| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Neuer Trojaner???Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
22.12.2007, 11:08
| #1 |
 |  Neuer Trojaner??? Moin, moin, ich habe ein großes Problem (wie viele, denke ich)! ich bin leider nur ein PC-Anwender und vermute, dass ich mir einen Trojaner zugezogen habe, mit dem ich alleine nicht umgehen kann! habe dir Forum-Regeln gelesen und habe zuvor selbstverständlich im Netz nach dem problem gesucht u nur englische Forumenträge gefunden, wo aber keine letztendliche Lösung bei war! Also ich habe folgendes Problem: wenn ich mein PC starte erscheint folgende Fehlermeldung: During a scan of files at system startup, potential errors in the system registry were found. p-07-0100 irql: 1f SYSVER 0xff00024 NT_Kernel error 12 56 KMODE_EXCEPTION_NOT_HANDLED wenn ich nun auf OK drücke u online bin, bekomme ich folgende Seite: http://storageprotector.com/clean/?p=618&g die mich dann auffordert ein "Cleaning-Program" herunter zu laden gleichzeitig habe ich nun zwei Verknüpfungen auf dem Destop: -Help and Support Center.ink -Windows Update.ink beide Dateien exestieren aber gar nicht bei mir auf der Platte und wenn ich sie lösche, kommen sie wieder und zusätzlich werde ich beim aktivieren der Verknüpfung wieder mit der Internetseite von oben verbunden! Wenn ich nun online bin, kann ich ein paar Minuten arbeiten und dann geht nix mehr u ich sehe, wie ein Datenfluss von statten geht, aber ich selber kann nichts machen, als wenn sich der PC aufgehängt hat! Nun habe ich schon mal ein wenig gelesen, was man allgemein machen soll u habe so schon einmal hijack geladen u durchlaufen lassen, mit folgendem Ergebnis: Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 10:32:02, on 22.12.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe C:\ATI-CPanel\atiptaxx.exe C:\Programme\FreePDF_XP\fpassist.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe C:\Programme\Logitech\G-series Software\LGDCore.exe C:\Programme\Logitech\G-series Software\LCDMon.exe C:\Programme\iTunes\iTunesHelper.exe C:\WINDOWS\system32\UMonit.exe C:\Programme\SPYWAREfighter\spftray.exe C:\Programme\Logitech\G-series Software\Applets\LCDClock.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Hacker\KAVPF.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\Programme\SPYWAREfighter\spfprc.exe C:\Programme\iPod\bin\iPodService.exe C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe D:\KrimsKrams\05 Programme\HiJackThis_v2.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.de/ R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing) O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {0B6F452D-46CE-4A8E-935B-2C13CF4D66EC} - C:\WINDOWS\system32\awtqn.dll O2 - BHO: SWEETIE - {1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} - C:\PROGRA~1\MACROG~1\SWEETI~1\toolbar.dll (file missing) O2 - BHO: {db01a30e-7514-37eb-4784-d323cd043fe5} - {5ef340dc-323d-4874-be73-4157e03a10bd} - C:\WINDOWS\system32\bdktatiq.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\wjarzgne.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll O2 - BHO: (no name) - {E425A88A-9461-46B2-8E78-34A1A4FC148F} - C:\WINDOWS\system32\mljgghi.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing) O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Virus Personal\kav.exe" /minimize O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\G-series Software\LCDMon.exe" O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [UMonit] C:\WINDOWS\system32\UMonit.exe O4 - HKLM\..