| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Trojan NetWorm-i-Virus.fpWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
20.11.2007, 20:39
| #1 |
| |  Trojan NetWorm-i-Virus.fp hallo ihr :-) jetzt hat er mich auch erwischt :-(. ich hab hier schon ein bissi rumgeguckt und auch schon google rumgewuselt, mir removal-tools bei symantc runtergeladen und durchlaufen lassen und versucht über den abgesicherten modus einen virenscan usw. zu machen, aber leider hat das nichts gebracht. das teil, was die meisten haben, macht sich auch dann immer auf. kleines gelbes dreieck unten rechts mit diversen meldungen (ich bin nicht sicher, ob das einer ist, oder doch mehrere trojaner wegen der verschiedenen meldungen. Security Alert: Net-Worm-i.Virus@fp usw usw.... (das kennt ihr bestimmt schon auswendig) er macht alle minute ca. unaufgefordert den IE mit seiten auf, wo man angeblich die richtige software gegen das teil runterladen kann. und das nervt extrem. außerdem hab ich im autostart (hab ich mehrfach versucht zu löschen) nun auch ein "online security guide" und ein "live safety center". wenn ich auf eigenschaften klicke, zeigt er als zieltyp http://kukkakrek.com...... an. ich hab echt keine ahnung von sowas, also seid gnädig mit mir! doof ist nur, daß ich den rechner zum arbeiten brauche. ich hab hier gesehen, daß man diesen hijack-log posten soll ich hab da mal was vorbereitet: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:18:11, on 20.11.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16544) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe C:\Programme\Logitech\QuickCam10\QuickCam10.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\System32\alg.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\LVComSX.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Outlook Express\MSIMN.EXE C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe C:\Dokumente und Einstellungen\püppi\Desktop\HiJackThis.exe C:\WINDOWS\System32\wbem\wmiprvse.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=488 R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll O3 - Toolbar: Pop-Up Stopper &Companion - {8F05B1A8-9D77-4B8F-AF54-6B2202066F95} - C:\Programme\Panicware\Pop-Up Stopper Companion\popupus.dll O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\system32\gfcqbnmi.dll O4 - HKLM\..\Run: [ElbyCheckAnyDVD] "C:\Programme\SlySoft\AnyDVD\ElbyCheck.exe" /L AnyDVD O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [38235e8c] rundll32.exe "C:\WINDOWS\system32\uspqwhwb.dll",b O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll O14 - IERESET.INF: START_PAGE_URL=http://www.msn.de/ O15 - Trusted Zone: http://poll.chat4free.de O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/en-us/4,0,0,90/mcinsctl.cab O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by109fd.bay109.hotmail.msn.com/resources/MsnPUpld.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1132167629984 O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/mcgdmgr/en-us/1,0,0,23/mcgdmgr.cab O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game18.zylom.lycos.de/activex/zylomgamesplayer.cab O16 - DPF: {DA511858-B44C-439E-A0EA-704ED20035E7} (EphoxEditLive4.EditLive) - http://www.beepworld.de/hp/activexeditor/editlive4.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: C:\WINDOWS\system32\__c00B44C3.dat O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\svcntaux.exe O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\swdsvc.exe O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2 -- End of file - 8424 bytes ich hoffe, ihr könnt mir doofie helfen!! LG - jeeny :-) |
|
20.11.2007, 22:55
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Trojan NetWorm-i-Virus.fp Hallo.
__________________Du hast schonmal mindestens Vundo/Virtumonde drauf. Erkennbar an diesem Eintrag: Code:
ATTFilter O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\system32\gfcqbnmi.dll
Code:
ATTFilter C:\WINDOWS\system32\gfcqbnmi.dll
C:\WINDOWS\system32\uspqwhwb.dll
C:\WINDOWS\system32\__c00B44C3.dat
Du solltest dir vorher alle Dateien anzeigen lassen.
