Nachwirkungen von worm.win32.netsky??popups, keine googelsuche, pc extrem langsam

papertiger · 23.09.2008, 18:57

Guten Tag!

Ich habe schon seit ein paar Wochen Probleme mit meinem Pc, alles ist verlangsamt und schwerfällig.
Problematisch ist, dass ich die google - Suche nicht mehr benutzen kann, sondern nur noch meine favoriten anklicken kann, wo mir schließlich auch die seite angezeigt wird.
Ich habe den CCleaner schon mehrmals durchlaufen lassen aber ohne eine Besserung zu bewirken.
Vor ein paar Monaten ist mein PC mit dem Worm.Win32.netsky befallen gewesen, können die Probleme vielleicht Nachwirkungen von diesem Wurm sein?
Danke für die Mühe, ich hoffe diesmal ist alles korrekt.

Motherboard
CPU Typ Mobile Intel Pentium M 740, 1733 MHz (13 x 133)
Motherboard Name TOSHIBA Satellite M70

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:37:15, on 23.09.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
C:\Programme\TOSHIBA\TouchPad\TPTray.exe
C:\WINDOWS\system32\ZoomingHook.exe
C:\WINDOWS\system32\TCtrlIOHook.exe
C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\Programme\TOSHIBA\ConfigFree\NDSTray.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Programme\T-Online\T-Online Internationaler Zugang\downloader\ipccheck.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\DOKUME~1\......\LOKALE~1\Temp\_A00F631E92.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\MSN Toolbar Suite\DS\02.05.0001.1119\de-de\bin\WindowsSearch.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\MSN Toolbar Suite\DS\02.05.0001.1119\de-de\bin\WindowsSearchIndexer.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Java\jre1.6.0_05\bin\jucheck.exe
C:\Programme\CCleaner\CCleaner.exe
C:\WINDOWS\explorer.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\.....\Desktop\computer sicherheit\installer_abr.exe
C:\Programme\HP\Digital Imaging\bin\hpqgalry.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\Programme\Lavalys\EVEREST Home Edition\everest.bin

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: MSN Suche Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\TB\02.05.0000.1082\de-de\msntb.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Shareaza MediaBar - {196C3A46-4758-433D-A600-802C804AF39C} - C:\Programme\Shareaza Applications\Shareaza MediaBar\ShareazaMediaBar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [CeEKEY] C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [TPNF] C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [HWSetup] C:\Programme\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP
O4 - HKLM\..\Run: [SVPWUTIL] C:\Programme\Toshiba\Windows Utilities\SVPWUTIL.exe SVPwUTIL
O4 - HKLM\..\Run: [Zooming] ZoomingHook.exe
O4 - HKLM\..\Run: [TCtryIOHook] TCtrlIOHook.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [SmoothView] C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [PadTouch] C:\Programme\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [iPCCheck] "C:\Programme\T-Online\T-Online Internationaler Zugang\downloader\ipccheck.exe" /startup
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [LSA Shellu] C:\Dokumente und Einstellungen\carmen\lsass.exe
O4 - HKLM\..\Run: [BMf786c5a0] Rundll32.exe "C:\WINDOWS\system32\euklmxja.dll",s
O4 - HKLM\..\Run: [f4b5f63c] rundll32.exe "C:\WINDOWS\system32\oguufymy.dll",b
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [T-Online_Software_6\WLAN-Access Finder] C:\Programme\T-Online\WLAN-Access Finder\ToWLaAcF.exe /StartMinimized
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Veoh] "C:\Programme\Veoh Networks\Veoh\VeohClient.exe" /VeohHide
O4 - HKCU\..\Run: [A00F631E92.exe] C:\DOKUME~1\......\LOKALE~1\Temp\_A00F631E92.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Windows-Desktopsuche.lnk = C:\Programme\MSN Toolbar Suite\DS\02.05.0001.1119\de-de\bin\WindowsSearch.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &MSN Suche - res://C:\Programme\MSN Toolbar Suite\TB\02.05.0000.1082\de-de\msntb.dll/search.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Programme\ShoppingReport\Bin\2.5.0\ShoppingReport.dll
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Programme\ShoppingReport\Bin\2.5.0\ShoppingReport.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: eBay - {D7783732-69C6-4A28-BE53-618CC4609617} - C:\Programme\Internet Explorer\Signup\ToshibaGotoEbay.exe (HKCU)
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} - h..p://static.zangocash.com/cab/Zango/ie/bridge-c18.cab
O16 - DPF: {B49C4597-8721-4789-9250-315DFBD9F525} (IWinAmpActiveX Class) - h...p://cdn.digitalcity.com/radio/ampx/ampx2.6.1.11_en_dl.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h..p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - AppInit_DLLs: tikbcctx.dll zmsexb.dll
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\isPwdSvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe

