| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
14.01.2010, 18:56
| #16 |
 |  Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Servus Hanich, vielen Dank und ich habe Deinen Beitrag gelesen. Also das Problem WAR, dass ich SpyBot nicht installieren konnte. Hatte aber den PC nicht online gehen lassen, da ich die Gefahr nicht kenne, was dann mit meinen Daten passiert. Alle anderen Programme zur Virusbekämpfung liesen sich nicht installieren oder wurden nicht ausgeführt. Mittlerweile hoffe ich, dass ich das Problem - Dank Deiner Hilfe - doch gelöst habe. Ich musste dennoch ans Netz um Spybot zu installieren, der auch prompt die Mistviecher erwischt hat und ich meine nun wieder sauber zu sein. Gibt es noch einen Test der das ganz sicher bestätigt? Onlinebanking habe ich aber sicherheitshalber vom Notebook aus gemacht! Vielen Dank für Deine/Eure Unterstützung und bei genauen Fragen zur Behebung meines Problems stehe ich gerne zur Verfügung. Auf goldene Zeiten, Rudi |
|
14.01.2010, 19:11
| #17 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 kannste mal nach Online-Virentest googeln
__________________ |
|
14.01.2010, 22:24
| #18 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Hallole, brauche dringend eure Hilfe!
__________________Ich habe seit heute einen Security Alert. Kann leider keine logfile erstellen, da sich mein Malware Programm nicht öffnen lässt. Habe auch schon über den link hier im Forum versucht die CCleaner + Malwarebytes-Anti-Malware herunterzuladen. Bei download:mbam-setup.exe bringt er die Meldung: Dateidownload-Sicherheitswarnung. ich klicke auf ausführen, das funktioniert auch noch, dann kommt die Meldung:Internet Explorer-Sicherheitswarnung, wenn ich dann auf ausführen klicke, geht das Feld wieder weg und das wars. Dies hab ich heute schon ein paar mal so erlebt, als ich Anti-Virenprogramm vom Internet herunterladen wollte. Kann mir bitte jemand helfen wie ich 1. zu einer logfile und 2. diesen Security Alert weg bekomme? Das wäre ganz arg nett. Grüße Stefanie |
|
17.01.2010, 15:06
| #19 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 ^^ wäre schön wenn du mal meinen obigen tipp/s lesn würdest dann wüsstest du bescheidt |
|
17.01.2010, 15:07
| #20 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 hier nochmal Hallo ich habe das problem auch gehabt aber ich habe es auch "verbannt" also es ist weg Ich habe es so gemacht: Erstmal sucht ihr selbst die Datei ihr geht wenn ihr C/:..... geöffnet habt auf extras (mitte oben im explorer) und dann auf Ordneroptionen und dann Ansicht-->und makiert "versteckte ordner anzeigen" und dann auf übernehmen dann steht da auch TEMP Da irgendwo (und ein teil in der registry) ist der Virus jetzt ladet euch Spybot - Search & Destroy runter (einfach bei google eingeben)oder auf meinn link : http://spybot-search-destroy.softonic.de/ und den dann installieren dann auf Suchen im Spybot und der zeigt euch alles an was gelöscht werden muss , normalerweise auch Windows Security Alert Bei Fragen...einfach FRAGEN XD MfG Hanich |
|
17.01.2010, 16:58
