|
Log-Analyse und Auswertung: Nach TrojanerbefallWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
03.08.2010, 15:28 | #1 |
| Nach Trojanerbefall Hallo, hatte (habe) den Trojaner TR/Dropper an Bord. Habe das mit Antivir und Malwarebytes angegangen. Muss ich jetzt noch weitere Schritte unternehmen? Vieken Dank Markus HiJackthis Logfile: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 16:18:54, on 03.08.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16762) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Lavasoft\Ad-Aware\AAWService.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\fireface.exe C:\WINDOWS\system32\firefacemix.exe C:\Programme\Matrox Graphics Inc\PowerDesk\Services\Matrox.PowerDesk.Services.exe C:\Programme\Matrox Graphics Inc\PowerDesk SE\Matrox.Pdesk.ServicesHost.exe C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Mozilla Firefox\plugin-container.exe C:\Programme\Outlook Express\msimn.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O4 - HKLM\..\Run: [FirefaceTray] fireface.exe O4 - HKLM\..\Run: [FirefaceMixTray] firefacemix.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe O23 - Service: Matrox Centering Service - Matrox Graphics Inc. - C:\Programme\Matrox Graphics Inc\PowerDesk\Services\Matrox.PowerDesk.Services.exe O23 - Service: Matrox.Pdesk.ServicesHost - Matrox Graphics Inc - C:\Programme\Matrox Graphics Inc\PowerDesk SE\Matrox.Pdesk.ServicesHost.exe O23 - Service: NIHardwareService - Native Instruments GmbH - C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe -- End of file - 3721 bytes Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4385 Windows 5.1.2600 Service Pack 3 Internet Explorer 7.0.5730.13 03.08.2010 16:13:49 mbam-log-2010-08-03 (16-13-49).txt Art des Suchlaufs: Quick-Scan Durchsuchte Objekte: 133740 Laufzeit: 1 Minute(n), 40 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) |
03.08.2010, 19:34 | #2 |
/// Selecta Jahrusso | Nach TrojanerbefallWas wurde wo gefunden ?
__________________ |
03.08.2010, 20:09 | #3 |
| Nach Trojanerbefall Exportierte Ereignisse:
__________________03.08.2010 18:20 [Scanner] Malware gefunden Die Datei 'C:\System Volume Information\_restore{2D8FF71B-DB68-4158-B189-562D8BE32983}\RP99\A0019059.dll' enthielt einen Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4609e573.qua' verschoben! 03.08.2010 18:20 [Scanner] Malware gefunden Die Datei 'C:\System Volume Information\_restore{2D8FF71B-DB68-4158-B189-562D8BE32983}\RP99\A0019058.DLL' enthielt einen Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5e9ecad4.qua' verschoben! 03.08.2010 11:38 [Scanner] Malware gefunden Die Datei 'C:\Dokumente und Einstellungen\Music\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\n0p2vqsu.default\Cache\1E 0B4DBDd01' enthielt einen Virus oder unerwünschtes Programm 'TR/Dropper.Gen' [trojan]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c87e3f2.qua' verschoben! 03.08.2010 11:38 [Scanner] Malware gefunden Die Datei 'C:\Dokumente und Einstellungen\Music\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\n0p2vqsu.default\Cache\83 548F71d01' enthielt einen Virus oder unerwünschtes Programm 'TR/Dropper.Gen' [trojan]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c8ce3e0.qua' verschoben! Übrigens lässt sich der Avira Guard nicht mehr aktivieren. Viele Grüße und danke für die Hilfe. Geändert von Boogie (03.08.2010 um 20:17 Uhr) |
03.08.2010, 21:13 | #4 |
/// Selecta Jahrusso | Nach Trojanerbefall Downloade Dir bitte Load.exe
Nach dem Neustart findest Du einen Ordner MFTools auf dem Desktop. Darin befindet sich eine Anleitung.pdf. Diese bitte öffnen und die darin beschriebenen Schritte abarbeiten.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
04.08.2010, 17:07 | #5 |
| Nach Trojanerbefall Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4388 Windows 5.1.2600 Service Pack 3 Internet Explorer 7.0.5730.13 04.08.2010 17:54:43 mbam-log-2010-08-04 (17-54-43).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|G:\|Z:\|) Durchsuchte Objekte: 280539 Laufzeit: 29 Minute(n), 23 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) |
04.08.2010, 17:16 | #6 |
/// Selecta Jahrusso | Nach Trojanerbefall Probleme ? Schritt 1
Code:
ATTFilter :OTL @Alternate Data Stream - 1388 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:5fg9dPfhJicV00fpFJY @Alternate Data Stream - 1334 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:lrGfm0xls3q7NBemODpdgiim9 @Alternate Data Stream - 1322 bytes -> C:\Programme\WindowsUpdate:biszY1XK2m4tUrtQm2RpH2 @Alternate Data Stream - 1304 bytes -> C:\Programme\Outlook Express:jZre2m5ApgaeRP9uS6GtnR @Alternate Data Stream - 1240 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:BSAkS0Du2AE3O1TMYm3UiGAEHoI @Alternate Data Stream - 1179 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:wJ9AeB9YlUcHH05XgsvG9ws @Alternate Data Stream - 1147 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:bqFeo1oB4YLx6fTyCAUZTerpveCtj @Alternate Data Stream - 1131 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:U0fuYWVosKBTFEXtn26H5gkK6cv @Alternate Data Stream - 103 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2 < End of report > :services :files :reg :Commands [purity] [emptytemp] [reboot]
Schritt 2 ESET Online Scanner Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.
