Hilfe, Desktop bleibt nach TR-Entf. leer !!!!!

    HI,Leute,
    Habe ein großes Problem, Antivir hat einen Trojaner namens\Startpage.VO.2 der sich in der C:\windows\System32\KB32.EXE versteckt gefunden, Antivir kann ihn nicht löschen weil die Datei gelockt ist, aber man sollte das System herunterfahren und neu starten dann wäre der TR entfernt. Nun habe ich alles gemacht, Win-XP SP 1 Pro startet mit Willkommen-BS und gibt noch das Hintergundbild und das war es dann, keine TASKLEISTE mehr, KEINE PROGRAMMLEISTE mehr, KEINE ICONS mehr am DESKTOP. Kann aber mit der STRG+ALT+ENTF den Taskmanger öffnen und dort über Arbeitsplatz und div. Ordner die einzelnen Prgramme wieder aufrufen. Eine zwischenzeitliche Systemwiederherstellung hat zwar den DESKTOP wiederhergestellt aber jedoch der TR ist noch immer vorhanden, habe auch versucht einen früherern Wiederherstellungspunkt (also vor dem TR-Befall) zu setzen was den gleichen Erfolg wie oben beschrieben ergab.
    Ich bin für jede Hilfe dankbar
    obelix 99

    Hallo,
    erstmal - wieviel Ahnung hast du vom Pc? Kennst du abgesicherten Modus, die Registry, Autostarteinträge?
    Wenn Ahnung vorhanden:
    Boote in den abgesicherten Modus, lösche die kb32.exe und den Registryeintrag "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.ex", boote ins normale Windows und mach den Sicherheitscheck aus meiner Signatur. Infos zum Trojaner: http://www.sophos.de/virusinfo/analyses/trojmalchea.html

    Wenn wenig Ahnung vorhanden:
    Poste ein Logfile von HijackThis. Anleitung findest du im Link "Sicherheitscheck" in meiner Signatur.

    hyrican

    Man muß nicht alles wissen,man muß nur wissen wo man es findet!!!Kein Support per PN!!!

    Hi, hyrican !

