| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKKWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
03.12.2009, 07:43
| #1 |
| |  Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK Hallo! Ich habe folgendes Problem: Habe meinen Rechner eigentlich anständig konfiguriert und aufgesetzt: -Windows-Konten konfiguriert, -Dienste, -Rechte, -Updates usw. Dazu Antivir 9.0, Comodo, Anti-Spy, Routerfirewall alles ist immer Up-to-Date. Gestern abend wurde ich ein wenig stützig, weil mein Rechner ein wenig lahmte, habe daraufhin Antivir durchlaufen lassen, kein Fund! Daraufhin habe ich Avast installiert und siehe da, ein Fund nach dem anderen: Meldung: - Virus im Arbeitsspeicher gefunden - Sowie 2 verseuchte Dateien mit WIN32.delf -MGZ & Win32.zbot -MKK Habe neu gestartet und scan vor der Windowsanmeldung laufen lassen, leider hat der Scan mittendrin bei ca 20% abgebrochen: Auszug aswBoot log: Anzahl infizierter Dateien: 99 - Datei C:\Programme\Adobe\Adobe Device Central CS3\Required\Opera\spellcheck.dll ist infiziert von Win32:Zbot-MKK [Trj], Gelöscht - Datei C:\Programme\Spybot - Search & Destroy\SpybotSD.exe ist infiziert von Win32  elf-MZG [Trj], GelöschtAuszug GMER Reglog: ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 -562859523 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 -326921269 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 C:\Programme\DAEMON Tools\ Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x44 0x8D 0x18 0xE1 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x12 0xA8 0x0D 0x9F ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0xC7 0x6E 0xA3 0xB2 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 C:\Programme\DAEMON Tools\ Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x44 0x8D 0x18 0xE1 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x12 0xA8 0x0D 0x9F ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0xC7 0x6E 0xA3 0xB2 Hijackthis log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 07:11:19, on 03.12.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\Programme\COMODO\COMODO Internet Security\cmdagent.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\Programme\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\System32\TUProgSt.exe C:\WINDOWS\Explorer.EXE C:\Programme\Alwil Software\Avast4\ashMaiSv.exe C:\Programme\Winamp\winampa.exe C:\Programme\Java\jre6\bin\jusched.exe C:\Programme\Alwil Software\Avast4\ashWebSv.exe C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Programme\COMODO\COMODO Internet Security\cfp.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Programme\Windows Live\Messenger\msnmsgr.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Philips\SA32xx Device Manager\SA32xx_DeviceManager.exe C:\Programme\DVBT\DTV_Stick\RC.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Avira\AntiVir Desktop\setup.exe C:\Dokumente und Einstellungen\Patryk\Eigene Dateien\Downloads\gmer.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://notifier.avira.com/stats.php?id_not=114&url=https%3A%2F%2Favira.cleverbridge.com%2F30%2Fcookie%3Fx%2Dorigin%3Dnotifier%26x%2Dnotifier%3DREVER_DE%26expiry%3D28%26redirect to%3Dhttps%253a%252f%252favira.cleverbridge.com%252f30%252f%253fscope%253dcheckout%2526cart%253ds360%2526enablecoupon%253dfalse%2526recommendation%253 dAS%252cbcd%2526x%2Dorigin%253dnotifier%2526x%2Dnotifier%253dREVER_DE R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local O1 - Hosts: 127.0.0.2 magento.pb O1 - Hosts: 127.0.0.3 patryk.pb O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Programme\COMODO\COMODO Internet Security\cfp.exe" -h O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\RunOnce: [1&1_1&1 SoftPhone] "C:\Programme\1&1\1&1 SoftPhone\IPPHONEUI.EXE" /hide O4 - Startup: RC.lnk = C:\Programme\DVBT\DTV_Stick\RC.exe O4 - Global Startup: Philips SA32XX Device Manager.lnk = ? O8 - Extra context menu item: &Download by Arles Download Manager - C:\Dokumente und Einstellungen\Patryk\Lokale Einstellungen\Anwendungsdaten\Ariel Download Manager\DownloadManager.htm O8 - Extra context menu item: In 1&&1 SoftPhone wählen - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\1&1\1&1 SoftPhone\ContextMenuHandler.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll O23 - Service: Apache2.2 - Apache Software Foundation - c:\xampp\apache\bin\apache.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Programme\COMODO\COMODO Internet Security\cmdagent.exe O23 - Service: Dragon Age: Origins - Content Updater (DAUpdaterSvc) - BioWare - D:\Games\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: LogMeIn Hamachi 2.0 Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - C:\Programme\LogMeIn Hamachi\hamachi-2.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: mysql - Unknown owner - C:\xampp\mysql\bin\mysqld.exe O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing) O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe -- End of file - 7652 bytes Wie kann es sein, dass mein Antivir nicht davon mitbekommen hat? Was sollte ich als nächstes tun, der Avastscan läuft einfach nicht durch? Danke euch im Voraus! |
|
03.12.2009, 08:06
| #2 |
  |  Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK Aktualisiere bitte ersteinmal dein Avast, dann stelle die DAteien, die du geloescht hast wieder her und wiederhole den scan mit Acast. Comodo solltest du vorher deaktivieren.
__________________Dein Windows ist nicht auf dem neusten Stand!
__________________ Geändert von raman (03.12.2009 um 08:23 Uhr) |
|
03.12.2009, 08:25
| #3 |
| | Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK Danke für die schnelle Antwort. Das ist ja echt kurios, hab wegen dem Mist kein Auge zu bekommen die Nacht...
__________________Die 99 Dateien, die gelöscht wurden, sind wohl futsch. Hab die direkt löschen lassen von Avast. Da gibts wohl auch keine Wiederherstellmöglichkeit oder? |
|
03.12.2009, 08:28
| #4 |
| | Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK Nein, wenn weg, dann weg!  Darum sollte man immer die Moeglichkeit nutzen, (angeblich) infizierte Dateien in Quarantaene zu stecken....
__________________ MfG Ralf |
|
03.12.2009, 12:27
| #5 |
| | Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK Ich hab nochmal zur Sicherheit gmer, nach Anleitung, komplett durchlaufen lassen, da sind irgendwie super viele Einträge, die so aussehen und mit comodo zu tun haben: IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter] [F743D6E0] inspect.sys (COMODO Internet Security Firewall Driver/COMODO) IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter] [F743D7B0] inspect.sys (COMODO Internet Security Firewall Driver/COMODO) Ist das Normal? Hab mir ein paar posts von gmerlogs im Internet angeschaut, da ist sowas in der Art nie drin zu finden. PS: Die logDatei ist 400kb gross... :S |
|
03.12.2009, 12:39
| #6 | |
| | Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKKZitat:
Suche GMER Reporte von Rechnern, bei denen Comodo installiert ist und sie werden gleich aussehen. comodo graebt sich recht tief ins System.... NAchtrag: Genauso wie die Deamontools.
__________________ --> Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK |
|
| Themen zu Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK |
| antivir, avast!, avira, central, desktop, einstellungen, firefox, hijack, hijackthis, hijackthis log, infiziert, internet, internet explorer, internet security, kein fund, mozilla, plug-in, registry, required, security, software, stick, trojaner, virus, win32.delf, win32.delf-mgz, win32.zbot, win32.zbot -mkk, win32.zbot-mkk, win32:delf-mzg, windows xp |
Linear-Darstellung
