| |
| |||||||
Log-Analyse und Auswertung: TR/Fakealert.QF kriminelle UmtriebeWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
21.10.2008, 14:21
| #1 |
| |  TR/Fakealert.QF kriminelle Umtriebe Hi, ich habe mir einen bösartigen Virus, Trojaner oder was auch immer eingefangen. Avira Antivir findet staendig Trojaner, wie z.B. den im Titel genannten und diesen: TR/Agent.aiej.1. Zudem kommt auf Englisch eine Meldung, der PC sei infiziert. Nun habe ich eine Email von Rapidshare bekommen, die besagt, dass mein Account gesperrt wurde, weil illegale Sachen angeboten oder heruntergeladen wurden (kann ich rechtlich dafür belangt werden, wenn andere mittels Trojaner meinen PC für so etwas benutzen?). Ich muss dieses Ding schnellst möglich und effektiv los werden, da ich diesen PC für Online-Banking benötige. Hier nun das Log-File: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:14:31, on 21.10.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\mHotkey.exe C:\WINDOWS\BisonCam\BisonTrayIcon.exe C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe C:\Programme\Java\jre1.6.0_07\bin\jusched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\brastk.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\iTunes\iTunesHelper.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Windows Live\Messenger\MsnMsgr.Exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\Programme\iPod\bin\iPodService.exe C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [BisonTrayIcon] C:\WINDOWS\BisonCam\BisonTrayIcon.exe O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\K-Lite Codec Pack\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [brastk] brastk.exe O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKCU\..\Run: [AdobeUpdater] C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [SVCHOST.EXE] C:\WINDOWS\system32\drivers\svchost.exe O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} (AxisMediaControlEmb Class) - http://87.245.83.189/activex/AMC.cab O20 - AppInit_DLLs: karna.dat O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe -- End of file - 5373 bytes Danke. PS: Wenn ich jetzt Daten von der Festplatte auf eine Externe rette, besteht dann die Gefahr den Trojaner mitzuschleppen? Geändert von startbahn (21.10.2008 um 14:24 Uhr) Grund: Nachtrag |
|
21.10.2008, 17:34
| #2 |
| | TR/Fakealert.QF kriminelle Umtriebe Ok, die Sache mit Rapidshare ist geklaert. Ich hab mich mit Rs in Verbindung gesetzt und die Info erhalten, dass es sich bei der Email um ein Fake->Pishing-Versuch handelt.
__________________So weit so gut. Ich hab jetzt mal dieses Anti-Mlaeware-Teil installiert und den Scan durchlaufen lassen. Hier das Ergebnis: PHP-Code: Wie gehts nun weiter? |
|
22.10.2008, 07:53
| #3 |
| | TR/Fakealert.QF kriminelle Umtriebe |
|
22.10.2008, 08:23
| #4 |
  | TR/Fakealert.QF kriminelle Umtriebe Hi, Du hast einige sehr "harte" Sachen auf dem Rechner, da ist Neuaufsetzen angesagt (Rootkit, ...). Ausserdem solltest Du sofort alle Passwörter etc. von einem sauberen Rechner aus ändern (ggf. Konto sperren)! Der Rechner war und ist keinesfalls sicher für Homebanking, für Homebanking MUSS er Neuaufgesetzt werden Notlösung zum Datenretten per Combofix: Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen. Weitere Anleitung unter:http://www.bleepingcomputer.com/comb...x-benutzt-wird chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) Geändert von Chris4You (22.10.2008 um 08:31 Uhr) |
|
22.10.2008, 17:39
| #5 |
| | TR/Fakealert.QF kriminelle Umtriebe Ok, das heisst die Neuinstallation von Windows saeubert den PC komplett!? Muss vor dem Installieren nichts getan werden, um die Viren unschaedlich zu machen? |
|
23.10.2008, 06:25
| #6 | |
| | TR/Fakealert.QF kriminelle Umtriebe Hi, von C/DVD aus installieren, komplett formatieren und auch MBR neu schreiben lassen. Es gibt Bootblockviren die nur so runtergeschmissen werden können, sonst sind sie nach der Neuinstallation gleich wieder da. Dir ist bekannt, das beim Neuaufsetzen alle Programme/Daten weg sind? (Wir hatte da mal einen, der war etwas -äh- überrascht...)... Bootblock prüfen: MBR-Rootkit Lade den MBR-Rootkitscanner von GMER auf Deine Bootplatte: http://www2.gmer.net/mbr/mbr.exe Merke Dir das Verzeichnis wo Du ihn runtergeladen hast; Start->Ausführen->cmd Wechsle in das Verzeichnis des Downloads und starte durch Eingabe von mbr das Programm... Das Ergebnis sollte so aussehen: Zitat:
__________________ --> TR/Fakealert.QF kriminelle Umtriebe |
|
| Themen zu TR/Fakealert.QF kriminelle Umtriebe |
| adobe, antivir, antivirus, avg, bho, ctfmon.exe, downloader, e-banking, email, explorer, festplatte, gesperrt, google, hijack, hijackthis, hkus\s-1-5-18, infiziert., internet, internet explorer, logfile, photoshop, rechtlich, rundll, software, system, trojaner, urlsearchhook, viren, virus, windows, windows xp |
Linear-Darstellung
