Trojaner-Board - Trojanische Pferd TR/AClck

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojanische Pferd TR/AClck (https://www.trojaner-board.de/11287-trojanische-pferd-tr-aclck.html)

Trojanische Pferd TR/AClck

Hallo, kann mir vielleicht einer sagen wie ich es entfernen kann?

Log file~

Logfile of HijackThis v1.99.0
Scan saved at 20:16:57, on 27.12.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\WINDOWS\Explorer.EXE
E:\WINDOWS\system32\spoolsv.exe
E:\Programme\AVPersonal\AVGUARD.EXE
E:\Programme\AVPersonal\AVWUPSRV.EXE
E:\WINDOWS\system32\nvsvc32.exe
E:\WINDOWS\System32\svchost.exe
E:\Programme\AVPersonal\AVGNT.EXE
E:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
E:\PROGRA~1\MOZILL~1\FIREFOX.EXE
E:\WINDOWS\system32\wuauclt.exe
E:\Dokumente und Einstellungen\Timon\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVGCtrl] E:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - Global Startup: DSLMON.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - E:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - E:\Programme\Messenger\msmsgs.exe
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1100713015216
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary...o.cab32846.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary...n.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0023E446-E786-4FE0-B1C6-B88B7DCEDCED}: NameServer = 217.237.150.97 217.237.149.161
O17 - HKLM\System\CS1\Services\Tcpip\..\{0023E446-E786-4FE0-B1C6-B88B7DCEDCED}: NameServer = 217.237.150.97 217.237.149.161
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - E:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - E:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - E:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - E:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TuneUp WinStyler Theme Service - TuneUp Software GmbH - E:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Wo meldete AntiVir den Trojaner? Pfadangabe!

Fixe dies mit HijackThis:

O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe

Scanne anschl. mal mit eScan im abg. Modus:
http://www.trojaner-board.de/42731-escan-anleitung.html

Wo wird was gefunden?

O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe gehört zum dsl modem, wenn ich das lösche funktioniert das net mehr also is nix schlimmes, hat mir schonmal einer gesagt...

Und ja antivir meldung:

E:\WINDOWS\AUTOCLK.EXE

Ist das Trojanische Pferd TR/AClck

Werde aber mal mit eScan scannen...

Hmm ... danke für die Info ... ich habe mal danach kurz gegoogelt.
Wir hatten dies immer fixen lassen; das Modem hatte anscheinend danach noch funktioniert.

Aber gut, dass du das weisst ... dann belasse es so.

Warten wir auf das eScan-Ergebnis.

Zitat:

Zitat von *Christian*

Hmm ... danke für die Info ... ich habe mal danach kurz gegoogelt.

Ich auch. ;)

Zitat:

Zitat von *Christian*

Wir hatten dies immer fixen lassen; das Modem hatte anscheinend danach noch funktioniert.

Aber gut, dass du das weisst ... dann belasse es so.

Wenn es sich um ein hier beschriebenes DSL-Modem handelt, scheint die Datei in der Tat zwar sauber, aber dennoch entbehrlich zu sein...

Zitat:

Zitat-Auszug:
...
12. Wenn ich die "Verbindung zu AT-AR215" auf dem Desktop lösche, ist sie beim nächsten Neustart wieder da. Wie bekomme ich das weg?

Unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run findet man mit dem RegEdit einen Schlüssel "2kadiras"="2kadiras.exe" - den kann man einfach löschen - dann ist Ruhe mit neu angelegten "Verbindung zu AT-AR215"-Shortcuts. Das Programm "2kadiras.exe" liegt übrigens unter "C:\Windows". Dort findet man auch das zugehörige "adiras.ini" (mal reinschauen) in dem der Login-Name und das Passwort UNVERCHLÜSSELT abgelegt sind. Also weg damit (für Ängstliche reicht vielleicht auch ein Verschieben der Dateien irgendwo anders hin)! Das Originaldokument liegt hier...

Ja aber mit "Verbindung zu AT-AR215" wähl ich mich ja immer im internet rein also was sollch damit machen? :/

Und hier eScan:

File E:\Dokumente und Einstellungen\Timon\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\javainstaller.jar-3c936701-6b206482.zip infected by "Trojan-Downloader.Java.OpenStream.t" Virus. Action Taken: No Action Taken.

File E:\Programme\AVPersonal\INFECTED\FIAOHFD.EXE.VIR infected by "Trojan-Downloader.Win32.IstBar.gen" Virus. Action Taken: No Action Taken.

File E:\Programme\AVPersonal\INFECTED\ISTDOWNLOAD[1].EXE.VIR infected by "Trojan-Downloader.Win32.IstBar.gen" Virus. Action Taken: No Action Taken.

File E:\System Volume Information\_restore{24AF7D88-63C5-4643-B7C4-86741D1D54A9}\RP18\A0001439.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

@ SilverFenix

"Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren" (Cidre)

Im abgesicherten Modus, bei deaktivierter Systemwiederherstellung in die Windows Suche übertragen -> löschen: File E:\Dokumente und Einstellungen\Timon\Anwendungsdaten\Sun\Java\Deployment\cache\javapi\v1.0\jar\javainstaller.jar-3c936701-6b206482.zip infected by "Trojan-Downloader.Java.OpenStream.t" Virus. Nach dem löschen in den normalen Modus booten und die Systemwiederherstellung wieder aktivieren.

Dieses Archiv leeren: File E:\Programme\AVPersonal\INFECTED

... wenn es nicht von Hand geht, nimm das ClearProg.

Tool.Win32.Reboot -> zeitlicher Bestand, nichts machen.

Ok werde ich machen, habe aber jetzt ein anderes problem..jedesma wenn ich mein pc neu hoch fahre, startet automatisch eScan und fängt an zu scannen :/

Dann schau dir mal die Startpage von eScan an; Du hast eingestellt:
"Add to startup"; das mußt du rausnehmen. ;)

ach stimmt *lol* danke