Ich habe mir einen Trojan Horse eingefangen. Dies meldet mein Norton 2005. Es werden verschiedene befallene Dateien angezeigt z.B. sdkjk32.exe oder javarg32.exe und weitere .exe dateien. Norton verweigert dann denn Zugriff, kann die Dateien aber nicht reparieren.
Nachdem ich das Antivir geladen und installiert habe meldet mir dieses Programm folgende erkannte Trojaner: TR Agent.BL und StartPage.TJ
Aber auch hier keine Hilfe. Weiterhin wird die InternetExplorer Start Seite immer wieder geändert und neue Favoriten in den Browser eingetragen.
Da ich kein PC Experte bin weiss, ich nicht weiter. Wer kann mir hier helfen?
Viele Grüße
Thilo Naumann

Hallo,

führe zunächst mal diese beiden Programme aus und versorge uns anschliessend mit dem jeweiligen Log-File:

1. Erstelle mit HiJackThis ein Log-File und poste es hier rein.
Persönliche Informationen, wie Benutzername und dergleichen, bitte unkenntlich machen.

2. Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases_x -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Vielen Dankfür Eure Antwort: Hier im Ersten Schritt Logfile. Ich hoffe, dass ich alles richtig mache und Ihr mit den Daten etwas anfangen könnt. Gruß Thilo

Logfile of HijackThis v1.99.1
Scan saved at 10:40:35, on 18.4.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\PROGRA~1\MICROS~4\GAMECO~1\common\swtrayv4.exe
C:\Programme\Creative\Shared Files\CAMTRAY.EXE
C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\ipwu.exe
C:\Programme\Trojancheck 6\tcguard.exe
D:\Name\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Belkin\F1U201.401\usbshare.exe
C:\Programme\Hewlett-Packard\AiO\hp officejet v series\Bin\hpoant07.exe
C:\Programme\CASIO\Photo Loader\Plauto.exe
C:\Programme\Messenger\msmsgs.exe
C:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe
C:\WINDOWS\System32\hpoipm07.exe
C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe
D:\Name\AVGUARD.EXE
D:\NameAVWUPSRV.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\PROGRA~1\MICROS~2\Office10\OUTLOOK.EXE
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Programme\Yahoo!\Messenger\ymsgr_tray.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Thilo Naumann\Lokale Einstellungen\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\semnl.dll/sp.html#12345
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\semnl.dll/sp.html#12345
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://home.microsoft.com/access/autosearch.asp?p=%s
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {EE427AA2-C3A0-EEBC-C139-0A744C94E673} - C:\WINDOWS\atlcc.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [SideWinderTrayV4] C:\PROGRA~1\MICROS~4\GAMECO~1\common\swtrayv4.exe
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Programme\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [msnappau] "C:\Programme\MSN Apps\Updater\01.02.3000.1001\de\msnappau.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ipwu.exe] C:\WINDOWS\ipwu.exe
O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [AVGCtrl] D:\Thilo Naumann\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: F1U201.401.lnk = ?
O4 - Global Startup: HPAiODevice(hp officejet v series) - 1.lnk = C:\Programme\Hewlett-Packard\AiO\hp officejet v series\Bin\hpoant07.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - http://download.ebay.com/turbo_lister/DE/install.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-17.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/260ed539...dxIE601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1113738918471
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.142/code/PWActiveXImgCtl.CAB
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/de/check/qdiagh.cab?326
O17 - HKLM\System\CCS\Services\Tcpip\..\{0E400897-D414-446F-A877-E263F5AA7934}: NameServer = 195.158.131.2
O17 - HKLM\System\CCS\Services\Tcpip\..\{9FBE8D9D-6EB1-468A-90C6-A0456FE0B0A1}: NameServer = 195.158.131.54 195.158.131.2
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Name\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Name\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAP Internet Graphics Server (SAP IGS Service) - Unknown owner - C:\Programme\SAPpc\SapGui\srvany.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm und fixe diese Einträge (Haken setzen und auf Fix Checked klicken):

Alle R0, R1 und R3
O2 - BHO: (no name) - {EE427AA2-C3A0-EEBC-C139-0A744C94E673} - C:\WINDOWS\atlcc.dll
O4 - HKLM\..\Run: [ipwu.exe] C:\WINDOWS\ipwu.exe

Lösche diese Dateien/Ordner:

C:\WINDOWS\atlcc.dll
C:\WINDOWS\ipwu.exe
C:\WINDOWS\semnl.dll
+ die von eScan beanstandete Malware

- Neustart
- dein System updaten http://v5.windowsupdate.microsoft.co...r/default.aspx
- IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...wser/index.htm
- Sichere und komfortablere Browser wie z.B. die Mozilla Suite oder Firefox verwenden http://www.mozilla.org
- neues Log-File von HijackThis und die Virus Log Information von eScan posten

Hier nun auch die Virus Log Infos. Ändert dies etwas an der vorgehensweise?

