Trojanerbefall -> HiJackThis

OpelVectra · 01.08.2008, 23:20

Hallo,
bin seit gestern dabei einen sehr stark befallenen Rechner von Viren, Trojanern etc zu befreien.
Nach diversen Bereinigungsaktionen komme ich jetzt leider mit dem Löschen eines Trojaners nicht weiter (wird scheinbar von Antivir und anderem Antivirenprogramm angezeigt, aber nicht löschbar).
Wäre super wenn ihr mir helfen könntet. Ich hab schon so viele Stunden verzweifelt versucht, was zu machen nur leider ohne Erfolg.

Schonmal danke

und hier ist mein Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:19:43, on 02.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\drivers\services.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\sm56hlpr.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\OSD.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\NewSoft\Presto! PVR\Monitor.exe
C:\Programme\WLAN Monitor\wlconfig.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\WINDOWS\system32\drivers\services.exe
C:\Dokumente und Einstellungen\ernest\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\dokumente und einstellungen\ernest\lokale einstellungen\anwendungsdaten\skimouq.exe
C:\WINDOWS\system32\drivers\services.exe
C:\Dokumente und Einstellungen\ernest\svchost.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\KSTART32.EXE
C:\Dokumente und Einstellungen\ernest\Startmenü\Programme\Autostart\userinit.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLacsd.exe
C:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
c:\opt\MBCASE\pm\bin\mcp.exe
C:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\cmd.exe
C:\opt\MBCASE\pm\bin\cmserver.exe
C:\WINDOWS\system32\cmd.exe
C:\opt\MBCASE\pm\bin\lic_srv.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.exe
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: {5367dc65-84fb-b07b-7724-143e357c7103} - {3017c753-e341-4277-b70b-bf4856cd7635} - C:\WINDOWS\system32\ujftck.dll
O2 - BHO: (no name) - {308fca8c-2a52-4b99-8ca7-ba9ea80816f8} - C:\WINDOWS\system32\qoMgggDv.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: (no name) - {FBF85A20-FF88-4C46-90FB-B023E5C4ECA0} - C:\WINDOWS\system32\wvUnMgfC.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: fdkowvbp - {7EB73DDA-FC6B-4064-8B30-89E6AE779699} - C:\WINDOWS\fdkowvbp.dll (file missing)
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Programme\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [HotkeyApp] "C:\Programme\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Programme\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Programme\Launch Manager\OSD.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [ChangeFilterMerit] C:\Programme\NewSoft\Presto! PVR\ChangeFilterMerit.exe
O4 - HKLM\..\Run: [Presto! PVR Monitor] C:\Programme\NewSoft\Presto! PVR\Monitor.exe
O4 - HKLM\..\Run: [wlconfig] "C:\Programme\WLAN Monitor\wlconfig.exe" -autostart
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKLM\..\Run: [winlogon] C:\Dokumente und Einstellungen\ernest\svchost.exe
O4 - HKLM\..\Run: [advap32] C:\WINDOWS\TEMP\zmmytgat.exe/r
O4 - HKLM\..\Run: [3cdb66dd] rundll32.exe "C:\WINDOWS\system32\ubxmmskw.dll",b
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [messengerskinner] C:\Programme\MessengerSkinner\MessengerSkinner.exe
O4 - HKCU\..\Run: [kkuaw] c:\dokumente und einstellungen\ernest\lokale einstellungen\anwendungsdaten\kkuaw.exe kkuaw
O4 - HKCU\..\Run: [skimouq] c:\dokumente und einstellungen\ernest\lokale einstellungen\anwendungsdaten\skimouq.exe skimouq
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Dokumente und Einstellungen\ernest\svchost.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [winlogon] C:\Dokumente und Einstellungen\LocalService\svchost.exe (User 'Default user')
O4 - Startup: Digitale Telefonauskunft auf CD-ROM - Schnellstarter.lnk = C:\Programme\KSTART32.EXE
O4 - Startup: userinit.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Photosmart Premier – Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5ed80217-570b-4da9-bf44-be107c0ec166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase5036.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1152203635296
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL ujftck.dll
O20 - Winlogon Notify: winctrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O20 - Winlogon Notify: wvUnMgfC - wvUnMgfC.dll (file missing)
O23 - Service: AccSys WiFi Component (accsvc) - AccSys GmbH - C:\Programme\Gemeinsame Dateien\AccSys\accsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Google Desktop Manager 5.7.802.22438 (GoogleDesktopManager-022208-143751) - Google - C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: ICF (icf) - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: konfig - Unknown owner - c:\opt\MBCASE\pm\bin\mcp (file missing)
O23 - Service: license - Unknown owner - c:\opt\MBCASE\pm\bin\mcp (file missing)
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: mcp - Unknown owner - c:\opt\MBCASE\pm\bin\mcp (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Taskplaner (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\services.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 12303 bytes

