| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Trojaner VirtumondeWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
14.01.2009, 12:42
| #1 |
 |  Trojaner Virtumonde Hallo und guten Tag ihr Lieben. Ich habe ein großes Problem mit dem Trojaner Virtumonde und das schon seit längerer Zeit. Ich bekomme ihn einfach nicht wieder von meinem System herrunter egal ob mit Malewarebytes, Spyware S&D , a-squared free oder Spyware Doctor. Bin da mittlerweile echt am verzweifeln möchte nur ungern mein System neu aufsetzten da dies in letzter Zeit schon desöfteren vollzogen wurde. Darum wollte ich mich bei euch einmal schlau machen ob ihr da vielleicht mir helfen könntet. Anbei nun mal das hijacklogfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 12:34:38, on 14.01.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.5730.0013) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\System32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\Mixer.exe C:\Programme\Java\jre6\bin\jusched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\a-squared Free\a2service.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\avmwlanstick\WlanNetService.exe C:\Programme\Java\jre6\bin\jqs.exe C:\WINDOWS\System32\TUProgSt.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Internet Explorer\iexplore.exe C:\Dokumente und Einstellungen\*******\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CV3ZEK1T\HiJackThis[1].exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.t-online.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - h**p://www.bitdefender.de/scan_de/scan8/oscan8.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1230143039251 O20 - AppInit_DLLs: phkqmm.dll xbqdck.dll , , O20 - Winlogon Notify: cbXRHbaA - cbXRHbaA.dll (file missing) O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe -- End of file - 5514 bytes Hier auch nochmal ein log von Maleware bytes weis net ob ihr damit was anfangen könnt. : Malwarebytes' Anti-Malware 1.32 Datenbank Version: 1638 Windows 5.1.2600 Service Pack 2 12.01.2009 00:00:46 mbam-log-2009-01-12 (00-00-46).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 45363 Laufzeit: 2 minute(s), 18 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 2 Infizierte Registrierungsschlüssel: 6 Infizierte Registrierungswerte: 5 Infizierte Dateiobjekte der Registrierung: 2 Infizierte Verzeichnisse: 0 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: C:\WINDOWS\system32\sefoseyo.dll (Trojan.Vundo.H) -> Delete on reboot. c:\WINDOWS\system32\nukavuso.dll (Trojan.Vundo.H) -> Delete on reboot. Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{173972b4-4cc2-49c8-997a-3ca9874d069e} (Trojan.Vundo.H) -> Delete on reboot. HKEY_CLASSES_ROOT\CLSID\{173972b4-4cc2-49c8-997a-3ca9874d069e} (Trojan.Vundo.H) -> Delete on reboot. HKEY_CLASSES_ROOT\CLSID\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\4c3aa6d7 (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kivabeyipo (Trojan.Vundo.H) -> Quarantined and deleted successfully. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cpm4f09954b (Trojan.Vundo.H) -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.Vundo.H) -> Delete on reboot. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\nukavuso.dll -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: system32\nukavuso.dll -> Delete on reboot. Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\WINDOWS\system32\sefoseyo.dll (Trojan.Vundo.H) -> Delete on reboot. C:\WINDOWS\system32\oyesofes.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully. c:\WINDOWS\system32\nukavuso.dll (Trojan.Vundo.H) -> Delete on reboot. Nun gut hoffe das ist alles was ihr braucht um mir weiter helfen zu können. Bedanke mich schon mal im vorraus. Lieben Gruß phil |
|
14.01.2009, 14:35
| #2 |
| |  Trojaner Virtumonde Moin Master,
__________________kann im Log leider nichts sehen |
|
14.01.2009, 14:39
| #3 |
  | Trojaner Virtumonde Bitte bei Virustotal (http://www.virustotal.com/de/) auswerten lassen:
__________________Code:
ATTFilter C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
Code:
ATTFilter Spyware S&D
a-squared free
Spyware Doctor.