| #21 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Hallo, seit etwa anderthalb Stunden erscheint auch mir ständig dieses Security Center Alert Pop-Up mit andauernd wechselnden Namen der suspicious software (so zum Beispiel gerade Net-Worm.Win32.DipNet.d) Ich habe zunächst versucht Avira zu öffnen, erfolglos. Inzwischen wollte sich das Malware Programm installieren, hat es auch getan, ich habe es hinterher allerdings wieder unter Software gelöscht und gleich dazu den angelegten Ordner. Danach habe ich mich hier mal schlau gemacht und den Spybot runtergeladen, der sich allerdings auch nicht öffnen ließ. Smitfraudfix habe ich auch runtergeladen, der ließ sich aber nichtmal installieren. Zwischendurch wollte sich das Malware Programm wieder installieren....Avira habe ich deinstalliert und von neuem installiert, es lässt sich aber immer noch nicht öffnen. Irgendwo habe ich dann von diesem HijackThis Programm gelesen und das mal runtergeladen, vielleicht kann mir jetzt jemand mit der Logdatei helfen? Ich könnte ausrasten! Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:58:22, on 17.01.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16945) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\mHotkey.exe C:\WINDOWS\CNYHKey.exe C:\WINDOWS\system32\CmUCReye.exe C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe C:\Programme\Home Cinema\PowerCinema\PCMService.exe C:\Programme\Medion Info Display\MdionLCM.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Winamp\winampa.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\DAEMON Tools Lite\daemon.exe C:\Programme\Electronic Arts\EADM\Core.exe C:\DOKUME~1\Besitzer\LOKALE~1\Temp\cls_pack.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\OpenOffice.org 3\program\soffice.exe C:\Programme\OpenOffice.org 3\program\soffice.bin C:\DOKUME~1\Besitzer\LOKALE~1\Temp\winhlp64.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\Programme\CyberLink\Shared Files\RichVideo.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Spybot - Search & Destroy\SDShred.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Programme\CCleaner\CCleaner.exe C:\Programme\Internet Explorer\iexplore.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.freenet.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe O4 - HKLM\..\Run: [CmUCRRun] C:\WINDOWS\system32\CmUCReye.exe O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe" O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [InstantOn] "C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe /c " O4 - HKLM\..\Run: [MedionVFD] "C:\Programme\Medion Info Display\MdionLCM.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [AOLMIcon] C:\Programme\Gemeinsame Dateien\AOLSHARE\AOLMIcon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun O4 - HKCU\..\Run: [EA Core] "C:\Programme\Electronic Arts\EADM\Core.exe" -silent O4 - HKCU\..\Run: [cls_pack.exe] C:\DOKUME~1\Besitzer\LOKALE~1\Temp\cls_pack.exe O4 - HKCU\..\Run: [Malware Defense] "C:\Programme\Malware Defense\mdefense.exe" -noscan O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: OpenOffice.org 3.0.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra button: MedionShop - {A461BF3E-96B0-488F-9ACA-202335DDCC4B} - http://www.medionshop.de/ (file missing) (HKCU) O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab O16 - DPF: {48DD0448-9209-4F81-9F6D-D83562940134} (MySpace Uploader Control) - http://lads.myspace.com/upload/MySpaceUploader1006.cab O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/DE-DE/a-UNO1/GAME_UNO1.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1128778405937 O16 - DPF: {7527E129-A524-434A-A337-8C19F6F25C91} (AldiSuedActiveFormX Element) - https://shop.aldisued-fotos-druck.de/shop/activex/aldi_sued_express_upload.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe -- End of file - 10000 bytes |
