Hallo zusammen! Ich bin neu hier.
Ich hab ein Trojanerproblem und keine Ahnung, wie ich damit umgehen muss. Könnt ihr mir vielleicht helfen? Antivir hat gestern folgenden Report ausgegeben. Es hat vier Trojaner gefunden, konnte sie aber nicht löschen oder reparieren, da sie sich in Archiven befinden.

C:\
explorer.cab
ArchiveType: CAB (Microsoft)
--> explorer.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Small.OR
gobackio.bin
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
hiberfil.sys
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
pagefile.sys
Zugriff verweigert! Fehler beim Öffnen der Datei.
Dies ist eine Auslagerungsdatei von Windows. Diese Datei ist von Windows gelockt.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
w32_API.cab
ArchiveType: CAB (Microsoft)
--> hermes.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Agent.CB
C:\Dokumente und Einstellungen\Besitzer
NTUSER.DAT
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
ntuser.dat.LOG
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
C:\Dokumente und Einstellungen\Eleni
NTUSER.DAT
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
ntuser.dat.LOG
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
C:\Dokumente und Einstellungen\Eleni\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows
UsrClass.dat
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
UsrClass.dat.LOG
Zugriff verweigert! Fehler beim Öffnen der Datei.
Fehlercode: 0x000D
WARNUNG! Zugriffsfehler/Datei gesperrt!
C:\Dokumente und Einstellungen\Eleni\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4P63C1QF
adapi[1].cab
ArchiveType: CAB (Microsoft)
--> hermes.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Agent.CB
C:\Dokumente und Einstellungen\Eleni\Lokale Einstellungen\Temporary Internet Files\Content.IE5\MBY3APMZ
clpages[1].cab
ArchiveType: CAB (Microsoft)
--> ad_supported.htm
HINWEIS! Der Archivheader ist defekt
--> apm_eula.txt
HINWEIS! Der Archivheader ist defekt
--> apm_eula_txt.js
HINWEIS! Der Archivheader ist defekt
--> bullet.gif
HINWEIS! Der Archivheader ist defekt
--> b_arrow.gif
HINWEIS! Der Archivheader ist defekt
--> cl.css
HINWEIS! Der Archivheader ist defekt
--> cloudloader.js
HINWEIS! Der Archivheader ist defekt
--> configure.htm
HINWEIS! Der Archivheader ist defekt
--> download.htm
HINWEIS! Der Archivheader ist defekt
--> error_kmd.htm
HINWEIS! Der Archivheader ist defekt
--> error_p2p.htm
HINWEIS! Der Archivheader ist defekt
--> eula_altnet.htm
HINWEIS! Der Archivheader ist defekt
--> eula_gain.htm
HINWEIS! Der Archivheader ist defekt
--> eula_gain_txt.js
HINWEIS! Der Archivheader ist defekt
--> eula_kmd.htm
HINWEIS! Der Archivheader ist defekt
--> eula_kmd_read.htm
HINWEIS! Der Archivheader ist defekt
--> finish.htm
HINWEIS! Der Archivheader ist defekt
--> gator_eula.txt
HINWEIS! Der Archivheader ist defekt
--> icon_print.gif
HINWEIS! Der Archivheader ist defekt
--> installing.htm
HINWEIS! Der Archivheader ist defekt
--> kazaa_certified.gif
HINWEIS! Der Archivheader ist defekt
--> kmd_eula.txt
HINWEIS! Der Archivheader ist defekt
--> kmd_eula_txt.js
HINWEIS! Der Archivheader ist defekt
--> plus_upsell.gif
HINWEIS! Der Archivheader ist defekt
--> tick.gif
HINWEIS! Der Archivheader ist defekt
--> welcome.htm
HINWEIS! Der Archivheader ist defekt
SGWH[1].zip
ArchiveType: ZIP
HINWEIS! Das Archiv ist unbekannt oder defekt
C:\Dokumente und Einstellungen\Eleni\Lokale Einstellungen\Temporary Internet Files\Content.IE5\S5GDQRCT
explorer43[1].cab
ArchiveType: CAB (Microsoft)
--> explorer.exe
[FUND!] Ist das Trojanische Pferd TR/Dldr.Small.OR


Ich habe schon in Foren herumgelesen, wo ähnliche Probleme vorlagen, da wurde immer empfohlen HijackThis laufen zu lassen. Das hab ich auch mal gemacht, aber ich werde nicht schlau draus. Hier ist die Log.


Logfile of HijackThis v1.97.7
Scan saved at 13:06:22, on 08.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programs\AVPersonal\AVGUARD.EXE
C:\Programs\AVPersonal\AVWUPSRV.EXE
C:\Programs\norton systemworks\Roxio\GoBack\GBPoll.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programs\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Programs\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\programs\Scanner\OCR\opware32.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programs\AVPersonal\AVGNT.EXE
C:\Programme\Generic\802.11b Wireless USB Adapter\drivers\WINXP\NBUSBMonitor.exe
C:\Programs\Norton SystemWorks\Roxio\GoBack\GBTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programs\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.stargate-board.net/board/portal.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [OmniPage] c:\programs\Scanner\OCR\opware32.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\Programs\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [zzzCamInSuiteIII] D:\SETUP.EXE 24***
O4 - HKLM\..\Run: [AVGCtrl] C:\Programs\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - Global Startup: 802.11b Wireless USB Adapter.lnk = C:\Programme\Generic\802.11b Wireless USB Adapter\drivers\WINXP\NBUSBMonitor.exe
O4 - Global Startup: GoBack.lnk = C:\Programs\Norton SystemWorks\Roxio\GoBack\GBTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programs\Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\Programs\Office\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Translate (HKLM)
O9 - Extra 'Tools' menuitem: LingoWare Translator... (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/downlo...22/wmv9VCM.CAB
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/166d3321e42e25a...dxIE601_de.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.co...7684.464849537
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC1189F3-AFE4-4130-950A-9592F913B792}: NameServer = 192.168.121.252,192.168.121.253