Wenn der Scan beendet wurde
Schritt 3 Downloade Dir bitte SecurityCheck
Poste den Inhalt bitte hier. Bitte poste in Deiner nächsten Antwort OTLFix Log ESET log sescan.log
__________________ --> Nach Trojanerbefall |
04.08.2010, 19:00 | #7 |
| Nach Trojanerbefall OTL: All processes killed ========== OTL ========== ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:5fg9dPfhJicV00fpFJY deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:lrGfm0xls3q7NBemODpdgiim9 deleted successfully. ADS C:\Programme\WindowsUpdate:biszY1XK2m4tUrtQm2RpH2 deleted successfully. ADS C:\Programme\Outlook Express:jZre2m5ApgaeRP9uS6GtnR deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:BSAkS0Du2AE3O1TMYm3UiGAEHoI deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:wJ9AeB9YlUcHH05XgsvG9ws deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:bqFeo1oB4YLx6fTyCAUZTerpveCtj deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft:U0fuYWVosKBTFEXtn26H5gkK6cv deleted successfully. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMPFC5A2B2 deleted successfully. ========== SERVICES/DRIVERS ========== ========== FILES ========== ========== REGISTRY ========== ========== COMMANDS ========== [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->FireFox cache emptied: 0 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Music ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 10005541 bytes ->FireFox cache emptied: 47415727 bytes ->Flash cache emptied: 615 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 0 bytes Session Manager Temp folder emptied: 21583596 bytes Session Manager Tmp folder emptied: 0 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 75,00 mb OTL by OldTimer - Version 3.2.9.1 log created on 08042010_183615 Files\Folders moved on Reboot... Registry entries deleted on Reboot... ESET: ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6211 # api_version=3.0.2 # EOSSerial=e1be1d966f05864693c61865f1575f7a # end=finished # remove_checked=true # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2010-08-04 05:41:57 # local_time=2010-08-04 07:41:57 (+0100, Westeuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=5.1.2600 NT Service Pack 3 # compatibility_mode=512 16777215 100 0 106910 106910 0 0 # compatibility_mode=1797 16775142 100 100 83872 55840346 76605 0 # compatibility_mode=8192 67108863 100 0 97 97 0 0 # scanned=149523 # found=0 # cleaned=0 # scan_time=3534 Sescan: Results of screen317's Security Check version 0.99.5 Windows XP Service Pack 3 Internet Explorer 7 Out of date! `````````````````````````````` Antivirus/Firewall Check: Avira AntiVir Personal - Free Antivirus ESET Online Scanner v3 Antivirus up to date! (On Access scanning disabled!) ``````````````````````````````` Anti-malware/Other Utilities Check: Ad-Aware Malwarebytes' Anti-Malware HijackThis 2.0.2 CCleaner Adobe Flash Player 10.1.53.64 Adobe Reader 8.1.4 - Deutsch Out of date Adobe Reader installed! Mozilla Firefox (3.6.8) ```````````````````````````````` Process Check: objlist.exe by Laurent Ad-Aware AAWService.exe Ad-Aware AAWTray.exe is disabled! Avira Antivir avgnt.exe ```````````````````````````````` DNS Vulnerability Check: GREAT! (Not vulnerable to DNS cache poisoning) ``````````End of Log```````````` |
04.08.2010, 19:41 | #8 |
