Hoi,

bei World of Warcraft Installation (Classic) hatt Antivir das meckern angefangen.

"In der Datei 'C:\Programme\World of Warcraft.temp\WowError.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Dldr.Agent.dsta' [trojan] gefunden.
Ausgeführte Aktion: Zugriff erlauben"

"Zugriff erlauben", mhmm, kA, was ich da geklickt hatte, dass dies da steht. ^^

bei allen weiteren Meldungen steht dann immer

"In der Datei 'C:\Programme\World of Warcraft\WowError.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Dldr.Agent.dsta' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern"

Hab damals, als ich den Fall schon ma hatte, die Quarantänedatei von Antivir (habs damals direkt in Quarantäne) bei Virustotal hochgeladen. Hatte nichts gefunden. Jetzt hab ich gelesen Quarantänedatei hochlesen ist Schwachsinn und mann muss die Datei erst wieder herstellen bevor man sie zum testen hochläd.
Das hab ich heute dann versucht, aber Virustotal hat irgendwie gezickt und die Datei nicht angenommen...

Naja, dachte dann, vielleicht ist es ein Fehlalarm und ich installiere einfach ma die Burning Crusade und Wrath of the Lichking (Addons), vielleicht hört es dann auf, weil es vielleicht nur ne alte Datei war, die Fehlermeldungen erzeugt und mit den Addons dann aktueller ist und Antivir aufhört zu zicken...
Also die ständig kommende Trojanermeldung einfach ignoriert und Addons installiert.
Aber...

Fehlanzeige, Antivir meckerte weiter...

Nun war die Datei scheinbar an einem anderen Ort, was mich etwas beunruhigte. ^^

"Die Datei 'C:\System Volume Information\_restore{AC0A5F44-98CB-4EE4-B835-F857E070619F}\RP12\A0004481.exe'
enthielt einen Virus oder unerwünschtes Programm 'TR/Dldr.Agent.dsta' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f61a974.qua' verschoben!"

Hab auch gegoogelt usw.
Hatt nicht wirklich brauchbares ausgespuckt....
Scheint kein weitverbreitetes Problem bisher gewessen zu sein, fande nicht viel. 1-2 Leute hab ich noch endeckt mit dem gleichen Problem, da stand aber auch nichts dran, ob das nun gefährlich ist, oder nicht.

Was meint ihr? Muss ich mir Sorgen machen. Seit die Datei in Quarantäne ist, findet Antivir nichts mehr. Auch Malwarebytes findet nichts. Bei HijackThis sah es in der automatischen Logauswertung auch gut aus...
Bin jetzt echt überfragt. Pc ist frisch aufgesetzt, wenn ich den jetzt wieder aufsetze, so wie ich es erst gemacht habe, dann hab ich die gleiche Meldung sicher wieder. Bin wirklich überfragt, wo der Virus herkommen könnte... Viel hab ich seit der Neuinstallaton nicht gemacht. Patches gesaugt, aber noch nicht installiert! (Von einer Seite die eigentlich sicher sein sollte)
Vielleicht wars ein Fehlalarm?

Was meint ihr? Bin für jeden Rat dankbar.

Hab den Pc seit der Infektion nicht mehr neu gestartet, fällt mir grad ein. Ich tu das nun ma und lass dann noch ma die Antivir, Malwarebytes und HijackThis durchlaufen und poste die Logs.

Kann paar Minuten dauern bis die Progs durch sind. Falls ich da nichts finde, ist der Pc dann vermutlich sauber?

Mfg Wasser

So:

HiJackthis Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:06:44, on 27.07.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /installquiet
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 3755 bytes
         

--- --- ---

Malwarebytes Quickscan:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4359

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

27.07.2010 21:11:06
mbam-log-2010-07-27 (21-11-06).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 116559
Laufzeit: 3 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Sieht gut aus... Aber kenn mich nicht aus, und hab keine Ahnung, ob der Schein trügt.
Antivir mach ich nun, dass dauert 30-40 min. Vielleicht war es auch irgend eine Wowdatei, die okay war. Aber wiederherstellen trau ich mich irgendwie nicht. Vielleicht funzt Wow auch ohne, hehe.
Und falls es ein Virus war, dann hoff ich, dass das System nun clean ist, was meint ihr?
Noch irgendwelche Empfehlunge. (Programm die ich durchlaufen lassen könnte oder sonst irgendwas.)
Hab bei den Programmen bisher immer einfach Standardeinstellungen verwendet!

