| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: sygate meldet rundll32 zugriff auf rightonadz.bizWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
18.10.2007, 09:18
| #1 |
| |  sygate meldet rundll32 zugriff auf rightonadz.biz Hallo! Als ich eben mein XP home hochgefahren hab, meldete Sygate Personal Firewall einen Zugriffsversuch der rundll32.dll in Richtung der Domain rightonadz.biz (spaeter auch die grammatisch seltsame meldung "an application named is trying to access rightonadz.biz...", der name also ein lehrer String, suspekt!) Die zugehoerige IP mit whois-ergebnis: Code:
ATTFilter 85.92.152.71
inetnum: 85.92.152.0 - 85.92.159.255
netname: RecurringInternational
descr: Recurring International Inc.
person: Recurring International Inc Support Team
address: U12 Gamma Commercial Complex
address: #47 Rizal Highway cor. Manila Avenue
address: Subic Bay Freeport, Philippines
phone: +63 754327753
abuse-mailbox: abuse@webair.net
Nachdem ich paar aehnliche Beitrage gelesen hatte, fand ich auch bei mir eine sog. gzmrotate.dll unter C:\WINDOWS\system32. Diese bei VirusTotal gescannt, ergab: AhnLab-V3 2007.10.13.1 2007.10.12 - AntiVir 7.6.0.23 2007.10.18 ADSPY/RightHandz.2 Authentium 4.93.8 2007.10.17 - Avast 4.7.1051.0 2007.10.17 - AVG 7.5.0.488 2007.10.17 - BitDefender 7.2 2007.10.18 - CAT-QuickHeal 9.00 2007.10.17 Trojan.RightHandz.gen ClamAV 0.91.2 2007.10.17 - DrWeb 4.44.0.09170 2007.10.18 - eSafe 7.0.15.0 2007.10.15 - eTrust-Vet 31.2.5219 2007.10.18 - Ewido 4.0 2007.10.17 - FileAdvisor 1 2007.10.18 - Fortinet 3.11.0.0 2007.10.18 - F-Prot 4.3.2.48 2007.10.18 - F-Secure 6.70.13030.0 2007.10.18 - Ikarus T3.1.1.12 2007.10.18 - Kaspersky 7.0.0.125 2007.10.18 - McAfee 5143 2007.10.17 - Microsoft 1.2908 2007.10.18 Adware:Win32/AdRotator NOD32v2 2599 2007.10.17 - Norman 5.80.02 2007.10.17 - Panda 9.0.0.4 2007.10.18 Adware/AdRotator Prevx1 V2 2007.10.18 - Rising 19.45.31.00 2007.10.18 - Sophos 4.22.0 2007.10.18 Mal/Heuri-E Sunbelt 2.2.907.0 2007.10.18 - Symantec 10 2007.10.16 - TheHacker 6.2.9.097 2007.10.18 - VBA32 3.12.2.4 2007.10.17 - VirusBuster 4.3.26:9 2007.10.17 - Webwasher-Gateway 6.6.1 2007.10.18 Ad-Spyware.RightHandz.2 o_O da stellt sich mir einerseits doch die Frage warum findet mein AVG nix!?? sollte ich doch wieder zu AntiVir wechseln, was empfehlt ihr? und weiterhin natuerlich "omg was soll denn die sch****, was mach ich jetzt!??" Ich liess auch mal den Ad-Aware SE Deep Scan laufen (was gefuehlt ungewoehnlich lange dauerte), mit folgendem Ergebnis: Tracking Cookies (3 Objects) Adware.Adssites (29 Objects) Other (1 Object): Other Object Recognized! Type : File Data : SETUP_RIGHTONADZ.EXE-07E6498D.pf TAC Rating : 7 Category : Malware Comment : Object : C:\WINDOWS\prefetch\ Habe alles entfernt. (zur Sicherheit davor schon ein HiJackThis-Log erstellt, falls das von Interesse waere) Als naechstes (bzw waehrend dem Scan  ) kam mir natuerlich die Idee die HJT-Logs zu posten wie von euch praktisch beschrieben (also Ergebnis jetzt NACH Ad-Aware Reinigung):Logfile of HijackThis v1.99.1 Scan saved at 09:58:15, on 18.10.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Sygate\SPF\smc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\odClientService.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe C:\PROGRA~1\Grisoft\AVG7\avgemc.exe C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe C:\WINDOWS\system32\cisvc.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\WINDOWS\system32\slserv.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wdfmgr.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\System32\alg.exe C:\Programme\Java\jre1.6.0_02\bin\jusched.