Trojaner-Board - Virenscanner auf Inbox

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Virenscanner auf Inbox (https://www.trojaner-board.de/13638-virenscanner-inbox.html)

Virenscanner auf Inbox

Hallo,
ich habe das Problem, dass ich bei einem Virenscan von Bitdefender
mehrere Warnungen zu Viren bekommen habe.Antivir findet diese Viren nicht.
Protokoll von Bitdefender:
Memory ok
Master Boot Record 80 ok (Windows 95 B20 - Windows 98)
Partition Boot 1 (primary) (active) ok (Windows NT 2000 FAT32)
Partition Boot 2 (primary) ok (Win95 OSR2, Win98 FAT32)
Partition Boot 3 (primary) ok (Windows 98)
Boot Sector of Drive A: ok (Read Error)

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 6)=>[Subject: ][Date: Mon, 29 Mar 2004 20:16:23 +0100]=>(MIME part)=>game.exe suspect: BehavesLike:Win32.SMTP-MassMailer

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 7)=>[Subject: ][Date: Mon, 29 Mar 2004 20:40:05 +0100]=>(MIME part)=>game.exe suspect: BehavesLike:Win32.SMTP-MassMailer

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 273)=>[Subject: Undeliverable: hello][Date: Sun, 4 Jul 2004 12:55:47 -0400 ]=>(MIME part)=>(message)=>[Subject: hello][Date: Sun, 4 Jul 2004 12:53:43 -0400 ]=>(MIME part)=>bill.zip infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 492)=>[Subject: Unzustellbar: stolen][Date: Thu, 9 Sep 2004 20:36:52 +0200 ]=>(MIME part)=>(message)=>[Subject: stolen][Date: Thu, 9 Sep 2004 20:23:49 +0200 ]=>(MIME part)=>ps.zip infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 681)=>[Subject: hi][Date: Wed, 6 Oct 2004 08:54:47 +0200]=>(MIME part)=>friend.rtf.pif infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 826)=>[Subject: Delivery Status Notification][Date: Sat, 30 Oct 2004 11:42:38 +0200]=>(MIME part)=>(message)=>[Subject: something for you][Date: Sat, 30 Oct 2004 11:43:42 +0200]=>(MIME part)=>details.zip infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Inbox=>(message 1213)=>(base64) infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Junk=>(message 44)=>[Subject: Undeliverable: hello][Date: Sun, 4 Jul 2004 12:55:47 -0400 ]=>(MIME part)=>(message)=>[Subject: hello][Date: Sun, 4 Jul 2004 12:53:43 -0400 ]=>(MIME part)=>bill.zip infected: Win32.Netsky.B@mm

C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Profiles\default\***.slt\Mail\pop.t-online.de\Junk=>(message 64)=>[Subject: Unzustellbar: stolen][Date: Thu, 9 Sep 2004 20:36:52 +0200 ]=>(MIME part)=>(message)=>[Subject: stolen][Date: Thu, 9 Sep 2004 20:23:49 +0200 ]=>(MIME part)=>ps.zip infected: Win32.Netsky.B@mm

Wie kann ich diese Viren löschen?Bitdefender meldet nur,löscht aber nicht.
Was kann ich machen?Bin leider eher unerfahren mit dem Thema.
Danke für Eure Hilfe!

Hi, hier geht´s um eMails, bzw. Anhänge die in deiner mozilla Inbox sind.
Leere die Inbox und gut ists.
cacatoa

Ich nochmal:
Poste dochmal ein HiJackThis-Logfile rein; dann sieht man, ob sonst alles o.k. ist.
cacatoa

Die Inbox von Netscape ist leer im Browser.Spam und Müll auch.

Wie komme ich sonst an die Inbox dran um die Dateien zu löschen?
Danke für die Hilfe übrigens!

