Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Wurm oder ähnliches eingefangen?

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 19.06.2007, 19:26   #1
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Hallo,

Ich hab ein problem:

ich glaub ich hab mir nen wurm eingefangen! Ich weis aber nicht welchen. Bekomme ständig irgentwelche Meldungen ,das der und das beendet werden muß. Kurz darauf folgt dann meistens noch die meldung, dass "services.exe" beendet werden musste. Winlogon,servises oder andere prozesse (wie z.b. "Generic Host Process for Win32 Services"), die bis vor einigen tagen noch keine probleme gemacht haben, beendet werden müssen.

Nun ja darauf folgt dann das bekannte schild mit dem zwang zum herunterfahren und dem countdown von 1:00 min.
Logfile of HijackThis v1.99.1
Scan saved at 20:21:50, on 19.06.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.0\NppBho.dll
O3 - Toolbar: Norton-Symbolleiste anzeigen - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.0\UIBHO.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe
O23 - Service: Symantec IS Kennwortprüfung (ISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe

Alt 19.06.2007, 19:53   #2
Mobius07
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Diese EXE sollte normalerweise hier zu finden sein:
C:\Windows\System32\services.exe
Wenn nicht dort , so suche diese EXE und kopiere diese ins weisse Fensterchen bei http://virusscan.jotti.org , klicke auf submit.
Das Ergebnis postest Du !
__________________


Alt 19.06.2007, 20:01   #3
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Dort wurde nichts gefunden.
__________________

Alt 19.06.2007, 20:09   #4
Mobius07
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



War denn die EXE überhaupt unter diesem Pfad?
Gut, scan nach dieser Anleitung Dein System:
http://www.trojaner-board.de/38066-escan-anleitung-und-find-bat-autor-mightymarc.html

Alt 19.06.2007, 21:18   #5
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Hatte eben wieder schweren SystemfehlerSystemprozeß Windows Logon Process
Hier ein Scan bericht.Ich hoffe,ich habe alles richtig gemacht.Wie werde ich die Teile los ?
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2007.06.16.01

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NORMAL

eScan Version: 9.2.7
Sprache: German
C:\DOKUME~1\Moni\LOKALE~1\Temp\MWAV.LOG

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Object "purityscan Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "purityscan Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
System found infected with w32.rontokbro.d@mm Worm (C:\WINDOWS\tasks\at1.job)! Action taken: Keine Aktion vorgenommen.
System found infected with w32.rontokbro.d@mm Worm (C:\WINDOWS\tasks\at1.job)! Action taken: Keine Aktion vorgenommen.


~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Offending file found: C:\WINDOWS\tasks\at1.job
Offending file found: C:\WINDOWS\tasks\at1.job
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Offending Folder found: C:\Programme\aida
Offending Folder found: C:\Programme\aida
~~~~~~~~~~~
Registry
~~~~~~~~~~~


