| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Trojaner TR/Dowloader.Gen lässt sich nicht entfernenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
05.01.2009, 19:27
| #1 |
| |  Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Ich habe folgendes Problem: Mein AntiVir Guard meldet nach jedem Start des Computers: "C:\Dokumente und Einstellungen\Eingeschränkt\Lokale Einstellungen\Temp\msxml71.dll ist das Trojanische Pferd TR/Downloader.Gen". Wenn ich dann die Option "Löschen" auswähle, wird die Datei auch gelöscht, aber nach jedem Systemstart ist die Datei wieder im obigen gennanten Verzeichnis zu finden und wird vom AntiVir Guard wieder entdeckt. Beim manuellen Löschen der Datei passiert dasselbe bei einem Neustart des Computers. Außerdem erscheint jede Minute rechts unten diese Nachricht:  Und dieses Fenster öffnet sich ungefähr im 15-Minuten Takt:  Beide Nachrichten führen, wenn man sie anklickt oder mit "Ja" durchführt, zu einer Webseite, in der angeblich ein Virencheck durchgeführt wird. Genaueres dazu kann ich nicht sagen, da ich die Webseite sofort wieder geschlossen habe. Mein Betriebssystem ist Microsoft Windows XP Professional, Version 2002, Service Pack 2. Im Internet surf ich meistens mit Firefox. Hier ist ein Logfile von HijackThis: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 18:23:21, on 05.01.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Creative\Shared Files\CTAudSvc.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - Default URLSearchHook is missing O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd2.exe" O4 - HKLM\..\Run: [VolPanel] "C:\Programme\Creative\Volume Panel\VolPanlu.exe" /r O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\pchealth\helpctr\binaries\msconfig.exe /auto O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\RunOnce: [CTPostBootSequencer] "C:\WINDOWS\TEMP\CTPBSeq.exe" /reglaunch /self_destruct O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-2000478354-583907252-725345543-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Eingeschrankt') O4 - HKUS\S-1-5-21-2000478354-583907252-725345543-1004\..\Run: [MSFox] C:\DOKUME~1\EINGES~1\LOKALE~1\Temp\a.exe (User 'Eingeschrankt') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Programme\Gemeinsame Dateien\Creative Labs Shared\Service\CTAELicensing.exe O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTAudSvc.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe -- End of file - 4335 bytes MfG Daniel |
|
05.01.2009, 19:40
| #2 |
  | Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Hallo und
__________________ 1.) Deinstalliere folgende Programme (Start=>Systemsteuerung=>Software): Code:
ATTFilter AskToolBar (Rogue)
Code:
ATTFilter O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKCU\..\RunOnce: [CTPostBootSequencer] "C:\WINDOWS\TEMP\CTPBSeq.exe" /reglaunch /self_destruct
O4 - HKUS\S-1-5-21-2000478354-583907252-725345543-1004\..\Run: [MSFox] C:\DOKUME~1\EINGES~1\LOKALE~1\Temp\a.exe (User 'Eingeschrankt')
3.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde. 4.) Malwarebytes Antimalware ausführen und Logfile posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!) 5.) Superantispyware runterladen, starten und Log posten, so wie hier beschrieben: http://www.trojaner-board.de/51871-a...tispyware.html 6.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe Editiere die Links und privaten Infos!! ciao, andreas |
|
05.01.2009, 21:47
| #3 |
| | Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Danke für die schnelle Antwort.
__________________Ich habe Malwarebytes' Anti-Malware jetzt durchlaufen lassen. Das Logfile lässt sich aus irgendeinem Grund nicht speichern; vielleicht muss man erst eine Aktion mit den gefundenen Daten ausführen. Folgende Dateien wurden gefunden: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Cognac C:\Dokumente und Einstellungen\Eingeschrankt\Lokale Einstellungen\Temp\~tmpb.exe Soll ich diese Dateien löschen? |
|
05.01.2009, 21:51
| #4 |
| | Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Ja, genau so wie es in der bebilderten Anleitung steht. Dort steht auch wie du das Log bekommst. ciao, andreas |
|
06.01.2009, 14:04
| #5 |
| | Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Es gibt noch ein kleines Problem. Da ich als eingeschränkter Benutzer angemeldet bin, kommt bei Malwarebytes die Nachricht "C:\Dokumente und Einstellungen\Eingeschrankt\Anwendungsdaten\Malwarebytes\Malwarebytes' Anti-Malware\Logs\mbam-log-2009-01-06(13-48-47).txt konnte nicht gefunden werden". Bei SUPERAntiSpyware kommt keine Nachricht, ist aber wahrscheinlich das selbe Problem. Also, dass die Logs nicht gespeichert werden können. Zu allererst habe ich Malwarebytes auf dem Administratorenkonto ausgeführt, dort wurde allerdings nichts gefunden, worauf ich wieder auf das eingeschränkte Konto gewechselt habe, bei dem zwei Schädlinge gefunden wurden und auch entfernt wurden. Bei SUPERAntiSpyware wurden 22 Schädlinge entdeckt, die dann auch entfernt wurden. Hier ist jetzt ein aktuelles HijackThis Logfile: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 13:46:22, on 06.01.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Creative\Shared Files\CTAudSvc.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - Default URLSearchHook is missing O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [VolPanel] "C:\Programme\Creative\Volume Panel\VolPanlu.exe" /r O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-2000478354-583907252-725345543-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Eingeschrankt') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Creative Audio Engine Licensing Service - Creative Labs - C:\Programme\Gemeinsame Dateien\Creative Labs Shared\Service\CTAELicensing.exe O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Programme\Creative\Shared Files\CTAudSvc.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe -- End of file - 3925 bytes Vielen Dank für deine schnelle Hilfe und super Forum.  |
|
06.01.2009, 16:52
| #6 | ||
| | Trojaner TR/Dowloader.Gen lässt sich nicht entfernenZitat:
Zitat:
ciao, andreas |
|
03.10.2009, 18:20
| #7 | ||
| | Trojaner TR/Dowloader.Gen lässt sich nicht entfernen Hallo allerseits, ich habe dasselbe Problem und alle oben genannten Tipps durchgeführt. Dabei konnte ich ebenso einige Funde löschen, jedoch beim Wiederinstallieren eines Spiels kommt es dann zur Fehlermeldung bzgl des Laufwerks D. D ist allerdings mein CD-Laufwerk ??? Jede Wiederholung der genannten Schritte hat keine Besserung gebracht... Zitat:
Zitat:
Geändert von Bear (03.10.2009 um 18:44 Uhr) |
|
| Themen zu Trojaner TR/Dowloader.Gen lässt sich nicht entfernen |
| .dll, antivir, antivir guard, antivirus, askbar, avgnt, avgnt.exe, avira, bho, c:\windows\temp, einstellungen, entfernen, explorer, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, logfile, lässt sich nicht entfernen, löschen, microsoft, neustart, problem, programme, software, temp, trojaner, windows, windows xp, windows\temp, öffnet |
Linear-Darstellung
