Habe den Trojaner "Dldr.Swizzor.Gen", bitte um Hilfe

misan · 22.01.2007, 23:28

Avira AntiVir sagt mir dass ich mir den "Dldr.Swizzor.Gen" eingefangen. Löschen und Quarantäne bringen aber keinen Erfolg?!

Hier mein Hijack-Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 23:17:32, on 22.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\XAMPP\xampp\apache\bin\apache.exe
C:\Programme\XAMPP\xampp\apache\bin\apache.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\MicroStar\WLANUtility\WlanUtility.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\MicroStar\WLANUtility\WLAN_Service.exe
C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Stuff\Security\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: WlanUtility.lnk = C:\Programme\MicroStar\WLANUtility\WlanUtility.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MI1933~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1150838335604
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: OWC11.mso-offdap - {32505114-5902-49B2-880A-1F7738E5A384} - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apache2 - Unknown owner - C:\Programme\XAMPP\xampp\apache\bin\apache.exe" -k runservice (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: MSI_WLAN_Service - Unknown owner - C:\Programme\MicroStar\WLANUtility\WLAN_Service.exe
O23 - Service: mysql - Unknown owner - C:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

Danke im vorraus

nochdigger · 23.01.2007, 06:00

mOIn auch

Zitat:

Avira AntiVir sagt mir dass ich mir den "Dldr.Swizzor.Gen" eingefangen.

wo (Pfad\Dateiname) wird Swizzor den genau gefunden?
Aus deinem Log ist nichts ersichtlich was aber nichts zu bedeuten hat.

MFG

misan · 23.01.2007, 14:06

AntiVir sagt das der Trojaner hier zu finden sei:
C:\Dokumente und Einstellungen\misan\Lokale Einstellungen\Temp\sta12.exe

Hier nochma ein aktuelles Hijack-Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 14:01:01, on 23.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\XAMPP\xampp\apache\bin\apache.exe
C:\Programme\XAMPP\xampp\apache\bin\apache.exe
C:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MicroStar\WLANUtility\WlanUtility.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\MicroStar\WLANUtility\WLAN_Service.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
c:\dokume~1\misan\anwend~1\startb~1\ball pile win.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE
C:\Stuff\Security\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: WlanUtility.lnk = C:\Programme\MicroStar\WLANUtility\WlanUtility.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MI1933~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1150838335604
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: OWC11.mso-offdap - {32505114-5902-49B2-880A-1F7738E5A384} - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apache2 - Unknown owner - C:\Programme\XAMPP\xampp\apache\bin\apache.exe" -k runservice (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: MSI_WLAN_Service - Unknown owner - C:\Programme\MicroStar\WLANUtility\WLAN_Service.exe
O23 - Service: mysql - Unknown owner - C:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

nochdigger · 23.01.2007, 18:00

mOIn auch

versuche es mal mit ClearProg und lasse es dein System bereinigen
(hake an - alles löschen)
Berichte anschließend ob es noch Funde gibt.

MFG

misan · 23.01.2007, 19:16

cleanprog hab ich ausgeführt

AntiVir sagt das der Trojaner immer noch zu finden sei:
C:\Dokumente und Einstellungen\misan\Lokale Einstellungen\Temp\staD4.exe

nochdigger · 23.01.2007, 20:25

Hallo

hm, das wollen wir mal näher ansehen, deaktiviere die Systemwiederherstellung und dann lade dir mal die Filelist.zip

1.) Lade dir die Filelist.zip auf den Desktop
2.) entpacke die Zip-Datei auf deinen Desktop
3.) starte den Rechner neu
4.) öffne die auf dem Desktop vorhandene filelist.bat mit Doppelklick auf die Datei
5.) dein Editor wird sich öffnen
6.) markiere von diesen Inhalt aus jedem Verzeichnis jeweils nur die letzten 30 Tage, wähle kopieren, füge diese Dateien deinem nächsten Beitrag ein
(es werden von diesen 8 Ordnern Abblilder erstellt :C:\, C:\WINDOWS\system, C:\WINDOWS\system32, C:\WINDOWS,
C:\WINDOWS\Prefetch, C:\WINDOWS\tasks, C:\WINDOWS\Temp, C:\DOCUME~1\Name\LOCALS~1\Temp).
(teilweise gestolen by Sunny)

MFG

misan · 23.01.2007, 22:15

Gestern oder vorgestern habe ich das erste mal die Systemwiederherstelung deaktiviert, da ich über trojaner was gelesen habe und versucht dateien im C:\Dokumente und E..\..\Temp zu löschen.

