Hallo,

bin neu hier und natürlich auch gleich ein Problem.

Bei jedem Start (wenn der desktop erschienen ist und windows alles geladen hat, kann etwas dauern) meldet AntiVir sofort denn Trojaner TR/PCK.Klone.G.20 immer in der Datei C:/Windows/system32/winubg32.dll .
Diese Datei lösche ich dann auch sofort (kommt aber eh immer wieder). AntiVir findet bei einem Systemscan nichts, Spybot auch nich und Ad-Aware SE fängt immer damit an den Windowsordner zuscannen(noch is alles ok), aber sobald es einige dateien scannt (aber bei diese dateien nichts findet) kommt die gleiche Warnung wieder. Es sind zwar noch mehr Dateien, aber diese konnte ich noch mitkriegen bevor die Meldung kam:

WgaLogon.dll - C:\WINDOWS\system32
WinSpool.drv - ?

Habe auch schon HiJack drüber laufen lassen und bei Hijack this ausgewertet.
Hat zwar nich sonderlich viel geholfen, aber ich zeige ihn euch mal:

Logfile of HijackThis v1.99.1
Scan saved at 18:04:11, on 05.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Gemeinsame Dateien\{E02EC58C-08A3-1031-1201-050721050031}\Update.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Alcatel\SpeedTouch USB\dragdiag.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AOL 9.0\waol.exe
C:\Programme\AOL 9.0\shellmon.exe
C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\Fabian\Desktop\HijackThis.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Programme\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.1.0.69.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdat...b?1126452590406
O17 - HKLM\System\CCS\Services\Tcpip\..\{7933472A-BD75-45F5-BAC7-FDEDBE4E2D2F}: NameServer = 205.188.146.145
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: app_filter - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe (file missing)
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe" -k runservice (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: ForceWare IP service (nSvcIp) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe (file missing)
O23 - Service: ForceWare user log service (nSvcLog) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Danke euch schonmal und hoffe auf schnelle Hilfe!

Hallo FaTD,

dein Logfile sieht meiner Ansicht nach auch clean aus.
Versuch doch mal folgendes, lass die Datei ->C:/Windows/system32/winubg32.dll<- mal bei Virustotal auswerten.
Poste anschliessend das Ergebnis. (einfach alles markieren, kopieren, und in deinen Beitrag reinsetzen..)

Gruß
Sunny

mOIn auch,
was ist mit dem hier ?
C:\Programme\Gemeinsame Dateien\{E02EC58C-08A3-1031-1201-050721050031}\Update.exe
ist vermutlich dieser Trojan.Starter 65 o.ä. lass in mitüberprüfen
MFG

Zitat von nochdigger

mOIn auch,
was ist mit dem hier ?
C:\Programme\Gemeinsame Dateien\{E02EC58C-08A3-1031-1201-050721050031}\Update.exe
ist vermutlich dieser Trojan.Starter 65 o.ä. lass in mitüberprüfen
MFG

Meines Wissens gehört dieser Eintrag zu T-Online

Ich kenn mich zwar nich so aus, aber das heißt wohl nichts gutes :

Complete scanning result of "winubg32.dll", received in VirusTotal at 08.05.2006, 18:59:35 (CET).

Antivirus Version Update Result
AntiVir 6.35.1.0 08.05.2006 TR/PCK.Klone.G.20
Authentium 4.93.8 08.04.2006 W32/Trojan.IID
Avast 4.7.844.0 08.04.2006 Win32:Klone-N
AVG 386 08.04.2006 Generic.YIG
BitDefender 7.2 08.05.2006 Trojan.Klone.D
CAT-QuickHeal 8.00 08.04.2006 no virus found
ClamAV devel-20060426 08.04.2006 Trojan.Agent-527
DrWeb 4.33 08.05.2006 Trojan.Mezzia
eTrust-InoculateIT 23.72.87 08.04.2006 Win32/Nebuler.4ii!DLL!Trojan
eTrust-Vet 12.6.2324 08.04.2006 Win32/Nebuler.J
Ewido 4.0 08.05.2006 no virus found
Fortinet 2.77.0.0 08.05.2006 W32/Klone.G
F-Prot 3.16f 08.04.2006 destructive program named W32/Trojan.IID
F-Prot4 4.2.1.29 08.04.2006 W32/Trojan.IID
Ikarus 0.2.65.0 08.04.2006 no virus found
Kaspersky 4.0.2.24 08.05.2006 Packed.Win32.Klone.g
McAfee 4822 08.04.2006 BackDoor-CVT
Microsoft 1.1508 08.04.2006 no virus found
NOD32v2 1.1693 08.05.2006 no virus found
Norman 5.90.23 08.04.2006 W32/Agent.AGIA
Panda 9.0.0.4 08.05.2006 Adware/SuperSpider
Sophos 4.08.0 08.05.2006 Troj/Agent-CIK
Symantec 8.0 08.05.2006 Trojan Horse
TheHacker 5.9.8.186 08.04.2006 no virus found
UNA 1.83 08.04.2006 no virus found
VBA32 3.11.0 08.04.2006 Trojan.Mezzia
VirusBuster 4.3.7:9 08.05.2006 Trojan.Agent.DTF

Aditional Information
File size: 18944 bytes
MD5: 10dc4e8c75890df8f6f72cfd0ceb5c52
SHA1: 69cc4be61fcdfbb5c1c2ad2a13658df5d965ec9b

Zu der T-Online Sache (ich bin bei AOL ) und wollte das wenn ich die positionen von den anderen Trojanern/Virusen etc. weiß im abgesicherten Modus mitlöschen.

