Hallo,

Ich habe folgendes Problem. Mir ist in letzter Zeit ein Prozess aufgefallen, dessen Ursprung ich nicht kenne. Es ist das Programm "winsvs32.exe". Eine Suche auf Google ergab keine Treffer für diesen Suchbegriff.

Die Datei befindet sich in ../Lokale Einstellungen/Temp. Das Icon ist ein Auge, ähnlich dem Photoshop Symbol.
Unter Eigenschaften -> Version erhalte ich folgende Eigenschaften:
Dateiversion: 1,0,1,6
Interner Name: SuperDialer
Originaldateiname: SuperDialer.exe
Produktname: SuperDialer Module
Produktversion: 1,0,1,6
Sprache: Englisch (USA)

Bei einer Untersuchung der Datei stellte ich fest, dass sie mit UPX gepackt ist. Also habe ich mit UPX gezogen und die Datei damit entpackt. Untersuchungen mit verschiedenen Viren/Trojaner/Spyware Tools ergab, dass die Datei in Ordnung sein soll (oder was ich eher vermute, noch nicht bekannt ist).

Per "netstat -no" habe ich meine Verbindungen untersucht, konnte aber nichts ungewöhnliches entdecken.

Eigentlich scheint die Datei nichts zu machen, oder ich bin nicht in der Lage zu erkennen, was dieses Programm macht.

Allerdings ist es mir nicht möglich, diese Datei zu löschen. Bei jedem Systemstart befindet sie sich erneut im Temp Ordner. Weiterhin auffällige Dateien in diesem Ordner ist ein Ordner "sv1ec.tmp". Diese Bezeichnung ändert sich bei jedem Löschen, hat aber immer die Form "s****.tmp". Weiterhin habe ich die Datei "Perflib_Perfdata" in diesem Ordner, welche ich nicht löschen kann. Diese Datei soll mit dem System-Monitor zu tun haben, ich kann die Datei allerdings auch dann nicht löschen, wenn der System-Monitor gar nicht an ist. Es befindet sich nach einem Löschen von "winsvs32.exe" und erneutem Hochfahren auch die Datei "sdkinstall.log" in diesem Ordner, mit folgendem Inhalt:

[2004-08-12 18:01:14] Application started
[2004-08-12 18:01:14] Loading standard configuration
[2004-08-12 18:01:14] Processing configuration
[2004-08-12 18:01:15] Registration
[2004-08-12 18:01:15] Application options loaded
[2004-08-12 18:01:15] RasEnumDevices 1, nRet = 603, dwSize = 760, dwDevice = 5
[2004-08-12 18:01:15] No modem found
[2004-08-12 18:01:16] Cannot retrieve location info, err=0[2004-08-12 18:01:16] Check interval elapsed, checking updates
[2004-08-12 18:01:16] Downloading from http://69.41.227.210/Superdialer/get...daa549d1&ver=1, 0, 1, 6
[2004-08-12 18:01:16] Options download status: 800c0005
[2004-08-12 18:01:16] New version 1, 0, 1, 4
[2004-08-12 18:01:16] Dialer update http://69.41.227.210/Superdialer/SuperDialer.exe
[2004-08-12 18:31:16] Check interval elapsed, checking updates
[2004-08-12 18:31:17] Downloading from http://69.41.227.210/Superdialer/get...daa549d1&ver=1, 0, 1, 6
[2004-08-12 18:31:18] Options downloaded
[2004-08-12 18:31:18] Loading standard configuration
[2004-08-12 18:31:18] Options file found, C:\DOKUME~1\Sibop\LOKALE~1\Temp\\07922dc5-8a26-4c96-be49-456cdaa549d1
[2004-08-12 18:31:18] Processing configuration
[2004-08-12 18:31:19] Registration
[2004-08-12 18:31:19] New version 1, 0, 1, 6
[2004-08-12 18:31:19] Dialer update http://69.41.227.210/SuperDialer/SuperDialer.exe

Nach 5 Minütigen Intervallen folgen weitere Einträge der Form:
[2004-08-12 18:36:19] Check interval elapsed, checking updates
[2004-08-12 18:36:19] Downloading from http://69.41.227.210/SuperDialer/get...daa549d1&ver=1, 0, 1, 6
[2004-08-12 18:36:24] Options downloaded
[2004-08-12 18:36:24] Loading standard configuration
[2004-08-12 18:36:25] Options file found, C:\DOKUME~1\Sibop\LOKALE~1\Temp\\07922dc5-8a26-4c96-be49-456cdaa549d1
[2004-08-12 18:36:25] Processing configuration
[2004-08-12 18:36:25] Registration
[2004-08-12 18:36:25] New version 1, 0, 1, 6
[2004-08-12 18:36:25] Dialer update http://69.41.227.210/SuperDialer/SuperDialer.exe

Habe auch versucht alle Active-X Objekte zu deinstallieren. Ohne Erfolg. Die Datei kehrt immer wieder zurück und startet sich neu...

Bitte um Hilfe!
Wie kann ich herausfinden, durch welche Methode sich die Datei immer wieder neu erzeugt und ladet?
Ich habe keine Lust eine Neuinstallation durchführen zu müssen.

Gruß, Ugur

hat mir keiner ne antwort?

:/

welche möglichkeiten gibt es denn für einen trojaner/dialer/virus sich selber zu starten?

kann man nicht manuell danach suchen?

Gruß, Ugur

Hallo Sultan,

1. Lese bitte erstmals hier : http://www.sophos.de/virusinfo/analyses/w32sdbotp.html
2. Poste mal HiJackThis-Log
3. Sichere alle deine Daten, da ich mich schon (vorab) zur Neuinstallation tendiere.
4. Weitere Infos: http://faq.underflow.de/

Wie der Name nahelegt, wird es wohl ein Dialer sein. Versuche zunächst dies:

http://www.trojaner-board.de/42731-escan-anleitung.html

Dann verwende HJT und poste ein Log:
http://www.trojaner-board.de/51130-a...ijackthis.html

Wenn du löschst, solltest du die Systemwiederherstellung vorübergehend deaktivieren, sonst kommt der Schädling u.U dadurch immer wieder. Wenn dein System allerdings schon ein Weile mit derartigem Ungeziefer läuft, solltest du am besten neu installieren.