Wie bekomme ich ein SpamProgramm weg?

[AMrK]

Also das Problem ist:
Mein Freund hat auf einmal auf sein Notebook plötzlich ein Spamprogramm...
Es kommen zwischendurch immer Fenster mit Nachrichten das er Viren hat und auf Ok klicken soll um sich kostenlos eine Version von "Ultimate Cleaner 2007" downloaden. Dann gibts auch noch ein zweiten Spam, der versteckt sich unten im Tray als Fehler-zeichen... Er hatte inzwischen auch schon ein Programm wo es so aussah als ob sein Desktop ein Werbeplakat wär und wenn er daufklickt er zur Homepage von AntiViren-Programme kommt (war aber nur ein Program was sich schließen ließ). Sogar die Startseite von seinem Internetexplorer wurde geändert...
Ich selbst hatte das Problem auch es hat bei mir wie auch bei ihm den Rechner extrem verlangsamt... Ich hab bei mir dann einfach die wichtigsten Daten kopiert und dann Windows neuinstalliert...
Bitte helft😢😢😢

 

[T-Bone]

Moin und herzlich willkommen bei PCMasters 😉

Also tu deinen Virenscanner aktualisieren und dann check deine komplette Platte nach Viren und tu alle löschen die gefunden werden.

Danach nimm ein Antispywareprogramm zur Hand z.B. Spybot-Search and Destroyed und tu damit alle Spyware entfernen.

Lad dir danach HijackThis runter und checke damit deinen Computer.

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

Liebe Grüße,
T-Bone

 

[AMrK]

Danke werds probieren


EDIT (autom. Beitragszusammenführung):


Ok...
Es ist fast alles weg bis auf das im Tray und das alle 10 Min dann eben die Nachricht kommt...
Und hab nicht wirklich verstanden wie das Hijack funktioniert😕

 

[z0Ink]

Du öffnest Hijackthis und dann Do a System Scyn and Save Logfile. Dann kopierst du das und fügst das dann

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

ein. dann auf Auswerten und fertig. kannst das ergebniss dann auch hier posten.

 

[Sala]

*hüstel*

Hijack This erstellt Infos und eine Datei über alle Prozesse, die beim Systemstart ausgeführt werden.
Das muss natürlich noch analysiert werden. Du kannst, wie schon gesagt, das Logfile hier posten oder du gehst damit zur kostenlosen automatischen Logfileauswertung ->

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

und schaust, was das ist.

Anschliessend, wenn du Bescheid weisst, wo der Übeltäter sitzt, kannst du den entsprechenden Task mit Hijack This entfernen. Geht es nicht, versuchs im abgesicherten Modus, denn manche Browser-Hijacker sind doch ganz schön resistent.

 

[z0Ink]

Aber da du nicht so viel Ahnung davon zu haben scheinst, empfehle ich dir das du das hier postest und wir werten das dann aus und können dir sagen was du machen musst.

 

[z0Ink]

Hier ist nichts böses zu sehen. Sollte alles passen.

 

[z0Ink]

ja und genau das ist das Problem. Das sind alles Hotlinks die du entfernen musst. Die sind hier verboten. Lösche deine Beiträge einfach mal und stelle nur die nicht ausgewertete Logfile hier rein. Geht auch so. Können das ja dann auch anschauen.

 

[AMrK]

So alles gelöscht und hier ist die Log-Auswertung:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:54:27, on 07.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\CA\eTrust Antivirus\InoRpc.exe
C:\Programme\CA\eTrust Antivirus\InoRT.exe
C:\Programme\CA\eTrust Antivirus\InoTask.exe
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Sceneo\AbsolutTV\Services\PVR\PVRService.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\OSD.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Sceneo\AbsolutTV\SERVICES\ODSBC\ODSBCApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\wanmpsvc.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext =

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: MSVPS System - {3ADCBC16-19FA-4C59-9C22-E17C71B5FD7A} - C:\WINDOWS\bndsrdkq.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: The netadv - {ABF529BE-6245-465A-BBD4-238C4EAB0F0A} - C:\WINDOWS\netadv.dll
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [OSD] C:\Programme\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TVBroadcast] C:\Programme\Sceneo\AbsolutTV\SERVICES\ODSBC\ODSBCApp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: PowerReg Scheduler V3.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {A4E622F2-E8B8-4D8A-85BF-BEF80767C7C4} -

Du hast keine Berechtigung, den Link zu sehen, bitte Anmelden oder Registrieren

(file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O21 - SSODL: msvb - {362B27E1-C2AE-401F-AEF3-AB9008032C50} - C:\WINDOWS\msvb.dll
O21 - SSODL: sysdx - {D6772E51-170D-4F9A-A098-6369BCA77996} - C:\WINDOWS\sysdx.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: CA License Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA License Server (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoTask.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Event Log Watch (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: T-Online WLAN Adapter Steuerungsdienst (MZCCntrl) - Deutsche Telekom AG, Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Sceneo PVR Service (srvcPVR) - Buhl Data Service GmbH - C:\Programme\Sceneo\AbsolutTV\Services\PVR\PVRService.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 6609 bytes

 

[z0Ink]

Die beiden die als äuserts schädlich gekennzeichnet sind, solltest du umbedingt fixen. bei dden zwei schädlichen weiß ich nicht

 

[AMrK]

ok danke probiers grad ma


EDIT (autom. Beitragszusammenführung):


mhh... also:
Das Hintergrund bild kam nach dem Neustart wieder, die drei Verknüpfungen auf dem Desktop die zu Downloadseiten füren sind da, es öffnet sich immer noch einfach so eine Downlaodseite und das X rechtsunten im Tray blinkt immer noch :/

 

[z0Ink]

Was hast du alles gefixed mit Hijackthis?

 

[AMrK]

die äuserts schädlich und grad hab ich die schädlichen gelöscht und starte neu...


EDIT (autom. Beitragszusammenführung):


so jetzt sind nurnoch die 3 verknüpfungen auf dem desktop... bis jetzt ist noch nichts anderes passiert... ich geh jetzt erstma off wenn wieder was kommt schreib ich morgen nochma
Danke nochma für die Hilfe:bigok: