folgende viren wurden auf meinem rechner gefunden:

Objekt: 8B6BE49Ed01
Pfad: C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\va2i17mg.default\Cache
Status: Virus, Datei gelöscht
Virus: Win32:Adware-gen. [Adw] (Engine B)
Objekt: LxGITxZorx.ini
Pfad: C:\WINDOWS\system32
Status: Datei in Quarantäne verschoben
Virus: Win32:Ciadoor-024 [Trj] (Engine B)
Analyse vollständig durchgeführt: 08.12.2006 15:52



Die Adware hab ich mir beim unvorsichtigen Umgang mit einer geladenen Datei eingefangen. Der hat sich nach dem Extrahieren einer Rar-Datei da eingenistet.

Wie der Ciadoor scih da einnisten konnte ist mir ein Rätsel zumal das System gerade vor 1,5 Monaten neu installiert wurde.

Zur Info: Xp ist uptodate + SP2 AntiVirenKit 2007 + routerfirewall

Nachdem nun die infizierten Dateien gelöscht wurden, wird keiner der Viren mehr vom Scan gefunden. Nach einigem googeln habe ich nun die Befürchtung das Systemdateien modifiziert wurden. Die beim Ciadoor erstellte scvhost.exe scheint wohl nicht vorhanden zu sein.

Logfile of HijackThis v1.99.1
Scan saved at 05:40:35, on 12.12.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\G DATA InternetSecurity\AVK\AVKService.exe
C:\Programme\G DATA InternetSecurity\AVK\AVKWCtl.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\G DATA InternetSecurity\AVKTray\AVKTray.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\G DATA InternetSecurity\Firewall\GDFirewallTray.exe
C:\Programme\G DATA InternetSecurity\Firewall\GDFwSvc.exe
C:\Programme\Xfire\xfire.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programme\G DATA InternetSecurity\GUI\avkis.exe
C:\Programme\G DATA InternetSecurity\AVK\avk.exe
C:\Programme\G DATA InternetSecurity\Firewall\Admin.exe
C:\Programme\G DATA InternetSecurity\ASK\ask.exe
C:\Programme\G DATA InternetSecurity\AVKStatus\AVKStatus.exe
C:\Programme\G DATA InternetSecurity\Webfilter\AvkWeb.exe
C:\Programme\G DATA InternetSecurity\AVKKid\AVKKid.exe
C:\Programme\Mozilla Firefox\firefox.exe
E:\newPCtoINSTALL\hijackthis_199\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: G DATA WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\G DATA InternetSecurity\Webfilter\AVKWebIE.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\G DATA InternetSecurity\Webfilter\AVKWebIE.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AVKTray] "C:\Programme\G DATA InternetSecurity\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Xfire.lnk = C:\Programme\Xfire\xfire.exe
O4 - Global Startup: G DATA Firewall Tray.lnk = ?
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1162519302960
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,1,0,4912/mcfscan.cab
O23 - Service: AVKProxy - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - G DATA Software AG - C:\Programme\G DATA InternetSecurity\AVK\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - Unknown owner - C:\Programme\G DATA InternetSecurity\AVK\AVKWCtl.exe
O23 - Service: G DATA Personal Firewall (GDFwSvc) - Unknown owner - C:\Programme\G DATA InternetSecurity\Firewall\GDFwSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Normalerweise ist bei einem Ciadoor-Befall Neuaufsetzen angesagt, aber imho ist die Infektion noch nicht eindeutig.
Mach einen Check mit Blacklight und poste das Ergebnis.
Poste auch mal die Logs von DATFIND, damit man sehen kann was sich in den Systemordnern an Dateien tummelt.

vielleicht bin ich zu blöd aber was mich wundert, daß da dateien dabei sind die von 2002 sind o0 hab das system vor maximal 3 monaten neu eufgesetzt oder sind da evtl auhc dateien von anderen partitionen bei? die logs sind ellenlang und paßen hier nicht rein deswegen scheibchenweise


Verzeichnis von C:\WINDOWS

13.12.2006 09:27 1.324.340 WindowsUpdate.log
13.12.2006 09:20 0 0.log
13.12.2006 09:19 2.048 bootstat.dat
13.12.2006 03:33 24.118 SchedLgU.Txt
10.12.2006 11:09 1.045.452 setupapi.log
10.12.2006 09:16 69 NeroDigital.ini
02.12.2006 10:57 179.380 setupact.log
23.11.2006 06:39 227 system.ini
23.11.2006 06:39 487 win.ini
22.11.2006 09:15 35.734 spupdsvc.log
22.11.2006 09:14 22.617 ie7_main.log
22.11.2006 09:14 74.693 iis6.log
22.11.2006 09:14 189.156 tsoc.log
22.11.2006 09:14 101.677 ntdtcsetup.log
22.11.2006 09:14 169.374 comsetup.log
22.11.2006 09:14 1.393 imsins.log
22.11.2006 09:14 51.232 ie7.log
22.11.2006 09:14 26.827 ocmsn.log
22.11.2006 09:14 245.533 ocgen.log
22.11.2006 09:14 24.613 msgsocm.log
22.11.2006 09:14 480.088 FaxSetup.log
22.11.2006 09:12 47.645 updspapi.log
22.11.2006 09:11 1.393 imsins.BAK
22.11.2006 09:11 9.112 IDNMitigationAPIs.log
22.11.2006 09:11 8.865 NLSDownlevelMapping.log
22.11.2006 09:10 7.351 KB915865.log
22.11.2006 09:09 4.872 KB914440.log
22.11.2006 09:09 21.896 KB920213.log
22.11.2006 09:09 10.660 KB904942.log
19.11.2006 03:52 16.134 KB923980.log
19.11.2006 03:52 16.221 KB924270.log
19.11.2006 03:51 18.157 KB922760.log
14.11.2006 17:28 60.416 ALCFDRTM.VER
14.11.2006 17:11 1.443 mozver.dat
09.11.2006 14:15 25 cdplayer.ini
06.11.2006 14:33 17.253 wmsetup.log
06.11.2006 14:33 316.640 WMSysPr9.prx
06.11.2006 05:26 313.484 ntbtlog.txt
03.11.2006 09:58 48.110 KB922819.log
03.11.2006 09:58 47.278 KB924191.log
03.11.2006 09:58 44.317 KB923191.log
03.11.2006 09:58 47.004 KB924496.log
03.11.2006 09:58 46.411 KB923414.log
03.11.2006 09:58 46.668 KB925486.log
03.11.2006 09:57 47.919 KB920872.log
03.11.2006 09:57 46.282 KB920685.log
03.11.2006 09:57 46.424 KB919007.log
03.11.2006 09:57 46.240 KB916595.log
03.11.2006 09:57 36.284 KB922582.log
03.11.2006 09:57 45.057 KB920214.log
03.11.2006 09:57 45.054 KB922616.log
03.11.2006 09:57 46.051 KB921398.log
03.11.2006 09:57 46.065 KB920683.log
03.11.2006 09:57 44.517 KB920670.log
03.11.2006 09:57 44.676 KB917422.log
03.11.2006 09:56 48.703 KB918899.log
03.11.2006 09:56 39.228 KB921883.log
03.11.2006 09:56 38.936 KB914388.log
03.11.2006 09:56 37.289 KB911280.log
03.11.2006 09:56 36.790 KB917953.log
03.11.2006 09:56 37.956 KB913580.log
03.11.2006 09:56 36.655 KB918439.log
03.11.2006 09:56 37.330 KB917344.log
03.11.2006 09:55 36.825 KB914389.log
03.11.2006 09:55 25.494 KB917734.log
03.11.2006 09:55 37.020 KB908531.log
03.11.2006 09:55 36.913 KB900485.log
