[Webshot]

Hi leut,
ich hab gerade anti vir durchlaufen lassen und der hat gesagt das ein archiv namens Dc6 bzw.7 ein virus oder unerwünschtes programm ist. ich kenne mich da nicht so gut aus weil ich noch keinen virus ect. hatte. bei anti vir stand oben Worm/Alcra.B

bitte hilft mir

[flo]

Hallo

Poste bitte mal ein Hijackthis.log

[Webshot]

Hä wie meinst du das?

[flo]

Du lädst dir von

www.hijackthis.de das Programm Hijackthis runter, entpackst es, führst es aus, und Postest die Logdatei die das Programm erstellt hier ins Forum.

[Webshot]

Logfile of HijackThis v1.99.1
Scan saved at 20:56:06, on 21.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\VIA Technologies, Inc\Audio Deck\ADeck.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Musicmatch\Musicmatch Jukebox\MMDiag.exe
C:\Programme\MusicMatch\MusicMatch Jukebox\mim.exe
C:\PROGRA~1\GEMEIN~1\PHILIP~1\USBCON~1.EXE
C:\Programme\AVPersonal\AVWIN.EXE
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\kernel.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\ICQLite\ICQLite.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Armin\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wwe-germany.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: WebSpeechBHO Class - {83A30C59-3A50-49E6-9DAF-4923C4EA3C23} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Programme\VIA Technologies, Inc\Audio Deck\ADeck.exe
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [MimBoot] C:\Programme\Musicmatch\Musicmatch Jukebox\mimboot.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [VVSN] C:\Programme\VVSN\VVSN.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: WebSpeech - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O9 - Extra 'Tools' menuitem: Seite/Markierung vorlesen (WebSpeech) - {1CE4DE72-7FCC-4eb8-8F66-AE6A56A0A54D} - C:\Programme\Gemeinsame Dateien\WebSpeech.4.0\LgxIEBar.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O15 - Trusted Zone: *.musicmatch.com
O15 - Trusted Zone: *.musicmatch.com (HKLM)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1095424330599
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq....yssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4F907E2-1009-4184-B712-D3528EA8334F}: NameServer = 217.237.151.97 217.237.150.141
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[Win-Fan]

Hier die Logfile-Auswertung

Zu deinem Wurm W32/Alcra-A (Sophos)

Dieser Beitrag wurde von Win-Fan bearbeitet: 21. Januar 2006 - 21:58

[Webshot]

ok thx
und dann die "bösen" dateien einfach markieren und fixen oder?

[Win-Fan]

Zitat (Webshot: 21.01.2006, 21:23)

ok thx
und dann die "bösen" dateien einfach markieren und fixen oder?

Ja.
Schau nochmal hier wegen deinem Wurm nach. W32.Alcra.B Remover (hijackthis-forum)

Dieser Beitrag wurde von Win-Fan bearbeitet: 21. Januar 2006 - 21:59

[Webshot]

ich habe anti vir gerade nochmal durchlaufen lassen aber er findet immer noch die datei Dc5 6 und 7 und sagt das das ein wurm ist.
obwohl ich alles gemacht hab. und wenn ich in der suche die datei eingebe dann findet er nix

[flo]

Hallo


Hast du auch im Abgesicherten Modus gefixt?


Wenn nicht solltest du das tun, und vorher die systemwiederherstellung Deaktivieren.

Aber das vernünftigste wäre das System neu aufzusetzen, da dein System kompromittiert ist.

Hier findest du wichtige Infos dazu

Erklärungen & How To's

[Webshot]

äm mir ist noch was eingefallen. und zwar zeigt anti vir an dass die viren in einem zip dokument sind. vielleicht hab ich keinen virus weil sie vielleicht nicht entpackt sind. aber bei der suche finde ich sie nicht
außerdem habe ich noch was gefunden ich kopiere es von dem anti vir bericht:

C:\RECYCLER\S-1-5-21-1177238915-789336058-1343024091-1004
Dc11.zip
ArchiveType: ZIP
--> setup.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.IstBar.IT
Dc6.zip
ArchiveType: ZIP
--> Movie.exe
[FUND!] Enthält Signatur des Wurmes WORM/Eyeveg.m.5.A
Dc7.zip
ArchiveType: ZIP
--> Setup.exe
[FUND!] Enthält Signatur des Wurmes WORM/Alcra.B

Dieser Beitrag wurde von Webshot bearbeitet: 25. Januar 2006 - 17:34

[Win-Fan]

Zitat (Webshot: 25.01.2006, 16:32)

C:\RECYCLER\S-1-5-21-1177238915-789336058-1343024091-1004

Ungefährlich, aber dennoch löschen. Sind nur alte Dateileichen die dir angezeigt werden.

Im Windows Explorer => in der Menüleiste auf Extras => Ordneroptionen => Ansicht => Geschützte Systemdateien ausblenden (empfohlen) Häkchen entfernen => OK
In dem jetzt im Explorer erscheinenden Verzeichis RECYCLER, den entsprechenden Ordner (alle anderen "Ordner" auch gleich)"S-1-5-21-1177238915-789336058-1343024091-1004" löschen (Administratorrechte erforderlich).

Jetzt sollten diese "Dateileichen" auch nichtmehr gemeldet werden.

Dieser Beitrag wurde von Win-Fan bearbeitet: 25. Januar 2006 - 21:54