^ und ´ doppelt Trojan.Spyeye und Clicker

tainerrrrrrr · 30.03.2012, 13:31

Ich hab seit gestern das Problem, dass beim tippen die Zeichen ^ und ´ immer doppelt erscheinen (obwohl die beiden Tasten nur 1x gedrückt wurden). Heute wurde direkt ein mbam und emsisoft Scan durchgeführt und nun musste ich feststellen, dass ich mir folgendes trotz aktiviertem Avira! eingefangen hab

hxxp://www.imagebanana.com/view/m9mofw59/v.JPG
hxxp://www.imagebanana.com/view/zhaa32na/vv.JPG

Gelöscht wurde noch nichts, weil ich auf professionelle Tipps von euch warten will. Ist der Befall schwerwiegend, wenn ja kann dieser ohne Neuaufsetzung entfernt werden?

Zitat:

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.03.30.02

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
*** :: *** [Administrator]

30.03.2012 13:28:30
mbam-log-2012-03-30 (14-48-10).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 347541
Laufzeit: 42 Minute(n), 17 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 1
C:\RECYCLE.BIN (Trojan.Spyeyes) -> Keine Aktion durchgeführt.

Infizierte Dateien: 2
C:\Recycle.Bin\B6232F~1.EXE (Trojan.Clicker) -> Keine Aktion durchgeführt.
C:\RECYCLE.BIN\43C5B8FDD745D35 (Trojan.Spyeyes) -> Keine Aktion durchgeführt.

(Ende)

HiJackthis Logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 14:53:42, on 30.03.2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Creative\Shared Files\CTAudSvc.exe
D:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\GEMEIN~1\Stardock\SDMCP.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe
D:\Programme\Genie-Soft\Genie Timeline\GSTimeLineAgent.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Creative\DVDAudio\CTDVDDET.EXE
D:\Programme\OO Software\Defrag\oodtray.exe
D:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\Avira\AntiVir Desktop\avguard.exe
D:\Programme\Stardock\ObjectDockFree\ObjectDock.exe
D:\Programme\Genie-Soft\Genie Timeline\GenieTimelineService.exe
D:\Programme\Styler\Styler.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
D:\Programme\OO Software\Defrag\oodag.exe
C:\WINDOWS\system32\PnkBstrA.exe
D:\Programme\Prio\prio_svc.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\WireHelpSvc.exe
D:\Programme\Avira\AntiVir Desktop\avshadow.exe
D:\Programme\Avira\AntiVir Desktop\avmailc.exe
D:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE
C:\WINDOWS\system32\wscntfy.exe
D:\Programme\Genie-Soft\Genie Timeline\WebServer\PHP\php-cgi.exe
D:\Programme\Genie-Soft\Genie Timeline\WebServer\nginx\GSTimeLineSearch.exe
D:\Programme\Genie-Soft\Genie Timeline\WebServer\nginx\GSTimeLineSearch.exe
D:\Programme\Malwarebytes' Anti-Malware\mbam.exe
F:\EMSISOFTEMERGENCYKIT1\RUN\A2EMERGENCYKIT.EXE
F:\operausb1161de\opera.exe
C:\Programme\Trend Micro\HiJackThis\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://go.microsoft.com/fwlink/?LinkId=74005
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Programme\Soluto\soluto.exe /userinit,
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre7\bin\jp2ssv.dll
O2 - BHO: Loader Class - {F880A4A8-C436-4AC4-AFD1-AA0BDC9552DD} - F:\gaia\FindeXer_Nightly_Build_1_1_0_3_by_krosavcheg\FindeXer Nightly V1.1.0.3\FindeXer.dll
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - D:\Programme\Styler\TB\StylerTB.dll
O4 - HKLM\..\Run: [NUSB3MON] "C:\Programme\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"
O4 - HKLM\..\Run: [Genie TimeLine Tray] D:\Programme\Genie-Soft\Genie Timeline\GSTimeLineAgent.exe -auto
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [OODefragTray] D:\Programme\OO Software\Defrag\oodtray.exe
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [GBTUpd] C:\Programme\GIGABYTE\GBTUpd\PreRun.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit -login
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nview\nwiz.exe /installquiet
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1454471165-884357618-682003330-1013\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'UpdatusUser')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stardock ObjectDock.lnk = D:\Programme\Stardock\ObjectDockFree\ObjectDock.exe
O4 - Startup: Styler.lnk = ?
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: hxxp://*.secunia.com
O16 - DPF: {0067DBFC-A752-458C-AE6E-B9C7E63D4824} (Geräteerkennung) - hxxp://www.logitech.com/devicedetector/plugins/LogitechDeviceDetection32.cab
O16 - DPF: {0D6709DD-4ED8-40CA-B459-2757AEEF7BEE} (Dldrv2 Control) - hxxp://download.gigabyte.com.tw/object/Dldrv.ocx
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1261919020127
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - hxxp://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - hxxp://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O20 - AppInit_DLLs: prio.dll
O20 - Winlogon Notify: !SASWinLogon - D:\Programme\SUPERAntiSpyware\SASWINLO.DLL
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: ObjectDockShellExt - {1984D045-52CF-49cd-DB77-08F378FEA4DB} - D:\Programme\Stardock\ObjectDockFree\ODMenu.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Avira Email Schutz (AntiVirMailService) - Avira Operations GmbH & Co. KG - D:\Programme\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira Planer (AntiVirSchedulerService) - Avira Operations GmbH & Co. KG - D:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira Echtzeit Scanner (AntiVirService) - Avira Operations GmbH & Co. KG - D:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira Browser Schutz (AntiVirWebService) - Avira Operations GmbH & Co. KG - D:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: Creative Dolby Digital Live Pack Licensing Service - Creative Labs - C:\Programme\Gemeinsame Dateien\Creative Labs Shared\Service\DDLLicensing.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTAudSvc.exe
O23 - Service: Genie Timeline Service (GenieTimelineService) - Genie-Soft - D:\Programme\Genie-Soft\Genie Timeline\GenieTimelineService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Programme\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
O23 - Service: O&O Defrag (OODefragAgent) - O&O Software GmbH - D:\Programme\OO Software\Defrag\oodag.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Prio Service (prio_svc) - Unknown owner - D:\Programme\Prio\prio_svc.exe
O23 - Service: Sandboxie Service (SbieSvc) - SANDBOXIE L.T.D - D:\Programme\Sandboxie\SbieSvc.exe
O23 - Service: WireHelpSvc - Unknown owner - C:\Programme\Gemeinsame Dateien\WireHelpSvc.exe

