trojaner...?!
 

moin. heute sagt mir bitdefender auf einmal, ich haette nen trojaner drauf. dieser liess sich dann auch natürlich nicht verschieben, löschen, etc. bin etwas ratlos - spybot findet nichts. keine ahnung wo das teil herkommen könnte. evtl. wird jemand ja aus meinem Logfile schlau werden - ich danke jetzt schon mal....!! Logfile of HijackThis v1.99.1
Scan saved at 00:53:58, on 03.04.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\SOFTWIN\BITDEFENDER COMMUNICATOR\XCOMMSVR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\IRMON.EXE
C:\WINDOWS\SYSTEM\PRPCUI.EXE
C:\WINDOWS\VCONTROL.EXE
C:\WINDOWS\HAMPANEL.EXE
C:\PROGRAMME\ZONE LABS\ZONEALARM\ZLCLIENT.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMME\MICROSOFT MONEY\SYSTEM\REMINDER.EXE
C:\PROGRAMME\MSN MESSENGER\MSNMSGR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\WBEM\WINMGMT.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\SOFTWIN\BITDEFENDER SCAN SERVER\BDSS.EXE
C:\PROGRAMME\SOFTWIN\BITDEFENDER FREE EDITION\BDMCON.EXE
C:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aol.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cablesurf.de/welcome.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
O2 - BHO: metaspinner media GmbH - {D3AA56A9-8137-4950-A6F9-D0190A82AF2A} - C:\Programme\Preispiraten\Preispiraten2\IEButtonPPInterface.dll
O2 - BHO: PreispiratenSearchURL - {0B660087-931C-4056-A04F-0423890E40B6} - C:\Programme\Preispiraten\Preispiraten2\PPSearchURL.dll
O2 - BHO: metaspinner media GmbH - {CD9B7762-DFBC-42B1-BB30-02A78287B456} - C:\Programme\Preispiraten\Preispiraten2\IEButtonEBayInterface.dll
O2 - BHO: metaspinner media GmbH - {84B94901-3645-4D80-A6B7-4D0050B19455} - C:\Programme\Preispiraten\Preispiraten2\IEButtonAmazonInterface.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IrMon] irmon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM\..\Run: [ASUSNBHK] C:\WINDOWS\VCONTROL.EXE
O4 - HKLM\..\Run: [HaMFrontPanel] C:\WINDOWS\hampanel /B:Software\Ambient\HaM
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [BDMCon] C:\Programme\Softwin\BitDefender Free Edition\\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programme\Softwin\BitDefender Free Edition\\bdnagent.exe
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [TrueVector] C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - HKLM\..\RunServices: [BitDefender Scan Server] C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\\bdss.exe
O4 - HKLM\..\RunServices: [BitDefender Communicator] C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\\xcommsvr.exe
O4 - HKLM\..\RunServices: [BitDefender Live! Init] C:\Programme\Softwin\BitDefender Free Edition\\bdinit.exe
O4 - HKCU\..\Run: [Reminder] C:\Programme\Microsoft Money\System\reminder.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Preispiratensuche nach markiertem Text - C:\\Programme\\Preispiraten\\Preispiraten2\\preispiraten.html
O8 - Extra context menu item: eBay - Powersuche - C:\Programme\Preispiraten\Preispiraten2\SearchEbaypower.htm
O8 - Extra context menu item: eBay Suche starten - C:\Programme\Preispiraten\Preispiraten2\SearchEbay.htm
O8 - Extra context menu item: eBay - Startseite - C:\Programme\Preispiraten\Preispiraten2\SearchEbay.htm
O8 - Extra context menu item: eBay - Mein eBay - C:\Programme\Preispiraten\Preispiraten2\SearchEbaymein.htm
O8 - Extra context menu item: Google Suche starten - C:\Programme\Preispiraten\Preispiraten2\SearchGoogle.htm
O8 - Extra context menu item: Google Suche - C:\Programme\Preispiraten\Preispiraten2\SearchGoogle.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Preispiraten 2.5 - {2638A03E-1669-43BE-8119-B47087629A7F} - C:\Programme\Preispiraten\Preispiraten2\preispiraten2ie.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com

Hallo fiediebus,

wichtig wäre wo der Trojaner festegestellt wurde.

dartus

Du besitzt eine alte internet Explorer Version


VCONTROL.EXE ist ein Wurm
O4 - HKLM\..\Run: [ASUSNBHK] C:\WINDOWS\VCONTROL.EXE
Ich denke mal ein normaler Virenscanner müsste den erkennen und löschen!