|
18.01.2010, 13:27
| #22 |
  | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Hi, Bitte folgende Files prüfen: Dateien Online überprüfen lassen:
Code:
ATTFilter C:\DOKUME~1\Besitzer\LOKALE~1\Temp\cls_pack.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\winhlp64.exe
Gmer: http://www.trojaner-board.de/74908-a...t-scanner.html Den Downloadlink findest Du links oben (http://www.gmer.net/#files), dort dann auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken). Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein. GMER sollte einen Rootkit finden (H8SRTd.sys).... Also: Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code:
ATTFilter Drivers to delete:
H8SRTd.sys
Folders to delete:
C:\DOKUME~1\Besitzer\LOKALE~1\Temp
C:\Programme\Malware Defense
4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. Danach SOFORT MAM laufen lassen, am Besten vorher installieren (wenn es sich nicht installieren lässt, bereits im Downloaddialog umbenennen auf z.B. Test.exe)... Malwarebytes Antimalware (MAM) Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html Fullscan und alles bereinigen lassen! Log posten. Poste das HJ-Log und MAM-Log sowie ein neues RSIT-Log: RSIT Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile. * Lade Random's System Information Tool (RSIT) herunter (http://filepony.de/download-rsit/) * speichere es auf Deinem Desktop. * Starte mit Doppelklick die RSIT.exe. * Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren. * Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren. * In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept". * Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen. * Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage. * Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet. * Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread. chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
18.01.2010, 15:16
| #23 |
| |  Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 ich hab mal ne frage : du sagtest Spybt Search..... liese sich nicht öffnen wieso läuft der process dann? Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\mHotkey.exe C:\WINDOWS\CNYHKey.exe C:\WINDOWS\system32\CmUCReye.exe C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe C:\Programme\Home Cinema\PowerCinema\PCMService.exe C:\Programme\Medion Info Display\MdionLCM.exe C:\Programme\QuickTime\qttask.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Winamp\winampa.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\DAEMON Tools Lite\daemon.exe C:\Programme\Electronic Arts\EADM\Core.exe C:\DOKUME~1\Besitzer\LOKALE~1\Temp\cls_pack.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\OpenOffice.org 3\program\soffice.exe C:\Programme\OpenOffice.org 3\program\soffice.bin C:\DOKUME~1\Besitzer\LOKALE~1\Temp\winhlp64.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\Programme\CyberLink\Shared Files\RichVideo.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\Mozilla Firefox\firefox.exe  C:\Programme\Spybot - Search & Destroy\SDShred.exeC:\Programme\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Programme\CCleaner\CCleaner.exe C:\Programme\Internet Explorer\iexplore.exe |
