Lästiger Virus

[Valigarmanda]

Auf meinem Computer hat sich irgendein Programm raufgespielt, das alle 5 Minuten ein 1-2 Werbefenster aufmacht. Ich hab bereits mehrals AntiVir durchlaufen lassen, hat nichts geholfen. Weiß wer ein paar gute Programme, die es mir entfernen können?
Verdammt, während ich den Text eintippe, werde ich ständig von Werbung unterbrochen...

[DVD]

http://www.bitdefender.com/scah8/ie.html
http://www.kaspersky.com/de/virusscanner

Zwei Scanner, die so ziemlich alles beseitigen. Links im IE öffnen, da beide ActiveX-Elemente verwenden.

mfg Volldulli

[FF]

ad-aware
http://de.wikipedia.org/wiki/Spybot_Search_%26_Destroy

[gK00r]

Benutz lieber Avast <_<
Damit krieg man jeden Scheiß Viren Stuff
vom Rechner.
bzw. da das eher Adaware ist benutze wie Freierfall
schon gesagt hat Ad-Aware um deinen Pc zu reinigen.

[Manuel]

Wie sieht denn die Werbung aus? So in Etwa wie bei diesem Thread? (http://www.multimediaxis.de/showthread.php?t=87986)^^

Ansonsten kann ich beide Programme von Freierfall nur empfehlen, die kriegen so gut wie jede Spyware weg. Am Besten beide Programme im Abgesicherten Modus von WinXP laufen lassen, damit irgendwelche Schutzfunktionen der Programme gar nicht erst aktiviert werden.

[DVD]

Wie sieht denn die Werbung aus? So in Etwa wie bei diesem Thread? (http://www.multimediaxis.de/showthread.php?t=87986)^^

Ansonsten kann ich beide Programme von Freierfall nur empfehlen, die kriegen so gut wie jede Spyware weg. Am Besten beide Programme im Abgesicherten Modus von WinXP laufen lassen, damit irgendwelche Schutzfunktionen der Programme gar nicht erst aktiviert werden.
Tut mir leid, aber dem kann ich überhaupt nicht zustimmen. Viele Sachen, die man mit Spybot entfernt, sind beim nächsten Reboot wieder da, und Ad-Aware erkennt auch längst nicht alles. Hier ein Test mit demselben Ergebnis. (http://www.chip.de/artikel/c1_artikel_20763445.html)
Ich bleib dabei: Lass einen der von mir vorgeschlagenen Scanner laufen. Dauert zwar etwas länger (~1-2 Stunden), findet daher aber ausnahmslos alles.
mfg Volldulli

[Valigarmanda]

Ich lass den Kaspersky Scanner jetzt schon 7 h 30 min durchlaufen und er ist erst bei 52%...

Ähh... wie krieg ich jetzt die Viren runter, wenn er fertig ist?

[FF]

Ist nunmal so, das ist kein fest auf dem Computer installierter Scanner, sondern einer der über Internet und Browser läuft.... :rolleyes:
Da dauert das halt länger.

[Valigarmanda]

Ich hab jede Menge Programme installiert und durchlaufen lassen:
Spybot - Serach & Destroy
Ad-Awarw SE Personal
Zone Alarm (Firewall)
usw., aber die Fenster kommen immer noch...

[DVD]

Dann ist es wahrscheinlich, dass das Schadprogramm ein Rootkit verwendet. Auf www.f-secure.com/blacklight kannst du dir einen darauf spezialisierten Scanner downloaden.
mfg Volldulli

[Valigarmanda]

Die Setup Datei funktioniert nicht...
Da kommt ne Fehlermeldung wo steht:
F- Secure BlackLight could not acquire necessary privileges {SeDebugPrivilege}

-Your computer settings may prevent acqiring these privileges.
-A malicious program might have disabled these privileges.

[Barney]

Versuchs im abgesicherten Modus, gerade die zweite Warnung könnte nämlich zutreffen.

[DVD]

Bist du als Administrator angemeldet? Falls ja, führ Blacklight im abges. Modus aus oder versuch es mal mit Rootkit Revealer (http://www.zdnet.de/downloads/prg/2/v/deNV2V_is-wc.html). Über File -> Scan einen kompletten Scan ausführen und einen Screenshot des Ergebnisses am besten hier posten. Ich oder jemand anders kann es dann auswerten.:)
mfg Volldulli

@Barney: Das klappt aber nur in manchen Fällen, manche Rootkits, wie z. B. der Sony-XCP-Kopierschutz, laufen auch im abges. Modus. Aber einen Versuch ists auf jeden Fall wert. ;)

[Valigarmanda]

Das Programm kann nicht im abgesicherten Modus gestartet werden...

[DVD]

Hat dein Benutzerkonto Administratorrechte?
Falls ja, lass mal, wie gesagt, Rootkit Revealer (Link in meinem letzten Post) laufen und poste das Ergebnis, dann kann ich dir vielleicht genaueres zum Schadprogramm sagen. :)
mfg Volldulli

[Valigarmanda]

http://img235.imageshack.us/img235/7420/lolol8.png (http://imageshack.us)

[DVD]

Dazu kann ich atm nur folgendes sagen:
1. der erste Treffer ist ein Kopierschutz (SecuRom). Dazu wäre es hilfreich zu wissen, ob du vor kurzem irgendwelche neuen PC-Spiele installiert hast. Es gibt nämlich manche Viren, die sich entweder als Kopierschutz tarnen oder einen installierten Kopierschutz benutzen, um sich zu verstecken. (Beispiel für einen solchen Kopierschutz: Sony XCP)
2. Leer mal den IE-Cache, dort befinden sich nämlich die meisten Treffer.

Anmerkung: Ein gefundener Eintrag heißt nicht automatisch, dass es sich auch um ein Rootkit handeln muss.:)

mfg Volldulli

[Valigarmanda]

Wie entferne ich jetzt SecuRom? Es lässt sich nicht finden.

[DVD]

Hab im englischen Teil von Wikipedia eine Anleitung gefunden:

Removing SecuROM

1. Stop UAService7 service (CTRL+ALT+DEL, find it and kill it)

2. Using e.g. Autoruns (http://www.sysinternals.com/Utilities/Autoruns.html) remove this service and delete the file \windows\system32\UAService7.exe

3. Delete the folder Documents and Settings\<your_user_name>\Application Data\SecuROM

4. Delete the folder Documents and Settings\All Users\Application Data\SecuROM; in case of any deletion problems use DelInvFile tool (http://www.purgeie.com/delinv.htm).

5. Delete securom registry keys using regedit

6. Key named HKLM\SOFTWARE\SecuROM\!CAUTION! NEVER DELETE OR CHANGE ANY KEY* contains embedded nulls and cannot be removed using regedit; use e.g. RegDelNull tool (http://www.sysinternals.com/Utilities/RegDelNull.html) instead of it.
Danach lass den Bitdef-Scanner noch mal laufen.
mfg Volldulli

[Valigarmanda]

Das hat mir gar nichts geholfen, da gar kein UAService7 vorhanden ist.

[DVD]

Es wäre möglich, dass die Datei versteckt ist. Blende mal in den Ordneroptionen versteckte und Systemdateien ein und such dann nochmal im system32-Ordner nach der UAService7.exe. Oder sieh nach, ob die Datei im Process Explorer (http://www.microsoft.com/technet/sysinternals/Security/ProcessExplorer.mspx) aufgelistet ist. Falls dort nichts angezeigt wird, kann ich dir leider auch nicht weiterhelfen.
mfg Volldulli