BDS/Ciadoor.13.3 und BDS/Cia.121

cold.lucas. · 25.04.2006, 13:44

Hallo!!

Also ich habe mir diese tollen Backdoor-Viren BDS/Ciadoor.13.3 und BDS/Cia.121 und noch den Trojaner TR/Dorp.Delf.RC

Diese Namen habe ich vom Avira Antivir Scanner bekommen in den Dateien E:\Windows\System32\scvhost.exe
E:\Windows\System32\wsock32.sys

Ich habe beide Dateien im abgesicherten Modus mit beendeten explorer und mit einem Shredder.

Danach habe ich nach einigen Infos in Google gesucht, und daraufhin folgende Ordner in der Registry gelöscht:

HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Run\Generic Host System "E:\Windows\System32\scvhost.exe"
HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\Run-\Generic Host System "E:\Windows\System32\scvhost.exe"
HKEY_Current_User\Software\Microsoft\Windows\CurrentVersion\RunServices\Generic Host System "E:\Windows\System32\scvhost.exe"

Außerdem habe ich
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell = Explorer.exe, E:\Windows\System32\scvhost.exe"
in
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell = explorer.exe"
umgeändert.
Ich glaube es hieß Generic Host System, weiß es aber leider nicht mehr genau.

Ich habe auf jeden Fall den kompletten Computer auf allen Festplatten nach Viren durchsuchen lassen, einmal mit einem Suchprogramm das man über cd vorm booten von Windows laufen lassen kann, und jedesmal wurde nichts gefunden.

Trotzdem habe ich noch einige Einträge die sich nicht entfernen lassen, weil sie sofort nach dem löschen wieder erstellt werden, auch wenn ich in abgesicherten modus lösch, kommen sie wieder.

HKEY_USERS\S-1-5-21-1078081533-1935655697-682003330-1003\Software\Microsoft\Windows NT\CurrentVersion\Windows\
load=E:\Windows\System32\scvhost.exe
und
run=E:\Windows\System32\scvhost.exe

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
load=E:\Windows\System32\scvhost.exe
und
run=E:\Windows\System32\scvhost.exe

Beim Starten von Windows kommt dann logischerweise 4x die Meldung dass die Datei nicht gestartet werden konnte.
Außerdem werden trotzdem noch Prozesse wie z.b. avwin.exe oder sched.exe beendet, ich kann sie aber manuell neustarten. Bitte helft mir was ich noch machen muss damit letzteres nicht passiert!

Hier noch den HijackThis Log-File:

Code:

ATTFilter

Logfile of HijackThis v1.99.1
Scan saved at 14:40:42, on 25.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\WINDOWS\Explorer.EXE
E:\WINDOWS\system32\spoolsv.exe
E:\WINDOWS\system32\oodag.exe
E:\WINDOWS\system32\ZoneLabs\vsmon.exe
E:\Programme\Internet\D-Link USB Utility\AirCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
E:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
E:\Programme\Internet\ZoneAlarm Security Suite\zlclient.exe
E:\Programme\Tools\PCBooster\pcbooster.exe
E:\Programme\Tools\SpybotSearch-Destroy\TeaTimer.exe
E:\PROGRA~1\Tools\AdAware\Ad-Watch.exe
C:\Programme\Internet Explorer\iexplore.exe
E:\Programme\AntiVir PersonalEdition Classic\avguard.exe
E:\Programme\Internet\ICQ5\ICQLite.exe
E:\Programme\Tools\J River Media Center 11\Media Center.exe
E:\WINDOWS\regedit.exe
E:\WINDOWS\Explorer.EXE
C:\Programme\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = e:\WINDOWS\pchealth\helpctr\System\panels\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = f:\WINDOWS\PCHealth\HelpCtr\System\panels\blank.htm
F3 - REG:win.ini: load=E:\WINDOWS\system32\scvhost.exe
F3 - REG:win.ini: run=E:\WINDOWS\system32\scvhost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Tools\Acrobat Reader 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programme\GetRight\xx2gr.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\Programme\Tools\SpybotSearch-Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Programme\Tools\Java 1.5.0_06\bin\ssv.dll
O3 - Toolbar: Steganos Internet Anonym - {00000000-5736-4205-0008-f7ed0776fb27} - e:\programme\internet\steganos internet anonym 2006\sia2006iep.dll
O4 - HKLM\..\Run: [D-Link Air USB Utility] E:\Programme\Internet\D-Link USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [avgnt] "E:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [Zone Labs Client] E:\Programme\Internet\ZoneAlarm Security Suite\zlclient.exe
O4 - HKLM\..\Run: [PC Booster] E:\Programme\Tools\PCBooster\pcbooster.exe
O4 - HKLM\..\Run: [Generic Host Process] E:\WINDOWS\system32\scvhost.exe
O4 - HKLM\..\Run: [SpybotSnD] "E:\Programme\Tools\SpybotSearch-Destroy\SpybotSD.exe"
O4 - HKLM\..\RunServices: [Generic Host Process] E:\WINDOWS\system32\scvhost.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Programme\Tools\SpybotSearch-Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [AWMON] "E:\PROGRA~1\Tools\AdAware\Ad-Watch.exe"
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O8 - Extra context menu item: Save with Download Manager... - file://E:\Programme\Tools\J River Media Center 11\DMDownload.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Tools\Java 1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Tools\Java 1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\Internet\ICQ5\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\Internet\ICQ5\ICQLite.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - E:\WINDOWS\system32\ZoneLabs\isafe.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: O&O Defrag - O&O Software GmbH - E:\WINDOWS\system32\oodag.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - E:\Programme\Tools\Alcohol 120\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - E:\Programme\Tools\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - E:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - E:\Programme\Internet\RealVNC\WinVNC4.exe" -service (file missing)

Herzlichen Dank für Hilfe!

MfG

Lucas

BDS/Ciadoor.13.3 und BDS/Cia.121

Plagegeister aller Art und deren Bekämpfung: BDS/Ciadoor.13.3 und BDS/Cia.121

BDS/Ciadoor.13.3 und BDS/Cia.121

Ähnliche Themen: BDS/Ciadoor.13.3 und BDS/Cia.121