Hier noch das neue Log:

----- Root -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\

23.01.2007 22:06 43 filelist.txt
23.01.2007 22:05 535.351.296 hiberfil.sys
23.01.2007 22:05 805.306.368 pagefile.sys
...
21 Datei(en) 1.340.964.965 Bytes
0 Verzeichnis(se), 5.257.572.352 Bytes frei

----- Windows --------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS

23.01.2007 22:06 0 wiaservc.log
23.01.2007 22:05 2.048 bootstat.dat
23.01.2007 22:04 32.530 SchedLgU.Txt
23.01.2007 22:03 327 wiadebug.log
23.01.2007 22:03 49.000 setupapi.log
23.01.2007 22:03 1.067.912 WindowsUpdate.log
23.01.2007 18:10 32 pavsig.txt
23.01.2007 17:22 0 0.log
23.01.2007 13:31 54.156 QTFont.qfn
22.01.2007 22:44 640 win.ini
22.01.2007 22:27 6.187 spupdsvc.log
22.01.2007 22:20 114.894 ntbtlog.txt
22.01.2007 22:03 15.287 ie7_main.log
22.01.2007 22:00 3.990 iis6.log
22.01.2007 22:00 8.184 comsetup.log
22.01.2007 22:00 4.972 ntdtcsetup.log
22.01.2007 22:00 1.374 imsins.log
22.01.2007 22:00 9.436 tsoc.log
22.01.2007 22:00 1.368 ocmsn.log
22.01.2007 22:00 41.884 ie7.log
22.01.2007 22:00 11.664 ocgen.log
22.01.2007 22:00 1.236 msgsocm.log
22.01.2007 22:00 24.731 FaxSetup.log
22.01.2007 22:00 14.464 updspapi.log
22.01.2007 21:56 1.374 imsins.BAK
22.01.2007 21:56 6.266 IDNMitigationAPIs.log
22.01.2007 21:56 5.944 NLSDownlevelMapping.log
22.01.2007 21:55 7.801 KB915865.log
22.01.2007 21:55 0 setupact.log
22.01.2007 21:55 0 setuperr.log
22.01.2007 15:40 866 ODBC.INI
19.01.2007 10:49 1.409 QTFont.for
17.01.2007 18:29 6.619 mozver.dat
16.01.2007 14:17 43 gswin32.ini
...
106 Datei(en) 11.274.457 Bytes
0 Verzeichnis(se), 5.257.568.256 Bytes frei

----- System ---
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS\system

...
26 Datei(en) 1.695.739 Bytes
0 Verzeichnis(se), 5.257.564.160 Bytes frei

----- System 32 (Achtung: Zeitfenster beachten!) ---
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS\system32

23.01.2007 18:10 2.550 Uninstall.ico
23.01.2007 18:10 1.406 Help.ico
23.01.2007 18:10 30.590 pavas.ico
22.01.2007 22:46 0 asfiles.txt
22.01.2007 22:17 229.592 FNTCACHE.DAT
22.01.2007 21:57 1.158 wpa.dbl
17.01.2007 18:27 185.952 rmoc3260.dll
17.01.2007 18:27 5.632 pndx5032.dll
17.01.2007 18:27 6.656 pndx5016.dll
17.01.2007 18:27 278.528 pncrt.dll
...
2075 Datei(en) 434.636.971 Bytes
0 Verzeichnis(se), 5.257.375.744 Bytes frei

----- Prefetch -------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS\Prefetch