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\system32\keyhook.exe C:\Programme\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\OdTray.exe C:\PROGRA~1\Grisoft\AVG7\avgcc.exe C:\Programme\DAEMON Tools\daemon.exe C:\Programme\QuickTime\qttask.exe C:\WINDOWS\system32\taskswitch.exe C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Vidalia\vidalia.exe C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe C:\Programme\Last.fm\LastFMHelper.exe C:\Programme\Privoxy\privoxy.exe C:\WINDOWS\system32\sistray.exe C:\Programme\Mozilla Thunderbird\thunderbird.exe C:\WINDOWS\system32\taskmgr.exe C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\locator.exe C:\Programme\Tor\tor.exe C:\Programme\FirefoxPortable\App\firefox\firefox.exe C:\WINDOWS\system32\cidaemon.exe C:\Programme\Trillian\trillian.exe C:\Programme\HiJackThis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://de.yahoo.com/fsc/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com/fsc/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://red.clientapps.yahoo.com/customize/fuji/defaults/su/*h**p://www.yahoo.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=localhost:8118;gopher=localhost:8118;h**p=localhost:8118;h**ps=localhost:8118;socks=localhost:9050 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost; 127.0.0.1 O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: ads_optimizer - {26E45419-7205-4fac-BBFE-174BC7337A79} - C:\WINDOWS\system32\nsiE.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe" O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe O4 - HKLM\..\Run: [OdTray.exe] "C:\Programme\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\OdTray.exe" O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Vidalia] "C:\Programme\Vidalia\vidalia.exe" O4 - Startup: Mozilla Thunderbird.lnk = C:\Programme\Mozilla Thunderbird\thunderbird.exe O4 - Startup: Verknüpfung mit taskmgr.lnk = C:\WINDOWS\system32\taskmgr.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: BlueSoleil.lnk = ? O4 - Global Startup: Last.fm Helper.lnk = C:\Programme\Last.fm\LastFMHelper.exe O4 - Global Startup: Privoxy.lnk = C:\Programme\Privoxy\privoxy.exe O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe O8 - Extra context menu item: Download All Files by HiDownload - C:\Programme\HiDownload\HDGetAll.htm O8 - Extra context menu item: Download by HiDownload - C:\Programme\HiDownload\HDGet.htm O8 - Extra context menu item: Download with NetPumper - C:\Programme\NetPumper\AddUrl.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra button: HiDownload - {F4FBA929-A891-492C-A0F6-5C79CC4F1742} - C:\Programme\HiDownload\hidownload.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - h**p://www.bitdefender.de/scan8/oscan8.cab O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - h**p://acs.pandasoftware.com/activescan/as5free/asinst.cab O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - h**p://ax.emsisoft.com/asquared.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{3419CF94-A2B9-4FB4-B584-93C170B8AEA6}: NameServer = 192.168.***.*** O17 - HKLM\System\CCS\Services\Tcpip\..\{EFC2F90C-79D3-49D0-A314-8893DE79F621}: NameServer = 192.168.***.*** O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Odyssey Client (odClientService) - Funk Software, Inc. - C:\Programme\Fujitsu Siemens Computers\Odyssey Client for Fujitsu Siemens Computers\odClientService.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing) O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe So, ich versteh nur Bahnhof ^^ Ich hoffe sehr ich MUSS mein System nicht neu aufsetzen. VIELEN Dank fuer euere Hilfe!! |
| Themen zu sygate meldet rundll32 zugriff auf rightonadz.biz |
| .dll, ad-aware, adobe, alert, application, bho, dll, explorer, firewall, frage, ftp, hijack, hilfe!!, home, internet, internet explorer, mozilla, mozilla thunderbird, pdf, prefetch, programme, rundll, rundll32.dll, sicherheit, software, suspekt, system, tuneup utilities, vielen dank, virus, warum, windows, windows xp |
Baum-Darstellung