Probleme mit Tr. Dropper Gen und werbepopups

Angel21 · 17.03.2009, 15:46

Bitte lasse mal Malwarebytes durchlaufen und lasse mal

Zitat:

c:\dokumente und einstellungen\danny.danny-46475eb1c\lokale einstellungen\anwendungsdaten\qccqmgc.exe

bei Virustotal uploaden. Auch beide Logs posten, auch wenn kein Ergebnis gefunden worden ist.

fördecat · 17.03.2009, 19:35

Zitat:

Zitat von Angel21

Bitte lasse mal Malwarebytes durchlaufen und lasse mal bei Virustotal uploaden. Auch beide Logs posten, auch wenn kein Ergebnis gefunden worden ist.

bedankt für die schnelle antwort, hier folgen die logs, malwarebytes habe ich, wie auch ccleaner, bereits vor ein paar tagen nach hiesigen anleitungen ausgeführt, dies poste ich hier jetzt mit, lasse mwb jetzt erneut scannen, log folgt gleich...

Virustotal:

Code:

ATTFilter

 Datei qccqmgc.exe empfangen 2009.03.17 19:19:48 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 6/39 (15.39%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 2.
Geschätzte Startzeit ist zwischen 44 und 63 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email: 	
	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
a-squared	4.0.0.101	2009.03.17	-
AhnLab-V3	5.0.0.2	2009.03.17	-
AntiVir	7.9.0.116	2009.03.17	-
Authentium	5.1.0.4	2009.03.17	W32/Skintrim.1!Generic
Avast	4.8.1335.0	2009.03.17	-
AVG	8.0.0.237	2009.03.17	-
BitDefender	7.2	2009.03.17	-
CAT-QuickHeal	10.00	2009.03.17	-
ClamAV	0.94.1	2009.03.17	-
Comodo	1062	2009.03.17	-
DrWeb	4.44.0.09170	2009.03.17	-
eSafe	7.0.17.0	2009.03.17	-
eTrust-Vet	31.6.6388	2009.03.09	-
F-Prot	4.4.4.56	2009.03.16	W32/Skintrim.1!Generic
F-Secure	8.0.14470.0	2009.03.17	-
Fortinet	3.117.0.0	2009.03.17	-
GData	19	2009.03.17	-
Ikarus	T3.1.1.45.0	2009.03.17	-
K7AntiVirus	7.10.674	2009.03.17	-
Kaspersky	7.0.0.125	2009.03.17	-
McAfee	5555	2009.03.16	-
McAfee+Artemis	5555	2009.03.16	-
McAfee-GW-Edition	6.7.6	2009.03.17	Trojan.LooksLike.Dropper
Microsoft	1.4405	2009.03.17	Trojan:Win32/Skintrim.gen!D
NOD32	3943	2009.03.17	-
Norman	6.00.06	2009.03.17	-
nProtect	2009.1.8.0	2009.03.17	-
Panda	10.0.0.10	2009.03.17	Suspicious file
PCTools	4.4.2.0	2009.03.17	-
Prevx1	V2	2009.03.17	High Risk Fraudulent Security Program
Rising	21.21.12.00	2009.03.17	-
Sophos	4.39.0	2009.03.17	-
Sunbelt	3.2.1858.2	2009.03.17	-
Symantec	1.4.4.12	2009.03.17	-
TheHacker	6.3.3.0.283	2009.03.16	-
TrendMicro	8.700.0.1004	2009.03.17	-
VBA32	3.12.10.1	2009.03.16	-
ViRobot	2009.3.17.1652	2009.03.17	-
VirusBuster	4.6.5.0	2009.03.17	-
weitere Informationen
File size: 212992 bytes
MD5...: f29b086477743a1476d454de8ea247c5
SHA1..: be5319e2f3f2961381350ef1fd7396777388d47f
SHA256: 8912b1d59bd0445404f54e793da583c73dfa75dc7784dc924bd4f21f4004a10f
SHA512: 389b3ab3b09163296af4d6c24671e13e927f19dac7dac676c8d8d22e0abdaa21
896ff4560d9fffbf9f9abf599afa3384f9211d32d0e72751be5bb0eb4ae3c887
ssdeep: 6144:LXdcxeJ5U68+/fjeVl40jZtjCbvRpK2T54DM+226:LXdQ2rt2j+zu2l48
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x14c0
timedatestamp.....: 0x45fd5068 (Sun Mar 18 14:44:56 2007)
machinetype.......: 0x14c (I386)

( 2 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x30dde 0x31000 7.42 1086b193bb7125a0ff5115ba6cf29640
.rdata 0x32000 0x14fe 0x2000 4.20 cfe9f4b1ee7d3071dd41d621e336a75c