__________________ |
|
21.11.2007, 07:44
| #3 |
| | Trojan NetWorm-i-Virus.fp hallo arne,
__________________hier die auswertung (ich poste mal lieber alles, ok?) AhnLab-V3 2007.11.21.0 2007.11.21 - AntiVir 7.6.0.34 2007.11.20 TR/Vundo.CA Authentium 4.93.8 2007.11.21 - Avast 4.7.1074.0 2007.11.20 - AVG 7.5.0.503 2007.11.20 Obfustat.VTX BitDefender 7.2 2007.11.21 Adware.Virtumonde.GHI CAT-QuickHeal 9.00 2007.11.20 - ClamAV 0.91.2 2007.11.21 Adware.SecToolbar DrWeb 4.44.0.09170 2007.11.20 Trojan.Fakealert.372 eSafe 7.0.15.0 2007.11.14 - eTrust-Vet 31.3.5312 2007.11.20 - Ewido 4.0 2007.11.20 - FileAdvisor 1 2007.11.21 - Fortinet 3.14.0.0 2007.11.21 - F-Prot 4.4.2.54 2007.11.21 - F-Secure 6.70.13030.0 2007.11.21 - Ikarus T3.1.1.12 2007.11.21 not-a-virus:AdWare.Win32.SecToolBar.k Kaspersky 7.0.0.125 2007.11.21 not-a-virus:AdWare.Win32.SecToolBar.k McAfee 5167 2007.11.20 Vundo Microsoft 1.3007 2007.11.21 Trojan:Win32/Vundo NOD32v2 2674 2007.11.21 Win32/Adware.SecToolbar Norman 5.80.02 2007.11.20 W32/Virtumonde.IIT Panda 9.0.0.4 2007.11.21 Spyware/Virtumonde Prevx1 V2 2007.11.21 Trojan.Zlob Rising 20.19.20.00 2007.11.21 - Sophos 4.23.0 2007.11.21 - Sunbelt 2.2.907.0 2007.11.21 - Symantec 10 2007.11.21 Trojan.Vundo TheHacker 6.2.9.135 2007.11.20 Trojan/BHO.ui VBA32 3.12.2.5 2007.11.20 - VirusBuster 4.3.26:9 2007.11.20 Adware.Vundo.V.Gen Webwasher-Gateway 6.0.1 2007.11.21 Trojan.Vundo.CA weitere Informationen File size: 145984 bytes MD5: 42fd3febf2a514231ed02a94e0e21195 SHA1: 74c4add794349c023b7943a287b23203ecc601b1 Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=89871B5E40BA01873A6502E44BA0BC000F42CF4A die zweite datei konnte ich nicht finden :-(. AhnLab-V3 2007.11.21.0 2007.11.21 - AntiVir 7.6.0.34 2007.11.20 TR/Dldr.Agen.ZV.1.B Authentium 4.93.8 2007.11.21 - Avast 4.7.1074.0 2007.11.20 - AVG 7.5.0.503 2007.11.20 Downloader.Small.AVQ BitDefender 7.2 2007.11.21 Trojan.Downloader.Conhook.BI CAT-QuickHeal 9.00 2007.11.20 TrojanDownloader.ConHook.hl ClamAV 0.91.2 2007.11.21 Trojan.Downloader-16191 DrWeb 4.44.0.09170 2007.11.20 - eSafe 7.0.15.0 2007.11.14 - eTrust-Vet 31.3.5312 2007.11.20 Win32/Darksma.FR Ewido 4.0 2007.11.20 Downloader.ConHook.hl FileAdvisor 1 2007.11.21 - Fortinet 3.14.0.0 2007.11.21 - F-Prot 4.4.2.54 2007.11.21 W32/Downldr2.AILP F-Secure 6.70.13030.0 2007.11.21 Trojan-Downloader.Win32.ConHook.hl Ikarus T3.1.1.12 2007.11.21 Trojan-Downloader.Win32.ConHook.hl Kaspersky 7.0.0.125 2007.11.21 Trojan-Downloader.Win32.ConHook.hl McAfee 5167 2007.11.20 Vundo Microsoft 1.3007 2007.11.21 TrojanDownloader:Win32/Conhook.AE NOD32v2 2674 2007.11.21 Win32/TrojanDownloader.Agent.NSM Norman 5.80.02 2007.11.20 W32/ConHook.GT Panda 9.0.0.4 2007.11.21 Adware/PurityScan Prevx1 V2 2007.11.21 Trojan.Zlob Rising 20.19.20.00 2007.11.21 Trojan.DL.Win32.ConHook.hl Sophos 4.23.0 2007.11.21 Troj/Conhook-AK Sunbelt 2.2.907.0 2007.11.21 - Symantec 10 2007.11.21 Downloader TheHacker 6.2.9.135 2007.11.20 Trojan/Downloader.ConHook.hl VBA32 3.12.2.5 2007.11.20 Trojan-Downloader.Win32.ConHook.hl VirusBuster 4.3.26:9 2007.11.20 Trojan.DL.ConHook.CN Webwasher-Gateway 6.0.1 2007.11.21 Trojan.Dldr.Agen.ZV.1.B weitere Informationen File size: 10816 bytes MD5: 608ac2be51f413be26d55877e9deea92 SHA1: 5979f32580dfdebd9caaf73e2a5f6d23c4418a57 packers: UPX packers: PE_Patch.UPX, UPX Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=BD036893407CBFFB2A53003C7E7628007B1243D7 vielen dank dir schon mal! bis später - jeeny :-)
__________________ |
|
21.11.2007, 18:50
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Trojan NetWorm-i-Virus.fp Ok, probiere den Vundofix: * Lade dir vundofix.exeErstell danach ein neues Hijackthis-Logfile und poste es. Falls sich noch weitere "krumme" Dateien im System befinden, können wir die evtl. so aufspüren: Über ein filelisting mit diesem script:Diese listing.txt z.B. bei rapidshare hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