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Prozesse und Module
~~~~~~~~~~~~~~~~~~~~~~
Invalid Entry DllName = appmgmts.dll (in key SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{c6dc5466-785a-11d2-84d0-00c04fb169f7}). Deleting Registry Key {c6dc5466-785a-11d2-84d0-00c04fb169f7}...
Invalid Entry DllName = appmgmts.dll (in key SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{c6dc5466-785a-11d2-84d0-00c04fb169f7}). Deleting Registry Key {c6dc5466-785a-11d2-84d0-00c04fb169f7}...
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
C:\program files\Musicmatch\Musicmatch Update\MMJB\TDM\TDMInstall.exe nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Programme\Musicmatch\Musicmatch Update\TDM\TDMInstall.exe nicht gescannt. Wahrscheinlich durch Passwort geschützt...
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Gescannte Dateien: 63268
Gefundene Viren: 2
Anzahl der desinfizierten Dateien: 0
Umbenannte Dateien: 0
Anzahl der gelöschten Dateien: 0
Anzahl Fehler: 30
Dauer des Scans bisher: 00:41:35
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Specherüberprüfung: Aktiviert
Specherüberprüfung: Aktiviert
Registry Überprüfung: Aktiviert
Registry Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung aller Festplatten :Aktiviert
Überprüfung aller Festplatten :Aktiviert

Batchstart: 22:14:27,85
Batchende: 22:14:40,79


Alt 19.06.2007, 22:01   #6
Mobius07
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Ist jetzt eine gute Frage, ich würde die Systemherstellung beim nächsten booten deaktivieren.
Danach Rebooten ,anschliessend im im abgesicherten Modus mit CCleaner den Rechner entmüllen, mit einem frischem Spybot und Adaware (Update, mit aktuellen Signierungen) Dein System bereinigen, Systemherstellung aktivieren, anschliessend Dein System normal hochfahren, nochmals mit den eben genannten Programmen Deinen Rechner scannen und alles löschen was die finden. Neuen e-scan posten!

Alt 19.06.2007, 22:24   #7
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Es hatte sich was im Task planer festgesetz ,habe das erstmal gelöscht.Ich habe sonst das Programm XP Clean,das räumt eigentlich gut auf,nur eben nicht bei Viren.
Was kann ich noch tun?

Alt 19.06.2007, 22:39   #8
Mobius07
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Zitat: Was kann ich noch tun?
Ich habe sonst das Programm XP Clean,das räumt eigentlich gut auf,nur eben nicht bei Viren.
Viren? Gibt es sowas in heutigen Zeiten überhaupt noch???

Die Zeiten ändern sich, heute beherrschen Ad- und Malware das Internet, diverse Rootkits schleichen sich an Antivirenprogs vorbei, ein HJT sieht längst nicht immer alles (Solltest im übrigen mal Deine Hijackthis.exe in irgendwas umbenennen!) usw,usw..... Kein Antiviren oder Antispyprog wird jemals den Rechner 100% sichern können, man kann nur Prophylaxe betreiben. Das ist eine Endlosschraube, die "Bösen" werden immer einen Schritt vorraus sein, bevor man selber aggieren kann.

Versuch mal dieses Version von meinem Statement von 23:01 h (Einfacher erklärt):
1.Lade Dir Spybot sowie Adaware runter, mach als erstes ein update und scan Dein System.
2.Dann lade bitte CCleaner und bereinige alles.
3. Systemwiederherstellung deaktivieren.
4. Im Abgesicherten Modus ( F8 drücken ) alle drei Programme nochmals ausführen.
5. Anschl. im normalen Modus arbeiten und nochmals nachsehen ob die Datei vorhanden ist bzw sich erneuert hat.
Wenn JA ---> Onlinescan ** Anleitung hier:
http://www.trojaner-board.de/38066-escan-anleitung-und-find-bat-autor-mightymarc.html
Wenn NEIN --- > Systemwiederherstellung aktivieren, Wiederherstellungspunkt erstellen

Alt 19.06.2007, 22:52   #9
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Ich werds versuchen und meld mich morgen Abend nochmal.Danke erstmal.

Alt 19.06.2007, 22:56   #10
Mobius07
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Ist oki, sorry wenn ich keine Verlinkungen habe, aber ich denke mir mal, mit ein wenig "googeln" ist es leicht diesen Ablauf nachzuvollziehen. Du kannst auch in diesem Forum alle Links finden...

Gruß Patrick

Alt 20.06.2007, 19:24   #11
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Hallo.
beim Scan wird nichts mehr gefunden.Der Wurm scheint weg zu sein ,aber der andere Rest ist noch da.Das kann ich nirgents wo finden...( 2 mal Object "purityscan Spyware/Adware" in Dateisystem gefunden! )
.

Alt 20.06.2007, 19:36   #12
samsh
