| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Virtumonde ja oder nein??Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
27.08.2008, 19:16
| #1 |
 |  Virtumonde ja oder nein?? Hallo, Seit mehreren Tagen habe ich das Problem, dass einerseits verschiedene Internet Seiten wie schülervz.net oder auch die Suche mit Google nicht mehr funktionieren ("warten auf google.de/schülervz.net"). Außerdem öffnen sich öfters versiedenen (Werbe)webseiten ohne mein Einwirken. Nachdem ich einen Scan mit spybot search & destroy durchgeführt habe fand ich 5 Einträge mit dem Namen "virtumonde". Nach dem Löschen der gefundenen Dateien funktionierten die genannten Webseiten wieder ganz normal. Jedoch nur bis zum Neustart meines PCs. Nun habe ich bei der Suche nach virtumonde (nicht mit google....das funktioniert ja nicht) einen Eintrag in Ihrem Forum entdeckt (http://www.trojaner-board.de/23940-iwe-kann-man-virtumonde-entfernen.html). Jedoch konnte ich den Anweisungen nicht folgen da ich dem HijackThis Log file nicht entnehmen konnte welche Datei bei mir betroffen ist. An dieser Stelle bitte ich Sie nun um Hilfe. HijackThis Logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 19:56:43, on 27.08.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\system32\HPZipm12.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\UAService7.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Windows Media Player\wmplayer.exe C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.2:80 O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized O4 - HKLM\..\Run: [BM8b1f6a00] Rundll32.exe "C:\WINDOWS\system32\oevmcrsa.dll",s O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{DE4F74AF-F815-4DC6-B814-CED3DAECCB43}: NameServer = 217.237.148.102,217.237.151.115 O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing) O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe -- End of file - 5304 bytes |
|
27.08.2008, 20:14
| #2 |
  | Virtumonde ja oder nein??Dateien Online überprüfen lassen:
Code:
ATTFilter C:\WINDOWS\system32\oevmcrsa.dll
Malwarebytes scannen lassen: Anleitung und download Malwarebytes |
|
27.08.2008, 22:19
| #3 |
| | Virtumonde ja oder nein?? Danke schon mal für die schnelle Antwort!
__________________Ich habe die Datei gerade wie empfohlen bei virustotal im "Analyse" Fenster hochgeladen. Doch anstatt eines Berichts erschien die Meldung: File has already been analysed: MD5: First received: Date: Results: Permalink: Der Button "show last report" war grau hinterlegt und ich konnte ihn somit nicht anklicken. Für das Scannen der Malwarebytes hatte ich heute leider keine Zeit mehr. Gruß, Mario |
|
27.08.2008, 22:29
| #4 |
| | Virtumonde ja oder nein?? Du müsstes normalerweise zwischen Zeige die letzten Ergebnisse oder Analysiere die Datei auswählen können. |
|
28.08.2008, 10:03
| #5 |
| | Virtumonde ja oder nein?? Die beiden Buttons "show last report" und "reanalyse file now" sind leider beide grau hinterlegt und nicht anklickbar.... |
|
28.08.2008, 13:41
| #6 |
| | Virtumonde ja oder nein?? So, Ich hab jetz mit MAM sämtliche Infizierten Dateien vernichtet. Hier die Log Datei dazu: Malwarebytes' Anti-Malware 1.25 Datenbank Version: 1090 Windows 5.1.2600 Service Pack 2 14:43:43 28.08.2008 mbam-log-08-28-2008 (14-43-43).txt Scan-Methode: Vollständiger Scan (C:\|) Durchsuchte Objekte: 186932 Laufzeit: 3 hour(s), 28 minute(s), 36 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 2 Infizierte Registrierungsschlüssel: 31 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 2 Infizierte Verzeichnisse: 3 Infizierte Dateien: 59 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: C:\WINDOWS\system32\nnnoPGVO.dll (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\system32\rydlwr.dll (Trojan.Vundo) -> Delete on reboot. Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{09fd317f-4900-4084-88bd-10e9adf47d8d} (Trojan.Vundo.H) -> Delete on reboot. HKEY_CLASSES_ROOT\CLSID\{09fd317f-4900-4084-88bd-10e9adf47d8d} (Trojan.Vundo.H) -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2753b591-d1ec-4a00-93e4-cec5247eb60c} (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\nnnneeut (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\{2753b591-d1ec-4a00-93e4-cec5247eb60c} (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{88d465ee-0210-45c8-90a3-52758c158424} (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\{88d465ee-0210-45c8-90a3-52758c158424} (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Interface\{17e44256-51e0-4d46-a0c8-44e80ab4ba5b} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Interface\{2e4a04a1-a24d-45ae-aca4-949778400813} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Typelib\{e0f01490-dcf3-4357-95aa-169a8c2b2190} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\Typelib\{63334394-3da3-4b29-a041-03535909d361} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\{80ef304a-b1c4-425c-8535-95ab6f1eefb8} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\{ff46f4ab-a85f-487e-b399-3f191ac0fe23} (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\{fc30d7fb-7bd6-4f53-9aac-1a8156c8a568} (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\{e6d6d5d1-702b-4fbe-8ae1-0d44cca2509f} (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\CLSID\{59200193-332d-4d21-9d0a-d19351bc19e3} (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\BHO_MyJavaCore.DLL (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Webtools (Malware.Trace) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\AppID\testCPV6.DLL (Trojan.BHO) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\MediaHoldings (Adware.PlayMP3Z) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Trymedia Systems (Adware.Trymedia) -> Quarantined and deleted successfully. HKEY_CLASSES_ROOT\WR (Malware.Trace) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully. HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETWORK_MONITOR (Trojan.DNSChanger) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CMDSERVICE (Trojan.Downloader) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bm8b1f6a00 (Trojan.Agent) -> Delete on reboot. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnopgvo -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\nnnopgvo -> Delete on reboot. Infizierte Verzeichnisse: C:\Programme\Webtools (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\system32\kBin02 (Trojan.Agent) -> Quarantined and deleted successfully. C:\Programme\Mjcore (Trojan.BHO) -> Quarantined and deleted successfully. Infizierte Dateien: C:\WINDOWS\system32\nnnoPGVO.dll (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\system32\OVGPonnn.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully. C:\WINDOWS\system32\OVGPonnn.ini2 (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\system32\nnnNeEuT.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully. C:\WINDOWS\system32\rydlwr.dll (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\system32\vihhowst.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully. C:\WINDOWS\system32\tswohhiv.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully. C:\Programme\Mjcore\Mjcore.dll (Trojan.BHO) -> Quarantined and deleted successfully. C:\Programme\Webtools\webtools.dll (Trojan.BHO) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\Mario\Lokale Einstellungen\Temporary Internet Files\Content.IE5\45QVGTA3\kb65666[1] (Trojan.Vundo) -> Quarantined and deleted successfully. C:\Dokumente und Einstellungen\Mario\Lokale Einstellungen\Temporary Internet Files\Content.IE5\6IUVLPLC\kb767887[1] (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP94\A0049268.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049302.exe (Trojan.DNSChanger) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049312.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049325.exe (Backdoor.Bot) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049355.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049356.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049357.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049358.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049359.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\b155.exe (Trojan.BHO) -> Quarantined and deleted successfully. C:\WINDOWS\TWFyaW8\asappsrv.dll (Adware.CommAd) -> Quarantined and deleted successfully. C:\WINDOWS\system32\adjhmaet.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\affgct.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\cefoweqj.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\cgprambp.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\flpokg.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\fobzfc.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\gtcxmg.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\vggoaujq.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\vundrobx.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\uwloinep.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\dzedxy.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\krxyos.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\wrcvsqop.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\ujusmjnh.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\aqngtdjl.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\jfwamp.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\muibjunx.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\mybufa.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\myljemja.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\xeigbhmf.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\ylnbvbcr.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\yxstwquv.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\vyvvqlul.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\feseicol.dll (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\enkjvpvj.