TrojanDownloader.Win32.Delf.ca in lasasa
 

Hi Leute,

tja hab oben genannten Trojaner mit eScan AV gefunden.
Versteckt sich in lasasa.exe, die angeblich im Windowsverzeichnis liegen sollte. Konnte sie dort aber nicht finden...
Lasasa startet als Windowsprozess und versucht aufs Internet zuzugreifen (ist zum Glueck nicht an meiner Firewall vorbeigekommen..)
Hab die Datei auf jeden Fall erstmal mit dem Security Task Manager in Quarantaene geschickt.

Hier ist das Log:

Logfile of HijackThis v1.98.2
Scan saved at 09:26:10, on 09.12.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\Program Files\Sygate\SPF\smc.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\system32\spoolsv.exe
F:\Program Files\Java\jre1.5.0\bin\jusched.exe
F:\Program Files\AVPersonal\AVGNT.EXE
F:\WINDOWS\System32\ctfmon.exe
F:\Program Files\FreeMem Standard\freemem.exe
F:\Program Files\Rainlendar\Rainlendar.exe
F:\Program Files\AVPersonal\AVWUPSRV.EXE
F:\Program Files\AVPersonal\AVGUARD.EXE
F:\Program Files\Avant Browser\avant.exe
F:\WINDOWS\System32\wuauclt.exe
F:\Documents and Settings\Dragon\My Documents\My Downloads\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SmcService] F:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Program Files\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] F:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [ctfmon.exe] F:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [FreeMem Pro] "F:\Program Files\FreeMem Standard\freemem.exe" Startup
O4 - Startup: Rainlendar.lnk = F:\Program Files\Rainlendar\Rainlendar.exe
O4 - Global Startup: Microsoft Office.lnk = F:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - F:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1102100056328
O17 - HKLM\System\CCS\Services\Tcpip\..\{B199CB12-0EDA-4019-ACBC-DC307E621AAA}: NameServer = 192.168.0.1

Danke schonmal,

primetime

Dein System ist nicht aktuell. Update dein System mit Hilfe des Internet Explorers hier.
Dann poste einen neuen Log von HijackThis.
Was hat den Escan genau gemeldet?
Poste das hier im Board, insofern du Escan noch auf dem PC hast hier:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.(by Cidre)

Aber dennoch Updaten und neuen Hijackthis Log erstellen.

@ primetime:
Wieso machst Du einen neuen thread für dasselbe Problem auf, ohne den alten anzuschauen?

@cronos:

Aehm die Aktualisierung muss noch warten (ist mein Firmen-PC im Praktikum und ich kann hier nicht mal eben ein Service-Pack runterladen), hoffentlich koennt Ihr mir auch so helfen!?!

Hier die eScan-Meldung (Danke fuer den Tip):

Wed Dec 08 15:26:14 2004 => Scanning File F:\WINDOWS\lasasa
Wed Dec 08 15:26:22 2004 => File F:\WINDOWS\lasasa infected by "TrojanDownloader.Win32.Delf.ca" Virus. Action Taken: No Action Taken.

@cacatoa:

Gerade weil ich Deine Antwort gelesen hatte habe ich diesen Thread aufgemacht..
Sorry bin neu im Board und dachte wenn Du schreibst dass ich das Log posten soll, es hier hin gehoert... :headbang:

Helft Ihr mir trotz oder gerade wegen meiner Unwissenheit?? Buedde!!!

Gruss,

Prime

Nachdem das die einzige Meldung von eScan ist (oder nicht?)
löscht Du die Datei im abgesicherten Modus. Neu booten, nochmal scannen; müßte weg sein.