Probleme mit TR/Vundo und TR/crypt.Xpack

marzl

Hi,

ich habe ein Problem mit meinem Rechner, genauer gesagt mit 2 Rechnern, die in einem Netzwerk sind.

Vor einiger Zeit hat avira Antivir gemeldet, dass ich einen Trojaner auf dem Rechner habe: und zwar den TR/Vundu.gen.

Danach habe ich mich versuch im Internet schlau zu machen wie ich den loswerde und bin zu dem Schluss gekommen, dass formatieren wohl das einfachste ist. Also habe ich mir alle Daten gesichert (auf den 2. Rechner), dann beide Rechner mit der rescue CD von avira durchsucht und danach den befallenen Rechner formatiert. Danach schien auch alles in Ordnung zu sein, aber vor ca einer Woche kam der Virus wieder und zwar diesmal auf beiden Rechnern. Auf dem ersten kam zusätzlich noch ein weiterer Virus nämlich der TR/crypt.Xpack.gen. Daraufhin habe ich versuch mit Knoppicillin dem Trojaner Herr zu werden. Ich habe mir eine Version aus dem Internet gezogen, die mit clamav arbeitet. Allerdings hat der Scan keine Ergebnisse gehabt. Ich hab dann irgendwo gelesen, dass man die verseuchte Dateien bei virustotal.com hochladen kann und da hat sich herausgestellt, dass clamav den virus nicht kennt. (Antivir hat bei einer vollständigen Systemprüfung jedoch auch nichts gefunden).

Also habe ich die .dll Dateien
bei dem einen Rechner war es immer die gleiche:
C:/Windows/System32/wvUljJy.dll mit dem Trojaner TR/Vundo.gen

bei dem anderen 3 Stück: auch in System 32:

wvUljJy.dll
dvggbs.dll
mlJyqNDU.dll

ich habe mit processexplorer die jeweiligen Prozesse die die Dateien verwenden gekillt und dann die .dll gelöscht. Eine Datei wurde von winlogon verwendet, die habe ich mit dem Programm unlocker entfernen können. Seither habe ich keine Meldung mehr von Antivir bekommen.

Ich vermute dass der Prozess apache irgendwas mit dem virus zu tun hat, weil ich habe nie so ein Programm installiert und das ist doch soweit ich weiß ein Internetserver oder?

Nun meine Frage: Ist der Trojaner jetzt weg oder muss ich trotzdem noch formatieren? Oder etwas anderes machen?

Hier habe ich noch die HijackThis log Files und das Logfile von viustotal:


Hijackthis log von dem ersten Rechner:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:22:54, on 15.01.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Programme\Bonjour\mDNSResponder.exe

C:\WINDOWS\Explorer.exe

C:\WINDOWS\system32\csrcs.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [SfWinStartInfo] C:\SFIRM32\sfWinStartupInfo.exe

O4 - HKLM\..\Run: [e487bc0c] rundll32.exe "C:\WINDOWS\system32\nrkvfkyj.dll",b

O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: SFIRM32 Automat.lnk = C:\SFIRM32\SFAutomat.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Programme\Bonjour\ExplorerPlugin.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe



--

End of file - 3367 bytes




von dem 2. Rechner:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:24:30, on 15.01.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.exe

C:\Programme\AntiVir PersonalEdition Classic\sched.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\csrcs.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

C:\Programme\Hewlett-Packard\OrderReminder\OrderReminder.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\Programme\HP\ToolBoxFX\bin\HPTLBXFX.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe



R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = Microsoft Windows Update

F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe

O2 - BHO: {10beb00e-e61b-ac7a-e354-4156a1646f54} - {45f6461a-6514-453e-a7ca-b16ee00beb01} - C:\WINDOWS\system32\jjtusw.dll

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\vtUnnopp.dll (file missing)

O2 - BHO: (no name) - {CE266E01-1D8A-4EA3-B601-CFEED7AE65A5} - C:\WINDOWS\system32\wvUmjJcY.dll (file missing)

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [OrderReminder] C:\Programme\Hewlett-Packard\OrderReminder\OrderReminder.exe

O4 - HKLM\..\Run: [ToolBoxFX] "C:\Programme\HP\ToolBoxFX\bin\HPTLBXFX.exe" /enumn /alertsn /notificationsn /systrayIconn /fln /frn /appDatan

O4 - HKLM\..\Run: [9464ce99] rundll32.exe "C:\WINDOWS\system32\vwgfjmsc.dll",b

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [cogad] "C:\Dokumente und Einstellungen\Maier\Anwendungsdaten\cogad\cogad.exe" 61A847B5BBF72810369239466188719AB689201522886B092CBD44BD8689220221DD3257

O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O20 - AppInit_DLLs: jjtusw.dll