Hier findest du alles, was Du brauchst. (Ich spar mir langes Schreiben ;)
cacatoa

Ich habe einen post von Dir übersehen. Wenn das Prob weiterhin da ist, dann mal eScan runterladen und genau nach der Anleitung vorgehen.
Der scan dauert ca. 1 Stunde.
Vor dem Start anclicken:"scan all local drives" und "scan all files".
Das Ergebnis (Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.)hier reinposten.
cacatoa

Hallo,hier das Resultat von escan:
C:\WINDOWS\system32\msupd5.exe infected by Trojan.Win32.Agent.aw
[msvLclnt.dll] [0x000004bc] 12/02/2005 20:26:07:203 :[00000001] File C:\WINDOWS\system32\drivers\wloghnyu.sys infected by Trojan.Win32.Agent.aw
[msvLclnt.dll] [0x000004bc] 12/02/2005 20:26:36:156 :[00000001] File C:\WINDOWS\system32\yhygckul.dll infected by Trojan-Downloader.Win32.Agent.gn
[msvLclnt.dll] [0x000004bc] 12/02/2005 20:26:43:312 :[00000001] File C:\WINDOWS\system32\wkjcfqob.dll infected by Trojan.Win32.Golid.e
[msvLclnt.dll] [0x000004bc] 12/02/2005 20:40:29:890 :[00000001] File C:\WINDOWS\system32\yhygckul.dll infected by Trojan-Downloader.Win32.Agent.gn
[msvLclnt.dll] [0x000004bc] 12/02/2005 20:40:37:312 :[00000001] File C:\WINDOWS\system32\wkjcfqob.dll infected by Trojan.Win32.Golid.e

Was kann ich da machen?Danke für die Hilfe!

Lösche die Dateien im abgesicherten Modus und poste dann ein Logfile wie von mir schon empfohlen....
Ebenso dann einen neuen Escan durchführen und das Ergebnis wieder reinstellen.
cacatoa

Hallo,
hier das logfile:
Logfile of HijackThis v1.99.0
Scan saved at 19:39:29, on 14.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\eScan\TRAYSSER.EXE
C:\PROGRA~1\eScan\avpm.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\WINDOWS\System32\wltrysvc.exe
c:\WINDOWS\System32\bcmwltry.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender8\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\PowerKey.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\CtrlVol.exe
C:\Programme\Launch Manager\OSD.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\ltmoh\Ltmoh.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
C:\Programme\Softwin\BitDefender8\bdswitch.exe
C:\PROGRA~1\eScan\TRAYICOS.EXE
C:\PROGRA~1\eScan\AVPMWrap.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\eScan\MAILDISP.EXE
C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe
C:\Programme\Labtec\Wireless Mouse\MulMouse.exe
C:\PROGRA~1\eScan\SPOOLER.EXE
C:\PROGRA~1\eScan\MAILSCAN.EXE
C:\PROGRA~1\eScan\kavss.exe
C:\PROGRA~1\eScan\AvpM.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Dokumente und Einstellungen\jm\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {09928AFF-66FE-35AF-580E-412F7D7FD59E} - C:\WINDOWS\system32\yhygckul.dll (file missing)
O2 - BHO: (no name) - {46092FB3-CDAA-5F27-85D4-50E86ECA218D} - C:\WINDOWS\system32\rqfyfqhh.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5668A2B3-C4FA-AF19-E5CF-A51D74F82E4F} - C:\WINDOWS\system32\bdrjdjbj.dll
O2 - BHO: (no name) - {A572CACA-2288-79C5-17F1-5F21764AAE90} - C:\WINDOWS\system32\wkjcfqob.dll (file missing)
O2 - BHO: (no name) - {E68C5CAE-9B55-4BD0-6858-110E99532C79} - C:\WINDOWS\system32\chclgqph.dll (file missing)
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Programme\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [LMgrOSD] C:\Programme\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Programme\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programme\Softwin\BitDefender8\\bdswitch.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\PROGRA~1\Softwin\BITDEF~1\bdnagent.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Programme\eScan\LAUNCH.EXE"
O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: AudioDeck.lnk = C:\Programme\VIA Technologies, Inc\VIA Audio Driver Setup Program\AudioDeck\AudioDeck.exe
O4 - Global Startup: Labtec Maus Software 2.0.lnk = C:\Programme\Labtec\Wireless Mouse\MulMouse.exe
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O10 - Broken Internet access because of LSP provider 'mwtsp.dll' missing
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) -
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software XUpload) - http://asp01.photoprintit.de/2363/cu...ex/XUpload.ocx
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: BitDefender Scan Server - Unknown - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: eScan Server-Updater - MWTI2 - C:\PROGRA~1\eScan\TRAYSSER.EXE
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: eScan Monitor Service - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe
O23 - Service: BitDefender Virus Shield - Unknown - C:\Programme\Softwin\BitDefender8\vsserv.exe
O23 - Service: WLTRYSVC - Unknown - c:\WINDOWS\System32\wltrysvc.exe c:\WINDOWS\System32\bcmwltry.exe (file missing)
O23 - Service: BitDefender Communicator - Softwin - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

