| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: spy.banker.gen5Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
07.08.2012, 08:49
| #1 |
| |  spy.banker.gen5 hallo, zunächst mal vorneweg: ich bin ein absoluter "nullpeiler" was pc, insbesonder viren angeht und habe mich daher mal auf die suche nach hilfe begeben. bei virenfunden heißt es hier immer, dass man nichts selber unternehmen soll, sondern hier berichte etc. posten soll... am freitag hat avira professional auf meinem arbeitsrechner, welche in ein netzwerk eingebunden ist, den virus spy.banker.gen5 gefunden. andere pcs bzw. der server haben keinen fund angezeigt! hier das protokoll von avira: Avira Professional Security Erstellungsdatum der Reportdatei: Freitag, 3. August 2012 13:27 Es wird nach 4056946 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : ************** Seriennummer : ******************** Plattform : Windows 7 Professional Windowsversion : (Service Pack 1) [6.1.7601] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : ****** Versionsinformationen: BUILD.DAT : 12.0.0.1466 46760 Bytes 23.05.2012 16:50:00 AVSCAN.EXE : 12.3.0.15 466896 Bytes 14.05.2012 15:23:20 AVSCAN.DLL : 12.3.0.15 66256 Bytes 14.05.2012 15:23:20 LUKE.DLL : 12.3.0.15 68304 Bytes 14.05.2012 15:23:20 AVSCPLR.DLL : 12.3.0.14 97032 Bytes 08.05.2012 07:16:34 AVREG.DLL : 12.3.0.17 232200 Bytes 10.05.2012 14:17:41 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 16:50:18 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 16:50:55 VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 14:49:02 VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 10:37:03 VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 12:18:17 VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 12:08:00 VBASE006.VDF : 7.11.34.117 2048 Bytes 29.06.2012 12:08:00 VBASE007.VDF : 7.11.34.118 2048 Bytes 29.06.2012 12:08:00 VBASE008.VDF : 7.11.34.119 2048 Bytes 29.06.2012 12:08:00 VBASE009.VDF : 7.11.34.120 2048 Bytes 29.06.2012 12:08:01 VBASE010.VDF : 7.11.34.121 2048 Bytes 29.06.2012 12:08:01 VBASE011.VDF : 7.11.34.122 2048 Bytes 29.06.2012 12:08:01 VBASE012.VDF : 7.11.34.123 2048 Bytes 29.06.2012 12:08:01 VBASE013.VDF : 7.11.34.124 2048 Bytes 29.06.2012 12:08:01 VBASE014.VDF : 7.11.38.18 2554880 Bytes 30.07.2012 06:19:55 VBASE015.VDF : 7.11.38.70 556032 Bytes 31.07.2012 15:19:50 VBASE016.VDF : 7.11.38.143 171008 Bytes 02.08.2012 13:19:39 VBASE017.VDF : 7.11.38.144 2048 Bytes 02.08.2012 13:19:39 VBASE018.VDF : 7.11.38.145 2048 Bytes 02.08.2012 13:19:39 VBASE019.VDF : 7.11.38.146 2048 Bytes 02.08.2012 13:19:39 VBASE020.VDF : 7.11.38.147 2048 Bytes 02.08.2012 13:19:39 VBASE021.VDF : 7.11.38.148 2048 Bytes 02.08.2012 13:19:39 VBASE022.VDF : 7.11.38.149 2048 Bytes 02.08.2012 13:19:39 VBASE023.VDF : 7.11.38.150 2048 Bytes 02.08.2012 13:19:40 VBASE024.VDF : 7.11.38.151 2048 Bytes 02.08.2012 13:19:40 VBASE025.VDF : 7.11.38.152 2048 Bytes 02.08.2012 13:19:40 VBASE026.VDF : 7.11.38.153 2048 Bytes 02.08.2012 13:19:40 VBASE027.VDF : 7.11.38.154 2048 Bytes 02.08.2012 13:19:40 VBASE028.VDF : 7.11.38.155 2048 Bytes 02.08.2012 13:19:40 VBASE029.VDF : 7.11.38.156 2048 Bytes 02.08.2012 13:19:40 VBASE030.VDF : 7.11.38.157 2048 Bytes 02.08.2012 13:19:40 VBASE031.VDF : 7.11.38.186 88064 Bytes 03.08.2012 10:18:39 Engineversion : 8.2.10.126 AEVDF.DLL : 8.1.2.10 102772 Bytes 10.07.2012 10:17:54 AESCRIPT.DLL : 8.1.4.38 455033 Bytes 03.08.2012 08:18:50 AESCN.DLL : 8.1.8.2 131444 Bytes 30.01.2012 07:19:22 AESBX.DLL : 8.2.5.12 606578 Bytes 14.06.2012 12:22:29 AERDL.DLL : 8.1.9.15 639348 Bytes 01.12.2011 16:52:01 AEPACK.DLL : 8.3.0.18 807287 Bytes 27.07.2012 08:20:43 AEOFFICE.DLL : 8.1.2.42 201083 Bytes 19.07.2012 12:47:44 AEHEUR.DLL : 8.1.4.84 5112182 Bytes 03.08.2012 08:18:50 AEHELP.DLL : 8.1.23.2 258422 Bytes 28.06.2012 11:21:31 AEGEN.DLL : 8.1.5.34 434548 Bytes 19.07.2012 12:44:43 AEEXP.DLL : 8.1.0.74 86387 Bytes 03.08.2012 08:18:51 AEEMU.DLL : 8.1.3.2 393587 Bytes 10.07.2012 10:17:51 AECORE.DLL : 8.1.27.2 201078 Bytes 10.07.2012 10:17:51 