--
End of file - 12576 bytes

Silent sharK · 23.09.2008, 19:12

Hi,
arbeite bitte folgenden Schritt zur Analyse ab:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

C:\Dokumente und Einstellungen\carmen\lsass.exe
C:\Dokumente und Einstellungen\.....\Desktop\computer sicherheit\installer_abr.exe
C:\DOKUME~1\......\LOKALE~1\Temp\_A00F631E92.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

nochdigger · 23.09.2008, 19:16

Hallo

suche bitte auch nach diesen Dateien

Zitat:

tikbcctx.dll
zmsexb.dll

und lasse sie ebenfalls auswerten.

Moin@ Silent sharK

MFG

papertiger · 23.09.2008, 19:35

Datei Start.exe empfangen 2008.09.04 02:43:31 (CET)
Status: Beendet
Ergebnis: 33/36 (91.67%) Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.9.3.0 2008.09.03 Win-Trojan/Xema.variant
AntiVir 7.8.1.23 2008.09.03 BDS/VB.BOI
Authentium 5.1.0.4 2008.09.03 W32/Sdbot.AEGI
Avast 4.8.1195.0 2008.09.03 Win32:Rootkit-gen
AVG 8.0.0.161 2008.09.03 VB.DOR
BitDefender 7.2 2008.09.04 Backdoor.VB.BOI
CAT-QuickHeal 9.50 2008.09.02 TrojanSpy.VB.agh
ClamAV 0.93.1 2008.09.03 Trojan.VB-3400
DrWeb 4.44.0.09170 2008.09.03 Win32.HLLW.Siggen.6
eSafe 7.0.17.0 2008.09.03 -
eTrust-Vet 31.6.6066 2008.09.03 Win32/Tebebak.F
Ewido 4.0 2008.09.03 Logger.VB.agh
F-Prot 4.4.4.56 2008.09.03 W32/Sdbot.AEGI
F-Secure 8.0.14332.0 2008.09.03 Trojan-Spy.Win32.VB.agh
Fortinet 3.14.0.0 2008.09.03 W32/VB.AGH!tr
GData 19 2008.09.04 Trojan-Spy.Win32.VB.agh
Ikarus T3.1.1.34.0 2008.09.04 Trojan-Spy.Win32.VB.agh
K7AntiVirus 7.10.439 2008.09.03 Trojan-Spy.Win32.VB.agh
Kaspersky 7.0.0.125 2008.09.04 Trojan-Spy.Win32.VB.agh
McAfee 5376 2008.09.03 W32/Vbbot
Microsoft 1.3903 2008.09.04 Worm:Win32/Flibot.gen!A
NOD32v2 3412 2008.09.03 Win32/IRCBot.AFF
Norman 5.80.02 2008.09.03 W32/VBDoor.INL
Panda 9.0.0.4 2008.09.03 Trj/VBbot.I
PCTools 4.4.2.0 2008.09.03 Trojan-Spy.VB!sd6
Prevx1 V2 2008.09.04 Malicious Software
Rising 20.60.21.00 2008.09.03 Trojan.Spy.Win32.VB.alj
Sophos 4.33.0 2008.09.04 Mal/Generic-A
Sunbelt 3.1.1582.1 2008.09.02 Trojan-Spy.Win32.VB.agh
Symantec 10 2008.09.04 IRC.Backdoor.Trojan
TheHacker 6.3.0.8.070 2008.09.02 -
TrendMicro 8.700.0.1004 2008.09.03 TROJ_VB.HCP
VBA32 3.12.8.4 2008.09.03 Win32.IRCBot.AFF
ViRobot 2008.9.2.1361 2008.09.03 -
VirusBuster 4.5.11.0 2008.09.03 TrojanSpy.VB.EEYQ
Webwasher-Gateway 6.6.2 2008.09.03 Trojan.Backdoor.VB.BOI