Hoffentlich alles ok?!

Dein eScan sollte im Ordner C:\bases laufen; wie machst Du updates? Ich glaube nicht, daß er auf neuestem Stand ist. Update und lass ihn nochmal im abgesicherten Modus laufen ; mir gefällt so einiges nicht.
cacatoa

sorry,ich habe keine Ahnung,wasmußichdafür machen?

Du sollst den eScan in einem eigenen Ordner namens C:\bases laufen lassen; sonst kannst du ihn nicht updaten. Deshalb entferne ihn und lade ihn neu runter und gehe dabei genau nach dieser Anleitung vor. Nach dem update neu scannen.
cacatoa

Hallo,hoffentlich habe ich jetzt alles richtig gemacht....
So fängts an:
Wed Feb 16 00:04:00 2005 => **********************************************************
Wed Feb 16 00:04:00 2005 => eScan AntiVirus Toolkit Utility.
Wed Feb 16 00:04:00 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Feb 16 00:04:00 2005 => **********************************************************
Wed Feb 16 00:04:00 2005 => Version 4.8.8 (C:\bases\mwavscan.com)
Wed Feb 16 00:04:00 2005 => Log File: C:\bases\MWAV.LOG
Wed Feb 16 00:04:00 2005 => Last Scan Date and Time: 15.02.2005 23:53:01
Wed Feb 16 00:04:00 2005 => Database Path in KL Key: C:\PROGRA~1\eScan.
Wed Feb 16 00:04:01 2005 => Latest Date of files in KL key: 15 Feb 2005 19:52:07.
Wed Feb 16 00:04:02 2005 => Latest Date of files inside MWAV: 15 Feb 2005 19:52:07.
Wed Feb 16 00:04:02 2005 => eScan Install Directory: C:\PROGRA~1\eScan\
Wed Feb 16 00:04:02 2005 => MailScan Install Directory: C:\PROGRA~1\eScan\
Wed Feb 16 00:04:06 2005 => AV Library Loaded...
Wed Feb 16 00:04:06 2005 => Scanning File C:\bases\kavss.exe
Wed Feb 16 00:04:06 2005 => Scanning File C:\bases\Getvlist.exe
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\kavss.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\kavssdi.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\kavssi.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\kavvlg.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\msvlclnt.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\ipc.dll
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\main.avi
Wed Feb 16 00:04:07 2005 => Scanning File C:\bases\virus.avi
Wed Feb 16 00:04:07 2005 => Virus Database Date: 2005/02/15
Wed Feb 16 00:04:07 2005 => Virus Database Count: 118410

