Hallo,

kann mir jemand weiterhelfen? Habe mir heute einen Trojaner eingefangen. Trojan.moo. Wie bekomme ich den los? Das schlaue Norton zeigt mir zwar an das ich was gefangen habe aber löschen kann er es nicht.

Habe dies von meiner Datei Lokale Einstellungen7Internet.../Content.IE... manuel gelöscht aber kommt es wieder??

Help meeee

Folge mal dieser Anleitung: http://www.trojaner-board.de/showthread.php?t=17492

Hallo, habe gerade escan beendet und habe die vomView Reports kopiert. Wie geht es weiter?? Könnt ihr mir bitte helfen???


svchost.exe:852 TCP ismail-ayn17ov1:135 (epmap) ismail-ayn17ov1:0 Listening
System:4 TCP ismail-ayn17ov1:445 (microsoft-ds) ismail-ayn17ov1:0 Listening
navapw32.exe:1616 TCP localhost:1025 ismail-ayn17ov1:0 Listening
SymProxySvc.exe:452 TCP localhost:1027 ismail-ayn17ov1:0 Listening
[System Process]:0 TCP localhost:1027 localhost:1131 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1133 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1135 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1137 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1139 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1141 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1143 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1147 Time_Wait
[System Process]:0 TCP localhost:1027 localhost:1149 Time_Wait
alg.exe:2772 TCP localhost:1029 ismail-ayn17ov1:0 Listening
[System Process]:0 TCP localhost:1145 localhost:1027 Time_Wait
System:4 TCP ismail-ayn17ov1:139 (netbios-ssn) ismail-ayn17ov1:0 Listening
System:4 UDP ismail-ayn17ov1:445 (microsoft-ds) ***** -
lsass.exe:648 UDP ismail-ayn17ov1:500 (isakmp) ***** -
svchost.exe:996 UDP ismail-ayn17ov1:1035 ***** -
lsass.exe:648 UDP ismail-ayn17ov1:4500 ***** -
svchost.exe:940 UDP localhost:123 (ntp) ***** -
iexplore.exe:2912 UDP localhost:1036 ***** -
svchost.exe:1040 UDP localhost:1900 ***** -
svchost.exe:940 UDP ismail-ayn17ov1:123 (ntp) ***** -
System:4 UDP ismail-ayn17ov1:137 (netbios-ns) ***** -
System:4 UDP ismail-ayn17ov1:138 (netbios-dgm) ***** -
svchost.exe:1040 UDP ismail-ayn17ov1:1900 ***** -
svchost.exe:940 UDP ismail-ayn17ov1:123 (ntp) ***** -
svchost.exe:1040 UDP ismail-ayn17ov1:1900 ***** -

Kann es sein das man auch noch braucht??

[General]
EngineType=1

[Welchia]
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RPCPatch,"","",""
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RPCTFTPD,"","",""
DeleteFile1=%winsysdir%\wins\svchost.exe
DeleteFile2=%winsysdir%\wins\Dllhost.exe

[LovGate]
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ll_reg,"","",""
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetMeeting\RemoteDesktop(RPC),"","",""
Reg3=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Microsoft\NetWork File Wall Services,"","",""
Reg4=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows\Management Instrumentation Driver Extension,"","",""
DeleteFile1=%winsysdir%\NetServices.exe
DeleteFile2=%winsysdir%\RAVMOND.EXE
DeleteFile3=%winsysdir%\RAVMOND.EXE
DeleteFile4=%winsysdir%\WinGate.exe
DeleteFile5=%winsysdir%\WinDriver.exe
DeleteFile6=%winsysdir%\WinHelp.exe
DeleteFile7=%winsysdir%\winrpc.exe
DeleteFile8=%winsysdir%\ily.dll
DeleteFile9=%winsysdir%\task.dll
DeleteFile10=%winsysdir%\reg.dll
DeleteFile11=%winsysdir%\1.dll
DeleteFile12=%winsysdir%\win32vxd.dll
DeleteFile13=%winsysdir%\kernel66.dll
DeleteFile14=%winsysdir%\kernel66.dll
DeleteFile15=%winsysdir%\iky668.dll
DeleteFile16=%winsysdir%\reg678.dll
DeleteFile17=%winsysdir%\task688.dll
DeleteFile18=%winsysdir%\111.dll

[CodeRed]
DeleteFile1=%inetpub%\scripts\root.exe
DeleteFile2=%PF%\common~1\system\MSADC\root.exe
DeleteFile3=%SYSTEMDIR%explorer.exe
Reg1=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\C
Reg2=HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\D

[OpaServ]
DeleteFile1=%SYSTEMDIR%\Tmp.ini
; this is Opaserv.M
DeleteFile2=%SYSTEMDIR%\MSLICENF.COM
DeleteFile3=%SYSTEMDIR%\BOOT.EXE
BAT1=Autoexec.bat,MSLICENF
BAT2=Autoexec.bat,BOOT.EXE

