| |
| |||||||
Log-Analyse und Auswertung: Mit TR/Crypt.ZPack.Gem fing es an....Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
28.06.2009, 08:16
| #1 |
| |  Mit TR/Crypt.ZPack.Gem fing es an.... Hallo Trojaner-Board-Gemeinde, während des Surfens im Internet meldete sich Antivir mit dem Fund eines Trojaners: TR/Crypt.ZPack.Gen Diesen lies ich in Quarantäne verschieben und googelte den Trojaner. Daraufhin fand ich dieses Board, lud mir die genannten Programme (CCleaner, Anti-Malware und Hijack-This) herunter. Die Analyse mit diesen Programmen führte zu weiteren funden. Hier bin ich als absoluter Neuling auf diesem Gebiet auf eure Hilfe angewiesen. Post Hijack-this-log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:40:29, on 27.06.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\SCardSvr.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\WINDOWS\system32\RunDll32.exe C:\WINDOWS\Dit.exe C:\WINDOWS\mHotkey.exe C:\WINDOWS\CNYHKey.exe C:\Programme\Home Cinema\PowerCinema\PCMService.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\QuickTime\QTTask.exe C:\Programme\Viewpoint\Viewpoint Manager\ViewMgr.exe C:\Programme\iTunes\iTunesHelper.exe C:\Programme\Canon\MyPrinter\BJMyPrt.exe C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\Programme\WinZip\WZQKPICK.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Bonjour\mDNSResponder.exe C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\svchost.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\iPod\bin\iPodService.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Mozilla Firefox\firefox.exe c:\programme\avira\antivir desktop\avcenter.exe C:\Programme\Avira\AntiVir Desktop\avscan.exe C:\Dokumente und Einstellungen\Florian\Desktop\HiJackThis.exe C:\WINDOWS\system32\wbem\wmiprvse.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nba.com/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe, O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe O4 - HKLM\..\Run: [CloneDVDElbyDelay] "C:\Programme\Elaborate Bytes\CloneDVD\ElbyCheck.exe" /L ElbyDelay O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [ViewMgr] C:\Programme\Viewpoint\Viewpoint Manager\ViewMgr.exe O4 - HKLM\..\Run: [PDF Converter Registry Controller] "C:\Programme\ScanSoft\PDF Converter\RegistryController.exe" O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe" O4 - HKCU\..\Run: [ProtoWall] C:\Programme\Dudez\ProtoWall\ProtoWall.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: WKCALREM.LNK = C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: &Translate English Word - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html O8 - Extra context menu item: Backward Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: PDF in Word öffnen - res://C:\Programme\ScanSoft\PDF Converter\IEShellExt.dll /500 O8 - Extra context menu item: Similar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O8 - Extra context menu item: Translate Page into English - res://c:\programme\google\GoogleToolbar2.dll/cmtrans.html O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU) O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com O15 - Trusted Zone: http://www.amazon.de O15 - Trusted Zone: http://www.ebay.de O15 - Trusted Zone: http://www.freenet.de O15 - Trusted Zone: http://www.nba.com O16 - DPF: {3BFFE033-BF43-11D5-A271-00A024A51325} (iNotes6 Class) - https://lon-pxy02.insidemedia.net/whalecom0e7df1d572ac8ea6fc50dc95b64fcd1ac43da2cbe807327719/whalecom0/iNotes6W.cab O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/04a30f04300bfbf27206/netzip/RdxIE601_de.cab O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe O24 - Desktop Component 0: (no name) - file:///C:/DOKUME~1/Florian/LOKALE~1/Temp/msohtml1/01/clip_image002.jpg -- End of file - 9038 bytes Malware Report: Malwarebytes' Anti-Malware 1.38 Datenbank Version: 2343 Windows 5.1.2600 Service Pack 3 28.06.2009 08:46:24 mbam-log-2009-06-28 (08-46-24).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|) Durchsuchte Objekte: 230419 Laufzeit: 11 hour(s), 37 minute(s), 6 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 1 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 2 Infizierte Verzeichnisse: 1 Infizierte Dateien: 6 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_CURRENT_USER\SOFTWARE\Trymedia Systems (Adware.Trymedia) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> Quarantined and deleted successfully. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Backdoor.Bot) -> Data: c:\windows\system32\twext.exe -> Delete on reboot. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,) Good: (Userinit.exe) -> Quarantined and deleted successfully. Infizierte Verzeichnisse: C:\WINDOWS\system32\twain_32 (Backdoor.Bot) -> Delete on reboot. Infizierte Dateien: c:\dokumente und einstellungen\mustermann\Desktop\cryptload_1.1.6\cryptload_1.1.6\router\fritz!box\nc.exe (PuP.Keylogger) -> Quarantined and deleted successfully. c:\windows\system32\rn.tmp (Trojan.Downloader) -> Quarantined and deleted successfully. c:\windows\system32\twain_32\local.ds (Backdoor.Bot) -> Delete on reboot. c:\windows\system32\twain_32\user.ds (Backdoor.Bot) -> Delete on reboot. c:\windows\system32\twain_32\user.ds.cla (Backdoor.Bot) -> Quarantined and deleted successfully. C:\WINDOWS\system32\twext.exe (Backdoor.Bot) -> Delete on reboot. Ich hoffe, das hilft für eine Diagnose und eine Anleitung zur Hilfe. Danke und viele Grüße Chris |
|
28.06.2009, 09:05
| #2 | |
| /// Helfer-Team   | Mit TR/Crypt.ZPack.Gem fing es an.... Hi ChrisSabian und
__________________ Es sieht sehr schlecht für dich aus: Code:
ATTFilter F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\twext.exe,
Die Funde von Malwarebytes bestätigen es: Code:
ATTFilter c:\windows\system32\twain_32\local.ds (Backdoor.Bot) -> Delete on reboot.
