|
Plagegeister aller Art und deren Bekämpfung: Trojaner, böse Trojaner! Wie bekomm ich folgende weg...Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
21.12.2004, 15:58 | #1 |
| Trojaner, böse Trojaner! Wie bekomm ich folgende weg... 20.12.2004,23:14:17 [WARNUNG] Ist das Trojanische Pferd TR/Bundle.C! C:\DOKUMENTE UND EINSTELLUNGEN\CRO\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\KHS3VM6P\BUNDLES53[1].EXE [INFO] Die Datei wurde gelöscht! 20.12.2004,23:16:43 [WARNUNG] Ist das Trojanische Pferd TR/Stomcc.5! C:\DOKUMENTE UND EINSTELLUNGEN\CRO\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\5H716QUF\IDLEUI[1].DLL [INFO] Die Datei wurde gelöscht! 20.12.2004,23:16:57 [WARNUNG] Ist das Trojanische Pferd TR/SecndThought.C.3! C:\DOKUMENTE UND EINSTELLUNGEN\CRO\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\5H716QUF\STC[1].EXE [INFO] Die Datei wurde gelöscht! Hat mir Antivir ausgespuckt als Trojaner ... allerdings gibt es in diesen Pfäden weder diese content teile noch die folgenden datein. der troj. äußert sich in sofern, dass ich STÄNDIG irgendwelche pop ups bekomme und die auch nicht weniger werden egal was ich tue. bitte helft mir |
21.12.2004, 16:01 | #2 |
| Trojaner, böse Trojaner! Wie bekomm ich folgende weg... 1.) Leere deine Temporary Internet Files, z.B. mit Clearprog.
__________________2.) Poste ein HijackThis Logfile. 3.) Scanne dein System mit eScan im abgesicherten Modus und poste was gefunden wird. |
21.12.2004, 17:45 | #3 |
| Trojaner, böse Trojaner! Wie bekomm ich folgende weg... Logfile of HijackThis v1.99.0
__________________Scan saved at 16:21:24, on 21.12.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\RUNDLL32.EXE C:\programme\powerstrip\pstrip.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\valve\steam\steam.exe C:\PROGRA~1\ICQ\ICQ.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\nvsvc32.exe C:\Programme\CxtPls\CxtPls.exe C:\Programme\Mozilla Firefox\firefox.exe C:\mIRC\mirc.exe C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Aware.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\cRo\LOKALE~1\Temp\Rar$EX36.610\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://82.179.166.192/search.php?v=6&aff=181199 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://82.179.166.192/index.php?v=6&aff=181199 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://82.179.166.192/index.php?v=6&aff=181199 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *new-search.net*;*x-google.net* R3 - Default URLSearchHook is missing O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts O1 - Hosts: 82.179.166.192 new-search.net O1 - Hosts: 82.179.166.190 x-google.net O2 - BHO: PerfectNavBHO Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL O2 - BHO: (no name) - {016235BE-59D4-4CEB-ADD5-E2378282A1D9} - C:\Programme\CxtPls\cxtpls.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll O2 - BHO: SDWin32 Class - {A5400069-DFCF-44D9-92CA-C26A54B8243F} - C:\WINDOWS\System32\pwfbn.dll O2 - BHO: SDWin32 Class - {BF82D293-BACB-4477-8BFA-894A066F0405} - C:\WINDOWS\System32\ejzro.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [stcloader] C:\WINDOWS\System32\stcloader.exe O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [Steam] "c:\valve\steam\steam.exe" -silent O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwa...06_regular.cab O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/14d5e008...dxIE601_de.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O17 - HKLM\System\CS1\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O17 - HKLM\System\CS2\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINDOWS\System32\xplugin.dll O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe ---------------------------------------------------------------- File C:\WINDOWS\System32\pwfbn.dll infected by "not-a-virus:AdWare.Adstart.c" Virus. Action Taken: No Action Taken. File C:\WINDOWS\System32\bmk13.exe infected by "Trojan.Win32.Favadd.a" Virus. Action Taken: No Action Taken. File C:\WINDOWS\System32\mdwotepg.exe infected by "Trojan-Downloader.Win32.Envolo.a" Virus. Action Taken: No Action Taken. File C:\WINDOWS\System32\pwfbn.dll infected by "not-a-virus:AdWare.Adstart.c" Virus. Action Taken: No Action Taken. File C:\WINDOWS\System32\xplugin.dll infected by "TrojanDownloader.Win32.Esepor.v" Virus. Action Taken: No Action Taken. File C:\DOKUME~1\cRo\LOKALE~1\Temp\adlinstallwin32.exe infected by "not-a-virus:AdWare.Adstart.b" Virus. Action Taken: No Action Taken. danke im voraus |
21.12.2004, 19:22 | #4 |
