Hey Leute,

wäre geil wenn mir jemand helfen könnte. Mein Problem ist folgendes:
Bitdefender schlägt plötzlich Alarm bei der uninstall.exe vom genannten Codec Pack,
mit der Meldung (Trojan.Downloader.Zlob.AADO). Habe das Pack aber schon Monate drauf!
Wenn ich nun versuche es bei z.B. Chip Online zu downloaden, schlägt Bitdefender gleich Alarm.
Bitte erzählt mir nicht, dass ich es besser gar nicht erst hätte installieren sollen.
Runter von der Platte habe ich es mit leichten schwierigkeiten auch bekommen,
aber wie kann ich wissen ob mein PC nun nicht auch ferngesteuert läuft?!
Tanx
Annika

PLEASE HELP AND CHECK THIS:

Logfile of HijackThis v1.99.1
Scan saved at 20:00:06, on 28.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Softwin\BitDefender10\bdmcon.exe
C:\Programme\Softwin\BitDefender10\bdagent.exe
C:\Programme\LClock\LClock.exe
C:\Dokumente und Einstellungen\XXXXXX\Desktop\Selten\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.ixquick.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.ixquick.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: (no name) - {BBE59AF5-EE22-4A3A-AB26-3F774D1B4216} - C:\Programme\FolderBox\FolderBox.dll
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BitDefender10\bdmcon.exe
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [LClock] C:\Programme\LClock\LClock.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O13 - DefaultPrefix:
O13 - WWW Prefix:
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: ASP.NET-Zustandsdienst (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Capture Device Service - InterVideo Inc. - C:\Programme\Gemeinsame Dateien\InterVideo\DeviceService\DevSvc.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: NetMeeting-Remotedesktop-Freigabe (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe (file missing)
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe (file missing)
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender10\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Hallo Annika,

Bitdefender schlägt plötzlich Alarm bei der uninstall.exe vom genannten Codec Pack,
mit der Meldung (Trojan.Downloader.Zlob.AADO)

Der Zlob kommt typischerweise in dubiosen Codecs daher, wahrscheinlich schlägt der Bitdefender erst jetzt Alarm, weil ihm diese vermutlich neue Zlob-Variante erst jetzt bekannt ist durch neue Signaturen.
Acker diese Anleitung ab

Hi Arne,

danke für deine Hilfe. Habe alles artig nach Anleitung abgeackert!
Nur sicher sein, dass mein System jetzt sicher ist, kann ich wohl nicht!?
Und das beim Download von Chip Online?! Gibt´s ja gar nicht!

Gruß,
Annika

Poste bitte noch die in der Anleitung erwähnten Logfiles:

1.) Den Inhalt der Datei C:\rapport.txt (falls ihr Smitrem ausgeführt habt C:\smitfiles.txt)
2.) Ein (neues) HijackThis Log

OK,
der SmitFraudFix-scan scheint ja clean zu sein, oder?
Beim Hijackthis.log bin ich völlig überfordert!

1.)
SmitFraudFix v2.207

Scan done at 1:21:39,23, 29.07.2007
Run from C:\Dokumente und Einstellungen\XXXXXXX\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» DNS



»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End
_________________________________________________________________________________________

2.)
Logfile of HijackThis v1.99.1
Scan saved at 16:12:01, on 30.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Softwin\BitDefender10\bdmcon.exe
C:\Programme\Softwin\BitDefender10\bdagent.exe
C:\Programme\LClock\LClock.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\XXXXXX\Desktop\Selten\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: (no name) - {BBE59AF5-EE22-4A3A-AB26-3F774D1B4216} - C:\Programme\FolderBox\FolderBox.dll
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BitDefender10\bdmcon.exe
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [LClock] C:\Programme\LClock\LClock.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O13 - DefaultPrefix:
O13 - WWW Prefix:
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: ASP.NET-Zustandsdienst (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Capture Device Service - InterVideo Inc. - C:\Programme\Gemeinsame Dateien\InterVideo\DeviceService\DevSvc.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: NetMeeting-Remotedesktop-Freigabe (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe (file missing)
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe (file missing)
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender10\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Gruß,
Annika

In den Logfiles seh ich nichts mehr Auffälliges. Dürfte recht unwahrscheinlich sein, dass noch Überreste vorhanden sind, aber Garantie dafür gibts keine!

