|
Plagegeister aller Art und deren Bekämpfung: Virtumundo und seltsames M S A Security CenterWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
02.09.2008, 10:36 | #1 |
| Virtumundo und seltsames M S A Security Center Servus liebes Trojaner-Board. Gestern Hab ich mir beim googlen den Trojaner Virtomundo eingefangen und bin am verzweifeln. Ich kann nicht mehr googlen/yahoon etc. oder diverse internetseiten wie http://www.virustotal.com/de besuchen! Jedesmal wenn ich mit Spybot scanne findet jedesmal 2 Einträge und löscht sie, jedoch sind sie nach dem neustart wieder da. Desweiteren öffnet sich jedesmal beim starten ein "M S A Security Center", das mir ne Lizenz andrehen will (naja bin ja gottseidank nich total bescheuert !), hängt das auch mit Virtumondo zusammen? Pc Würde ich sehr ungern platt machen :/! SuFu hab ich total ausgeschöpft aber nichts hat geholfen! Und noch ne Frage, kann dieser Trojaner meine Passwörter ausspähen? =0 hier noch das HijackThis Logfile Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 11:35:16, on 02.09.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: D:\WINDOWS\System32\smss.exe D:\WINDOWS\system32\winlogon.exe D:\WINDOWS\system32\services.exe D:\WINDOWS\system32\lsass.exe D:\WINDOWS\system32\svchost.exe D:\WINDOWS\System32\svchost.exe D:\WINDOWS\Explorer.EXE D:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe D:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe D:\Programme\Lavasoft\Ad-Aware\aawservice.exe D:\WINDOWS\system32\spoolsv.exe D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe D:\Programme\Bonjour\mDNSResponder.exe D:\Programme\Symantec AntiVirus\DefWatch.exe D:\WINDOWS\system32\nvsvc32.exe D:\Programme\Symantec AntiVirus\Rtvscan.exe D:\WINDOWS\system32\RUNDLL32.EXE D:\WINDOWS\SOUNDMAN.EXE D:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe D:\PROGRA~1\SYMANT~1\VPTray.exe D:\Programme\Java\jre1.6.0_07\bin\jusched.exe D:\Programme\SanDisk\Sansa Updater\SansaDispatch.exe D:\Programme\iTunes\iTunesHelper.exe D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe D:\WINDOWS\system32\Rundll32.exe D:\WINDOWS\system32\rundll32.exe D:\WINDOWS\system32\ctfmon.exe D:\Programme\DAEMON Tools Lite\daemon.exe D:\Programme\Messenger\msmsgs.exe D:\Programme\Spybot - Search & Destroy\TeaTimer.exe D:\Programme\Sandisk\Common\Bin\WinCinemaMgr.exe D:\Programme\OnlineControl\ocontrol.exe D:\Programme\iPod\bin\iPodService.exe D:\WINDOWS\system32\wscntfy.exe D:\Programme\Mozilla Firefox\firefox.exe D:\Programme\Miranda IM\miranda32.exe D:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [ccApp] "D:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [vptray] D:\PROGRA~1\SYMANT~1\VPTray.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKLM\..\Run: [SansaDispatch] D:\Programme\SanDisk\Sansa Updater\SansaDispatch.exe O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [AppleSyncNotifier] D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "D:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [TkBellExe] "D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [~øYZ] }¼exe O4 - HKLM\..\Run: [] xe O4 - HKLM\..\Run: [Antivirus] D:\Programme\MSA\MSA.exe O4 - HKLM\..\Run: [58bca7c0] rundll32.exe "D:\WINDOWS\system32\jsupsihv.dll",b O4 - HKLM\..\Run: [BMb7fbdbd5] Rundll32.exe "D:\WINDOWS\system32\oalkjxan.dll",s O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\Programme\DAEMON Tools Lite\daemon.exe" -autorun O4 - HKCU\..\Run: [MSMSGS] "D:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [~øYZ] }¼exe O4 - HKCU\..\Run: [] xe O4 - HKCU\..\Run: [Antivirus] D:\Programme\MSA\MSA.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: WinCinema Manager.lnk = D:\Programme\Sandisk\Common\Bin\WinCinemaMgr.exe O4 - Global Startup: OnlineControl.lnk = D:\Programme\OnlineControl\ocontrol.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: Apple Mobile Device - Apple Inc. - D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - D:\Programme\Bonjour\mDNSResponder.exe O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - D:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - D:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - D:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - D:\Programme\Symantec AntiVirus\DefWatch.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - D:\Programme\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe O23 - Service: SAVRoam (SavRoam) - symantec - D:\Programme\Symantec AntiVirus\SavRoam.exe O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - D:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe O23 - Service: Symantec AntiVirus - Symantec Corporation - D:\Programme\Symantec AntiVirus\Rtvscan.exe -- End of file - 6667 bytes |
02.09.2008, 21:04 | #2 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Virtumundo und seltsames M S A Security Center Hallo und
__________________Acker diese Punkte für weitere Analysen ab: 1.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe (aktuelle Version!) 2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde. 3.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen: Code:
ATTFilter D:\Programme\MSA\MSA.exe D:\WINDOWS\system32\jsupsihv.dll D:\WINDOWS\system32\oalkjxan.dll 5.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten 6.) ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so: HTML-Code: [code] Hier das Logfile rein! [/code]
Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.
__________________ |
Themen zu Virtumundo und seltsames M S A Security Center |
ad-aware, adobe, antivirus, bonjour, drivers, explorer, firefox, frage, google, hijack, hijackthis, hkus\s-1-5-18, hängt, internet explorer, mozilla, neustart, rundll, scan, security, seiten, software, starten, symantec, system, windows, windows xp, öffnet |