| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Infektion mit vundo.gen und einigem mehr...Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
02.05.2009, 19:16
| #1 |
| |  Infektion mit vundo.gen und einigem mehr... Hallo da draußen! So, folgendermaßen: Eine Bekannte hat mich gebeten, mal ihren PC anzuschauen, weil sich da wohl ein Virus breitgemacht hat und sie keine Ahnung von sowas hat. Problem dabei ist: Ich hab nicht bedeutend mehr Ahnung  Ich hab also versucht, mich an eure ersten Schritte zu halten. Konsequenz daraus ist, nachdem ich mir hier eure ersten Tipps angesehen habe, lass ich erstmal CCleaner drüberlaufen und Malwarebytes Anti-Malware auch. Das hier ist der Report und das HijackThis File: Anti-Malware Report: Malwarebytes' Anti-Malware 1.36 Datenbank Version: 2067 Windows 5.1.2600 Service Pack 3 02.05.2009 19:56:15 AA-mbam-log-2009-05-02 (19-55-57).txt Scan-Methode: Vollständiger Scan (C:\|) Durchsuchte Objekte: 175302 Laufzeit: 39 minute(s), 14 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 5 Infizierte Registrierungsschlüssel: 7 Infizierte Registrierungswerte: 5 Infizierte Dateiobjekte der Registrierung: 4 Infizierte Verzeichnisse: 0 Infizierte Dateien: 32 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: C:\WINDOWS\system32\lumuheze.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\bimefili.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\tuwihavo.dll (Trojan.Vundo.H) -> No action taken. c:\WINDOWS\system32\pavelaro.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\Rbubi.dll (Trojan.Agent) -> No action taken. Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{bf1561c2-c5d4-4213-a6c0-3254af5ba0ce} (Trojan.Vundo.H) -> No action taken. HKEY_CLASSES_ROOT\CLSID\{bf1561c2-c5d4-4213-a6c0-3254af5ba0ce} (Trojan.Vundo.H) -> No action taken. HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{bf1561c2-c5d4-4213-a6c0-3254af5ba0ce} (Trojan.Vundo.H) -> No action taken. HKEY_CLASSES_ROOT\CLSID\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cpm734ff003 (Trojan.Vundo.H) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rajirefoge (Trojan.Vundo.H) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.Vundo.H) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.Vundo.H) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\epeluq (Trojan.Agent) -> No action taken. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\tuwihavo.dll -> No action taken. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\tuwihavo.dll -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\pavelaro.dll -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: c:\WINDOWS\system32\pavelaro.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\bimefili.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\lumuheze.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\tuwihavo.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\Rbubi.dll (Trojan.Agent) -> No action taken. C:\Dokumente und Einstellungen\Diana\Lokale Einstellungen\Temp\sec_free_setup.exe (Rogue.SecureExpertCleaner) -> No action taken. C:\Dokumente und Einstellungen\Diana\Lokale Einstellungen\Temp\IXP000.TMP\hid(2).exe (Backdoor.Bot) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP695\A0131802.exe (Trojan.Hiloti) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP695\A0132799.dll (Trojan.Vundo) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP695\A0132800.dll (Trojan.Vundo) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP696\A0133932.exe (Rogue.SpywareRemover) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP696\A0133927.exe (Rogue.SpywareRemover) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP696\A0133929.exe (Rogue.SpywareRemover) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP696\A0133931.exe (Rogue.MalwareRemover2009) -> No action taken. C:\System Volume Information\_restore{A11D6FCD-EF8E-4B5C-825C-5292F47DB320}\RP697\A0134029.exe (Backdoor.Bot) -> No action taken. C:\WINDOWS\system32\badarizo.dll (Trojan.Vundo) -> No action taken. C:\WINDOWS\system32\bimefili.dll.tmp (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\degejiba.dll (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\devoresi.dll (Trojan.Vundo) -> No action taken. C:\WINDOWS\system32\tuwihavo.dll.vir (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\system32\kohirovu.exe (Trojan.Downloader) -> No action taken. C:\WINDOWS\system32\lumuheze.dll.tmp (Trojan.Vundo.H) -> No action taken. C:\WINDOWS\instsp2.exe (Trojan.Agent) -> No action taken. c:\WINDOWS\system32\mibevilo.