|
18.01.2010, 21:16
| #24 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Virustotal Antivirus Version letzte aktualisierung Ergebnis a-squared 4.5.0.50 2010.01.18 - AhnLab-V3 5.0.0.2 2010.01.16 - AntiVir 7.9.1.142 2010.01.17 TR/Dldr.FraudLoad.wxpm Antiy-AVL 2.0.3.7 2010.01.12 - Authentium 5.2.0.5 2010.01.16 - Avast 4.8.1351.0 2010.01.17 - AVG 9.0.0.730 2010.01.17 SHeur2.CGRI BitDefender 7.2 2010.01.18 - CAT-QuickHeal 10.00 2010.01.16 - ClamAV 0.94.1 2010.01.17 - Comodo 3618 2010.01.18 - DrWeb 5.0.1.12222 2010.01.18 - eSafe 7.0.17.0 2010.01.17 - eTrust-Vet 35.2.7240 2010.01.15 Win32/TDSS!packed F-Prot 4.5.1.85 2010.01.17 - F-Secure 9.0.15370.0 2010.01.17 Suspicious:W32/Malware!Gemini Fortinet 4.0.14.0 2010.01.18 W32/FraudLoad.WXPM!tr.dldr GData 19 2010.01.17 - Ikarus T3.1.1.80.0 2010.01.18 - Jiangmin 13.0.900 2010.01.17 - K7AntiVirus 7.10.949 2010.01.16 - Kaspersky 7.0.0.125 2010.01.18 Trojan-Downloader.Win32.FraudLoad.wxpm McAfee 5864 2010.01.17 - McAfee+Artemis 5864 2010.01.17 Artemis!539CB42F77AD McAfee-GW-Edition 6.8.5 2010.01.17 Trojan.Dldr.FraudLoad.wxpm Microsoft 1.5302 2010.01.17 - NOD32 4780 2010.01.17 - Norman 6.04.03 2010.01.17 - nProtect 2009.1.8.0 2010.01.17 - Panda 10.0.2.2 2010.01.17 Suspicious file PCTools 7.0.3.5 2010.01.18 - Prevx 3.0 2010.01.18 High Risk Cloaked Malware Rising 22.31.00.01 2010.01.18 - Sophos 4.49.0 2010.01.18 Mal/Generic-A Sunbelt 3.2.1858.2 2010.01.17 Trojan.Win32.Generic!SB.0 Symantec 20091.2.0.41 2010.01.18 - TheHacker 6.5.0.6.154 2010.01.18 Trojan/Downloader.FraudLoad.wxpm TrendMicro 9.120.0.1004 2010.01.17 - VBA32 3.12.12.1 2010.01.17 - ViRobot 2010.1.16.2140 2010.01.16 - VirusBuster 5.0.21.0 2010.01.17 - weitere Informationen File size: 712704 bytes MD5 : 539cb42f77adb4614347e43ca79537fd SHA1 : 2cc54fc9806ef0da921a2a05e280b67d623bb08e SHA256: 4d4319c6aeeec749a25cc7388b347312f002f5b75eea6c694de606cf2616b9c0 PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x1000 timedatestamp.....: 0x4B518A51 (Sat Jan 16 10:43:45 2010) machinetype.......: 0x14C (Intel I386) ( 5 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x2000 0x1400 4.30 ad77ef32ca8049f0f15dc5310e66bf84 .rdata 0x3000 0xA2000 0x1000 2.91 80c12caee61ac6a62003ba45583ab09c .data 0xA5000 0xAA000 0xAA000 8.00 2d66dccc95b997f98522675883eb4f3e .idata 0x14F000 0x1000 0x1000 0.51 7742140b747a2d31664a893f148f6b20 .rsrc 0x150000 0x5C0 0x1000 4.25 1a74ec1b35b3e74ea123924162950a76 ( 3 imports ) > kernel32.dll: SetPriorityClass, GetCommandLineA, SetCommMask, VirtualProtect, ExitProcess > shell32.dll: StrChrA > user32.dll: GetWindowTextA, GetWindow ( 0 exports ) TrID : File type identification Win32 Executable Generic (38.4%) Win32 Dynamic Link Library (generic) (34.2%) Clipper DOS Executable (9.1%) Generic Win/DOS Executable (9.0%) DOS Executable Generic (9.0%) ssdeep: 12288:AadqGMHW9sJ3e7J3ltz8TRv9rYzblpUDH64PyZRI8I+zKzVF0sdypnhv:AaYZWqJE338NuM64P0R52v0Synv Prevx Info: http://info.prevx.com/aboutprogramtext.asp?PX5=A702D6F200ACB26FE0620A0288C93700D05CA63B PEiD : - RDS : NSRL Reference Data Set ++ Datei b88b5ea1f59892f30e6c7626f0b1c5b5 empfangen 2010.01.16 19:50:08 (UTC) Status: Beendet Ergebnis: 7/41 (17.07%) Filter Filter Drucken der Ergebnisse Drucken der Ergebnisse Antivirus Version letzte aktualisierung Ergebnis a-squared 4.5.0.50 2010.01.16 - AhnLab-V3 5.0.0.2 2010.01.16 - AntiVir 7.9.1.142 2010.01.16 - Antiy-AVL 2.0.3.7 2010.01.12 - Authentium 5.2.0.5 2010.01.16 - Avast 4.8.1351.0 2010.01.16 - AVG 9.0.0.730 2010.01.16 - BitDefender 7.2 2010.01.16 Gen:Trojan.Heur.Iu0@v9Qzbajkx CAT-QuickHeal 10.00 2010.01.16 - ClamAV 0.94.1 2010.01.16 - Comodo 3605 2010.01.16 - DrWeb 5.0.1.12222 2010.01.16 - eSafe 7.0.17.0 2010.01.14 - eTrust-Vet 35.2.7240 2010.01.15 Win32/TDSS!packed F-Prot 4.5.1.85 2010.01.16 - F-Secure 9.0.15370.0 2010.01.16 Gen:Trojan.Heur.Iu0@v9Qzbajkx Fortinet 4.0.14.0 2010.01.16 - GData 19 2010.01.16 Gen:Trojan.Heur.Iu0@v9Qzbajkx Ikarus T3.1.1.80.0 2010.01.16 - Jiangmin 13.0.900 2010.01.16 - K7AntiVirus 7.10.949 2010.01.16 - Kaspersky 7.0.0.125 2010.01.16 - McAfee 5863 2010.01.16 - McAfee+Artemis 5863 2010.01.16 Artemis!B88B5EA1F598 McAfee-GW-Edition 6.8.5 2010.01.16 - Microsoft 1.5302 2010.01.16 - NOD32 4778 2010.01.16 - Norman 6.04.03 2010.01.16 - nProtect 2009.1.8.0 2010.01.16 - Panda 10.0.2.2 2010.01.16 Suspicious file PCTools 7.0.3.5 2010.01.16 - Prevx 3.0 2010.01.16 - Rising 22.30.05.03 2010.01.16 - Sophos 4.49.0 2010.01.16 Sus/UnkPack-C Sunbelt 3.2.1858.2 2010.01.16 - Symantec 20091.2.0.41 2010.01.16 - TheHacker 6.5.0.5.153 2010.01.16 - TrendMicro 9.120.0.1004 2010.01.16 - VBA32 3.12.12.1 2010.01.15 - ViRobot 2010.1.16.2140 2010.01.16 - VirusBuster 5.0.21.0 2010.01.16 - weitere Informationen File size: 558592 bytes MD5 : b88b5ea1f59892f30e6c7626f0b1c5b5 SHA1 : acb4480de9b34af5011fee99b7c38f3798ff811b SHA256: f2929c661d6bf6e4d84aef68c65bc8ee4507e825bcc0733653289de449739e93 PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x1000 timedatestamp.....: 0x4B518A1F (Sat Jan 16 10:42:55 2010) machinetype.......: 0x14C (Intel I386) ( 5 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x2000 0x1400 4.36 5bbba7224ec3272f7f0e7a790f790c7d .rdata 0x3000 0xBE000 0x1000 3.02 71853ce7960eac1072f86d55c6ca6812 .data 0xC1000 0x81000 0x7FE00 8.00 6fec65e7a069eec935ff36298bea07c5 .idata 0x142000 0x1000 0x600 1.17 a269984d2ef554f1f3b201bd2da4f3e5 .rsrc 0x143000 0x7000 0x6E00 4.48 7548f7812679951b029090177f10b68a ( 3 imports ) > kernel32.dll: SetPriorityClass, GetCommandLineA, SetCommMask, VirtualProtect, ExitProcess > shell32.dll: StrChrA > user32.dll: GetWindowTextA, GetWindow ( 0 exports ) TrID : File type identification Win32 Executable Generic (38.4%) Win32 Dynamic Link Library (generic) (34.2%) Clipper DOS Executable (9.1%) Generic Win/DOS Executable (9.0%) DOS Executable Generic (9.0%) ssdeep: 12288:vZXOjW8pjDtspvxxDzV56kNi3UL0h24AU4Z6PEM7oDKaR:YVjyDJQkN8hlCZ6Pp7oD PEiD : - RDS : NSRL Reference Data Set Gmer GMER 1.0.15.15281 - http://www.gmer.net Rootkit quick scan 2010-01-18 21:11:59 Windows 5.1.2600 Service Pack 3 Running: x8kgp596.exe; Driver: C:\DOKUME~1\Besitzer\LOKALE~1\Temp\fgtdqpob.sys ---- System - GMER 1.0.15 ---- Code 86B6F5E8 ZwEnumerateKey Code 86B73688 ZwFlushInstructionCache Code 86B6B7EE IofCallDriver Code 86B658DE IofCompleteRequest ---- Devices - GMER 1.0.15 ---- Device \FileSystem\Ntfs \Ntfs 86F671F8 Device \FileSystem\Fastfat \Fat 868B9500 AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) ---- Services - GMER 1.0.15 ---- Service C:\WINDOWS\system32\drivers\H8SRTxjiottapul.sys (*** hidden *** ) [SYSTEM] H8SRTd.sys <-- ROOTKIT !!! ---- EOF - GMER 1.0.15 ---- Soo, habe nun alles wie beschrieben durchgeführt (danke schonmal!), nur der Avenger lässt sich nicht downloaden... |
