Hallo zusammen,
ich habe da probleme mit einem Trojaner den ich nicht mehr los werden.
Es scheint sich laut AntiVir um TR/Drop.StartP.TJ2 zu handeln, der andauernt neu in der Temp datei erstellt wird, und sich weder löschen noch sonstwas läßt .
Ich bin nicht sonderlich fit was das ganze angeht, habe aber durch das lesen diverser threats ein Hijack log erstellt und werde es zusätzlich hier einmal posten.
Wäre nett wenn mir jemand ein program zur beseitigung empfehlen kann oder mir einmal beschreibt wie ich vorgehen soll.
Danke für eure Zeit im vorraus.

PS: Nun der log...

Logfile of HijackThis v1.99.0
Scan saved at 12:35:53, on 09.02.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\msupdate.cmd
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\devldr32.exe
E:\DOWNLOADS\Anti Viren Programme\HijackThis\HijackThis.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\AVPersonal\GUARDGUI.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [WinTimer] "C:\WINDOWS\system32\msupdate.cmd"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\Office10\EXCEL.EXE/3000
O16 - DPF: {B3872502-F9FD-4E96-93FF-0D37298F0689} (SOESysInfo Control) - http://everquest2.station.sony.com/s...soesysinfo.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C6CF1674-2472-4B48-94D4-4CB6B8788BFB}: NameServer = 217.237.150.225 217.237.150.141
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Das ist noch (viel) mehr als nur der Dropper....
=> Scanne dein System bitte mit eScan im abgesicherten Modus (Anleitung genau befolgen!) und poste was gefunden wird. Am einfachsten machst du das so:
Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren) und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Nach dem Neustart kannst du die Infos aus der Datei dann einfach ins Forum kopieren.

Poste bitte auch folgendes aus der mwav.log (steht ganz am Ende):

Total Number of Files Scanned:
Total Number of Virus(es) Found:
Total Number of Disinfected Files:
Total Number of Files Renamed:
Total Number of Deleted Files:
Total Number of Errors:
Time Elapsed:

Hallo Haui, danke erstmal für deine schnelle Antwort,
ich habe das mal alles genauso gemacht wie du es mir empholen hast, und hier nun meine Log Auswertung....


File C:\WINDOWS\system32\msupdate.cmd infected by "Trojan.Win32.StartPage.tj" Virus. Action Taken: No Action Taken.
File C:\Programme\AVPersonal\INFECTED\WIN23.TMP.VIR infected by "Trojan.Win32.StartPage.tj" Virus. Action Taken: No Action Taken.
File E:\DOWNLOADS\Babylon3.1\babylon31.exe infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.
File E:\DOWNLOADS\mIRC\mirc616.exe tagged as not-a-virus:RiskWare.mIRC.6.16. No Action Taken.
File E:\DOWNLOADS\Treiber\ACER TK Anlage\ta.zip tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File E:\SPIELE\Tetris\tetris99.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

Wed Feb 09 13:50:16 2005 => ***** Scanning complete. *****

Wed Feb 09 13:50:16 2005 => Total Files Scanned: 39175
Wed Feb 09 13:50:16 2005 => Total Virus(es) Found: 6
Wed Feb 09 13:50:16 2005 => Total Disinfected Files: 0
Wed Feb 09 13:50:16 2005 => Total Files Renamed: 0
Wed Feb 09 13:50:16 2005 => Total Deleted Files: 0
Wed Feb 09 13:50:16 2005 => Total Errors: 45
Wed Feb 09 13:50:16 2005 => Time Elapsed: 00:42:09
Wed Feb 09 13:50:16 2005 => Virus Database Date: 2005/02/09
Wed Feb 09 13:50:16 2005 => Virus Database Count: 117589

Wed Feb 09 13:50:16 2005 => Scan Completed.


Wie soll ich nun weiter vorgehen, haste da ne Idee ? oder jemand anderes vielleicht ?

Danke für Eure Zeit

Schmiddi

Überprüfe online bei http://virusscan.jotti.org/
C:\WINDOWS\system32\msupdate.cmd
PDSched.exe <- Windowssuche

Melde dich mit dem Ergebnis wieder, ich kann mir nicht vorstellen, dass eScan nur so wenige Dateien identifiziert hat...

Ok hier das Ergenis von Jotti :

Service load: 0% 100%

File: msupdate.cmd
Status: INFECTED/MALWARE
Packers detected: FSG

AntiVir No viruses found (0.22 seconds taken)
Avast No viruses found (1.51 seconds taken)
AVG Antivirus No viruses found (1.10 seconds taken)
BitDefender No viruses found (0.48 seconds taken)
ClamAV No viruses found (0.40 seconds taken)
Dr.Web No viruses found (0.55 seconds taken)
F-Prot Antivirus No viruses found (0.10 seconds taken)
Fortinet No viruses found (0.38 seconds taken)
Kaspersky Anti-Virus Trojan.Win32.StartPage.tj (0.62 seconds taken)
mks_vir No viruses found (0.21 seconds taken)
NOD32 Win32/StartPage.TJ (0.39 seconds taken)
Norman Virus Control No viruses found (0.82 seconds taken)

Wo finde ich das PDsched.exe konnte es per Windows Suche nicht finden auf meinen Festplatten?
Und zu deinem Zweifel ich bin genau nach Anleitung vorgegangen und habe im Abgesicherten Modus Escan suchen lassen und das Ergebnis via Textdatei hierher kopiert...wie werden ich diesen miesen Trojaner blos wieder los ?

