randseed.rnd ,Windows Overlay Components, Trojan Popper

randseed.rnd ,Windows Overlay Components, Trojan Popper

HijackThis

O23 - Service: Windows Overlay Components - Unknown - C:\WINDOWS\hccyqwo.exe
O23 - Service: Windows Overlay Components - Unknown owner - C:\WINDOWS\aporukw.exe

Start -- Ausführen -- regedit (reinschreiben)

Sollte man Probleme haben, die Einträge zu löschen, Legacy_ .....kann nicht gelöscht werden. Fehler beim Löschen des Schlüssels, dann gehe mit Rechtsklick im Kontextmenü auf: "Berechtigungen" Setze das Häkchen bei "Vollzugriff zulassen" Übernehmen, OK Danach sollte(n) sich der(die) betreffenden Schlüssel löschen lassen.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\OvMon HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WINDOWS_OVERLAY_COMPONENTS\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows Overlay Components HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_WINDOWS_OVERLAY_COMPONENTS\0000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows Overlay Components HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINDOWS_OVERLAY_COMPONENTS\0000 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Overlay Components [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SVCPROC] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SVCPROC] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SVCPROC]

C:\WINDOWS\aporukw.exe
# C:\WINDOWS\[RANDOM].exe
# C:\WINDOWS\[RANDOM].exe
# C:\WINDOWS\offun.exe
# C:\WINDOWS\jptc.dat

datfindbat

Verzeichnis von C:\WINDOWS
29.10.2005 16:43 9 offnm.dat
29.10.2005 16:35 7 offnm.ini
29.09.2005 11:12 4 dbg.dat
29.09.2005 11:12 5 isf.dat
29.09.2005 11:12 7 wocnm.dat

20.08.2005 10:38 14 uid32.key
20.08.2005 10:38 5 fxri.dat
20.08.2005 10:38 5 woc.ver

Verzeichnis von C:\WINDOWS\system32
27.10.2005 17:29 204.800 rsyncmon.dll
22.10.2005 14:03 146.944 nsr11.dll
22.10.2005 04:03 146.944 nsg2F.dll
04.10.2005 17:05 229.376 italpqni.dll
04.10.2005 17:05 417.792 pdrpdb.dll

Killbox

C:\WINDOWS\uid32.key
C:\WINDOWS\fxri.dat
C:\WINDOWS\woc.ver
C:\WINDOWS\offnm.dat
C:\WINDOWS\offnm.ini
C:\WINDOWS\dbg.dat
C:\WINDOWS\isf.dat
C:\WINDOWS\wocnm.dat
C:\WINDOWS\randseed.rnd
C:\Windows\SYSTEM32\netlanm.dll
C:\Windows\SYSTEM32\pdrpdb.dll
C:\WINDOWS\system32\rtneg.dll
C:\WINDOWS\system32\rsyncmon.dll
C:\WINDOWS\system32\nsr11.dll
C:\WINDOWS\system32\nsg2F.dll
C:\WINDOWS\AuroraHandler.dll
C:\WINDOWS\System32\pkshkmsr.dll
C:\WINDOWS\System32\italqjzn.dll
C:\WINDOWS\aporukw.exe
C:\WINDOWS\system32\netsync.exe

HijackThis

O2 - BHO: RsyncHlpr Class - {16B238D5-80DE-47CE-8F17-B3ECE2C2248D} - C:\WINDOWS\system32\rsyncmon.dll
O2 - BHO: AuroraHandlerObj Class - {4AA870AC-8427-42a4-B92E-ECD956197489} - C:\WINDOWS\AuroraHandler.dll
O2 - BHO: wb - {55BE9F0D-6CAF-4c3e-B125-5A13A8C9D0EC} - C:\WINDOWS\system32\nsg2F.dll
O2 - BHO: TalMgr Class - {70230839-555C-4862-8D42-BB1E2352502C} - C:\WINDOWS\system32\italpqni.dll
O2 - BHO: ohb - {999a06ff-10ef-4a29-8640-69e99882c26b} - C:\WINDOWS\system32\rtneg.dll
O4 - HKLM\..\Run: [netsync.exe] C:\WINDOWS\system32\netsync.exe

Hijackthis auf "open the misc tool section" klicken und dann auf "delete an NT Service" und die Namen angeben, aber mache dies nur bei diesen O23 Einträgen!

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe (file missing)
O23 - Service: Windows Overlay Components - Unknown owner - C:\WINDOWS\aporukw.exe

Adw.ConsumerAlertSystem.CASClient Adware

c:\windows\offnm.ini
c:\windows\uid32.key
c:\windows\woc.ver

anderer PC

datfindbat

Verzeichnis von C:\WINNT
22.11.2005 23:18 9 offnm.dat
03.10.2005 09:58 5 isf.dat
01.10.2005 11:31 13 uid32.key
30.09.2005 10:08 7 wocnm.dat
30.09.2005 10:08 7 offnm.ini

C:\WINNT\isf.dat
C:\WINNT\uid32.key
C:\WINNT\wocnm.dat
C:\WINNT\offnm.ini
C:\WINNT\offnm.dat

HijackThis

O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINNT\svcproc.exe
O23 - Service: Windows Overlay Components - Unknown owner - C:\WINNT\eizhsce.exe

netsync.exe -->> C:\WINNT\system32\regsync.exe
rsyncmon.dll
installerv3.exe
regsync.exe
vbrundll.dll
commcos2.dll
lanbrup.exe -->> C:\WINNT\lvvavdp.exe