[Sobig.e]
DeleteFile1=%winsysdir%\cgtask.exe
DeleteFile2=%winsysdir%\mmtask.exe

[Winupie]
DeleteFile1=%winsysdir%\AxConfig.dll,regsvr32 /s /u AxConfig.dll

[Swen]
DeleteFile1=%winsysdir%\SWEN*.DAT

[JS.Fortnight]
DeleteFile1=%PF%\sign.htm
DeleteFile2=%PF%\sign.html

[Novarg]
DeleteFile1=%winsysdir%\shimgapi.dll

[Pagabot]
Reg1=HKEY_LOCAL_MACHINE\Software\Microsoft\windows\currentversion\run,Cryptographic Service,"",""

[Parite.b]
Reg1=HKEY_CURRENT_USER\Software\Microsoft\windows\currentversion\explorer,PINF,"",""

[Parite.a]
Reg1=HKEY_CURRENT_USER\Software\Microsoft\windows\currentversion\explorer,ZANF,"",""

[Adware.SeekSeek]
Reg1=HKEY_CURRENT_USER\Console,UUID,"",""
Reg2=HKEY_CURRENT_USER\Console,lp,"",""

Zitat von Galderma

Hallo, habe gerade escan beendet und habe die vomView Reports kopiert.

Ich wusste gar nicht, dass es so einen Button gibt. Muss wohl daran liegen, dass er tatsächlich nicht existiert
Du hast auf "View Ports" geklickt, was mitunter zwar auch interessant ist, aber gerade eben nicht!

Wie geht es weiter?? Könnt ihr mir bitte helfen???

RTFM und poste die richtigen Infos!

Kenne mich da leider nicht so aus!

Auf jeden Fall habe ich die Alternative Lösung gewählt und habe auf mwav.log nach infected oder tagged gesucht und nichts gefunden. Heißt es das ich Viren- und Trojaner frei bin??

Zitat von Galderma

Kenne mich da leider nicht so aus!

Genau aus diesem Grund ist da eine Anleitung



Poste folgendes aus der mwav.log (steht ganz am Ende):

Total Number of Files Scanned:
Total Number of Virus(es) Found:
Total Number of Disinfected Files:
Total Number of Files Renamed:
Total Number of Deleted Files:
Total Number of Errors:
Time Elapsed:

Poste zur Sicherheit ein HijackThis-Logfile.

Den Browser-Cache hast du sicher schon gelöscht? Dort dürfte der Schädling nach deinen Angaben nämlich liegen.

Hoffe das ist richtig. (bin ein Leie )

Mon Jun 27 22:46:46 2005 => Total Objects Scanned: 72306
Mon Jun 27 22:46:46 2005 => Total Virus(es) Found: 0
Mon Jun 27 22:46:46 2005 => Total Disinfected Files: 0
Mon Jun 27 22:46:46 2005 => Total Files Renamed: 0
Mon Jun 27 22:46:46 2005 => Total Deleted Objects: 0
Mon Jun 27 22:46:46 2005 => Total Errors: 10
Mon Jun 27 22:46:46 2005 => Time Elapsed: 01:30:27
Mon Jun 27 22:46:46 2005 => Virus Database Date: 2005/06/27
Mon Jun 27 22:46:46 2005 => Virus Database Count: 136748

Hijackhits

Logfile of HijackThis v1.99.1
Scan saved at 01:05:56, on 28.06.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Norton Personal Firewall\IAMAPP.EXE
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\0190 Alarm\0190Alarm.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Norton Personal Firewall\NISUM.EXE
C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\Programme\Norton Personal Firewall\NISSERV.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\ServicePackFiles\i386\iexplore.exe
C:\Dokumente und Einstellungen\All Users\Dokumente\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sahara-teppiche.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.arcor.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programme\eBay\eBay Toolbar2\eBayTB.dll
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [iamapp] C:\Programme\Norton Personal Firewall\IAMAPP.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [eBayToolbar] C:\Programme\eBay\eBay Toolbar2\eBayTBDaemon.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM\..\Run: [SpyBlocker] C:\Programme\SpyBlocker Software\spyblocker.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [0190 Alarm] C:\Programme\0190 Alarm\0190Alarm.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &eBay Search - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Programme\IrfanView\Ebay\Ebay.htm (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1113470851997
O17 - HKLM\System\CCS\Services\Tcpip\..\{F99F04BF-385D-4004-BF8D-57D0B39DDF5E}: NameServer = 195.71.241.19 193.189.244.205
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Norton Personal Firewall Service (NISSERV) - Symantec Corporation - C:\Programme\Norton Personal Firewall\NISSERV.EXE
O23 - Service: Norton Personal Firewall Accounts Manager (NISUM) - Symantec Corporation - C:\Programme\Norton Personal Firewall\NISUM.EXE
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
O23 - Service: Norton Personal Firewall Proxy Service (SymProxySvc) - Unknown owner - C:\Programme\Norton Personal Firewall\SymProxySvc.exe (file missing)
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe

Hallo,

kann hier unte jemand irgendwas entdecken?? Danke