danke

Silent sharK · 01.08.2008, 23:30

Hallo und

,
ich machs kurz und knapp, zu der eigenen Sicherheit und weil es einfach sicherer ist => Neuaufsetzen ist da nötig.

Es laufen diverse, gefährliche Schadprogramme.
Zur genaueren Analyse, mache bitte folgendes:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

C:\WINDOWS\system32\drivers\services.exe
C:\Dokumente und Einstellungen\ernest\svchost.exe
C:\dokumente und einstellungen\ernest\lokale einstellungen\anwendungsdaten\skimouq.exe
C:\Dokumente und Einstellungen\LocalService\svchost.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Danach bitte, sofort den betroffenen Rechner vom Netz nehmen!
Bei den Dateien, die du zum Scannen hochladen sollst, handelt es vermutlich um gefährliche W32/Tilebot Varianten.

mfg

OpelVectra · 02.08.2008, 00:50

okay dankeschön

Datei svchost.exe empfangen 2008.08.02 00:53:27 (CET)
Status: Beendet

Ergebnis: 15/36 (41.67%)
Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.29.1 2008.08.01 -
AntiVir 7.8.1.15 2008.08.01 BDS/Agent.nyl
Authentium 5.1.0.4 2008.08.01 -
Avast 4.8.1195.0 2008.08.01 -
AVG 8.0.0.156 2008.08.01 BackDoor.Generic10.WG
BitDefender 7.2 2008.08.02 Win32.Worm.Socks.2
CAT-QuickHeal 9.50 2008.08.01 -
ClamAV 0.93.1 2008.08.01 -
DrWeb 4.44.0.09170 2008.08.01 -
eSafe 7.0.17.0 2008.07.29 Suspicious File
eTrust-Vet 31.6.6002 2008.08.02 -
Ewido 4.0 2008.08.01 -
F-Prot 4.4.4.56 2008.08.01 -
F-Secure 7.60.13501.0 2008.08.01 Backdoor.Win32.Agent.nyl
Fortinet 3.14.0.0 2008.08.01 -
GData 2.0.7306.1023 2008.08.02 Backdoor.Win32.Agent.nyl
Ikarus T3.1.1.34.0 2008.08.01 Virus.Win32.AutoRun.aiu
K7AntiVirus 7.10.402 2008.08.01 -
Kaspersky 7.0.0.125 2008.08.02 Backdoor.Win32.Agent.nyl
McAfee 5352 2008.08.01 BackDoor-DOQ
Microsoft 1.3704 2008.07.28 -
NOD32v2 3318 2008.08.01 a variant of Win32/Zalup
Norman 5.80.02 2008.08.01 W32/Smalldoor.CEKJ
Panda 9.0.0.4 2008.08.02 -
PCTools 4.4.2.0 2008.08.01 -
Prevx1 V2 2008.08.02 Cloaked Malware
Rising 20.55.42.00 2008.08.01 -
Sophos 4.31.0 2008.08.01 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.02 -
TheHacker 6.2.96.391 2008.07.31 -
TrendMicro 8.700.0.1004 2008.08.01 PAK_Generic.001
VBA32 3.12.8.2 2008.08.01 -
ViRobot 2008.8.1.1321 2008.08.01 -
VirusBuster 4.5.11.0 2008.08.01 Trojan.Sockrypt.Gen
Webwasher-Gateway 6.6.2 2008.08.01 Trojan.Backdoor.Agent.nyl
weitere Informationen
File size: 14336 bytes
MD5...: ff8964c8f5d252262d791d51888448c0
SHA1..: 9c0fb272ab6e65ab7655dfac8b9ee7d5d4fdc596
SHA256: 782493c1eec3bf3ef0f740d74f71bc17d188818469c96035283f1b25b1f66b7a
SHA512: a326141a448159d44f2855fec49f7bb29c90915c66c15da05cad6ac02ba9def8
a7a11d96ddaf7f819ee912366958e8df10f7c67e7ebb8b9657c14dc9defabd66
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x419c90
timedatestamp.....: 0x488ed55d (Tue Jul 29 08:31:25 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x16000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x17000 0x3000 0x2e00 7.87 2e5c96260f110b37d38ea94778fb020f
.rsrc 0x1a000 0x1000 0x600 2.19 53e4648bdec319cadd41a1e5341afc93

