Hallo, habe eben beim Surfen im Web ein PopUp von AntiVir bekommen in dem stand:

In der Datei 'C:\Users\NAME\AppData\Local\Mozilla\Firefox\Profiles\yqsuelul.default\Cache\B19D5971d01'
wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] gefunden.


Dann stand da was ich machen soll und ich habe auf löschen geklickt. Da dies nicht mein Rechner ist sondern der meines Mannes, will ich auch sichergehen dass ich alles richtig gemacht habe. Ich habe dann bei google rumgesucht und da stand dann manchmal da dass das löschen nicht ausreicht und oftmals ein Verweis zu diesem Forum.

Könnt ihr mir bitte sagen, ob das Löschen ausgereicht hat?

Ich lasse gerade nochmal den Virenscanner von Antivir drüber laufen und würde ja eigentlich denken wenn der jetzt nichts findet, dann müsste doch alles in Ordnung sein? Nur die vielen Beiträge bei google, verunsichern mich und mein Mann betreibt ja auch Homebanking usw. auf seinem Rechner und Trojaner können ja Passwörter zu fremden Menschen senden.

Wäre sehr dankbar für Eure Hilfe, kann nämlich gerade nicht schlafen.

LG Thea

Das ist der Report, sieht für mich so aus, als ob alles in Ordnung wäre, oder?



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 29. Januar 2009 03:50

Es wird nach 1295221 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: ENTFERNT
Plattform: Windows Vista
Windowsversion: (Service Pack 1) [6.0.6001]
Boot Modus: Normal gebootet
Benutzername: SYSTEM
Computername: NAME

Versionsinformationen:
BUILD.DAT : 8.2.0.337 16934 Bytes 18.11.2008 13:01:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 25.11.2008 21:58:00
AVSCAN.DLL : 8.1.4.0 48897 Bytes 09.05.2008 11:27:06
LUKE.DLL : 8.1.4.5 164097 Bytes 12.06.2008 12:44:16
LUKERES.DLL : 8.1.4.0 12545 Bytes 09.05.2008 11:40:42
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 15:37:04
ANTIVIR1.VDF : 7.1.1.113 2817536 Bytes 14.01.2009 19:01:20
ANTIVIR2.VDF : 7.1.1.172 958464 Bytes 23.01.2009 19:37:02
ANTIVIR3.VDF : 7.1.1.197 324608 Bytes 28.01.2009 19:37:03
Engineversion : 8.2.0.60
AEVDF.DLL : 8.1.0.6 102772 Bytes 15.10.2008 16:21:21
AESCRIPT.DLL : 8.1.1.32 340347 Bytes 22.01.2009 19:37:20
AESCN.DLL : 8.1.1.5 123251 Bytes 07.11.2008 21:57:26
AERDL.DLL : 8.1.1.3 438645 Bytes 05.11.2008 21:57:01
AEPACK.DLL : 8.1.3.5 393588 Bytes 09.01.2009 15:53:05
AEOFFICE.DLL : 8.1.0.33 196987 Bytes 11.12.2008 15:33:02
AEHEUR.DLL : 8.1.0.86 1552759 Bytes 22.01.2009 19:37:19
AEHELP.DLL : 8.1.2.0 119159 Bytes 18.11.2008 21:57:31
AEGEN.DLL : 8.1.1.10 323957 Bytes 16.01.2009 18:58:40
AEEMU.DLL : 8.1.0.9 393588 Bytes 15.10.2008 16:21:13
AECORE.DLL : 8.1.5.2 172405 Bytes 28.11.2008 21:58:12
AEBB.DLL : 8.1.0.3 53618 Bytes 15.10.2008 16:21:11
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09.07.2008 08:40:02
AVPREF.DLL : 8.0.2.0 38657 Bytes 16.05.2008 09:27:58
AVREP.DLL : 8.0.0.2 98344 Bytes 17.09.2008 10:14:31
AVREG.DLL : 8.0.0.1 33537 Bytes 09.05.2008 11:26:37
AVARKT.DLL : 1.0.0.23 307457 Bytes 12.02.2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12.06.2008 12:27:46
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22.01.2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12.06.2008 12:49:36
NETNT.DLL : 8.0.0.1 7937 Bytes 25.01.2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 12.06.2008 13:45:01
RCTEXT.DLL : 8.0.52.0 86273 Bytes 27.06.2008 13:32:05

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:, F:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Donnerstag, 29. Januar 2009 03:50

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mobsync.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'conime.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnetwk.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnscfg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'postgres.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'pg_ctl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'skypePM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sidebar.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtHDVCpl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MSASCui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SixEngine.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dwm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SLsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'audiodg.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wininit.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '62' Prozesse mit '62' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'F:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '46' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Users\NAME\AppData\Local\Temp\P5DEwcYr.rar.part
[0] Archivtyp: RAR
--> virtuagirlhd\New Folder\install_flash_player_10_active_x.exe
[1] Archivtyp: NSIS
--> [UnknownDir]/FlashUtil10a.exe
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
Beginne mit der Suche in 'D:\'
Beginne mit der Suche in 'F:\' <easyNova>


