| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Nackter Desktop angezeigt - (Ursprüngliche Ursache TR/Spy.Bebloh.A.37 ?)Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
27.03.2010, 00:49
| #1 |
 |  Nackter Desktop angezeigt - (Ursprüngliche Ursache TR/Spy.Bebloh.A.37 ?) Hi! Ich weiß es ist schon spät, aber vielleicht liest ja spätestens morgen früh jemand die Nachricht ! Es gibt bei mir folgendes Problem: In den letzten Tagen hat mein PC immer mal wieder kleinere Viren gefunden, außerdem sind während des surfens manchmal plötzlch irgendwelche Fenster aufgesprungen, die ich nicht zu öffnen gedachte. Vorhin nun fand er wieder etwas und als ich das File TR/Spy.Beblod.A.37 löschen wollte, wurde ich aufgefordert von Antivir den PC neu zu starten (Windows XP Service Pack 3), was ich natürlich auch tat. Dies hatte allerdings zur Folge, dass plötzlich mein Desktop nackt war. Das heißt ich konnte nur den Bildschirmhintergrund sehen - ansonsten nichts! Allerdings war und ist es mir möglich über den Taskmanager alle gängigen Programme zu öffnen. Außerdem hat sich als ich bei "Neuer Task ausführen" "system" eingegeben habe, plötzlich der Desktop wieder mit all seinen Bestandteilen hergestellt! Nun dachte ich: Okay, nun ist wohl wieder alles gut - aber nichts da: Wenn ich den PC neu starte, ist die Situation die gleiche wie vorher - Alles geht über den TaskManager, auch die Wiederherstellung des Desktops. Weiter interessant dürfte sein, dass beim Starten im abgesichtern Modus die gleiche Situation vorherrscht. Verwendet habe ich bisher Antivir und spybot, welche zwar schon das ein oder andere gefunden haben - das Problem aber nicht beheben konnten! Nun frage ich mich wie ich weiter verfahren sollte, wie ich z.B. "endgültig" u.a. das o.g. File löschen kann! Hier mal den Logfile von HijackThis und Malwarebytes Anti-malware, hoffe, dass mit dem einfügen klappt (Das Anhängen klapte auf jeden Fall auch nach txt Umänderung nicht): Zunächste benutzte ich nun Malwarebyte, das Ergebnis ist folgendes: Code:
ATTFilter Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3919
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702
27.03.2010 00:19:57
mbam-log-2010-03-27 (00-19-57).txt
Scan-Methode: Quick-Scan
Durchsuchte Objekte: 142038
Laufzeit: 1 hour(s), 9 minute(s), 8 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 10
Infizierte Registrierungswerte: 9
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 2
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{e706737e-92fe-467f-be77-8baa0006a3c0} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\chrome.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safari.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\navigator.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\opera.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Userinit.exe (Security.Hijack) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb9263 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd5920 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletinga8064 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingc8579 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb5198 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd4579 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletinga9283 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingc7674 (Stolen.data) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> Quarantined and deleted successfully.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders (Broken.SecurityProviders) -> Bad: (msapsspc.dllschannel.dlldigest.dllmsnsspc.dll) Good: (msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> Quarantined and deleted successfully.
Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> Delete on reboot.
Infizierte Dateien:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Delete on reboot.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Delete on reboot.
|
| Themen zu Nackter Desktop angezeigt - (Ursprüngliche Ursache TR/Spy.Bebloh.A.37 ?) |
| antivir, beim starten, dateien, desktop, explorer, frage, hijack, hijackthis, hängen, logfile, malware.trace, malwarebytes, malwarebytes' anti-malware, microsoft, neu, opera.exe, problem, programme, software, starten, stolen.data, system, system32, taskmanager, trojan.vundo, userinit.exe, viren, windows, windows xp, winlogon |
Baum-Darstellung