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\bahezido.dll (Trojan.Agent) -> No action taken. C:\WINDOWS\system32\bovenage.dll.vir (Trojan.Vundo) -> No action taken. C:\WINDOWS\Fonts\bellbottom.zip (Worm.Archive) -> No action taken. C:\WINDOWS\Fonts\blomster.zip (Worm.Archive) -> No action taken. C:\WINDOWS\Fonts\chlorinar.zip (Worm.Archive) -> No action taken. C:\WINDOWS\Fonts\croisant.zip (Worm.Archive) -> No action taken. C:\WINDOWS\Fonts\lokicola.zip (Worm.Archive) -> No action taken. C:\WINDOWS\Fonts\tallpaul.zip (Worm.Archive) -> No action taken. (Anm.: Ich nehme mal an, dass die "no action taken" Dinger nach einem Neustart entfernt wurden, jedenfalls sagte mir das Prog, einige Dinge könnten erst nach einem Neustart entfernt werden.) Und hier das HijackThis Log: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:03:34, on 02.05.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16791) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\Programme\Gemeinsame Dateien\AccSys\AccWLSvc.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\Anti-Spyware\ewido anti-spyware 4.0\guard.exe C:\Programme\Sandboxie\SbieSvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe C:\Programme\QuickTime\qttask.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programme\Java\jre1.5.0_06\bin\jusched.exe C:\Programme\HP\HP Software Update\HPWuSchd2.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\FreePDF_XP\fpassist.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Veoh\VeohClient.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Sandboxie\SbieCtrl.exe C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe C:\Programme\Logitech\SetPoint\KEM.exe C:\Programme\Yahoo!\Messenger\ymsgr_tray.exe C:\Programme\Logitech\SetPoint\KHALMNPR.EXE C:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe C:\Programme\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://***.arcor.de R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://***.arcor.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost O1 - Hosts: 82.98.231.89 url.adtrgt.com O1 - Hosts: 82.98.231.89 googleads2.gdoubleclick.net O1 - Hosts: scanner.info O1 - Hosts: 82.98.231.89 antivirus-xp-pro-2009.com O1 - Hosts: 82.98.231.89 microsoft.infosecuritycenter.com O1 - Hosts: 82.98.231.89 microsoft.softwaresecurityhelp.com O1 - Hosts: 82.98.231.89 onlinenotifyq.net O1 - Hosts: 82.98.231.89 antivirusxp-pro-2009.com O1 - Hosts: 82.98.231.89 microsoft.browser-security-center.com O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: (no name) - {bf1561c2-c5d4-4213-a6c0-3254af5ba0ce} - C:\WINDOWS\system32\jijejamu.dll O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh\Plugins\reg\VeohToolbar.dll O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [ATIPTA] "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe O4 - HKLM\..\Run: [WLAN Quick-Starter] "C:\Programme\WLAN Quick-Starter\WLAN Quick-Starter.exe" -update O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programme\wLAN\D-Link AirPlus G\AirGCFG.exe O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe O4 - HKLM\..\Run: [WLConfig] C:\Programme\WLAN Monitor\WLConfig.exe -autostart O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [rajirefoge] Rundll32.exe "C:\WINDOWS\system32\bahezido.dll",s O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [Yahoo! Pager] C:\Programme\Yahoo!\Messenger\ypager.exe -quiet O4 - HKCU\..\Run: [Veoh] "C:\Programme\Veoh\VeohClient.exe" /VeohHide O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [SandboxieControl] "C:\Programme\Sandboxie\SbieCtrl.exe" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\KEM.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: VPN Client.lnk = ? O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing) O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing) O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O14 - IERESET.INF: START_PAGE_URL=http://www.yakumo.de O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1107252954562 O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: c:\windows\system32\mibevilo.dll,C:\WINDOWS\system32\desoyahi.dll O23 - Service: AccSys WiFi Server (AccWLSvc) - AccSys GmbH - C:\Programme\Gemeinsame Dateien\AccSys\AccWLSvc.exe O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\Anti-Spyware\ewido anti-spyware 4.0\guard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: PsShutdown (PsShutdownSvc) - Systems Internals - C:\WINDOWS\System32\PSSDNSVC.EXE O23 - Service: Sandboxie Service (SbieSvc) - tzuk - C:\Programme\Sandboxie\SbieSvc.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe -- End of file - 9594 bytes |
| Themen zu Infektion mit vundo.gen und einigem mehr... |
| 1.exe, adobe, bho, browser, desktop, disabled.securitycenter, einstellungen, excel, explorer, helper, hijack, hijackthis, hijackthis log, hkus\s-1-5-18, internet, internet explorer, malwarebytes anti-malware, monitor, neustart, notification, plug-in, problem, registrierungsschlüssel, rundll, security, server, software, system, temp, trojan.downloader, trojan.hiloti, virus, vundo.gen, windows xp, wlan |
Baum-Darstellung