Dropper.Gen

shiva_noir · 21.02.2009, 19:36

Hallo ihr Lieben

Da bin ich mal wieder.
Heute hat mein AntiVir den Trojaner Dropper.Gen gefunden, worauf hin ich hier mal nach Lösungsansätzen gesucht habe.
Gefunden habe ich eine Anleitung von John.Doe und bin genauso vorgegangen.

Nun hier die Ergebnisse der Scans und Prozesse und abschliessend das neue HTJ Logfile, wäre lieb, wenn jemand mal drüber sieht, ob noch Auffälligkeiten erkennbar sind. AntiVir meldet jedenfalls nichts mehr.

Vielen Dank und liebe Grüße
Eure Shiva

Zitat:

Navilog Option 1:

Search Navipromo version 3.7.4 began on 21.02.2009 at 18:33:09,56

!!! Warning, this report may include legitimate files/programs !!!
!!! Post this report on the forum you are being helped !!!
!!! Don't continue with removal unless instructed by an authorized helper !!!

Fix running from C:\Programme\navilog1

Updated on 16.02.2009 at 18h00 by IL-MAFIOSO

Microsoft Windows XP Home Edition ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : Intel Pentium III Xeon-Prozessor )
BIOS : BIOS Date: 10/02/08 20:43:48 Ver: 08.00.14
USER : RSC Home ( Administrator )
BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.30 (Activated)

C:\ (Local Disk) - NTFS - Total:78 Go (Free:69 Go)
D:\ (CD or DVD)
E:\ (Local Disk) - NTFS - Total:53 Go (Free:50 Go)
F:\ (Local Disk) - NTFS - Total:29 Go (Free:26 Go)
G:\ (Local Disk) - NTFS - Total:157 Go (Free:67 Go)
H:\ (Local Disk) - NTFS - Total:48 Go (Free:28 Go)
I:\ (Local Disk) - NTFS - Total:97 Go (Free:89 Go)
K:\ (CD or DVD)
L:\ (CD or DVD)

Search done in normal mode

*** Searching for installed Software ***

*** Search folders in "C:\WINDOWS" ***

*** Search folders in "C:\Programme" ***

*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1\progra~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\All Users\startm~1" ***

*** Search folders in "c:\dokume~1\alluse~1\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\RSC Home\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" ***

*** Search folders in "C:\Dokumente und Einstellungen\RSC Home\startm~1\progra~1" ***

*** Search with GenericNaviSearch ***
!!! Possibility of legitimate files in the result !!!
!!! Must always be checked before manually deleting !!!

* Scan in "C:\WINDOWS\system32" *

* Scan in "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" *

*** Search files ***

*** Search specific Registry keys ***
!! Following keys are not certainly all infected !!

*** Complementary Search ***
(Search specific files)

1)Search new Instant Access files :

2)Heuristic Search :

* In "C:\WINDOWS\system32" :

* In "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" :

3)Certificates Search :

Egroup certificate not found !
Electronic-Group certificate not found !
Montorgueil certificate not found !
OOO-Favorit certificate not found !
Sunny-Day-Design-Ltd certificate not found !

4)Search others known folders and files :

*** Search completed on 21.02.2009 at 18:33:29,56 ***

Zitat:

Navilog Option 2:

Navipromo Removal version 3.7.4 started on 21.02.2009 at 18:34:57,56

Fix running from C:\Programme\navilog1

Updated on 16.02.2009 at 18h00 by IL-MAFIOSO

Microsoft Windows XP Home Edition ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : Intel Pentium III Xeon-Prozessor )
BIOS : BIOS Date: 10/02/08 20:43:48 Ver: 08.00.14
USER : RSC Home ( Administrator )
BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.30 (Activated)

C:\ (Local Disk) - NTFS - Total:78 Go (Free:69 Go)
D:\ (CD or DVD)
E:\ (Local Disk) - NTFS - Total:53 Go (Free:50 Go)
F:\ (Local Disk) - NTFS - Total:29 Go (Free:26 Go)
G:\ (Local Disk) - NTFS - Total:157 Go (Free:67 Go)
H:\ (Local Disk) - NTFS - Total:48 Go (Free:28 Go)
I:\ (Local Disk) - NTFS - Total:97 Go (Free:89 Go)
K:\ (CD or DVD)
L:\ (CD or DVD)

