Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: WORM/Ider.A.Rkit

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 26.12.2005, 18:30   #1
pRiNcE_de_1st
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Hallo alle zusammen!

Der Wurm "Ider.A.Rkit" macht mir in den letzten ganz schön zu schaffen!

Jedes mal, wenn ich meinen Rechner reboote zeigt mir mein AntiVir PersonalEdition Classic (update auf dem neusten Stand) folgende Meldung an:

C:\WINDOWS\SYSTEM32\HP5CE0.TMP

Enthält Signatur des Wurmes WORM/Ider.A.Rkit

Darauf hin kann ich die betroffene Datei zwar löschen aber ich kann meinen Rechner nicht Immunisieren, sprich der Wurm ist bei jedem Reboot wieder mit von der Partie.

Hat jmd eine Idee, wie ich mir diesen lästigen Quälgeist vom Hals halten kann?
Wenn ja, wärs nett wenn hier jmd posten würde..

mfG pRiNcE_de_1st

Alt 26.12.2005, 18:35   #2
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Bitte so ein Log erstellen und posten.
__________________

__________________

Alt 26.12.2005, 18:39   #3
pRiNcE_de_1st
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Hier:

Logfile of HijackThis v1.99.1
Scan saved at 18:39:17, on 26.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\mssearchnet.exe
E:\ICQLite\ICQLite.exe
__________________

Alt 26.12.2005, 18:54   #4
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Das Log ist nicht vollständig!
Bitte nur vollständig posten!
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 26.12.2005, 19:22   #5
pRiNcE_de_1st
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Sry hier:

Logfile of HijackThis v1.99.1
Scan saved at 19:21:27, on 26.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\mssearchnet.exe
E:\ICQLite\ICQLite.exe
C:\Programme\PCI Audio Applications\Bin\EchoCtrl.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WinZip\WZQKPICK.EXE
E:\MOZILL~1\FIREFOX.EXE
E:\Teamspeak2_RC2\TeamSpeak.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\Jan Scobel\Lokale Einstellungen\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.the-pimps.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\ICQToolbar\toolbaru.dll
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp6AFE.tmp (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ICQ Lite] E:\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [C-Media Echo Control] C:\Programme\PCI Audio Applications\Bin\EchoCtrl.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_05\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [stnospy] C:\Programme\SinEspias\no-spy.exe /autorun
O4 - HKLM\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] E:\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://E:\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe

also ich habe keine Ahnung von solchen Dingen! ^^


Alt 26.12.2005, 19:33   #6
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Zitat:
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\mssearchnet.exe
Anscheinend hast Du den Trojaner Zlob installiert.
Bitte scan Deinen PC mal mit eScan genau nach dieser Anleitung von @Cidre.
__________________
--> WORM/Ider.A.Rkit

Alt 26.12.2005, 19:40   #7
Haui45
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



@ pRiNcE_de_1st & cosinus
Für solche Infektionen haben wir einen Extra-Thread -> http://www.trojaner-board.de/showthread.php?t=21709


@pRiNcE_de_1st
Bevor du die Anleitung abarbeitest, solltest du die Datei C:\WINDOWS\SYSTEM32\HP5CE0.TMP auf http://virusscan.jotti.org/de überprüfen und das Ergebnis posten. Ein kurze Beschreibung dazu findest du hier (natürlich geht es bei dir nicht um die scvhost.exe ).

Alt 26.12.2005, 20:35   #8
pRiNcE_de_1st
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



@ Haui:
The file you uploaded is 0 bytes. It is very likely a firewall or a piece of malware is prohibiting you from uploading this file.

Mehr kommt da nicht!

Alt 26.12.2005, 20:48   #9
Haui45
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Kopiere die Datei im abgesicherten Modus z.B. in einen von dir erstellten Ordner C:\Boese\
Benenne sie dann in HP5CE0.TMP.VIR um
Überprüfe diese Datei nach einem Neustart auf der o.g. Seite.

Alt 26.12.2005, 21:28   #10
inueG
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Tag auch.
Habe zwar nicht die grosse ahnung aber mir hat seit 1std das einfache
umbenehnen der "C:\WINDOWS\system32\nvctrl.exe" datei geholfen
Habe jetzt ruhe, hoffe es bleibt so

Alt 27.12.2005, 12:10   #11
Haui45
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Zitat:
Zitat von inueG
Tag auch.
Habe zwar nicht die grosse ahnung aber mir hat seit 1std das einfache
umbenehnen der "C:\WINDOWS\system32\nvctrl.exe" datei geholfen
Habe jetzt ruhe, hoffe es bleibt so
Das ist ein äußerst blauäugiges Vorgehen und beseitigt keinesfalls die Infektion. Vielmehr solltet du den Thread zur Entfernung des Trojaners Smitfraud.c durcharbeiten.

Alt 27.12.2005, 13:29   #12
inueG
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Zitat:
Zitat von Haui45
Das ist ein äußerst blauäugiges Vorgehen und beseitigt keinesfalls die Infektion. Vielmehr solltet du den Thread zur Entfernung des Trojaners Smitfraud.c durcharbeiten.