\Run: [Windows Remote Launcher] wnpmcs.exe O4 - HKLM\..\Run: [spywarefighterguard] C:\Programme\SPYWAREfighter\spftray.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe" O4 - HKLM\..\Run: [644e1e06] rundll32.exe "C:\WINDOWS\system32\ebrwgdce.dll",b O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Programme\Yahoo!\Messenger\YahooMessenger.exe" -quiet O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Miro] C:\Programme\Participatory Culture Foundation\Miro\Miro.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: HcwSyncIt.lnk = C:\Programme\WinTV\Scheduler\EPG\TvTv\HcwSyncIt.exe O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Hacker\KAVPF.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1177188580908 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - Winlogon Notify: mljgghi - C:\WINDOWS\SYSTEM32\mljgghi.dll O20 - Winlogon Notify: wjarzgne - C:\WINDOWS\SYSTEM32\wjarzgne.dll O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Kaspersky Anti-Virus service (kavsvc) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Virus Personal\kavsvc.exe O23 - Service: LVCOMSer - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe O23 - Service: SPYWAREfighterRP - SpamFighter APS - C:\Programme\SPYWAREfighter\spfprc.exe -- End of file - 9080 bytes so, ich gestehe, ich bin als PC-Laie am Ende angelangt und hoffe, dass ich bei euch Hilfe finden kann! Auf englisch habe ich gelesen, dass man die windows-cd einlegen soll! Doch auch das Ergebnis gefunden, dass es jemand gemacht hat und der PC danach komplett platt war! Gruß aus dem kalten Norden! |
|
22.12.2007, 12:49
| #2 | ||
  | Neuer Trojaner??? Hallo
__________________zuerst mach bitte alle versteckten Dateien und Ordner sichtbar. Anschließend benenne bitte die HiJackThis_v2.exe um in z.B. This.exe und erstelle ein neues HijackThis Log, dieser Schritt ist nötig da sich viele Schädlinge vor HijackThis verbergen können. Hast du den Zugriff auf die Registry selbst deaktiviert? Zitat:
Dann lasse bitte diese Datei(en) Zitat:
hier VirSCAN.org - The Multi-Engine Virus Scanner v1.00 Beta,Support 36 AntiVirus Engine, Last Update(071109) oder hier Jotti überprüfen (kann einige Minuten dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, bitte auch wenn nichts gefunden wurde. MFG |
|
22.12.2007, 13:05
| #3 | |
| | Neuer Trojaner???Zitat:
hier nun schon einmal das neue Ergebnis von hijack: Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 12:56:23, on 22.12.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe C:\ATI-CPanel\atiptaxx.exe C:\Programme\FreePDF_XP\fpassist.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe C:\Programme\Logitech\G-series Software\LGDCore.exe C:\Programme\Logitech\G-series Software\LCDMon.exe C:\Programme\iTunes\iTunesHelper.exe C:\WINDOWS\system32\UMonit.exe C:\Programme\SPYWAREfighter\spftray.exe C:\Programme\Logitech\G-series Software\Applets\LCDClock.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Hacker\KAVPF.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\Programme\SPYWAREfighter\spfprc.exe C:\Programme\iPod\bin\iPodService.exe C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\explorer.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\MSN Messenger\usnsvc.exe D:\KrimsKrams\05 Programme\This.