Aber trotzdem danke!

[EDIT]: Sorry für Doppelpost, bin momentan wohl zu aufgeregt

mOIn nochma
t-online ? hm, vielen Dank für deine Info hab mir in den letzten 2 Tagen nach dem Sch...ding die Finger wund getippt und keine Infos im Net finden können.
@ FaTD dann brauchst du die Update.exe nicht prüfen lassen
MFG

Bei dem was ich über den Trojaner gefunden habe, gibt es wohl noch die Möglichkeit einer Bereinigung. Führe aber vorab enen eScan durch, Anleitung in meiner Signatur verlinkt.
Poste das Ergebnis mit Hilfe der "find.bat", ist alles ganz genau beschrieben

Gruß
Sunny

Hat zwar ewig gedauert, aber hier ist es endlich:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Sat Aug 05 19:38:02 2006 => System found infected with wareout Adware (1.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:02 2006 => System found infected with wareout Adware (2.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:02 2006 => System found infected with wareout Adware (3.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:03 2006 => System found infected with wareout Adware (1.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:03 2006 => System found infected with wareout Adware (2.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:03 2006 => System found infected with wareout Adware (3.dat)! Action taken: No Action Taken.
Sat Aug 05 19:38:07 2006 => System found infected with conhook.y Trojan (C:\WINDOWS\system32\awvvu.dll)! Action taken: No Action Taken.
Sat Aug 05 19:38:04 2006 => Object "smitfraud Browser Hijacker" found in File System! Action Taken: No Action Taken.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Sat Aug 05 19:36:42 2006 => File C:\WINDOWS\system32\winubg32.dll infected by "Packed.Win32.Klone.g" Virus! Action Taken: No Action Taken.
Sat Aug 05 19:36:57 2006 => File C:\WINDOWS\system32\winubg32.dll infected by "Packed.Win32.Klone.g" Virus! Action Taken: No Action Taken.
Sat Aug 05 19:40:30 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DownloadAcceleratorPlus.zip infected by "Password-protected-EXE" Virus! Action Taken: No Action Taken.
Sat Aug 05 19:40:40 2006 => File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DownloadAcceleratorPlus73.zip infected by "Password-protected-EXE" Virus! Action Taken: No Action Taken.
Sat Aug 05 23:17:40 2006 => File C:\WINDOWS\system32\winubg32.dll infected by "Packed.Win32.Klone.g" Virus! Action Taken: No Action Taken.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Sat Aug 05 19:38:02 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\1.dat
Sat Aug 05 19:38:02 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\2.dat
Sat Aug 05 19:38:02 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\anwendungsdaten\hp\digital imaging\cache\3.dat
Sat Aug 05 19:38:03 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\1.dat
Sat Aug 05 19:38:03 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\2.dat
Sat Aug 05 19:38:03 2006 => Offending file found: C:\Dokumente und Einstellungen\Fabian\Lokale Einstellungen\Anwendungsdaten\hp\digital imaging\cache\3.dat
Sat Aug 05 19:38:07 2006 => Offending file found: C:\WINDOWS\system32\awvvu.dll
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Sat Aug 05 19:36:41 2006 => File C:\WINDOWS\system32\awvvu.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.da". Action Taken: No Action Taken.
Sat Aug 05 19:36:53 2006 => File C:\WINDOWS\system32\awvvu.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.da". Action Taken: No Action Taken.
Sat Aug 05 19:36:57 2006 => File C:\WINDOWS\system32\awvvu.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.da". Action Taken: No Action Taken.
Sat Aug 05 23:13:39 2006 => File C:\WINDOWS\system32\awvvu.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.da". Action Taken: No Action Taken.
Sat Aug 05 23:17:09 2006 => File C:\WINDOWS\system32\rqrqnkh.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.by". Action Taken: No Action Taken.
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Sat Aug 05 19:38:04 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\aol\c_aol 9.0\idb\bart\1024
~~~~~~~~~~~
Registry
~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Sat Aug 05 23:18:15 2006 => Total Errors: 584
Sat Aug 05 23:18:15 2006 => Time Elapsed: 03:41:12