O20 - Winlogon Notify: vtUnnopp - vtUnnopp.dll (file missing)

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite 2009.SP1\RpcAgentSrv.exe



--

End of file - 5029 bytes



Information von w*w.virustotal.com

Datei mlJYqNDU.dll empfangen 2009.01.14 23:25:45 (CET)
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.0.0.73 2009.01.14 -
AhnLab-V3 2009.1.15.0 2009.01.14 -
AntiVir 7.9.0.54 2009.01.14 TR/Vundo.Gen
Authentium 5.1.0.4 2009.01.14 -
Avast 4.8.1281.0 2009.01.14 -
AVG 8.0.0.229 2009.01.14 Generic12.AUYJ
BitDefender 7.2 2009.01.14 -
CAT-QuickHeal 10.00 2009.01.14 -
ClamAV 0.94.1 2009.01.14 -
Comodo 931 2009.01.14 -
DrWeb 4.44.0.09170 2009.01.14 -
eSafe 7.0.17.0 2009.01.14 Suspicious File
eTrust-Vet 31.6.6307 2009.01.14 -
F-Prot 4.4.4.56 2009.01.14 -
F-Secure 8.0.14470.0 2009.01.14 -
Fortinet 3.117.0.0 2009.01.14 -
GData 19 2009.01.14 -
Ikarus T3.1.1.45.0 2009.01.14 -
K7AntiVirus 7.10.584 2009.01.09 -
Kaspersky 7.0.0.125 2009.01.14 -
McAfee 5495 2009.01.14 -
McAfee+Artemis 5495 2009.01.14 -
Microsoft 1.4205 2009.01.14 Trojan:Win32/Vundo.gen!C
NOD32 3766 2009.01.14 -
Norman 5.93.01 2009.01.13 -
nProtect 2009.1.8.0 2009.01.14 -
Panda 9.5.1.2 2009.01.14 Suspicious file
PCTools 4.4.2.0 2009.01.14 -
Prevx1 V2 2009.01.14 Fraudulent Security Program
Rising 21.12.22.00 2009.01.14 -
SecureWeb-Gateway 6.7.6 2009.01.14 Trojan.Vundo.Gen
Sophos 4.37.0 2009.01.14 Troj/Virtum-Gen
Sunbelt 3.2.1831.2 2009.01.09 VIPRE.Suspicious
Symantec 10 2009.01.14 -
TheHacker 6.3.1.4.220 2009.01.14 -
TrendMicro 8.700.0.1004 2009.01.14 -
VBA32 3.12.8.10 2009.01.14 -
ViRobot 2009.1.14.1559 2009.01.14 -
VirusBuster 4.5.11.0 2009.01.14 -

weitere Informationen
File size: 36864 bytes
MD5...: 9eafdf2976dd5ee821a0cfd0b318be78
SHA1..: 257f5a2ab65c0c18d6fc4cf7271803317785e5d5
SHA256: cc32978212db66c0fb01a38ffbc4389c27af42dd74b37585fcdb377fdd604294
SHA512: 12bcb9c2d42190e2d69e57b13a3c74c36ca29c793f380f38db73b0f0eabe5113
0939d60c60d5bd8d3644e1bc725fc37d2101849c71673fe29863164dd3b345f0
ssdeep: 768:bJV7Y2U3EaJOzN5l2R1wHXgttPY/OSpAVXDDhjX6y:bggSOzF2R1K6VGLApD
D9
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.5%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x100012de
timedatestamp.....: 0x4049a4a0 (Sat Mar 06 10:14:56 2004)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x3000 0x2400 6.45 a8dffd8174cef6ae10e5a649af401fb7
0x4000 0x1000 0x600 0.25 c52548eb98d15b14917f2e05f11bcc74
0x5000 0x2000 0x2000 7.98 5547d0c378ed450085599e215b68fdb4
0x7000 0x2000 0x1e00 7.97 1297775959a9f4aa9a9081a3b5f91c62
0x9000 0xc000 0x2400 7.40 0452bfcc5bf1d4b3fb6a167e1419ddda

( 6 imports )
> COMCTL32.dll: InitCommonControlsEx
> KERNEL32.dll: ExitProcess, GetModuleHandleW, GetSystemInfo
> USER32.dll: DispatchMessageW, TranslateMessage, LoadIconA, GetSystemMetrics
> GDI32.dll: Arc, SelectClipPath
> comdlg32.dll: PrintDlgExA
> ADVAPI32.dll: RegQueryValueExW

( 0 exports )
Prevx info: http://info.prevx.com/aboutprogramte...0B6A0078C67B24

Vielen Dank schon mal

Gruß Marcel


PS: Sorry, dass es das Logfile von virustotal so komisch anzeigt.