Trojaner - GVU (Urheberrechtsverletzung ohne Webcam)

cosinus · 21.05.2013, 12:58

Zitat:

* Der Rechner startet sehr langsam nach einem Neustart
* Auch bis das ausgewählte Benutzerkonto gestartet ist, dauert recht lange.
(Wenns ein Auto wäre, würde man denken, man fährt mit angezogener Handbremse den Berg hoch).

Ist nur noch das offen?
Probier mal => http://www.trojaner-board.de/71631-p...tml#post425616

Wendel · 21.05.2013, 14:14

Danke für den Link zum Beschleunigen des Rechners.
Ich werde es mir mal anschauen und die Anweisungen durcharbeiten

Ein bischen aufräumen sollten wir noch.
Die Files bzw. Ordner, die ich inzwischen auf dem Desktop habe,
kann ich ja einfach löschen.
Die installierten Programme bekomme ich ja über die Systemsteuerung gelöscht, richtig ?

Gibt es in der Ordnerstruktur noch was, wo ich manuell nachhelfen muß ?

Gibt es sonst noch irgendwas zu beachten beim Aufräumen ?

btw.:
Service-Pack 3 hätte ich installieren sollen, hast Du am Anfang erwähnt.
Soll ich das jetzt noch nachholen ?
(Hast Du nen Downloadlink für WinXP parat ?)

Code:

ATTFilter

Ihre Bestätigungsnummer lautet: 26C536920P008645D.  (Trojaner-Board-Spende)

Wie versprochen ist die Spende raus - Nochmals ein herzliches

für den genialen Support !

cosinus · 21.05.2013, 14:51

SP3 für Windows XP (32-Bit) installieren

Das SP3 von hier downloaden => Detail Seite Windows XP Service Pack 3-Netzwerkinstallationspaket für IT-Spezialisten und Entwickler (und ja es ist das richtige Paket für dich)
Alle Programme beenden, Internetverbindung trennen, Virenscanner abstellen!
SP3 instalieren, Anweisungen folgen - Installation sollte ca. 15-20 Minuten dauern. Kann auch schneller gehen, bei älteren Rechnern dauert es ca. ne halbe Stunde - nach der Installation Rechner neu starten

Wendel · 22.05.2013, 21:12

Ich habe jetzt gestern ein paar Programme deinstalliert,
im Autostart alles deaktiviert was mit Samsung Kies zu tun hat und
stundenlang defragmentiert.

Wirklich merklich fixer ist der Rechner beim Starten aber nicht geworden.

Jetzt wollte ich mir noch das Service-Pack 3 laden,
jedenfalls meldet sich gerade AVIRA und zwei Funden,
wobei die 2 Dateien in die Quarantäne verschoben wurden.
Die dürften daher noch nichts angerichtet haben.

Kann ich die jetzt einfach löschen ?

Code:

ATTFilter

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 22. Mai 2013  21:41

Es wird nach 4668085 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 2)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : ACER-LAPTOP

