SPYBOT.exe Fehlt

[FinalSolution]

hi wenn ich das programm installieren will fehlt andauernd die spybot.exe so das ich nicht starten kann, hab auch mal nen anderes spyware prpgramm (spy doctor) probiert, da das selbe auch da fehlt die programm exe an was liegt das?

 

[raman]

Ich denke, da hat dich irgendwas an Malware infiziert(Bagle oder aehnliches) Du kannst gerne ein Hijackthis log erstellen. Du kannst es hier herunterladen: http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip

allerdings solltest du im Zip Archiv die exe Datei schon nach test.com umbenennen, denn ich denke, wenn du die Datei so entpackst, wird sie geloescht.

http://cidres-security.de/hijackthis.html

 

[FinalSolution]

Hijackthis hat ich drauf das geht noch, aber da fällt mir eigentlich nichts auf

hier mal der LOG

Logfile of HijackThis v1.99.1
Scan saved at 11:20:36, on 29.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\cFosSpeed\cFosSpeed.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\RocketDock\RocketDock.exe
C:\Programme\ObjectDock\ObjectDock.exe
C:\Programme\Vista Sidebar\Thoosje Sidebar.exe
C:\Programme\CursorXP\CursorXP.exe
C:\Programme\Atomic Alarm Clock\AtomicAlarmClock.exe
C:\Programme\RK Launcher\RKLauncher.exe
C:\Programme\cFosSpeed\spd.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [cFosSpeed] C:\Programme\cFosSpeed\cFosSpeed.exe
O4 - HKLM\..\Run: [LogonStudio] "C:\Programme\LogonStudio\logonstudio.exe" /RANDOM
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [RocketDock] "C:\Programme\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [ObjectDock] C:\Programme\ObjectDock\ObjectDock.exe
O4 - HKCU\..\Run: [Thoosje Sidebar] C:\Programme\Vista Sidebar\Thoosje Sidebar.exe
O4 - HKCU\..\Run: [CursorXP] C:\Programme\CursorXP\CursorXP.exe
O4 - HKCU\..\Run: [SkinClock] C:\Programme\Atomic Alarm Clock\AtomicAlarmClock.exe
O4 - HKCU\..\Run: [RK Launcher] C:\Programme\RK Launcher\RKLauncher.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{56B7F27A-ACD3-48B9-8F3C-D8D633D901D7}: NameServer = 217.237.149.205 217.237.151.51
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: WBSrv - C:\Programme\WindowBlinds\wbsrv.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - C:\Programme\cFosSpeed\spd.exe" -service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

 

[raman]

Dann nehmen wir das naechst "staerkere"

Combofix

Lade es von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop

Alle Fenster schliessen und combofix.exe starten und bestaetige die folgende Abfrage mit 1 und drueckt Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Waehrend des Scans bitte nichts am Rechner unternehmen
Es kann moeglich sein, das der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

 

[FinalSolution]

so hab ich gemacht werd aber aus der LOG nich schlau...

ComboFix 07-10-29.1 - Sven Großer 2007-10-29 15:14:14.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.618 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Sven Großer\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\exefld
C:\WINDOWS\exefld\22212000.exe
C:\WINDOWS\exefld\2986359.exe
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.
-------\LEGACY_SROSA
-------\Services
-------\srosa


((((((((((((((((((((((( Dateien erstellt von 2007-09-28 bis 2007-10-29 ))))))))))))))))))))))))))))))
.

