Hallo Ihr,


ich brauche dringend Hilfe. Habe mir den Trojaner TR/Dldr.ConHook.SM eingefangen und bekomme ihn trotz Einsatzes verschiedener Schädlingsbekämpfer nicht mehr weg.
AntiVir blinkt alle zwei Minuten auf und sagt, es habe ihn gefunden, klicke ich auf löschen etc. tut sich nichts , im gegenteil nach ein paar Sekunden geht es wieder von vorn los.
Auffällig ist, das auch Norton kapituliert und der Zugriff des Erasers auf die Dateien verweigert wird, angeblich hat der Aministrator dieses deaktiviert
Anbei mein logfile von Hijackthis:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:14:27, on 03.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\Programme\COMODO\Firewall\cmdagent.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\Programme\Spyware Doctor\pctsSvc.exe
C:\Programme\Spyware Doctor\pctsTray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\COMODO\Firewall\cfp.exe
C:\Programme\Java\jre1.6.0_04\bin\jusched.exe
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.BIN
C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\Java\jre1.6.0_04\bin\jucheck.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

O3 - Toolbar: gktxaspm - {AE7C2D7A-58B4-4DDD-904F-E089A9514E0F} - C:\WINDOWS\gktxaspm.dll
O3 - Toolbar: Norton-Symbolleiste anzeigen - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\2.0\CoIEPlg.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programme\COMODO\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_04\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [b4846fe8] rundll32.exe "C:\WINDOWS\system32\abrlxdut.dll",b
O4 - HKLM\..\Run: [BMb7b75c74] Rundll32.exe "C:\WINDOWS\system32\jqciefvh.dll",s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AntispywareBot] C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Programme\COMODO\Firewall\cmdagent.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe

--
End of file - 6362 bytes


Ich hoffe jemand kann mir helfen

Mooseoiler33

Tönt nich schön

Hallo erstmal

Also bitte fixe mit HijackThis folgende Einträge:

O3 - Toolbar: gktxaspm - {AE7C2D7A-58B4-4DDD-904F-E089A9514E0F} - C:\WINDOWS\gktxaspm.dll
O4 - HKLM\..\Run: [b4846fe8] rundll32.exe "C:\WINDOWS\system32\abrlxdut.dll",b
O4 - HKLM\..\Run: [BMb7b75c74] Rundll32.exe "C:\WINDOWS\system32\jqciefvh.dll",s
O4 - HKCU\..\Run: [AntispywareBot] C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot

Wurde dir zu Bekämpfung per Zufall ein Programm angeboten das du gedownloadet hast? Wenn ja könnte es sein das es AntispywareBot geheissen hat

Bitte lade folgende Dateien bei Jotti oder Virustotal hoch und poste die Ergebniss

C:\WINDOWS\gktxaspm.dll
C:\WINDOWS\system32\abrlxdut.dll
C:\WINDOWS\system32\jqciefvh.dll
C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot

Bitte lade dir anschliessend das Tool ComboFix und wende es entsprechen Anleitung an und poste den Report, danke

Hallo Erstmal,

ich möchte mich vorweg für die schnelle und kompente Antwort bedanken. Es ist wirklich schön zu sehen, dass es noch Menschen gibt, die versuchen zu helfen! Dafür einen ganz großen Daumen hoch!! Ich habe die Anweisungen nach besten Wissen und Gewissen befolgt und hier sind die Resultate:


A. Datei Scan bei Virustotal:

1. Datei

Datei gktxaspm.dll empfangen 2008.06.05 10:30:18 (CET)


Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 17/32 (53.13%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.30.1 2008.06.05 -
AntiVir 7.8.0.26 2008.06.05 ADSPY/AdSpy.Gen
Authentium 5.1.0.4 2008.06.04 W32/Adware-Vapsup!Maximus
Avast 4.8.1195.0 2008.06.05 -
AVG 7.5.0.516 2008.06.04 Downloader.Zlob.SE
BitDefender 7.2 2008.06.05 -
CAT-QuickHeal 9.50 2008.06.04 -
ClamAV 0.92.1 2008.06.04 -
DrWeb 4.44.0.09170 2008.06.05 -
eSafe 7.0.15.0 2008.06.04 -
eTrust-Vet 31.6.5849 2008.06.05 Win32/Pripecs!generic
Ewido 4.0 2008.06.04 Trojan.Vapsup.frw
F-Prot 4.4.4.56 2008.06.04 W32/Adware-Vapsup!Maximus
F-Secure 6.70.13260.0 2008.06.05 Trojan.Win32.Vapsup.frw
Fortinet 3.14.0.0 2008.06.05 -
GData 2.0.7306.1023 2008.06.05 Trojan.Win32.Vapsup.frw
Ikarus T3.1.1.26.0 2008.06.05 AdWare.AdSpy
Kaspersky 7.0.0.125 2008.06.05 Trojan.Win32.Vapsup.frw
McAfee 5310 2008.06.04 -
Microsoft 1.3604 2008.06.05 Trojan:Win32/Zlob.C
NOD32v2 3159 2008.06.05 -
Norman 5.80.02 2008.06.04 -
Panda 9.0.0.4 2008.06.05 -
Prevx1 V2 2008.06.05 Malware Downloader
Rising 20.47.30.00 2008.06.05 Trojan.DL.Win32.Zlob.gbo
Sophos 4.30.0 2008.06.05 -
Sunbelt 3.0.1145.1 2008.06.05 Adware.NetAdware.Gen
Symantec 10 2008.06.05 -
TheHacker 6.2.92.335 2008.06.05 Trojan/Vapsup.frw
VBA32 3.12.6.7 2008.06.04 Trojan.Win32.Vapsup.frw
VirusBuster 4.3.26:9 2008.06.04 -
Webwasher-Gateway 6.6.2 2008.06.05 Ad-Spyware.AdSpy.Gen


2. Datei

Datei abrlxdut.dll empfangen 2008.06.05 10:35:08 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 16/32 (50%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.30.1 2008.06.05 -
AntiVir 7.8.0.26 2008.06.05 ADSPY/Virtumonde.xmw
Authentium 5.1.0.4 2008.06.04 -
Avast 4.8.1195.0 2008.06.05 Win32:Vundo@dll
AVG 7.5.0.516 2008.06.04 Generic10.AHPK
BitDefender 7.2 2008.06.05 Trojan.Vundo.EQW
CAT-QuickHeal 9.50 2008.06.04 Trojan.Vundo.gen
ClamAV 0.92.1 2008.06.04 -
DrWeb 4.44.0.09170 2008.06.05 -
eSafe 7.0.15.0 2008.06.04 -
eTrust-Vet 31.6.5849 2008.06.05 Win32/Nisrest.AC
Ewido 4.0 2008.06.04 -
F-Prot 4.4.4.56 2008.06.04 -
F-Secure 6.70.13260.0 2008.06.05 -
Fortinet 3.14.0.0 2008.06.05 -
GData 2.0.7306.1023 2008.06.05 Win32:Vundo
Ikarus T3.1.1.26.0 2008.06.05 Virus.Win32.Vundo@dll
Kaspersky 7.0.0.125 2008.06.05 not-a-virus:AdWare.Win32.Virtumonde.xmw
McAfee 5310 2008.06.04 -
Microsoft 1.3604 2008.06.05 Trojan:Win32/Vundo.gen!E
NOD32v2 3159 2008.06.05 Win32/Adware.Virtumonde
Norman 5.80.02 2008.06.04 -
Panda 9.0.0.4 2008.06.05 -
Prevx1 V2 2008.06.05 Fraudulent Security Program
Rising 20.47.30.00 2008.06.05 -
Sophos 4.30.0 2008.06.05 Troj/ConHook-AN
Sunbelt 3.0.1145.1 2008.06.05 -
Symantec 10 2008.06.05 Trojan.Adclicker
TheHacker 6.2.92.335 2008.06.05 Adware/Virtumonde.xmw
VBA32 3.12.6.7 2008.06.04 -
VirusBuster 4.3.26:9 2008.06.04 -
Webwasher-Gateway 6.6.2 2008.06.05 Ad-Spyware.Virtumonde.xmw


3. Datei
Datei jqciefvh.dll empfangen 2008.06.05 10:37:31 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 5/32 (15.63%)

