| |
| |||||||
Log-Analyse und Auswertung: TR/Swizzor.AWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
14.04.2006, 11:16
| #1 |
| |  TR/Swizzor.A Hallo Leute, habe wie viele andere auch das Problem das sich der Virus TR/Swizzor.A nicht löschen lässt. hier Mein Logfile: Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Sygate\SPF\smc.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\RunDll32.exe C:\Programme\MessengerPlus! 3\MsgPlus.exe C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\MSN Messenger\msnmsgr.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\Mozilla Firefox\firefox.exe C:\PROGRA~1\INCRED~1\bin\IMApp.exe C:\Programme\Azureus\Azureus.exe C:\Programme\Internet Explorer\iexplore.exe I:\Bearshare\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.bgtdfqdsdt.com/Cob7KFNhNTisONOrNTzcWooZHkIkC2WuVqv6umGPUD4GjdvyKMsB5ESBse04YRq/.html R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.knuddels.de/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.accoona.com/search?q=%s O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: ADefaultSearch Class - {944864A5-3916-46E2-96A9-A2E84F3F1208} - (no file) O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: (no name) - {B95A45EB-C2C7-2A11-A0BB-903BD355A294} - C:\DOKUME~1\Ich\ANWEND~1\WAITEQ~1\HOLE ARMY.exe O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\RunServices: [] winlog.exe O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Web Rebates. - file://C:\Programme\WebRebates4\websrebates\webtrebates\toprC0.htm O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {EDE1147E-5994-4686-B992-F6907B7BC75A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU) O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {EDE1147E-5994-4686-B992-F6907B7BC75A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU) O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{F4D3ED3D-68CD-4D3F-9699-21FFA13D6403}: NameServer = 212.7.148.65 212.7.148.97 O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: LckFldService - Unknown owner - C:\WINDOWS\system32\LckFldService.exe (file missing) O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe Bitte um hilfe =) |
|
14.04.2006, 15:49
| #2 | ||
  | TR/Swizzor.A Schoggo
__________________am besten waere Formatieren...denn: O4 - HKLM\..\RunServices: [] winlog.exe Zitat:
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.bgtdfqdsdt.com/Cob7KFNhNTisONOrNTzcWooZHkIkC2WuVqv6umGPUD4GjdvyKM sB5ESBse04YRq/.html R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.accoona.com/search?q=%s O2 - BHO: ADefaultSearch Class - {944864A5-3916-46E2-96A9-A2E84F3F1208} - (no file) O2 - BHO: (no name) - {B95A45EB-C2C7-2A11-A0BB-903BD355A294} - C:\DOKUME~1\Ich\ANWEND~1\WAITEQ~1\HOLE ARMY.exe O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" O4 - HKLM\..\RunServices: [] winlog.exe O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart PC neustarten **. lade und scanne: Families Cleaned by the Malicious Software Removal Tool http://virus-protect.org/antivirenfree.html Sophos aktuellste Virendefinitionsdateien 1.) IDEs für SAV Version April 2006 (4.04) Aktuelle Web-Version Aktuelle CD und Web-Version Download Zip Download Exe 121 http://www.sophos.de/downloads/ide/ 2.) http://www.sophos.de/tools/sav32sfx.exe 3.) gehe in C:\ 4.) klicke SAV32CLI **. MessengerPlus! 3 deinstallieren **. arbeite as ab: Swizzor loeschen http://virus-protect.org/artikel/spyware/lop1.html zu loeschen sind: C:\Programme\MessengerPlus! 3 C:\Dokumente und Einstellungen\Ich\Anwendungsdaten\WAITEQ... den Rest (2 kann ich nicht sehen...) wird wahrscheinlich der Panda und der Counterspy finden. **. wenn CleanUp, Counterspy und Panda abgearbeitet/alles geloescht ist: Start -- alle Programme -- Zubehör -- Editor und kopiere folgenden Text rein: Zitat:
- abspeichern unter : Dateityp: alle Dateien - speichere auf dem Desktop - Locate findjobs.bat-- doppelklick auf die bat-Datei , der Editor öffnet sich -- poste den Text
__________________ Geändert von Sabina (14.04.2006 um 15:56 Uhr) |
|
17.04.2006, 22:02
| #3 |
| | TR/Swizzor.A Ich habe genau das gleiche Problem. Ich bin ein Windowsnoob. D.h. ich habe von Windows überhaupt keine Erfahrung. Unter meinem Linux habe ich überhaupt keine Probleme mit sowas. Hier ist die Log