weitere Informationen
File size: 85504 bytes
MD5...: 5eda97da60598305308b383e93cfe1bd
SHA1..: bbbcff797db78c48c3d0f0cdf00ad039b560eb31
SHA256: 326aa3b617321c0265a9d7b3d60b9ad2743062ea437d71afeb9b66eca712d66b
SHA512: 4bd5a7483eed258078e83fce1be80df9a7ea33600cbdb25f02662a4d0005d42d
8ff489658e586422880f3d248112b0041bd052e161b76e41e4c319ffda406e5c
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4027a0
timedatestamp.....: 0x4811895c (Fri Apr 25 07:33:48 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x14194 0x14200 5.79 edf851f51a4825029595074ca1c4624d
.data 0x16000 0x1940 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x18000 0x670 0x800 2.27 13bbe51663ce99f3c9fa3f553675a0ed

( 1 imports )
> MSVBVM60.DLL: EVENT_SINK_GetIDsOfNames, __vbaVarTstGt, __vbaVarSub, _CIcos, _adj_fptan, __vbaVarMove, __vbaStrI4, __vbaVarVargNofree, __vbaAryMove, __vbaFreeVar, __vbaStrVarMove, __vbaLenBstr, __vbaLateIdCall, __vbaEnd, __vbaFreeVarList, _adj_fdiv_m64, __vbaPut4, EVENT_SINK_Invoke, __vbaRaiseEvent, __vbaFreeObjList, -, __vbaStrErrVarCopy, _adj_fprem1, __vbaRecAnsiToUni, -, -, __vbaStrCat, __vbaError, __vbaLsetFixstr, __vbaSetSystemError, __vbaRecDestruct, __vbaHresultCheckObj, __vbaLenVar, -, __vbaVargVarCopy, _adj_fdiv_m32, __vbaAryVar, Zombie_GetTypeInfo, __vbaAryDestruct, __vbaVarIndexLoadRefLock, EVENT_SINK2_Release, -, -, __vbaExitProc, -, __vbaOnError, __vbaObjSet, _adj_fdiv_m16i, __vbaObjSetAddref, _adj_fdivr_m16i, -, __vbaVarIndexLoad, -, __vbaBoolVarNull, _CIsin, -, -, -, __vbaVargVarMove, __vbaVarCmpGt, -, __vbaChkstk, -, __vbaFileClose, EVENT_SINK_AddRef, __vbaGenerateBoundsError, -, __vbaStrCmp, -, __vbaAryConstruct2, __vbaVarTstEq, -, __vbaI2I4, DllFunctionCall, -, _adj_fpatan, __vbaFixstrConstruct, __vbaLateIdCallLd, Zombie_GetTypeInfoCount, __vbaRedim, __vbaUI1ErrVar, __vbaRecUniToAnsi, EVENT_SINK_Release, __vbaNew, _CIsqrt, __vbaVarAnd, __vbaObjIs, EVENT_SINK_QueryInterface, __vbaStrUI1, __vbaVarMul, __vbaExceptHandler, -, __vbaStrToUnicode, __vbaPrintFile, -, _adj_fprem, _adj_fdivr_m64, __vbaFailedFriend, -, -, __vbaFPException, -, __vbaInStrVar, -, __vbaStrVarVal, __vbaUbound, __vbaVarCat, __vbaLsetFixstrFree, -, -, _CIlog, __vbaErrorOverflow, __vbaFileOpen, __vbaVar2Vec, __vbaNew2, -, __vbaInStr, __vbaVarInt, _adj_fdiv_m32i, _adj_fdivr_m32i, __vbaStrCopy, EVENT_SINK2_AddRef, -, __vbaVarNot, __vbaFreeStrList, _adj_fdivr_m32, _adj_fdiv_r, -, -, __vbaVarTstNe, __vbaI4Var, __vbaVarCmpEq, -, __vbaVarAdd, __vbaAryLock, -, __vbaStrToAnsi, __vbaVarDup, -, __vbaVarCopy, -, -, _CIatan, __vbaStrMove, __vbaCastObj, __vbaAryCopy, -, __vbaStrVarCopy, _allmul, _CItan, __vbaAryUnlock, _CIexp, __vbaI4ErrVar, __vbaFreeObj, -, __vbaFreeStr, __vbaRecAssign

