Hallo,

ich vermute, ich habe auf meinem Laptop das trojanische Pferd TR/Dropper. Habe mir vor 2 Tagen auf der Homepage eines großen Computer-Peripherie Herstellers einen Treiber heruntergeladen, seitdem erscheint in regelmäßigen Abständen eine Warnmeldung von Avira Antivir -> in der Datei 'svxhost.exe' (oder einer Variante davon) sei der Virus TR/Dropper gefunden worden. Merkwürdig dabei ist, dass wenn ich den Pfad verfolge, um in den entsprechenden ORdner zu gelangen in dem sich die Datei befinden soll, so existiert dieser Ordner nicht oder die Datei befindet sich nicht in diesem.

Die Warnmeldung von Avira erscheint kurz nach dem Hochfahren oder zwischendurch bzw. nach dem Aufruf von MS-Outlook. Beim Aufruf von Outlook erscheint auch die Windows-Warnung, dass die Datei 'ntuser.dat' nicht gelöscht werden konnte, obwohl ich dieses gar nicht veranlasst hatte.

Versuche den Virus löschen zu lassen bzw. in Quaratäne zu verschieben scheinen fehlzuschlagen, da die Warnmeldung weiterhin auftaucht. Bei einem kompletten Systemscan wurden insgesamt 8 Funde angezeigt. Wie werde ich diesen üblen Schädling los, ohne mein System formatieren zu müssen? Besteht da eine Möglichkeit? Format c: wäre die aller allerletzte Möglichkeit, der ich nur absolut und äußerst äußerst ungern nachkommen möchte.

Ich habe mir eben das kleine Prog. Hijackthis heruntergeladen und installiert, hier die erste log-file:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:25:24, on 31.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\acer\epm\epm-dm.exe
C:\Programme\Launch Manager\QtZgAcer.EXE
C:\Programme\FreePDF_XP\fpassist.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ashampoo\Ashampoo UnInstaller Suite\UIWatcher.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\acer\eRecovery\Monitor.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\DOKUME~1\BENJAM~1\LOKALE~1\Temp\088.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\iPod\bin\iPodService.exe
C:\DOKUME~1\BENJAM~1\LOKALE~1\Temp\811.exe
C:\Programme\Mozilla Firefox2.0\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.heute.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Zango - {90B8B761-DF2B-48AC-BBE0-BCC03A819B3B} - C:\Programme\Zango\bin\10.3.75.0\HostIE.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdm2.dll
O3 - Toolbar: Zango - {90B8B761-DF2B-48AC-BBE0-BCC03A819B3B} - C:\Programme\Zango\bin\10.3.75.0\HostIE.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [LManager] C:\Programme\Launch Manager\QtZgAcer.EXE
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Microsoft(R) System Manager] C:\WINDOWS\system32\sysmgr.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [UIWatcher] C:\Programme\ashampoo\Ashampoo UnInstaller Suite\UIWatcher.exe
O4 - HKCU\..\Run: [Windows Service help] C:\RECYCLER\S-1-5-21-2324000154-8521140725-373164211-2303\winservices.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Videos mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlfvideo.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://h**p://groups.msn.com/control...C/MsnPUpld.cab
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://h**p://cdn.scan.onecare.live....scbase9602.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://h**p://www.update.microsoft.c...?1191578428500
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://h**p://download.divx.com/play...wserPlugin.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://h**p://www.update.microsoft.c...?1191578396453
O16 - DPF: {96512D57-F751-4088-A689-5778FCC77F7A} (Photo Uploader Control) - http://h**p://www.studivz.net/lib/ph...toUploader.cab
O16 - DPF: {A9ABE65D-87EB-40ED-9BFB-4A1F53320DF3} (Pvapplite_ie Control) - http://h**ps://pvs3.rz.rwth-aachen.d...applite_ie.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://h**p://messenger.msn.com/down...Downloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AE4EA364-48CA-436E-B512-37026884E98D}: NameServer = 192.168.2.1
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

--
End of file - 8405 bytes


Soeben wurde ich zwei Mal von Avira gewarnt:

C:\Dokumente und Einstellungen\Benjamin Name\Lokale Einstellungen\Temp\svxhost.exe
Die Datei svxhost.exe enthält Erkennungsmuster des Droppers DR/Agent.hua

habe mit erst mit 'in Quarantäne verschieben' reagiert, dann mit 'löschen'

Der Pfad C:\Dokumente und Einstellungen\Benjamin Name\Lokale Einstellungen\Temp\ existiert gar nicht!
Ich komme nur bis 'C:\Dokumente und Einstellungen\Benjamin Name\' !

