"Your computer is infected"-Meldung deaktivieren geschlossen

[Blackhawk]

Guten Abend Community,

seit ein paar Tagen kommt bei mir immer diese Meldung -> klick. Kann man die irgendwie abschalten? Is ziemlich nervig...
Viren- und Spywarescanns hab ich schon genügend gemacht (AntiVir, Spybot - S&D und Ad-Aware Pro) - auch mit "Erfolg", hab aber dann alle Schädlinge entfernt.
Hab nämlich gestern erst mein XP Prof neu ausgesetzt, ist atm nur auf dem Stand von SP2, und seit heute kommt die Meldung - früher war das bei der selben Installations-CD nicht so!

Wäre nett, wenn mir jmd weiterhelfen kann!

Vielen Dank schonmal

Blackhawk

 

[Jumper]

Ja, dein Computer ist wahrscheinlich infiziert, aber von dem Programm, welches diese Meldung hervorbringt. Du wirst damit aufgefordert angeblich ein AV-Programm herunterzuladen und zu installieren. Danach hast du mit Sicherheit einen Trojaner an Bord.

Lade dir HijackThis herunter und scanne den Rechner.
Das Logfile werte entweder selber bei www.hijackthis.de aus oder poste es hier. Dann werden wir weiter sehen.

 

[Shadow]

Hi,

wenn du sagst, dass du mit Erfolg gescannt hast, dann hast du das sehr warscheinlich nicht, weil dann die Meldung nicht mehr da wäre. Merkwürdig aber, dass die Meldung wieder kommt, auch nach neuaufsetzen. Hast du vorher komplett formatiert? Ansonsten empfehle ich dir im Safe Mode zu scannen mit ausgeschalteter Systemwiederherstellung!

Shadow

edit: @ Jumper: Mit erfolgreich meine ich nicht, dass was gefunden wurde, sondern, dass es nicht (korrekt) entfernt wurde. Das was da ist hat Blackhawk ja schon gesagt. Außerdem als was bezeichnest du denn dann das, was da immer fragt? Wird auch ein Virus sein!

 

[Jumper]

@Shadow

Der Scan muß ja nicht zwangsläufig Ergebnisse bringen, da es sich wahrscheinlich noch nicht um einen Virus handelt. Er wird lediglich dazu aufgefordert einen zu installieren.

Mit Hijackthis werden aber alle geladenen Prozesse und deren Aufrufe (Autostarts) ermittelt. An Hand dieser Daten kann man recht schnell den Übeltäter ausfindig machen und eliminieren.

 

[Phoenix]

Da hilft nur noch FORMAT C: !!!! ausser du kennst dich gut mit der reg. aus!!!
Ich hatte auch vor 3 Monaten das Problem, ich konnte es nicht lösen ausser mit Format C: !!!
LG Phoenix

 

[Blackhawk]

Danke für Eure schnellen Antworten!

Jop, hab alle Partitionen formatiert (ausser meine ext. HDD, da waren meine ganzen wichtigen Daten drauf) und dann Win Xp Prof SP2 ganz normal installiert.

"Mit Erfolg gescannt": Habe mit AntiVir 65 bösartige Dateien gefunden (da war meine Externe noch nicht angeschlossen, und ich war vllt. erst seit ~3 Stunden online - ohne auf irgendwelchen dubiosen Seiten Honeypot gespielt zu haben) und die auch gelöscht. Es kann auch nix auf dem MBR (wird bei einer Formatierung nicht gelöscht) sein, hab den nämlich schon gechekt...

