| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: StorageprotectorWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
16.02.2008, 14:16
| #1 |
 |  Storageprotector Hallo, ich weiss es gibt ca. 1000 Threads zu diesem Thema, aber keiner hat wir wirkich weiter geholfen. Meine Probleme sind vor allem Werbe popups, schlechtere rechner leistung und die immer wieder kehrenden symbole auf dem desktop "Help & Supportcenter" und "Windows Update". Ich habe mich jetzt mal am Thread von Antrax orientiert und wie Chris4you beschrieben hat zwei logs erstellt. 1. Combofix 2. HJthis 1. Code:
ATTFilter ComboFix 08-02-12.1 - *** 2008-02-11 23:12:27.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.159 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\***\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\WINDOWS\system32\awvvv.dll
C:\WINDOWS\system32\nnnmjif.dll
C:\Dokumente und Einstellungen\***\Anwendungsdaten\STEM~1
C:\Dokumente und Einstellungen\***\Anwendungsdaten\STEM~1\??stem\
C:\Dokumente und Einstellungen\***\Anwendungsdaten\STEM~1\tracert.exe
C:\Dokumente und Einstellungen\***\Startmenü\Programme\Outerinfo
C:\Dokumente und Einstellungen\***\Startmenü\Programme\Outerinfo\Terms.lnk
C:\Dokumente und Einstellungen\***\Startmenü\Programme\Outerinfo\Uninstall.lnk
C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\NetMon
C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\NetMon\domains.txt
C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\NetMon\log.txt
C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\NetMon
C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\NetMon\domains.txt
C:\Dokumente und Einstellungen\NetworkService\Anwendungsdaten\NetMon\log.txt
C:\Programme\Gemeinsame Dateien\Yazzle1281OinAdmin.exe
C:\Programme\Gemeinsame Dateien\Yazzle1281OinUninstaller.exe
C:\Programme\network monitor
C:\Programme\network monitor\netmon.exe
C:\Programme\outerinfo
C:\Programme\outerinfo\FF\chrome.manifest
C:\Programme\outerinfo\FF\components\FF.dll
C:\Programme\outerinfo\FF\components\OuterinfoAds.xpt
C:\Programme\outerinfo\FF\install.rdf
C:\Programme\outerinfo\Terms.rtf
C:\Temp\1cb
C:\Temp\1cb\syscheck.log
C:\Temp\isgTi19
C:\Temp\isgTi19\lPig.log
C:\WINDOWS\mrofinu1000106.exe
C:\WINDOWS\mrofinu572.exe
C:\WINDOWS\ssembl~1
C:\WINDOWS\ssembl~1\w?aclt.exe
C:\WINDOWS\system32\aojcetjp.dll
C:\WINDOWS\system32\atmtd.dll
C:\WINDOWS\system32\atmtd.dll._
C:\WINDOWS\system32\awvvv.dll
C:\WINDOWS\system32\cofmoddl.ini
C:\WINDOWS\system32\gcjhgnne.dll
C:\WINDOWS\system32\gcjhgnne.dll . . . . Nicht in der Lage zu löschen
C:\WINDOWS\system32\gcjhgnne.dllbox
C:\WINDOWS\system32\gebyxus.dll
C:\WINDOWS\system32\lddomfoc.dll
C:\WINDOWS\system32\nGpxx01
C:\WINDOWS\system32\nGpxx01\nGpxx011065.exe
C:\WINDOWS\system32\nnnmjif.dll
C:\WINDOWS\system32\oeebcuit.dll
C:\WINDOWS\system32\p1
C:\WINDOWS\system32\p1\liamdll2.exe
C:\WINDOWS\system32\pac.txt
C:\WINDOWS\system32\q9
C:\WINDOWS\system32\q9\liopud89104.exe
C:\WINDOWS\system32\qudebsn.dll
C:\WINDOWS\system32\vvvwa.ini
C:\WINDOWS\system32\vvvwa.ini2
C:\WINDOWS\system32\windows
C:\WINDOWS\uninstall_nmon.vbs
C:\WINDOWS\UnVkaQ\
C:\WINDOWS\UnVkaQ\\asappsrv.dll
C:\WINDOWS\UnVkaQ\\command.exe
C:\WINDOWS\UnVkaQ\\oBp4uk.vbs
C:\WINDOWS\UnVkaQ\command.exe
.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.
-------\LEGACY_CMDSERVICE
-------\LEGACY_NETWORK_MONITOR
-------\cmdService
-------\Network Monitor
((((((((((((((((((((((( Dateien erstellt von 2008-01-12 bis 2008-02-12 ))))))))))))))))))))))))))))))
.
2008-02-12 23:28 . 2008-02-12 23:28 14,033 --a------ C:\posFC.tmp
2008-02-11 18:24 . 2008-02-12 23:26 163,904 --a------ C:\WINDOWS\system32\gcjhgnne.dll
2008-02-11 18:12 . 2008-02-12 23:14 <DIR> d-------- C:\Temp
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-10-09 14:31 17,976,688 ----a-w C:\Programme\Install_Messenger.exe
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{66F9F6A1-1840-4967-B454-03F9C59963CA}]
2008-02-08 02:07 217088 --a------ C:\Programme\Online Services\niwuzylev89104.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{A95B2816-1D7E-4561-A202-68C0DE02353A}]
2008-02-12 23:26 163904 --a------ C:\WINDOWS\system32\gcjhgnne.dll
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-09-27 18:39 68856]
"MsnMsgr"="C:\Programme\MSN Messenger\MsnMsgr.exe" [2007-01-19 11:55 5674352]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-03 23:57 15360]
"Tpce"="C:\DOKUME~1\***\ANWEND~1\STEM~1\tracert.exe" [ ]
"Imyyfzcy"="C:\WINDOWS\?ssembly\w?aclt.exe" [ ]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2006-10-22 11:22 7700480]
"nwiz"="nwiz.exe" [2006-10-22 11:22 1622016 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 11:22 86016]
"GrooveMonitor"="C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 23:47 31016]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-03 23:57 15360]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\gcjhgnne]
gcjhgnne.dll 2008-02-12 23:26 163904 C:\WINDOWS\system32\gcjhgnne.dll
R3 als4k;Avance Audio Miniport Driver (WDM);C:\WINDOWS\system32\drivers\als4000.sys [2001-10-22 11:46]
S3 MSControlService;Microsoft cache control;C:\WINDOWS\system32\windows []
.
**************************************************************************
catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, h**p://www.gmer.net
Rootkit scan 2008-02-12 23:29:39
Windows 5.1.2600 Service Pack 2 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostart Eintr„ge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\gcjhgnne.dll
PROCESS: C:\WINDOWS\explorer.exe [6.00.2900.2180]
-> C:\WINDOWS\system32\gcjhgnne.dll
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\System32\nvsvc32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-02-12 23:30:44 - machine was rebooted
ComboFix-quarantined-files.txt 2008-02-12 22:30:33
Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:08:12, on 13.02.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Dokumente und Einstellungen\***\Desktop\HIJACK\HiJackThis\HijackThis.exe O2 - BHO: (no name) - {66F9F6A1-1840-4967-B454-03F9C59963CA} - C:\Programme\Online Services\niwuzylev89104.dll O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\gcjhgnne.dll (file missing) O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe" O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Tpce] "C:\DOKUME~1\***\ANWEND~1\STEM~1\tracert.exe" -vt yazb O4 - HKCU\..\Run: [Imyyfzcy] C:\WINDOWS\?ssembly\w?aclt.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL O20 - Winlogon Notify: gcjhgnne - gcjhgnne.dll (file missing) O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: Microsoft cache control (MSControlService) - Unknown owner - C:\WINDOWS\system32\windows O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe -- End of file - 3873 bytes |
|
16.02.2008, 14:58
| #2 | ||
| | Storageprotector Hi,
__________________gehe auf die Seite VirusTotal.com und lasse folgende Dateien dort auswerten ( Vergiss den Bericht bitte nicht zu Posten <- Wichtig! ) Zitat:
öffne HijackThis, klicke den Button "Scan" und mache anschließend vor folgende Eintrag ein häckchen. Zitat:
__________________ Geändert von 11Boy11 (16.02.2008 um 15:04 Uhr) |
|
16.02.2008, 15:51
| #3 | |||
| | StorageprotectorZitat:
Zitat:
Zitat:
|
|
16.02.2008, 15:58
| #4 |
| | Storageprotector Hi, der Bericht ist A) nicht vollständig, und B) nicht von allen 3 genannten Dateien.
__________________ Gruß 11Boy  |
|
16.02.2008, 16:28
| #5 |
| | Storageprotector So hier die richtigen logs: niwuzylev89104.dll Code:
ATTFilter Datei niwuzylev89104.dll empfangen 2008.02.16 16:03:27 (CET)
Status: Beendet
Ergebnis: 9/32 (28.13%)
Antivirus Version letzte
aktualisierung Ergebnis
AhnLab-V3 2008.2.16.10 2008.02.15 Win-AppCare/Ttc.217088
AntiVir 7.6.0.67 2008.02.15 ADSPY/TTC.D.1
Authentium 4.93.8 2008.02.15 -
Avast 4.7.1098.0 2008.02.15 -
AVG 7.5.0.516 2008.02.15 Adware Generic2.ABNX
BitDefender 7.2 2008.02.16 -
CAT-QuickHeal None 2008.02.16 -
ClamAV 0.92.1 2008.02.16 -
DrWeb 4.44.0.09170 2008.02.16 -
eSafe 7.0.15.0 2008.02.14 -
eTrust-Vet 31.3.5541 2008.02.15 -
Ewido 4.0 2008.02.16 -
FileAdvisor 1 2008.02.16 -
Fortinet 3.14.0.0 2008.02.16 Adware/TTC
F-Prot 4.4.2.54 2008.02.15 -
F-Secure 6.70.13260.0 2008.02.15 -
Ikarus T3.1.1.20 2008.02.16 AdWare.TTC.D.1
Kaspersky 7.0.0.125 2008.02.16 not-a-virus:AdWare.Win32.TTC.d
McAfee 5231 2008.02.15 -
Microsoft 1.3204 2008.02.16 -
NOD32v2 2880 2008.02.15 -
Norman 5.80.02 2008.02.15 W32/TTC.FM
Panda 9.0.0.4 2008.02.16 -
Prevx1 V2 2008.02.16 -
Rising 20.31.50.00 2008.02.16 -
Sophos 4.26.0 2008.02.16 -
Sunbelt 2.2.907.0 2008.02.14 -
Symantec 10 2008.02.16 -
TheHacker 6.2.9.221 2008.02.15 -
VBA32 3.12.6.1 2008.02.14 AdWare.Win32.TTC.d
VirusBuster 4.3.26:9 2008.02.15 -
Webwasher-Gateway 6.6.2 2008.02.15 Ad-Spyware.TTC.D.1
weitere Informationen
File size: 217088 bytes
MD5: b503903356b904c1b7ead57c348a3377
Filter
SHA1: a2a61da03b0576491fb811732ebcdb7c92053a79
PEiD: -
HJ log kommt noch |
|
16.02.2008, 17:57
| #6 | |
| | StorageprotectorZitat:
|
|
16.02.2008, 18:01
| #7 | |
| | StorageprotectorZitat:
|
|
16.02.2008, 18:07
| #8 | |
| | Storageprotector so wie könnte ich weiter vorgehen? Zitat:
|
|
17.02.2008, 09:27
| #9 | |
| /// AVZ-Toolkit Guru   | Storageprotector Anleitung Avenger: 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein: Zitat:
 4.) Danach das System unverzüglich neu starten lassen 5.) Lass eScan nochmal laufen, erstelle und poste ein neues Logfile. Poste ausserdem den Inhalt der C:\avenger.txt Datei.
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
17.02.2008, 09:28
| #10 |
| /// AVZ-Toolkit Guru | StorageprotectorAnleitung SuperAntiSpyware
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
17.02.2008, 11:56
| #11 | |
| | Storageprotector hi, das problem ist einfach, dass ich die dateien: Zitat:
diese dateien sind auf meinem pc..ansonsten versuche ich mal Ihre anweisungen. danke |
|
17.02.2008, 12:06
| #12 | |
| | Storageprotector Hey ich bins nochmal. Also ich habe versucht den Avenger laufen zu lasse aber zeigte Zitat:
 |
|
17.02.2008, 20:38
| #13 | |
| /// AVZ-Toolkit Guru | Storageprotector Hallöle. a) Wenn du nach einer Datei suchen möchtest dann tue das bitte wie in meiner Signatur beschrieben. b) Avenger: du musst das komplette Texfeld Zitat:
Danach folge bitte der Anleitung zu SuperAntiSpyware.
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
16.03.2008, 17:45
| #14 | ||
| | Storageprotector So..sorry dass cih nicht geantworte habe, aber musste mich auf mein Abitur vorbereiten. Hier ist das logfile SUPERAntiSpyware. Zitat:
Zitat:
|
|
17.03.2008, 18:57
| #15 |
| /// AVZ-Toolkit Guru | Storageprotector 1) Deaktiviere die Systemwiederherstellung auf allen Laufwerken. 2) Lösche die SUPERAntiSpyware Quarantäne. Starte den Rechner neu und beobachte ob sich weitere Probleme zeigen..
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
| Themen zu Storageprotector |
| bho, browser, components, ctfmon.exe, desktop, einstellungen, google, helfen, help, helper, hijack, hijackthis, hkus\s-1-5-18, immer wieder, internet, internet explorer, logfile, malware, nvidia, popups, programme, rundll, s-1-5-18, scan, senden, software, system, temp, werbe popups, windows, windows xp, windows\system32\drivers, winlogon |
Linear-Darstellung