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\system32\aafkeumy.exe (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\cookies.ini (Malware.Trace) -> Quarantined and deleted successfully. C:\WINDOWS\system32\gside.exe (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\system32\oevmcrsa.dll (Trojan.Agent) -> Delete on reboot. C:\WINDOWS\system32\cmd.com (Worm.Alcra) -> Quarantined and deleted successfully. C:\WINDOWS\system32\netstat.com (Worm.Alcra) -> Quarantined and deleted successfully. C:\WINDOWS\system32\ping.com (Worm.Alcra) -> Quarantined and deleted successfully. C:\WINDOWS\system32\tasklist.com (Worm.Alcra) -> Quarantined and deleted successfully. C:\WINDOWS\system32\tracert.com (Worm.Alcra) -> Quarantined and deleted successfully. C:\WINDOWS\pskt.ini (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\BM8b1f6a00.xml (Trojan.Vundo) -> Quarantined and deleted successfully. C:\WINDOWS\BM8b1f6a00.txt (Trojan.Vundo) -> Quarantined and deleted successfully. Und wie erwartet sind meine voherigen Probleme (google suche, Öffnen von Werbeseiten) gelöst. Fragt ich nur wie lange. Wie kann ich meinen PC jetzt vor erneuten Infizierungen oder Wiederherstellung alter Infizierungen schützen??? Bei der meiner Viren-Vernichtungs-Aktion haben sich in den letzten Tagen erstaunlich viele Tools zum Entfernen von Schädlingen angesammelt. Hier mal eine kleine Liste der Programme, die ich mir zuletzt runtergeladen habe: - CCleaner - Spybot Search & Destroy - HijackThis - VundoFix.exe - AVG Anit-Spyware von Ewido - AdAware 2008 von Lavasoft - Malwarebytes' Anti-Malware Welche dieser Programme kann ich irgendwann mal noch brauchen?? Welche kann ich getrost löschen?? P.S. Die Datei die ich mit Virustotal überprüfen sollte, war nach dem Neustart nach dem MAM-Scan anscheinend nicht mehr da. Gleich nach dem Hochfahren bekam ich eine dementsprechende Fehlermeldung. Gruß, Mario Geändert von mayo91 (28.08.2008 um 14:14 Uhr) |
|
28.08.2008, 19:32
| #7 |
| | Virtumonde ja oder nein?? adaware kannst du getrost löschen. - CCleaner würd ich behalten - Spybot Search & Destroy kannst du behalten, aber SDhelper und Teatimer abschalten - HijackThis behalten - VundoFix.exe kannst du entfernen - AVG Anit-Spyware von Ewido kannst du deinstallieren - AdAware 2008 von Lavasoft kannst du getrost deinstallieren - Malwarebytes' Anti-Malware würd ich behalten Du solltest noch Java updaten Mit Avira und diesen Einstellungen scannen und dann nochmal ein HijackThis Log posten. |
|
29.08.2008, 20:41
| #8 |
| | Virtumonde ja oder nein?? Hi, Der Avira Scan meldete 43 Funde. Die meisten der Dateien waren vom Trojaner TR/Trash.Gen infiziert. Außerdem ist mir aufgefallen, dass die meisten Funde aus dem Ordner C:\System Volume Information\_restore stammten. Trotz mehrer Neustarts habe ich im Moment keine Probleme mehr mit sich selbst öffnenten Seiten und anderen Späßen. Dafür schon mal DANKESCHÖN. Ich werde aus dem Fehler jahrelang ohne jeglichen Virenschutz zu surfen lernen. Doch ist mein PC jetzt mit Avira und der Windows Firewall genügend geschützt??? Hier auf jeden Fall mal das HijackThis Logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:37:18, on 29.08.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\system32\HPZipm12.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\UAService7.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Windows Media Player\wmplayer.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.2:80 O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {208727CF-2205-48AE-B700-E42D7D379CE7} - (no file) O2 - BHO: (no name) - {281D3C77-273F-4418-A16F-B1A1B0EEABF9} - (no file) O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll O2 - BHO: (no name) - {340A2843-DF93-40B5-96EE-9871A4497B68} - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: (no name) - {8e1340c5-07aa-6afa-ea98-fcd73f16fa12} - (no file) O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll O2 - BHO: (no name) - {B02C5AD0-D6FD-4A42-BB32-0A6F1DB58516} - (no file) O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{DE4F74AF-F815-4DC6-B814-CED3DAECCB43}: NameServer = 217.237.148.102,217.237.151.115 O20 - AppInit_DLLs: rydlwr.dll O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing) O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe -- End of file - 5973 bytes |
|
30.08.2008, 09:34
| #9 |
| | Virtumonde ja oder nein?? dann deatviere die systemwiederherstellung und scanne nochmals mit den tools. weitere aktionen: Bearshare deinstallieren und folgende Einträge mit HijackThis fixen: Code:
ATTFilter R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
O2 - BHO: (no name) - {208727CF-2205-48AE-B700-E42D7D379CE7} - (no file)
O2 - BHO: (no name) - {281D3C77-273F-4418-A16F-B1A1B0EEABF9} - (no file)
O2 - BHO: (no name) - {340A2843-DF93-40B5-96EE-9871A4497B68} - (no file)
O2 - BHO: (no name) - {8e1340c5-07aa-6afa-ea98-fcd73f16fa12} - (no file)
O2 - BHO: (no name) - {B02C5AD0-D6FD-4A42-BB32-0A6F1DB58516} - (no file)
Dateien Online überprüfen lassen:
Code:
ATTFilter rydlwr.dll
Ausserdem von hier Panda Antirootkit herunterladen und scannen. |
|
| Themen zu Virtumonde ja oder nein?? |
| ad-aware, antivir, antivirus, avira, ctfmon.exe, explorer, firefox, google, hijack, hijackthis, hijackthis log, hkus\s-1-5-18, home, internet, internet explorer, log file, logfile, mehrere, mozilla, mozilla firefox, neustart, problem, rundll, scan, seiten, software, system, virtumonde, windows, windows xp |
Linear-Darstellung
