Neuer Virus

@ 4damind

die sitzen

C:Dokumente und EinstellungenRoVe the OneLokale EinstellungenTemp

PS
gibs das auch in Deutsch

oder ein Tool so das ich es verstehen kann, bei Google der übersetzt einz zu einz und das kann man nicht verstehen.
 
Haste schon die Boot-[g=420]CD[/g] getestet?
Und haste geschaut, ob du SP1 hast?
 
Man ich weiß nicht ob ich sp1 drauf habe, in mein Windows steht was in blau von sp1,
Rechtsklick auf Arbeitsplatz, eigenschaften da steht nix!!!!

dann wie geht ne Boot [g=420]CD[/g]
und welches Programm soll rauf

Sorry...
 
2.)Such die Registry durch (gib mal den namen der exe an oder so) (vielleicht kommt der Viri ja auch als Dienst daher !!!) einfach alle Einträge in der Reistry löschen

Mach das blos nicht !!!!!!!!!!!!!!

Auf die Art machst Du unter umständen noch mehr kaputt als es eh schon ist.

Ich würde Dir vorschlagen Dir jemanden aus Deinem Bekanntenkreis zu holen, der sich was besser mit der Materie auskennt und dann evtl. eine saubere Neuinstalation in erwägung ziehen.

Und wenn Win dann mit den wichtigsten Programmen steht, mach Dir ein Image!

Gruß
 
hab schon so einige malware und viris verscheuchen können !!!!
Da sollte man trotz allem genau wissen was man tut, sonst zerschiesst Du Dir ganz schnell die Registry und dann wars das...;)
 
Habe ich auch noch nicht gemacht !!!!!!
 
Tipp:

in der Registry verstecken sich die Programme häufig unter:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

bzw

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun


da kann man auch schaun was so alles beim start geladen wird.
 
http://www.planetmirror.com/pub/ubcd/3.4/ubcd34-basic.zip
Runterladen, Entpacken und mit Nero brennen.
Von der Registry würde ich lieber auch fern bleiben, wenn du nich weißt, was welcher Schlüssel macht.

Aber das Beste iss wirklich, du suchst dir jemanden, der dir vor Ort helfen kann.
 
Es geht darum das dieser Trojaner einen eigenen Dienst mitbringt und der nennt sich wohl smss.exe und heisst damit genauso wie der gleichnamige (korrekte) Dienst von Windows. Der Unterschied ist nur das smss.exe sich regular unter C:WindowsSystem32smss.exe befindet. Du solltest mal gucken ob du diese Datei bei dir auch unter C:WindowsSystem hast (ohne die 32 am Ende).

In diesem Forum steht ein Workaround... Als erste muss in der Registry der Key gelöscht werden und das kann du mit dem Programm machen was dir auch hier schon empfohlen worden ist "Hijackthis". Der scannt ja deine Registry und wenn es dort einen Key mit smss.exe im Namen gibt der auf C:WindowsSystem verweist hast du schon den falschen Dienst gefunden... Dieser Eintrag müsste gelöscht werden. Dann soll man in den abgesicherten Modus starten und die Datei unter C:WindowsSystemsmss.exe löschen (bzw. umbenennen oder verschieben). Fertig!

Dieser Smss.exe Dienst ist normalerweise der Sitzungsmanager der von Windows gestartet wird. Der Trojaner wird halt eine umgebaute Version da hinterlassen haben, die dann automatisch den Server startet oder andere Dinge anstellt.

Normalerweise sollten die Virenscanner den schon komplett entfernen können bzw. Tools wie Windows Defender... Warum das wohl nicht passiert bei dir ist komisch. Vielleicht ist er noch zu neu?
 
Habe ich gefunden smss___ ohne 32
 
Aber Achtung:
Es geht NUR um die Datei windowssystemsmss.exe

Die Datei windowssystem32smss.exe darfst du NICHT anrühren. Aber die wird ja sicher sowieso durch Windows gesperrt worden sein.
 