Hier ist das HiJackThis-Ergebnis (nach nem Reboot, das Zeichen in der Taskleiste + die Blase waren trotzdem noch da):

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:06:08, on 16.10.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Appz\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Dit.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Appz\Avira\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\brastk.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\drivers\svchost.exe
C:\WINDOWS\system32\lunmbwlc.exe
D:\Appz\Spybot - Search & Destroy\TeaTimer.exe
D:\Appz\Steam\Steam.exe
D:\Appz\Psi\psi.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Appz\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\Appz\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe

O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [avgnt] "D:\Appz\Avira\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [brastk] brastk.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe
O4 - HKCU\..\Run: [sysuiapl] C:\WINDOWS\system32\lunmbwlc.exe
O4 - HKCU\..\Run: [brastk] C:\WINDOWS\system32\brastk.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Appz\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Steam] "D:\Appz\Steam\Steam.exe" -silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Psi.lnk = D:\Appz\Psi\psi.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Appz\Excel\Office12\REFIEBAR.DLL
O20 - AppInit_DLLs: karna.dat
O21 - SSODL: SetDbSh - {342CF724-4BDA-6CB7-80C8-03E4FB648091} - C:\Programme\pmbnojc\SetDbSh.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Appz\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - D:\Appz\Avira\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - D:\Appz\Avira\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 3510 bytes

Blackhawk

Edit: @ PhoenixBerlin: Was kann man denn in der Reg machen? Wäre nett, wenn dus mal schreiben könntest!
Format C: hat ja nicht viel geholfen^^

Edit²: Die Online-HiJackThis-Auswertung sagt, dass "C:\WINDOWS\system32\brastk.exe", "C:\WINDOWS\system32\drivers\svchost.exe", "O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe" und "O4 - HKCU\..\Run: [brastk] C:\WINDOWS\system32\brastk.exe" sehr schädlich sind und "O20 - AppInit_DLLs: karna.dat" sogar äusserst schädlich.

Edit³: Noch ein Edit

Hab jetzt mal "brastk.exe" per Taskmanager gekillt - das Symbol ist weg, aber vermutlich nicht dauerhaft...
Kann ich die *.exe einfach löschen? Ist bei mir 2 mal aufm PC:
1. C:\WINDOWS
2. C:\WINDOWS\System32

 

[Jumper]

Die folgenden Einträge mit Hijackthis unbedingt fixen (Fix checked)!!! Das sind Schädliche Programme (Trojaner):

O4 - HKCU\..\Run: [brastk] C:\WINDOWS\system32\brastk.exe
O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe
O4 - HKCU\..\Run: [sysuiapl] C:\WINDOWS\system32\lunmbwlc.exe
O4 - HKCU\..\Run: [brastk] C:\WINDOWS\system32\brastk.exe
O20 - AppInit_DLLs: karna.dat

Unbekannter Prozess! Prüfe, ob es dir bekannt ist:
O21 - SSODL: SetDbSh - {342CF724-4BDA-6CB7-80C8-03E4FB648091} - C:\Programme\pmbnojc\SetDbSh.dll

Das System sieht nicht gut aus. Installiere lieber noch mal, aber vorher formatieren.

Edit:

Sorry, habe nicht bis unten gelesen. Du mußt keine Handarbeit machen. Das kann Hijackthis für dich erledigen. Du mußt im Scan-Log nur bei den entsprechenden Einträgen davor im Kästchen ein Häkchen setzen und auf "Fix checked" klicken. Dann werden die Registry-Einträge entfernt. Nur die Dateien mußt du selber notfalls löschen.

Ansonsten findest du die Einträge unter:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

und
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

[Shadow]

Als erstes bootest du am besten mal im Safe Mode, dann läst du HijackThis nochmal laufen und entfernst die besagten Einträge. Dann am besten nochmal nen Virusscan machen und da natürlich auch alles entfernen. Wenn das nix hilft, dann kommst du wohl nicht drum rum nochma neu aufzusetzen, ist zu viel infiziert!

Shadow

edit: Und Ad-Aware am besten auch nochmal laufen lassen.

 

[Blackhawk]

Ok, werd ich machen

Danke für Eure Hilfe!!

Jetzt sollte ichs alleine schaffen

Edit: Ok, hat sich erledigt; ist alles wieder im grünen Bereich! Danke nochmals an die beiden!!

@ Mods: bitte closen - danke!

 

[User64]

.:closeD:.