Danke für die bisher schnellen Antworten

Schmiddi

Versuch mal die "PDshed.exe" über die Windowssuche zu finden.
Unter "weitere Optionen" bitte die Haken wie folgt setzen:
[x] Systemordner durchsuchen
[x] Versteckte Elemente durchsuchen
[x] Unterordner durchsuchen

PS: natürlich alle Festplatten durchsuchen.

Also die Datei PDSched.exe läßt sich auf meinem Rechner nicht finden

Was tue ich denn nun, bin etwas auf den Rechner angewiesen und mit dem Trojaner und der ständigen Meldungen ist das Internet eine Qual...bleibt mir nur der Format C: ??

Hilfe bitte

Danke

Schmiddi

In der Tat, format c: wäre die beste Lösung, da wir nicht wissen, was sich so auf deinem PC tummelt(e). -> Anleitung


Alternativ, jedoch ohne die Sicherheit wieder mit einem vertrauenswürdigen System zu arbeiten:

In den abgesicherten Modus booten.

mit HijackThis fixen:

O4 - HKLM\..\Run: [WinTimer] "C:\WINDOWS\system32\msupdate.cmd"
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe

O16 - DPF: {B3872502-F9FD-4E96-93FF-0D37298F0689} (SOESysInfo Control) - http://everquest2.station.sony.com/.../soesysinfo.cab (falls nicht bekannt)

manuell löschen:
C:\WINDOWS\system32\msupdate.cmd
E:\DOWNLOADS\Babylon3.1\babylon31.exe

Temp und Temporary Internet Files löschen, z.B. mit www.clearprog.de

Quarantäne-Ordner von AntiVir leeren.

Neustart.

Windowsupdate durchführen!
Alternativen Browser verwenden.

Problem gelöst?

Werde nun erstmal deinem Alternativ Weg folgen, das ein Format C: im moment meine Nerven sprengen würde
Sieht es denn nach einem Backdoor bei mir aus oder eher nicht ? ich weis nicht was diese Datein sind die ich da löschen soll

Ist das SP2 ratsam und gibts da ne Anleitung zu ? meine Freunde hatten alle tierisch Probleme mit SP2.

Da ich im Internet ein Spiel spiele ab und zu würde ich gerne wissen wie ich die SP Firewall abschalten kann, gibts dazu ne Anleitung ?

und zuletzt, welcher Browser is der beste zur Zeit ? Mozilla oder Firefox, ich habe mir beide runtergeladen weis nicht welchen ich installieren soll und hoffe das alles gut geht bei mir

Vielen Dank für deine Hilfe Haui, ich werde spaeter posten ob bishher alles gut gelaufen ist.

Danke Schmiddi

Zitat von Schmiddi

und zuletzt, welcher Browser is der beste zur Zeit ? Mozilla oder Firefox, ich habe mir beide runtergeladen weis nicht welchen ich installieren soll

Wenn Du auch das gute Mailprogramm von Mozilla nutzen willst, rate ich Dir zu Mozilla. Ansonsten kannst Du Firefox nehmen, evtl. mit Thunderbird als Mailprogramm. Ach was, eigentlich ist es Geschmackssache. Also ist Mozilla besser.

Gruß
Yopie

Lies trotzdem mal die Anleitung zum erneuten Aufsetzen, da findest du sehr viele Antworten.
Ja, meiner Meinung nach "schaut es nach Backdoor aus" ->http://www.trendmicro.com/vinfo/viru...BOT.CN&VSect=T
Das einzige was mich verwundert ist, dass nur ein einziger Autostart-Eintrag vorhanden ist. "Normalerweise" müssten es drei sein....

btw: bei mir gab's mit 2 PCs keinerlei Probleme mit SP2. Wie das bei einem System ausschaut, auf dem Malware aktiv ist/war kann ich dir nicht sagen...

Hallo nochmal,
es scheint geholfen zu haben der Trojaner taucht bishher nicht mehr auf

- Ich werde nun SP2 installieren, die Firewall konfigurieren
- auf Mozilla umsteigen und IE still legen
- AntiVir updaten und durchlaufen lassen
- spybot und adaware nochmal drüber laufen lassen
- meine allgemeinen Einstellungen nochmal überprüfen
- ein neues Benutzerkonto anlegen

ich nutze zudem noch Zonealarm im moment

Sollte ich ausserdem noch irgendwas beachten oder installieren ?
Bin für weiteren Rat sehr dankbar und werde weiterhin hier mitlesen so gut ich kann....

Gruß an alle und vielen Dank

Schmiddi