21.11.2007, 19:55
| #5 |
| | Trojan NetWorm-i-Virus.fp mohoin! 1) vondofix ausgeführt (eine datei konnte er nicht löschen C:\windows\system32\__c00DF825.dat) 2) dann hier der log von hijack: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 19:31:39, on 21.11.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16544) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe C:\WINDOWS\system32\sfbwyvdv.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe C:\Programme\Logitech\QuickCam10\QuickCam10.exe C:\Programme\QuickTime\qttask.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\LVComSX.exe C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Outlook Express\MSIMN.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe C:\Dokumente und Einstellungen\püppi\Desktop\highjack.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Yahoo! Deutschland R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = Nachrichten, Unterhaltung, Sport, Lifestyle, Finanzen, Auto und mehr bei MSN R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h* *p://go.microsoft.com/fwlink/?LinkId=488 R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll O2 - BHO: (no name) - {0064AB79-FB1D-477D-AF78-3AAF8E6BCAFA} - C:\WINDOWS\system32\ddcca.dll O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: CCHelper Class - {0CF0B8EE-6596-11D5-A98E-0003470BB48E} - C:\Programme\Panicware\Pop-Up Stopper Companion\CCHelper.dll (file missing) O2 - BHO: Mediaplayer - {1536BA74-8625-4240-99B0-BE65883689C8} - C:\Programme\Mediapiraten\Mediapiraten\IEButtonMPInterface.dll (file missing) O2 - BHO: {294b6d28-4ded-438a-5164-601952f616b1} - {1b616f25-9106-4615-a834-ded482d6b492} - C:\WINDOWS\system32\ultxqawi.dll O2 - BHO: (no name) - {727DF001-5D8C-4450-B469-CEFD1516C597} - C:\WINDOWS\system32\rsaenh32.dll (file missing) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: amazon - {84B94901-3645-4D80-A6B7-4D0050B19455} - C:\Programme\Mediapiraten\Mediapiraten\IEButtonAmazonInterface.dll (file missing) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: eBay - {CD9B7762-DFBC-42B1-BB30-02A78287B456} - C:\Programme\Mediapiraten\Mediapiraten\IEButtonEbayInterface.dll (file missing) O3 - Toolbar: Pop-Up Stopper &Companion - {8F05B1A8-9D77-4B8F-AF54-6B2202066F95} - C:\Programme\Panicware\Pop-Up Stopper Companion\popupus.dll O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn1\yt.dll O3 - Toolbar: (no name) - {11A69AE4-FBED-4832-A2BF-45AF82825583} - (no file) O4 - HKLM\..\Run: [ElbyCheckAnyDVD] "C:\Programme\SlySoft\AnyDVD\ElbyCheck.exe" /L AnyDVD O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [38235e8c] rundll32.exe "C:\WINDOWS\system32\iqsgymqj.dll",b O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_11\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll O14 - IERESET.INF: START_PAGE_URL=h* *p://www.msn.de/ O15 - Trusted Zone: h**p://poll.chat4free.de O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://h* *p://messenger.zone.msn.co...r.cab31267.cab O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h* *p://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://h* *p://security.symantec.com...in/AvSniff.cab O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://h**p://download.mcafee.com/mo...0/mcinsctl.cab O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://h* *p://by109fd.bay109.hotmai...s/MsnPUpld.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://h* *p://update.microsoft.com/...?1132167629984 O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://h* *p://security.symantec.com.../bin/cabsa.cab O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://h* *p://messenger.zone.msn.co...t.cab31267.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://h* *p://messenger.msn.com/dow...downloader.cab O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://h* *p://download.mcafee.com/m...23/mcgdmgr.cab O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://h* *p://game18.zylom.lycos.de...amesplayer.cab O16 - DPF: {DA511858-B44C-439E-A0EA-704ED20035E7} (EphoxEditLive4.EditLive) - http://h* *p://www.beepworld.de/hp/a.../editlive4.