Versionsinformationen:
BUILD.DAT      : 10.2.0.704     35934 Bytes  28.09.2011 13:14:00
AVSCAN.EXE     : 10.3.0.7      484008 Bytes  21.07.2011 10:08:11
AVSCAN.DLL     : 10.0.5.0       57192 Bytes  21.07.2011 10:10:57
LUKE.DLL       : 10.3.0.5       45416 Bytes  21.07.2011 10:09:32
LUKERES.DLL    : 10.0.0.0       13672 Bytes  14.01.2010 12:22:40
AVSCPLR.DLL    : 10.3.0.7      119656 Bytes  21.07.2011 10:08:11
AVREG.DLL      : 10.3.0.9       90472 Bytes  21.07.2011 10:08:05
VBASE000.VDF   : 7.11.70.0   66736640 Bytes  04.04.2013 08:53:11
VBASE001.VDF   : 7.11.74.226  2201600 Bytes  30.04.2013 20:01:10
VBASE002.VDF   : 7.11.74.227     2048 Bytes  30.04.2013 20:01:10
VBASE003.VDF   : 7.11.74.228     2048 Bytes  30.04.2013 20:01:10
VBASE004.VDF   : 7.11.74.229     2048 Bytes  30.04.2013 20:01:10
VBASE005.VDF   : 7.11.74.230     2048 Bytes  30.04.2013 20:01:10
VBASE006.VDF   : 7.11.74.231     2048 Bytes  30.04.2013 20:01:10
VBASE007.VDF   : 7.11.74.232     2048 Bytes  30.04.2013 20:01:10
VBASE008.VDF   : 7.11.74.233     2048 Bytes  30.04.2013 20:01:11
VBASE009.VDF   : 7.11.74.234     2048 Bytes  30.04.2013 20:01:11
VBASE010.VDF   : 7.11.74.235     2048 Bytes  30.04.2013 20:01:11
VBASE011.VDF   : 7.11.74.236     2048 Bytes  30.04.2013 20:01:11
VBASE012.VDF   : 7.11.74.237     2048 Bytes  30.04.2013 20:01:11
VBASE013.VDF   : 7.11.74.238     2048 Bytes  30.04.2013 20:01:13
VBASE014.VDF   : 7.11.75.97    181248 Bytes  02.05.2013 20:01:17
VBASE015.VDF   : 7.11.75.183   217600 Bytes  03.05.2013 20:01:20
VBASE016.VDF   : 7.11.76.27    183808 Bytes  04.05.2013 20:01:21
VBASE017.VDF   : 7.11.76.101   194048 Bytes  06.05.2013 20:01:22
VBASE018.VDF   : 7.11.76.213   163328 Bytes  07.05.2013 20:01:23
VBASE019.VDF   : 7.11.77.41    134656 Bytes  08.05.2013 20:01:23
VBASE020.VDF   : 7.11.77.145   141312 Bytes  10.05.2013 20:01:03
VBASE021.VDF   : 7.11.77.225   155648 Bytes  12.05.2013 19:05:47
VBASE022.VDF   : 7.11.78.21    202752 Bytes  13.05.2013 20:01:58
VBASE023.VDF   : 7.11.78.71    140800 Bytes  13.05.2013 19:04:30
VBASE024.VDF   : 7.11.78.147   167936 Bytes  15.05.2013 19:04:31
VBASE025.VDF   : 7.11.78.207   147456 Bytes  16.05.2013 10:04:27
VBASE026.VDF   : 7.11.79.17    198656 Bytes  17.05.2013 10:04:28
VBASE027.VDF   : 7.11.79.81    251392 Bytes  20.05.2013 15:18:08
VBASE028.VDF   : 7.11.79.82      2048 Bytes  20.05.2013 15:18:08
VBASE029.VDF   : 7.11.79.83      2048 Bytes  20.05.2013 15:18:08
VBASE030.VDF   : 7.11.79.84      2048 Bytes  20.05.2013 15:18:08
VBASE031.VDF   : 7.11.79.124   126976 Bytes  21.05.2013 20:03:12
Engineversion  : 8.2.12.44 
AEVDF.DLL      : 8.1.2.10      102772 Bytes  10.07.2012 20:01:06
AESCRIPT.DLL   : 8.1.4.116     487805 Bytes  18.05.2013 10:04:37
AESCN.DLL      : 8.1.10.4      131446 Bytes  26.03.2013 21:01:07
AESBX.DLL      : 8.2.5.12      606578 Bytes  14.06.2012 20:02:46
AERDL.DLL      : 8.2.0.88      643444 Bytes  10.01.2013 21:01:15
AEPACK.DLL     : 8.3.2.12      754040 Bytes  08.05.2013 20:01:30
AEOFFICE.DLL   : 8.1.2.56      205180 Bytes  08.03.2013 21:01:31
AEHEUR.DLL     : 8.1.4.368    5943673 Bytes  18.05.2013 10:04:36
AEHELP.DLL     : 8.1.25.10     258425 Bytes  08.05.2013 20:01:27
AEGEN.DLL      : 8.1.7.4       442741 Bytes  08.05.2013 20:01:27
AEEXP.DLL      : 8.4.0.30      201078 Bytes  18.05.2013 10:04:38
AEEMU.DLL      : 8.1.3.2       393587 Bytes  10.07.2012 20:01:05
AECORE.DLL     : 8.1.31.2      201080 Bytes  20.02.2013 10:42:46
AEBB.DLL       : 8.1.1.4        53619 Bytes  05.11.2012 21:01:06
AVWINLL.DLL    : 10.0.0.0       19304 Bytes  21.04.2011 05:52:39
AVPREF.DLL     : 10.0.3.2       44904 Bytes  21.07.2011 10:08:05
AVREP.DLL      : 10.0.0.10     174120 Bytes  21.07.2011 10:08:06
AVARKT.DLL     : 10.0.26.1     255336 Bytes  21.07.2011 10:07:41
AVEVTLOG.DLL   : 10.0.0.9      203112 Bytes  21.07.2011 10:07:59
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  21.07.2011 13:12:30
AVSMTP.DLL     : 10.0.0.17      63848 Bytes  21.04.2011 05:52:38
NETNT.DLL      : 10.0.0.0       11624 Bytes  21.04.2011 05:52:50
RCIMAGE.DLL    : 10.0.0.35    2589544 Bytes  21.07.2011 10:11:03
RCTEXT.DLL     : 10.0.64.0      98664 Bytes  21.07.2011 10:11:03

