|
Plagegeister aller Art und deren Bekämpfung: TR/Vundo.GenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
14.10.2006, 21:57 | #1 |
| TR/Vundo.Gen Hallo@all Ich bzw meine Freundin bekommt immer diesen TR/Vundo.Gen (pmnkjih.dll) Virus von antivir angezeigt, ich habe jetzt schon länger probiert das Teil wegzubekommen (habe auch vor meiner reg hier schon öfters gelesen) aber ich bekomme es einfach net hin -.- überall steht HijackThis benutzen dann dies und das machen...habe cleanup,avenger, abgesicherten mouds... ausprobiert.. aber ohne erfolg HIer der HijackThis report..hoffe könnt mir helfen Running processes: C:\WINDOWS.000\System32\smss.exe C:\WINDOWS.000\system32\winlogon.exe C:\WINDOWS.000\system32\services.exe C:\WINDOWS.000\system32\lsass.exe C:\WINDOWS.000\system32\svchost.exe C:\WINDOWS.000\System32\svchost.exe C:\Programme\Sygate\SPF\smc.exe C:\WINDOWS.000\Explorer.EXE C:\WINDOWS.000\system32\spoolsv.exe C:\WINDOWS.000\System32\RunDll32.exe C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE C:\Programme\ICQLite\ICQLite.exe C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE C:\Dokumente und Einstellungen\XXX\Desktop\hijackthis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = WEB.DE O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS.000\System32\msdxm.ocx O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [Spooler SubSystem App] C:\WINDOWS.000\System32\spooIsv.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize O4 - HKLM\..\Run: [Microsoft (R) Windows Update Manager] C:\WINDOWS\update\updmgr.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe (file missing) O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe (file missing) O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.000\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.000\web\related.htm O17 - HKLM\System\CCS\Services\Tcpip\..\{92246CF1-3396-4253-BB62-6308097E54DD}: NameServer = 195.50.140.114 195.50.140.252 O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Sygate Personal Firewall Platinum (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe O23 - Service: Windows Update Manager (UpdateManager) - Unknown owner - C:\WINDOWS\update\updmgr.exe (file missing) O23 - Service: Microsoft Windows Spool Service (Windows Spool Service) - Unknown owner - C:\WINDOWS.000\wdfmgr.exe (file missing) |
14.10.2006, 22:02 | #2 | ||
Administrator > Competence Manager | TR/Vundo.Gen Hallo SubZero,
__________________dein Logfile ist nicht vollständig, der gesamte Kopf des Log fehlt, dort sind die Angaben zu Betriebssystem sowie Patchstand enthalten, dieses ist für die Auswetung sehr wichtig. Abgesehen davon ist mit großer Wahrscheinlichkeit ein BackdoorTrojaner im System. Lass daher folgende Datei bei Virustotal überprüfen: Zitat:
Der Schädling hat mit großer Sicherheit schon einiges angestellt, in deinem Fall so wie es aussieht vorsorglich die Registrierung deaktiviert: Zitat:
Gruß Sunny
__________________ |
14.10.2006, 22:34 | #3 |
| TR/Vundo.Gen Logfile of HijackThis v1.99.1
__________________Scan saved at 22:05:15, on 14.10.2006 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) omplete scanning result of "updmgr.exe", received in VirusTotal at 10.14.2006, 23:27:59 (CET). Antivirus Version Update Result AntiVir n - no virus found Authentium n - no virus found Avast n - no virus found AVG n - no virus found BitDefender n - no virus found CAT-QuickHeal n - no virus found ClamAV n - no virus found DrWeb n - no virus found eTrust-InoculateIT n - no virus found eTrust-Vet n - no virus found Ewido n - no virus found Fortinet n - no virus found F-Prot n - no virus found F-Prot4 n - no virus found Ikarus n - no virus found Kaspersky n - no virus found McAfee n - no virus found Microsoft n - no virus found NOD32v2 n - no virus found Norman n - no virus found Panda n - no virus found Sophos n - no virus found TheHacker n - no virus found UNA n - no virus found VBA32 n - no virus found VirusBuster n - no virus found Aditional Information File size: 0 bytes MD5: d41d8cd98f00b204e9800998ecf8427e SHA1: da39a3ee5e6b4b0d3255bfef95601890afd80709 |
14.10.2006, 22:38 | #4 |
Administrator > Competence Manager | TR/Vundo.Gen Versuch es nochmal anders, da die Datei sich zu schützen weiß, kann kein Virenscanner sie identifizieren. Suche die Datei C:\WINDOWS\update\updmgr.exe, kopiere sie auf C:\ und benenne sie um in virus.exe, lass dann diese nochmals von Virustotal überprüfen. (und natürlich wieder das Ergebnis posten ) Gruß Sunny
