Hallo,

vermutlich durch unvorsichtiges Betätigen eines Links habe ich mir einen Trojaner eingefangen. Nachdem ich Verdacht geschöpft habe, habe ich mir ein Update meines Virensuchprogrammes (McAfee) besorgt und den Computer durchsucht. Tatsächlich habe ich drei Dateien gefunden. Als Bezeichnung ("detected as") gibt McAfee "Exploit-MS06-014" an. Leider ist es nicht möglich, den Computer zu reinigen ("clean failed"). Die Dateien wurden lediglich in den Quarantäne-Ordner verschoben. Wenn ich diesen im Arbeitsplatz anklicke, verschwindet eine der Dateien wieder nach kurzer Zeit und kann erst bei einem erneuten Suchdurchlauf wieder gefunden und verschoben werden. Ich vermute, dass das Ding nicht wirklich unschädlich gemacht ist und eine Bedrohung meines Systems darstellt.
Vielleicht kennt jemand diesen Trojaner bereits und weiß, was er anrichten kann und wie groß das Potential an Schädigung ist.
Zudem wäre ich sehr dankbar, wenn mir jemand einen Hinweis geben könnte, mit welchen Programmen sich das Problem lösen lässt?

Vielen Dank!

mach mal ein hijackthis-log (siehe signatur)

Hallo, war gerade dabei, ein Log-File mit HijackThis zu erstellen. Die Antwort kam ja schnell, vielen Dank!

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 12:45:36, on 02.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Network Associates\Common Framework\FrameworkService.exe
D:\Programme\Network Associates\VirusScan\mcshield.exe
D:\Programme\Network Associates\VirusScan\vstskmgr.exe
D:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Network Associates\VirusScan\SHSTAT.EXE
D:\Programme\Network Associates\Common Framework\UpdaterUI.exe
D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
D:\Programme\Internet Explorer\iexplore.exe
D:\Programme\Internet Explorer\iexplore.exe
D:\WINDOWS\Temp\Content.IE5\ZBPQDJPO\HiJackThis_v2[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://***/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://***/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://***/proxy-info.pac
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ***
O2 - BHO: Yahoo! Toolbar Helper - {***} - D:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader - {***} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {***} - D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {***} - D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Yahoo! Toolbar - {***} - D:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [IgfxTray] D:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] D:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [ShStatEXE] "D:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "D:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SigmatelSysTrayApp] sttray.exe
O4 - HKLM\..\Run: [IntelAudioStudio] "D:\Programme\Intel Audio Studio\IntelAudioStudio.exe" TRAY
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O4 - Global Startup: Adobe Gamma.lnk = D:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programme\Adobe\Acrobat 8.0\Acrobat\AdobeCollabSync.exe
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://N:\OFFICE\MSO2300\FILES\PFILES\MSOFFICE\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: Recherchieren - {***} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {***} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {***} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {***} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {***} - D:\Programme\Messenger\msmsgs.exe
O16 - DPF: {***} (XML DOM Document 4.0) - file://D:\TempEI4\EI40_\msxml4.cab
O22 - SharedTaskScheduler: Browseui preloader - {***} - D:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {***} - D:\WINDOWS\System32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - D:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - D:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - D:\Programme\Network Associates\VirusScan\mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - D:\Programme\Network Associates\VirusScan\vstskmgr.exe

--
End of file - 7129 bytes

Das war ja zu erwarten. HJT ist nicht auffällig.

Studierst du an der Uni Marburg?

-Erstelle bitte ein iClean report und poste ihne hier: -> iClean.exe in eigenem Ordner ausführen -> "Yes" -> File -> Report

-Mache einen eScan. Anleitung ist in meiner Signatur verlinkt.

Gruß

Undoreal

Hier der iClean-Report:

iclean log 02.05.2007 13:11:57

Windows XP SP2, Kernel functions unavailable

Processes
---------
620 - \SystemRoot\System32\smss.exe - \SystemRoot\System32\smss.exe
676 - \??\D:\WINDOWS\system32\csrss.exe -

\??\D:\WINDOWS\system32\csrss.exe
716 - \??\D:\WINDOWS\system32\winlogon.exe -

\??\D:\WINDOWS\system32\winlogon.exe
760 - D:\WINDOWS\system32\services.exe - Anwendung für Dienste und

Controller
772 - D:\WINDOWS\system32\lsass.exe - LSA Shell (Export Version)
924 - D:\WINDOWS\system32\Ati2evxx.exe - ATI External Event Utility EXE

Module
956 - D:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32

Services
1040 - D:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32

Services
1144 - D:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32

Services
1228 - D:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32

Services
1384 - D:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32

Services
1556 - D:\WINDOWS\system32\spoolsv.exe - Spooler SubSystem App
1828 - D:\Programme\Network Associates\Common

Framework\FrameworkService.exe - Framework Service
1864 - D:\Programme\Network Associates\VirusScan\mcshield.exe - On-Access

Scanner service
1912 - D:\Programme\Network Associates\VirusScan\vstskmgr.exe - Task

Manager : scheduling and OAS alerting service
1960 - D:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe - NAI Product Manager
936 - D:\WINDOWS\System32\alg.exe - Application Layer Gateway Service
188 - D:\WINDOWS\system32\Ati2evxx.exe - ATI External Event Utility EXE

Module
1084 - D:\WINDOWS\Explorer.EXE - Windows Explorer
2332 - D:\Programme\Network Associates\VirusScan\SHSTAT.EXE - On-access

scanner statistics
2464 - D:\Programme\Network Associates\Common Framework\UpdaterUI.exe -

Common User Interface
2868 - D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe - AcroTray

(Signed)
2896 - D:\WINDOWS\system32\ctfmon.exe - CTF Loader
3752 - D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet

Publisher\FNPLicensingService.exe - Activation Licensing Service
3104 - D:\Programme\Internet Explorer\iexplore.exe - Internet Explorer
764 - D:\Programme\Internet Explorer\iexplore.exe - Internet Explorer
2212 - D:\Programme\Internet Explorer\iexplore.exe - Internet Explorer
2348 - D:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrobat.exe - Adobe Acrobat

8.0 (Signed)
1576 - D:\WINDOWS\Temp\Content.IE5\6HNK5CVI\iclean[1].exe - Interactive

Cleaner

Services
--------
D:\WINDOWS\system32\alg.exe=ALG
D:\WINDOWS\system32\ati2evxx.exe=Ati HotKey Poller
D:\WINDOWS\system32\svchost.exe=AudioSrv
D:\WINDOWS\system32\svchost.exe=BITS
D:\WINDOWS\system32\svchost.exe=CryptSvc
D:\WINDOWS\system32\svchost.exe=DcomLaunch
D:\WINDOWS\system32\svchost.exe=Dhcp
D:\WINDOWS\system32\svchost.exe=dmserver
D:\WINDOWS\system32\svchost.exe=Dnscache
D:\WINDOWS\system32\svchost.exe=ERSvc
D:\WINDOWS\system32\services.exe=Eventlog
d:\windows\system32\svchost.exe=EventSystem
d:\programme\gemeinsame dateien\macrovision shared\flexnet

publisher\fnplicensingservice.exe=FLEXnet Licensing Service
D:\WINDOWS\system32\svchost.exe=helpsvc
D:\WINDOWS\system32\svchost.exe=HidServ
D:\WINDOWS\system32\svchost.exe=lanmanserver
D:\WINDOWS\system32\svchost.exe=lanmanworkstation
D:\WINDOWS\system32\svchost.exe=LmHosts
d:\programme\network associates\common

framework\frameworkservice.exe=McAfeeFramework
d:\programme\network associates\virusscan\mcshield.exe=McShield
d:\programme\network associates\virusscan\vstskmgr.exe=McTaskManager
D:\WINDOWS\system32\lsass.exe=Netlogon
D:\WINDOWS\system32\svchost.exe=Netman
D:\WINDOWS\system32\svchost.exe=Nla
D:\WINDOWS\system32\services.exe=PlugPlay
D:\WINDOWS\system32\lsass.exe=PolicyAgent
D:\WINDOWS\system32\lsass.exe=ProtectedStorage
D:\WINDOWS\system32\svchost.exe=RasMan
D:\WINDOWS\system32\svchost.exe=RemoteRegistry
D:\WINDOWS\system32\svchost.exe=RpcSs
D:\WINDOWS\system32\lsass.exe=SamSs
D:\WINDOWS\system32\svchost.exe=Schedule
D:\WINDOWS\system32\svchost.exe=seclogon
D:\WINDOWS\system32\svchost.exe=SENS
D:\WINDOWS\system32\svchost.exe=SharedAccess
D:\WINDOWS\system32\svchost.exe=ShellHWDetection
D:\WINDOWS\system32\spoolsv.exe=Spooler
D:\WINDOWS\system32\svchost.exe=srservice
D:\WINDOWS\system32\svchost.exe=SSDPSRV
D:\WINDOWS\system32\svchost.exe=TapiSrv
D:\WINDOWS\system32\svchost.exe=TermService
D:\WINDOWS\system32\svchost.exe=Themes
D:\WINDOWS\system32\svchost.exe=TrkWks
D:\WINDOWS\system32\svchost.exe=W32Time
D:\WINDOWS\system32\svchost.exe=WebClient
D:\WINDOWS\system32\svchost.exe=winmgmt
D:\WINDOWS\system32\svchost.exe=wuauserv
D:\WINDOWS\system32\svchost.exe=WZCSVC

Registry
--------
000=HKCU\Run: CTFMON.EXE=d:\windows\system32\ctfmon.exe
000=HKLM\Run: =
000=HKLM\Run: Acrobat Assistant 8.0="d:\programme\adobe\acrobat

8.0\acrobat\acrotray.exe"
000=HKLM\Run: HotKeysCmds=d:\windows\system32\hkcmd.exe
000=HKLM\Run: IgfxTray=d:\windows\system32\igfxtray.exe
000=HKLM\Run: IntelAudioStudio="d:\programme\intel audio

studio\intelaudiostudio.exe" tray
000=HKLM\Run: McAfeeUpdaterUI="d:\programme\network associates\common

framework\updaterui.exe" /startedfromrunkey
000=HKLM\Run: NeroFilterCheck=d:\windows\system32\nerocheck.exe
000=HKLM\Run: ShStatEXE="d:\programme\network

associates\virusscan\shstat.exe" /standalone
000=HKLM\Run: SigmatelSysTrayApp=sttray.exe
000=HKLM\Run: Synchronization Manager=D:\WINDOWS\system32\mobsync.exe
001=Firewall bypass: %windir%\Network

Diagnostic\xpnetdiag.exe=d:\windows\network diagnostic\xpnetdiag.exe
001=Firewall bypass:

%windir%\system32\sessmgr.exe=d:\windows\system32\sessmgr.exe
001=Firewall bypass: D:\Programme\Maple

10\jre\bin\java.exe=d:\programme\maple 10\jre\bin\java.exe
001=Firewall bypass: D:\Programme\Maple

10\jre\bin\maple.exe=d:\programme\maple 10\jre\bin\maple.exe
001=Firewall bypass: D:\Programme\Maple

11\jre\bin\maple.exe=d:\programme\maple 11\jre\bin\maple.exe
020=SSODL: CDBurn=D:\WINDOWS\system32\shell32.dll
020=SSODL: PostBootReminder=D:\WINDOWS\system32\shell32.dll
020=SSODL: SysTray=d:\windows\system32\stobject.dll
020=SSODL: WebCheck=D:\WINDOWS\system32\webcheck.dll
030=BHO: {***}=d:\programme\yahoo!\companion\installs\cpn\yt.dll (Yahoo!

Toolbar Helper)
030=BHO: {***}=(null) ()
030=BHO: {***}=(null) ()
031=Toolbar: {***}=D:\WINDOWS\system32\browseui.dll
031=Toolbar: {***}=D:\WINDOWS\system32\shell32.dll
031=Toolbar: {***}=(null)
031=Toolbar: {***}=d:\programme\yahoo!\companion\installs\cpn\yt.dll
031=Toolbar: ITBar7Layout=(null)
031=Toolbar: {***}=(null)
031=Toolbar: {***}=d:\programme\yahoo!\companion\installs\cpn\yt.dll

Startup Folders
---------------
Common: adobe acrobat - schnellstart.lnk -> D:\Programme\Adobe\Acrobat

8.0\Acrobat\acrobat_sl.exe
Common: adobe gamma.lnk ->

D:\PROGRA~1\GEMEIN~1\Adobe\CALIBR~1\ADOBEG~1.EXE
Common: adobe reader synchronizer.lnk ->

D:\PROGRA~1\Adobe\ACROBA~3.0\Acrobat\ADOBEC~1.EXE
Common: desktop.ini
Personal: desktop.ini

HOSTS
-----
# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost

*** localhost

O.k.

-Lasse die .exe deines Maple bitte vorsichtshalber auf Virustotal checken.

-Dann beantworte bitte noch Rene-gad's Frage un meine nach der Uni Marburg..

und den eScan.

Gruß

Undoreal

Zitat von dw18

vermutlich durch unvorsichtiges Betätigen eines Links habe ich mir einen Trojaner eingefangen. ....Tatsächlich habe ich drei Dateien gefunden.

Welche Dateien? Wo gefunden?

Habe den Beitrag bei "hijackthis" neu gepostet, da dort vielleicht sinnvoller?! Weiß leider nicht, wie ich ihn hier löschen kann....