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.de/ R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing) O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {0B6F452D-46CE-4A8E-935B-2C13CF4D66EC} - C:\WINDOWS\system32\awtqn.dll O2 - BHO: SWEETIE - {1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} - C:\PROGRA~1\MACROG~1\SWEETI~1\toolbar.dll (file missing) O2 - BHO: {db01a30e-7514-37eb-4784-d323cd043fe5} - {5ef340dc-323d-4874-be73-4157e03a10bd} - C:\WINDOWS\system32\bdktatiq.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\wjarzgne.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll O2 - BHO: (no name) - {E425A88A-9461-46B2-8E78-34A1A4FC148F} - C:\WINDOWS\system32\mljgghi.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing) O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Virus Personal\kav.exe" /minimize O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam10\QuickCam10.exe" /hide O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\G-series Software\LCDMon.exe" O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [UMonit] C:\WINDOWS\system32\UMonit.exe O4 - HKLM\..\Run: [Windows Remote Launcher] wnpmcs.exe O4 - HKLM\..\Run: [spywarefighterguard] C:\Programme\SPYWAREfighter\spftray.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe" O4 - HKLM\..\Run: [644e1e06] rundll32.exe "C:\WINDOWS\system32\ebrwgdce.dll",b O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Programme\Yahoo!\Messenger\YahooMessenger.exe" -quiet O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Miro] C:\Programme\Participatory Culture Foundation\Miro\Miro.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: HcwSyncIt.lnk = C:\Programme\WinTV\Scheduler\EPG\TvTv\HcwSyncIt.exe O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Hacker\KAVPF.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1177188580908 O17 - HKLM\System\CCS\Services\Tcpip\..\{52A41D45-8E51-41AB-B1A0-63D002CD7579}: NameServer = 213.191.92.82 213.191.74.11 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - Winlogon Notify: mljgghi - C:\WINDOWS\SYSTEM32\mljgghi.dll O20 - Winlogon Notify: wjarzgne - C:\WINDOWS\SYSTEM32\wjarzgne.dll O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Kaspersky Anti-Virus service (kavsvc) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Virus Personal\kavsvc.exe O23 - Service: LVCOMSer - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe O23 - Service: SPYWAREfighterRP - SpamFighter APS - C:\Programme\SPYWAREfighter\spfprc.exe -- End of file - 9307 bytes Die Registry habe ich nicht verändert oder deren ähnlichen u die Ordneroption habe ich überprüft! war alles so ausgeführt, wie es sein sollte! Alle Dateien sichtbar! nun versuche ich mal ob ich mit den Programmen, die du mit angeführt hast, klar zu kommen! ich muss gestehen, ich weis nicht was die MD5 und SHA1 Angaben sind! aber ich hoffe, ich sehe es gleich! Gruß u vielen Dank für die Unterstützung! |
|
22.12.2007, 13:14
| #4 |
| | Neuer Trojaner??? hallo..ich hab ein Bitte..und zwar habe ich zwei verknüpfungen auf meinem dektop..windows update und hel and support center die ich nicht wegbekomme..hat was mit storageprotector zu tun..bitte um rat Geändert von Damir87 (22.12.2007 um 13:34 Uhr) |
|
22.12.2007, 14:23
| #5 |
| | Neuer Trojaner??? Moin Damir, ich würde mal sagen, du hast das selbe problem, wie ich gerade! Daher würde ich sagen, mache einfach das selbe, was ich gerade mache und dann müssten wir mit dem selben Erfolg am Ende da stehen! |
|
22.12.2007, 14:45
| #6 |