2007-10-29 15:13 51,200 --a------ C:\WINDOWS\NirCmd.exe
2007-10-29 02:54 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\.housecall6.6
2007-10-29 02:54 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\.housecall6.6
2007-10-29 02:49 <DIR> d-------- C:\WINDOWS\BDOSCAN8
2007-10-29 02:39 626,688 --a------ C:\WINDOWS\system32\msvcr80.dll
2007-10-29 01:48 <DIR> d-------- C:\Programme\CCleaner
2007-10-28 12:45 <DIR> d-------- C:\WINDOWS\vf_hip
2007-10-28 12:45 <DIR> d-------- C:\Programme\Hide IP Platinum
2007-10-27 13:18 33,792 --a------ C:\WINDOWS\system32\drivers\maplom.sys
2007-10-26 11:26 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Codemasters
2007-10-26 10:17 <DIR> d-------- C:\WINDOWS\system32\AGEIA
2007-10-26 10:17 <DIR> d-------- C:\Programme\AGEIA Technologies
2007-10-26 00:23 <DIR> d-------- C:\Programme\DAEMON Tools
2007-10-25 23:20 <DIR> d-------- C:\WINDOWS\pss
2007-10-24 20:20 <DIR> d-------- C:\Programme\Atomic Alarm Clock
2007-10-24 14:28 <DIR> d-------- C:\Programme\IsoBuster
2007-10-20 23:11 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Sports Interactive
2007-10-20 22:54 <DIR> d--h----- C:\Programme\Zero G Registry
2007-10-20 22:51 <DIR> d--h----- C:\Dokumente und Einstellungen\Sven Großer\InstallAnywhere
2007-10-20 22:51 <DIR> d--h----- C:\Dokumente und Einstellungen\Sven Großer\InstallAnywhere
2007-10-20 18:21 <DIR> d-------- C:\Programme\Java
2007-10-20 18:20 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Java
2007-10-11 11:51 <DIR> d-------- C:\WINDOWS\mm.BOT
2007-10-11 01:08 <DIR> d-------- C:\Programme\Microsoft.NET
2007-10-10 00:52 2,560 --a------ C:\WINDOWS\_MSRSTRT.EXE
2007-10-08 19:27 38,024 --a------ C:\WINDOWS\DIIUnin.dat
2007-10-08 00:48 <DIR> d-------- C:\Programme\7-Zip
2007-10-06 18:43 <DIR> d-------- C:\WINDOWS\YourScreenSaverResources
2007-10-06 17:08 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\PPMate
2007-10-06 16:56 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\SopCast
2007-10-06 16:18 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\ppstream
2007-10-05 00:11 2,306,048 --a------ C:\WINDOWS\YourScreen Saver.scr
2007-10-05 00:11 1,308,272 --a------ C:\WINDOWS\dummy.exe
2007-10-02 20:40 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\TVU Networks
2007-10-01 14:48 <DIR> d-------- C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Microsoft Game Studios
2007-10-01 13:06 <DIR> d--hs---- C:\WINDOWS\ftpcache
2007-09-29 13:42 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Tages

