| |
| |||||||
Log-Analyse und Auswertung: Trojanerbefall der "remon.sys"Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
27.12.2005, 19:16
| #1 |
| |  Trojanerbefall der "remon.sys" Logfile of HijackThis v1.99.1 Scan saved at 18:59:52, on 27.12.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\windows\System32\smss.exe C:\windows\system32\winlogon.exe C:\windows\system32\services.exe C:\windows\system32\lsass.exe C:\windows\System32\Ati2evxx.exe C:\windows\system32\svchost.exe C:\windows\System32\svchost.exe C:\windows\system32\spoolsv.exe C:\windows\Explorer.EXE C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Toolsl\REDBOX~1\REMINDER.EXE C:\windows\system32\pctspk.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\Tools\D-Tools\daemon.exe C:\Tools\Anti-Trojan-55\ATWatch.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Programme\Java\jre1.5.0_01\bin\jusched.exe C:\Programme\Logitech\MouseWare\system\em_exec.exe C:\Programme\Thomson\SpeedTouch USB\Dragdiag.exe C:\Programme\QuickTime\qttask.exe C:\windows\system32\rundll32.exe C:\Tools\Dexpot\Dexpot.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Skype\Phone\Skype.exe C:\windows\system32\ctfmon.exe C:\windows\system32\cisvc.exe C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe C:\Programme\Microsoft Firewall Client 2004\FwcAgent.exe C:\Programme\Microsoft Firewall Client 2004\FwcMgmt.exe C:\Programme\Hewlett-Packard\Digital Imaging\bin\hposol08.exe C:\WINDOWS\system32\LckFldService.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe C:\windows\System32\tcpsvcs.exe C:\windows\System32\snmp.exe C:\windows\System32\svchost.exe C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\Programme\Internet Explorer\iexplore.exe C:\windows\system32\cidaemon.exe C:\windows\regedit.exe C:\windows\nvidGUIv.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\WinRAR\WinRAR.exe C:\Programme\HiJack This\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://search.Aon.at R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///c:/Homepages/Startseite/index.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.baletour.at R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=proxy.aon.at:8080;http=proxy.aon.at:8080 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.aon.at;*.jet2web.net;<local> R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll F3 - REG:win.ini: load=C:\Toolsl\REDBOX~1\REMINDER.EXE O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: CoTGT_BHO Class - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Tools\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [AT-Watch] C:\Tools\Anti-Trojan-55\ATWatch.exe O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [ashMaiSv] C:\Tool\Avast4\ashmaisv.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_01\bin\jusched.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Thomson\SpeedTouch USB\Dragdiag.exe" /icon O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKCU\..\Run: [Dexpot 1.2] C:\Tools\Dexpot\Dexpot.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [Steam] "c:\programme\valve\steam\steam.exe" -silent O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe O4 - Global Startup: hpoddt01.exe.lnk = ? O4 - Global Startup: Microsoft-Firewallclientverwaltung.lnk = ? O4 - Global Startup: officejet 6100.lnk = ? O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\programme\microsoft firewall client 2004\fwcwsp.dll O10 - Unknown file in Winsock LSP: c:\programme\microsoft firewall client 2004\fwcwsp.dll O10 - Unknown file in Winsock LSP: c:\programme\microsoft firewall client 2004\fwcwsp.dll O10 - Unknown file in Winsock LSP: c:\programme\microsoft firewall client 2004\fwcwsp.dll O10 - Unknown file in Winsock LSP: c:\programme\microsoft firewall client 2004\fwcwsp.dll O14 - IERESET.INF: START_PAGE_URL=h**p://www.baletour.at O16 - DPF: Logics Software LOG-WEB (Java) 5,2,2,12 - h**p://www.startwebclient.de/logwebhtml/classes/logjava_5_2_2_12.cab O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - h**p://static.loudcash.com/UCITest/Cabs/4484.cab O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - h**p://by9fd.bay9.hotmail.msn.com/resources/MsnPUpld.