Für Hilfe, Ratschläge und Lösungsvorschläge bedanke ich mich herzlich im voraus!

Grüße,
Benjamin

Hallo Benjamin und

Leider sieht es nach SDBot aus und das bedeutet dann automatisch:
Technische Kompromittierung und Neuaufsetzen.

1.) Um sicher zu sein, starte den Rechner im abgesicherten Modus mit Netzwerkunterstützung.

2.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

C:\WINDOWS\system32\sysmgr.exe
C:\RECYCLER\S-1-5-21-2324000154-8521140725-373164211-2303\winservices.exe
         

Sollte die Meldung kommen, dass die Dateien bereits analysiert wurden, dann klicke trotzdem auf Analysieren.

Sollten die Dateien nicht zu finden sein, dann markiere hier jeweils eine Zeile, drücke [Strg]c, wechsel zu Virustotal, klicke das lange weiße Feld an und drücke [Strg]v. Dann klicke auf Analysieren.

ciao, andreas

Hallo und danke für das warmherzige 'Willkommen' Andreas.

Habe mein System runtergefahren und im abgesicherten Modus mit Netzwerk neugestartet. Ordneroptionen eingestellt auf 'alle Dateien anzeigen', Haken entfernt bei 'Dateierweiterungen ausblenden' und bei 'geschützte Systemdateien ausblenden'.

Danach die Datei sysmgr.exe wie oben beschrieben von virustotal überprüfen lassen.

Hier ist das Ergebnis von virustotal:

Datei sysmgr.exe empfangen 2009.01.31 23:32:38 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt


Ergebnis: 5/39 (12.83%)


Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.0.0.93 2009.01.31 -
AhnLab-V3 5.0.0.2 2009.01.31 -
AntiVir 7.9.0.60 2009.01.30 -
Authentium 5.1.0.4 2009.01.31 -
Avast 4.8.1281.0 2009.01.30 -
AVG 8.0.0.229 2009.01.31 -
BitDefender 7.2 2009.01.31 -
CAT-QuickHeal 10.00 2009.01.31 Trojan.Buzus.ajmi
ClamAV 0.94.1 2009.01.31 -
Comodo 955 2009.01.31 -
DrWeb 4.44.0.09170 2009.01.31 -
eSafe 7.0.17.0 2009.01.29 -
eTrust-Vet 31.6.6335 2009.01.29 -
F-Prot 4.4.4.56 2009.01.31 -
F-Secure 8.0.14470.0 2009.01.31 -
Fortinet 3.117.0.0 2009.01.31 -
GData 19 2009.01.31 -
Ikarus T3.1.1.45.0 2009.01.31 -
K7AntiVirus 7.10.612 2009.01.31 -
Kaspersky 7.0.0.125 2009.01.31 Heur.Trojan.Generic
McAfee 5512 2009.01.31 -
McAfee+Artemis 5512 2009.01.31 -
Microsoft 1.4306 2009.01.31 TrojanProxy:Win32/Agent.HZ
NOD32 3815 2009.01.31 -
Norman 6.00.02 2009.01.31 -
nProtect 2009.1.8.0 2009.01.30 Trojan/W32.Buzus.47559
Panda 9.5.1.2 2009.01.31 -
PCTools 4.4.2.0 2009.01.31 -
Prevx1 V2 2009.01.31 System Back Door
Rising 21.13.42.00 2009.01.23 -
SecureWeb-Gateway 6.7.6 2009.01.30 -
Sophos 4.38.0 2009.01.31 -
Sunbelt 3.2.1835.2 2009.01.16 -
Symantec 10 2009.01.31 -
TheHacker 6.3.1.5.242 2009.01.31 -
TrendMicro 8.700.0.1004 2009.01.30 -
VBA32 3.12.8.12 2009.01.30 -
ViRobot 2009.1.31.1583 2009.01.31 -
VirusBuster 4.5.11.0 2009.01.31 -
weitere Informationen
File size: 65009 bytes
MD5...: e082c340efc41416717b17c04b1ce030
SHA1..: 7a73972b4946fe3cd9e7cca38794382352035c35
SHA256: 8a71ffe34294b0fe42933c95e5de9f518a6965e9b57c218f30c38f77ba0381dd
SHA512: e475a1fc6e0c3f3a45a0a5a36b252788ce07d763a417c81fd715cfffb639606e
4e6f22338fe4f34c5aa3e6f33ec9e88fe56de73ed4f63e566dc3ccedab89d9cc

