| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: VundoWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
20.07.2007, 19:30
| #1 | ||
| |  Vundo Hallo Wie so mancher die sich hier an dieses Board wenden, kämpfe auch ich momentan einen erbitterten Kampf gegen Vundo und Konsorten und weiß momentan auch nicht weiter, weshalb ich mich hier an dieses Forum wende. Erstmal meine System Daten: Windows XP Home SP2 mit neuestem Update Firewall ZoneAlarm Virenscanner Avast 4.7 Home Edition mit ständigen Updates. Internet Explorer 6.0.2900.2180.xpsp_sp2.gdr.070227.2257 Angefangen hat alles mit nervigen Popups von irgendwelchen Virenscannern wie Dr. Errorsafe oder irgeneinem WinTotal Antivirus Blabla. Eine Intensivprüfung meiner Platte mit Avast hat leider nichts gebracht. Ich habe mich dann bissel im I-net schlau gemacht und habe herausgefunden dass es mit Vundo zusammenhängen soll und habe mir den VundoFix runtergeladen, welcher mir beim ersten Durchlauf erstmal min 10 Dateien gefunden hat. Habe danach Microsoft Regclean durchlaufen lassen und neu gestartet. Kaum 30 Minuten später kam wieder das nächste Popup von Errorsafe. Vundofix hatte wieder 3 Dateien gefunden und entfernt. Neustart, paar Minuten Laufzeit später wieder das selbe Problem. Die Dateien ändern sich ständig. Hijack This habe ich wie empfehlen umbenannt und durchlaufen lassen. Es findet auch einige Einträge wie sie im Internet stehen. Diese habe ich gefixed. Habe dann versucht mal den Panda online Aktivscan durchlaufen zu lassen aber den erkennt meine AV Software als http://acs.pandasoftware.com/activescan/as5free/motor.cab\pskavs.DLL Win32:CTX Virus/Wurm Ein weiterer empfohlener online Virenscanner von Trend Micro hat Troj_Virtumon.DV, Troj_Agent.WHS, Troy_Tiny.EN, Possible_Vundo-1 gefunden und bis auf Vundo gesäubert. Danach habe ich dann probiert, mit Spybot Search & Destroy der Sache Herr zu werden und habe dort auch jede Menge Cookies etc. bekommen welche nun gelöscht sind. Jedoch bekomme ich weiterhin jedes Mal wenn ich Vundofix laufen lasse neue Dateinamen welche er löschen möchte. Vielleicht kann mir da ja jemand weitere Tips geben, mit welchen ich den lästigen Bas...... endlich los werde. In jedem Fall schonmal ein Dickes Danke im Vorraus an alle Helfer hier vom Board Hier für den Anfang meine Hijack This Logs Zitat:
Und die Startup Logliste Zitat:
|
|
20.07.2007, 21:01
| #2 |
  | Vundo Hallo
__________________mach bitte zuerst alle versteckten Dateien und Ordner sichtbar. Lade dir dann mal die Filelist.zip 1.) Lade dir die Filelist.zip auf den Desktop 2.) entpacke die Zip-Datei auf deinen Desktop 3.) starte den Rechner neu 4.) öffne die auf dem Desktop vorhandene filelist.bat mit Doppelklick auf die Datei 5.) dein Editor (Textverarbeitungsprogramm) wird sich öffnen 6.) markiere von diesen Inhalt aus jedem Verzeichnis jeweils nur die letzten 30 Tage, wähle kopieren, poste den Inhalt dieser Dateien in nächsten Beitrag (es werden von diesen 8 Ordnern Abblilder erstellt :C:\, C:\WINDOWS\system, C:\WINDOWS\system32, C:\WINDOWS, C:\WINDOWS\Prefetch, C:\WINDOWS\tasks, C:\WINDOWS\Temp, C:\DOCUME~1\Name\LOCALS~1\Temp). Lade dir auch Blacklight und poste anschließend das Log (findest du im selben Ordner wie Blacklight) das sollte etwa so aussehen --> fsbl-xxxzahlenxxx.log MFG |
|
21.07.2007, 19:32
| #3 | |||
| | Vundo Erst einmal ein Dickes DANKE
__________________dass du mir hilfst Zitat:
Zitat:
Ich habe wie gefordert alles entfernt mit Datum 21.06.07 und älter Zitat:
|
|
21.07.2007, 19:33
| #4 | ||
| | Vundo Da leider nicht alles in einen Antwort Post gepasst hat (> 25000 Zeichen  ) hier noch ein weiterer Post wegen BlacklightZitat:
Hier das entsprechende Log Zitat:
|
|
21.07.2007, 20:42
| #5 | |
  | Vundo Hallo, wir nutzen mal Spybot S&D fürs erste... Programm öffnen >oben > Modus einstellen auf "erweitert" und bestätigen... unten links > Werkzeuge ,suche nach > resident > beide Haken raus suche nach > BHO folgende löscht du,sofern vorhanden : Zitat:
start > "suchen " gib ein : fccddba.dll löschen wenn gefunden verfahre ebenso mit den beiden anderen:gebcy.dll und :ddabx.dll Hast du das erledigt folge dieser Anleitung :http://www.trojaner-board.de/30411-a...-von-zlob.html Mache es bitte in einem Rutsch ,ohne Neustart. Berichte Irrlicht |
|
21.07.2007, 23:01
| #6 |