Poste sicherheitshalber noch mal die Inhalte deiner Systemordner:

Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

Genial dieses filelist,
aber was erkennt man denn in den Inhalten? Erinnert mich an Kaffeesatzlesen!

----- Root -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: X

Verzeichnis von C:\
25.07.2007 03:10 332 boot.ini
04.08.2004 00:59 251.184 ntldr
04.08.2004 00:38 47.564 NTDETECT.COM
18.08.2001 16:00 4.952 bootfont.bin
4 Datei(en) 304.032 Bytes
0 Verzeichnis(se), 15.794.225.152 Bytes frei
____________________________________________________________________
Verzeichnis von C:\WINDOWS\system32
30.07.2007 17:02 0 bdss.log
30.07.2007 17:02 81.984 bdod.bin
30.07.2007 17:01 88.723 nvapps.xml
30.07.2007 14:46 446.102 OODBS.lor
29.07.2007 01:21 0 tmp.txt
29.07.2007 01:21 1.588 tmp.reg
27.07.2007 09:41 2.228 wpa.dbl
25.07.2007 04:04 337.590 perfh009.dat
25.07.2007 04:04 51.934 perfc009.dat
25.07.2007 04:04 348.404 perfh007.dat
25.07.2007 04:04 62.694 perfc007.dat
25.07.2007 04:04 806.426 PerfStringBackup.INI
06.07.2007 03:32 173.872 FNTCACHE.DAT
24.06.2007 21:56 1.682 KGyGaAvL.sys
13.06.2007 04:58 10.752 BASSMOD.dll
07.06.2007 21:11 1.445.888 ac3filter.ax
07.06.2007 21:10 20.480 ac3config.exe
11.05.2007 02:09 1.050.120 oodag.exe
11.05.2007 02:08 2.512.392 oodtray.exe
11.05.2007 02:08 194.056 oodbs.exe
11.05.2007 02:07 206.344 oodtrrs.dll
11.05.2007 02:07 10.248 oodbsrs.dll
11.05.2007 02:07 15.880 oodagrs.dll
11.05.2007 02:07 16.904 oodagmg.dll
10.05.2007 23:18 15.368 ootmapi.dll
_____________________________________________________________________
Verzeichnis von C:\WINDOWS
30.07.2007 14:46 2.048 bootstat.dat
29.07.2007 18:02 700 win.ini
29.07.2007 00:23 116 NeroDigital.ini
06.07.2007 04:22 227 system.ini
25.06.2007 02:21 6.132 ModemLog_Motorola USB Modem #2.txt
12.06.2007 17:27 5.632 Thumbs.db
24.05.2007 07:00 545 PKZIP.PIF
24.05.2007 07:00 545 PKUNZIP.PIF
24.05.2007 07:00 545 NOCLOSE.PIF
24.05.2007 07:00 545 RAR.PIF
24.05.2007 07:00 545 UC.PIF
24.05.2007 07:00 545 ARJ.PIF
24.05.2007 07:00 545 LHA.PIF
____________________________________________________________________
Verzeichnis von C:\WINDOWS\Prefetch
07.07.2007 17:39 484.954 Layout.ini
1 Datei(en) 484.954 Bytes
0 Verzeichnis(se), 15.794.126.848 Bytes frei

Verzeichnis von C:\WINDOWS\tasks
08.07.2007 00:28 6 SA.DAT
18.08.2001 16:00 65 desktop.ini
2 Datei(en) 71 Bytes
0 Verzeichnis(se), 15.794.122.752 Bytes frei
_____________________________________________________________________
Verzeichnis von C:\WINDOWS\temp
----- Temp -----------------------------
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer:x
_____________________________________________________________________
Verzeichnis von C:\DOKUME~1\XXXXXX\LOKALE~1\Temp
30.07.2007 17:07 100.134 filelist.txt
30.07.2007 17:01 16.384 Perflib_Perfdata_758.dat
30.07.2007 15:42 470 pfui.gif
3 Datei(en) 116.988 Bytes
0 Verzeichnis(se), 15.794.122.752 Bytes frei

Annika

Hi,

C:\WINDOWS\system32\KGyGaAvL.sys

diese Datei fiel mir auf. Werte sie sicherheitshalber bei Virustotal aus. Poste die Ergebnisse.