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-29 14:18 --------- d-----w C:\Programme\cFosSpeed
2007-10-29 02:18 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2007-10-29 01:41 --------- d---a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2007-10-29 01:01 --------- d-----w C:\Programme\Alcohol 120%
2007-10-29 00:43 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\temp
2007-10-28 21:38 --------- d--h--w C:\Programme\InstallShield Installation Information
2007-10-28 18:09 --------- d-----w C:\Programme\Bewerbung 2007
2007-10-28 11:26 --------- d-----w C:\Programme\IconPackager
2007-10-28 11:23 --------- d-----w C:\Programme\RK Launcher
2007-10-28 11:11 --------- d-----w C:\Programme\eMule
2007-10-27 11:34 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\LimeWire
2007-10-26 09:18 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\InstallShield
2007-10-26 09:17 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2007-10-25 22:19 --------- d-----w C:\Programme\RealPlayer
2007-10-25 22:11 278,984 ----a-w C:\WINDOWS\system32\drivers\atksgt.sys
2007-10-20 23:30 --------- d-----w C:\Programme\WindowBlinds
2007-10-20 21:55 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Azureus
2007-10-20 21:30 --------- d-----w C:\Programme\TuneUp Utilities 2007
2007-10-11 00:08 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2007-10-08 18:27 102,400 ----a-w C:\WINDOWS\DIIUnin.exe
2007-10-06 11:17 --------- d-----w C:\Programme\PC Booster
2007-10-05 00:03 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer
2007-09-27 16:21 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Hamachi
2007-09-27 15:57 --------- d-----w C:\Programme\Sony Ericsson
2007-09-27 15:57 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Teleca
2007-09-27 15:56 --------- d-----w C:\Programme\Gemeinsame Dateien\Teleca Shared
2007-09-26 23:25 --------- d-----w C:\Programme\LogonStudio
2007-09-26 12:59 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Bioshock
2007-09-26 11:42 10,578 ---ha-w C:\WINDOWS\system32\drivers\hamachi.sys
2007-09-25 17:35 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\ATI
2007-09-25 17:35 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ATI
2007-09-25 17:32 --------- d-----w C:\Programme\ATI Technologies
2007-09-17 20:09 --------- d-----w C:\Programme\Azureus
2007-09-09 14:45 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\DAEMON Tools Pro
2007-09-09 14:10 685,816 ---ha-w C:\WINDOWS\system32\drivers\sptd.sys
2007-09-07 22:19 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\ImgBurn
2007-09-04 10:51 --------- d-----w C:\Programme\LimeWire
2007-09-04 10:47 --------- d-----w C:\Dokumente und Einstellungen\Sven Großer\Anwendungsdaten\Thinstall
2007-09-03 15:05 --------- d-----w C:\Programme\Winamp
2007-09-02 16:24 --------- d-----w C:\Programme\Gemeinsame Dateien\xing shared
2007-09-02 16:23 --------- d-----w C:\Programme\Gemeinsame Dateien\Real
2007-08-02 10:13 451,072 ----a-w C:\WINDOWS\Radeon Omega Drivers v3.8.360 Uninstall.exe
2007-06-10 20:38:19 88 --sh--r C:\WINDOWS\system32\1B2403A648.sys
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"cFosSpeed"="C:\Programme\cFosSpeed\cFosSpeed.exe" [2006-11-17 11:36]
"LogonStudio"="C:\Programme\LogonStudio\logonstudio.exe" [2002-09-03 17:38]
"DAEMON Tools"="C:\Programme\DAEMON Tools\daemon.exe" [2006-09-14 21:09]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RocketDock"="C:\Programme\RocketDock\RocketDock.exe" [2007-01-28 03:55]
"ObjectDock"="C:\Programme\ObjectDock\ObjectDock.exe" [2007-04-30 18:43]
"Thoosje Sidebar"="C:\Programme\Vista Sidebar\Thoosje Sidebar.exe" [2007-08-07 15:33]
"CursorXP"="C:\Programme\CursorXP\CursorXP.exe" [2005-01-19 16:34]
"SkinClock"="C:\Programme\Atomic Alarm Clock\AtomicAlarmClock.exe" [2007-10-16 00:46]
"RK Launcher"="C:\Programme\RK Launcher\RKLauncher.exe" [2005-09-14 19:23]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableClock"=0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WBSrv]
C:\Programme\WindowBlinds\wbsrv.dll 2007-10-21 00:14 229376 C:\Programme\WindowBlinds\WbSrv.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=wbsys.dll

SafeBoot Registrierungsschlüssel muss repariert werden. Dieser PC kann nicht im abgesicherten Modus starten.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\File system]
@="Driver Group"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\vgasave.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96A-E325-11CE-BFC1-08002BE10318}]
@="Hdc"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96B-E325-11CE-BFC1-08002BE10318}]
@="Keyboard"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96F-E325-11CE-BFC1-08002BE10318}]
@="Mouse"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97D-E325-11CE-BFC1-08002BE10318}]
@="System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{71A27CDD-812A-11D0-BEC7-08002BE2092F}]
@="Volume"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"WMPNetworkSvc"=3 (0x3)
"StarWindServiceAE"=2 (0x2)
"ose"=3 (0x3)
"odserv"=3 (0x3)
"nlsvc"=2 (0x2)
"O&O Defrag"=2 (0x2)