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Stulti est se ipsum sapientem putare. |
14.10.2006, 22:44 | #5 |
| TR/Vundo.Gen komisch... die datei gibbet hier net -.- habe sie net in windoof ordner gefunden und auch sonst nirgends |
14.10.2006, 22:45 | #6 | |
Administrator > Competence Manager | TR/Vundo.GenZitat:
__________________ --> TR/Vundo.Gen |
14.10.2006, 22:46 | #7 |
| TR/Vundo.Gen ja habe ich! Die Datei ist net mehr da ka wieso Geändert von SubZero (14.10.2006 um 22:55 Uhr) |
14.10.2006, 23:27 | #8 |
| TR/Vundo.Gen *push* kann noch wer helfen? [Gc]Sunny |
15.10.2006, 10:54 | #9 | ||
| TR/Vundo.Gen Hallo, ich weis zumindest warum er den Kopf des Hijackfiles uns vorenthalten hat.... Auch deuten diese Systemdateien darauf hin,das "Subzero" entweder eine illegale Kopie von Windows nutzt,oder versucht hat drüberzuinstallieren. Zitat:
Zitat:
Irrlicht |
15.10.2006, 13:06 | #10 |
| TR/Vundo.Gen also die version ist Original.... Habe den Pc zu einen Kollegen gebracht, weil ich keine zeit hatte Xp neu zu installieren...und er hat anscheinend die alte windows installation net formatiert.. Wenn da nix mehr machbar ist werde ich Xp einmal neuinstallieren |
15.10.2006, 13:33 | #11 |
| TR/Vundo.Gen mOIn auch ich denke der hier wurde übersehen C:\WINDOWS.000\System32\spooIsv.exe der fettgeschriebene ist ein großgeschriebenes i und kein L wie die Systemdatei. Lasse die Datei hier Virustotal oder hier Jotti überprüfen (kann bisschen dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei, auch wenn nichts gefunden wurde. MFG |
15.10.2006, 15:02 | #12 |
| TR/Vundo.Gen einmal von VirusTotal: datei ist 56,0 KB (57.344 Bytes) gross Your file "spoolsv.exe" is queued in position: 2. Estimated start time is between 70 and 100 seconds. jotti ist momentan überlastet.... editiere mein beitrag gleich noch wenns geht Jotti: Datei: spoolsv.exe Auslastung: 0% 100% Status: OK (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.) Entdeckte Packprogramme: - AntiVir Keine Viren gefunden ArcaVir Keine Viren gefunden Avast Keine Viren gefunden AVG Antivirus Keine Viren gefunden BitDefender Keine Viren gefunden ClamAV Keine Viren gefunden Dr.Web Keine Viren gefunden F-Prot Antivirus Keine Viren gefunden Fortinet Keine Viren gefunden Kaspersky Anti-Virus Keine Viren gefunden NOD32 Keine Viren gefunden Norman Virus Control Keine Viren gefunden VirusBuster Keine Viren gefunden VBA32 Keine Viren gefunden Geändert von SubZero (15.10.2006 um 15:10 Uhr) |
15.10.2006, 15:04 | #13 | |
Administrator > Competence Manager | TR/Vundo.GenZitat:
Dann versuch es mal bei Virustotal, vielleicht geht es da schneller... Ansonsten heisst die Devise: WARTEN &
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Stulti est se ipsum sapientem putare. |
15.10.2006, 15:12 | #14 |
| TR/Vundo.Gen mOIn nochmal mOIn Daniel @SubZero ich denke, du hast die falsche Datei am Wickel , achte bitte genau auf die Schreibweise oder klicke die Datei mal mit der rechten Maustaste an und lasse dir die Eigenschaften anzeigen. MFG |
15.10.2006, 15:24 | #15 |
| TR/Vundo.Gen habe den pfad den du geschrieben hast kopiert "C:\WINDOWS.000\System32\spooIsv.exe" und die datei gibbet nur 1x in system32 ordner... es gibt aber noch nen ordner "C:\WINDOWS.000\spool\PRINTERS" aber der ist leer bei eigenschaften von der datei steht: Dateityp: Anwendung Beschreibung: Spooler SubSystem App Ort: C:\WINDOWS.000\SYSTEM32 edit: habe nochmal geguckt und das gefunden Prozessname : spoolsv / spoolsv.exe Firma : Microsoft Corporation Gehört zu : Microsoft Windows Virus / Spyware : NEIN Beschreibung : Die spoolsv / spoolsv.exe (Spooler SubSystem App) gehört zu Windows. Sie sorgt dafür das Druckaufträge nacheinander an den Drucker gesendet werden, und neue Druckaufträge ordnungsgemäss in dir Druckerwarteschlange eingereiht werden. Geändert von SubZero (15.10.2006 um 15:39 Uhr) |
Themen zu TR/Vundo.Gen |
antivir, avg, avira, button, check, desktop, einstellungen, excel, file, firefox, firewall, helfen, hijack, hijackthis, internet, internet explorer, messenger, microsoft, mozilla, mozilla firefox, programme, rundll, software, spooler subsystem app, system, system32, tr/vundo.gen, virus |