Hi Arne,

hier das Ergebnis von Virustotal:

Datei KGyGaAvL.sys empfangen 2007.07.30 18:27:15 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet


Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.7.28.0 2007.07.30 -
AntiVir 7.4.0.50 2007.07.30 -
Authentium 4.93.8 2007.07.30 -
Avast 4.7.997.0 2007.07.30 -
AVG 7.5.0.476 2007.07.30 -
BitDefender 7.2 2007.07.30 -
CAT-QuickHeal 9.00 2007.07.30 -
ClamAV 0.91 2007.07.30 -
DrWeb 4.33 2007.07.30 -
eSafe 7.0.15.0 2007.07.29 -
eTrust-Vet 31.1.5016 2007.07.30 -
Ewido 4.0 2007.07.30 -
FileAdvisor 1 2007.07.30 -
Fortinet 2.91.0.0 2007.07.30 -
F-Prot 4.3.2.48 2007.07.30 -
F-Secure 6.70.13030.0 2007.07.30 -
Ikarus T3.1.1.8 2007.07.30 -
Kaspersky 4.0.2.24 2007.07.30 -
McAfee 5085 2007.07.27 -
Microsoft 1.2704 2007.07.30 -
NOD32v2 2429 2007.07.30 -
Norman 5.80.02 2007.07.30 -
Panda 9.0.0.4 2007.07.30 -
Rising 19.34.02.00 2007.07.30 -
Sophos 4.19.0 2007.07.26 -
Sunbelt 2.2.907.0 2007.07.28 -
Symantec 10 2007.07.30 -
TheHacker 6.1.7.158 2007.07.30 -
VBA32 3.12.2.1 2007.07.30 -
VirusBuster 4.3.26:9 2007.07.30 -
Webwasher-Gateway 6.0.1 2007.07.30 -

weitere Informationen
File size: 1682 bytes
MD5: 5d3b2fa0259aaec2a8bd23b5d98a374a
SHA1: 1e8e15c609eded8780bcf9fcb7af2285cfc12831

Scheint ja sauber zu sein?!
Was mich nur wundert ist, das Virustotal die Datei auf meinem PC Scannen kann,
ohne dass meine Firewall mault.

Annika

Was mich nur wundert ist, das Virustotal die Datei auf meinem PC Scannen kann, ohne dass meine Firewall mault.

Wieso sollte die "Firewall" auch meckern? Ich habe den Eindruck, dass du solcher Software zuviel zugestehst, denn eigentlich können lokal installierte Sicherheitsprogramme wie Virenscanner und PFW erschreckend wenig.
Deine PFW wird wohl deswegen nicht gemault haben, weil du deinen Browser nat. in der PFW erlaubt haben musst, um Seiten anzuzeigen - und der Browser ist es auch mehr oder weniger der die Datei nach Virustotal schickt.

Wie dem auch sei, nach der Analyse kann man sich recht sicher sein, dass keine Überreste mehr da sind - 100% Sicherheit gibt es aber nicht.

Verhält sich dein System denn noch merkwürdig?

Hallo Arne,
da liegst du vollkommen richtig, hatte der PFW wirklich mehr zugetraut.
Und je mehr ich mich mit dem PC beschäftige, desto mehr muss ich erkennen, wie planlos ich doch bin!
Aber wie auch immer, nun kann ich dank deiner Hilfe wenigstens ohne ganz so ein mulmiges Gefühl,
wieder Onlineüberweisungen und Ebay nutzen.
Das System läuft super.
Danke dir!!!

LG Annika