| | Vundo Sooo Habe wie gewünscht versucht die Dateien zu löschen. Search And Destroy hat keine der drei gefunden, Hijack This konnte 2 der 3 löschen. Bis auf die fccddba.dll ging alles wunderbar. Diese konnte ich nur per Reperaturkonsole meiner Windows CD killen, da ich ständig die Botschaft bekommen habe "wird verwendet...." Danach habe ich SmitfraudFix.exe durchlaufen lassen. Er hat leider nichts gefunden. Vundofix hat gerade eben bei meinem ersten Durchlauf seither nichts gefunden. Ich hoffe mal dass es so bleibt Werde morgen nach einiger Inet Aktivität einen neuen Check laufen lassen. In jedem Fall schonmal Danke Melde mich morgen nochmal bzw heute |
|
22.07.2007, 10:04
| #7 | ||
| | Vundo Moin Zitat:
 Zitat:
Lade dir den Ccleaner runter - Ccleaner installieren (die toolbar nicht installieren) und starten - wähle unter Options --> Settings --> German - bereinige dein System anschließend erstelle nochmal mit der Filelist einen Überblick nur über den Ordner C:\WINDOWS\system32\ der letzten 30 Tage und poste ihn, da stecken vermutlich noch Reste von Vundo. MFG |
|
22.07.2007, 13:23
| #8 | |
| | Vundo Vundofix hat heute nach einiger Web Aktivität immernoch nichts gefunden (Schweiß von der Strin wisch). CCleaner habe ich durchlaufen lassen. Musste aber fast nix machen, da ich sämtliche Temporär Dateien sowie auch die Systemwiederherstellung etc wegen der Vundo Entfernung schon gesäubert hatte. Hier nochmal die System32 Aktivitäten Zitat:
Die einzige mir suspekte Eintragung ist die CmdLineExt03.dll Aber laut Web CmdLineExt03.dll Windows process - What is it? soll sie Teil von Copy Protection sein (Diablo II habe ich tatsächlich vor kurzem installiert). Ist da noch was zu sehen? Ich glaube so langsam, dass die 2 Hauptübeltäter bei der Sache eine Datei WGAtray.irgendwas (welche ich mal irgendwann zugelassen habe weil ich dachte das sei die Authentifizierung des Windows Updaters) sowie die fccddba.dll waren. |
|
22.07.2007, 14:56
| #9 | |
| | Vundo Hallo Zitat:
Lösche per Hand bitte noch Code:
ATTFilter mcrh.tmp
tmp.txt
tmp.reg
Ich würde noch gern ein neues HijackThis Log sehen, da sind vermutlich noch einige Dinge zu löschen wenn noch nicht geschehen. MFG |
|
22.07.2007, 15:32
| #10 | ||
| | Vundo Et Voila Einmal der normale Scan Zitat:
Zitat:
|
|
22.07.2007, 18:10
| #11 |
| | Vundo Hallo mit der Startuplist kann ich nicht so viel anfangen (evtl. sagt da noch jemand anderes was zu) dein Log sieht m.M. aber sauber aus. Die WGA wird dir vmtl. beim nächsten Windowsupdate erneut begegnen. Zwei Fragen noch : Hast du evtl. 2 Firewalls laufen? Gibt es noch Meldungen/Probleme? MFG |
|
22.07.2007, 22:13
| #12 |
| | Vundo Das mit dem WGA war eine seltsame Sache. Normal kenne ich WGA nur vom updaten. Was ich meinte war, dass WGAtray.irgendwas sich mal gemeldet hatte ohne dass ich irgendwelche Updates etc an dem Tag gemacht habe (ich habe Automatische Updates generell aus, lasse es aber regelmäßig updaten, wenn ich weiß, dass neue Updates da und sie bugfrei sind). 2 Firewalls habe ich nicht laufen. Nur das normale Zonealarm. Jedoch bin ich momentan nicht sicher nach dem was ich gelesen habe, ob ich nicht doch leiber auf die normale sp2 firewall umsteigen sollte. Auch dem Avast Virenscanner traue ich mometan nicht mehr so ganz. Habe den ursprünglich genommen weil er gegenüber Avira Antivir Emails auch überprüfen kann. Ich trauere immernoch meiner Norman Internet Security Lizenz nach Meldungen oder Probleme wie Popups etc. habe ich nicht. Fremde Prozesse kann ich auch keine mehr in diversen Taskprogrammen sehen. Meine CPU Auslastung ist zwischen 0 und 5 Prozent. Würde sagen es ist alles soweit wieder wie es sein soll. Erneut nochmal Danke für die Mühe das alles mit mir durchzugehen. |
|
22.07.2007, 22:25
| #13 | |
| | Vundo Hallo wenn du Norman nicht mehr installiert hast, dann kannst du diesen Eintrag mit HijackThis fixen : O23 - Service: Norman Type-R - Unknown owner - C:\Programme\Norman\Npf\BIN\NPFSVICE.EXE (file missing) Wenn du keine Staatsgeheimnisse auf dem Rechner hast, kannst du auf eine Firewall ganz verzichten, ein Großteil der Helfer hier am Board verzichtet auf eine PFW und teilweise sogar auf Antivirensoftware und das kann man auch, wenn man sich richtig verhält  Zitat:
 MFG |
|
| Themen zu Vundo |
| anfang, antivirus, avast, avast!, bho, browser, cs3, download, drivers, einstellungen, explorer, free download, hijackthis, home, hängen, laufzeit, logfile, löschen, norman, nvidia, object, popups, programme, regclean, registry, registry key, registry value, rundll, saver, scan, screensaver, shockwave, software, system, tan, trend micro, träge, userinit.exe, vundo, ändern |
Linear-Darstellung