R0 ViBus;ViBus;C:\WINDOWS\system32\DRIVERS\ViBus.sys
R0 videX32;videX32;C:\WINDOWS\system32\DRIVERS\videX32.sys
R0 ViPrt;VIA SATA IDE Device Driver;C:\WINDOWS\system32\DRIVERS\ViPrt.sys
R1 nltdi;nltdi;\??\C:\WINDOWS\system32\drivers\nltdi.sys
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe -k netsvcs
S0 viamraid;viamraid;C:\WINDOWS\system32\DRIVERS\viamraid.sys
S3 Maplom;Maplom;C:\WINDOWS\system32\drivers\Maplom.sys
S3 nocashio;nocashio;C:\WINDOWS\system32\drivers\nocashio.sys
S3 sea1bus;Sony Ericsson Device 0A1 driver (WDM);C:\WINDOWS\system32\DRIVERS\sea1bus.sys
S3 sea1mdfl;Sony Ericsson Device 0A1 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\sea1mdfl.sys
S3 sea1mdm;Sony Ericsson Device 0A1 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\sea1mdm.sys
S3 sea1mgmt;Sony Ericsson Device 0A1 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\sea1mgmt.sys
S3 sea1nd5;Sony Ericsson Device 0A1 USB Ethernet Emulation SEMCA1 (NDIS);C:\WINDOWS\system32\DRIVERS\sea1nd5.sys
S3 sea1obex;Sony Ericsson Device 0A1 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\sea1obex.sys
S3 sea1unic;Sony Ericsson Device 0A1 USB Ethernet Emulation SEMCA1 (WDM);C:\WINDOWS\system32\DRIVERS\sea1unic.sys
S4 Windows-CCHook-Service;Windows-CCHook-Service;C:\WINDOWS\system32\cchservice.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp


[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{16F67C8D-D418-81FA-0503-020807070307}]
C:\WINDOWS\system32\runup2345.exe
.
Inhalt des "geplante Tasks" Ordners
"2007-10-26 15:16:36 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
"2007-09-15 06:11:03 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1239 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-10-29 15:18:35
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2007-10-29 15:19:43 - machine was rebooted
.
--- E O F ---

 

[raman]

Ja, ist/war ein Bagle.
Da sind noch einige Dateien, die du bei http://www.virustotal.com/ pruefen solltest

C:\WINDOWS\YourScreen Saver.scr
C:\WINDOWS\dummy.exe

Den Inhalt von C:\WINDOWS\ftpcache solltest du dir auch noch ansehen.

Wichtig ist bei Bagle infektionen, das man alle Passworte und aehnliche Sicherheitsrelevanten Dinge aendert, da davon auszugehen ist, das alle diese Informationen von Bagle verschickt wurden.

Im Zweifelsfalle asollte man den Rechner zusaetzlich noch neu aufsetzen...

 

[FinalSolution]

also installieren kann ich wieder alles, einziges problem was noch besteht, ich komm nicht mehr in den abgesicherten modus, es läd kurz eine driver datei, dann kommt nen bluescreen und der laptop wird neu gestartet... gibts da noch ne lösung ?

 

[raman]

DAs ist eine Nachwirkung von Bagle. Combofix sagt ja auch:
"SafeBoot Registrierungsschlüssel muss repariert werden. Dieser PC kann nicht im abgesicherten Modus starten."

Du kannst hier eine Zip Datei Herunterladen: http://blog.didierstevens.com/2007/02/19/restoring-safe-mode-with-a-reg-file/

Starte die im zip enthaltene safeboot.reg und fuege sie der Registrierung hinzu. Dann sollte der Abgesicherte Modus wieder funktionieren.

Denke an die Dinge, die ich vorhin wegen der Passworte usw schrieb!

Achso, wenn du nicht neu aufsetzen moechtest, denke daran, www.windowsupdate.com zu besuchen und alle ausstehenden wichtigen Updates zu installieren!

 

[FinalSolution]

danke für deine große hilfe naja systemneuaufsetzen wollt ich nicht, läuft ja wieder alles wies soll also thx nochmal