23.01.2007 22:03 17.986 LOGONUI.EXE-0AF22957.pf
23.01.2007 22:02 35.374 ACRORD32INFO.EXE-30CEC19C.pf
23.01.2007 22:02 31.604 WMIPRVSE.EXE-28F301A9.pf
23.01.2007 22:02 31.548 RUNDLL32.EXE-44A0B4BC.pf
23.01.2007 22:00 56.214 BALL PILE WIN.EXE-0FDF78D0.pf
23.01.2007 22:00 69.640 IEXPLORE.EXE-0DFD7EC0.pf
23.01.2007 22:00 18.246 GUARDGUI.EXE-1BD45C30.pf
23.01.2007 22:00 9.006 E431FA.EXE-089CF9F6.pf
23.01.2007 21:40 105.896 FIREFOX.EXE-1D57670A.pf
23.01.2007 21:38 17.708 E_FARNAEE.EXE-10E2A5C6.pf
23.01.2007 21:38 17.848 E_FAMTAEE.EXE-0737D7BC.pf
23.01.2007 21:38 52.396 ACRORD32.EXE-0EC716D9.pf
23.01.2007 21:35 85.620 EMULE.EXE-184A63F1.pf
23.01.2007 21:25 70.230 DFRGNTFS.EXE-269967DF.pf
23.01.2007 21:25 16.346 DEFRAG.EXE-273F131E.pf
23.01.2007 21:25 326.626 Layout.ini
23.01.2007 21:00 9.006 DD231B.EXE-2CFB2B79.pf
23.01.2007 20:33 67.816 WINAMP.EXE-08C38ED9.pf
23.01.2007 20:00 9.006 8B4A01.EXE-198C36D8.pf
23.01.2007 19:21 15.676 NOTEPAD.EXE-336351A9.pf
23.01.2007 18:57 73.030 RUNDLL32.EXE-12E27DD0.pf
23.01.2007 18:11 35.216 BITTORRENT-5.0.5.EXE-1BF64A98.pf
23.01.2007 18:06 15.310 SETUP_CLEARPROG_1.4.1_FINAL.E-090DF1BE.pf
23.01.2007 18:00 46.900 WORDPAD.EXE-1EFCC5C1.pf
23.01.2007 17:49 62.990 BITTORRENT.EXE-07AA1F0F.pf
23.01.2007 17:25 80.760 ICQLITE.EXE-2AEFACA7.pf
23.01.2007 17:24 44.552 AVCENTER.EXE-37584419.pf
23.01.2007 17:24 69.272 SOFFICE.BIN-13DC9FB8.pf
23.01.2007 17:24 58.640 IMAPI.EXE-0BF740A4.pf
23.01.2007 17:24 25.888 SOFFICE.EXE-0BED0A91.pf
23.01.2007 17:24 109.512 EXPLORER.EXE-082F38A9.pf
23.01.2007 17:23 902.392 NTOSBOOT-B00DFAAD.pf
23.01.2007 15:28 95.652 THUNDERBIRD.EXE-031A6371.pf
23.01.2007 15:04 76.346 AVNOTIFY.EXE-22AE9451.pf
23.01.2007 13:14 48.690 UPDATE.EXE-13D57D76.pf
23.01.2007 13:14 12.724 PREUPD.EXE-358AA1C1.pf
23.01.2007 00:00 75.886 IEXPLORE.EXE-2CA9778D.pf
22.01.2007 15:31 38.330 WUAUCLT.EXE-399A8E72.pf
22.01.2007 10:14 18.164 REALSCHED.EXE-0A2A7558.pf
22.01.2007 10:14 107.268 REALPLAY.EXE-39F79CBD.pf
40 Datei(en) 3.061.314 Bytes
0 Verzeichnis(se), 5.257.457.664 Bytes frei

----- Tasks ----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS\tasks

23.01.2007 22:06 6 SA.DAT
23.01.2007 22:03 262 A8F6F43291296E9A.job
...
3 Datei(en) 333 Bytes
0 Verzeichnis(se), 5.257.457.664 Bytes frei

----- Windows/Temp -----------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\WINDOWS\Temp