__________________Logfile of HijackThis v1.99.1 Scan saved at 23:00:43, on 17.04.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: F:\WINDOWS\System32\smss.exe F:\WINDOWS\system32\winlogon.exe F:\WINDOWS\system32\services.exe F:\WINDOWS\system32\lsass.exe F:\WINDOWS\system32\svchost.exe F:\WINDOWS\System32\svchost.exe F:\WINDOWS\system32\spoolsv.exe F:\Programme\AntiVir PersonalEdition Classic\sched.exe F:\Programme\AntiVir PersonalEdition Classic\avguard.exe F:\Programme\xampp\apache\bin\apache.exe F:\Programme\xampp\apache\bin\apache.exe F:\WINDOWS\Explorer.EXE F:\WINDOWS\system32\VTTimer.exe F:\WINDOWS\SOUNDMAN.EXE F:\Programme\Microsoft IntelliType Pro\type32.exe F:\Programme\Microsoft IntelliPoint\point32.exe F:\Programme\AntiVir PersonalEdition Classic\avgnt.exe F:\Programme\Java\jre1.5.0_06\bin\jusched.exe F:\Programme\iTunes\iTunesHelper.exe F:\Programme\QuickTime\qttask.exe F:\WINDOWS\system32\ctfmon.exe F:\Programme\iPod\bin\iPodService.exe F:\Programme\Internet Explorer\iexplore.exe F:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe F:\Programme\Winamp\Winamp.exe F:\PROGRA~1\MOZILL~1\FIREFOX.EXE F:\Dokumente und Einstellungen\Rudolf\Desktop\hijackthis\HijackThis.exe O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: (no name) - {D66E23FA-E433-6FC1-81B0-ACBC2941F2B1} - F:\DOKUME~1\Rudolf\ANWEND~1\BitsRule\Skip four.exe O4 - HKLM\..\Run: [VTTimer] VTTimer.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [type32] "F:\Programme\Microsoft IntelliType Pro\type32.exe" O4 - HKLM\..\Run: [IntelliPoint] "F:\Programme\Microsoft IntelliPoint\point32.exe" O4 - HKLM\..\Run: [avgnt] "F:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Programme\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [iTunesHelper] "F:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [QuickTime Task] "F:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [Coal load wave third] F:\Dokumente und Einstellungen\All Users\Anwendungsdaten\warndrawcoalload\poll mail.exe O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = F:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ? O4 - Global Startup: Microsoft Office.lnk = F:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - F:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - F:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Apache2 - Unknown owner - F:\Programme\xampp\apache\bin\apache.exe" -k runservice (file missing) O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - F:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - F:\Programme\iPod\bin\iPodService.exe Ich habe z.b. Winamp, Firefox und natürlich das Logding offen. Der Trojaner infiziert oder läd sich zusätzliche Dateien runter, weil mein Antivir-Personaledition mir jedes Mal eine andere infizierte Datei meldet. Bitte sagt mir was ich Schritt für Schritt tun muss, um vom Trojaner frei zu werden. Formatieren möchte ich nicht, weil ich viele Daten auf der Festplatte. |
|
19.04.2006, 00:00
| #4 | |
| | TR/Swizzor.A Rudi_Rastlos O2 - BHO: (no name) - {D66E23FA-E433-6FC1-81B0-ACBC2941F2B1} - F:\DOKUME~1\Rudolf\ANWEND~1\BitsRule\Skip four.exe O4 - HKLM\..\Run: [Coal load wave third] F:\Dokumente und Einstellungen\All Users\Anwendungsdaten\warndrawcoalload\poll mail.exe PC neustarten arbeite das bitte ab: http://virus-protect.org/artikel/spyware/lop1.html zu loeschen (in deinem Fall sind) F:\Dokumente und Einstellungen\Rudolf\Anwendungsdaten\BitsRule F:\Dokumente und Einstellungen\All Users\Anwendungsdaten\warndrawcoalload wenn du mit CleanUp,Dr.Web und Panda alle Malware gefunden und geloescht hast.... Start -- alle Programme -- Zubehör -- Editor und kopiere folgenden Text rein: Zitat:
- abspeichern unter : Dateityp: alle Dateien - speichere auf dem Desktop - Locate findjobs.bat-- doppelklick auf die bat-Datei , der Editor öffnet sich -- poste den Text
__________________ MfG Sabina |
|
| Themen zu TR/Swizzor.A |
| antivir, avira, bho, dll, excel, firefox, firewall, google, hijack, hotkey, internet, internet explorer, logfile, löschen, microsoft, mozilla, mozilla firefox, problem, programme, rundll, software, system, tuneup utilities, virus, windows, yahoo |
Linear-Darstellung