( 11 imports )
> SHELL32.dll: ExtractIconExW, DragQueryPoint, DragFinish, SHFileOperationW, SHGetSpecialFolderPathW, SHAddToRecentDocs, Shell_NotifyIconA, SHGetPathFromIDListA, SHGetSpecialFolderPathA
> OLEAUT32.dll: -, -, -
> COMCTL32.dll: ImageList_EndDrag, ImageList_GetIcon, ImageList_DragLeave, ImageList_SetDragCursorImage
> GDI32.dll: SelectObject, GetGlyphOutlineW, ExcludeClipRect, SetTextAlign, EnumFontsW, GetCurrentPositionEx, GetCurrentObject, UpdateColors, CreateEnhMetaFileW, ArcTo, SetBrushOrgEx, SetTextCharacterExtra, SelectClipPath, EnumFontFamiliesExW, ExtFloodFill
> VERSION.dll: GetFileVersionInfoA
> ADVAPI32.dll: SetNamedSecurityInfoA, RegFlushKey, ImpersonateLoggedOnUser, IsTextUnicode, DuplicateTokenEx, SetSecurityInfo, RegSetKeySecurity, GetNamedSecurityInfoA, SetSecurityDescriptorOwner, RegOpenKeyA, ImpersonateSelf, AddAccessDeniedAce, CryptReleaseContext, LookupPrivilegeDisplayNameA, RegCreateKeyA, CryptDecrypt, EqualSid, CryptVerifySignatureW, RegGetKeySecurity, RegQueryValueExA, LockServiceDatabase, AccessCheckAndAuditAlarmW, CryptSetProvParam, SetServiceStatus, RegEnumKeyA, RegisterServiceCtrlHandlerA, StartServiceA, PrivilegeCheck, LookupAccountSidA, DeregisterEventSource, NotifyBootConfigStatus, OpenServiceW, MakeAbsoluteSD, SetSecurityDescriptorGroup, ClearEventLogW, RegSetValueExA, IsValidSid, InitializeAcl, OpenSCManagerA, AllocateAndInitializeSid, LookupAccountNameA, NotifyChangeEventLog, CryptDeriveKey
> KERNEL32.dll: FillConsoleOutputCharacterA, GetConsoleMode, GetSystemInfo, GetStringTypeExW, SizeofResource, PeekConsoleInputW, VirtualAllocEx, WritePrivateProfileStringW, LoadResource, GetCurrentProcessId, FormatMessageA, LoadLibraryExW, SetSystemTime, CreateDirectoryExA, GetDateFormatA, CreateFileW, ExitProcess, VirtualAlloc, GetCommandLineA, FindFirstFileExW, GenerateConsoleCtrlEvent, lstrcmpiW, LocalReAlloc, PurgeComm, FlushConsoleInputBuffer, GetProfileIntA, TryEnterCriticalSection, OpenSemaphoreW, EnumDateFormatsW, EnumResourceNamesA, ExpandEnvironmentStringsW, SetCurrentDirectoryA, GetBinaryTypeW, SetFileTime, ClearCommBreak, GetDiskFreeSpaceExA, WriteFile, FatalAppExitA, OutputDebugStringA, CreateDirectoryW, GetSystemTime, WritePrivateProfileStringA, GetDriveTypeA, SetConsoleCursorPosition, SetNamedPipeHandleState
> WS2_32.dll: WSAEnumNetworkEvents, -, -, -, -, WSASocketW, WSALookupServiceBeginA, WSAHtons, WSARecv, -, -, -, WSAAccept, WSANtohs, WSARecvFrom, -, WSAEnumProtocolsW
> ole32.dll: OleQueryLinkFromData, StgCreateStorageEx, OleRegGetUserType
> USER32.dll: SendMessageTimeoutW, ClientToScreen, FindWindowExW, InsertMenuItemW, WinHelpA, SetWindowsHookW, NotifyWinEvent, OemToCharA, MsgWaitForMultipleObjectsEx, SetMenuItemBitmaps, UnloadKeyboardLayout, PostThreadMessageW, SetPropA, InvalidateRgn, DestroyMenu, GetMessageTime, GetSysColorBrush, GetLastActivePopup, OpenWindowStationA, GetKeyboardLayoutList, ChildWindowFromPointEx, CreateWindowExW, ScreenToClient, IsChild, RegisterWindowMessageA, SubtractRect, GetScrollRange, ChangeMenuW, EnumDisplaySettingsW, GetUpdateRgn
> MSVCRT.dll: _itow, _sopen, wcscmp, _stricoll, _mbsnbcnt, mbtowc, _spawnv, vwprintf, iswspace, wcstombs, isxdigit, _wchdir, calloc, remove, _wcsnset, _mbsinc, system, wcstok, strcoll, fgets, _spawnvp, _ultoa, wcslen

( 0 exports )
Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=DCECDC4000999F33405C03B2B295900026DD5818' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=DCECDC4000999F33405C03B2B295900026DD5818</a>

malwarebytes:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1836
Windows 5.1.2600 Service Pack 2

11.03.2009 19:48:19
mbam-log-2009-03-11 (19-48-19).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 194896
Laufzeit: 1 hour(s), 31 minute(s), 59 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 16
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 4
Infizierte Dateien: 12

