| |
| |||||||
Log-Analyse und Auswertung: Virtumonde weg, Vundo wieder da, iexplore.exe und MS Juan RegKey hartnäckigWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
12.07.2008, 19:20
| #1 |
| |  Virtumonde weg, Vundo wieder da, iexplore.exe und MS Juan RegKey hartnäckig Hallo! Toll, dass es dieses Forum gibt! Ich habe mir vor ein zwei Tage etwas eingefangen. Mit der neusten Version von Spybot konnte ich Virtumonde finden und vernichten  , ist seitdem nicht mehr aufgetaucht.Dann habe ich noch mal Malwarebytes' laufen lassen, das hat noch so einiges vom Vundo-Trojaner aufgedeckt. Habe ich natürlich entfernen lassen, und dann war's auch weg (hab auch Vundofix mehrmals ohne Ergebnis laufen lassen). Beim letzten Scan gerade waren allerdings wieder ein paar Dateien dabei. Was sich hartnäckig hält, ist das Problem mit dem iexplore.exe-Prozess, der nach Beendung immer wieder auftaucht, samt hin und wieder Werbepop-ups. Ebenso der Registry Key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan", der bei jedem Scan wieder da ist (nach Neustart jedenfalls, hab jetzt nicht im Kopf, ob ich auch mal zwei Mal ohne Neustart gescannt hab...). Hab schon die anderen Threads zu dem Thema gelesen, aber ohne einen speziellen Tipp komm ich selbst nicht weiter. Hier erst mal das Log meiner letzten Malwarebytes'-Aktion: Code:
ATTFilter Malwarebytes' Anti-Malware 1.20
Datenbank Version: 941
Windows 5.1.2600 Service Pack 2
19:43:31 12.07.2008
mbam-log-7-12-2008 (19-43-31).txt
Scan Art: Komplett Scan (C:\|D:\|E:\|)
Objekte gescannt: 140592
Scan Dauer: 49 minute(s), 13 second(s)
Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4
Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)
Infizierte Speicher Module:
(Keine Malware Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)
Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)
Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)
Infizierte Dateien:
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temp\jkkHXPGX.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temp\jkkIBUon.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{595D2CB6-6E96-420B-91FF-42CFD364B4D8}\RP135\A0046701.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{595D2CB6-6E96-420B-91FF-42CFD364B4D8}\RP135\A0046702.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 19:46:30, on 12.07.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\XpertVision\TBPanel.exe C:\meinName\Internetprogramme\SpyBot1-6\Spybot - Search & Destroy\TeaTimer.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\FSI\F-Prot\fpavupdm.exe C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\system32\udG7Dl7w.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\meinName\Internetprogramme\HijackThis\HjT2-0-2.exe O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: {e4b4f41e-4616-0f9b-1d94-75077a9390f1} - {1f0939a7-7057-49d1-b9f0-6164e14f4b4e} - C:\WINDOWS\system32\npfirj.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\meinName\INTERN~1\SPYBOT~2\SPYBOT~1\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [amd_dc_opt] C:\Programme\AMD\Dual-Core Optimizer\amd_dc_opt.exe O4 - HKLM\..\Run: [Gainward] C:\Programme\XpertVision\TBPanel.exe /A O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\meinName\Internetprogramme\SpyBot1-6\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\Run: [MSServer] rundll32.exe C:\DOKUME~1\LOCALS~1\LOKALE~1\Temp\jkkHXPGX.dll,#1 (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\andreas\INTERN~1\SPYBOT~2\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\meinName\INTERN~1\SPYBOT~2\SPYBOT~1\SDHelper.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/DE-DE/a-UNO1/GAME_UNO1.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: F-Prot Antivirus Update Monitor - FRISK Software - C:\Programme\FSI\F-Prot\fpavupdm.exe O23 - Service: T-Online WLAN Adapter Steuerungsdienst (MZCCntrl) - Deutsche Telekom AG, Marmiko IT-Solutions GmbH - C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe -- End of file - 4607 bytes  PS: Einfach eine Systemwiederherstellung ist wahrscheinlich kein Mittel gegen sowas...? |
| Themen zu Virtumonde weg, Vundo wieder da, iexplore.exe und MS Juan RegKey hartnäckig |
| adobe, antivirus, bho, einstellungen, entfernen, explorer, gainward, hijack, hkus\s-1-5-18, iexplore.exe, immer wieder, internet, internet explorer, logfile, malware.trace, malwarebytes' anti-malware, monitor, neustart, problem, prozesse, quara, registrierungsschlüssel, registry, registry key, rundll, scan, software, system, t-online, temp, virtumonde, vundo, windows xp, wlan |
Baum-Darstellung