Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung
TR/Qhosts.A

TR/Qhosts.A


Plagegeister aller Art und deren Bekämpfung: TR/Qhosts.A

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 25.11.2007, 21:59   #1
sibrag
 
TR/Qhosts.A - Standard

TR/Qhosts.A


So seit drei Tagen mein zweiter Fall diesmal bei einem Kollegen. Es handelt sich um folgfenden Trojaner TR/Qhosts.A im Falle von Antivir. Host Datei ist in der Drivers/etc gar nicht mehr zu finden. Im Hijackthislog sieht man ja das es ziemlich böse aussieht und das das Teil überall ist taskmanager scvhost.exe die ist an keine Ahnung wievielen Stellen im System verankert wenn man sie beendet der berühmte in einer Minute fährt das System runter Bildschirm hier der Hijackthislog:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:43:56, on 25.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\scvhost.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\Mixer.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.bearshare.com/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
F2 - REG:system.ini: Shell=Explorer.exe scvhost.exe
F3 - REG:win.ini: run=C:\WINDOWS\scvhost.exe
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [nTrayFw] C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [msconfig] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [icq lite] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [Update Checker] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [AntiVir] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\Run: [] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [Windows Update] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [msconfig] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [icq lite] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [Update Checker] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [AntiVir] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunServices: [] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [Windows Update] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [msconfig] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [icq lite] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [Update Checker] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [AntiVir] C:\WINDOWS\scvhost.exe
O4 - HKLM\..\RunOnce: [] C:\WINDOWS\scvhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Steam] "c:\progra~1\steam\steam.exe" -silent
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E757F97-3150-4763-B7D6-B83329324E55}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{A75D1B64-629D-4334-B02B-4D69B0DCFC44}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O24 - Desktop Component 0: (no name) - http://img.edsb.airworkpress.com/red/redbull/crash_big.jpg

--
End of file - 7729 bytes



Meiner Meinung nach muss man Neuinstallieren weil alles andere Knaup ist ich würde aber noch gern andere Möglichkeiten aufgezeigt bekommen und wissen was dieses Teil überhaupt macht Backdoors? Liest er den Inetverkehr mit würde ich mal vermuten wegen Host datei und sowas dann legt man los!!!

Danke im Voraus

Alt 25.11.2007, 22:14   #2
nochdigger
 
TR/Qhosts.A - Standard

TR/Qhosts.A


Hallo

Zitat:
Meiner Meinung nach muss man Neuinstallieren
sieht sehr danach aus

Zitat:
aber noch gern andere Möglichkeiten aufgezeigt bekommen und wissen was dieses Teil überhaupt macht Backdoors?
andere Möglichkeit als neu aufsetzen gibt es für mein dafürhalten nicht.
Um sicher zu gehen lass diese Datei :
C:\WINDOWS\scvhost.exe
hier Virustotal
hier VirSCAN.org - The Multi-Engine Virus Scanner v1.00 Beta,Support 36 AntiVirus Engine, Last Update(071109)
oder hier Jotti
überprüfen (kann einige Minuten dauern),
poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben,
bitte auch wenn nichts gefunden wurde.

MFG
__________________
Alt 25.11.2007, 22:19   #3
sibrag
 
TR/Qhosts.A - Standard

TR/Qhosts.A


lol hab den link vergessen zu posten aber es ist auf jeden fall der virus virustotal hats wie erwartet ausgespuckt
__________________
Geändert von sibrag (25.11.2007 um 22:28 Uhr)

Alt 25.11.2007, 22:34   #4
nochdigger
 
TR/Qhosts.A - Standard

TR/Qhosts.A


Hallo

was das "Ding" genau macht, wird dir mit Sicherheit nur der Schreiber des Schädlings sagen können,
ändere darum einfach alle Pass- und Kennwörter.

MFG

Alt 25.11.2007, 22:36   #5
sibrag
 
TR/Qhosts.A - Standard

TR/Qhosts.A


ok bin schon am neuinstallieren hätte ja nur sein können das jemadn von euch weiß was der so macht aufgrund von erfahrungen hier im forum so trotzdem danke werd wohl auch mal hier im forum aktiv werden gefällt mir echt gut

was seit ihr kompetenzteam leute iegntlich von beruf ich befinde mich in der ausbildung zum fachinformatiker <<<ist zwar offtopic aber weiß nit wo ich es sonst fragen soll


Alt 25.11.2007, 22:44   #6
nochdigger
 
TR/Qhosts.A - Standard

TR/Qhosts.A


Hallo

Zitat:
was seit ihr kompetenzteam leute iegntlich von beruf
ich für meinen Teil Elektrotechniker.

Zitat:
<<<ist zwar offtopic aber weiß nit wo ich es sonst fragen soll
die Taverne währe der geeignete Ort deiner Frage

MFG

Antwort

Themen zu TR/Qhosts.A
add-on, adobe, application, avg, avira, bho, bildschirm, desktop, excel, explorer, handel, helper, hijack, hkus\s-1-5-18, hotkey, internet, internet explorer, keine ahnung, messenger, micro, microsoft, nvidia, pdf, programme, s-1-5-18, software, system, taskmanager, toolbars, trend micro, trojaner, urlsearchhook, windows, windows xp


« How to remove WORM/IrcBot.49664.2 ? | alle Programme weg »


Ähnliche Themen: TR/Qhosts.A


  1. Trojan.Qhosts lassen sich mit Spyware Doctor nicht beseitigen!
    Plagegeister aller Art und deren Bekämpfung - 29.03.2010 (1)
  2. TR/Qhosts.A ??? HILFE :/
    Plagegeister aller Art und deren Bekämpfung - 18.02.2007 (6)
  3. TR/Dldr.ZB und TR/Qhosts.A
    Log-Analyse und Auswertung - 30.01.2007 (5)
  4. qhosts, zlob und media codec
    Log-Analyse und Auswertung - 14.08.2006 (2)
  5. Trojaner TR/QHosts.Script + Diverses?
    Log-Analyse und Auswertung - 11.12.2005 (1)
  6. Trojan.Qhosts geht einfach nicht ganz weg
    Log-Analyse und Auswertung - 10.04.2005 (2)
  7. 2 Trojaner -> "Bagle.AL" und "QHosts.Script"
    Plagegeister aller Art und deren Bekämpfung - 13.03.2005 (3)
  8. Trojan.Qhosts
    Plagegeister aller Art und deren Bekämpfung - 22.02.2005 (0)
  9. TR/QHosts.Script - Trojaner or not?
    Log-Analyse und Auswertung - 17.02.2005 (0)
  10. qhosts.apd trojan
    Plagegeister aller Art und deren Bekämpfung - 12.10.2004 (10)
  11. Qhosts.apd
    Plagegeister aller Art und deren Bekämpfung - 28.06.2004 (2)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema TR/Qhosts.A - So seit drei Tagen mein zweiter Fall diesmal bei einem Kollegen. Es handelt sich um folgfenden Trojaner TR/Qhosts.A im Falle von Antivir. Host Datei ist in der Drivers/etc gar nicht - TR/Qhosts.A...
Archiv
Du betrachtest: TR/Qhosts.A auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55