Hallo zusammen,
ich habe da probleme mit einem Trojaner den ich nicht mehr los werden.
Es scheint sich laut AntiVir um TR/Drop.StartP.TJ2 zu handeln, der andauernt neu in der Temp datei erstellt wird, und sich weder löschen noch sonstwas läßt .
Ich bin nicht sonderlich fit was das ganze angeht, habe aber durch das lesen diverser threats ein Hijack log erstellt und werde es zusätzlich hier einmal posten.
Wäre nett wenn mir jemand ein program zur beseitigung empfehlen kann oder mir einmal beschreibt wie ich vorgehen soll.
Danke für eure Zeit im vorraus.

PS: Nun der log...

Logfile of HijackThis v1.99.0
Scan saved at 12:35:53, on 09.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\msupdate.cmd
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\devldr32.exe
E:\DOWNLOADS\Anti Viren Programme\HijackThis\HijackThis.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\AVPersonal\GUARDGUI.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [WinTimer] "C:\WINDOWS\system32\msupdate.cmd"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\Office10\EXCEL.EXE/3000
O16 - DPF: {B3872502-F9FD-4E96-93FF-0D37298F0689} (SOESysInfo Control) - http://everquest2.station.sony.com/s...soesysinfo.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C6CF1674-2472-4B48-94D4-4CB6B8788BFB}: NameServer = 217.237.150.225 217.237.150.141
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Das ist noch (viel) mehr als nur der Dropper....
=> Scanne dein System bitte mit eScan im abgesicherten Modus (Anleitung genau befolgen!) und poste was gefunden wird. Am einfachsten machst du das so:
Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren) und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Nach dem Neustart kannst du die Infos aus der Datei dann einfach ins Forum kopieren.

Poste bitte auch folgendes aus der mwav.log (steht ganz am Ende):

Total Number of Files Scanned:
Total Number of Virus(es) Found:
Total Number of Disinfected Files:
Total Number of Files Renamed:
Total Number of Deleted Files:
Total Number of Errors:
Time Elapsed:

Hallo Haui, danke erstmal für deine schnelle Antwort,
ich habe das mal alles genauso gemacht wie du es mir empholen hast, und hier nun meine Log Auswertung....


File C:\WINDOWS\system32\msupdate.cmd infected by "Trojan.Win32.StartPage.tj" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\WIN23.TMP.VIR infected by "Trojan.Win32.StartPage.tj" Virus. Action Taken: No Action Taken.
File E:\DOWNLOADS\Babylon3.1\babylon31.exe infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.
File E:\DOWNLOADS\mIRC\mirc616.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File E:\DOWNLOADS\Treiber\ACER TK Anlage\ta.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File E:\SPIELE\Tetris\tetris99.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Wed Feb 09 13:50:16 2005 => ***** Scanning complete. *****

Wed Feb 09 13:50:16 2005 => Total Files Scanned: 39175
Wed Feb 09 13:50:16 2005 => Total Virus(es) Found: 6
Wed Feb 09 13:50:16 2005 => Total Disinfected Files: 0
Wed Feb 09 13:50:16 2005 => Total Files Renamed: 0
Wed Feb 09 13:50:16 2005 => Total Deleted Files: 0
Wed Feb 09 13:50:16 2005 => Total Errors: 45
Wed Feb 09 13:50:16 2005 => Time Elapsed: 00:42:09
Wed Feb 09 13:50:16 2005 => Virus Database Date: 2005/02/09
Wed Feb 09 13:50:16 2005 => Virus Database Count: 117589

Wed Feb 09 13:50:16 2005 => Scan Completed.


Wie soll ich nun weiter vorgehen, haste da ne Idee ? oder jemand anderes vielleicht ?

Danke für Eure Zeit

Schmiddi

Überprüfe online bei http://virusscan.jotti.org/
C:\WINDOWS\system32\msupdate.cmd
PDSched.exe <- Windowssuche

Melde dich mit dem Ergebnis wieder, ich kann mir nicht vorstellen, dass eScan nur so wenige Dateien identifiziert hat...

Ok hier das Ergenis von Jotti :

Service load: 0% 100%

File: msupdate.cmd
Status: INFECTED/MALWARE
Packers detected: FSG

AntiVir No viruses found (0.22 seconds taken)
Avast No viruses found (1.51 seconds taken)
AVG Antivirus No viruses found (1.10 seconds taken)
BitDefender No viruses found (0.48 seconds taken)
ClamAV No viruses found (0.40 seconds taken)
Dr.Web No viruses found (0.55 seconds taken)
F-Prot Antivirus No viruses found (0.10 seconds taken)
Fortinet No viruses found (0.38 seconds taken)
Kaspersky Anti-Virus Trojan.Win32.StartPage.tj (0.62 seconds taken)
mks_vir No viruses found (0.21 seconds taken)
NOD32 Win32/StartPage.TJ (0.39 seconds taken)
Norman Virus Control No viruses found (0.82 seconds taken)

Wo finde ich das PDsched.exe konnte es per Windows Suche nicht finden auf meinen Festplatten?
Und zu deinem Zweifel ich bin genau nach Anleitung vorgegangen und habe im Abgesicherten Modus Escan suchen lassen und das Ergebnis via Textdatei hierher kopiert...wie werden ich diesen miesen Trojaner blos wieder los ?

Danke für die bisher schnellen Antworten

Schmiddi

Versuch mal die "PDshed.exe" über die Windowssuche zu finden.
Unter "weitere Optionen" bitte die Haken wie folgt setzen:
[x] Systemordner durchsuchen
[x] Versteckte Elemente durchsuchen
[x] Unterordner durchsuchen

PS: natürlich alle Festplatten durchsuchen.