| | Neuer Trojaner??? Hallo es handelt sich bei allen Dateien "nur" um Vundo und keine anderen schlimmeren Schädlinge, das ist schonmal gut. Jetzt kommt arbeit auf dich zu  Erstelle bitte ein Log mit der Filelist, Blacklight sowie Silentrunners Filelist 1. Lade das filelist.zip auf deinen Desktop herunter. 2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei 3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen 4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein. Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen: Verzeichnis von C:\ Verzeichnis von C:\WINDOWS\system32 Verzeichnis von C:\WINDOWS Verzeichnis von C:\WINDOWS\Prefetch (Windows XP) Verzeichnis von C:\WINDOWS\tasks Verzeichnis von C:\WINDOWS\Temp Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp Silentrunners Logfile -Lade dir das Tool -> Silentrunners -Entpacke das Script in einen Ordner deiner Wahl -Doppelklick auf -> Silent Runners -> Option Supplementary Searches auswählen -System wird nun überprüft, nach Beendigung wird eine Log-Datei erstellt (Dein Antiviren-Scanner könnte eine Meldung wegen „bösartigem Script“ erstellen, ignoriere dieses und arbeite weiter!) -Dann öffne die Silent Runners xxx.txt mit einem Editor und kopiere den gesamten Inhalt ab und füge ihn in einen Beitrag ein. (Strg+A markieren -> Strg+C kopieren -> Strg+V einfügen) F-Secure Blacklight – Rootkitscanner: * Scanne dein System mit F-Secure Blacklight * Poste im Anschluss das Ergebnis des Reportes in dem du alles abkopierst und hier in einen Beitrag einfügst. (die Datei sollte auf C: angelegt werden.) MFG |
|
22.12.2007, 13:15
| #7 | ||
| | Neuer Trojaner??? Hallo Zitat:
Zitat:
MFG |
|
22.12.2007, 14:20
| #8 |
| | Neuer Trojaner??? Nun geht es weiter: Ich habe mich für die Seite VirusTotal entschieden, bzw es war die erste und nun die Ergebnisse: -C:/windows/system32/awtqn.dll (upload ca 312kb) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.12.22.10 2007.12.21 - AntiVir 7.6.0.46 2007.12.22 ADSPY/Virtumonde.R Authentium 4.93.8 2007.12.21 - Avast 4.7.1098.0 2007.12.21 - AVG 7.5.0.503 2007.12.21 Adware Generic2.XXE BitDefender 7.2 2007.12.22 Trojan.Vundo.DRY CAT-QuickHeal 9.00 2007.12.22 - ClamAV 0.91.2 2007.12.22 - DrWeb 4.44.0.09170 2007.12.21 - eSafe 7.0.15.0 2007.12.20 - eTrust-Vet 31.3.5395 2007.12.21 - Ewido 4.0 2007.12.22 - FileAdvisor 1 2007.12.22 - Fortinet 3.14.0.0 2007.12.22 - F-Prot 4.4.2.54 2007.12.21 W32/Virtumonde.G.gen!Eldorado F-Secure 6.70.13030.0 2007.12.21 Vundo.X Ikarus T3.1.1.15 2007.12.22 Trojan.Vundo.DRY Kaspersky 7.0.0.125 2007.12.22 - McAfee 5191 2007.12.21 - Microsoft 1.3109 2007.12.22 Trojan:Win32/Vundo.gen!A NOD32v2 2740 2007.12.21 - Norman 5.80.02 2007.12.21 Vundo.X Panda 9.0.0.4 2007.12.22 Suspicious file Prevx1 V2 2007.12.22 Trojan.Vundo Rising 20.23.51.00 2007.12.22 - Sophos 4.24.0 2007.12.22 - Sunbelt 2.2.907.0 2007.12.21 - Symantec 10 2007.12.22 - TheHacker 6.2.9.167 2007.12.21 - VBA32 3.12.2.5 2007.12.21 - VirusBuster 4.3.26:9 2007.12.21 Adware.Vundo.V.Gen Webwasher-Gateway 6.6.2 2007.12.22 Ad-Spyware.Virtumonde.R weitere Informationen File size: 319072 bytes MD5: 6d0b8afb12fc3f611d1f70e6f0348181 SHA1: 970674e35e28abe44b651fc1470ee0dd99936c80 PEiD: - Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=DAA879A06003AF1CDE8B04BC1AAFCE0088C24C96 -C:/windows/system32/bdktatiq.dll (upload wurde nicht angezeigt) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.12.22.10 2007.12.21 Win-Trojan/Vundo.80448.C AntiVir 7.6.0.46 2007.12.22 ADSPY/Lop.BF Authentium 4.93.8 2007.12.21 - Avast 4.7.1098.0 2007.12.21 - AVG 7.5.0.503 2007.12.21 Lop BitDefender 7.2 2007.12.22 Trojan.Vundo.DSJ CAT-QuickHeal 9.00 2007.12.22 - ClamAV 0.91.2 2007.12.22 Trojan.BHO-1160 DrWeb 4.44.0.09170 2007.12.21 Trojan.Juan.29 eSafe 7.0.15.0 2007.12.20 - eTrust-Vet 31.3.5395 2007.12.21 Win32/Vundo.IH Ewido 4.0 2007.12.22 - FileAdvisor 1 2007.12.22 - Fortinet 3.14.0.0 2007.12.22 - F-Prot 4.4.2.54 2007.12.21 W32/Virtumonde.G.gen!Eldorado F-Secure 6.70.13030.0 2007.12.21 - Ikarus T3.1.1.15 2007.12.22 not-a-virus:AdWare.Win32.SuperJuan.ao Kaspersky 7.0.0.125 2007.12.22 not-a-virus:AdWare.Win32.SuperJuan.ao McAfee 5191 2007.12.21 Vundo Microsoft 1.3109 2007.12.22 Trojan:Win32/Vundo.gen!A NOD32v2 2740 2007.12.21 Win32/BHO.G Norman 5.80.02 2007.12.21 W32/Virtumonde.JDW Panda 9.0.0.4 2007.12.22 Spyware/Virtumonde Prevx1 V2 2007.12.22 TROJAN.AGENT.GEN Rising 20.23.51.00 2007.12.22 AdWare.Win32.Agent.zkm Sophos 4.24.0 2007.12.22 Troj/Virtum-Gen Sunbelt 2.2.907.0 2007.12.21 - Symantec 10 2007.12.22 Trojan.Vundo TheHacker 6.2.9.167 2007.12.21 Adware/SuperJuan.ai VBA32 3.12.2.5 2007.12.21 - VirusBuster 4.3.26:9 2007.12.21 Adware.Vundo.V.Gen Webwasher-Gateway 6.6.2 2007.12.22 Ad-Spyware.Lop.BF weitere Informationen File size: 80448 bytes MD5: 6a56849dedbfcaa3965baf16ab18f2fa SHA1: d4158bb3dae621d64692e5522c0cb9a240267e7a PEiD: - Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=ED33E3BA40F321D23ABC018EB20117000116040F -C:/windows/system32/wjarzgne.dll (upload 161,9kb) dieser Scan hat ne Ewigkeit gedauert Antivirus Version Last Update Result AhnLab-V3 - - - AntiVir - - TR/Vundo.Gen Authentium - - - Avast - - - AVG - - Obfustat.ADEL BitDefender - - - CAT-QuickHeal - - - ClamAV - - - DrWeb - - Trojan.Virtumod.251 eSafe - - - eTrust-Vet - - Win32/Vundo.IX Ewido - - - FileAdvisor - - - Fortinet - - - F-Prot - - W32/Virtumonde.G.gen!Eldorado F-Secure - - - Ikarus - - - Kaspersky - - - McAfee - - - Microsoft - - Trojan:Win32/Vundo.gen!A NOD32v2 - - - Norman - - - Panda - - Spyware/Virtumonde Prevx1 - - - Rising - - - Sophos - - Troj/Virtum-Gen Sunbelt - - - Symantec - - - TheHacker - - - VBA32 - - - VirusBuster - - Adware.Vundo.V.Gen Webwasher-Gateway - - Trojan.Vundo.Gen Additional information MD5: 2aba4deada172516d53b3a48e5245de9 -C:/windows/system32/mljgghi.dll (upload ??) Hier sagte mir VirusTotal, dass die Datei schon gescannt wurde, obwohl ich sie zuvor noch nicht geladen hatte! Antivirus Version Last Update Result AhnLab-V3 - - - AntiVir - - TR/Spy.Agent.36864 Authentium - - - Avast - - - AVG - - Obfustat.ABHZ BitDefender - - Trojan.Vundo.DRU CAT-QuickHeal - - AdWare.Virtumonde.bik (Not a Virus) ClamAV - - - DrWeb - - Trojan.Virtumod.240 eSafe - - - eTrust-Vet - - - Ewido - - - FileAdvisor - - - Fortinet - - - F-Prot - - W32/Virtumonde.J.gen!Eldorado F-Secure - - - Ikarus - - not-a-virus:AdWare.Win32.Virtumonde.bji Kaspersky - - not-a-virus:AdWare.Win32.Virtumonde.bji McAfee - - Vundo Microsoft - - Trojan:Win32/Virtumonde NOD32v2 - - - Norman - - - Panda - - Spyware/Virtumonde Prevx1 - - SpywareQuake Rising - - Trojan.Win32.Virtumod.o Sophos - - - Sunbelt - - - TheHacker - - - VBA32 - - AdWare.Win32.Virtumonde.bji VirusBuster - - Adware.Vundo.V.Gen Webwasher-Gateway - - Trojan.Spy.Agent.36864 Additional information MD5: 16f5a7529f2231d8d00a70c10297bc8b -C:/windows/system32/ebrwgdce.dll (upload ) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.12.22.10 2007.12.21 Win-Trojan/Vundo.85568.B AntiVir 7.6.0.46 2007.12.22 TR/Vundo.DRT Authentium 4.93.8 2007.12.21 - Avast 4.7.1098.0 2007.12.21 - AVG 7.5.0.503 2007.12.21 Lop BitDefender 7.2 2007.12.22 Trojan.Vundo.DRT CAT-QuickHeal 9.00 2007.12.22 AdWare.Virtumonde.bjc (Not a Virus) ClamAV 0.91.2 2007.12.22 Adware.Virtumonde-475 DrWeb 4.44.0.09170 2007.12.21 Trojan.Virtumod.232 eSafe 7.0.15.0 2007.12.20 - eTrust-Vet 31.3.5395 2007.12.21 Win32/Vundo.IB Ewido 4.0 2007.12.22 - FileAdvisor 1 2007.12.22 - Fortinet 3.14.0.0 2007.12.22 - F-Prot 4.4.2.54 2007.12.21 W32/Virtumonde.G.gen!Eldorado F-Secure 6.70.13030.0 2007.12.21 - Ikarus T3.1.1.15 2007.12.22 not-a-virus:AdWare.Win32.Virtumonde.bjc Kaspersky 7.0.0.125 2007.12.22 not-a-virus:AdWare.Win32.Virtumonde.bjc McAfee 5191 2007.12.21 - Microsoft 1.3109 2007.12.22 Trojan:Win32/Vundo.gen!A NOD32v2 2740 2007.12.21 Win32/Adware.Virtumonde Norman 5.80.02 2007.12.21 W32/Virtumonde.IZU Panda 9.0.0.4 2007.12.22 Spyware/Virtumonde Prevx1 V2 2007.12.22 Trojan.Vundo Rising 20.23.51.00 2007.12.22 AdWare.Win32.Virtumonde.bjc Sophos 4.24.0 2007.12.22 Troj/Virtum-Gen Sunbelt 2.2.907.0 2007.12.21 - Symantec 10 2007.12.22 Trojan.Vundo TheHacker 6.2.9.167 2007.12.21 Adware/Virtumonde.bjc VBA32 3.12.2.5 2007.12.21 AdWare.Win32.Virtumonde.bjc VirusBuster 4.3.26:9 2007.12.21 Adware.Vundo.V.Gen Webwasher-Gateway 6.6.2 2007.12.22 Trojan.Vundo.DRT weitere Informationen File size: 85568 bytes MD5: 06373be8ec6f585585fecd5323bb57e1 SHA1: 3c1f590d4cc68ef62de5aeb727295959c3363424 PEiD: - Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=AA3363F0401FEE154E3801A69DD0DA001E229039 wnpmcs.exe : habe die exe-Datei suchen lassen, mit versteckten Dateien u Unterordnern und allem drum u dran! Aber nix gefunden! Nur die Aufführung aus der Lokdatei von Hijack und dann noch in zwei anderen Dateien, mit denen ich nichts weiter anfangen kann: CollectedData_4544.xml CollectedData_4813.xml Was meint ihr, kommen wir so meinem Problem ein wenig näher?? sorry, dass es so lange gedauert hat! Aber es ist das erste mal, dass ich son Schied hab und mich damit beschäftige! Gruß |
|
22.12.2007, 12:55
| #9 |
| | Neuer Trojaner??? Hallo, also als erstes kannst du dir ein gutes Cleaning Programm runterladen names "C-CLeaner" dann musst du in den abgesicherten Modus gehen und fixt mit HijackThis folgendes: Code:
ATTFilter R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
O2 - BHO: SWEETIE - {1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} - C:\PROGRA~1\MACROG~1\SWEETI~1\toolbar.dll (file missing)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: {db01a30e-7514-37eb-4784-d323cd043fe5} - {5ef340dc-323d-4874-be73-4157e03a10bd} - C:\WINDOWS\system32\bdktatiq.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.d ll (file missing)
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
O4 - HKLM\..\Run: [Windows Remote Launcher] wnpmcs.exe
O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\wjarzgne.dll
O2 - BHO: (no name) - {E425A88A-9461-46B2-8E78-34A1A4FC148F} - C:\WINDOWS\system32\mljgghi.dll
O20 - Winlogon Notify: mljgghi - C:\WINDOWS\SYSTEM32\mljgghi.dll
O20 - Winlogon Notify: wjarzgne - C:\WINDOWS\SYSTEM32\wjarzgne.dll
dort lässt du folgende Sachen durchlaufen: Code:
ATTFilter C:\WINDOWS\system32\wjarzgne.dll
C:\WINDOWS\system32\mljgghi.dll
EDIT: da war nochdigger wohl schneller^^ sorry |
|
| Themen zu Neuer Trojaner??? |
| adobe, aufgehängt, bho, browseui preloader, dateien, excel, fehlermeldung, google, hijack, hijackthis, hkus\s-1-5-18, internet explorer, kaspersky, launch, messenger, microsoft, problem, programme, registry, rundll, s-1-5-18, scan, security, security suite, software, system, trend micro, trojaner, trojaner?, urlsearchhook, windows xp, yahoo |
Hybrid-Darstellung