( 5 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: RegOpenKeyExA
> MSVCRT.dll: abs
> SHELL32.dll: SHGetFolderPathA
> USER32.dll: wsprintfA

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=FA079B7900133620380C002113189200B25EA529
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=ff8964c8f5d252262d791d51888448c0
packers (Kaspersky): PE_Patch.UPX, UPX
packers (F-Prot): UPX

Datei svchost.exe empfangen 2008.08.02 00:53:27 (CET)
Status: Beendet

Ergebnis: 15/36 (41.67%)
Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.29.1 2008.08.01 -
AntiVir 7.8.1.15 2008.08.01 BDS/Agent.nyl
Authentium 5.1.0.4 2008.08.01 -
Avast 4.8.1195.0 2008.08.01 -
AVG 8.0.0.156 2008.08.01 BackDoor.Generic10.WG
BitDefender 7.2 2008.08.02 Win32.Worm.Socks.2
CAT-QuickHeal 9.50 2008.08.01 -
ClamAV 0.93.1 2008.08.01 -
DrWeb 4.44.0.09170 2008.08.01 -
eSafe 7.0.17.0 2008.07.29 Suspicious File
eTrust-Vet 31.6.6002 2008.08.02 -
Ewido 4.0 2008.08.01 -
F-Prot 4.4.4.56 2008.08.01 -
F-Secure 7.60.13501.0 2008.08.01 Backdoor.Win32.Agent.nyl
Fortinet 3.14.0.0 2008.08.01 -
GData 2.0.7306.1023 2008.08.02 Backdoor.Win32.Agent.nyl
Ikarus T3.1.1.34.0 2008.08.01 Virus.Win32.AutoRun.aiu
K7AntiVirus 7.10.402 2008.08.01 -
Kaspersky 7.0.0.125 2008.08.02 Backdoor.Win32.Agent.nyl
McAfee 5352 2008.08.01 BackDoor-DOQ
Microsoft 1.3704 2008.07.28 -
NOD32v2 3318 2008.08.01 a variant of Win32/Zalup
Norman 5.80.02 2008.08.01 W32/Smalldoor.CEKJ
Panda 9.0.0.4 2008.08.02 -
PCTools 4.4.2.0 2008.08.01 -
Prevx1 V2 2008.08.02 Cloaked Malware
Rising 20.55.42.00 2008.08.01 -
Sophos 4.31.0 2008.08.01 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.02 -
TheHacker 6.2.96.391 2008.07.31 -
TrendMicro 8.700.0.1004 2008.08.01 PAK_Generic.001
VBA32 3.12.8.2 2008.08.01 -
ViRobot 2008.8.1.1321 2008.08.01 -
VirusBuster 4.5.11.0 2008.08.01 Trojan.Sockrypt.Gen
Webwasher-Gateway 6.6.2 2008.08.01 Trojan.Backdoor.Agent.nyl
weitere Informationen
File size: 14336 bytes
MD5...: ff8964c8f5d252262d791d51888448c0
SHA1..: 9c0fb272ab6e65ab7655dfac8b9ee7d5d4fdc596
SHA256: 782493c1eec3bf3ef0f740d74f71bc17d188818469c96035283f1b25b1f66b7a
SHA512: a326141a448159d44f2855fec49f7bb29c90915c66c15da05cad6ac02ba9def8
a7a11d96ddaf7f819ee912366958e8df10f7c67e7ebb8b9657c14dc9defabd66
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x419c90
timedatestamp.....: 0x488ed55d (Tue Jul 29 08:31:25 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x16000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x17000 0x3000 0x2e00 7.87 2e5c96260f110b37d38ea94778fb020f
.rsrc 0x1a000 0x1000 0x600 2.19 53e4648bdec319cadd41a1e5341afc93

