Hallo,

ich scheine mir irgendwie einen Trojaner eingefangen zu haben.
Heute meldet mir Kaspersky Internetsecurity, dass es den Trojaner Trojan-Downloader.Win32-Zlob.xjd im Verzeichnis C:\Donkumete und Einstellungen\***\Lokale Einstellugnen\Temp\pLNhVXZ_.exe.part gefunden hat. Habe aber selber nicht verdächtiges auf meinem PC bemerkt.


Habe ihn dann löschen lassen und Kaspersky hat davon dann eine Sicherungskopie als Backup gespeichert.

Datei C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\pLNhVXZ_.exe.part, gefunden: trojanisches Programm 'Trojan-Downloader.Win32.Zlob.xjd'.


gelöscht: trojanisches Programm Trojan-Downloader.Win32.Zlob.xjd Datei: C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\pLNhVXZ_.exe.part




Ich habe dann nach dem Trojaner Trojan-Downloader.Win32-Zlob.xjd gegoogelt und er scheint erst seit kurzem bekannt zu sein (2 Tage)


Da ich mich damit selber relativ schlecht auskenne habe ich dann einen Kumpel gefragt, der sich ein bisschen auskennt, was ich machen soll und dann Smidfraudfix, a-squared, Malwarebytes Anti- Malware und Spybot - Search&Destroy laufen lassen. Keines der Programme hat jedoch etwas von dem Trojaner gefunden, nur Spyware die zu mir bekannten Programmen gehört. (liegt evtl daran dass er noch nicht lang bekannt ist und den Programmen noch nicht bekannt ist?)



Wenn ich jetz nach der Datei pLNhVXZ_.exe.part die infiziert war suche kommt eine fehlermeldung und es wird nichts gefunden: (Grafik zeigt Fehlermeldung. Ist das evtl die von Kaspersky gemacht Sicherungskopie, auf die nicht zugegriffen werden kann?)








Wie kann ich jetz sichergehen dass ich den Trojaner restlos beseitigt habe?
Kann ich irgendwie rausfinden was dieser Trojaner bewirkt?




Habe leider selbst sehr wenig Ahnung von Trojanern und wie man sie beseitigt und hoffe irgendwer ist so freundlich und und nimmt sich die Zeit mir zu helfen.


Habe in anderen Threads gesehen, dass oft ein Hijack-Log gepostet wird, also mach ich das einfach auch mal. Vielleicht nützt es ja was.


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 2:52:31 AM, on 09/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
F:\Programme\adware2008\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\Programme\Canon\MyPrinter\BJMyPrt.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\GIGABYTE\VGA Utility Manager\Utility.exe
C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\ArcorOnline\AOButler.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\mIRC\mirc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\PartyGaming\PartyGaming.exe
C:\Programme\Full Tilt Poker\FullTiltPoker.exe
f:\Programme\a-squared Anti-Malware\a2service.exe
C:\Programme\PokerStars\PokerStars.exe
F:\Downloads\qlketzd.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [RTHDCPL] REM RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] REM nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [TrueImageMonitor.exe] REM C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe
O4 - HKLM\..\Run: [AcronisTimounterMonitor] REM C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] REM "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] REM C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-796845957-688789844-682003330-1005\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'postgres')
O4 - HKUS\S-1-5-21-796845957-688789844-682003330-1005\..\RunOnce: [NeroHomeFirstStart] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMFirstStart.exe (User 'postgres')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: GIGABYTE VGA Utility.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Absolute Poker - {13C1DBF6-7535-495c-91F6-8C13714ED485} - C:\Dokumente und Einstellungen\***\Startmenü\Programme\Absolute Poker\Absolute Poker.lnk
O9 - Extra 'Tools' menuitem: Absolute Poker - {13C1DBF6-7535-495c-91F6-8C13714ED485} - C:\Dokumente und Einstellungen\***\Startmenü\Programme\Absolute Poker\Absolute Poker.lnk
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Eurolinx Poker - {78AB8510-2944-4c6c-86E7-6412C2383349} - C:\Microgaming\Poker\EurolinxPokerMPP\MPPoker.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra 'Tools' menuitem: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1195933951046
O17 - HKLM\System\CCS\Services\Tcpip\..\{8E991804-2534-43A6-B5BB-6EFC14BB37D9}: NameServer = 195.50.140.252 195.50.140.114
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - f:\Programme\a-squared Anti-Malware\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - F:\Programme\adware2008\aawservice.exe
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Programme\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTServ.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PostgreSQL Database Server 8.0 (pgsql-8.0) - PostgreSQL Global Development Group - C:\Programme\PostgreSQL\8.0\bin\pg_ctl.exe




Vielen Dank schonmal für die Mühe und ich hoffe ihr könnt mir weiterhelfen.

Morgen,

hast du ein Glück, dass ich nicht schlafen kann.

Die Endung ".part" wird in der Regel von Browsern für Dateien verwandt, die noch nicht fertig heruntergeladen wurden, die von Kaspersky gemeldete Datei liegt auch in dem entsprechenden Ordner (also in einem temporären Ordner).
Das legt allerdings den Verdacht nahe, dass die Datei nie ganz auf deinem Rechner gelangt ist, sie daher nicht ausgeführt werden konnte und du auch nicht infiziert bist.
Was auch erklären würde, warum die anderen Programme nichts finden. In deinem Hijackthislog ist jedenfalls nichts zu sehen.

Lass CCleaner mal deinen Rechner aufräumen, dann werden auch eventuelle weitere Teile des Programms noch gelöscht.

