Hi,

ich habe seit 2 Stunden ein "kleines Problem" mit meinem PC. Habe mir wohl irgendwie durch ein heruntergeladenes Programm ein Spywareprogramm eingefangen. Auf jedenfall erscheint permanent unten rechts auf der Taskleiste ein blaues, runtes Fragezeichen Symbol das permanent zu einem roten Verbotsschild wird, sprich animiert und immer wieder wechselt. Darüber hinaus habe ich ein gelbes, blinkendes Dreieck mit Ausrufezeichen darin welches ständig blinkt und einen Hinweis aufblinken lässt von wegen "System Alert: Popups... Your computer is infected... usw.". Gerade letzteres nervt ungemein da es wirklich alle 30 Sekunden ca. auftritt. Auch öffnen sich hin und wieder Browser Popups zu englischen Seiten, manchmal mit dem Inhalt welche Software man gegen Spyware nützlich einsetzen kann.

Habe mir jetzt mal HijackThis runtergeladen und scannen lassen und folgendes Logfile erhalten:

----------

Logfile of HijackThis v1.99.1
Scan saved at 05:15:11, on 12.07.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\CA\eTrust Antivirus\InoRpc.exe
C:\Programme\CA\eTrust Antivirus\InoRT.exe
C:\Programme\CA\eTrust Antivirus\InoTask.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ishost.exe
C:\WINDOWS\system32\issearch.exe
C:\WINDOWS\system32\isnotify.exe
C:\WINDOWS\system32\ismon.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\WINDOWS\Mixer.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Java\jre1.5.0_03\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\{58D7A40C-0386-1031-0325-030813030031}\Update.exe
C:\Programme\AutoSizer\AutoSizer.exe
C:\DOKUME~1\***\EIGENE~1\CURITY~1\taskmgr.exe
C:\DOKUME~1\***\ANWEND~1\DOBE~1\WCRTUP~1.EXE
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\***\Desktop\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://w*w.web.de/
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {338AA10D-9DAD-4B72-84B5-953FEA627FDA} - C:\WINDOWS\system32\vga64k32.dll
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\xxywxwv.dll
O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - C:\WINDOWS\system32\ixt0.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [AutoSizer] "C:\Programme\AutoSizer\AutoSizer.exe" /h
O4 - HKCU\..\Run: [updateMgr] C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_0
O4 - HKCU\..\Run: [Scaa] "C:\DOKUME~1\***\EIGENE~1\CURITY~1\taskmgr.exe" -vt yazb
O4 - HKCU\..\Run: [Ssv] C:\DOKUME~1\***\ANWEND~1\DOBE~1\WCRTUP~1.EXE
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - h**p://yax-download.yazzle.net/YazzleActiveX.cab?refid=1123
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\dvdplay.dll
O20 - Winlogon Notify: winjrs32 - C:\WINDOWS\SYSTEM32\winjrs32.dll
O20 - Winlogon Notify: xxywxwv - C:\WINDOWS\SYSTEM32\xxywxwv.dll
O21 - SSODL: cinnamomum - {93ac7c30-3878-4eaa-9420-7977285df5b1} - C:\WINDOWS\system32\pmnqguh.dll
O23 - Service: eTrust Antivirus-RPC-Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus-Echtzeitserver (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus-Jobserver (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoTask.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

---------------

Ich weiß jetzt nicht ob ich wirklich diesen Swizzor.A auf dem System habe, scheint für mich aber so. Vielleicht könnte mir das noch jemand bestätigen anhand der Symptome bzw. dem Logfile ?

Habe mir natürlich auch die Anleitung zur Entfernung dieses Swizzor.A durchgelesen, bin aber an der Sache "Normalerweise hat Swizzor mindesten zwei Einträge, einen O2 und einen O4 Eintrag" hängen geblieben. Ich kann leider nicht erkennen welche Einträge in meinem Logfile dem entsprechen und wollte fragen ob mir da jemand auf die Sprünge helfen kann ?

Die anderen Arbeitsschritte habe ich soweit verstanden, bin zwar nicht sehr erfahren was Viren und Trojaner betrifft aber denke dass ich den Rest dann durchaus hinbekomme.

Würde mich also sehr über Hilfe freuen und bedanke mich schon mal im Vorraus.

Gruß VeXX
P.s.: Falls jemand an meinem Logfile eventuelle weitere Infektionen erkennt wäre ich auch über Info sehr dankbar...

C:\WINDOWS\system32\ishost.exe

Gehört meines Wissens zum Zlob.

C:\Programme\Java\jre1.5.0_03\bin\jusched.exe

Die Java-Version, die Du da verwendest ist veraltet!

C:\DOKUME~1\***\EIGENE~1\CURITY~1\taskmgr.exe

Der Windows-Taskmanager sitzt normalerweise im Ordner c:\windows\system32. Hast Du den dort absichtlich hinkopiert?