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=BEA53BEB008336154E9101A34B8F1E003D105F44
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=5eda97da60598305308b383e93cfe1bd

Datei installer_abr_2_.exe empfangen 2008.05.15 06:18:18 (CET)
Status: Beendet
Ergebnis: 24/32 (75.00%) Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 - - -
AntiVir - - TR/Buzus.brq.2
Authentium - - W32/Trojan2.AJDB
Avast - - Win32:Buzus-BR
AVG - - Generic10.BSP
BitDefender - - Trojan.PWS.LDPinch.TKZ
CAT-QuickHeal - - Trojan.Buzus.brq
ClamAV - - Trojan.Downloader-26839
DrWeb - - -
eSafe - - Win32.Buzus.brq
eTrust-Vet - - -
Ewido - - Trojan.Buzus.brq
F-Prot - - W32/Trojan2.AJDB
F-Secure - - Trojan.Win32.Buzus.brq
Fortinet - - -
GData - - Trojan.Win32.Buzus.brq
Ikarus - - Trojan-PWS.LDPinch.TKZ
Kaspersky - - Trojan.Win32.Buzus.brq
McAfee - - -
Microsoft - - TrojanDropper:Win32/Buzus.gen!A
NOD32v2 - - -
Norman - - W32/Buzus.MY
Panda - - Adware/SpywareIsolator
Prevx1 - - Cloaked Malware
Rising - - -
Sophos - - Mal/Generic-A
Sunbelt - - Trojan-PWS.LDPinch.TKZ
Symantec - - Infostealer
TheHacker - - Trojan/Buzus.brq
VBA32 - - Trojan.Win32.Buzus.brq
VirusBuster - - -
Webwasher-Gateway - - Trojan.Buzus.brq.2

weitere Informationen
MD5: f1804576ea701f08eae09ea232bf59e5
SHA1: 66ca3f44b6fe0afd8ec74589b0dd329f77d4c503
SHA256: 81ef5e5c48ecf63dc745fd33cbd3ba355d2e4ec833b00bf27544bcfd6172b53c
SHA512: ac528aa11cb99c37f9ccdbb8a7fee72f08636b4319c0082ab90e17390a81d04a88a4ebd921b9c4cdb3b0993cfcec58619669600a4dcd15d9786de6391ea15f5e

Datei installer_abr_2_.exe empfangen 2008.05.15 06:18:18 (CET)
Status: Beendet
Ergebnis: 24/32 (75.00%) Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 - - -
AntiVir - - TR/Buzus.brq.2
Authentium - - W32/Trojan2.AJDB
Avast - - Win32:Buzus-BR
AVG - - Generic10.BSP
BitDefender - - Trojan.PWS.LDPinch.TKZ
CAT-QuickHeal - - Trojan.Buzus.brq
ClamAV - - Trojan.Downloader-26839
DrWeb - - -
eSafe - - Win32.Buzus.brq
eTrust-Vet - - -
Ewido - - Trojan.Buzus.brq
F-Prot - - W32/Trojan2.AJDB
F-Secure - - Trojan.Win32.Buzus.brq
Fortinet - - -
GData - - Trojan.Win32.Buzus.brq
Ikarus - - Trojan-PWS.LDPinch.TKZ
Kaspersky - - Trojan.Win32.Buzus.brq
McAfee - - -
Microsoft - - TrojanDropper:Win32/Buzus.gen!A
NOD32v2 - - -
Norman - - W32/Buzus.MY
Panda - - Adware/SpywareIsolator
Prevx1 - - Cloaked Malware
Rising - - -
Sophos - - Mal/Generic-A
Sunbelt - - Trojan-PWS.LDPinch.TKZ
Symantec - - Infostealer
TheHacker - - Trojan/Buzus.brq
VBA32 - - Trojan.Win32.Buzus.brq
VirusBuster - - -
Webwasher-Gateway - - Trojan.Buzus.brq.2

