| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua"Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
14.05.2009, 17:22
| #1 |
 | ![TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" - Standard](images/icons/icon1.gif "TR/Dldr.WMA.Wimad.N' [trojan] nach \"4a7e414f.qua\" - Standard"){kind=icon} TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" Hallo und herzliche Grüsse an die Rechnerheiler :-) Bin Frischling hier...folgendes Problem, ich hatte eine Musikdatei (mp3), bei der mein Avira Alarm geschlagen hat. Erkannt hat er den "TR/Dldr.WMA.Wimad.N' [trojan]". Er hat mich erst gar nicht gefragt was er machen soll sondern den anscheinend gleich selber verarztet, wenn ich jetzt das Eventlog anschau und diese Detection doppelklicke kommt in der Meldung "The file was moved to '4a7e414f.qua'!". Ist das der Quarantänebereich? Ich hab diesen Bereich nirgends gefunden, und auch Google und die Suche hier im Board haben keine Ergebnisse gebracht. Kann ich das Ding irgendwie endgültig löschen oder vernichten? Und kann diese Datei in der kurzen Zeit zwischen Download und Detection schon was angestellt haben? War immerhin lang genug um sie in den Player rüberzuziehen und abzuspielen zu versuchen. Danke schonmal, und Grüsse an alle... Olli |
|
14.05.2009, 18:29
| #3 |
| | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" Hi...
__________________Als Player hab ich den VLC, der hat aber natürlich bei dieser Datei gestreikt...deswegen hab ich sie mal von Avira untersuchen lassen, mit dem bekannten Ergebnis. Mit Einleitung abarbeiten, meinst du da ich soll direkt m it CC-cleaner, Anti-... und Hijack drübergehen? Du hast es mit einem PC-Laien zu tun... |
|
14.05.2009, 18:47
| #4 |
| | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" Ja genau das meint er  |
|
14.05.2009, 21:47
| #5 | |
| /// TB-Ausbilder     | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua"Zitat:
 ReBlubb, ja bitte einfach die Liste abarbeiten. CCleaner löscht nur temporäre Dateien, das sind Dateien die Windows nur kurz braucht und dafür erstellt. Diese Dateien kann man bedenkenlos löschen. Hijackthis ist ein Programm, das nur eine Analyse des Rechners erstellt, es verändert nichts an deinem Rechner. Malwarebytes ist ein Malwarescanner, wenn du bedenken hast, dann lass dir einfach ein Log erstellen ohne die Dateien zu löschen und poste es hier  lg myrtille
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM Spelling mistakes? Never, but keybaord malfunctions constantly! |
|
16.05.2009, 06:53
| #6 |
| | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" So...jetzt hatte ich mal´n bisschen Zeit :-) Also... CCleaner sollte ja lt eurer Anleitung so oft durchlaufen bis kein Fehler mehr kommt.Ich hab´s nach dem 14. Mal aufgegeben, beim 1.mal waren´s ne ganze Ladung voll, beim 2. Mal waren´s noch 2, ab dem 3.mal einer- aber der blieb.Immer an genau derselben stelle wenn man das so sagen kann. Logfile Malwarebytes Code:
ATTFilter Malwarebytes' Anti-Malware 1.36
Datenbank Version: 2139
Windows 5.1.2600 Service Pack 3
16.05.2009 07:48:36
mbam-log-2009-05-16 (07-48-36).txt
Scan-Methode: Vollständiger Scan (C:\|G:\|)
Durchsuchte Objekte: 120874
Laufzeit: 29 minute(s), 38 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Logfile HJT: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 07:02:30, on 16.05.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINXP\System32\smss.exe C:\WINXP\system32\winlogon.exe C:\WINXP\system32\services.exe C:\WINXP\system32\lsass.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\system32\svchost.exe C:\WINXP\System32\svchost.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\Explorer.EXE C:\WINXP\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINXP\Mixer.