nicht zu entfernendes Ungeziefer

Ach ja noch was der Trojaner hat meinen Desktop blau gemacht mit der Meldung
"A fatal error has occured in IE at [...] Error was caused by Trojan-Spy.html.smitfraud.c"
*System can not function in normal mode
Please check your security settings
*Scan your PC with any available antivirus/spyware remover program to fix the problem.

Nach dem das kam war auch eine DesktopVerknüpfung zu einem Programm names PSGuard da, da ich es aber nicht kannte und für Malware hielt hab ich es deinstalliert.

Hast du dein Virenscanner denn auch aktuallisiert?
Hast du nach dem du die Einträge bei Hijackthis gefixt hast sie auch im abgesichertem Modus gelöscht?

Zitat von daylifecom

Hast du dein Virenscanner denn auch aktuallisiert?
Hast du nach dem du die Einträge bei Hijackthis gefixt hast sie auch im abgesichertem Modus gelöscht?

AntiVir aktualisiere ich so gut wie täglich.
Aber ich hab nichts im abgesicherten Modus gelöscht. Hab ich auch noch nie gemacht und Hijackthis hat trotzdem Sachen gelöscht. Wenn ich die Eintröge mit Hijackthis im abgesicherten Modus fixe findet er sie nicht gleich wieder danach aber wie lösche ich die dann?

also die Trojaner bin ich glaube ich über den abgesicherten Modus losgeworden, aber mein Desktop ist immer noch blau und hat die Message drauf. Wenn ich Rechtsklick auf dem Desktop mache habe ich nur noch Bildschirmschoner und Einstellungen.
und die readme.exe ist auch noch da.....

Das nervt total, also wenn jemand was weiß, wäre ich sehr dankbar

AntiVir aktualisiere ich so gut wie täglich.
Aber ich hab nichts im abgesicherten Modus gelöscht. Hab ich auch noch nie gemacht und Hijackthis hat trotzdem Sachen gelöscht. Wenn ich die Eintröge mit Hijackthis im abgesicherten Modus fixe findet er sie nicht gleich wieder danach aber wie lösche ich die dann?

Du musst sie erst Fixen und anschließend erst im Abgeischerten Modus löschen. Aber mit der Anleitung sollte es ja klappen.

Tja die Anleitung hilft mir leider nicht so viel weil alle darin genannten Dateien gar nicht auf meinem PC sind....
Wie gesagt die Virusmeldungen sind auch weg. Hijackthis log wird mir unter der https://www.hijackthis.de/ als alles sauebr angezeigt.
Mein Problem ist nur noch dass der Desktop Hintergrund noch immer die blaue Warnmeldung ist. Die kommt anscheinend vom Trojaner selber hab ich irgendwo gelesen.

Jo genau so kannste es machen, wenn noch was ist, dann poste einfach.

Zitat von Brumbator

Wenn ich Rechtsklick auf dem Desktop mache habe ich nur noch Bildschirmschoner und Einstellungen.

Das is es eben.... Desktop is da nicht mehr drin in den Eigenschaften von Anzeige. Nur noch diese 2 Sachen eben. Die Readme.exe konnte ich mit KillBox wenigstens löschen

Desktop is da nicht mehr drin in den Eigenschaften von Anzeige

Das kannst du wieder einschalten. Über gpedit.msc aber da müsste dir jemand anders weiterhelfen, weil ich auf der Arbeit momentan nicht auf gpedit zugreifen kann und dir den genaue Pfad nicht sagen kann.

@Nikki
leider nicht drin
@computerdirk
muss man dafür nicht Wiederherstellungspunkte gemacht haben?

Wiederherstellungspunkte setzt WinXXP eigentlich von selber.

hat auch nichts geändert, auch nicht nach einem Neustart.....
Wie müsste ich eine Systemwiederherstellung denn angehen. Mal nicht über Systemeigenschaften -> Systemwiederherstellung

ne ich meinte die Sache mit dem Registry-Eintrag.
Vielleicht hilfts ja was: immer wenn der Bildschirmschoner angeht kommt noch eine Virusmeldung, die ich nicht beseitigen kann.

beide dateien nicht vorhanden

Hi
Geh doch:
Start =>Ausführen=>mscongfig=>Dienste=>den Eint´rag entfernen


Mit freundlichen Grüßen
misskissyou


P.S.Kannst du bitte dein Logfile hier reinstellen ??Das wär sehr gut!

Also ich würde Dirk zustimmen... Reperatur über WinXP Setup-CD

also ich hab das mit dem Desktop in den Griff bekommen, ein ominöses wo.jpg gelöscht und einen Ordner names !Submit der auf C: war, in dem der gesamte Inhalt meines Desktops war auch erst mal verschoben und dann auch gelöscht. Das einzigste was jetzt noch nicht stimmt ist wenn ich Rechtsklick auf dem Destop mache werden mir in den Anzeigeeigenschaften nur noch 3 Reiter angezeigt: Desktop, Bildschirmschoner und Einstellungen. Anpassen fehlt zum Beispiel

Dann mach mal folgendes:

Start -> Ausführen -> gpedit.msc

Dort unter

Benutzerkonfiguration -> Administrative Vorlagen -> Systemsteuerung -> Anzeige

einen Doppelklick auf Registerkarten "Darstellung" und "Design" ausblenden

und auf nich konfiguriert setzen oder auf deaktiviert. Dann sollten die Reiter wieder da sein.

Vielen Dank, daylifecom! hat funktioniert!!

Nachdem ich jetzt wieder beim Öffnen jedes Programms AntiVir Meldungen kriege ist hier mal meine log file:

Logfile of HijackThis v1.99.1
Scan saved at 15:31:50, on 13.07.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.t-online.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: AVGNT.EXE.lnk = C:\Programme\AVPersonal\AVGNT.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{D36A178C-74FD-4364-9145-50C158C0295E}: NameServer = 217.237.150.141 217.237.150.97
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\SYSTEM32\OLEADM.DLL

Is the Trojan horse TR/Agent.FF

So zum Beispiel, sind aber immer andere, Adaware, Spybot und a² finden nichts....

C:\Windows\System32\wldr.dll

Troj/FakeAle-D

Troj/FakeAle-D, ein Windows-Trojaner, verfügt über die Fähigkeit zum Verändern von Browser-Einstellungen und zum Anzeigen gefälschter Meldungen als Windows-Desktop-Hintergrundbild. Das Bild zeigt einen blauen Bildschirm und folgenden Text:

Security warning

A fatal error in IE has occured at 0028:C0011E36 in VXD VMM(01) +
00010E36. Error was caused by Trojan-Spy.HTML.Smitfraud.c

* System can not function in normal mode.
Please check you security settings.
* Scan your PC with any avaliable antivirus / spyware remover
program to fix the problem.

Sobald Troj/FakeAle-D installiert ist, werden folgende Dateien erstellt:

<System>\wldr.dll
<Root>\wp.bmp
<Root>\wp.exe

Ich schätze, dass ich genau den hatte, aber keine der 3 Dateien ist mehr da....
Und die Virusmeldungen häufen sich so wie auch im anderen Thread beschrieben

Guck mal hier:
https://www.sophos.de/virusinfo/analyses ... ealed.html