AEBB.DLL : 8.1.1.0 53618 Bytes 01.12.2011 16:51:52 AVWINLL.DLL : 12.3.0.15 27344 Bytes 14.05.2012 15:23:19 AVPREF.DLL : 12.3.0.15 51920 Bytes 14.05.2012 15:23:20 AVREP.DLL : 12.3.0.15 179208 Bytes 08.05.2012 07:16:34 AVARKT.DLL : 12.3.0.15 211408 Bytes 14.05.2012 15:23:19 AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 14.05.2012 15:23:19 SQLITE3.DLL : 3.7.0.1 398288 Bytes 14.05.2012 15:23:20 AVSMTP.DLL : 12.3.0.15 63952 Bytes 14.05.2012 15:23:20 NETNT.DLL : 12.3.0.15 17104 Bytes 14.05.2012 15:23:20 RCIMAGE.DLL : 12.3.0.15 4713680 Bytes 14.05.2012 15:23:19 RCTEXT.DLL : 12.3.0.15 98512 Bytes 14.05.2012 15:23:19 Konfiguration für den aktuellen Suchlauf: Job Name..............................: AVGuardAsyncScan Konfigurationsdatei...................: C:\ProgramData\Avira\AntiVir Desktop\TEMP\AVGUARD_501b6c0a\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: reparieren Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Beginn des Suchlaufs: Freitag, 3. August 2012 13:27 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PrintIsolationHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WUDFHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AcroRd32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AcroRd32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SIBPPS.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SIBPPS.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'agcp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'conhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'java.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jp2launcher.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'FlashPlayerPlugin_11_3_300_268.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'FlashPlayerPlugin_11_3_300_268.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EXCEL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'agcp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'UNS.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'LMS.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IAStorDataMgrSvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PresentationFontCache.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WINWORD.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'OUTLOOK.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'as.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'as.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sslclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TrayMin230.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rzpjwtch.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DfueMan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DHNC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Kies.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SanDiskSecureAccess_Manager.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KiesPDLR.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SiPaHost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CNMNSST.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BJMYPRT.EXe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KiesTrayAgent.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleDesktop.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Monitor.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardManager.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DVCCSAWTSSetEntryNTE.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DvInesASDMon.Exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RtHDVCpl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IAStorIcon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Dwm.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'taskhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AVWEBGRD.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avmailc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'conhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'atieclxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WLIDSvcM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WLIDSVC.