03.11.2006 09:55 36.175 KB911562.log
03.11.2006 09:55 35.614 KB911567.log
03.11.2006 09:55 24.652 KB911564.log
03.11.2006 09:54 35.478 KB911927.log
03.11.2006 09:54 35.551 KB912919.log
03.11.2006 09:54 34.854 KB908519.log
03.11.2006 09:54 34.659 KB904706.log
03.11.2006 09:54 27.428 KB910437.log
03.11.2006 09:54 35.013 KB896424.log
03.11.2006 09:54 35.062 KB900725.log
03.11.2006 09:54 32.691 KB905749.log
03.11.2006 09:54 32.165 KB905414.log
03.11.2006 09:54 31.347 KB901017.log
03.11.2006 09:54 35.715 KB902400.log
03.11.2006 09:53 27.800 KB894391.log
03.11.2006 09:53 25.977 KB896423.log
03.11.2006 09:53 25.465 KB899587.log
03.11.2006 09:53 24.956 KB899591.log
03.11.2006 09:53 25.071 KB893756.log
03.11.2006 09:53 24.241 KB896358.log
03.11.2006 09:53 25.840 KB890859.log
03.11.2006 09:53 22.181 KB901214.log
03.11.2006 09:53 20.803 KB896428.log
03.11.2006 09:53 21.612 KB890046.log
03.11.2006 09:53 20.554 KB885835.log
03.11.2006 09:53 19.485 KB891781.log
03.11.2006 09:52 19.448 KB887472.log
03.11.2006 09:52 19.474 KB888302.log
03.11.2006 09:52 19.084 KB885836.log
03.11.2006 09:52 13.758 KB886185.log
03.11.2006 09:52 19.080 KB873339.log
03.11.2006 09:52 2.123 vminst.log
03.11.2006 03:03 6.875 WGA.log
03.11.2006 03:03 8.471 KB898461.log
02.11.2006 22:09 60.416 ALCFDRTM.EXE
02.11.2006 20:42 0 nsreg.dat
02.11.2006 20:23 815.943 setuplog.txt
02.11.2006 20:14 22.414 ydi.log
02.11.2006 20:08 1.519 OEWABLog.txt
02.11.2006 20:06 666 KB829558.log
02.11.2006 20:06 6.128 KB893803v2.log
02.11.2006 20:06 522 GEARInstall.log
02.11.2006 12:02 360 DtcInstall.log
02.11.2006 11:59 402.245 svcpack.log
02.11.2006 11:58 200 cmsetacl.log
02.11.2006 11:58 1.330 sessmgr.setup.log
02.11.2006 11:56 605 medctroc.Log
02.11.2006 11:44 8.192 REGLOCS.OLD
02.11.2006 11:42 0 control.ini
02.11.2006 11:42 299.552 WMSysPrx.prx
02.11.2006 11:42 4.161 ODBCINST.INI
02.11.2006 11:42 280 Windows Update.log
02.11.2006 11:41 749 WindowsShell.Manifest
02.11.2006 11:40 36 vb.ini
02.11.2006 11:40 37 vbaddin.ini
02.11.2006 11:34 50 wiaservc.log
02.11.2006 11:34 409 wiadebug.log
02.11.2006 11:34 0 Sti_Trace.log
02.11.2006 11:33 1.348 regopt.log
02.11.2006 11:32 0 setuperr.log
01.11.2006 12:51 92.841 DirectX.log
31.07.2006 14:34 78.027 UNNeroSipps.cfg
28.07.2006 19:11 3.076.096 UNNeroSipps.exe
14.07.2006 17:29 966.656 UNRecode.exe
14.07.2006 17:29 966.656 UNNeroMediaHome.exe
14.07.2006 17:29 966.656 UNNeroShowTime.exe
14.07.2006 17:29 966.656 UNNeroVision.exe
14.07.2006 17:29 966.656 UNNeroBackItUp.exe