Hatte auch nichts anderes behauptet, aber geholfen hat es nun mal
Es kommen keine meldungen mehr von antiVir outpost usw

Alt 27.12.2005, 13:45   #13
Haui45
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Zitat:
Zitat von inueG
Es kommen keine meldungen mehr von antiVir outpost usw
Und das ändert genau was an der Gesamtsituation?
Meine "Schutzprogramme" melden nichts mehr und ich kann wieder beruhigt schlafen?

Alt 27.12.2005, 16:12   #14
pRiNcE_de_1st
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



@ HAUI:

Die Datei "HP5CE0.TMP" existiert auf meinem Rechner nicht! oO

Alt 27.12.2005, 16:41   #15
Haui45
 
WORM/Ider.A.Rkit - Standard

WORM/Ider.A.Rkit



Zitat:
Zitat von pRiNcE_de_1st
Die Datei "HP5CE0.TMP" existiert auf meinem Rechner nicht! oO
Zitat:
Zitat von pRiNcE_de_1st
Jedes mal, wenn ich meinen Rechner reboote zeigt mir mein AntiVir PersonalEdition Classic (update auf dem neusten Stand) folgende Meldung an:

C:\WINDOWS\SYSTEM32\HP5CE0.TMP



Arbeite bitte den o.g. Thread durch un poste alle Logfiles (smitrem, HijackThis und eScan)

Antwort

Themen zu WORM/Ider.A.Rkit
antivir, classic, datei, folge, folgende, lästige, löschen, meldung, neuste, poste, posten, rechner, schön, signatur, stand, system, system32, update, windows, wurm, zusammen




Ähnliche Themen: WORM/Ider.A.Rkit


  1. AVG AV 2013 meldet Worm/VB.DYC, Worm/VB.DYA, Trojaner: Dropper.Generic.TEL im Verzeichniss \\WUALA_BY_LACIE\...\RECYCLED\...
    Plagegeister aller Art und deren Bekämpfung - 11.04.2013 (9)
  2. GUV Trojaner ... RKIT usw.
    Plagegeister aller Art und deren Bekämpfung - 23.07.2012 (12)
  3. WORM/Kido.IX und WORM/Confick.164228 auf externer Festplatte
    Log-Analyse und Auswertung - 03.06.2012 (16)
  4. Avira fund RKIT/AGENT.4370492 und WORM/CONFICKER.Z59.Kan ich die sicher entfernen?
    Log-Analyse und Auswertung - 29.01.2012 (25)
  5. Virusbefall Worm/Downadup, Worm/Generic_c.ZS, Verbeitung mit autorun.inf auf Wechselmedien
    Log-Analyse und Auswertung - 28.06.2011 (44)
  6. RKIT/Agent.AW
    Plagegeister aller Art und deren Bekämpfung - 06.01.2011 (1)
  7. WORM/Kido.IH.40 [worm] und TR/Trash.Gen [trojan]
    Plagegeister aller Art und deren Bekämpfung - 02.09.2009 (16)
  8. Wurmbefall Worm ICRBot 54784.12 oder W32/WHIPSER-B WORM
    Log-Analyse und Auswertung - 22.06.2008 (7)
  9. netsta.exe -> WORM/IRCBot.1195026 bzw. Worm.Gaobot
    Plagegeister aller Art und deren Bekämpfung - 21.01.2008 (5)
  10. TR/Rkit.Bagle.GL
    Plagegeister aller Art und deren Bekämpfung - 08.02.2007 (9)
  11. TR/RKit.Nuclear.0.B
    Plagegeister aller Art und deren Bekämpfung - 23.12.2006 (11)
  12. WORM/Ider.A.Rkit - Smitfraud-C. - Trojan.Zlob
    Log-Analyse und Auswertung - 06.01.2006 (3)
  13. WORM/Ider.A.Rkit Hilfe!!!
    Log-Analyse und Auswertung - 03.01.2006 (9)
  14. Ider.A.Rkit wer kann mir helfen diesen wüstling loszuwerden
    Log-Analyse und Auswertung - 01.01.2006 (1)
  15. Hilfe, bekomme Worm/SdDrop.P2P.B.1 und Worm/RBot nicht weg
    Log-Analyse und Auswertung - 25.11.2005 (3)
  16. Worm Rbot 67393 / Worm Sdbot 42496
    Plagegeister aller Art und deren Bekämpfung - 08.08.2005 (5)
  17. Worm/RBot.GJ und Worm/PeyBot.A und vielleicht noch mehr. Wer kann helfen?!!!!?
    Plagegeister aller Art und deren Bekämpfung - 22.02.2005 (12)

Zum Thema WORM/Ider.A.Rkit - Hallo alle zusammen! Der Wurm "Ider.A.Rkit" macht mir in den letzten ganz schön zu schaffen! Jedes mal, wenn ich meinen Rechner reboote zeigt mir mein AntiVir PersonalEdition Classic (update auf - WORM/Ider.A.Rkit...
Archiv
Du betrachtest: WORM/Ider.A.Rkit auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.