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SiPaHostService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'IJPLMSVC.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hasplms.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DVckService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DcManag.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PSNTSERV.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Datev.Framework.RemoteServiceModel.GenericService2010.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DvInesASDSvc.Exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'armsvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'atiesrxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsm.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wininit.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\Users\*******\AppData\Roaming\AcroIEHelpe.dll' C:\Users\*******\AppData\Roaming\AcroIEHelpe.dll [FUND] Ist das Trojanische Pferd TR/Spy.Banker.Gen5 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '56821cf3.qua' verschoben! Ende des Suchlaufs: Freitag, 3. August 2012 13:27 Benötigte Zeit: 00:10 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 104 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 103 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise seitdem kam öfters eine meldung von avira: Durchgeführte Aktion: Der Zugriff auf die Datei wurde blockiertBeim Zugriff auf Daten der URL "hxxp://mmypierihon.com/index.php" wurde ein Virus oder unerwünschtes Programm 'TR/Spy.Banker.Gen5' [trojan] gefunden. Durchgeführte Aktion: Der Zugriff auf die Datei wurde blockiert seit gestern war es eine andere URL(hxxp://ugebierihon.com/index.php. Beide Seiten sagen mir jedoch gar nichts und ich habe beide Seiten niemals besucht. Heute kamen derartige Meldungen noch gar nicht. Was muss ich jetzt machen? PC-Neuinstallation wäre der absoluter Horror, da es meine PC-Fähigkeiten absolut übersteigt und wir hier keinen eigenen ITler/Administrator haben! Ist "nur" mein PC betroffen oder auch andere PCs im Netzwerk oder gar der Server? Auf anderen PCs kam auf jeden Fall noch keine Meldung von AVIRA. Vielen Dank für Eure Hilfe! |
|
07.08.2012, 11:14
| #2 |
| /// Malware-holic   | spy.banker.gen5 hi
__________________wenn du mit dem gerät onlinebanking machst, lasse es sperren. am ende musst du alle passwörter endern. das ist nen firmen pc, der muss neu gemacht werden, und als firma solltet ihr backups eurer daten haben! 1. Datenrettung:
ich werde außerdem noch weitere punkte dazu posten. 4. alle Passwörter ändern! 5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen. 6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.
__________________ |
|
07.08.2012, 12:03
| #3 |
| | spy.banker.gen5 vielen dank schonmal für die schnelle antwort.
__________________dachte eigentlich, dass ich noch mit einem "blauen auge" davon komme, weil avira seit gestern keine meldungen mehr bringt. was ist denn, wenn ich mit Malwarebytes oder so die infektion behaben will? und wenn ich alles neu installiere: nur mein lokaler PC oder müssen alle PCs im netzwerk und der server auch neu installiert werden? |
|
08.08.2012, 19:41
| #4 |
| /// Malware-holic | spy.banker.gen5 nur den pc. du bist doch mit nem blauen auge davon gekommen, dir ist kein finaanzieller oder sonstiger schaden entstanden, und damit das so bleibt, müssen insbesondere in firmen, sofort bei malware alarm, alle alarm glocken schrillen, das backup aus dem schrank geholt werden, und das betroffene gerät umgehend neu aufgesetzt werden.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
| Themen zu spy.banker.gen5 |
| .dll, acroiehelpe.dll, antivir, avira, ccc.exe, desktop, explorer.exe, iexplore.exe, lsass.exe, modul, mom.exe, monitor.exe, namen, netzwerk, programm, prozesse, rundll, seiten, server, service.exe, services.exe, suche, svchost.exe, taskhost.exe, temp, viren, virus, windows, winlogon.exe |
Linear-Darstellung
