| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: BITEE UM HILFE TR/HideRun.A.6Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
01.12.2004, 22:18
| #1 |
 |  BITEE UM HILFE TR/HideRun.A.6 Hallo! Ich hab mir den Trojaner TR/HideRun.A.6 eingefangen! Ich weiß nicht was ich jetzt machen soll. Wo legt er sich rein? Was macht er? etc... Als ich bei Google etwas gesucht hatte und dann auf den link geklickt hatte, (vor ca. 2 Tagen) kam kein Bild und der explorer ladete und ladete. auf einmal schaltete sich antivir an und ich hab den trojaner 6 mal hintereinander gelöscht! heute hat er sich wieder gemeldet und ich hatte ihn 2 mal gelöscht! ich habe dieses HijackThis program laufen gelassen und das kam dabei raus: Logfile of HijackThis v1.98.2 Scan saved at 21:40:11, on 01.12.2004 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\system32\drivers\CDAC11BA.EXE C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wdfmgr.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RunDll32.exe C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe C:\WINDOWS\system32\RUNDLL32.EXE D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\eBay\eBay Toolbar\4.4.0.2\ebaytbar.exe C:\Programme\Motherboard Monitor 5\MBM5.exe C:\Programme\Netropa\Multimedia Keyboard\TrayMon.exe C:\Programme\Netropa\Onscreen Display\OSD.exe D:\Programme\ICQLite\ICQLite.exe D:\PROGRA~1\INCRED~1\bin\IMApp.exe D:\Programme\Skype\Phone\Skype.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWIN.EXE C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\susi\LOKALE~1\Temp\Rar$EX00.266\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/cus...rch/search.html R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.meinestadt.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/cus...rch/search.html R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.ewetel.de R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/cus...//www.yahoo.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=proxy1.ewetel.de:8080 O2 - BHO: eBay Helper Object - {001F2570-5DF5-11d3-B991-00A0C9BB0874} - C:\Programme\eBay\eBay Toolbar\4.4.0.2\eBayBand.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: eBay Toolbar - {46AE04C0-BCFA-4728-90E7-00EB4A8B3863} - C:\Programme\eBay\eBay Toolbar\4.4.0.2\eBayBand.dll O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Zone Labs Client] "d:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [QuickTime Task] "d:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: Verknüpfung mit MBM5.lnk = C:\Programme\Motherboard Monitor 5\MBM5.exe O4 - Global Startup: eBay Toolbar.LNK = C:\Programme\eBay\eBay Toolbar\4.4.0.2\ebaytbar.exe O8 - Extra context menu item: &Add animation to IncrediMail Style Box - D:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O8 - Extra context menu item: An TD Biet-Assistent senden - D:\Programme\TD Biet-Assistent\IE_Catch.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra button: eBay Toolbar - {92D7F210-7F20-11d3-8157-0090278B20DE} - C:\Programme\eBay\eBay Toolbar\4.4.0.2\eBayBand.dll O9 - Extra 'Tools' menuitem: eBay Toolbar - {92D7F210-7F20-11d3-8157-0090278B20DE} - C:\Programme\eBay\eBay Toolbar\4.4.0.2\eBayBand.dll O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/ger_nopop.exe O16 - DPF: {1D168290-F3DF-4842-94C3-2862596771FB} - http://us.dl1.yimg.com/download.yah...ropper1_1de.cab O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocach...etup1.0.0.8.cab O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.pestscan.com/scanner/axscanner.cab O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} - http://www.fileplanet.com/fpdlmgr/c...DC_1_0_0_44.cab O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/act...l_v1-0-3-17.cab O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/291e604...RdxIE601_de.cab O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52...meInstaller.exe O16 - DPF: {7589EEE6-E336-11D4-8A7E-EE1D971D9B47} - http://secure.aconti.net/acontix/acontix.cab O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web8.cab O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} - http://eu.download.games.yahoo.com/...zylomloader.cab O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} - http://tools.ebayimg.com/eps/active...ol_v1-0-3-0.cab O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - http://us.dl1.yimg.com/download.com...bio5_3_18_0.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/content...er/imloader.cab O16 - DPF: {FB48C7B0-EB66-4BE6-A1C5-9DDF3C37249A} (MCSendMessageHandler Class) - http://xtraz.icq.com/xtraz/activex/MISBH.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{3E21B9A8-90EA-4687-ABD7-D19E09411977}: NameServer = 212.6.108.140 212.6.108.141 gruß susi |
|
01.12.2004, 22:33
| #2 |
  |  BITEE UM HILFE TR/HideRun.A.6 @ susi86
__________________--> um herauszufinden, ob und welche Malware sich auf Deinem Rechner befindet, lade den eScan (Link zum Link) (mwav.exe - 4258 KB - 2/19/04 - 12:00:00 AM) runter. Beachte bitte sehr genau die Anleitung. Du musst (!) für den eScan einen neuen Ordner (=Verzeichnis) "c:\bases" erstellen. Update den eScan online (siehe Anleitung) und führe ihn offline im abgesicherten Modus aus. --> Teile uns das Ergebnis des eScan mit: wieviel Viren wurden auf Deinem Rechner gefunden, wie heißen diese Viren, wieviele Viren wurden gelöscht, wieviele Dateien wurden umbenannt. "Öffne dazu die mwav.log -> Bearbeiten -> Suchen -> 'virus' eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Zitat Cidre) --> Beachte bitte diese beiden Links: Entfernung von Schädlingen und Kompromittierung unvermeidbar?. SD |
|
01.12.2004, 22:47
| #3 |
| | BITEE UM HILFE TR/HideRun.A.6 ich kann die mwav.exe nicht installieren, da er mir gleich sagt, dass sie älter als 30 tage ist ?!