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: C:\WINDOWS\system32\__c00DF825.dat O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe O23 - Service: DomainService - - C:\WINDOWS\system32\sfbwyvdv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - c:\programme\gemeinsame dateien\logishrd\lvmvfm\LVPrcSrv.exe O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2 -- End of file - 9586 bytes 3) die listing.txt hab ich auch fertig. ich hab mich grad an rapidshare geschmissen, ich glaub, ich bin da zu doof für. ich hab nun dort die datei hochgeladen Datei-Upload.eu - Kostenlos Dateien wie Bilder Programme oder Archive hochladen und verteilen in der hoffnung, daß du trotzdem keine "krummen" dateien oben findest *gg* btw.... äh.... ich bekomme seit dem neustart keine "komischen" meldungen mit blöden, blinkenden warndreiecken mehr!!! boah! ich bin begeistert!! und auch das explorer-fenster sieht wieder normal aus! :aplaus: vielen dank dir noch mal für´s helfen LG - jessica
__________________ Woher soll ich wissen, was ich denke, bevor ich gehört habe, was ich sage??!! Geändert von jeeny (21.11.2007 um 20:43 Uhr) |
|
21.11.2007, 20:58
| #6 |
| | Trojan NetWorm-i-Virus.fp sorry wegen den links, ich hab grad noch mal versucht, es zu ändern, aber war zu spät 
__________________ --> Trojan NetWorm-i-Virus.fp |
|
22.11.2007, 00:10
| #7 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Trojan NetWorm-i-Virus.fp Hm..da ist längst noch nicht alles weg...da ist sogar neues hinzugekommen! Dein System hinterlässt bei mir einen sehr überladenen Eindruck und Filesharing scheinst du auch nicht gerade zu scheuen...  Nur mal so als Tipp: Lad da keine Programme runter, das meiste Zeugs davon ist verseucht und kein Virenscanner kann das zuverlässig erkennen. 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop. 2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein: Code:
ATTFilter files to delete:
C:\WINDOWS\system32\accdd.ini
C:\WINDOWS\system32\accdd.ini2
C:\WINDOWS\system32\jqmygsqi.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\ultxqawi.dll
C:\WINDOWS\system32\bwhwqpsu.ini
C:\WINDOWS\system32\fkaipgyq.exe
C:\WINDOWS\system32\ddcca.dll
C:\WINDOWS\system32\urqrqpp.dll
C:\WINDOWS\system32\sfbwyvdv.exe
C:\WINDOWS\system32\ddcca.dll
C:\WINDOWS\system32\ultxqawi.dll
C:\WINDOWS\system32\rsaenh32.dll
C:\WINDOWS\system32\iqsgymqj.dll
C:\WINDOWS\system32\__c00DF825.dat
C:\WINDOWS\system32\drivers\CO_Mon.sys
4.) Danach das System unverzüglich neu starten lassen 5.) Poste den Inhalt der C:\avenger.txt Datei. Schau mal dann in den Ordner c:\avenger rein. Da müsste eine Backupdatei vom avenger sein, nennt sich avenger.zip. Darin sind als Backup die gelöschten Dateien. Da es doch ein paar mehr sind, würd ich die gern auswerten. Daher versieh die avenger.zip mit einem Kennwort und mail mir diese mal => E-Mail an cosinus Ich werd dir dann im Forum die Funde mitteilen. Einige Dateien sehen nämlich ziemlich wild aus. Temporär müsstest du ggf. den Wächter vom Virenscanner ausschalten, der der den Versand beeinträchtigen kann. Und keine Angst, da passiert nichts, solange du diese Dateien nicht (erneut) ausführst.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
| Themen zu Trojan NetWorm-i-Virus.fp |
| abgesicherten modus, alert, antivirus, antivirus scan, appinit_dlls, avast, avast!, desktop, einstellungen, excel, explorer, firefox, google, helfen, hijackthis, hkus\s-1-5-18, internet, internet explorer, keine ahnung, mehrere, monitor, mozilla, mozilla firefox, nicht sicher, outlook express, pop-up, rundll, s-1-5-18, scan, seiten, software, spyware, symantec, system, trend micro, trojan, trojaner, unknown file in winsock lsp, urlsearchhook, windows, windows xp |
Hybrid-Darstellung
