| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Hive Cluster\49600\Megalomon_swarmWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
09.06.2011, 04:21
| #1 |
 |  Hive Cluster\49600\Megalomon_swarm Servus, icch hab da ne Frage was einen Ordner samt Dateien angeht,w elcher mir äusserst suspekt ist. Ich war eben auf der Suche nach ein paar anderen dateien und bin auf diesen Ordner gestoßen: C:\Users\Megalomon\AppData\Roaming\Hive Cluster\49600\* In diesem Ordner in einem Unterverzeichnis befinden sich beispielsweise dateien nach dem Schema: NEW_ACHIEVEMENT_1_X Der Inhalt aller Dateien ist gleich und lautet: CONGRATURATION! YOU SUCSESS! A WINRAR IS YOU! Das ist eigentlich der Kernpunkt der mich skeptisch gemacht hat, ich halte es unwarscheinlich das dies bestandteil eines Spiels sein kann. Zumal ich es keinem (bewusst) installierten Programm zuordnen könnte... Von daher is meine Frage: Weis wer was es mit dem oder Hove Cluster im allgemeinen und dem Unterordner 49600 im besonderen aufsich hat? |
|
09.06.2011, 10:34
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Hive Cluster\49600\Megalomon_swarm Hallo und
__________________ Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! Danach OTL-Custom: CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code:
ATTFilter netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
__________________ |
|
09.06.2011, 16:48
| #3 |
| | Hive Cluster\49600\Megalomon_swarm Vlt. funktioniert am Ende auch der explorer wieder ohne 10x am Tag abzustürzen.
__________________Logs im Anhang. |
|
09.06.2011, 18:58
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm Malwarebytes hat garnichts gefunden oder ist das nur ein Log von einem Durchgang ohne Funde? 
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
09.06.2011, 19:57
| #5 |
| | Hive Cluster\49600\Megalomon_swarm nichts allerdings ist währenddessen glaube ich 2x der explorer mal wieder abgeschmiert. |
|
09.06.2011, 20:11
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code:
ATTFilter :OTL
FF - prefs.js..network.proxy.autoconfig_url: "http://216.254.95.2/"
FF - prefs.js..network.proxy.backup.ftp: ""
FF - prefs.js..network.proxy.backup.ftp_port: 0
FF - prefs.js..network.proxy.backup.gopher: ""
FF - prefs.js..network.proxy.backup.gopher_port: 0
FF - prefs.js..network.proxy.backup.socks: ""
FF - prefs.js..network.proxy.backup.socks_port: 0
FF - prefs.js..network.proxy.backup.ssl: ""
FF - prefs.js..network.proxy.backup.ssl_port: 0
FF - prefs.js..network.proxy.ftp: "194.145.226.26"
FF - prefs.js..network.proxy.ftp_port: 53
FF - prefs.js..network.proxy.gopher: "194.145.226.26"
FF - prefs.js..network.proxy.gopher_port: 53
FF - prefs.js..network.proxy.http: "194.145.226.26"
FF - prefs.js..network.proxy.http_port: 53
FF - prefs.js..network.proxy.share_proxy_settings: true
FF - prefs.js..network.proxy.socks: "194.145.226.26"
FF - prefs.js..network.proxy.socks_port: 53
FF - prefs.js..network.proxy.ssl: "194.145.226.26"
FF - prefs.js..network.proxy.ssl_port: 53
FF - prefs.js..network.proxy.type: 4
O32 - HKLM CDRom: AutoRun - 1
O33 - MountPoints2\{4ca04a91-7c6c-11e0-9357-00269e639272}\Shell - "" = AutoRun
O33 - MountPoints2\{4ca04a91-7c6c-11e0-9357-00269e639272}\Shell\AutoRun\command - "" = G:\LaunchU3.exe -a
O33 - MountPoints2\G\Shell - "" = AutoRun
O33 - MountPoints2\G\Shell\AutoRun\command - "" = G:\LaunchU3.exe -a
[2011.06.09 12:50:10 | 000,711,728 | ---- | M] () -- C:\Windows\is-2UG8C.exe
[2011.06.09 12:50:10 | 000,012,782 | ---- | M] () -- C:\Windows\is-2UG8C.msg
[2011.06.09 12:50:10 | 000,000,377 | ---- | M] () -- C:\Windows\is-2UG8C.lst
:Files
C:\Users\Megalomon\AppData\Roaming\Hive Cluster
C:\Users\Megalomon\Desktop\*.rar
:Commands
[purity]
[resethosts]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.
__________________ --> Hive Cluster\49600\Megalomon_swarm |
|
09.06.2011, 21:37
| #7 | |
| | Hive Cluster\49600\Megalomon_swarm Anscheinend kein Neustart: Zitat:
|
|
09.06.2011, 22:00
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.  Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )  Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
09.06.2011, 22:14
| #9 |
| | Hive Cluster\49600\Megalomon_swarm Ich bin grad unsicher was ich machen soll: Nach dem Scan (Ja, als Admin ausgeführt) kam folgende Meldung, soll ich "Continue" drücken doer was andres machen? Geändert von megalomon (09.06.2011 um 22:24 Uhr) |
|
10.06.2011, 07:59
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm SPTD kannste lassen, ist ein legitimer Treiber für virtuelle CD/DVD Laufwerke.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
10.06.2011, 14:26
| #11 | |
| | Hive Cluster\49600\Megalomon_swarm Dann hier die tdss log: Zitat:
|
|
10.06.2011, 14:44
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
11.06.2011, 00:24
| #13 |
| | Hive Cluster\49600\Megalomon_swarm Ist es normal dasses bei Stufe 4 bereits seit ca. 30 min bleibt? |
|
11.06.2011, 00:59
| #14 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Hive Cluster\49600\Megalomon_swarm Nein. Steht er immer noch?
__________________ Logfiles bitte immer in CODE-Tags posten |
|
11.06.2011, 01:15
| #15 |
| | Hive Cluster\49600\Megalomon_swarm Innerlich bei Stufe 4. Der malerische unterstrich blinkt auchnoch, von daher ist combofix wohl nich komplett abgeschmiert. |
|
| Themen zu Hive Cluster\49600\Megalomon_swarm |
| aller dateien, allgemeine, allgemeinen, andere, anderen, appdata, befinden, besondere, bewusst, cluster, dateien, frage, inhalt, installier, installierte, ordner, programm, punkt, roaming, servus, suche, unterverzeichnis, users, warscheinlich, winrar, zuordnen |
Textbox.
.
Linear-Darstellung