( 5 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: RegOpenKeyExA
> MSVCRT.dll: abs
> SHELL32.dll: SHGetFolderPathA
> USER32.dll: wsprintfA

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=FA079B7900133620380C002113189200B25EA529
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=ff8964c8f5d252262d791d51888448c0
packers (Kaspersky): PE_Patch.UPX, UPX
packers (F-Prot): UPX

Datei svchost.exe empfangen 2008.08.02 00:53:27 (CET)
Status: Beendet

Ergebnis: 15/36 (41.67%)
Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.29.1 2008.08.01 -
AntiVir 7.8.1.15 2008.08.01 BDS/Agent.nyl
Authentium 5.1.0.4 2008.08.01 -
Avast 4.8.1195.0 2008.08.01 -
AVG 8.0.0.156 2008.08.01 BackDoor.Generic10.WG
BitDefender 7.2 2008.08.02 Win32.Worm.Socks.2
CAT-QuickHeal 9.50 2008.08.01 -
ClamAV 0.93.1 2008.08.01 -
DrWeb 4.44.0.09170 2008.08.01 -
eSafe 7.0.17.0 2008.07.29 Suspicious File
eTrust-Vet 31.6.6002 2008.08.02 -
Ewido 4.0 2008.08.01 -
F-Prot 4.4.4.56 2008.08.01 -
F-Secure 7.60.13501.0 2008.08.01 Backdoor.Win32.Agent.nyl
Fortinet 3.14.0.0 2008.08.01 -
GData 2.0.7306.1023 2008.08.02 Backdoor.Win32.Agent.nyl
Ikarus T3.1.1.34.0 2008.08.01 Virus.Win32.AutoRun.aiu
K7AntiVirus 7.10.402 2008.08.01 -
Kaspersky 7.0.0.125 2008.08.02 Backdoor.Win32.Agent.nyl
McAfee 5352 2008.08.01 BackDoor-DOQ
Microsoft 1.3704 2008.07.28 -
NOD32v2 3318 2008.08.01 a variant of Win32/Zalup
Norman 5.80.02 2008.08.01 W32/Smalldoor.CEKJ
Panda 9.0.0.4 2008.08.02 -
PCTools 4.4.2.0 2008.08.01 -
Prevx1 V2 2008.08.02 Cloaked Malware
Rising 20.55.42.00 2008.08.01 -
Sophos 4.31.0 2008.08.01 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.02 -
TheHacker 6.2.96.391 2008.07.31 -
TrendMicro 8.700.0.1004 2008.08.01 PAK_Generic.001
VBA32 3.12.8.2 2008.08.01 -
ViRobot 2008.8.1.1321 2008.08.01 -
VirusBuster 4.5.11.0 2008.08.01 Trojan.Sockrypt.Gen
Webwasher-Gateway 6.6.2 2008.08.01 Trojan.Backdoor.Agent.nyl
weitere Informationen
File size: 14336 bytes
MD5...: ff8964c8f5d252262d791d51888448c0
SHA1..: 9c0fb272ab6e65ab7655dfac8b9ee7d5d4fdc596
SHA256: 782493c1eec3bf3ef0f740d74f71bc17d188818469c96035283f1b25b1f66b7a
SHA512: a326141a448159d44f2855fec49f7bb29c90915c66c15da05cad6ac02ba9def8
a7a11d96ddaf7f819ee912366958e8df10f7c67e7ebb8b9657c14dc9defabd66
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x419c90
timedatestamp.....: 0x488ed55d (Tue Jul 29 08:31:25 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x16000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x17000 0x3000 0x2e00 7.87 2e5c96260f110b37d38ea94778fb020f
.rsrc 0x1a000 0x1000 0x600 2.19 53e4648bdec319cadd41a1e5341afc93

