combofix/de/wie-combofix-benutzt-wird

Nutze immer eine aktuelle Version von Combofix, auch wenn du "deine" erst vor einem Tag heruntergeladen hast.

Ich nehme mal an, dass du meine Nachricht erhalten hast. Vielen Dank! Ich persönlich hätte in diesem Fall wohl auch combofix empfohlen.

Bringt in diesem Fall ein Hijackthis-logfile nicht viel bzw. ist es hier überflüssig?

 

[Matt]

Hey Matt!

Ja, Danke dir auf jedenfall schonmal! Echt super von dir!

Was ich noch vergessen haben zu erwähnen:

Der Rechner bleibt seitdem auch bei fast jedem zweiten "Neu Start" beim "Willkommen"-Fenster von Windows hängen. Dass einzige was dann hilf, ist der 5-Sek.-Halt auf dem Powerknopf des Rechners...

MFG

André

Jetzt weißt du ja auch, was zu tun ist.

 

[Anjay]

Hallo Leute!

Danke Danke!!
Ich dann werde ich dass jetzt mal machen und euch dann Bescheid geben, was passiert ist!
Allerdings noch eine Frage: Was ist, wenn bei der Analyse während eines Neustarts der Rechner wieder hängen bleibt?
Bekommt jetzt immer mehr dass Problem den Rechner zu starten. Habe jetzt gerade 4 anläufte machen müssen.

Mfg

André

 

[Matt]

Hallo,

Befolge genau die Anweisungen von Raman und kopiere insbesondere den Report von combofix hier herein.

Zur Kontrolle (nach combofix) wäre eventuell eine Hijackthis-Report nicht falsch. Den brauchst du aber anscheinend nicht unbedingt.

Dazu müsstest du wie folgt vorgehen:
- Hijackthis runterladen und installieren (wie beschrieben)
- Doppelklick auf das Desktop-Symbol
- dann auf "Do a system scan and save a logfile" gehn
- den Inhalt des logfiles kannst du kann kopieren und hier unter den Report von combofix noch anfügen

Grüße aus Bayern,
-Matt-

 

[Anjay]

Hey Leute!

Habe jetzt versucht Combofix und HiJack zu installieren bzw auszuführen.
Jedoch taucht bei ihnen dass gleiche Problem auf, sie lassen sich nichts starten. Durch den Doppelklick bleibt der Bildschrim unverändert.

Andere Programme wie z.B. die Officeprogramme oder andere schon vorher installierte Programme funktionieren und starten bei einem Doppelklick.
Mit rechter Maustaste auf "Öffnen" habe ich auch schon versucht, nichts!

Bitte um schnelle Hilfe!

Mfg

André

 

[MisterW]

Hallo,
versuch mal den Dateinamen der Programme die du starten willst zu ändern. Benenne sie z.b. in test.exe um. Dann starten die normalerweise.

Spybot kannst du auch mit diesem Trick auch starten, wenn das klappt

Sonst sind im Spybotverzeichnis auch noch alternative Startdateien. Diese Dateien sind aber versteckt, du musst dir also acuh versteckte Dateien anzeigen lassen.

 

[Matt]

Habe jetzt versucht Combofix und HiJack zu installieren bzw auszuführen.
Jedoch taucht bei ihnen dass gleiche Problem auf, sie lassen sich nichts starten. Durch den Doppelklick bleibt der Bildschrim unverändert.

Dieser Schädling ist ja ziemlich aggressiv, wenn er alle Sicherheitstools auf deinem Rechner blockiert...

 

[Anjay]

Dieser Schädling ist ja ziemlich aggressiv, wenn er alle Sicherheitstools auf deinem Rechner blockiert...

Ja, das kannst du wohl laut sagen!

Die Änderung der Dateinamen bringt leider auch nichts! Genauso wie bei den versteckten Dateien von SypBot..

Sowas habe ich echt noch nicht erlebt! Die Tage kommt ein Kollege vorbei der sich das mal ansieht.
Ich informiere euch dann über Ergebnisse.
Für weitere Vorschläge bin ich trotzdem gerne bereit!

Danke für eure Bemühungen!

 

[raman]

Es gibbt eie oeglichkeit einen Teil des Trojaers zu deaktivieren. Aber fuer dich waere es deke ich eifacher, wen dein "Fachmann" erstmal den PC mit denn Bbootcds von Kaspersky ud Avira startet und so gefundene Schaedlinge loescht Danach nochmal Combofix nutzen

http://www.avira.de/de/support/support_downloads.html
http://ftp.kaspersky.com/devbuilds/RescueDisk/

Letztere muss vor Nutzung aktualisiert werden Wennn du mit Kabel ann einem Router verbunden bist, der noch DHCP aktiviert hat,, geht das automatisch Die Aviracd ist immer aktuell auf dem Server

 

[Anjay]

Soo.. mein "Kollege" war zufälliger Weise schon heute morgen bei mir. Natürlich genau dann, als ich nicht Zuhause war. Meine Freundin hat in rein gelassen. Leider konnte er dass Problem auch nicht beheben, aber was auch immer er gemacht hat, ich kann jetzt HiJack benutzen! ComboFix leider noch nicht!

Hier habt ihr dass Ergebniss von HiJack:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:24:30, on 08.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\DATEV\PROGRAMM\B0001442\PSNTSERV.EXE
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\System32\snmp.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\DATEV\SYSTEM\DVREWEDZSMSTR002.EXE
C:\DATEV\SYSTEM\NUKO\NKWLOGIN.EXE
C:\SKKOELN\MCLWIN\PRG\ZBASE32.EXE
C:\WINDOWS\system32\WISPTIS.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Microsoft Office Outlook.lnk = C:\Programme\Microsoft Office\Office12\OUTLOOK.EXE
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: SkyUserDevmode-Update.lnk = C:\DATEV\PROGRAMM\B0001401\UpdateDevmode.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: DATEV Update-Service - DATEV eG - C:\DATEV\PROGRAMM\INSTALL\DvInesASDSvc.Exe
O23 - Service: DATEV Druckservice (DatevPrintService) - DATEV eG - C:\DATEV\PROGRAMM\B0001442\PSNTSERV.EXE
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: OKI OPHC DCS Loader - Oki Data Corporation - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\OPHCLDCS.EXE

--
End of file - 4774 bytes

Mal sehen, ob es was bringt!
Danke!

MFG André

 

[raman]

Du kannst gerne selber die Livecds erstellen, sofern du sie herunterladen kannst. Du kannst auch versuchen Combofix erneut herunterzuladen, aber speichere dieses gleich unter einen anderen namen wie Andre.exe o.ae. Dann sollte es auch funktionieren. Ansonsten versuchen wir den entsprechenden Treiber zu finden und zu deaktivieren...