Automatic removal
with Catchme and GNS results

Cleanning stage done on Reboot

*** fsbl1.txt not found ***
(Check that Catchme found nothing in Search Mode)

*** Deleting with Backups GenericNaviSearch results ***

* Deletion in "C:\WINDOWS\System32" *

* Deletion in "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" *

*** Deleting folders in "C:\WINDOWS" ***

*** Deleting folders in "C:\Programme" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\All Users\startm~1\progra~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\All Users\startm~1" ***

*** Deleting folders in "c:\dokume~1\alluse~1\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\RSC Home\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" ***

*** Deleting folders in "C:\Dokumente und Einstellungen\RSC Home\startm~1\progra~1" ***

*** Deleting files ***

*** Deleting temporary files ***

Cleaning of C:\WINDOWS\Temp done !
Cleaning of C:\Dokumente und Einstellungen\RSC Home\lokale~1\Temp done !

*** Complementary Search ***
(Search specific files)

1)Deletion with backups new Instant Access files:

2)Heuristic search and deletion with backups :

* In "C:\WINDOWS\system32" *

* In "C:\Dokumente und Einstellungen\RSC Home\lokale~1\anwend~1" *

*** Copy Registry to Safebackup folder ***

Backing up Registry done !

*** Cleaning Registry ***

Registry cleaned

*** Certificates ***

Egroup Certificate not found !
Electronic-Group Certificate not found !
Montorgueil Certificate not found !
OOO-Favorit Certificate not found !
Sunny-Day-Design-Ltd Certificate not found !

*** Search others known folders and files ***

*** Cleaning stage complete on 21.02.2009 at 18:37:31,76 ***

Zitat:

Malwarebytes AntiMalware Logfile nach dem vollständigen Scan:

Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1785
Windows 5.1.2600 Service Pack 3

21.02.2009 18:49:54
mbam-log-2009-02-21 (18-49-54).txt

Scan-Methode: Vollständiger Scan (C:\|E:\|F:\|G:\|H:\|I:\|)
Durchsuchte Objekte: 141032
Laufzeit: 9 minute(s), 59 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\$NtServicePackUninstall$\wextract.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
E:\Progs Setups\dotnetfx.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

Zitat:

SuperAntiSpyware Log:

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 02/21/2009 at 07:24 PM

Application Version : 4.25.1012

Core Rules Database Version : 3769
Trace Rules Database Version: 1729

Scan type : Complete Scan
Total Scan Time : 00:29:41

Memory items scanned : 494
Memory threats detected : 0
Registry items scanned : 6286
Registry threats detected : 1
File items scanned : 73414
File threats detected : 5

Trojan.DNSChanger-Codec
HKU\S-1-5-21-1202660629-1284227242-839522115-1004\Software\fcn

BearShare File Sharing Client
C:\PROGRAMME\BEARSHARE APPLICATIONS\BEARSHARE\BEARSHARE.EXE
C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\STARTMENü\PROGRAMME\LADEN & BRENNEN\BEARSHARE\BEARSHARE.LNK
C:\DOKUMENTE UND EINSTELLUNGEN\RSC HOME\ANWENDUNGSDATEN\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\BEARSHARE.LNK
F:\TASKLEISTE\LADEN & BRENNEN\BEARSHARE.LNK

Adware.Vundo/Variant-MSFake
C:\PROGRAMME\NAVILOG1\REG.EXE

Zitat:

HTJ Log nach Neustart:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:34:14, on 21.02.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
E:\Programme\Bluetooth Software\Bluetooth Software\bin\btwdins.exe
E:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\rundll32.exe
E:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
E:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
E:\Programme\Bluetooth Software\Bluetooth Software\BTTray.exe
E:\Programme\HiJackThis\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://dt-updates.com/activate?query...DuGumjMRu1pz0f
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - E:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - E:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "E:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] E:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - E:\Programme\Bluetooth Software\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - E:\Programme\Bluetooth Software\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - E:\Programme\Bluetooth Software\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ 6\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ 6\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E718D87-6909-4FCE-92D4-EDCB2F725727} (Navigram Control) - http://www.navigram.com/engine/v911/Navigram.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - E:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - E:\Programme\Bluetooth Software\Bluetooth Software\bin\btwdins.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - E:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 6033 bytes