weitere Informationen
MD5: f1804576ea701f08eae09ea232bf59e5
SHA1: 66ca3f44b6fe0afd8ec74589b0dd329f77d4c503
SHA256: 81ef5e5c48ecf63dc745fd33cbd3ba355d2e4ec833b00bf27544bcfd6172b53c
SHA512: ac528aa11cb99c37f9ccdbb8a7fee72f08636b4319c0082ab90e17390a81d04a88a4ebd921b9c4cdb3b0993cfcec58619669600a4dcd15d9786de6391ea15f5e

Datei _A00F631E92.exe empfangen 2008.07.18 07:12:38 (CET)
Status: Beendet
Ergebnis: 22/33 (66.67%) Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 - - -
AntiVir - - TR/Vundo.ESD
Authentium - - -
Avast - - Win32:Rootkit-gen
AVG - - Generic10.AQOZ
BitDefender - - MemScan:Trojan.Vundo.ESD
CAT-QuickHeal - - Trojan.Monder.gen
ClamAV - - Trojan.Vundo-4696
DrWeb - - -
eSafe - - Suspicious File
eTrust-Vet - - Win32/Vundo.ACD
Ewido - - -
F-Prot - - W32/Virtumonde.P.gen!Eldorado
F-Secure - - Trojan.Win32.Monder.gen
Fortinet - - -
GData - - Trojan.Win32.Monder.gen
Ikarus - - Trojan.Win32.Monder
Kaspersky - - Trojan.Win32.Monder.gen
McAfee - - Vundo
Microsoft - - Trojan:Win32/Vundo.BR
NOD32v2 - - -
Norman - - -
Panda - - Generic Trojan
Prevx1 - - Fraudulent Security Program
Rising - - -
Sophos - - Troj/Agent-HBU
Sunbelt - - Virtumonde
Symantec - - Trojan Horse
TheHacker - - -
TrendMicro - - TROJ_AGENT.RGV
VBA32 - - -
VirusBuster - - -
Webwasher-Gateway - - Trojan.Vundo.ESD

weitere Informationen
MD5: 104332092f6f75e641637c7a037c3258
SHA1: aa3ce5236fea8c9d1d2933f3f5f0cca4dbdc5211
SHA256: 07abf3001557da54bd2d2f6991f19e3baf5e7d432ad1e856b8849fe071c4d8cd
SHA512: 57891bbe8cafe8b3e240edb50d21bb497d36ad6cc850e16b827c1b5a56cacdc207e8324021ef590c60a343acb41720cae9573ca13a7b493ba11808f8801a1e5a