Logfile of HijackThis v1.99.1
Scan saved at 22:32:01, on 25.08.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSSystem32Ati2evxx.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32Ati2evxx.exe
C:WINDOWSExplorer.EXE
C:WINDOWSsystem32spoolsv.exe
C:programmeATI TechnologiesATI Control Panelatiptaxx.exe
C:programmeCreativeShared FilesModule LoaderDLLML.exe
C:programmeGemeinsame DateienRealUpdate_OBrealsched.exe
C:programmeTVRRecSche.exe
C:WINDOWSCTHELPER.EXE
C:programmeUnlockerUnlockerAssistant.exe
C:pROGRA~1GrisoftAVGFRE~1avgcc.exe
C:programmeCreativeSBAudigy4DVDAudioCTDVDDET.EXE
C:programmeCreativeSBAudigy4Surround MixerCTSysVol.exe
C:programmeSoftwinBitDefender9bdnagent.exe
C:programmeSoftwinBitDefender9bdswitch.exe
C:WINDOWSSystem32svchost.exe
C:programmeTGTSoftStyleXPStyleXP.exe
C:programmeMessengermsmsgs.exe
C:programmeCreativeMediaSourceDetectorCTDetect.exe
C:programmeMySpaceIMMySpaceIM.exe
C:programmeAntiVir PersonalEdition Classicsched.exe
C:pROGRA~1GrisoftAVGFRE~1avgamsvr.exe
C:pROGRA~1GrisoftAVGFRE~1avgupsvc.exe
C:pROGRA~1GrisoftAVGFRE~1avgemc.exe
C:WINDOWSSystem32CTsvcCDA.EXE
C:WINDOWSSystem32lvhidsvc.exe
C:programmeGemeinsame DateienSoftwinBitDefender Communicatorxcommsvr.exe
C:WINDOWSSystem32svchost.exe
C:programmeInternet ExplorerIEXPLORE.EXE
C:programmeGemeinsame DateienSoftwinBitDefender Update Servicelivesrv.exe
C:programmeGemeinsame DateienSoftwinBitDefender Scan Serverbdss.exe
C:programmeSoftwinBitDefender9vsserv.exe
c:programmesoftwinbitdefender9bdmcon.exe
c:programmesoftwinbitdefender9bdlite.exe
C:Dokumente und EinstellungenRoVe the OneDesktopHijackThis.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://google.de/
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,AutoConfigURL = file://C:programmeWinSweepws.js
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:programmeAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O2 - BHO: My Global Search Bar BHO - {37B85A21-692B-4205-9CAD-2626E4993404} - C:programmeMyGlobalSearchbar2.binMGSBAR.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:programmegooglegoogletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:programmegooglegoogletoolbar1.dll
O3 - Toolbar: My Global Search Bar - {37B85A29-692B-4205-9CAD-2626E4993404} - C:programmeMyGlobalSearchbar2.binMGSBAR.DLL
O3 - Toolbar: (no name) - {EA0D26BD-9029-431A-86E0-83152D67828A} - (no file)
O4 - HKLM..Run: [ATIPTA] C:programmeATI TechnologiesATI Control Panelatiptaxx.exe
O4 - HKLM..Run: [AudioDrvEmulator] "C:programmeCreativeShared FilesModule LoaderDLLML.exe" -1 AudioDrvEmulator "C:programmeCreativeShared FilesModule LoaderAudio EmulatorAudDrvEm.dll"
O4 - HKLM..Run: [TkBellExe] "C:programmeGemeinsame DateienRealUpdate_OBrealsched.exe" -osboot
O4 - HKLM..Run: [avgnt] "C:programmeAntiVir PersonalEdition Classicavgnt.exe" /min
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSSystem32NeroCheck.exe
O4 - HKLM..Run: [RecSche] "C:programmeTVRRecSche.exe"
O4 - HKLM..Run: [WinDVRCtrl] C:WINDOWSWDVRCtrl.exe
O4 - HKLM..Run: [ScanRegistry] C:W
O4 - HKLM..Run: [CTHelper] CTHELPER.EXE
O4 - HKLM..Run: [UpdReg] C:WINDOWSUpdReg.EXE
O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k
O4 - HKLM..Run: [UnlockerAssistant] "C:programmeUnlockerUnlockerAssistant.exe"
O4 - HKLM..Run: [AVG7_CC] C:pROGRA~1GrisoftAVGFRE~1avgcc.exe /STARTUP
O4 - HKLM..Run: [CTDVDDET] C:programmeCreativeSBAudigy4DVDAudioCTDVDDET.EXE
O4 - HKLM..Run: [CTSysVol] C:programmeCreativeSBAudigy4Surround MixerCTSysVol.exe /r
O4 - HKLM..Run: [RCSystem] "C:programmeCreativeShared FilesModule LoaderDLLML.exe" RCSystem * -Startup
O4 - HKLM..Run: [.nvsvc] C:WINDOWSsystemsmss.exe /w
O4 - HKLM..Run: [BDMCon] "C:programmeSoftwinBitDefender9bdmcon.exe"
O4 - HKLM..Run: [BDNewsAgent] "c:programmesoftwinbitdefender9bdnagent.exe"
O4 - HKLM..Run: [BDSwitchAgent] "c:programmesoftwinbitdefender9bdswitch.exe"
O4 - HKCU..Run: [STYLEXP] C:programmeTGTSoftStyleXPStyleXP.exe -Hide
O4 - HKCU..Run: [MSMSGS] "C:programmeMessengermsmsgs.exe" /background
O4 - HKCU..Run: [Creative Detector] C:programmeCreativeMediaSourceDetectorCTDetect.exe /R
O4 - HKCU..Run: [MySpaceIM] C:programmeMySpaceIMMySpaceIM.exe
O4 - HKCU..Run: [updateMgr] "C:programmeAdobeAcrobat 7.0ReaderAdobeUpdateManager.exe" AcRdB7_0_7 -reboot 1
O4 - HKCU..Run: [SpybotSD TeaTimer] C:programmeSpybot - Search & DestroyTeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:programmeAdobeAcrobat 7.0Readerreader_sl.exe
O8 - Extra context menu item: &Google-Suche - res://C:programmeGoogleGoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:programmeGoogleGoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:programmeGoogleGoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://C:programmeGoogleGoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:programmeGoogleGoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:WINDOWSwebrelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:WINDOWSwebrelated.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1148991948842
O16 - DPF: {D2982A7F-489A-47F5-A319-FC1F14EBC245} (Navigator Class) - http://www.nutzwerk.de/control/NutzNavi.cab
O17 - HKLMSystemCCSServicesTcpip..{568B5E85-A67C-4DC1-8F2A-00F515F4340F}: NameServer = 194.6.239.34,145.253.2.11
O17 - HKLMSystemCCSServicesTcpip..{A5879088-3231-47B9-95BF-0C53BD423734}: NameServer = 194.6.239.34,145.253.2.11
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:programmeAntiVir PersonalEdition Classicsched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:programmeAntiVir PersonalEdition Classicavguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:WINDOWSSystem32Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:WINDOWSsystem32ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:pROGRA~1GrisoftAVGFRE~1avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:pROGRA~1GrisoftAVGFRE~1avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:pROGRA~1GrisoftAVGFRE~1avgemc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:programmeGemeinsame DateienSoftwinBitDefender Scan Serverbdss.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:WINDOWSSystem32CTsvcCDA.EXE
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:programmeGemeinsame DateienSoftwinBitDefender Update Servicelivesrv.exe" /service (file missing)
O23 - Service: Remote HID Service (LvHidSvc) - Philips - C:WINDOWSSystem32lvhidsvc.exe
O23 - Service: StyleXPService - Unknown owner - C:programmeTGTSoftStyleXPStyleXPService.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:programmeSoftwinBitDefender9vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:programmeGemeinsame DateienSoftwinBitDefender Communicatorxcommsvr.exe" /service (file missing)
 