/// Selecta Jahrusso | Nach Trojanerbefall Schritt 1 Deinstalliere bitte deine aktuelle Version von Adobe Reader Start--> Systemsteuerung--> Software--> Adobe Reader und lade dir die neue Version von Hier herunter Als alternative würde ich dir den schlankeren Foxit Reader empfehlen Schritt 2 Deinstalliere bitte AdAware. Das ist Müll Schritt 3 Starte bitte OTL.exe. Wähle unter Extra Registrierung: Benutze Safe List und klicke auf den Scan Button. Bitte poste in Deiner nächsten Antwort OTL.txt Extras.txt Berichte wie der Rechner läuft
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
05.08.2010, 15:52 | #9 |
| Nach Trojanerbefall Hallo Daniel, habe Deine Optimierungsvorschläge angewendet. Der Rechner läuft schnell und stabil bloß der AVIRA-Guard lässt sich immer noch nicht aktivieren. Vielen Dank für die tolle Hilfe. Markus |
05.08.2010, 16:20 | #10 |
/// Selecta Jahrusso | Nach Trojanerbefall
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
05.08.2010, 16:41 | #11 |
| Nach Trojanerbefall Alles bestens Vielen Dank!!! |
05.08.2010, 16:59 | #12 |
/// Selecta Jahrusso | Nach Trojanerbefall Logfile ist sauber Hier noch die letzten paar Schritte zur Säuberung Deines Rechners. Schritt 1 Systemwiederherstellungpunkte leeren Starte OTL.exe. Füge nun folgendes aus der Codebox in die Textbox. Code:
ATTFilter :Commands [CLEARALLRESTOREPOINTS] [emptytemp] Schritt 2 Tool CleanUp Starte bitte die OTL.exe. Klicke nun auf den Bereinigung Button. Dies wird die meisten Tools und Logfiles entfernen. Sollte denoch etwas bestehen bleiben, bitte manuell entfernen sowie den Papierkorb leeren. Schritt 3 Automatische Updates Sehen wir nach ob die Updates für Windows sich automatisch downloaden. Das ist der beste Weg um all die Sicherheits- Patches und Fixes zu erhalten. Windows + R Taste drücken. Kopiere nun folgenden Text in die Kommandozeile RunDll32.exe shell32.dll,Control_RunDLL wscui.cpl und klicke auf OK. Stelle sicher das die automatischen Updates aktiviert sind. Schritt 4 Um Dich für die Zukunft vor weiteren Infizierungen zu schützen empfehle ich Dir noch ein paar Programme.
Schritt 5 Tipps für sicheres Surfen Das sind meine Vorschläge. Verwende einen alternativen Browser statt den IE. Ich empfehle Mozilla Firefox. Für Firefox gibt es verschiedenste AddOns um sicher durch das WWW zu kommen.
Don'ts
Nun bleibt mir nur noch dir viel Spass beim sicheren Surfen zu wünschen. Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so das ich diesen Thread aus meinen Abos löschen kann.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
05.08.2010, 17:22 | #13 |
| Nach Trojanerbefall Ok, alles erledigt und keine weiteren Fragen. Schnell und kompetent. Super!!! Vielen Dank nochmal. Viele Grüße, Markus |
05.08.2010, 17:25 | #14 |
/// Selecta Jahrusso | Nach Trojanerbefall Froh das wir helfen konnten. Dieses Thema scheint erledigt und wird aus den Abos gelöscht. Solltest Du das Thema erneut benötigen, bitte eine PN an mich. Jeder andere möge bitte einen eigenen Thread starten.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
08.08.2010, 13:41 | #15 |
/// Selecta Jahrusso | Nach Trojanerbefall Hatte ich heute auch. Lass mal nach Updates suchen.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
Themen zu Nach Trojanerbefall |
ad-aware, adobe, antivir, avira, bho, dateien, desktop, dll, explorer, firefox, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, malwarebytes, microsoft, mozilla, pdf, programme, rundll, software, system, trojaner, windows, windows xp |