papertiger · 23.09.2008, 19:43

hier noch die beiden .dll files

Datei zmsexb.dll empfangen 2008.09.23 20:39:35 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 11/36 (30.56%) Laden der
#Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.9.23.1 2008.09.23 -
AntiVir 7.8.1.34 2008.09.23 -
Authentium 5.1.0.4 2008.09.23 -
Avast 4.8.1195.0 2008.09.23 -
AVG 8.0.0.161 2008.09.23 -
BitDefender 7.2 2008.09.23 -
CAT-QuickHeal 9.50 2008.09.23 -
ClamAV 0.93.1 2008.09.23 -
DrWeb 4.44.0.09170 2008.09.23 -
eSafe 7.0.17.0 2008.09.23 Suspicious File
eTrust-Vet 31.6.6101 2008.09.23 Win32/VundoCryptorT!generic
Ewido 4.0 2008.09.23 -
F-Prot 4.4.4.56 2008.09.23 -
F-Secure 8.0.14332.0 2008.09.23 -
Fortinet 3.113.0.0 2008.09.23 -
GData 19 2008.09.23 -
Ikarus T3.1.1.34.0 2008.09.23 Trojan.Win32.Vundo.AY
K7AntiVirus 7.10.469 2008.09.23 -
Kaspersky 7.0.0.125 2008.09.23 Trojan.Win32.Inject.icg
McAfee 5389 2008.09.22 Vundo.gen.k
Microsoft 1.3903 2008.09.23 Trojan:Win32/Vundo.gen!R
NOD32v2 3466 2008.09.23 -
Norman 5.80.02 2008.09.23 -
Panda 9.0.0.4 2008.09.23 -
PCTools 4.4.2.0 2008.09.23 -
Prevx1 V2 2008.09.23 Fraudulent Security Program
Rising 20.63.12.00 2008.09.23 Packer.Win32.Agent.v
Sophos 4.33.0 2008.09.23 Troj/Virtum-Gen
Sunbelt 3.1.1662.1 2008.09.23 -
Symantec 10 2008.09.23 -
TheHacker 6.3.0.9.091 2008.09.23 -
TrendMicro 8.700.0.1004 2008.09.23 PAK_Generic.001
VBA32 3.12.8.5 2008.09.23 -
ViRobot 2008.9.23.1389 2008.09.23 -
VirusBuster 4.5.11.0 2008.09.23 -
Webwasher-Gateway 6.6.2 2008.09.23 Win32.Malware.gen (suspicious)

weitere Informationen
File size: 111616 bytes
MD5...: 8565489c7f64a820a1ab74ef8bd84434
SHA1..: 91616df7e5e778eda7ed55acc9c57f047d85c0f4
SHA256: 5dbeb650e79355d1be79577ed3f9a35814933c869c09d886f33ea8bae274d945
SHA512: b80b3b1eea222abe8b7f83b9b974f4e8905faaed00c1614f093008a66b1344fc
808be441e5cd9dbc546d97d7e70262e1e2f529b2e8c0af0794dcb2a58afa46dc
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.4%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001000
timedatestamp.....: 0x0 (Thu Jan 01 00:00:00 1970)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x10000 0xfa00 7.99 6d6d99744ba2d30ae569282f6380e3b4
.data 0x11000 0x1000 0x400 4.84 ac6c8af15d792f40b7432769e9deddff
.rdata 0x12000 0x2d000 0xb200 7.95 8b78b89363b5c13f7a1b85fe7d298e00

( 3 imports )
> USER32.dll: OemToCharBuffA, MessageBoxA, MessageBeep, LoadCursorFromFileA, LoadCursorA, EndPaint, EndDialog, EmptyClipboard, DrawTextA, DestroyCursor, CreateIconFromResourceEx, CreateDesktopA, CopyRect, CharToOemBuffA, CharNextA, ActivateKeyboardLayout
> KERNEL32.dll: lstrcmpiA, ReadFile, MapViewOfFile, InitializeCriticalSection, GetVersionExA, GetSystemTimeAsFileTime, GetStartupInfoA, GetModuleHandleA, ExitProcess, EnumResourceTypesA, EnumResourceLanguagesA, CloseHandle
> ADVAPI32.dll: RegQueryValueA, RegOpenKeyExA, RegCloseKey

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=D49652B7009A4FABB409010A6CCBBA0051CED32B

Datei tikbcctx.dll empfangen 2008.07.29 08:44:55 (CET)
Status: Beendet
Ergebnis: 31/35 (88.57%) Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 - - -
AntiVir - - TR/Monder.ZM
Authentium - - -
Avast - - Win32:Adware-gen
AVG - - Vundo.U
BitDefender - - Trojan.Vundo.EWS
CAT-QuickHeal - - Trojan.Monder.zm
ClamAV - - Trojan.Vundo-4473
DrWeb - - Trojan.Virtumod.based.16
eSafe - - Suspicious File
eTrust-Vet - - Win32/Vundo.AGE
Ewido - - Trojan.Monder.zm
F-Prot - - W32/Virtumonde.AB.gen!Eldorado
F-Secure - - Trojan.Win32.Monder.zm
Fortinet - - Virtum!tr
GData - - Trojan.Win32.Monder.zm
Ikarus - - Trojan.Win32.Monder.zm
Kaspersky - - Trojan.Win32.Monder.zm
McAfee - - Vundo
Microsoft - - Trojan:Win32/Vundo.gen!R
NOD32v2 - - Win32/Adware.Virtumonde
Norman - - Vundo.gen192
Panda - - Spyware/Virtumonde
PCTools - - -
Prevx1 - - Cloaked Malware
Rising - - Trojan.Win32.VUNDO.biz
Sophos - - Troj/Virtum-Gen
Sunbelt - - Trojan.Win32.Monder.gen
Symantec - - Trojan.Vundo
TheHacker - - Trojan/Monder.zm
TrendMicro - - TROJ_VUNDO.CKE
VBA32 - - Win32.Adware.Virtumonde
ViRobot - - Trojan.Win32.Monder.105984
VirusBuster - - -
Webwasher-Gateway - - Trojan.Monder.ZM