Dann einen neuen HijackThis Log
__________________ |
|
15.01.2009, 11:30
| #4 | |||
| | Trojaner Virtumonde Guten Morgen, Sorry hat etwas gedauert war leider nicht zu Hause. Habe aber alles soweit gemacht. Hier die überprüfte Datei: Zitat:
Zitat:
Zitat:
Gruß Phil |
|
15.01.2009, 16:40
| #5 |
| | Trojaner Virtumonde Ist mein helfer gesperrt ???  |
|
15.01.2009, 16:58
| #6 |
 | Trojaner Virtumonde Keine Panik, da er mein Freund ist, werde ich übernehmen. Deinstalliere: Code:
ATTFilter Acrobat Reader (total veraltet)
Superantispyware (oder deaktiviere den Guard)
Onlinescanner von Bitdefender
Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. 2.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe Editiere die Links und privaten Infos!! ciao, andreas Geändert von john.doe (15.01.2009 um 17:07 Uhr) Grund: Onlinescanner übersehen |
|
15.01.2009, 22:25
| #7 |
| | Trojaner Virtumonde Hey danke das du weiter machst  Sorry wurd bisschen später aber nun kanns losgehen bei mir. Kurze Frage ``Onlinescanner von Bitdefender`` wo fonde ich den ? Unter Installierte programme finde ich nix. Kann mich erinnern da eine datei runtergeladen zuhaben nur weiß ich nicht mehr wohin =/ Gruß Phil |
|
15.01.2009, 22:37
| #8 |
| | Trojaner Virtumonde Suche bei den installierten Programmen nach Bitdefender. Wie er genau heisst, weiß ich nicht. ciao, andreas |
|
15.01.2009, 23:08
| #9 | ||
| | Trojaner Virtumonde soo hab soweit alles erledig. Leider hab ich aber nix direkt von Bitdefender finden können auch nicht über suche bzw. installierte programme habe zwar ne datei gelöscht aber weis nicht obs Bitdefender war =/ von Combofix: Zitat:
Zitat:
Gruß Phil |
|
15.01.2009, 23:15
| #10 |
| | Trojaner Virtumonde Seit wann hast du Probleme? Zeigt der Rechner noch Auffälligkeiten? ciao, andreas |
|
15.01.2009, 23:18
| #11 |
| | Trojaner Virtumonde begonnen hatte das vor ca. 3 Wochen mit ständig aufpoppender werbung von Antivir 2009 usw. Im moment hatte ich nix auffälliges bemerkt.=) Heisst das das es soweit alles runter ist wieder ? Vielen Dank für deine Hilfe.=) Gruß Phil |
|
15.01.2009, 23:25
| #12 | |
| | Trojaner VirtumondeZitat:
Schau mal in der Menüleiste vom MSIE in Tools, ob sich der Bitdefender dort entfernen lässt. Panda Active Scan Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installationciao, andreas |
|
16.01.2009, 00:49
| #13 | |
| | Trojaner Virtumonde Soo Bitdefender ist runter hat geklappt. Hier der Log von Panda: Zitat:
|
|
16.01.2009, 08:29
| #14 |
| | Trojaner Virtumonde 1.) Scripten mit Combofix
Code:
ATTFilter KILLALL::
File::
c:\windows\Tasks\kbfpcgzn.job
c:\windows\system32\doguzeri.dll
c:\windows\wininit.ini
Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann 2.) Deaktiviere die Systemwiederherstellung=>Neustart=>Aktiviere die Systemwiederherstellung und erstelle einen neuen Wiederherstellungspunkt 3.) Start => Ausführen => combofix /u (aufs Leerzeichen achten) => OK 4.) Alle Programme, die wir eingesetzt haben, können deinstalliert/gelöscht werden. Falls du SUPERAntiSpyware behalten möchtest, dann deaktiviere den Wächter. TuneUp würde ich deinstallieren. ciao, andreas |
|
16.01.2009, 10:55
| #15 | |
| | Trojaner Virtumonde Teil 1: Combo Fix Log Zitat:
|
|
| Themen zu Trojaner Virtumonde |
| adobe, antivir, antivirus, avg, avira, bho, browser, content.ie5, defender, einstellungen, explorer, hijackthis, hkus\s-1-5-18, internet, internet explorer, neu, plug-in, problem, programme, registrierungsschlüssel, security, software, spyware, stick, system, system neu, trojaner, tuneup.defrag, virtumonde, windows, windows xp |
Linear-Darstellung