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\c:/windows/downloaded program files/popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{c9c5deaf-0a1f-4660-8279-9edfad6fefe1} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{e4e3e0f8-cd30-4380-8ce9-b96904bdefca} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{fe8a736f-4124-4d9c-b4b1-3b12381efabe} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{36dbc179-a19f-48f2-b16a-6a3e19b42a87} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{36dbc179-a19f-48f2-b16a-6a3e19b42a87} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{25f97eb4-1c02-45ba-ba0c-e67aace64d4a} (Adware.ToolBar) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{36dbc179-a19f-48f2-b16a-6a3e19b42a87} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\MediaHoldings (Adware.PlayMP3Z) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\IGB (Rogue.Residue) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\WINDOWS\Downloaded Program Files\popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{25f97eb4-1c02-45ba-ba0c-e67aace64d4a} (Adware.ToolBar) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\InternetGameBox (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\favoris (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\skins (Adware.EGDAccess) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\Downloaded Program Files\popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Danny.DANNY-46475EB1C\Desktop\PLAY_MP3.exe (Adware.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{A5CD423F-B102-4C67-A1C1-BE5B2D9D2A76}\RP253\A0019896.dll (Adware.Hotbar) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\language (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\AttenteOff.html (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\AttenteOn.html (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\configv2_en.xml (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\configv2_es.xml (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\configv2_fr.xml (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\ressources\favoris\defaultv2.swf (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Programme\InternetGameBox\skins\skinv2.skn (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\form.txt (Malware.Trace) -> Quarantined and deleted successfully.

weiter mache ich also dann gleich nach den anweisungen von Chris4you...

Angel21 · 17.03.2009, 19:48

Paar schlechte und eine gute Nachricht, welche möchtest du zuerst hören?

Erstmal die schlechten...
1: Du hast Massig viel drauf an Adware
2: der Trojaner Dropper macht mir massig Sorgen
3: du hast kein SP 3 drauf - schäme dich!

4: das wird wohl eine etwas härtere Prozedur werden.

nun zu der guten Nachricht....
1: sei froh, dass es nicht noch schlimmer gekommen ist und du dich an uns gewendet hast. Vielleicht aber nur Vielleicht können wir einer Neuinstallation aus dem Wege gehen, mal sehen wie es aussieht mit den Dingen, die du nun befolgen wirst, was Chris dir angeraten hat.

Zitat:

c:\dokumente und einstellungen\danny.danny-46475eb1c\lokale einstellungen\anwendungsdaten\qccqmgc.exe

Den Eintrag würde ich fixen und die dazugehörigen Dinge löschen.
Bitte alle Logfiles posten.

Zudem würde ich noch gerne, dass du SUPERAntiSpyware laufen lässt.

fördecat · 17.03.2009, 21:14

Zitat:

Zitat von Angel21

Paar schlechte und eine gute Nachricht, welche möchtest du zuerst hören?

Erstmal die schlechten...
1: Du hast Massig viel drauf an Adware
2: der Trojaner Dropper macht mir massig Sorgen
3: du hast kein SP 3 drauf - schäme dich!

4: das wird wohl eine etwas härtere Prozedur werden.

nun zu der guten Nachricht....
1: sei froh, dass es nicht noch schlimmer gekommen ist und du dich an uns gewendet hast. Vielleicht aber nur Vielleicht können wir einer Neuinstallation aus dem Wege gehen, mal sehen wie es aussieht mit den Dingen, die du nun befolgen wirst, was Chris dir angeraten hat.

Den Eintrag würde ich fixen und die dazugehörigen Dinge löschen.
Bitte alle Logfiles posten.

Zudem würde ich noch gerne, dass du SUPERAntiSpyware laufen lässt.

Den Eintrag fixen, wie, bzw. womit mach ich das?

john.doe · 17.03.2009, 21:30

Nun jage den Leuten doch keine Angst ein, mein Engel. Das ist alles nur Adware, völlig harmlos.

Bitte lade Dir Navilog1 von IL-MAFIOSO herunter.

Doppelklicke auf navilog1.exe
Sollte das Programm nach Abschluß der Installation nicht automatisch gestartet werden, führe es bitte per Doppelklick auf das Navilog1-Shortcut auf deinem Desktop aus.
Wähle E für Englisch im Sprachenmenü
Wähle 1 im nächsten Menü um "Suche" auszuwählen. Bestätige mit Enter.
Die Dauer des Scans kann variieren, bitte abwarten. Wenn du aufgefordert wirst, eine Taste zu drücken, tue dies bitte.
Ein neues Dokument sollte erstellt und geöffnet werden: fixnavi.txt.
Bitte füge den Inhalt dieser Datei in deine nächste Antwort ein.

Der Bericht wird außerdem im Hauptverzeichnis (z.B.: "C:\") erstellt.

Hinweis:
Navilog1.exe wir von einigen Antivirenprogrammen als bösartig erkannt. Dies ist ein Fehlalarm. Die Nachricht bitte ignorieren.

ciao, andreas

Probleme mit Tr. Dropper Gen und werbepopups

Plagegeister aller Art und deren Bekämpfung: Probleme mit Tr. Dropper Gen und werbepopups