    Zuerst danke für die schnelle Anwort, also ich kenne mich so recht und schlecht aus, d.h. die Funktion der Registry ist mir so ziemlich geläufig, doch weitere arbeiten innerh. v. Win sind mir weitgehend unbekannt.
    Um nichts falsch zu machen habe ich das empfohlene Logfile von HiJack This durchgeführt und stelle das hier rein zur weiteren Verwendung:
    Logfile of HijackThis v1.99.1
    Scan saved at 22:57:17, on 21.04.2005
    Platform: Windows XP SP1 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\System32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\Programme\AVPersonal\AVGUARD.EXE
    C:\Programme\AVPersonal\AVWUPSRV.EXE
    C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
    C:\WINDOWS\Explorer.EXE
    C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
    C:\Programme\Analog Devices\SoundMAX\Smax4.exe
    C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
    C:\Programme\AVPersonal\AVSCHED32.EXE
    C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe
    C:\Programme\Spyware Nuker 2004\swn2.exe
    C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
    C:\Programme\AVPersonal\AVGNT.EXE
    C:\WINDOWS\System32\ctfmon.exe
    C:\Programme\Hewlett-Packard\AiO\hp psc 900 series\Bin\hpobrt07.exe
    C:\Programme\Motherboard Monitor 5\MBM5.exe
    C:\Programme\TraXEx\TraXEx.exe
    C:\Programme\Zone Labs\ZoneAlarm\zapro.exe
    C:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe
    C:\WINDOWS\System32\hpoipm07.exe
    C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe
    C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOFXM07.exe
    C:\Programme\Internet Explorer\iexplore.exe
    C:\Programme\Outlook Express\msimn.exe
    C:\WINDOWS\regedit.exe
    C:\Programme\Real\RealPlayer\RealPlay.exe
    D:\Entpacker 1\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aon.at/portal
    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.aon.at/portal
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search-links.net
    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search-links.net/?my= (obfuscated)
    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://search-links.net/?my= (obfuscated)
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.aon.at/portal
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.aon.at/portal
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=proxy.aon.at:8080;http=proxy.aon.at:8080
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.aon.at
    R3 - Default URLSearchHook is missing
    F2 - REG:system.ini: UserInit=Userinit.exe,TGBRFV_
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
    O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
    O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
    O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
    O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSCHED32.EXE /min
    O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
    O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKLM\..\Run: [Spyware Nuker] C:\Programme\Spyware Nuker 2004\swn2.exe /h
    O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
    O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
    O4 - Global Startup: HPAiODevice(hp psc 900 series) - 1.lnk = C:\Programme\Hewlett-Packard\AiO\hp psc 900 series\Bin\hpobrt07.exe
    O4 - Global Startup: MBM 5.lnk = C:\Programme\Motherboard Monitor 5\MBM5.exe
    O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
    O4 - Global Startup: TraXEx 3.0.lnk = C:\Programme\TraXEx\TraXEx.exe
    O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Programme\Zone Labs\ZoneAlarm\zapro.exe
    O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\http://EXCEL.EXE/3000
    O9 - Extra button: Corel Network monitor worker - {5C28F76B-D487-4C77-9BD7-668E093137D4} - (no file)
    O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {5C28F76B-D487-4C77-9BD7-668E093137D4} - (no file)
    O9 - Extra button: IE-Spuren löschen - {6C7C0C9A-B51D-4ADB-A74D-C4E33744F866} - C:\Programme\TraXEx\Integration\TraXEx 3.0 Internet Explorer.lnk
    O9 - Extra button: Löschautomat - {8DA7743F-9274-4BE8-899E-C0FF6ED61B00} - C:\Programme\TraXEx\Integration\TraXEx 3.0 Löschautomat.lnk
    O9 - Extra button: Corel Network monitor worker - {5C28F76B-D487-4C77-9BD7-668E093137D4} - (no file) (HKCU)
    O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {5C28F76B-D487-4C77-9BD7-668E093137D4} - (no file) (HKCU)
    O13 - DefaultPrefix: http://%73%65%61%72%63%68%2D%6C%69%6E%6B%73%2E%6E%65%74/?my=
    O13 - WWW Prefix: http://%73%65%61%72%63%68%2D%6C%69%6E%6B%73%2E%6E%65%74/?my=
    O16 - DPF: {15320607-1001-1831-1000-118599957123} - ms-its:mhtml:file://C:\path.mht!http://64.200.26.76/d1/arctaa.chm::/painter.exe
    O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540006} (CInstall Class) - http://www.errorguard.com/installation/Install.cab
    O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedCo…bin/AvSniff.cab
    O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedCo…n/bin/cabsa.cab
    O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab
    O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
    O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Sec…loadManager.ocx
    O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/SharedCo…n/bin/cabsa.cab
    O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IP-Uploader Control) - http://asp02.photoprintit.de/microsite/defa…geUploader3.cab
    O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/de/check/qdiagh.cab?319
    O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc…463/mcfscan.cab
    O17 - HKLM\System\CCS\Services\Tcpip\..\{080EBF44-5192-4E22-8783-57E16D95091C}: NameServer = 195.3.96.67 195.3.96.68
    O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
    O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
    O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
    O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
    O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
    O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
    O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

    Ich hoffe man kann damit etwas anfangen !

    obelix 99 :)

    OK, bin schon mal froh das du etwas Ahnung hast, das macht es leichter.
    Folgendes fixe bitte in HijackThis:
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search-links.net
    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search-links.net/?my= (obfuscated)
    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://search-links.net/?my= (obfuscated)
    Dann boote in den abgesicherten Modus( beim booten F8 drücken) und lösch die kb32.exe. Dann (immer noch im abgesicherten Modus) mußt du in die Registry und besagten Eintrag löschen. Hier nochmal der komplette Eintrag: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe ( das ist wichtig weil sonst beim booten der Explorer nicht mehr anspringt). Dann kannst du wieder ins Windows booten. Schau dir auf dem Sophos-Link die Seite "erweitert" an dort gibts noch mehr Infos was dieser Trojaner so macht. Der Sophos-Link ist auch interessant( dort besonders der Reiter"erweitert"). Kannst auch weiter hier nachfragen wenn was unklar ist.
    Ich muß jetzt ins Bettchen, halb 5 ist die Nacht zu ende, hoffe aber fürs erste geholfen zu haben. Ich schau morgen wieder rein und hoffe eine "Trojaner ist weg"-Meldung von dir lesen zu können.

    hyrican

    Man muß nicht alles wissen,man muß nur wissen wo man es findet!!!Kein Support per PN!!!

    An HYRICAN !!

    Habe deine Tipps befolgt und der lästige Trojaner ist weg, nochmals recht herzliches Danke aus Österreich.
    Es ist nur schade das ich mich nicht persönlich bedanken kann.

    Nochmals danke

    obelix99