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: avguard_async_scan
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_51d5ea8c\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Mittwoch, 22. Mai 2013  21:41

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msimn.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Kies.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KiesPDLR.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WPFFontCache_v0400.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KiesTrayAgent.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Acer.Empowering.Framework.Launcher.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxext.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DriverBoost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'volumouse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLTRAY.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vsnpstd3.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LManager.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtkBtMnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'eRAgent.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'eDSloader.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ePower_DMC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ePresentation.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxsrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Iaanotif.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'StartSkysolSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RichVideo.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'UpdaterService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LSSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'java.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Iaantmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wrapper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BTNtService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'bcmwltry.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLTRYSVC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\sorttable[1].js'
C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\sorttable[1].js
  [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/ExpKit.Gen3
Beginne mit der Suche in 'C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\jquery-tablesorter.min[1].js'
C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\jquery-tablesorter.min[1].js
  [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/ExpKit.Gen3

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\jquery-tablesorter.min[1].js
  [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/ExpKit.Gen3
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '567885a1.qua' verschoben!
C:\Dokumente und Einstellungen\Anwender\Lokale Einstellungen\Temporary Internet Files\Content.IE5\LH53DQ1F\sorttable[1].js
  [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/ExpKit.Gen3
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ef2aa04.qua' verschoben!


Ende des Suchlaufs: Mittwoch, 22. Mai 2013  21:47
Benötigte Zeit: 00:45 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
     73 Dateien wurden geprüft
      2 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      2 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
     71 Dateien ohne Befall
      0 Archive wurden durchsucht
      0 Warnungen
      2 Hinweise


Die Suchergebnisse werden an den Guard übermittelt.

cosinus · 22.05.2013, 21:22

Das sind nur Funde in den Temp-Ordner. Leere bitte mit TFC.

TFC - Temp File Cleaner

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe und drücke auf Start.
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.

Wendel · 22.05.2013, 22:49

Ich habe inzwischen TFC ausgeführt,
Rückmeldung kam folgende:

Code:

ATTFilter

Getting user folders.
 
Stopping running processes.
 
Emptying Temp folders.
 
 
User: Admin
 
User: Administrator
 
User: All Users
 
User: Anwender
 
User: Default User
 
User: Gast
 
User: Internet
 
User: LocalService
 
User: NetworkService
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 271448 bytes
 
Emptying RecycleBin. Do not interrupt.
 
RecycleBin emptied: 0 bytes
Process complete!
 
Total Files Cleaned = 0,00 mb

Wie es scheint konnten die beiden Files in dem Quarantaine-Ordner weder gefunden
noch gelöscht werden.

Ich habe jetzt selber mal nach dem besagten Quarantäneverzeichnis '4ef2aa04.qua' gesucht, bzw. suchen lassen.
Windows hat dieses auch nicht gefunden (?)

Ich werde jetzt erstmal die SP 3 - Installation laden ...

cosinus · 22.05.2013, 22:57

Jupp, SP3 muss unbedingt druff

Wendel · 23.05.2013, 11:59

so, SP3 is druff !

In einem parallelen Thema habe ich gelesen, daß dieser GVU-Trojaner sich gern einschleicht,
wenn Java nicht mehr aktuell ist.

Das sollte meinen Einstellungen zufolge eigentlich aktuell gehalten werden.
Dies ist aber offensichtlich nicht passiert (siehe Screen-Shot).
Selbst wenn ich auf "Jetzt aktuallisieren" drücke, dann passiert gar nichts.

Wie gehe ich da diesbzgl. jetzt am besten weiter vor ?

cosinus · 23.05.2013, 12:08

In dem gleichen Ort kannst du die Browserplugins für Java deaktivieren. Dann kann selbst eine veraltete Java-Version nicht mal eben so durch das Ansurfen auf einer mit Java-Exploits gespickten Seite für Ärger sorgen, da das Plugin im Browser garnicht aktiv ist.

Probleme jetzt soweit alle behoben? Die letzten Kontrollscans waren ja auch ok

22.05.2013, 22:57	#52
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner - GVU (Urheberrechtsverletzung ohne Webcam) Jupp, SP3 muss unbedingt druff __________________ Logfiles bitte immer in CODE-Tags posten

Trojaner - GVU (Urheberrechtsverletzung ohne Webcam)

Plagegeister aller Art und deren Bekämpfung: Trojaner - GVU (Urheberrechtsverletzung ohne Webcam)