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Hi, ich hatte bis heute das gleiche Problem wie du (das Beenden von Prozessen mit dem anschließendem Countdown). Ich hab zumindest gefunden was das verursacht hat. Aber ich glaube nicht, dass ich damit auch die Wurzeln des Wurms (?) gefunden hab.

Guck doch mal in deinen Tasks Ordner im Ordner WINDOWS und guck mal ob dort Tasks sind die du nicht kennst (bei mir hießen sie At1 - At18). Guck danach mal in den Eigenschaften der Tasks was sie ausführen. Bei mir führten sie alle die datei "y8V3ADNQ.exe" aus, die ich im Ordner System32 gefunden hab. Der Name kann aber auch zufallsgeneriert sein. Ich hab die Datei dann mal auf VirusTotal geprüft und herausgefunden, dass das eine "böse" Datei ist. Hab die Tasks und "y8V3ADNQ.exe" einfach gelöscht und hab seit dem Ruhe vor den Prozessbeendigungen und dem Countdown oder dem Bluescreen der durch winlogon.exe kam.

Ich mache aber trotzdem noch ein Neuaufsetzen da ich mir nicht sicher bin ob das alles vom Wurm war.

Wenn du in den angegeben Ordnern nichts findest hab ich nen anderen Wurm als du gehabt. (dann aber mit sehr ähnlichen Auswirkungen)

Oder du hast ihn wirklich erwischt

mfg samsh

Geändert von samsh (20.06.2007 um 20:30 Uhr)

Alt 20.06.2007, 20:11   #13
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Hallo.Ich hatte die Task leider so gelöscht,ohne auf Eigenschaften zu schauen .Was stand denn da bei windows noch hinter der bösen Datei?

Alt 20.06.2007, 20:17   #14
disamo
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Es war der selbe Wurm.Hatte genausolche Probleme ua.auch viel mit Winloogon.

Alt 20.06.2007, 20:24   #15
samsh
 
Wurm oder ähnliches eingefangen? - Standard

Wurm oder ähnliches eingefangen?



Zitat:
Zitat von disamo Beitrag anzeigen
Was stand denn da bei windows noch hinter der bösen Datei?
was genau meinst du jetzt? Die Datei die durch die Tasks ausgeführt wurde? Oder was das fürn Virus/Wurm/Trojaner das war? In den Eigenschaften stand eben nur drin, das die datei "y8V3ADNQ.exe" ausgeführt wird und wann das geschieht.

Antwort

Themen zu Wurm oder ähnliches eingefangen?
adobe, bho, browser, down, excel, explorer, generic, generic host, generic host process, herunterfahren, hijack, hijackthis, internet, internet explorer, internet security, microsoft, problem, programme, prozesse, rundll, security, services.exe, software, symantec, system, windows, windows xp, wurm




Ähnliche Themen: Wurm oder ähnliches eingefangen?


  1. Adware oder ähnliches
    Alles rund um Windows - 17.02.2015 (1)
  2. Unsicher ob GVU-Trojaner (oder ähnliches) noch auf dem Rechner ist oder ob dieser entfernt wurde.
    Mülltonne - 29.01.2015 (0)
  3. GVU oder ähnliches --- Befall
    Plagegeister aller Art und deren Bekämpfung - 06.08.2013 (15)
  4. Wurm,trojaner oder ähnliches auf meinem System
    Log-Analyse und Auswertung - 15.07.2013 (9)
  5. Polizeivirus oder ähnliches?
    Log-Analyse und Auswertung - 13.03.2013 (17)
  6. Habe ich mir AdWare oder ähnliches eingefangen?
    Log-Analyse und Auswertung - 15.02.2013 (21)
  7. Trojaner oder ähnliches eingefangen? Virtuelles Laufwerk, das nicht auf Hardwareseite ist. email-account hatte einen Fehler.
    Log-Analyse und Auswertung - 19.09.2012 (2)
  8. Traffic Problem Wurm oder ähnliches
    Log-Analyse und Auswertung - 04.12.2011 (1)
  9. Ist das Malware oder ähnliches?
    Plagegeister aller Art und deren Bekämpfung - 04.03.2011 (21)
  10. Wurm oder nicht Wurm (Verschickt Spam-Mails)
    Plagegeister aller Art und deren Bekämpfung - 25.10.2010 (1)
  11. Trojaner oder so was ähnliches?
    Plagegeister aller Art und deren Bekämpfung - 21.10.2010 (3)
  12. keylogger oder ähnliches eingefangen?
    Log-Analyse und Auswertung - 29.11.2009 (0)
  13. Keylogger oder Ähnliches
    Plagegeister aller Art und deren Bekämpfung - 09.07.2009 (2)
  14. Zonealarm oder was ähnliches?
    Antiviren-, Firewall- und andere Schutzprogramme - 24.01.2009 (11)
  15. MSN - virus oder ähnliches eingefangen!?
    Plagegeister aller Art und deren Bekämpfung - 15.01.2008 (1)
  16. Administratorrechte weg... Wurm oder ähnliches?
    Plagegeister aller Art und deren Bekämpfung - 08.06.2006 (3)
  17. CWS oder ähnliches?
    Log-Analyse und Auswertung - 14.12.2005 (2)

Zum Thema Wurm oder ähnliches eingefangen? - Hallo, Ich hab ein problem: ich glaub ich hab mir nen wurm eingefangen! Ich weis aber nicht welchen. Bekomme ständig irgentwelche Meldungen ,das der und das beendet werden muß. Kurz - Wurm oder ähnliches eingefangen?...
Archiv
Du betrachtest: Wurm oder ähnliches eingefangen? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.