Sat Aug 05 23:18:15 2006 => Total Objects Scanned: 199025
Sat Aug 05 19:27:06 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 19:31:03 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 19:35:57 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 23:18:15 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 23:18:40 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 23:32:15 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 23:36:24 2006 => Virus Database Date: 8/5/2006
Sat Aug 05 23:36:55 2006 => Virus Database Date: 8/5/2006
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Hallo,
gehe mal die beiden Anleitungen durch, und poste danach die nötigen Logfiles.

Anleitung1
Anleitung2

Und zu der Update.exe kannst du mal einen Link posten das die zu T-Online gehört, ich habe da so meine Zweifel, vielleicht sollte die Datei doch mal untersucht werden, schaden kann es ja nicht.


Grüße Wildone

Ich werde mir die Anleitungen gleich mal anschauen, danke!

Ich hab diese T-Online info von Hijackthis.de.

Bild:


[EDIT]:
Sry, für die Quali, aber ich musste das Bild verkleinern und Imageshack verschlechtert die Quali ja auch automatisch.

Achja ist es normal so viele Fehler zu haben(immerhin 584)?

Hallo,
naja, mit der Anlayse von Dateien ist die Onlineauswertung jetzt alles andere als zuverläßig, und wenn du kein T-Online hast spricht diese Tatsache ja auch sehr dagegen, beende mal den Prozess(Update.exe) im Taskmanager und überprüfe die Datei hier.

Achja ist es normal so viele Fehler zu haben(immerhin 584)?

Ja, ist normal, kann man durch Registrybereinigungsprogramme beheben, muss man aber nicht.


Grüße Wildone

Ich wollte die Datei ja sowieso demnächst löschen, aber bei dem Scanning wurde kein Virus o.ä. gefunden:

omplete scanning result of "Update.exe", received in VirusTotal at 08.06.2006, 00:49:54 (CET).

Antivirus Version Update Result
AntiVir 6.35.1.0 08.05.2006 no virus found
Authentium 4.93.8 08.04.2006 no virus found
Avast 4.7.844.0 08.04.2006 no virus found
AVG 386 08.05.2006 no virus found
BitDefender 7.2 08.06.2006 no virus found
CAT-QuickHeal 8.00 08.04.2006 no virus found
ClamAV devel-20060426 08.05.2006 no virus found
DrWeb 4.33 08.05.2006 no virus found
eTrust-InoculateIT 23.72.87 08.04.2006 no virus found
eTrust-Vet 12.6.2324 08.04.2006 no virus found
Ewido 4.0 08.05.2006 no virus found
Fortinet 2.77.0.0 08.05.2006 no virus found
F-Prot 3.16f 08.04.2006 no virus found
F-Prot4 4.2.1.29 08.04.2006 no virus found
Ikarus 0.2.65.0 08.04.2006 no virus found
Kaspersky 4.0.2.24 08.06.2006 no virus found
McAfee 4822 08.04.2006 no virus found
Microsoft 1.1508 08.04.2006 no virus found
NOD32v2 1.1694 08.05.2006 no virus found
Norman 5.90.23 08.04.2006 no virus found
Panda 9.0.0.4 08.05.2006 no virus found
Sophos 4.08.0 08.05.2006 no virus found
Symantec 8.0 08.05.2006 no virus found
TheHacker 5.9.8.186 08.04.2006 no virus found
UNA 1.83 08.04.2006 no virus found
VBA32 3.11.0 08.04.2006 no virus found
VirusBuster 4.3.7:9 08.05.2006 no virus found

Aditional Information
File size: 102400 bytes
MD5: a6eb35030f45299067a3a45e9dc7ec89
SHA1: 03b788cfaed1edc1142866eff1758a24c4082574


Zu der Sache mit Regeinträgen, kannst du mir vielleicht ein gutes (am besten auch idiotensichersprogramm, will mir schließlich nich Windows damit zerschiesen) Programm für sowas empfehlen?

Hallo,
dann sollte wohl die Update.exe doch in Ordnung sein, auch wenn ich sie immernoch nicht einordnen kann.

Zu der Sache mit Regeinträgen, kannst du mir vielleicht ein gutes (am besten auch idiotensichersprogramm, will mir schließlich nich Windows damit zerschiesen) Programm für sowas empfehlen?

Genau deswegen habe ich es nicht gemacht, es gibt kein idiotensicheres Programm, und letzten Endes gibt es immer die (relativ unwahrscheinliche) Möglichkeit sich bei Registrybereinigen mit solchen Tools etwas zu zerschießen. Ich verwende Regseeker, wenn du es verwenden solltest achte darauf den Haken bei Backup zu setzen.



Grüße Wildone

Danke für die ganzen Tipps und Hilfen!

Hatte schon Angst ich müsste das ganze System neuaufsetzten(was schwierig ist da ich nicht genügend Platz zum auslagern wichtiger dateien habe).

Ich denke ich werde dann wohl heut Nacht mein System mal soweit es geht säubern!

Nochmal Vielen Dank!:aplaus: