Hallo!

Ich hoffe ich bin in der richtigen Rubrik

Das ganze fing heute morgens beim AV scannen vom Kaspersky an.
Er fand folgende Schädlinge

gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009811.exe//data.rar/service.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009824.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009841.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009865.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009880.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP62\A0009929.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP63\A0013106.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP63\A0013106.exe//data.rar/service.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\WINDOWS\system32\exec2.exe//data.rar/service.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\WINDOWS\system32\drivers\etc\service.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\System Volume Information\_restore{D7A75DF7-5104-4A42-8B26-B1BD9A32A66C}\RP81\A0018726.exe

Da ich keine Infos über diesenTrojaner finden konnte führte ich weitere analysen durch

Diese beiden Zeilen gaben mir dann zu denken

gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\WINDOWS\system32\exec2.exe//data.rar/service.exe
gelöscht: trojanisches Programm Trojan.Win32.Agent.amg Datei: C:\WINDOWS\system32\drivers\etc\service.exe

Ich führte Hijack durch und eScan und entfernte diese beiden Files

Aber in der eScan Auswertung stehen einige Einträge mit "Corrupted.exe"

Sat May 26 13:43:00 2007 => Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{5878283D-4857-1115-4EC0-3026819B3027}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.

Nach diesem Key "{5878283D-4857-1115-4EC0-3026819B3027}" habe ich in der Regisry gesucht und sie führen fast alle zu ATI sachen.
Z.b. ccc_______ oder irgendeiner hilfe datei von ATI in verschiedensten Sprachen

Solch Fehler bekam ich auch ziemlich oft zu sehen

Sat May 26 13:40:18 2007 => Entry "HKCR\Alg.AlgSetup" verweist auf das ungültige Objekt "{27D0BCCC-344D-4287-AF37-0C72C161C14C}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Sat May 26 13:40:18 2007 => Entry "HKCR\Alg.AlgSetup.1" verweist auf das ungültige Objekt "{27D0BCCC-344D-4287-AF37-0C72C161C14C}". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Was bedeutet dieses "corrupted.exe" und hat das irgendeine Auswirkung
Und die Einträge mit "verweist auf ungültiges Objekt" -> kann man die ohne weiteres in der Registry löschen ?

So und zu guter letzt meine Hijack Auswertung
Logfile of HijackThis v1.99.1

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]

Logfile of HijackThis v1.99.1
Scan saved at 17:12:48, on 26.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\DU Meter\DUMeter.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe
C:\Programme\Babylon\Babylon-Pro\Babylon.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gigabyte\ET5\GUI.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\ASUS\SmartDoctor\SmartDoctor.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
H:\00_SPEICHER\00_PROGRAMME\HijackThis 1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [EasyTuneV] C:\Programme\Gigabyte\ET5\ETcall.exe
O4 - HKLM\..\Run: [DU Meter] C:\Programme\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [Babylon Client] C:\Programme\Babylon\Babylon-Pro\Babylon.exe -AutoStart
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKCU\..\Run: [ASUS SmartDoctor] C:\Programme\ASUS\SmartDoctor\SmartDoctor.exe /start
O4 - Startup: CCC.lnk = ?
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Translate with &Babylon - res://C:\Programme\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - hxxp://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1178353091966
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1178385063187
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C9003084-10B9-4F87-BB5D-1FC68D0711E0}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Ich führte auch scanns mit a-squared und Ad-Aware durch -> beide fanden keine Schädlinge mehr

Danke
Frankster

Halli hallo.

Da hast du ja schon ganz gute Eigenarbeit geleistet.

Mache jetzt bitte folgendes:

-Deaktiviere die Systemwiederherstellung auf allen Laufwerken und starte den Rechner neu.
-Lasse cCleaner laufen.
-Führe erneut einen eScan durch. Diesmal nach Anleitung aus meiner Signatur und poste das Ergebnis mit Hilfe der find.bat.

Dann sehen wir weiter... Eine ernste Gefährdung für deinen Computer kann ich momentan übrigens nicht entdecken..

Gruß

Undoreal

Hallo!

Object "flashfxp Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "flashfxp Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "NULLBYTE Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "smitfraud Browser Hijacker" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

Und hier die corrupted.exe Einträge
Wenn man dem Schlüssel in der Registry folgt, kommt man immer zu ATI einträgen

Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{09B3ADD6-CEB5-96A9-7AAA-8C96CFE27C47}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{0ACD11DE-5354-B4E7-6147-7CF78C950B2B}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{0F4DC94B-C9E9-9225-FBCD-501B5B331050}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{1373272B-BDBF-466A-B254-3618DF405365}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{1373272B-BDBF-466A-B254-3618DF405365}\NewShortcut1_45160C5661F6468DA5B09FAE2C3E68D6.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{15A87AE4-C7DE-2FA3-1338-3A4D41CBAC7F}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{19FC8ABE-358B-09E7-709F-8D2814B1C492}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{1A1B1D3B-305D-3115-1EB2-7DC3CEE96FBF}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{1A592CCA-7695-A271-3113-4734C620EBD8}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{1BA828A0-D6DA-69BC-2C75-102F082EC2D2}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{27151A48-9CE8-164F-7264-B16C4835FAC8}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{31C32BE1-7B95-1434-4CD0-464810797FA7}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{39EA4790-0E1A-363E-5DEF-CA71D5F28512}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{42290AC8-FFE3-9AA7-5F7D-E3104CFD10D1}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Frankster\Anwendungsdaten\Microsoft\Installer\{4DC8B7B2-371C-FF80-0F23-1BAF862186C0}\ARPPRODUCTICON.exe infiziert von "Exe.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.

Die verweisten Objekte sind durch den Cleaner verschwunden

Mfg
Frankster