Wäre super, wenn mir jemand helfen könnte.
MFG, Kayli

Besorg dir bitte die aktuelle Version von Hijackthis:

http://www.hijackthis.de/hijackthis_198.zip

Lösche deine temporären Internetdateien.
Lade dann dieses Programm herunter, update und lass es wie beschrieben laufen:

http://www.trojaner-board.de/42731-escan-anleitung.html

Erstelle dann im normalen Modus ein neues Log und poste es, schreibe auch genau auf, welche Schädlinge durch E-Scan gefunden wurden.
Welche Bezeichnung hat dein Motherboard (du müsstest ein Handbuch dazu bekommen haben)?

Hi. Vielen Dank für die schnelle Antwort erstmal.

Muss ich vor dem Installieren von escann AntiVir deinstallieren oder verträgt sich das?
Ist dieses escann als Virenprogramm besser als Antivir oder was ist das?

Wegen dem Motherboard muss ich mal suchen...

Nein, musst du nicht installieren, da E-Scan nicht wirklich installiert wird, die kommen sich nicht in die Quere, wenn du es im abgesicherten Modus scannen lässt. Ansonsten müsstest du höchstens den Hintergrundwächter von Antivir während du E-Scan laufen lässt, evtl. deaktivieren (ist im abgesicherten Modus aber eh nicht da).

E-Scan verwendet die Scanengine und die Signaturen von Kaspersky, der in der Regel eine etwas höhere Erkennungsrate als Antivir hat, ohne letzteres schlechtmachen zu wollen. Und da du es nicht wirklich installieren musst (s.o.) ist E-Scan als Zweitscanner außerdem sehr gut.

Puh, das hat ganz schön gedauert, scheint sich aber gelohnt zu haben. Die vier, die AntiVir gefunden hatte, sind gelöscht, dafür hat escann noch ein paar andere gefunden und umbenannt.

Also das kam bei Escann (im abgesicherten Modus) raus:

File C:\explorer.cab infected by "Trojan.Win32.Dialer.em" Virus. Action Taken: File Deleted.
File C:\Programs\Breakit\setup\gendel32.ex_ tagged as not-a-virus:RiskWare.Tool.Gendel. No Action Taken.
File C:\RECYCLER\NPROTECT\00009685. infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File C:\RECYCLER\NPROTECT\00009688. infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File C:\RECYCLER\NPROTECT\00009768. infected by "BkCln.Unknown" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{BA671CE2-35CE-4E1A-8BF0-F5F3A9D000F9}\RP207\A0033790.EXE tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
File C:\w32_API.cab infected by "TrojanDownloader.Win32.Agent.cb" Virus. Action Taken: File Deleted.


Und das ist das neue Log von HiJackThis (im normalen Modus):

Logfile of HijackThis v1.98.2
Scan saved at 18:08:17, on 08.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programs\AVPersonal\AVGUARD.EXE
C:\Programs\Server\Apache\Apache\Apache.exe
C:\Programs\AVPersonal\AVWUPSRV.EXE
C:\Programs\norton systemworks\Roxio\GoBack\GBPoll.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programs\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Programs\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Programs\Server\Apache\Apache\Apache.exe
C:\programs\Scanner\OCR\opware32.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programs\AVPersonal\AVGNT.EXE
C:\Programme\Generic\802.11b Wireless USB Adapter\drivers\WINXP\NBUSBMonitor.exe
C:\Programs\Norton SystemWorks\Roxio\GoBack\GBTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programs\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.t-online.de/software/ie401/search.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.stargate-board.net/board/portal.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.t-online.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von T-Online
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [OmniPage] c:\programs\Scanner\OCR\opware32.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\Programs\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programs\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - Global Startup: 802.11b Wireless USB Adapter.lnk = C:\Programme\Generic\802.11b Wireless USB Adapter\drivers\WINXP\NBUSBMonitor.exe
O4 - Global Startup: GoBack.lnk = C:\Programs\Norton SystemWorks\Roxio\GoBack\GBTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programs\Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\Programs\Office\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programs\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programs\ICQ\ICQ.exe
O9 - Extra button: Translate - {87680762-4A83-11B4-885B-0000E8ECA40F} - C:\Programs\Translator.lnk (file missing)
O9 - Extra 'Tools' menuitem: LingoWare Translator... - {87680762-4A83-11B4-885B-0000E8ECA40F} - C:\Programs\Translator.lnk (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programs\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programs\ICQLite\ICQLite.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.t-online.de
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/166d3321e42e25a...dxIE601_de.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC1189F3-AFE4-4130-950A-9592F913B792}: NameServer = 192.168.121.252,192.168.121.253

Muss ich da noch was tun?

Ich sehe im Log nichts ungewöhnliches.

Dies kannst du jedoch fixen:

O9 - Extra button: Translate - {87680762-4A83-11B4-885B-0000E8ECA40F} - C:\Programs\Translator.lnk (file missing)
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/166d3321e42e25...RdxIE601_de.cab

Ok, hab ich gemacht!

Vielen, vielen lieben Dank euch beiden!! Habt mir echt sehr geholfen.