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\Programme\ATI Technologies\ATI.ACE\cli.exe C:\Programme\avmwlanstick\wlangui.exe C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\WINXP\system32\rundll32.exe C:\WINXP\system32\ctfmon.exe C:\Programme\avmwlanstick\WlanNetService.exe C:\Programme\ATI Technologies\ATI.ACE\cli.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = h**p://go.microsoft.com/fwlink/?LinkId=54843 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=74005 O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINXP\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINXP\system32\ati2sgag.exe O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe -- End of file - 5014 bytes Liste installierter Software: Code:
ATTFilter Adobe Flash Player 10 ActiveX
Adobe Reader 8.1.0 - Deutsch
Apple Software Update
ATI - Software Uninstall Utility
ATI Catalyst Control Center
ATI Display Driver
Avira AntiVir Personal - Free Antivirus
AVM FRITZ!WLAN
CCleaner (remove only)
eMule
HijackThis 2.0.2
ICQ6.5
IrfanView (remove only)
Malwarebytes' Anti-Malware
Martin LightJockey version 2.8 build 1
Microsoft .NET Framework 2.0 Service Pack 1
Microsoft .NET Framework 2.0 Service Pack 1 Language Pack - DEU
Microsoft .NET Framework 3.0 Service Pack 1
Microsoft .NET Framework 3.0 Service Pack 1 Language Pack - DEU
Microsoft .NET Framework 3.5
Microsoft .NET Framework 3.5
Microsoft .NET Framework 3.5 Language Pack - deu
Microsoft .NET Framework 3.5 Language Pack - DEU
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Mozilla Firefox (2.0)
OpenOffice.org 2.3
PCI Audio Driver
Sicherheitsupdate für Windows XP (KB923789)
VLC media player 0.9.9
Winamp
WinRAR
WinZip 11.1
XML Paper Specification Shared Components Language Pack 1.0
Fröhlichen Samstag! |
|
16.06.2009, 08:03
| #7 |
| | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" So...ich hätte hier zur monatlichen Rechnerüberprüfung ein aktuelles HJT-Log zur Überprüfung...kann sich das jemand zur Brust nehmen? Ich hoffe mal ich kann meinen alten Thread hierzu nutzen... Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 08:46:27, on 16.06.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINXP\System32\smss.exe C:\WINXP\system32\winlogon.exe C:\WINXP\system32\services.exe C:\WINXP\system32\lsass.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\system32\svchost.exe C:\WINXP\System32\svchost.exe C:\WINXP\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\WINXP\system32\Ati2evxx.exe C:\WINXP\Explorer.EXE C:\Programme\avmwlanstick\WlanNetService.exe C:\WINXP\system32\svchost.exe C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe C:\Programme\avmwlanstick\wlangui.exe C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\WINXP\system32\rundll32.exe C:\WINXP\system32\ctfmon.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=74005 O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINXP\system32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINXP\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINXP\system32\ati2sgag.exe O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe -- End of file - 4661 bytes |
|
17.06.2009, 00:41
| #8 |
| /// TB-Ausbilder | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" Das Log ist sauber. lg myrtille
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM Spelling mistakes? Never, but keybaord malfunctions constantly! |
|
17.06.2009, 23:20
| #9 |
| | TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" Herzlichsten Dank...  |
|
| Themen zu TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua" |
| alarm, avira, board, detection, download, endgültig, ergebnisse, eventlog, file, google, kurze, log, löschen, meldung, moved, mp3, player, problem, schei, schonmal, suche, troja, trojan, vernichten, versuche, zwischen |
![TR/Dldr.WMA.Wimad.N' [trojan] nach "4a7e414f.qua"](iconimages/plagegeister-aller-art-deren-bekaempfung/tr-dldr-wma-wimad-n-trojan-4a7e414f-qua_ltr.gif "TR/Dldr.WMA.Wimad.N' [trojan] nach \"4a7e414f.qua\"")
Hybrid-Darstellung