__________________gruß susi |
|
01.12.2004, 22:48
| #4 |
| | BITEE UM HILFE TR/HideRun.A.6 ok, es geht! |
|
01.12.2004, 23:02
| #5 |
| | BITEE UM HILFE TR/HideRun.A.6 Ich komme nicht in den abgesicherten modus rein, was nun? gruß susi |
|
02.12.2004, 01:39
| #7 |
| | BITEE UM HILFE TR/HideRun.A.6 so.. das program ist nach knapp 2 std. durchlaufen endlich fertig... ich hoffe, dass ich das richtige hier reinposte, da es so extrem viel ist, nehm ich nur das ende: Fri Feb 20 01:06:54 2004 => ***** Scanning complete. ***** Fri Feb 20 01:06:54 2004 => Total Number of Files Scanned: 73500 Fri Feb 20 01:06:54 2004 => Total Number of Virus(es) Found: 12 Fri Feb 20 01:06:54 2004 => Total Number of Disinfected Files: 0 Fri Feb 20 01:06:54 2004 => Total Number of Files Renamed: 0 Fri Feb 20 01:06:54 2004 => Total Number of Deleted Files: 0 Fri Feb 20 01:06:54 2004 => Total Number of Errors: 3 Fri Feb 20 01:06:54 2004 => Time Elapsed: 01:46:35 Fri Feb 20 01:06:54 2004 => Virus Database Date: 2004/12/01 Fri Feb 20 01:06:54 2004 => Virus Database Count: 111153 Fri Feb 20 01:06:54 2004 => Scan Completed. Fri Feb 20 01:25:08 2004 => Virus Database Date: 2004/12/01 Fri Feb 20 01:25:08 2004 => Virus Database Count: 111153 Fri Feb 20 01:25:53 2004 => AV Library Unloaded (3)... gruß susi |
|
02.12.2004, 01:50
| #8 |
 | BITEE UM HILFE TR/HideRun.A.6 Da wir aus dieser Darstellung nicht erfahren haben von welcher Art die 12 gefundenen Viren sind, gehe wie folgt vor: Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen (by Cidre) |
|
02.12.2004, 14:23
| #9 |
| | BITEE UM HILFE TR/HideRun.A.6 Also, hier einmal die auszüge mit infected: Fri Feb 20 00:08:09 2004 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.* Fri Feb 20 01:06:54 2004 => Total Number of Disinfected Files: 0 Hier die auszüge mit virus und tagged: Thu Feb 19 23:18:35 2004 => Scanning File C:\bases\virus.avi Thu Feb 19 23:18:36 2004 => Virus Database Date: 2004/12/01 Thu Feb 19 23:18:36 2004 => Virus Database Count: 111153 Thu Feb 19 23:26:30 2004 => File C:\WINDOWS\Downloaded Program Files\imloader.exe tagged as not-a-virus:RiskWare.Downloader.ImLoader.b. No Action Taken. Thu Feb 19 23:26:31 2004 => File C:\WINDOWS\Downloaded Program Files\WinTaskAdX.dll tagged as not-a-virus:AdWare.WinAD. No Action Taken. Thu Feb 19 23:28:36 2004 => File C:\WINDOWS\htpatch.exe tagged as not-a-virus:Tool.Win32.HTPatch.a. No Action Taken. Thu Feb 19 23:40:12 2004 => Scanning File C:\bases\virus.avi Thu Feb 19 23:55:49 2004 => Scanning File C:\Dokumente und Einstellungen\susi\Lokale Einstellungen\Temp\virus.avi Thu Feb 19 23:56:12 2004 => File C:\Dokumente und Einstellungen\susi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0183078B\WinProject[1].dll tagged as not-a-virus:AdWare.WinAD.b. No Action Taken. Fri Feb 20 00:03:42 2004 => File C:\Dokumente und