c:\windows\system32\twain_32\user.ds (Backdoor.Bot) -> Delete on reboot.
c:\windows\system32\twain_32\user.ds.cla (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\twext.exe (Backdoor.Bot) -> Delete on reboot.
Zitat:
http://www.trojaner-board.de/51262-a...sicherung.html Weißt du, was das hier war? Code:
ATTFilter c:\dokumente und einstellungen\mustermann\Desktop\cryptload_1.1.6\c ryptload_1.1.6\router\fritz!box\nc.exe
Handball10 |
|
28.06.2009, 09:12
| #3 |
| | Mit TR/Crypt.ZPack.Gem fing es an.... Hallo Handball10,
__________________danke für die Begrüßung und danke für die schnelle Antwort! Es sieht so aus, als müßte ich hier nicht mehr auf eine zweite Meinung warten. Kann ich Bilder und Musik auf einer externen Festplatte speichern oder sind diese möglicherweise auch infiziert? Viele Grüße Chris |
|
28.06.2009, 09:21
| #4 |
| /// Helfer-Team | Mit TR/Crypt.ZPack.Gem fing es an.... Hi Chris, Bilder, Dokumente und Musik kannst du im Endeffekt sichern. Woruf du achten solltest ist, dass du keine ausführbaren Dateien (Ausführbare Datei ? Wikipedia mitsicherst. Was mir jedoch noch zu denken gibt, ist das hier: Code:
ATTFilter c:\dokumente und einstellungen\mustermann\Desktop\cryptload_1.1.6\c ryptload_1.1.6\router\fritz!box\nc.exe
Das könnte nämlich folgendes sein: ThreatExpert Report: Worm.Mabezat.C, Worm.Win32.Mabezat.b, W32.Mabezat.B!inf, W32/Mabezat.a.. Wenn das der Fall sein würde, müsstest, nachdem du deine Daten gesichert und den PC neuaufgesetzt hast, auf dem frischen System beim Anstecken der Festplatte die "Shift-Taste" gedrückt halten. Denn diese Malware verbreitet sich auch über Wechseldatenträger. Nachdem du das gemacht hast solltest du auf jeden Fall die extrne Festplatte mit enem Antiviren-Programm untersuchen lassen, für den Fall, dass sich der Schädling auf die Festplatte geschrieben hat oder du aus Versehen infizierte Daten gesichert hast. Viel Erfolg! Gruß Handball10 |
|
28.06.2009, 09:37
| #5 |
| | Mit TR/Crypt.ZPack.Gem fing es an.... Hi Handball10, cryptload ist ein Programm, dass einem hilft, Daten, die in mehrere Teile unterteilt sind, herunterzuladen. Dieses Programm benötigt Informationen über den Router. Soweit also O.K. und vermutlich kein weiterer Wurm. Ich hoffe ein Neuaufsetzen und die Beherzigung der Sicherheitshinweise des Forums helfen. Danke nochmal. |
|
28.06.2009, 09:53
| #6 |
| /// Helfer-Team | Mit TR/Crypt.ZPack.Gem fing es an.... kein Problem  Dann noch viel Erfolg beim Neuaufsetzen! Gruß Handball10 |
|
| Themen zu Mit TR/Crypt.ZPack.Gem fing es an.... |
| adware.trymedia, antivir, antivir guard, avira, bho, bonjour, c.exe, canon, computer, converter, desktop, einstellungen, excel, firefox, google, hijack-this, hijackthis, hkus\s-1-5-18, home, internet, internet explorer, malware.trace, monitor, mozilla, nc.exe, pup.keylogger, registrierungsschlüssel, registry, rundll, software, system, trojan.downloader, trymedia, userinit.exe, windows, windows xp |
Linear-Darstellung