----- Temp -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: ECFB-C4A3

Verzeichnis von C:\DOKUME~1\misan\LOKALE~1\Temp

23.01.2007 22:02 549 v6tx9enz.zip
23.01.2007 22:00 62.570 e431fa.exe
23.01.2007 21:57 983 TmpICQMagic_{EC202595-1DFD-4301-A1EA-13C1E331B505}891.html
23.01.2007 21:00 62.570 dd231b.exe
23.01.2007 20:00 62.570 8b4a01.exe
23.01.2007 19:00 62.570 419582.exe
23.01.2007 18:11 6.196.681 BitTorrent-5.0.5.exe
23.01.2007 17:25 16.384 ~DF795B.tmp
23.01.2007 17:25 16.384 ~DF6FE9.tmp
9 Datei(en) 6.481.261 Bytes
0 Verzeichnis(se), 5.257.457.664 Bytes frei

nochdigger · 23.01.2007, 23:10

Hallo

mache bitte alle Versteckten Datein und Ordner sichtbar.

Lade dir die KillBox runter und entpacke es in einen eigenen Ordner.

Suche den Ordner wo sich diese Datei "BALL PILE WIN.EXE" drin versteckt und lösche den gesamten Ordner mit allen Dateien darin.

Starte die Killbox und wähle "Delete on Reboot", dann kopiere folgende Pfade in das weiße Feld und lasse die Datei löschen :
C:\WINDOWS\tasks\A8F6F43291296E9A.job

Nach dem Neustart in den Normalmodus lasse folgende Dateien
E431FA.EXE
(musst sie suchen)
C:\DOKUME~1\misan\LOKALE~1\Temp
-> v6tx9enz.zip
-> e431fa.exe
-> dd231b.exe
-> 8b4a01.exe
-> 419582.exe
hier
Virustotal
oder hier
Jotti
überprüfen (kann bisschen dauern),
poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben,
auch wenn nichts gefunden wurde.

MFG

misan · 23.01.2007, 23:48

Complete scanning result of "e431fa.exe", received in VirusTotal at 01.23.2007, 23:46:05 (CET).

Antivirus Version Update Result
AntiVir 7.3.0.26 01.23.2007 ADSPY/Lop.ag.23.E
Authentium 4.93.8 01.23.2007 no virus found
Avast 4.7.936.0 01.23.2007 Win32:Swizzor-gen
AVG 386 01.23.2007 Downloader.Swizzor.8.BK
BitDefender 7.2 01.23.2007 GenPack:Trojan.Swizzor.DH
CAT-QuickHeal 9.00 01.22.2007 (Suspicious) - DNAScan
ClamAV devel-20060426 01.23.2007 no virus found
DrWeb 4.33 01.23.2007 Trojan.Swizzor
eSafe 7.0.14.0 01.23.2007 Suspicious Trojan/Worm
eTrust-InoculateIT 23.73.120 01.23.2007 no virus found
eTrust-Vet 30.3.3346 01.23.2007 Win32/Swizzor
Ewido 4.0 01.23.2007 no virus found
Fortinet 2.85.0.0 01.23.2007 suspicious
F-Prot 3.16f 01.23.2007 no virus found
F-Prot4 4.2.1.29 01.23.2007 no virus found
Ikarus T3.1.0.27 01.23.2007 AdWare.Lop.AG
Kaspersky 4.0.2.24 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
McAfee 4947 01.23.2007 Swizzor.gen
Microsoft 1.1904 01.23.2007 C2.Lop
NOD32v2 2000 01.23.2007 Win32/TrojanDownloader.Swizzor
Norman 5.80.02 01.23.2007 Swizzor.gen.F
Panda 9.0.0.4 01.23.2007 Adware/Lop
Prevx1 V2 01.23.2007 no virus found
Sophos 4.13.0 01.23.2007 Troj/Swizz-Fam
Sunbelt 2.2.907.0 01.22.2007 C2.Lop (v)
TheHacker 6.0.3.154 01.22.2007 Trojan/Downloader.Swizzor
UNA 1.83 01.23.2007 no virus found
VBA32 3.11.2 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
VirusBuster 4.3.19:9 01.23.2007 no virus found

Aditional Information
File size: 62570 bytes
MD5: 96faa02031fea50fea1c42ca138dfa8c
SHA1: af0fdb5eb032b2ddd19c289faae7e861f4f4e4d2
packers: UPC
packers: UPC

misan · 23.01.2007, 23:51

Complete scanning result of "v6tx9enz.zip", received in VirusTotal at 01.23.2007, 23:47:08 (CET).