|
18.01.2010, 22:09
| #25 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Hi, ich muss Dich an der Stelle warnen, es kann zu Problemen kommen. In einem anderen Fall lies sich das System nicht mehr booten, die Kombination von Malware war fast die gleiche... Versuche vorher auf alle Fälle ein RSIT-Log zu erstellen und zu posten, ich habe bezüglich der nicht bootenden Systeme einen Verdacht (das würde uns ggf. die Wiederherstellung erleichtern)... Lade Avenger darüber runter: http://www.file-upload.net/download-...er_le.exe.html Nimm in das Avengerscript noch folgende Zeile (neben den beiden Files) auf: Folders to delete: C:\DOKUME~1\Besitzer\LOKALE~1\Temp C:\Programme\Malware Defense Das Ganze sollte dann so aussehen: Code:
ATTFilter Drivers to delete:
H8SRTd.sys
Files to delete:
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\cls_pack.exe
C:\DOKUME~1\Besitzer\LOKALE~1\Temp\winhlp64.exe
Folders to delete:
C:\DOKUME~1\Besitzer\LOKALE~1\Temp
C:\Programme\Malware Defense
chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
18.01.2010, 22:32
| #26 | |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 RSIT Zitat:
so, getan. avenger auch runtergeladen, Problem -> mam zwar runtergeladen, lässt sich aber nicht öffnen, deshalb habe ich das mit dem avenger auch noch nicht ausgeführt...?! |
|
19.01.2010, 08:52
| #27 |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Hi, Kopfzerbrechen bereitet mir die C:\DOKUME~1\Besitzer\LOKALE~1\Temp\winhlp64.exe, da ich nicht erkennen kann wo sie gestartet wird, daher zuerst noch: Fleckmann: Download Registry Search by Bobbi Flekman http://virus-protect.org/artikel/tools/regsearch.html und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren) Code:
ATTFilter winhlp64.exe
Notepad wird sich oeffnen - poste den text Avenger muss vorher ausgeführt werden, da er die Malware entfernt, die den Start von MAM behindert... Du kannst auch folgendes probieren: Gehe in das Verzeichnis wo Du MAM installierst hast, nenne die EXE (mbam.exe) auf z. B. test.exe um und starte die dann per Doppelklick... chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
23.01.2010, 18:15
| #28 | |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 sooo, Avenger und MAM ausgeführt im abgesicherten Modus. jetzt scheint alles normal, Antivir funktioniert wieder! Zitat:
edit: ich merke gerade, ich habe die falsche log abgespeichert -.- bei der letzten stand da jedenfalls quaranted and deleted oder sowas ähnliches an der Stelle von 'no action taken' |
|
23.01.2010, 18:33
| #29 |
  | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 Malwarebytes' Anti-Malware 1.44 Datenbank Version: 3510 meins Malwarebytes' Anti-Malware 1.44 Datenbank Version: 3620 Updaten und nochmal scannen |
|
23.01.2010, 19:22
| #30 | |
| | Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 hab ich getan Zitat:
|
|
| Themen zu Security Allert Center und Avira Funde Net.Worm.Win32.Mytob.t & TR/PCK.Tdss.AA.2442 |
| alert, appdata, avira, center, cleaner, desktop, gen, gleichzeitig, infos, local\temp, meldung, namen, net-worm.win32.mytob.t, neue, nicht mehr, online, plötzlich, scan, scannen, security, security center alert, sicherheit, spiele, spielen, temp, trojan, werbung, windows, öffnen |
isabled:AOL"
Linear-Darstellung