ssdeep: 1536:13dz/1C1L+axXTLx5vIJtBYN7wtfpOHsnyZD:13dT1CR9x5vIJt2Cpcsyp

PEiD..: Armadillo v1.71
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x3378
timedatestamp.....: 0x497dc21a (Mon Jan 26 14:00:58 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x5b1a 0x5c00 6.51 3dc127a912b69643a4b47bee06a758f5
.rdata 0x7000 0xaca 0xc00 4.98 5824fcc53a201443e4de05e3cce0a7d7
.data 0x8000 0x3480 0x2e00 1.30 d43fc68c16a3e0fb35a1f25f53d0a8b5

( 1 imports )
> KERNEL32.dll: OpenProcess, GetModuleHandleA, HeapAlloc, HeapFree, RtlUnwind, GetStartupInfoA, GetCommandLineA, GetVersion, ExitProcess, GetModuleFileNameA, GetEnvironmentVariableA, GetVersionExA, HeapDestroy, HeapCreate, VirtualFree, VirtualAlloc, HeapReAlloc, InitializeCriticalSection, EnterCriticalSection, LeaveCriticalSection, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, FreeEnvironmentStringsA, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, SetHandleCount, GetStdHandle, GetFileType, GetCurrentThreadId, TlsSetValue, TlsAlloc, SetLastError, TlsGetValue, GetLastError, WriteFile, GetCPInfo, GetACP, GetOEMCP, GetProcAddress, LoadLibraryA, InterlockedDecrement, InterlockedIncrement, MultiByteToWideChar, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW

( 0 exports )

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=E5F6F223F16D255CFD4400DDC1FEDE00BD358834' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=E5F6F223F16D255CFD4400DDC1FEDE00BD358834</a>


***********************************************************************

die Datei winservices.exe hingegen ist nicht auffindbar!

Der Suchassistent von Windows findet nur eine Prefetch-Datei im Windows-Ordner Prefetch. Es hat nicht funktioniert den hier im Post angegebenen Pfad zu kopieren und bei Virustotal einzufügen. Die Datei kann nicht gefunden werden. Ich habe die Datei daraufhin eigenhändig im Windows Ordner gesucht, auch in den Ordnern System und System32 - ohne Ergebnis. Nach Neustart des Systems im normalen Modus, habe ich im Taskmanager nachgeschaut, die Datei wird auch z. Zt. nicht im Hintergrund ausgeführt!

???


Grüße,
Benjamin

Prevx1 V2 2009.01.31 System Back Door
PEiD..: Armadillo v1.71

Nicht das ich jemals irgendeinem Virenscanner trauen würde, aber die Vermutung, die ich eh schon hatte, verdichtet sich leider immer mehr.

Um 1000% sicher zu sein: Prevx CSI Download
und MalwareBytes Antimalware

Frage deine Eltern, ob sie irgendeinen Link über MSN oder sonstigen Messenger bekommen haben. Falls ja, bitte per PN an mich schicken.

ciao, andreas

Hallo,

ich habe heute nach dem Hochfahren des Systems eine neue Warnung von Avira bekommen. Es wurden insgesamt drei Warnungen angezeigt: zwei mit dem TR/Dropper und eine neue: infizierte Datei mit Erkennungsmuster von DR/Agent.hua gefunden.

hier sind die Scan-Ergebnisse von Prevx CSI:






Das Prog Malware Bytes läuft noch...


Grüße!
Benjamin

Ich habe das CSI-Prog offen gelassen (minimiert). Jetzt kam folgende Meldung vom Prog:



Der Pfad zum ordner G:\recycler funktioniert. Es ist das Symbol eines Papierkorbs (versteckt), wie er auf dem Desktop eines jeden Windows Computers zu finden ist. Habe erst versucht ihn zu löschen, bekam aber den Hinweis, dass er System-Dateien beinhaltet (desktop.ini). Habe es daraufhin gelassen.

Gibt es irgendeine Möglichkeit diesen verfluchten Dropper runterzuschmeißen? Mir ist klar, dass format c: wohl eine logische Konsequenz wäre. Ich habe allerdings keine Möglichkeit meine Daten auf einer ext. Festplatte zu sichern. Habe viele Daten auf der Platte, die ich nicht missen möchte (Musik, Fotos, Home-Videos etc.)

Das andere Prog scant übrigens noch...


Grüße!
Benjamin