Ende des Suchlaufs: Donnerstag, 29. Januar 2009 04:29
Benötigte Zeit: 39:28 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

16011 Verzeichnisse wurden überprüft
337656 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
2 Dateien konnten nicht durchsucht werden
337654 Dateien ohne Befall
3569 Archive wurden durchsucht
4 Warnungen
0 Hinweise

Ich habe soeben nochmal den Rechner runtergefahren und wieder neu gestartet einen Komplettsuchlauf mit AntiVir gemacht und er hat erneut nichts gefunden. Kann der Trojaner trotzdem noch auf dem Rechner sein?

Irgendwie sagen alle, dass dieser Trojaner total schwer zu entfernen wäre und einfach auf Löschen geklickt haben sich auch die meisten, von daher glaube ich irgendwie nicht daran dass der Trojaner weg ist. Ich habe auch den Trojaner Hunter 5 runtergeladen und auch der findet keinen Trojaner mehr.

Irgendwie muss ich mir einreden dass alles gut ist und habe eine Theorie entwickelt, bitte bestätigt mir einer ob dies so möglich ist.


Ich habe wie schon erwähnt gesurft, dann habe ich auf einen Link geklickt der zu einer Seite geführt hat wo ein PopUp Menü kam und ein Programm installiert werden sollte, im selbem Atemzug öffnete sich Antivir mit oben beschriebenen Fund. Ich habe beim Installationsfenster weder auf OK noch auf Abbrechen geklickt sondern, mit dem roten kreuz in der oberen rechten Ecke das Installationsfenster geschlossen und die Seite gleich mit, und dann wie oben beschrieben auf Löschen im Antivir Fenster geklickt.

Könnte es sein, dass das Installationsprogramm durch Firefox (es wurde ja im Pfad von Firefox gefunden) in einen Ordner auf meinen Rechner kopiert wurde durch das Aufrufen der Seite. Der AntiVirGuard erkennt irgendwie dass da eine neue Datei gekommen ist und macht mich darauf aufmerksam dass dies ein Trojaner ist. Dieser Trojaner will sich dann installieren, aber ich unterbreche/verweigere die Installation und lösche zeitgleich die Installationsdatei per AntiVir. Dadurch ist der Rechner meines Mannes nicht angegriffen wurden.

Das wäre für mich die einzige Erklärung warum dies alles so schadlos (zumindest in meinen Augen, da auch nach Wiederhochfahren des Rechners AntiVir keinen Trojaner mehr findet) geendet hat.

Sollte ich trotzdem meinen Mann in Kenntiss setzen bzgl. des Vorfalls, dass er evtl. neue benutzername/passwörter für seine Bank o.ä. beantragen sollte, oder kann ich beruhigt sein wenn AntiVir nichts findet.


Wer immer das liest und etwas Ahnung hat, ich würde mich sehr über ein:"Das kann so sein" freuen, ins Bett gehen kann ich heute nicht mehr. Diese Aktion hat mich die letzten Nerven gekostet.

LG Thea

hallo,

ich bin selber kein Profi, versuche Dir aber trotzdem mal zu helfen.
Zu Allererst solltest Du, die unter dem Link beschriebene Prozedur durchführen und dann das Logfile, dass Du am Ende erhälst hier posten:

http://www.trojaner-board.de/51130-anleitung-hijackthis.html

Eher wird Dir hier niemand wirklich helfen können.

Deine Theorie ist gar nixht so falsch. Das ist ein typischer Weg, wie sich Trojaner auf dem PC einnisten. Es geht eine Seite auf, wo man ein Programm installieren kann, klickt auf "ja" und das Programm mitsamt dem Trojaner installiert sich. Dass der Virenscanner anschlägt noch bevor Du auf "ja" geklickt hast ist normal und auch gut so. Die Seiten die im Firefox geöffnet werden sind in dem Moment wo Du sie öffnest in Form temporärer Dateien auf Deinem PC. Der Virenscanner prüft diese Dateien vor der tatsächlichen Ausführung auf Viren/Trojaner. Das ist in Deinem Fall geschehen. Der Virenscanner hat dann die temporäre Datei vom PC gelöscht und bestenfalls ist tatsächlich nichts passiert. Ob dem aber wirklich so ist und der PC sauber ist, lässt sich aber erst sagen, wenn Du ein HiJackThis-Logfile erstellst und hier postest (siehe Link weiter oben)

wie peinlich...jetzt habe ich echt auf einen 1 Jahr alten Post geantwortet weil ich nicht richtig geguckt hab von wann das eigentlich ist *in die Ecke stell und schäm*