15.09.2005 14:35 50 UNNeroMediaHome.cfg
30.08.2005 21:37 50 UNNeroVision.cfg
30.08.2005 21:37 50 UNNeroShowTime.cfg
30.08.2005 21:36 50 UNRecode.cfg
30.08.2005 21:33 50 UNNeroBackItUp.cfg
20.06.2005 21:42 77.824 SOUNDMAN.EXE
02.06.2005 16:43 200.704 alcrmv.exe
02.06.2005 16:31 294.912 alcupd.exe
27.05.2005 00:22 10.752 hh.exe
04.08.2004 00:58 288.768 winhlp32.exe
04.08.2004 00:58 32.866 slrundll.exe
04.08.2004 00:58 153.600 regedit.exe
04.08.2004 00:58 70.144 notepad.exe
04.08.2004 00:57 1.035.264 explorer.exe
04.08.2004 00:57 50.688 twain_32.dll
17.07.2004 11:40 19.528 002056_.tmp
14.01.2004 02:10 163.840 BJPSUNST.EXE
28.02.2003 18:26 46.352 setdebug.exe
28.02.2003 16:35 6.550 jautoexp.dat
29.08.2002 13:00 15.872 TASKMAN.EXE
29.08.2002 13:00 9.522 Zapotek.bmp
29.08.2002 13:00 1.272 Blaue Spitzen 16.bmp
29.08.2002 13:00 82.944 clock.avi
29.08.2002 13:00 94.800 twain.dll
29.08.2002 13:00 13.898 SETA.tmp
29.08.2002 13:00 17.336 Angler.bmp
29.08.2002 13:00 1.086.182 SET3.tmp
29.08.2002 13:00 65.978 Seifenblase.bmp
29.08.2002 13:00 65.832 Santa Fe-Stuck.bmp
29.08.2002 13:00 49.680 twunk_16.exe
29.08.2002 13:00 17.362 Rhododendron.bmp
29.08.2002 13:00 65.954 Pr„riewind.bmp
29.08.2002 13:00 2 desktop.ini
29.08.2002 13:00 80 explorer.scf
29.08.2002 13:00 16.730 Feder.bmp
29.08.2002 13:00 26.680 F„cher.bmp
29.08.2002 13:00 1.405 msdfmap.ini
29.08.2002 13:00 257.568 winhelp.exe
29.08.2002 13:00 26.582 Granit.bmp
29.08.2002 13:00 48.680 winnt.bmp
29.08.2002 13:00 48.680 winnt256.bmp
29.08.2002 13:00 34.818 wmprfDEU.prx
29.08.2002 13:00 17.062 Kaffeetasse.bmp
29.08.2002 13:00 18.944 vmmreg32.dll
29.08.2002 13:00 25.600 twunk_32.exe
29.08.2002 13:00 707 _default.pif
06.07.2001 00:19 164 avrack.ini
17.11.1998 13:44 328.704 IsUn0407.exe
183 Datei(en) 21.551.309 Bytes
0 Verzeichnis(se), 706.871.296 Bytes frei

Achte auf das Datum; poste nur die Einträge von den letzten drei Monaten.

hatte das schon gelesen in der anleitung von datfind ,doch was mich wie gesagt stutzig macht ist die tatsache daß da dateien von 2002 bei sein sollen. ok das kann natrülich daran liegen das mein bios sihc ein paarmal resetted hat. XP ist wie bereits erwähnt maximal 3 monate installiert!

Das hat schon alles seine Richtigkeit. Einige Systemdateien auf meiner W2K-Kiste im Windowsordner haben auch ein Änderungsdatum von vor langer Zeit (1999), obwohl ich erst vor nem 3/4 Jahr neu aufgesetzt habe (wegen Plattenwechsel)!
Poste einfach nur die Dateien der letzten drei Monate.