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/MsnMessengerSetupDownloader.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = edv2.hltlocal O17 - HKLM\Software\..\Telephony: DomainName = edv2.hltlocal O17 - HKLM\System\CCS\Services\Tcpip\..\{3309AE40-110A-4C80-AFBB-21B6EA673667}: NameServer = 195.3.96.67 195.3.96.68 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = edv2.hltlocal O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = edv2.hltlocal O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: Ati HotKey Poller - Unknown owner - C:\windows\System32\Ati2evxx.exe O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: DefWatch - Unknown owner - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe (file missing) O23 - Service: LckFldService - Unknown owner - C:\WINDOWS\system32\LckFldService.exe O23 - Service: nvidGUIv (nvidGUIv2) - Unknown owner - C:\windows\nvidGUIv.exe O23 - Service: Pml Driver HPZ12 - HP - C:\windows\system32\HPZipm12.exe O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe (file missing) Avast spuckt einen Hinweis auf "Win32:Trojano-2365" in der Datei "C:\WINDOWS\system32\remon.sys" aus. Datei lässt sich mit Avast weder löschen oder in Container verschieben -.- hoffe ihr könnt mir helfen  mfg |
|
28.12.2005, 01:07
| #2 |
 | Trojanerbefall der "remon.sys" Hallo maintank,
__________________lade Dir clearprog 1.4.1 final und nimm eine Datenträgerbereinigung vor (Programm starten Häckchen bei "Alles Löschen" und auf "Löschen" klicken). Lösche ebenfalls den Quaratäne-Ordener Deines Antivir-Programmes. Scanne dann Dein System mit Escan . Bitte erst aufmerkam lesen und dann scannen. Teile das Ergebnis mittels der "find.bat" mit. dartus
__________________ |
|
28.12.2005, 21:51
| #3 |
| | Trojanerbefall der "remon.sys" Soweit mal der Auszug aus der Logdatei:
__________________Wed Dec 28 20:37:22 2005 => File C:\windows\nvidGUIv.exe infected by "Backdoor.Win32.SdBot.aad" Virus! Action Taken: No Action Taken. Wed Dec 28 20:39:27 2005 => File C:\windows\nvidGUIv.exe infected by "Backdoor.Win32.SdBot.aad" Virus! Action Taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with bearshare Spyware/Adware ({558ec983-bedb-9168-b2de-31dbf0ee543e})! Action taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with bearshare Spyware/Adware ({9f95f736-0f62-4214-a4b4-caa6738d4c07})! Action taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with stylexp Spyware/Adware ({c333cf63-767f-4831-94ac-e683d962c63c})! Action taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with troj/taladra-f BackDoor ({e7bc34a3-ba86-11cf-84b1-cbc2da68bf6c})! Action taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with stylexp Spyware/Adware ({c333cf63-767f-4831-94ac-e683d962c63c})! Action taken: No Action Taken. Wed Dec 28 20:39:42 2005 => System found infected with websearch toolbar Toolbar ({15ad6789-cdb4-47e1-a9da-992ee8e6bad6})! Action taken: No Action Taken. Wenn der Trojaner eine Backdoorfunktion hat, muss ich wohl meinen PC neu aufsetzten, oder gibt es noch eine andere Möglichkeit? |
|
29.12.2005, 00:36
| #4 |
| | Trojanerbefall der "remon.sys" Hallo maintank, leider gibt es bei einem Backdoor-Trojaner keine anderer Möglichkeit als das System neuaufzusetzen, um es wieder in einen vertrauenswürdigen Zustand zu bringen. Empfohlene Anleitung zur Neuinstallation: http://www.trojaner-board.de/showthread.php?t=12154 dartus
__________________ Kein Support per PN |
|
| Themen zu Trojanerbefall der "remon.sys" |
| adobe, antivirus, avast, avast!, bho, diagnostics, dll, excel, explorer, firewall, ftp, helfen, hijack, hijack this, hijackthis, hotkey, icqtoolbar, internet, internet explorer, logfile, löschen, microsoft, officejet, programme, rundll, software, system, thomson, unknown file in winsock lsp, urlsearchhook, usb, windows, windows xp |
Linear-Darstellung