Einstellungen\susi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\O3XFMMZ9\bridge-c18[1].cab tagged as not-a-virus:AdWare.WinAD. No Action Taken. Fri Feb 20 00:05:37 2004 => File C:\gendel32.exe tagged as not-a-virus:RiskWare.Tool.Gendel. No Action Taken. Fri Feb 20 00:06:10 2004 => File C:\Program Files\Windows TaskAd\WinProject.dll tagged as not-a-virus:AdWare.WinAD.b. No Action Taken. Fri Feb 20 00:10:03 2004 => File C:\Programme\hbinst\Hbinst.exe tagged as not-a-virus:AdWare.ToolBar.Hotbar.p. No Action Taken. Fri Feb 20 00:10:04 2004 => File C:\Programme\Hotbar\bin\Hbinst.exe tagged as not-a-virus:AdWare.ToolBar.Hotbar.p. No Action Taken. Fri Feb 20 00:10:04 2004 => File C:\Programme\Hotbar\bin\HbInstIE.dll tagged as not-a-virus:AdWare.ToolBar.Hotbar.p. No Action Taken. Fri Feb 20 00:21:55 2004 => File C:\treiber\sisagp47.exe tagged as not-a-virus:Tool.Win32.HTPatch.a. No Action Taken. Fri Feb 20 00:33:44 2004 => File D:\Programme\SNAKE\setup\gendel32.ex_ tagged as not-a-virus:RiskWare.Tool.Gendel. No Action Taken. Fri Feb 20 01:06:54 2004 => ***** Checking for specific ITW Viruses ***** Fri Feb 20 01:06:54 2004 => Checking for Welchia Virus... Fri Feb 20 01:06:54 2004 => Checking for LovGate Virus... Fri Feb 20 01:06:54 2004 => Checking for CodeRed Virus... Fri Feb 20 01:06:54 2004 => Checking for OpaServ Virus... Fri Feb 20 01:06:54 2004 => Checking for Sobig.e Virus... Fri Feb 20 01:06:54 2004 => Checking for Winupie Virus... Fri Feb 20 01:06:54 2004 => Checking for Swen Virus... Fri Feb 20 01:06:54 2004 => Checking for JS.Fortnight Virus... Fri Feb 20 01:06:54 2004 => Checking for Novarg Virus... Fri Feb 20 01:06:54 2004 => Total Number of Virus(es) Found: 12 kann man damit was anfangen?? (ich hoffe doch) |
|
02.12.2004, 18:07
| #10 |
| |  BITEE UM HILFE TR/HideRun.A.6 ??........... |
|
02.12.2004, 20:38
| #11 |
| Gast | BITEE UM HILFE TR/HideRun.A.6 Lösche die gefundenen Dateien manuell im abg. Modus. Diese hier nicht: Thu Feb 19 23:28:36 2004 => File C:\WINDOWS\htpatch.exe tagged as not-a-virus:Tool.Win32.HTPatch.a. No Action Taken. Fri Feb 20 00:21:55 2004 => File C:\treiber\sisagp47.exe tagged as not-a-virus:Tool.Win32.HTPatch.a. No Action Taken. |
|
02.12.2004, 21:30
| #12 |
| | BITEE UM HILFE TR/HideRun.A.6 ok, habe ich gemacht... noch etwas?? gruß susi |
|
02.12.2004, 21:48
| #13 |
| | BITEE UM HILFE TR/HideRun.A.6 Ja, so´n kleines, abschließendes HJT-Logfile wäre nicht schlecht. 
__________________ Der Mensch sollte eine Hundeseele haben |
|
| Themen zu BITEE UM HILFE TR/HideRun.A.6 |
| adobe, antivir, auf einmal, avg, bho, dll, drivers, dsl, ebay, explorer, google, helper, hijack, hijackthis, hilfe, internet, internet explorer, kein bild, link geklickt, monitor, nvcpl.dll, object, rundll, senden, software, sun java, system, tcpip, temp, trojaner, tuneup utilities, windows, windows messenger, windows xp, windows\system32\drivers |
Linear-Darstellung