Authentium 5.1.0.4 2008.06.04 -
Avast 4.8.1195.0 2008.06.05 Win32:Vundo@dll
AVG 7.5.0.516 2008.06.04 -
BitDefender 7.2 2008.06.05 -
CAT-QuickHeal 9.50 2008.06.04 -
ClamAV 0.92.1 2008.06.04 -
DrWeb 4.44.0.09170 2008.06.05 -
eSafe 7.0.15.0 2008.06.04 -
eTrust-Vet 31.6.5849 2008.06.05 -
Ewido 4.0 2008.06.04 -
F-Prot 4.4.4.56 2008.06.04 -
F-Secure 6.70.13260.0 2008.06.05 -
Fortinet 3.14.0.0 2008.06.05 -
GData 2.0.7306.1023 2008.06.05 Win32:Vundo
Ikarus T3.1.1.26.0 2008.06.05 -
Kaspersky 7.0.0.125 2008.06.05 -
McAfee 5310 2008.06.04 -
Microsoft 1.3604 2008.06.05 Trojan:Win32/Vundo.EL
NOD32v2 3159 2008.06.05 -
Norman 5.80.02 2008.06.04 -
Panda 9.0.0.4 2008.06.05 -
Prevx1 V2 2008.06.05 Fraudulent Security Program
Rising 20.47.30.00 2008.06.05 -
Sophos 4.30.0 2008.06.05 -
Sunbelt 3.0.1145.1 2008.06.05 -
Symantec 10 2008.06.05 -
TheHacker 6.2.92.335 2008.06.05 -
VBA32 3.12.6.7 2008.06.05 -
VirusBuster 4.3.26:9 2008.06.04 -
Webwasher-Gateway 6.6.2 2008.06.05 Win32.Malware.gen (suspicious)

4. Datei

Konnte ich leider nicht finden :-(. Habe nur Spywarebot.exe gefunden ohne -boot hintendran.


B. ComboFix

ging bei mir nicht . Habe Antivir, Meine Firewall und Norton, Spyware Dr. deaktiviert. Trotzdem lädet Combofix nur ganz kurz undes passiert nichts:-(

Die gute Nachricht ist, dass ich immerhin meinen taskmanager wiederherstellen konnte;-)

Hoffe meine logfiles helfen weiter.

Mooseoiler

Sehr gut

Das mit Spywarebot.exe ist ok lade sie hoch und poste das Ergebnis

ComboFix:
Bitte lade dir ComboFix nochmals neu herunter und lösche alles was du vorher gedownloadet hast! Speichere sie auf dem Desktop und versuchs nochmal
Beim ganzen Prozess Guards und Firewall abstellen.

Anleitung Avenger:

1.) Lade dir das Tool Avanger und speichere es auf dem Desktop:

2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:
files to delete:
C:\WINDOWS\gktxaspm.dll
C:\WINDOWS\system32\abrlxdut.dll
C:\WINDOWS\system32\jqciefvh.dll

3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.

4.) Danach das System unverzüglich neu starten lassen

5.) Poste den Inhalt der C:\avenger.txt Datei.

Nun holst du dir das Tool VundoFix
und arbeitest folgende Schritte ab:

* Doppelklick VundoFix.exe
* Klicke "Scan" --> Vundo button.
* Nach dem Scannen, klicke den "Remove" Vundo button.
* Man wird nun gefragt, ob man "fixvundo" will --> klicke YES
* Danach werden alle Desktop-Symbole verschwinden
* Dann wird man gefragt, ob der PC neustarten soll --> klicke OK.
*C:\VundoFix Backups - löschen + Papierkorb leeren

Nun holst du dir eScan und folgst einfach der Anleitung

Bringt dir Anti-Vir immer noch alle paar min. die Meldung?

Hallo und DANKE :aplaus:,


leider zeigt AntiVir immer noch die Fehlermeldung. VundoFix hat nichts gefunden, EScan auch nichts und Avenger hat alles gelöscht laut eigener Aussage. Nun bin ich ein wenig ratlos wo das "Miststück" herkommt. Bzw. warum es immer noch da ist. Danke trotzdem für eure Hilfe und die wirklich kompetenten Tips!!

Mooseoiler

Ich denke nicht das dein System wieder gereinigt wurde durch escan oder Vundofix...


Versuche mal folgendes:



Malwarebytes' Anti-Malware

• Lies dir die Entfernungsanleitung durch und lass alles entfernen was gefunden wurde:

• Download von Malwarebytes' Anti-Malware

AUS AUS DAS DER TROJANER IST AUS......:aplaus:

Vielen Dank der letzte Tipp war ein absoluter Volltreffer in jeder Hinsicht! Antivir findet ihn nicht/nie/nirgendwo mehr! Ich beadanke mich von ganzem Herzen für die Hilfe von eurer Kompetenten Seite!!! Natürlich wünsche ich allen hier eine spannende Euro 08 und sage bis bald!!!


Mooseoiler

Mein Gott bitte schlagt mich
Eigentlich rate ich immer von anfang an zu Malwarebytes und dieses Mal vergess ich es komplett
Danke Sunny