Poste bitte zur Kontrolle ein Filelist und ein Logfile von Rootkitrevealer:
ein FileListing mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.


RootkitRevealer scannen lassen

• Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitRevealer.exe. Alle anderen Programme schließen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Zu der Fehlermeldung spuckt google Folgendes aus: Nickles.de - Diskussion: Fehler beim Öffnen eines Archivs... (archiviert) Könnte also mit Acronis zu tun haben. Tritt das Problem auch bei anderen Suchbegriffen auf?
Bzw verschwindet es, wenn du nur auf einer Partition suchst?

lg myrtille

Wow! Und das um diese Uhrzeit!
Das nenn ich echt mal schnelle Hilfe!

Wäre ne sehr erfreuliche Überraschung wenn ich wirklich nicht infiziert bin.
Wenn ich Dateien runterlade dann eigentlich nicht in einen vorbestimmten Ordner, sondern immer mit Abfrage in welchem Ordner ich die Datei speichern will.

Kann aber trotzdem sein dass die Datei da schon länger is, auch wenn mir der Name jetz nix sagt.



Mit CCleaner hab ich gemacht, hat ca 120 mb gelöscht.



Die Fehlermeldung hatte ich soweit ich weiß bisher noch nicht. Habe jetz nochmals nach der "infizierten" Datei gesucht und nur auf einer Partition (oder wenn ich auf allen Partitionen suchen lasse) diese Fehlermeldung bekommen, nämlich auf der mit meinen Images (von Acronis).
Hab grad noch irgend ne Random-Sucher ausprobiert und es kam dieselbe Fehlermeldung auf der gleichen Partition.


Vielen Dank schonmal für die schnelle und kompetente Hilfe! Hätt allein echt keinen Plan was ich da machen muss.

lg Tinytim


Hier sind noch die Logs vom Script und Routkitrevealer:

http://www.file-upload.net/download-1083985/listing.txt.html
http://www.file-upload.net/download-1083990/RootkitReveal.txt.html

Hi,

ich bin schon davon ausgegangen, dass du dir die Datei nicht selber heruntergeladen hast... aber wenn du zb eine Datei direkt ausführst, anstatt sie vorher irgendwo zu speichern muss sie auch auf deinem Rechner zwischengespeichert werden.
Das geschieht im Ordner temporäre Dateien. Wie der Name des Ordners schon andeutet, sind das Dateien die nur kurzfristig gebraucht werden. Weswegen man die Ordner immer mal wieder leeren kann.

lg myrtille (logs schau ich mir nachher an)

EDIT: Die Logs sind auch sauber, ich denk nicht, dass bei dir etwas aufm Rechner ist.

Also meinst du dass es nur ein Fehlalarm war vom "übereifrigen" Kaspersky war?

Oder war ein Trojaner auf meinem PC, der auch aktiv war? Ist es möglich,dass der noch immer drauf ist und da er recht aktuell ist von den verschiedenen Virensuchprogrammen noch nicht erkannt wird?


Sollte ich wichtige Passwörter sicherheitshalber wechseln?

Auf jeden Fall läuft mein PC jetz wieder um einiges schneller nach den ganzen Säuberungsmaßnahmen
Die ganzen Virenprogramme sollte ich dann wohl am besten wieder löschen oder? Ist es sinnvoll CCleaner draufzulassen und öfters mal laufen zu lassen?

Danke für deine Hilfe

lg TinyTim

Hi,

meine Theorie ist, dass du auf einer Webseite warst, die infiziert war und beim Besuch der Seite die Datei heruntergeladen hast, die Kaspersky gefunden hat. Die Datei ist ein "Downloader", sprich sie lädt dir die eigentlich schädliche Malware erst herunter, ob diese dann genauso neu ist wie der Downloader ist unklar, Malwarebytes und Smitfraudfix sind auf jeden Fall genau diese Art von Schädlingen ausgelegt, das heißt wenn die nichts finden, stehen die Chancen gut, dass da nichts ist. (Keine Garantie, das ist klar, aber es sit schonmal sehr unwahrscheinlich)

Ob diese Datei ausgeführt worden wäre, wenn sie komplett heruntergeladen worden wäre, weiß ich nicht, ob sie bösartig gewesen wäre, weiß ich auch nicht.
Allerdings habe ich überprüft ob in den letzten Tagen an den Schlüsselstellen bei dir unerwünschte Dateien erstellt wurden und ob es Dateien gibt, die sich vor Windows verstecken. Beides ist nicht der Fall. Zusammen mit der Tatsache dass kein Antimalware Porgramm etwas findet, ist das eigentlich eine ziemlich rosige Bilanz.

Zlob lädt Schadcode nach, spioniert dir nach und lässt Popups für falsche Sicherheitsprogramme aufpoppen. Das Programm legt es nicht wirklich darauf aus unbemerkt zu bleiben.

Regelmäßiges Passwort ändern kann nie schaden.
CCleaner ist kein lebenswichtiges Programm, es erhöht auch die Sicherheit deines Rechners nicht, aber es räumt ein wenig hinter einem auf. Der Rekord des freigewordenen Speicherplatz bei einer CCleaneranwendung liegt bei 40 GB Da lohnt es sich dann wieder richtig.

lg myrtille

Okay, dann vielen Dank!

Super Board hier und freundliche und kompetente Hilfe

Hoffe mein Problem hat sich damit gelöst, wenn nich meld ich mich einfach

Ciao TinyTim

Heya,

hat mir auch Spass gemacht. Du weißt ja wo du uns finden kannst.

lg myrtille