Lad dir mal Escan runter:

http://www.trojaner-info.de/hijacker/escan

Bitte im abgesicherten Modus bei deaktivierter Systemwiederherstellung durchühren:
http://www.bsi.bund.de/av/texte/wiederher_me.htm

Befolge die Anleitung genau(escan)


Teile uns die Funde mit:
öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

@ dartus: unter anwendungsdateien - java/sun - etc. @ Paul: ich weiss, ich nutze IE aber auch nicht...traue dem teil nicht - habe firefox! @ cronos: alles klar. ich probiers mal. lade escan gerade runter.

hier ist jetzt was der escan sagt: Sun Apr 03 14:33:03 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Sun Apr 03 14:33:03 2005 => File System Found infected by "Alexa Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 03 14:33:03 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.
Sun Apr 03 14:33:03 2005 => File System Found infected by "180Solutions Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 03 14:33:03 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.
Sun Apr 03 14:33:03 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.

sieht ja nicht so dolle aus. aber danke für die bemühungen. mfg, fiediebus

@ Fiediebus

sind das alle Funde? poste mal folgendes:

=> Total Files Scanned:
=> Total Virus(es) Found:
=> Total Disinfected Files:
=> Total Files Renamed:
=> Total Deleted Files:
=> Total Errors:
=> Time Elapsed:
=> Virus Database Date:
=> Virus Database Count:
=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
***** Scanning complete. *****

--> Wie die Viren heißen, möchten wir auch wissen: "öffne die mwav.log (oder die mwXface.log) -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Cidre zitiert)

Sun Apr 03 14:36:24 2005 => Total Objects Scanned: 2317
Sun Apr 03 14:36:24 2005 => Total Virus(es) Found: 3
Sun Apr 03 14:36:24 2005 => Total Disinfected Files: 0
Sun Apr 03 14:36:24 2005 => Total Files Renamed: 0
Sun Apr 03 14:36:24 2005 => Total Deleted Objects: 0
Sun Apr 03 14:36:24 2005 => Total Errors: 1
Sun Apr 03 14:36:24 2005 => Time Elapsed: 00:15:55
Sun Apr 03 14:36:24 2005 => Virus Database Date: 2005/04/01
Sun Apr 03 14:36:24 2005 => Virus Database Count: 124236
das ist alles....und ich habe die viren bei meinem letzten posting genannt - zumindest habe ich da genau das gemacht was du wünschst...

genau aus diesem Grund habe ich gefragt, Du hast den eScan nicht richtig ausgeführt. Scanne im abgesicherten Modus, setze die haken bei All Local Drives und All Scan Files und scann nochmal.

das müsste es sein - hoffe es ist alles: Sun Apr 03 17:56:20 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Sun Apr 03 17:56:20 2005 => File System Found infected by "Alexa Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 03 17:56:20 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.
Sun Apr 03 17:56:20 2005 => File System Found infected by "180Solutions Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 03 17:56:20 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.
Sun Apr 03 17:56:20 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.

Sun Apr 03 18:25:40 2005 => Scanning Folder: C:\Programme\Softwin\BitDefender Free Edition\Infected\*.*
Sun Apr 03 18:25:40 2005 => Scanning File C:\Programme\Softwin\BitDefender Free Edition\Infected\classload.jar-793fe9c2-15eea764.zip
Sun Apr 03 18:25:40 2005 => File C:\Programme\Softwin\BitDefender Free Edition\Infected\classload.jar-793fe9c2-15eea764.zip infected by "Trojan.Java.ClassLoader.c" Virus. Action Taken: No Action Taken.


Sun Apr 03 18:33:15 2005 => ***** Scanning complete. *****

Sun Apr 03 18:33:15 2005 => Total Objects Scanned: 15288
Sun Apr 03 18:33:15 2005 => Total Virus(es) Found: 5
Sun Apr 03 18:33:15 2005 => Total Disinfected Files: 0
Sun Apr 03 18:33:15 2005 => Total Files Renamed: 0
Sun Apr 03 18:33:15 2005 => Total Deleted Objects: 0
Sun Apr 03 18:33:15 2005 => Total Errors: 1
Sun Apr 03 18:33:15 2005 => Time Elapsed: 00:35:50
Sun Apr 03 18:33:15 2005 => Virus Database Date: 2005/04/01
Sun Apr 03 18:33:15 2005 => Virus Database Count: 124236

Sun Apr 03 18:33:15 2005 => Scan Completed.

diese beiden CLSID kannst du imho vernachlässigen

[HKEY_USERS\S-1-5-21-484763869-179605362-725345543-1003\Software\Lavasoft\Reghance]
"Last key"="HKEY_CLASSES_ROOT\\CLSID\\{30D02401-6A81-11d0-8274-00C04FD5AE38}"

{0E5CBF21-D15F-11D0-8301-00AA005B4383} ---> Internet Explorer Links Bar

leere Deinen Quarantäneordner von Bitdefender
boote in den abgesicherten Modus und deaktiviere die Systemwiederherstellung und fixe folgende Einträge:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

lösche von Hand:

C:\WINDOWS\web\related.htm

neu booten diese beiden dateien bitte online scanne und das ergebnis mitteilen.

C:\WINDOWS\VCONTROL.EXE
C:\WINDOWS\HAMPANEL.EXE

habe die gewünschten dateien gelöscht und mit escan die anderen beiden gecheckt - sagt das sie sauber sind. bin aber aus dem ersten teil nicht schlau geworden was meinst du mit "imho"? danke nochmal, fiediebus

IMHO=In my humble opinion

heisst: Meiner bescheidenen Meinung nach

lol - never heard that one....ich sollte mir überlegen keinem hier zu erzaehlen, dass ich halber brite bin und sogar englisch unterrichte... *g...this bloody internet language. but thx anyway cronos

You're welcome.No one finishes learning anytime ;)