( 5 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: RegOpenKeyExA
> MSVCRT.dll: abs
> SHELL32.dll: SHGetFolderPathA
> USER32.dll: wsprintfA

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=FA079B7900133620380C002113189200B25EA529
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=ff8964c8f5d252262d791d51888448c0
packers (Kaspersky): PE_Patch.UPX, UPX
packers (F-Prot): UPX

Datei skimouq.exe empfangen 2008.08.02 01:46:27 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 2/36 (5.56%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.29.1 2008.08.01 -
AntiVir 7.8.1.15 2008.08.01 -
Authentium 5.1.0.4 2008.08.01 -
Avast 4.8.1195.0 2008.08.01 -
AVG 8.0.0.156 2008.08.01 -
BitDefender 7.2 2008.08.02 -
CAT-QuickHeal 9.50 2008.08.01 -
ClamAV 0.93.1 2008.08.02 -
DrWeb 4.44.0.09170 2008.08.01 -
eSafe 7.0.17.0 2008.07.29 -
eTrust-Vet 31.6.6002 2008.08.02 -
Ewido 4.0 2008.08.01 -
F-Prot 4.4.4.56 2008.08.01 -
F-Secure 7.60.13501.0 2008.08.01 -
Fortinet 3.14.0.0 2008.08.01 -
GData 2.0.7306.1023 2008.08.02 -
Ikarus T3.1.1.34.0 2008.08.02 Trojan.Win32.Skintrim.B
K7AntiVirus 7.10.402 2008.08.01 -
Kaspersky 7.0.0.125 2008.08.02 -
McAfee 5352 2008.08.01 -
Microsoft 1.3704 2008.07.28 Trojan:Win32/Skintrim.gen!B
NOD32v2 3318 2008.08.01 -
Norman 5.80.02 2008.08.01 -
Panda 9.0.0.4 2008.08.02 -
PCTools 4.4.2.0 2008.08.01 -
Prevx1 V2 2008.08.02 -
Rising 20.55.42.00 2008.08.01 -
Sophos 4.31.0 2008.08.02 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.02 -
TheHacker 6.2.96.391 2008.07.31 -
TrendMicro 8.700.0.1004 2008.08.01 -
VBA32 3.12.8.2 2008.08.01 -
ViRobot 2008.8.1.1321 2008.08.01 -
VirusBuster 4.5.11.0 2008.08.01 -
Webwasher-Gateway 6.6.2 2008.08.01 -
weitere Informationen
File size: 249856 bytes
MD5...: 74e9d686a60672ba02e283e03326c36d
SHA1..: c58662472c2b066c4fde0984e506431f7a540279
SHA256: a95a8ac3134084bafb875232a01cdab92e3c6a8f5e908ada1a0a32cce92dce14
SHA512: 952247a161e878c8f3c0f83036f42cb5cfc76bce83cf379cee8b36f85146ca6d
ee3a6038c5337ec8679fe5f5b9e71d8b431c0e62a1c8cd41609f8aebda2e60a3
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x401000
timedatestamp.....: 0x3f6d3c9a (Sun Sep 21 05:52:26 2003)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xc10 0x1000 5.40 35882da7e3f3706233db7f0ef16fd92b
.rdata 0x2000 0xb9e 0x1000 4.13 9c97c882611152eb1713fe9b9a7e521e
.data 0x3000 0x39319 0x3a000 7.37 6c92d3dcb95c903f6a25c28a4e46f39a

