vista security meldungen, ave.exe

joehanes

Hallo liebes Trojanerboard!

ich habe heute auf einmal die Meldung "vista security hat blablabla entdeckt" bekommen. Habe mich im Board informiert und mit Malwarebytes behandelt, bin jetzt wieder problemfrei, soweit zumindest meine Einschätzung. Werde hier mal meine malwarebytes-logfiles und ODT posten, vielleicht versteckt sich ja noch etwas, das ich als Laie nicht erkennen kann. Über eure hilfe würde ich mich sehr freuen.

Mein Vorgehen: hab malwarebytes über filepony runtergeladen, im abgesicherten Modus gestartet (nach killen der ave.exe und irl.exe mit processexplorer), NICHT AKTUALISIERT da keine Netzwerktreiber geladen und mit Malwarebytes gescannt. Die gefundenen Dateien hab ich in Quarantäne gesteckt. hier der erste log:

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Datenbank Version: 3930

Windows 6.0.6002 Service Pack 2 (Safe Mode)
Internet Explorer 8.0.6001.18904

26.04.2010 15:01:01
mbam-log-2010-04-26 (15-01-01).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 101159
Laufzeit: 5 Minute(n), 5 Sekunde(n)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 4
Infizierte Registrierungswerte: 6
Infizierte Dateiobjekte der Registrierung: 4
Infizierte Verzeichnisse: 0
Infizierte Dateien: 6

Infizierte Speicherprozesse:
C:\Users\johannes\AppData\Local\ave.exe (Rogue.MultipleAV) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\Software\YVIBBBHA8C (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yvibbbha8c (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\canaveral (Trojan.Downloader) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\winid (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\userinit (Trojan.Agent) -> No action taken.
HKEY_CLASSES_ROOT\.exe\shell\open\command\(default) (Hijack.ExeFile) -> No action taken.
HKEY_CLASSES_ROOT\secfile\shell\open\command\(default) (Rogue.MultipleAV) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\johannes\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe") Good: (firefox.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\johannes\AppData\Local\ave.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\safemode\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\johannes\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode) Good: (firefox.exe -safe-mode) -> No action taken.
HKEY_CLASSES_ROOT\.exe\(default) (Hijacked.exeFile) -> Bad: (secfile) Good: (exefile) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\johannes\AppData\Local\Temp\Irl.exe (Trojan.FakeAlert) -> No action taken.
C:\Users\johannes\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> No action taken.
C:\Windows\Tasks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job (Trojan.Downloader) -> No action taken.
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> No action taken.
C:\Users\johannes\AppData\Roaming\sdra64.exe (Trojan.Agent) -> No action taken.
C:\Users\johannes\AppData\Local\ave.exe (Rogue.MultipleAV) -> No action taken.



Dann habe ich vista normal gestartet und Malwarebytes aktualisiert, nochmal gescannt, gefundenes gelöscht und folgenden log bekommen:


Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Datenbank Version: 4037

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18904

26.04.2010 15:11:58
mbam-log-2010-04-26 (15-11-58).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 106939
Laufzeit: 5 Minute(n), 24 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> No action taken.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hsf87sdhfush87fsufhuie3fddf (Trojan.Downloader) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\johannes\AppData\Local\Temp\ecsmwonxra.exe (Trojan.Dropper) -> No action taken.
C:\Users\johannes\AppData\Local\Temp\stpff683.exe (Trojan.Hiloti) -> No action taken.
C:\Users\johannes\AppData\Local\Temp\ahuibmw.exe (Trojan.Ertfor) -> No action taken.
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> No action taken.


Danach hatte ich keine Probleme mehr.

Ich habe gelesen, dass auch ein Scan mit OTL Sinn macht, die OTL.txt im nächsten Post...



Ich hoffe, ihr könnt mir helfen


Vielen Dank

joehanes