O2 - BHO: (no name) - {338AA10D-9DAD-4B72-84B5-953FEA627FDA} - C:\WINDOWS\system32\vga64k32.dll
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\xxywxwv.dll
O2 - BHO: (no name) - {873eb32d-ae1a-4183-89bd-45a77f761be4} - C:\WINDOWS\system32\ixt0.dll
O20 - AppInit_DLLs: C:\WINDOWS\system32\dvdplay.dll
O20 - Winlogon Notify: winjrs32 - C:\WINDOWS\SYSTEM32\winjrs32.dll
O20 - Winlogon Notify: xxywxwv - C:\WINDOWS\SYSTEM32\xxywxwv.dll
O21 - SSODL: cinnamomum - {93ac7c30-3878-4eaa-9420-7977285df5b1} - C:\WINDOWS\system32\pmnqguh.dll

Und da sind noch mehr obszöne Einträge! Deine Kiste ist ganz schön verseucht. Ich weiß nicht, ich glaube es macht hier kaum noch Sinn an eine Bereinigung zu denken. Zlob (allein komplex genug...) kann man schon nicht wirklich sicher durch eine Bereinigung entfernen. Abhilfe schafft da nur das Neuaufsetzen des Systems.

@cosinus:

Die Java-Version, die Du da verwendest ist veraltet!

Inwiefern vermindert das die Sicherheit?

OT: Auch Java hat so seine Sicherheitslücken, die Updates machen die nicht nur zum Spaß - ob dies hier irgendwie entscheident ist weiß ich nicht (ich schaue nicht nach da es sich m.E. nicht lohnt) aber es ist eine prinzipielle Frage/Angelegenheit.
jre-1_5_0_03 ist über ein Jahr alt und mindestens seit August/September 2005 veraltet

Nachtrag: Trotzdem schmeisse ich z.B. den Update-Scheduler aus dem "Autostart", muss man nicht jeden Tag prüfen. Und ich prüfe es durch Service/Neuinstallationen sowieso irgendwie mehrmals im Monat

Hallo,
überprüfe mal bitte die Datei C:\WINDOWS\SYSTEM32\winjrs32.dll hier und poste das Ergebnis.

P.S.
Glaube nicht das hier eine Swizzor Infektion vorhanden ist.

Grüße Wildone

Hi,

hier das Ergebnis von VirusTotal:

Antivirus	          Version Update     Result
AntiVir	                6.35.0.21 07.12.2006 TR/PCK.Klone.G.5
Authentium	           4.93.8 07.11.2006 no virus found
Avast	                4.7.844.0 07.12.2006 no virus found
AVG	                      386 07.12.2006 Generic.XAH
BitDefender	              7.2 07.12.2006 no virus found
CAT-QuickHeal	             8.00 07.12.2006 Trojan.Klone.g
ClamAV	           devel-20060426 07.11.2006 no virus found
DrWeb	                     4.33 07.12.2006 Trojan.Mezzia
eTrust-InoculateIT       23.72.66 07.11.2006 Win32/Nebuler.0oq!DLL!Trojan
eTrust-Vet	        12.6.2295 07.12.2006 Win32/Nebuler.G
Ewido	                      4.0 07.12.2006 no virus found
Fortinet	         2.77.0.0 07.12.2006 W32/Klone.G
F-Prot	                    3.16f 07.11.2006 no virus found
F-Prot4	                 4.2.1.29 07.11.2006 no virus found
Ikarus	                 0.2.65.0 07.11.2006 no virus found
Kaspersky	         4.0.2.24 07.12.2006 Packed.Win32.Klone.g
McAfee	                     4804 07.11.2006 BackDoor-CVT
Microsoft	           1.1481 07.10.2006 no virus found
NOD32v2	                   1.1655 07.12.2006 no virus found
Norman	                  5.90.23 07.12.2006 no virus found
Panda	                  9.0.0.4 07.12.2006 Adware/SuperSpider
Sophos	                   4.07.0 07.12.2006 no virus found
Symantec	              8.0 07.12.2006 Trojan.Nebuler
TheHacker	        5.9.8.173 07.11.2006 no virus found
UNA	                     1.83 07.11.2006 no virus found
VBA32	                   3.11.0 07.11.2006 Trojan.Mezzia
VirusBuster	          4.3.7:9 07.12.2006 no virus found
         

Leider sagen mir die einzelnen Voren / Trojaner garnichts. Hat da evt. jemand mehr Input für mich ?

@cosinus
Nein, habe den TaskManager nicht kopiert. Ist mir auch schleierhaft wie der dort hin kommt ?!
Ich denke auch schon an ein neu aufsetzen des Systems aber wollte damit noch warten da es ein paar Tage dauern wird bis ich alle wichtigen Daten gebrannt habe, und dafür würde ich gerne halbwegs gut arbeiten können und da nerven diese Hinweise unten rechts eben enorm...

Danke im Vorraus und auch für die bisherige Hilfe.

Gruß VeXX

Hallo,
schade ich kann immernoch keine guten Beschreibungen dazu finden, besonders ob da jetzt eine Backdoorkomponente dabei ist wäre interessant.

Fazit, setze das System so bald wie möglich neu auf, um kurzfristig eine Besserung zu bekommen kannst du folgende Anleitung abarbeiten.
Aber sei dir dessen bewußt das da noch einiges mehr im Hintergrund läuft.
Lösche auf jeden Fall auch noch die drei Dateien:

C:\DOKUME~1\***\EIGENE~1\CURITY~1\taskmgr.exe
C:\DOKUME~1\***\ANWEND~1\DOBE~1\WCRTUP~1.EXE
C:\WINDOWS\SYSTEM32\winjrs32.dll

Außerdem noch diese Anleitung abarbeiten.

Hier noch die Anleitung wie du beim Neuaufsetzen und anschließenden absichern vorgehen solltest, und mache das zeitnah!


Grüße Wildone