[kein Virus gefunden]

Aditional Information
File size: 549 bytes
MD5: e433890ce8debc7b368124f1aa4b7017
SHA1: 81cde5887f6530df893e30c0a6114814b8e94027

misan · 23.01.2007, 23:54

Complete scanning result of "dd231b.exe", received in VirusTotal at 01.23.2007, 23:50:03 (CET).

Antivirus Version Update Result
AntiVir 7.3.0.26 01.23.2007 ADSPY/Lop.ag.23.E
Authentium 4.93.8 01.23.2007 no virus found
Avast 4.7.936.0 01.23.2007 Win32:Swizzor-gen
AVG 386 01.23.2007 Downloader.Swizzor.8.BK
BitDefender 7.2 01.23.2007 GenPack:Trojan.Swizzor.DH
CAT-QuickHeal 9.00 01.22.2007 (Suspicious) - DNAScan
ClamAV devel-20060426 01.23.2007 no virus found
DrWeb 4.33 01.23.2007 Trojan.Swizzor
eSafe 7.0.14.0 01.23.2007 Suspicious Trojan/Worm
eTrust-InoculateIT 23.73.120 01.23.2007 no virus found
eTrust-Vet 30.3.3346 01.23.2007 Win32/Swizzor
Ewido 4.0 01.23.2007 no virus found
Fortinet 2.85.0.0 01.23.2007 suspicious
F-Prot 3.16f 01.23.2007 no virus found
F-Prot4 4.2.1.29 01.23.2007 no virus found
Ikarus T3.1.0.27 01.23.2007 AdWare.Lop.AG
Kaspersky 4.0.2.24 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
McAfee 4947 01.23.2007 Swizzor.gen
Microsoft 1.1904 01.23.2007 C2.Lop
NOD32v2 2000 01.23.2007 Win32/TrojanDownloader.Swizzor
Norman 5.80.02 01.23.2007 Swizzor.gen.F
Panda 9.0.0.4 01.23.2007 Adware/Lop
Prevx1 V2 01.24.2007 no virus found
Sophos 4.13.0 01.23.2007 Troj/Swizz-Fam
Sunbelt 2.2.907.0 01.22.2007 C2.Lop (v)
TheHacker 6.0.3.154 01.22.2007 Trojan/Downloader.Swizzor
UNA 1.83 01.23.2007 no virus found
VBA32 3.11.2 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
VirusBuster 4.3.19:9 01.23.2007 no virus found

Aditional Information
File size: 62570 bytes
MD5: 96faa02031fea50fea1c42ca138dfa8c
SHA1: af0fdb5eb032b2ddd19c289faae7e861f4f4e4d2
packers: UPC
packers: UPC

misan · 23.01.2007, 23:55

Complete scanning result of "8b4a01.exe", received in VirusTotal at 01.23.2007, 23:52:05 (CET).

Antivirus Version Update Result
AntiVir 7.3.0.26 01.23.2007 ADSPY/Lop.ag.23.E
Authentium 4.93.8 01.23.2007 no virus found
Avast 4.7.936.0 01.23.2007 Win32:Swizzor-gen
AVG 386 01.23.2007 Downloader.Swizzor.8.BK
BitDefender 7.2 01.23.2007 GenPack:Trojan.Swizzor.DH
CAT-QuickHeal 9.00 01.22.2007 (Suspicious) - DNAScan
ClamAV devel-20060426 01.23.2007 no virus found
DrWeb 4.33 01.23.2007 Trojan.Swizzor
eSafe 7.0.14.0 01.23.2007 Suspicious Trojan/Worm
eTrust-InoculateIT 23.73.120 01.23.2007 no virus found
eTrust-Vet 30.3.3346 01.23.2007 Win32/Swizzor
Ewido 4.0 01.23.2007 no virus found
Fortinet 2.85.0.0 01.23.2007 suspicious
F-Prot 3.16f 01.23.2007 no virus found
F-Prot4 4.2.1.29 01.23.2007 no virus found
Ikarus T3.1.0.27 01.23.2007 AdWare.Lop.AG
Kaspersky 4.0.2.24 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
McAfee 4947 01.23.2007 Swizzor.gen
Microsoft 1.1904 01.23.2007 C2.Lop
NOD32v2 2000 01.23.2007 Win32/TrojanDownloader.Swizzor
Norman 5.80.02 01.23.2007 Swizzor.gen.F
Panda 9.0.0.4 01.23.2007 Adware/Lop
Prevx1 V2 01.23.2007 no virus found
Sophos 4.13.0 01.23.2007 Troj/Swizz-Fam
Sunbelt 2.2.907.0 01.22.2007 C2.Lop (v)
TheHacker 6.0.3.154 01.22.2007 Trojan/Downloader.Swizzor
UNA 1.83 01.23.2007 no virus found
VBA32 3.11.2 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
VirusBuster 4.3.19:9 01.23.2007 no virus found