Jig Saw · 21.02.2009, 19:40

ok danke Rama

raman · 21.02.2009, 19:52

Zur Info: Die Funde von Mbam sollten Fehlalarme sein.

shiva_noir · 21.02.2009, 20:22

Hallo ihr beiden...eure Posts gehören aber nicht zu meinem Thread

raman · 21.02.2009, 20:27

Selbstverstaendlich!

Die Funde, die du mit Mbam geloescht hast waren keine Malware. Du solltest diese wiederherstellen lassen.

shiva_noir · 21.02.2009, 20:35

Danke Raman, hab die beiden Einträge wiederhergestellt.

Und sonst? Irgendwelche Überraschungen in den Logs?

LG Shiva

raman · 21.02.2009, 20:44

Nein, nichts wirklich auffaelliges. Das interessanteste, was du verschwiegen hast ist, wo Antivir diesen Trojan Dropper gemeldet hat...

shiva_noir · 21.02.2009, 21:10

Ups

Zitat:

C:\System Volume Information\_restore{0CF3EDD4-5782-497E-9321-688D0DCB4448}\RP108\A0015745.exe
[FUND] Ist das Trojanische Pferd TR/Dropper.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 49d02f02.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.

raman · 21.02.2009, 21:15

Das kannst du erstmal ignorieren, da Antivir die Datei sowieso geloescht hat. Zu einem Problem wird es erst, wenn Antivir erneut dort den selben Schaedling meldet!

Nachtrag: Hake bitte folgendes in HijackThis an und druecke fix checked:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://dt-updates.com/activate?query...DuGumjMRu1pz0f

Ein Besuch von www.windowsupdate.com und das installieren der dort angebotenen wichtigen Updates kann auch nicht schaden!

shiva_noir · 23.02.2009, 16:59

Vielen lieben Dank.
Wenn es das nun war, kann hier geclosed werden, ansonsten meld ich mich wieder

Liebe Grüße
eure Shiva

21.02.2009, 19:40	#2
Jig Saw /// Helfer-Team	Dropper.Gen ok danke Rama __________________ __________________ Geändert von Jig Saw (21.02.2009 um 19:55 Uhr)

Dropper.Gen

Plagegeister aller Art und deren Bekämpfung: Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Dropper.Gen

Ähnliche Themen: Dropper.Gen

21.02.2009, 19:52	#3
raman	Dropper.Gen Zur Info: Die Funde von Mbam sollten Fehlalarme sein. __________________ __________________

21.02.2009, 20:22	#4
shiva_noir	Dropper.Gen Hallo ihr beiden...eure Posts gehören aber nicht zu meinem Thread Geändert von shiva_noir (21.02.2009 um 20:34 Uhr)

21.02.2009, 20:27	#5
raman	Dropper.Gen Selbstverstaendlich! Die Funde, die du mit Mbam geloescht hast waren keine Malware. Du solltest diese wiederherstellen lassen. __________________ MfG Ralf

21.02.2009, 20:35	#6
shiva_noir	Dropper.Gen Danke Raman, hab die beiden Einträge wiederhergestellt. Und sonst? Irgendwelche Überraschungen in den Logs? LG Shiva

21.02.2009, 20:44	#7
raman	Dropper.Gen Nein, nichts wirklich auffaelliges. Das interessanteste, was du verschwiegen hast ist, wo Antivir diesen Trojan Dropper gemeldet hat... __________________ MfG Ralf

23.02.2009, 16:59	#10
shiva_noir	Dropper.Gen Vielen lieben Dank. Wenn es das nun war, kann hier geclosed werden, ansonsten meld ich mich wieder Liebe Grüße eure Shiva