Wed Feb 16 00:04:14 2005 => **********************************************************
Wed Feb 16 00:04:14 2005 => eScan AntiVirus Toolkit Utility.
Wed Feb 16 00:04:14 2005 => Copyright © 2003-2004, MicroWorld Technologies Inc.
Wed Feb 16 00:04:14 2005 =>
Wed Feb 16 00:04:14 2005 => Support: support@mwti.net
Wed Feb 16 00:04:14 2005 => Web: http://www.mwti.net
Wed Feb 16 00:04:14 2005 => **********************************************************
Wed Feb 16 00:04:14 2005 => Version 4.8.8 (C:\bases\mwavscan.com)
Wed Feb 16 00:04:14 2005 => Log File: C:\bases\MWAV.LOG
Wed Feb 16 00:04:14 2005 => Windows Root Folder: C:\WINDOWS
Wed Feb 16 00:04:14 2005 => Windows Sys32 Folder: C:\WINDOWS\system32
Wed Feb 16 00:04:14 2005 => OS: Windows NT
Wed Feb 16 00:04:14 2005 => Database Path in KL Key: C:\PROGRA~1\eScan.
Wed Feb 16 00:04:14 2005 => Latest Date of files in KL key: 15 Feb 2005 19:52:07.
Wed Feb 16 00:04:14 2005 => Latest Date of files inside MWAV: 15 Feb 2005 19:52:07.

Wed Feb 16 00:04:14 2005 => Options Selected by User:
Wed Feb 16 00:04:14 2005 => Memory Check: Enabled
Wed Feb 16 00:04:14 2005 => Registry Check: Enabled
Wed Feb 16 00:04:14 2005 => StartUp Folder Check: Enabled
Wed Feb 16 00:04:14 2005 => System Folder Check: Enabled
Wed Feb 16 00:04:14 2005 => System Area Check: Disabled
Wed Feb 16 00:04:14 2005 => Services Check: Enabled

Wed Feb 16 00:04:14 2005 => Drive Check: Disabled
Wed Feb 16 00:04:14 2005 => All Drive Check :Enabled
Wed Feb 16 00:04:14 2005 => Folder Check: Enabled

Dazwischen folgt das Scanning

Dann folgendes Endergebnis:
Wed Feb 16 01:16:55 2005 => ***** Checking for specific ITW Viruses *****
Wed Feb 16 01:16:55 2005 => Checking for Welchia Virus...
Wed Feb 16 01:16:55 2005 => Checking for LovGate Virus...
Wed Feb 16 01:16:55 2005 => Checking for CodeRed Virus...
Wed Feb 16 01:16:55 2005 => Checking for OpaServ Virus...
Wed Feb 16 01:16:55 2005 => Checking for Sobig.e Virus...
Wed Feb 16 01:16:55 2005 => Checking for Winupie Virus...
Wed Feb 16 01:16:55 2005 => Checking for Swen Virus...
Wed Feb 16 01:16:55 2005 => Checking for JS.Fortnight Virus...
Wed Feb 16 01:16:55 2005 => Checking for Novarg Virus...
Wed Feb 16 01:16:55 2005 => Checking for Pagabot Virus...
Wed Feb 16 01:16:55 2005 => Checking for Parite.b Virus...
Wed Feb 16 01:16:55 2005 => Checking for Parite.a Virus...

Wed Feb 16 01:16:55 2005 => ***** Scanning complete. *****

Wed Feb 16 01:16:55 2005 => Total Files Scanned: 53185
Wed Feb 16 01:16:55 2005 => Total Virus(es) Found: 0
Wed Feb 16 01:16:55 2005 => Total Disinfected Files: 0
Wed Feb 16 01:16:55 2005 => Total Files Renamed: 0
Wed Feb 16 01:16:55 2005 => Total Deleted Files: 0
Wed Feb 16 01:16:55 2005 => Total Errors: 0
Wed Feb 16 01:16:55 2005 => Time Elapsed: 01:12:34
Wed Feb 16 01:16:55 2005 => Virus Database Date: 2005/02/15
Wed Feb 16 01:16:55 2005 => Virus Database Count: 118410

Wed Feb 16 01:16:55 2005 => Scan Completed.

Wed Feb 16 00:04:14 2005 => Folder Selected = C:\WINDOWS

Soweit ok?