Aditional Information
File size: 62570 bytes
MD5: 96faa02031fea50fea1c42ca138dfa8c
SHA1: af0fdb5eb032b2ddd19c289faae7e861f4f4e4d2
packers: UPC
packers: UPC

misan · 24.01.2007, 00:00

Complete scanning result of "419582.exe", received in VirusTotal at 01.23.2007, 23:56:47 (CET).

Antivirus Version Update Result
AntiVir 7.3.0.26 01.23.2007 ADSPY/Lop.ag.23.E
Authentium 4.93.8 01.23.2007 no virus found
Avast 4.7.936.0 01.23.2007 Win32:Swizzor-gen
AVG 386 01.23.2007 Downloader.Swizzor.8.BK
BitDefender 7.2 01.23.2007 GenPack:Trojan.Swizzor.DH
CAT-QuickHeal 9.00 01.22.2007 (Suspicious) - DNAScan
ClamAV devel-20060426 01.23.2007 no virus found
DrWeb 4.33 01.23.2007 Trojan.Swizzor
eSafe 7.0.14.0 01.23.2007 Suspicious Trojan/Worm
eTrust-InoculateIT 23.73.120 01.23.2007 no virus found
eTrust-Vet 30.3.3346 01.23.2007 Win32/Swizzor
Ewido 4.0 01.23.2007 no virus found
Fortinet 2.85.0.0 01.23.2007 suspicious
F-Prot 3.16f 01.23.2007 no virus found
F-Prot4 4.2.1.29 01.23.2007 no virus found
Ikarus T3.1.0.27 01.23.2007 AdWare.Lop.AG
Kaspersky 4.0.2.24 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
McAfee 4947 01.23.2007 Swizzor.gen
Microsoft 1.1904 01.23.2007 C2.Lop
NOD32v2 2000 01.23.2007 Win32/TrojanDownloader.Swizzor
Norman 5.80.02 01.23.2007 Swizzor.gen.F
Panda 9.0.0.4 01.23.2007 Adware/Lop
Prevx1 V2 01.24.2007 no virus found
Sophos 4.13.0 01.23.2007 Troj/Swizz-Fam
Sunbelt 2.2.907.0 01.22.2007 C2.Lop (v)
TheHacker 6.0.3.154 01.22.2007 Trojan/Downloader.Swizzor
UNA 1.83 01.23.2007 no virus found
VBA32 3.11.2 01.23.2007 Trojan-Downloader.Win32.Swizzor.dv
VirusBuster 4.3.19:9 01.23.2007 no virus found

Aditional Information
File size: 62570 bytes
MD5: 96faa02031fea50fea1c42ca138dfa8c
SHA1: af0fdb5eb032b2ddd19c289faae7e861f4f4e4d2
packers: UPC
packers: UPC

misan · 24.01.2007, 00:01

so fertig, und nun?

nochdigger · 24.01.2007, 00:59

Hallo

mache bitte ein Update bei deinem Antivir dann
wechsle bitte wieder in den abgesicherten Modus und lösche die ausgewerteten Dateien, lasse anschließend Clearprog laufen.
Noch im abgesicherten Modus lasse Antivir laufen und berichte ob noch etwas gefunden wird.

MFG

Habe den Trojaner "Dldr.Swizzor.Gen", bitte um Hilfe

Log-Analyse und Auswertung: Habe den Trojaner "Dldr.Swizzor.Gen", bitte um Hilfe