( 10 imports )
> KERNEL32.dll: _lclose, ScrollConsoleScreenBufferA, GetOverlappedResult, GetVersionExA, LeaveCriticalSection, SearchPathW, CreateDirectoryW, CreateIoCompletionPort, LocalLock, ClearCommBreak, ReleaseSemaphore, GetProcessHeap, CreateDirectoryExA, _lread, EnumResourceNamesA, GetBinaryTypeA, CreatePipe, GetDriveTypeW, GetStartupInfoA, GetSystemTime, GetShortPathNameW, FormatMessageA, GetModuleFileNameW, FreeResource, GlobalUnlock, SetCommMask, ExitProcess, TryEnterCriticalSection, GetCommandLineA, lstrlenA, VirtualAlloc, GetAtomNameA
> USER32.dll: GetSystemMetrics, LoadKeyboardLayoutA, CreateDialogParamA, GetDlgItemTextW, EnumWindowStationsW, MoveWindow, TranslateAcceleratorA, CallWindowProcW, GetUserObjectInformationW, GetWindowInfo, DrawIcon, SystemParametersInfoA, FillRect
> GDI32.dll: CreateFontA, PolylineTo, ExtFloodFill, SetBitmapBits, GetEnhMetaFilePaletteEntries, GetDIBColorTable, SetPolyFillMode, CreateRectRgnIndirect, GetCharWidth32W, GetDIBits, CreatePalette
> comdlg32.dll: ChooseColorA, GetFileTitleA, CommDlgExtendedError
> ADVAPI32.dll: LookupPrivilegeNameA, CryptGetProvParam, CryptGenRandom, RegEnumKeyA, BuildTrusteeWithSidW, RegQueryValueExW, OpenServiceA, QueryServiceObjectSecurity, ImpersonateSelf, QueryServiceConfigW, CryptReleaseContext
> SHELL32.dll: SHGetPathFromIDListA, ExtractIconExW
> ole32.dll: OleCreateFromData, OleLockRunning, StgCreateStorageEx, GetRunningObjectTable, CoReleaseMarshalData, ReadFmtUserTypeStg
> OLEAUT32.dll: -, -, -, -, -, -
> COMCTL32.dll: PropertySheetA, ImageList_GetImageCount, ImageList_Create
> SHLWAPI.dll: PathStripPathW, PathAppendW, PathRemoveArgsW, HashData, wnsprintfA, StrStrIA, PathGetCharTypeA, PathRemoveBlanksA, SHCopyKeyA, PathRelativePathToW, StrCmpNW, StrCatBuffA, SHStrDupW

( 0 exports )

Silent sharK · 02.08.2008, 00:53

Danke, das ist schonmal der GAU für den Rechner, fehlt nur noch das Super.

Spass beiseite.

Diese Datei noch bitte hochladen:

Zitat:

C:\WINDOWS\system32\drivers\services.exe

mfg

OpelVectra · 02.08.2008, 01:02

Datei services.exe_ empfangen 2008.08.02 01:59:44 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 15/36 (41.67%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 3.
Geschätzte Startzeit is zwischen 54 und 77 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.29.1 2008.08.01 -
AntiVir 7.8.1.15 2008.08.01 BDS/Agent.nyl
Authentium 5.1.0.4 2008.08.01 -
Avast 4.8.1195.0 2008.08.01 -
AVG 8.0.0.156 2008.08.01 BackDoor.Generic10.WG
BitDefender 7.2 2008.08.02 Win32.Worm.Socks.2
CAT-QuickHeal 9.50 2008.08.01 -
ClamAV 0.93.1 2008.08.02 -
DrWeb 4.44.0.09170 2008.08.01 -
eSafe 7.0.17.0 2008.07.29 Suspicious File
eTrust-Vet 31.6.6002 2008.08.02 -
Ewido 4.0 2008.08.01 -
F-Prot 4.4.4.56 2008.08.01 -
F-Secure 7.60.13501.0 2008.08.01 Backdoor.Win32.Agent.nyl
Fortinet 3.14.0.0 2008.08.01 -
GData 2.0.7306.1023 2008.08.02 Backdoor.Win32.Agent.nyl
Ikarus T3.1.1.34.0 2008.08.02 Virus.Win32.AutoRun.aiu
K7AntiVirus 7.10.402 2008.08.01 -
Kaspersky 7.0.0.125 2008.08.02 Backdoor.Win32.Agent.nyl
McAfee 5352 2008.08.01 BackDoor-DOQ
Microsoft 1.3704 2008.07.28 -
NOD32v2 3318 2008.08.01 a variant of Win32/Zalup
Norman 5.80.02 2008.08.01 W32/Smalldoor.CEKJ
Panda 9.0.0.4 2008.08.02 -
PCTools 4.4.2.0 2008.08.01 -
Prevx1 V2 2008.08.02 Cloaked Malware
Rising 20.55.42.00 2008.08.01 -
Sophos 4.31.0 2008.08.02 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.02 -
TheHacker 6.2.96.391 2008.07.31 -
TrendMicro 8.700.0.1004 2008.08.01 PAK_Generic.001
VBA32 3.12.8.2 2008.08.01 -
ViRobot 2008.8.1.1321 2008.08.01 -
VirusBuster 4.5.11.0 2008.08.01 Trojan.Sockrypt.Gen
Webwasher-Gateway 6.6.2 2008.08.01 Trojan.Backdoor.Agent.nyl
weitere Informationen
File size: 14336 bytes
MD5...: ff8964c8f5d252262d791d51888448c0
SHA1..: 9c0fb272ab6e65ab7655dfac8b9ee7d5d4fdc596
SHA256: 782493c1eec3bf3ef0f740d74f71bc17d188818469c96035283f1b25b1f66b7a
SHA512: a326141a448159d44f2855fec49f7bb29c90915c66c15da05cad6ac02ba9def8
a7a11d96ddaf7f819ee912366958e8df10f7c67e7ebb8b9657c14dc9defabd66
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x419c90
timedatestamp.....: 0x488ed55d (Tue Jul 29 08:31:25 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x16000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x17000 0x3000 0x2e00 7.87 2e5c96260f110b37d38ea94778fb020f
.rsrc 0x1a000 0x1000 0x600 2.19 53e4648bdec319cadd41a1e5341afc93