weitere Informationen
MD5: 49b9275622be885b6f52403ef65f7f30
SHA1: 44624ec3d57c6ef2161d63afa5fd57874bdd820a
SHA256: 84c2f1d284a2c65fa797b70a7ec1c5e9fe56b345f3f6e52382a10f06ae06c6ea
SHA512: 0ecb0286bf709195c9b8de6e6afa692a2ab6902bf47e46ffc5a1b1b61d39e27891e83d6636fcfad73476cce7f7eec1182236471bbb140c30b04d988222176154

Silent sharK · 23.09.2008, 19:49

Hi papertiger,
du bist hochgradig infiziert, von Adware wie Virtumonde bis zu gefährlichen IRC-Bots und einem Infostealer Buzus.

Ich würde an deiner Stelle Neuaufsetzen, wenn es zur Zeit nicht anders geht, können wir das gröbste entfernen.

@nochdigger

Nabend.

papertiger · 23.09.2008, 19:56

ich habe wichtige dateien auf dem Pc, kann ich vorher eine sicherheitskopie machen bevor ich den pc formatiere? oder kann sich da irgendwas miteinnisten??

besser ist es wahrscheinlich neu zu formatieren, da ich den pc zur zeit nicht wirklich brauche...
für die zukunft, wie kann ich mich schützen vor diesen bösen viren, mit welcher firewall?

danke sehr für die mühe

Silent sharK · 23.09.2008, 20:00

Deine Daten kannst du natürlich sichern (Bilder, Musikstücke, Textdateien).
Führe zuvor bitte dieses Programm aus, damit dir das nicht so schwer fällt:

SDFix anwenden:

Lade das SDFix von AndyManchesta herunter und speichere es auf deinem Desktop.
Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner in C:\ zu entpacken:
Starte deinen Rechner neu, diesmal in den abgesicherten Modus <= Hinweise beachten!
Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
Gib ein Y ein, um den Reinigungsprozess zu beginnen.
Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
Nun wirst du darum gebeten, eine Taste zu drücken, damit dein Rechner neustarten kann.
Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Icons wieder zu laden.
Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
Kopiere den Inhalt dieses Report.txt und poste ihn, zusammen mit einem neuen HijackThis Logfile in deinem nächsten Posting.

Zitat:

besser ist es wahrscheinlich neu zu formatieren, da ich den pc zur zeit nicht wirklich brauche...
für die zukunft, wie kann ich mich schützen vor diesen bösen viren, mit welcher firewall?

Da nützt eine Firewall relativ wenig. Lies dir am besten den Link "Sicher ins Netz" (siehe meine Signatur) durch, dann passiert sowas nicht mehr.

papertiger · 23.09.2008, 20:07

danke für die hilfe, ich werde mich jetzt in den abgesicherten modus verabschieden und dann hoffentlich wieder -in ein paar tagen- gereinigt sein.

freudliche grüße und schönen abend

Silent sharK · 23.09.2008, 20:08

Wünsch ich dir auch,

viel Glück.

Nachwirkungen von worm.win32.netsky??popups, keine googelsuche, pc extrem langsam

Plagegeister aller Art und deren Bekämpfung: Nachwirkungen von worm.win32.netsky??popups, keine googelsuche, pc extrem langsam