Mfg Wasser

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 27. Juli 2010 21:20

Es wird nach 2578239 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : XXX-02D4E9BE3CD

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 13:30:41
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 13:30:53
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 13:31:17
VBASE008.VDF : 7.10.9.166 2048 Bytes 23.07.2010 13:31:17
VBASE009.VDF : 7.10.9.167 2048 Bytes 23.07.2010 13:31:17
VBASE010.VDF : 7.10.9.168 2048 Bytes 23.07.2010 13:31:17
VBASE011.VDF : 7.10.9.169 2048 Bytes 23.07.2010 13:31:17
VBASE012.VDF : 7.10.9.170 2048 Bytes 23.07.2010 13:31:17
VBASE013.VDF : 7.10.9.198 157696 Bytes 26.07.2010 15:12:14
VBASE014.VDF : 7.10.9.199 2048 Bytes 26.07.2010 15:12:14
VBASE015.VDF : 7.10.9.200 2048 Bytes 26.07.2010 15:12:14
VBASE016.VDF : 7.10.9.201 2048 Bytes 26.07.2010 15:12:14
VBASE017.VDF : 7.10.9.202 2048 Bytes 26.07.2010 15:12:15
VBASE018.VDF : 7.10.9.203 2048 Bytes 26.07.2010 15:12:15
VBASE019.VDF : 7.10.9.204 2048 Bytes 26.07.2010 15:12:15
VBASE020.VDF : 7.10.9.205 2048 Bytes 26.07.2010 15:12:15
VBASE021.VDF : 7.10.9.206 2048 Bytes 26.07.2010 15:12:15
VBASE022.VDF : 7.10.9.207 2048 Bytes 26.07.2010 15:12:15
VBASE023.VDF : 7.10.9.208 2048 Bytes 26.07.2010 15:12:15
VBASE024.VDF : 7.10.9.209 2048 Bytes 26.07.2010 15:12:15
VBASE025.VDF : 7.10.9.210 2048 Bytes 26.07.2010 15:12:15
VBASE026.VDF : 7.10.9.211 2048 Bytes 26.07.2010 15:12:15
VBASE027.VDF : 7.10.9.212 2048 Bytes 26.07.2010 15:12:15
VBASE028.VDF : 7.10.9.213 2048 Bytes 26.07.2010 15:12:16
VBASE029.VDF : 7.10.9.214 2048 Bytes 26.07.2010 15:12:16
VBASE030.VDF : 7.10.9.215 2048 Bytes 26.07.2010 15:12:16
VBASE031.VDF : 7.10.9.224 93184 Bytes 27.07.2010 15:12:16
Engineversion : 8.2.4.26
AEVDF.DLL : 8.1.2.0 106868 Bytes 26.07.2010 13:31:36
AESCRIPT.DLL : 8.1.3.41 1364346 Bytes 26.07.2010 13:31:36
AESCN.DLL : 8.1.6.1 127347 Bytes 26.07.2010 13:31:34
AESBX.DLL : 8.1.3.1 254324 Bytes 26.07.2010 13:31:37
AERDL.DLL : 8.1.8.2 614772 Bytes 26.07.2010 13:31:34
AEPACK.DLL : 8.2.3.2 471414 Bytes 26.07.2010 13:31:32
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 26.07.2010 13:31:30
AEHEUR.DLL : 8.1.2.6 2793846 Bytes 26.07.2010 13:31:30
AEHELP.DLL : 8.1.13.2 242039 Bytes 26.07.2010 13:31:24
AEGEN.DLL : 8.1.3.17 385396 Bytes 26.07.2010 13:31:23
AEEMU.DLL : 8.1.2.0 393588 Bytes 26.07.2010 13:31:22
AECORE.DLL : 8.1.16.2 192887 Bytes 26.07.2010 13:31:22
AEBB.DLL : 8.1.1.0 53618 Bytes 26.07.2010 13:31:21
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Dienstag, 27. Juli 2010 21:20

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\NtmsSvc\Config\Standalone\drivelist
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeaTimer.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'RUNDLL32.EXE' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '84' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '144' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '311' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'


Ende des Suchlaufs: Dienstag, 27. Juli 2010 21:56
Benötigte Zeit: 35:22 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

2463 Verzeichnisse wurden überprüft
85530 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
85530 Dateien ohne Befall
762 Archive wurden durchsucht
0 Warnungen
0 Hinweise
331500 Objekte wurden beim Rootkitscan durchsucht
1 Versteckte Objekte wurden gefunden

Niemand eine Vermutung, ob das ein Virus oder eine Fehlermeldung war?
Und ob ich halbwegs sicher sein kann, dass nun alles passt?

mhmm

scheinbar weiss keiner was, oder hat keine Lust, etwas dazu zu sagen
naja, wird schon passen, hoff ich