( 5 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree, ExitProcess
> ADVAPI32.dll: RegOpenKeyExA
> MSVCRT.dll: abs
> SHELL32.dll: SHGetFolderPathA
> USER32.dll: wsprintfA

( 0 exports )

ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=ff8964c8f5d252262d791d51888448c0
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=FA079B7900133620380C002113189200B25EA529
packers (Kaspersky): PE_Patch.UPX, UPX
packers (F-Prot): UPX

Silent sharK · 02.08.2008, 01:05

Okay, alles das selbe Zeug.

Ich hoffe für dich, das auf diesem Rechner kein Online Banking, etc. betrieben wird/wurde.
Hier die Anleitung zum sicheren Neuaufsetzen => Klick

Falls du noch Fragen hast, kannst du sie gerne stellen.

mfg

OpelVectra · 02.08.2008, 01:11

Okay vielen Dank für die Hilfe.
Onlinebanking wurde - zum Glück -keines betrieben. Aber wenn es so wäre, was hätte es dann jetzt für Auswirkungen haben können?

Also bleibt mir als einzige gute Möglichkeit das Neuaufsetzen..
Wenn ich mich dabei die ganze Zeit an das Beschriebene halte (datensicherung, etc.) wird es zu keinem Datenverlust kommen können, oder?

Und nochmal vielen Dank

Silent sharK · 02.08.2008, 01:16

Kein Problem

Zitat:

Onlinebanking wurde - zum Glück -keines betrieben. Aber wenn es so wäre, was hätte es dann jetzt für Auswirkungen haben können?

Im schlimmsten Fall wär das Konto leer.
Nebenbei spricht man von dem vorliegendem System auch von einer Technischen Kompromittierung (Siehe Link in Signatur).

Zitat:

Also bleibt mir als einzige gute Möglichkeit das Neuaufsetzen..

Leider ja.

Zitat:

Wenn ich mich dabei die ganze Zeit an das Beschriebene halte (datensicherung, etc.) wird es zu keinem Datenverlust kommen können, oder?

Kommt darauf an, welche Art von Daten du sichern willst.
Ausführbare Dateien gehören definitiv nicht zu einer Datensicherung.

Das heißt, nur Dokumente, Bilder, Musikdateien.
Videos sind eher heikel.

mfg

OpelVectra · 02.08.2008, 01:24

...und wie sähe es mit mozilla thunderbird aus?
wären die email dateien gelöscht oder würde die datensicherung auch hier helfen?

Trojanerbefall -> HiJackThis

Log-Analyse und Auswertung: Trojanerbefall -> HiJackThis