--
End of file - 9524 bytes

--- --- ---

markusg · 30.03.2012, 14:28

hi
nutzt du den pc für onlinebanking, einkäufe, sonstige zahlungsabwicklungen, oder ähnlich wichtiges, wie berufliches?

tainerrrrrrr · 30.03.2012, 14:33

Der Pc wird hauptsächlich für Spiele genutzt. Nur Paypal für ein bis zwei Onlinekäufe im Jahr. Paypal Passwort wird zudem nicht eingegeben sondern ist über Lastpass im Firefox gespeichert und sonst kein Onlinebanking.

Edit: Die Emails laufen über Thunderbird und werden auf den Rechner runtergeladen. Könnte sein, dass ein paar Mails meine Anschrift/Adresse beinhalten.

markusg · 30.03.2012, 14:36

da du online einkaufst etc
der pc muss neu aufgesetzt und dann abgesichert werden

1. Datenrettung:

deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
dann sichere Daten auf einen externen Datenträger (USB-Platte): http://www.trojaner-board.de/82533-d...ted-magic.html
Bider, Dokumente, Musik, Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neuinstallieren:

nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
Recovery CD oder Recovery Partition?
falls dies ein Fertig-PC ist, nenne Hersteller + Typ.
Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

tainerrrrrrr · 30.03.2012, 14:41

Und mit entfernen wird das nichts?

Habe den Trojaner "erst" seit gestern da ich letzte Woche noch ein paar Scans gemacht habe. Paypal wurde auch seit einem Monat nicht mehr benutzt.

zu deinen Punkten

2. ist kein Fertig PC und ich weiß wie man formatiert

markusg · 30.03.2012, 14:43

naja, nur weil du scans gemacht hast, und nichts gefunden hast, heißt es nicht, dass er nicht schon da war.
nicht umsonst gibts täglich updates, weil täglich neue erkennungen hinzukommen.
und ja, formatieren ist nötig

tainerrrrrrr · 30.03.2012, 14:47

Falls mein Pc mit dem Trojaner (mal angenommen) schon länger infiziert war, müsste das Problem mit den ^ und ´ Zeichen auch länger bestehen, oder nicht? Letzteres ist ja erst seit gestern der Fall.

Live Cd o.ä. ist in dem Fall nicht nötig um meine Daten zu sichern?

markusg · 30.03.2012, 14:49

der trojaner kann weitere komponennten nachgeladen haben.
cd ist nicht nötig.

30.03.2012, 14:28	#2
markusg /// Malware-holic	^ und ´ doppelt Trojan.Spyeye und Clicker hi nutzt du den pc für onlinebanking, einkäufe, sonstige zahlungsabwicklungen, oder ähnlich wichtiges, wie berufliches? __________________ __________________

30.03.2012, 14:43	#6
markusg /// Malware-holic	^ und ´ doppelt Trojan.Spyeye und Clicker naja, nur weil du scans gemacht hast, und nichts gefunden hast, heißt es nicht, dass er nicht schon da war. nicht umsonst gibts täglich updates, weil täglich neue erkennungen hinzukommen. und ja, formatieren ist nötig __________________ --> ^ und ´ doppelt Trojan.Spyeye und Clicker

^ und ´ doppelt Trojan.Spyeye und Clicker

Plagegeister aller Art und deren Bekämpfung: ^ und ´ doppelt Trojan.Spyeye und Clicker