Du hast die Datei C:WindowsSystemsmss.exe ? Die ist auf jedenfall falsch. Du kannst nochmal gucken in dem Ordner "System32" da haste dann genau die gleiche Datei, bzw. werden sich die Größen der beiden Versionen unterscheiden?

Du kannst es dann höchstends probieren wie dort beschrieben in dem Forum. Mal das Hijackthis tool durchlaufen lassen und gucken was er findet. Wahrscheinlich wirste da auch einen Eintrag finden der ungefähr so aussieht:

O4 - HKLM..Run: [.nvsvc] C:WINDOWSsystemsmss.exe /w

Wenn dem so ist, diese Zeile vorne markieren in dem Hijacktool und "Fixed checked" klicken, dann wird der Eintrag aus der Registry entfernt (kann man auch wieder Rückgängig gemacht werden in dem Tool).
Dann startest du Windows neu, und lässt den Finger auf F8 und startest in den abgesicherten Mode. Dort schnappst du dir den Dateimanager gehst nach C:WindowsSystem und benennst die Datei smss.exe einfach um z.B. nach "_smss.trojaner".
Das wars.... Windows neu starten und fertig. Jetzt kannste nochmal probieren diese komischen Dateien da unter Tmp zu entfernen und gleichzeitig gucken ob die auch weg bleiben.

Das ist das was dort in dem Forumbeitrag geschrieben worden ist wo ich dir den Link gegeben habe. Kannst aber selber auch nochmal im Internet suchen nach den Suchbegriffen die ich dir schon genannt hatte ob du noch was anderes findest.

[Edit] Ok, sehe in deinem Log das du die Datei hast genau wie beschrieben. Dann probiere es so zu machen wie ichs versucht hatte gerade zu erklären.
 
Ah, da steht ja, dass die windowssystemcmss.exe läuft...
Dann versuch die mal umzubennen.
 
Ah, da steht ja, dass die windowssystemcmss.exe läuft...
...glaub net daß das so ohne weiteres geht da ja als Dienst angemeldet.
...vielleicht aber mit ren .\cblah.exe
 
.\c:blah.exe

uuups hatte den Doppelpunkt vergessen !!
 
wenn der prozess nicht zu killen ist und mit dem UserLogIn startet kannste das über Windows vergessen.

Vielleicht klappts aba wenn du dir ne batch datei auf ne diskette packst mit den befehlen dass sie genau diese datei mal rausschmeissen soll [Bootdiskette beim hochfahren ]. da garantiere ich aber nix für weil wenns die falsche datei war kannste möglicherweise dein windows komplett neu aufsetzen.

:roll:

//Edit: umbenennen dürte auch klappen
 
Sicherlich kann die Datei nicht gelöscht werden, das ist ein Designfehler unter Windows... Eine geöffnete Datei umzubenennen oder zu löschen geht z.B. aber unter Linux...
Deswegen muss er in den abgesicherten Mode und dort die Datei löschen bzw. umbenennen.

Die vorherige Änderung in der Registrierung ist nötig damit Windows die Datei nicht wieder läd zuvor.
 
Also, habe hier einmal

smss C:Windowssystem 48 kb
&
smss C:Windowssystem32 45kb
&
smss.exe-o8A97947.pf C:WindowsPrefectch 13kb

WELCHE DELETE ??????????????????????????????????

ps
ich habe unlocker, der kann sowas normaler weise Löschen
 

Oft gelesene Themen

Zurück
Oben