Trojaner-Board - Unbekannte Datei im startup, Mozilla-Programme lassen sich nicht starten

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Unbekannte Datei im startup, Mozilla-Programme lassen sich nicht starten (https://www.trojaner-board.de/125135-unbekannte-datei-startup-mozilla-programme-lassen-starten.html)

Da kommt so einiges zu Tage:

Code:

Antivirus        Result

Agnitum        Trojan.Injector!+KztUFQ9xK8

AhnLab-V3        Spyware/Win32.Zbot

AntiVir        TR/Symmi.1887

Antiy-AVL        -

Avast        Win32:Spyware-gen [Spy]

AVG        PSW.Generic10.WBZ

BitDefender        Gen:Variant.Symmi.2271

ByteHero        -

CAT-QuickHeal        -

ClamAV        -

Commtouch        -

Comodo        -

DrWeb        Trojan.PWS.Panda.2005

eSafe        -

ESET-NOD32        Win32/Spy.Zbot.AAO

F-Prot        -

F-Secure        Gen:Variant.Symmi.2271

Fortinet        -

GData        Gen:Variant.Symmi.2271

Ikarus        Trojan-PWS.Win32.Zbot

Jiangmin        TrojanSpy.Zbot.cinh

K7AntiVirus        Spyware

Kaspersky        Trojan-Spy.Win32.Zbot.fiol

Kingsoft        Win32.Troj.Zbot.(kcloud)

McAfee        -

McAfee-GW-Edition        -

Microsoft        PWS:Win32/Zbot

MicroWorld-eScan        Gen:Variant.Symmi.2271

Norman        -

nProtect        -

Panda        Trj/Genetic.gen

PCTools        -

Rising        -

Sophos        -

SUPERAntiSpyware        -

Symantec        -

TheHacker        -

TotalDefense        -

TrendMicro        -

TrendMicro-HouseCall        -

VBA32        -

VIPRE        Trojan.Win32.Generic!BT

ViRobot        -

Zumindest geht die Tendenz zu Bot-Netz.

Irgendwie habe ich das Vertrauen an meine Windows 7 Installation verloren. :(

Scheint ein Zbot gewesen zu sein. Eine Neuinstallation wäre garnicht mal die schlechteste Wahl :pfeiff:
Hast du diese Datei verschoben oder nur kopiert - sprich ist sie noch an der originalen Stelle zu finden? Wenn ja löschen!

Zitat:

Zitat von cosinus (Beitrag 941020)

...
Hast du diese Datei verschoben oder nur kopiert - sprich ist sie noch an der originalen Stelle zu finden? Wenn ja löschen!

An der Originalstelle ist sie nicht mehr, ich habe sie mein Quarantäne-Verzeichnis verschoben, umbenannt und aus dem RUN-Zweig der Registry entfernt.

Na dann ist sie doch so oder so inaktiv - lösch sie einfach
Was ist jetzt nun mit dem Rechner, noch Probleme offen oder nicht?

Ich schrieb ja schon, dass sonst keine Probleme bemerkbar sind. Aber ist das der Beweis, dass das System sauber ist?
Ich sehe gerade, dass Kaspersky einen ZbotKiller.exe anbietet, wäre vielleicht noch eine Chance. Da ich erst heute Abend wieder an meinem Rechner herankomme, werde ich dann das Ergebnis hier posten.

Übrigens, dass auf einer weiteren Partition installierte XP-Professional scheint nicht befallen zu sein, jedenfalls kann ich keine Spuren dieser Datei dort finden. Ich werde ZbotKiller.exe auch dort mal laufen lassen.

Der zbotkilller dürfte jetzt nichts mehr bringen, das Tool ist über 2 Jahre alt

Zitat:

Zitat von cosinus (Beitrag 941304)

Der zbotkilller dürfte jetzt nichts mehr bringen, das Tool ist über 2 Jahre alt

Ich weiß ja nicht, wie alt mein Trojaner ist und ob der zbotkiller nicht aktualisiert wurde. Das Datum sagt ja nur, wann das Dokument angelegt wurde.

Und ich hab den zbotkiller eben runtergeladen, achte auf den Datumsstempel der Datei in dem ZIP-Archiv.

Ja, ist uralt. Ich habe den Killer mal auf dem XP-System laufen lassen. Da findet er einen Hook im Firefox:

Spliced function LdrLoadDll fixed in ntdll.dll module of process with PID 2592

Nach dem Neustart von Firefox 16.0.1 wird der immer wieder neu gesetzt.

Auf Windows 7 x64 läuft er nicht korrekt, kann keine Hooks prüfen.

Wie gesagt, vergiss den zbotkiller, der ist zu alt
Wie steht es jetzt um deinen Rechner? Noch Probleme offen?

Nein, Rechner läuft ohne ersichtliche Probleme.

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks => Adobe Flash Player Distribution | Adobe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Vielen Dank nochmal für die Tipps, einiges habe ich allerdings schon selbst im Griff.
Die Windows-Updates mache ich zwar von Hand, aber regelmäßig lasse ich prüfen. Ich habe allerdings schon Fusseln um den Mund, weil ich in meinem Umkreis immer wieder sehe, wie jemand meckernd Update-Warnungen wegklickt und ich erst erklären muss, wie wichtig Updates sind. Ich muss allerdings gestehen, dass ich bis vor kurzem Java-Updates auch vernachlässigt habe. Aber die letzten Probleme mit löchriger Java-Laufzeitumgebung haben mich da wachgerüttelt.
Foxit-Reader benutze ich schon lange, bei uns hier in der Firma auch, die sind auch vom Adobe-Acrobat-Reader weg.