Administrator, a.D. | Trojaner, böse Trojaner! Wie bekomm ich folgende weg... Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm und fixe diese Einträge (Haken setzen und auf Fix Checked klicken): R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://82.179.166.192/search.php?v=6&aff=181199 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://82.179.166.192/index.php?v=6&aff=181199 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://82.179.166.192/index.php?v=6&aff=181199 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *new-search.net*;*x-google.net* R3 - Default URLSearchHook is missing O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts O1 - Hosts: 82.179.166.192 new-search.net O1 - Hosts: 82.179.166.190 x-google.net O2 - BHO: PerfectNavBHO Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - C:\PROGRA~1\PERFEC~1\BHO\PERFEC~1.DLL O2 - BHO: (no name) - {016235BE-59D4-4CEB-ADD5-E2378282A1D9} - C:\Programme\CxtPls\cxtpls.dll O2 - BHO: SDWin32 Class - {A5400069-DFCF-44D9-92CA-C26A54B8243F} - C:\WINDOWS\System32\pwfbn.dll O2 - BHO: SDWin32 Class - {BF82D293-BACB-4477-8BFA-894A066F0405} - C:\WINDOWS\System32\ejzro.dll O4 - HKLM\..\Run: [stcloader] C:\WINDOWS\System32\stcloader.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softw...006_regular.cab Lösche diese Dateien: C:\WINDOWS\System32\pwfbn.dll C:\WINDOWS\System32\ejzro.dll C:\Programme\CxtPls\cxtpls.dll Ordner C:\PROGRA~1\PERFEC~1 C:\WINDOWS\System32\bmk13.exe File C:\WINDOWS\System32\mdwotepg.exe C:\WINDOWS\System32\xplugin.dll Leere den Inhalt dieser Ordner: C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temp C:\WINDOWS\Downloaded Program Files C:\Dokumente und Einstellungen\*Benutzername*\Lokale Einstellungen\Temporary Internet Files - Neustart - dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx - IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html - Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org - neues Log-File von HijackThis posten |
21.12.2004, 21:26 | #5 |
| Trojaner, böse Trojaner! Wie bekomm ich folgende weg... Logfile of HijackThis v1.99.0 Scan saved at 21:25:44, on 21.12.2004 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\RUNDLL32.EXE C:\programme\powerstrip\pstrip.exe C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\valve\steam\steam.exe C:\PROGRA~1\ICQ\ICQ.exe C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\wuauclt.exe C:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\cRo\LOKALE~1\Temp\Rar$EX00.516\HijackThis.exe O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [Steam] "c:\valve\steam\steam.exe" -silent O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1103660607640 O17 - HKLM\System\CCS\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O17 - HKLM\System\CS1\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O17 - HKLM\System\CS2\Services\Tcpip\..\{7428097E-F333-4CB2-A352-A188105C3A70}: NameServer = 192.168.2.1 O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe nach dem ich das alles gemacht hab ... clean ? Oo |
21.12.2004, 21:41 | #6 |
Administrator, a.D. | Trojaner, böse Trojaner! Wie bekomm ich folgende weg... Fragt sich bloss wie lange, ohne wichtige Updates bzw. Patches für dein System und deine verwendete Software, dürfte dies ein schwieriges Unterfangen sein. Aber du wirst schon wissen was du tust.
__________________ --> Trojaner, böse Trojaner! Wie bekomm ich folgende weg... |
Themen zu Trojaner, böse Trojaner! Wie bekomm ich folgende weg... |
antivir, bundles, content.ie5, datei, dokumente, einstellungen, files, folge, folgende, folgenden, gelöscht, gen, helft, interne, internet, lokale, pferd, pop ups, temporary, troja, trojaner, trojanische, trojanische pferd, ups, warnung, weg... |