| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn"Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
31.05.2010, 21:49
| #1 |
 |  HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hallo zusammen, soeben komme ich von einem Termin wieder zurück an meinen Rechner und sehe plötzlich eine mir unbekannte Datei (sieht aus wie eine Systemdatei) auf dem Desktop liegen. Die Datei war vorher nicht da und ist mir völlig unbekannt, mit folgender Bezeichnung "fjhdyfhsn". Mein Betriebsystem ist Windows XP. Virenscanner ist AntiVir (Premium) Kann das ein Virus sein oder wie kann eine unbekannte Datei plötzlich auf meinen Desktop kommen? Ich starte jetzt sicherheitshalber mal AntiVir Scan. Ich bitte um Eure Hilfe - Vielen Dank Faustino |
|
01.06.2010, 10:04
| #2 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Weitere Informationen zur Ergänzung:
__________________Mir ist noch aufgefallen, dass ich gestern auf einer Webseite war, auf welcher sich beim Betreten der Seite, ein kleines Java-Fenster auf meinem Rechner geöffnet hat... Kann er damit evtl. zusammenhängen? Avira AntiVir ist jetzt zu 20% durchgelaufen und läuft weiter. Aktuell 1 Fund: TR/Crypt.ZPACK.Gen Ich habe in AntiVir mal in vegangenen Berichten geschaut und festgestellt, dass es in naher Vergangenheit 4 Funde gab: 14.05.2010: 3 Funde => TR/Drop.Agent.bqde 14.05.2010: 1 weiterer Fund => TR/Drop.Agent.bqde Im Anschluß habe ich mal in der Systemverwaltung unter Quarantäne geschaut und folgende Einträge gefunden: 14.05.2010, 2 x Quarantäne-Einträge von TR/Drop.Agent.bqde 31.05.2010, 1 x Quarantäne-Eintrag von TR/Drop.Agent.bqde jeweils in unterschiedlichen Dateien. Meine Fragen ab Euch: hängt der aktuelle Fund von TR/Crypt.ZPACK.Gen mit den vergangenen Funden von Drop.Agent zusammen? All das erklärt aber leider auch nicht wie urplötzlich die zuvor genannte Datei auf meinen Desktop kommt : C:\Dokumente und Einstellungen\PC1\Desktop\fjhdyfhsn.bat Was kann ich tun um meinen Rechner wieder sauber zu bekommen? Vielen Dank Faustino Geändert von Faustino (01.06.2010 um 10:20 Uhr) |
|
01.06.2010, 10:18
| #3 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" *vorneweg: ich bin kein offizieller Helfer oder Kompetenzler, sondern nur interessierter und hilfsbereiter Leser*
__________________Ohne Pfadangaben ist es schwierig, irgendetwas zu diagnostizieren -> poste mal die alten Avira-Logs mit den Funden und den neuen Log von heute (sobald Avira fertig durchgelaufen ist). Um die Dateien in der Quarantäne brauchst du dich nicht zu sorgen, denn sie sind nicht aktiv und können von dort aus keinen Schaden anrichten. Zu der "unbekannten" Datei: laut google-Suche und Dateiname scheint diese sehr wahrscheinlich Malware zu sein -> lade sie doch mal bei www.virustotal.com hoch und poste das komplette Ergebnis. Für die Bereinigung des Systems (oder ggf. auch Neuaufsetzen) ist dann ein offizieller Helfer gefragt, das traue ich mir lieber nicht zu  Viel Erfolg! Sonja |
|
01.06.2010, 10:26
| #4 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hallo Sonja, vielen Dank für Deine Rückmeldung. Sobald AntiVir durch ist werde ich die alten und neuen logs mal posten. AntiVir-Scan läuft akutell bei 38%. Dauert also leider noch etwas. Parallel werde ich bei www.virustotal.com mal wegen C:\Dokumente und Einstellungen\PC1\Desktop\fjhdyfhsn.bat anfragen. Bis gleich Geändert von Faustino (01.06.2010 um 11:02 Uhr) |
|
01.06.2010, 10:43
| #5 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hier der Analysereport von virustotal.com: https://www.virustotal.com/de/analisis/982dc315b1c13b3d571d2366aa3222ddf44dd6e734255e3d6d9f3b8a38b3bcf0-1274635405 Hier der Report von virustotal.com Datei fjhdyfhsn.bat empfangen 2010.05.23 17:23:25 (UTC) Status: Beendet Ergebnis: 1/41 (2.44%) Filter Drucken der Ergebnisse Antivirus Version letzte aktualisierung Ergebnis a-squared 4.5.0.50 2010.05.10 - AhnLab-V3 2010.05.23.00 2010.05.22 - AntiVir 8.2.1.242 2010.05.23 - Antiy-AVL 2.0.3.7 2010.05.21 - Authentium 5.2.0.5 2010.05.23 - Avast 4.8.1351.0 2010.05.23 - Avast5 5.0.332.0 2010.05.23 - AVG 9.0.0.787 2010.05.23 - BitDefender 7.2 2010.05.23 - CAT-QuickHeal 10.00 2010.05.21 - ClamAV 0.96.0.3-git 2010.05.22 - Comodo 4920 2010.05.23 - DrWeb 5.0.2.03300 2010.05.23 - eSafe 7.0.17.0 2010.05.23 - eTrust-Vet 35.2.7503 2010.05.21 - F-Prot 4.6.0.103 2010.05.23 - F-Secure 9.0.15370.0 2010.05.23 - Fortinet 4.1.133.0 2010.05.23 - GData 21 2010.05.23 - Ikarus T3.1.1.84.0 2010.05.23 - Jiangmin 13.0.900 2010.05.22 - Kaspersky 7.0.0.125 2010.05.23 - McAfee 5.400.0.1158 2010.05.23 - McAfee-GW-Edition 2010.1 2010.05.23 - Microsoft 1.5802 2010.05.23 - NOD32 5139 2010.05.23 - Norman 6.04.12 2010.05.23 BAT/Agent.AB nProtect 2010-05-23.01 2010.05.23 - Panda 10.0.2.7 2010.05.23 - PCTools 7.0.3.5 2010.05.23 - Prevx 3.0 2010.05.23 - Rising 22.48.06.04 2010.05.23 - Sophos 4.53.0 2010.05.23 - Sunbelt 6343 2010.05.23 - Symantec 20101.1.0.89 2010.05.23 - TheHacker 6.5.2.0.285 2010.05.23 - TrendMicro 9.120.0.1004 2010.05.23 - TrendMicro-HouseCall 9.120.0.1004 2010.05.23 - VBA32 3.12.12.5 2010.05.22 - ViRobot 2010.5.20.2326 2010.05.23 - VirusBuster 5.0.27.0 2010.05.23 - weitere Informationen File size: 140 bytes MD5 : 80c04d6b9f82d8ae1c68901a952be0d4 SHA1 : 59550cc310544695424b718c127fca2be2ce7c32 SHA256: 982dc315b1c13b3d571d2366aa3222ddf44dd6e734255e3d6d9f3b8a38b3bcf0 TrID : File type identification Unknown! ssdeep: 3:mKDDfmA+5K025dZuA5qRYAs1Cki97NaZuA5qRYAs1Cki9Vjjvn:hqN2mJRYb1Cki97NZJRYb1Cki9V/vn sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned PEiD : - RDS : NSRL Reference Data Set |
|
01.06.2010, 11:03
| #6 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Welchen Bereich der Avira-Logs soll ich posten? Danke und Gruß Faustino |
|
01.06.2010, 15:01
| #7 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hi, am besten die kompletten Avira-Logs posten. Zusätzlich kannst du auch einen Voll-Scan mit Malwarebytes machen - Wichtig ist, das Programm vorher zu updaten! Sonja |
|
01.06.2010, 17:57
| #8 | |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" So, anbei nun der Avira-Report: 2 Funde von TR/Crypt.ZPACK.Gen Zitat:
Voll-Scan mit Malwarebytes werde ich jetzt laufen lassen. |
|
01.06.2010, 19:51
| #9 | |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn"Zitat:
Kann ich die Datei "fjhdyfhsn.bat" die auf meinem Dasktop liegt einfach löschen? Ich weiß, es sind viele Fragen, aber wenn ich mir anders zu helfen wüßte, würde ich nicht so viel fragen.  Vielen Dank vorab! Geändert von Faustino (01.06.2010 um 19:59 Uhr) |
|
01.06.2010, 20:18
| #10 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hi, du kannst natürlich einfach probieren, die Datei auf dem Desktop einfach zu löschen, aber 1. bezweifle ich, dass die sich so einfach löschen lässt und 2. hast du damit nicht die Ursache der Probleme der behoben. Und ob die beiden Funde zusammenhängen, weiß ich leider nicht -> poste aber mal noch das Avira-Log von den alten Funden am 14.5. Das "edssiiu" hat einige versteckte Registry-Einträge produziert -> mal sehen, was Malwarebytes davon findet und bereinigen kann. Es scheint mir allerdings so, dass sich da tiefer im System noch was verbirgt, deshalb sollte nach dieser oberflächlichen Bereinigung sich am besten ein offzieller Helfer der Sache annehmen. Ansonsten könnte ich dir noch einen Scan mit OTL (http://www.trojaner-board.de/85104-o...-oldtimer.html) und OSAM empfehlen, um mal genauer im System nachzuschauen. VG Sonja Geändert von malwarefight (01.06.2010 um 20:23 Uhr) |
|
01.06.2010, 20:36
| #11 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Hi Petra, ok, aber ich belasse die Datei einfach mal auf dem Desktop. Malwarebytes Scan ist durchgelaufen (Scan interne und esterne Platte) anbei der Log. Was soll ich mit Soll ich bei Malwarebytes nun tun? "Entferne Auswahl" drücken? Code:
ATTFilter Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Datenbank Version: 4161
Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702
01.06.2010 21:32:48
mbam-log-2010-06-01 (21-32-48).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|)
Durchsuchte Objekte: 316251
Laufzeit: 1 Stunde(n), 50 Minute(n), 42 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken.
Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
Infizierte Dateien:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\Dokumente und Einstellungen\gabe\Lokale Einstellungen\Temp\svchost.exe (Trojan.Agent) -> No action taken.
Geändert von Faustino (01.06.2010 um 20:52 Uhr) |
|
01.06.2010, 21:09
| #12 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Ich habe nun einfach mal "Entfernen Auswahl" getätigt. Hier die Log-Datei: Code:
ATTFilter Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Datenbank Version: 4161
Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702
01.06.2010 21:55:07
mbam-log-2010-06-01 (21-55-07).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|)
Durchsuchte Objekte: 316251
Laufzeit: 1 Stunde(n), 50 Minute(n), 42 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> Quarantined and deleted successfully.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> Quarantined and deleted successfully.
Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> Quarantined and deleted successfully.
Infizierte Dateien:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\gabe\Lokale Einstellungen\Temp\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
|
|
01.06.2010, 22:22
| #13 |
| | HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" Ich habe jetzt noch die Ereignisse (nur Funde) von Avira exportiert und hier nun die Logs: Code:
ATTFilter Exportierte Ereignisse:
14.05.2010 19:40 [Scanner] Malware gefunden
Die Datei 'C:\Dokumente und Einstellungen\gabe\Lokale
Einstellungen\Temp\1017143300000e5cim6zs3lsmo\BLTranslatorApp.zip'
enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c418b55.qua'
verschoben!
14.05.2010 19:41 [Scanner] Malware gefunden
Die Datei 'C:\Downloads\BLTranslatorApp.zip'
enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c418ba4.qua'
verschoben!
01.06.2010 18:42 [Scanner] Malware gefunden
Die Datei 'C:\WINDOWS\system32\drivers\edssiiu.sys'
enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.ZPACK.Gen' [trojan].
Durchgeführte Aktion(en):
Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler
aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004.
Die Quelldatei konnte nicht gefunden werden.
Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f0097e5.qua'
verschoben!
14.05.2010 19:39 [Guard] Malware gefunden
In der Datei 'C:\Downloads\BL Translator App.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan]
gefunden.
Ausgeführte Aktion: Datei löschen
14.05.2010 21:12 [Scanner] Malware gefunden
Die Datei 'C:\System Volume
Information\_restore{7AE4A41C-5A1D-4615-8CF6-329D11A6BDE1}\RP711\A0084489.exe'
enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c1da0da.qua'
verschoben!
14.05.2010 19:41 [Scanner] Malware gefunden
Die Datei 'C:\Downloads\BL Translator App.exe'
enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
Durchgeführte Aktion(en):
Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler
aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004.
Die Quelldatei konnte nicht gefunden werden.
Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
Fehler in der ARK Library.
Die Datei wurde zum Löschen nach einem Neustart markiert.
|
|
| Themen zu HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" |
| antivir, bekannte, betriebsystem, datei, desktop, folge, folgender, hallo zusammen, hilfe!, plötzlich, premium, rechner, scan, scanner, sicherheitshalber, starte, systemdatei, termin, unbekannte, unbekannte datei, virenscan, virenscanner, virus, windows, windows xp., zusammen |
Linear-Darstellung