File System Found infected by "Alexa Spyware/Adware" Virus. Action Taken: No Action Taken.
File System Found infected by "sw Spyware/Adware" Virus. Action Taken: No Action Taken.
File System Found infected by "se Spyware/Adware" Virus. Action Taken: No Action Taken.
File System Found infected by "hsa Spyware/Adware" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\1ECB5D87.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\1F6412DE.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\22746F80.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\2B037C14.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\2B1A21FB.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\30BA75CA.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File C:\Programme\Norton AntiVirus\Quarantine\3ABA0AC9.exe infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File D:\Name\Programme\Adobe Premiere 6German.ace tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Name\INFECTED\ATLQS.EXE.VIR infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File D:\Name\INFECTED\JAVAEB32.EXE.VIR infected by "Trojan.Win32.Agent.bi" Virus. Action Taken: No Action Taken.
File D:\Name\INFECTED\JNOHA.DLL.VIR infected by "not-a-virus:AdWare.SearchPage" Virus. Action Taken: No Action Taken.
File D:\Name\Privat\Comics etc\Freibier.exe tagged as not-a-virus:Joke.Win32.FreiBier. No Action Taken.
File D:\Name\Privat\Comics etc\napv2b5.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File D:\Name\Privat\Comics etc\too_small.zip infected by "not-virus:Joke.Win32.Delf.m" Virus. Action Taken: No Action Taken.
File D:\Name\Privat\Comics etc\tussi.zip tagged as not-a-virus:Joke.Win32.Oups. No Action Taken.
File D:\Name\Privat\Comics etc\zuklein.exe infected by "not-virus:Joke.Win32.Delf.m" Virus. Action Taken: No Action Taken.

Nein, es ändert nichts.
Du solltest aber zusätzlich noch die Quarantäne Ordner von AntiVir und NAV leeren.

Wichtig:
Editiere deinen Realname aus den Logs!

Sorry Cidre, aber ich habe einige Verständnisprobleme.

1. Habe verstanden dass ich in den abgesicherten Modus muss. Klappt auch. Aber was mache ich dann? In Deiner Anleitung steht dass ich Einträge fixieren soll? Alle Ro, Ri und R3
Was ist damit gemeint, wie und wo mache ich das? Und wo lösche ich dann die angebenen dateien und Ordner?

System Updaten dann online? Wie gebe ich die lange http Adresse ein.

Sorry, aber ich bin halt nicht sooo fit am Rechner. Nur USER !
Vieln Dank für Deine Geduld.
Gruß Thilo

@Thilo Naumann
HJT anleitung
in den abgesicherten modus wechseln, HJT scannen lassen, anschließend häkchen setzen an die positionen die Cidre dich schon gepostet hat.

Und wo lösche ich dann die angebenen dateien und Ordner?
danach manuell die dateien löschen,
z.B. C:\WINDOWS\atlcc.dll findest du auf festplatte C , ordner windows, datei atlcc.dll suchen, dann löschen.
so auch die andere gepostete dateien löschen.

System Updaten dann online? Wie gebe ich die lange http Adresse ein.
danach neu starten, online gehen mit Internet Explorer, dann in IE auf Extras -> Windows update anklicken, der rest geht dann vonselbst.

Sorry, aber ich bin halt nicht sooo fit am Rechner. Nur USER !
wenn du dich schon hinter einen pc setzt, dann solltest du dich auch mal mit den thema pc beschäftigen.

chaosman

Aber was mache ich dann? In Deiner Anleitung steht dass ich Einträge fixieren soll? Alle Ro, Ri und R3

Du startest HJT und scannst nochmals. Danach setzt du einen Haken vor den von mir genannten Einträgen (z.B. alle R0) und wenn du fertig bist, klickst du auf Fix Checked.

Und wo lösche ich dann die angebenen dateien und Ordner?

Mit Hilfe des Explorers.
[Win Taste]+ [F1] = Windows Hilfe
'Löschen einer Datei oder eines Ordner' eingeben und lesen.

Nachdem Neustart stellst du eine I-net Verbindung her und aktualisert dein System.

Wie gebe ich die lange http Adresse ein.

Rechtsklick auf den Link und 'Link-Adresse kopieren' auswählen.

Hi CIDRE, ich traue es mich kaum zu sagen! Aber es scheint so als hättes es funktioniert. Nach den System updaten keine Meldungen mehr.

Sollten wir es geschafft haben und das DING erwischt haben?

Wie kann ich Dir/Euch danken? SPITZE!

Eine Frage nur noch: Ich habe nur noch keine von eScan beanstandete Malware gelöscht. Welche sollte ich denn wie löschen?

NOCHMALS VIELEN LIEBEN DANK AN DICH, auch nicht zuletzt für Deine Geduld mit mir.

Thilo Naumann

Wie kann ich Dir/Euch danken? SPITZE!

Gib mir ein virtuelles Bier aus und empfehle das Forum weiter.

Ich habe nur noch keine von eScan beanstandete Malware gelöscht. Welche sollte ich denn wie löschen?

Siehe ->

Du solltest aber zusätzlich noch die Quarantäne Ordner von AntiVir und NAV leeren.

Wichtig:
Editiere jetzt deinen Realname aus den Logs!