Trojaner-Board - Dropper, Trojaner, Backddor

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Dropper, Trojaner, Backddor (https://www.trojaner-board.de/20823-dropper-trojaner-backddor.html)

Dropper, Trojaner, Backddor

Hallo,

habe mir den Anti Vir aus dem Netzt geholt und nun zeigr er mir andauernt Trojaner und so an. Habe mal ein Logfile gemacht vllt findet ja jemand was und was man dagegen tun kann.

Logfile of HijackThis v1.99.1
Scan saved at 17:34:08, on 15.08.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\HP\HP Software Update\HPWuSchd.exe
C:\Programme\Pinnacle\Shared Files\remoterm.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVSCHED32.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\sys64mnger.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\FotoStation Easy\FotoStation Easy AutoLaunch.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\Teledat\IWatch.exe
C:\Programme\Nikon\NkView5\NkvMon.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\WINDOWS\system32\cmd.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\notepad.exe
D:\Download\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Files\remoterm.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe
O4 - HKLM\..\Run: [Trickler] "c:\dokumente und einstellungen\daniel\lokale einstellungen\temp\~vis0000\fsg_4104.exe"
O4 - HKLM\..\Run: [CloneDVDElbyDelay] "C:\Programme\Elaborate Bytes\CloneDVD\ElbyCheck.exe" /L ElbyDelay
O4 - HKLM\..\Run: [ElbyCheckAnyDVD] "C:\Programme\SlySoft\AnyDVD\ElbyCheck.exe" /L AnyDVD
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NwnSrv32] C:\WINDOWS\nwnsrv.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [sysmngr32] sys64mnger.exe
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
O4 - HKLM\..\RunServices: [sysmngr32] sys64mnger.exe
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [sysmngr32] sys64mnger.exe
O4 - HKCU\..\RunServices: [sysmngr32] sys64mnger.exe
O4 - Global Startup: FotoStation Easy AutoLaunch.lnk = ?
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\Teledat\IWatch.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Programme\Nikon\NkView5\NkvMon.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {D2982A7F-489A-47F5-A319-FC1F14EBC245} (Navigator Class) - http://www.nutzwerk.de/control/NutzNavi.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{63F1C66F-B68D-4C20-9265-909269BB2EA9}: NameServer = 217.237.151.97 217.237.150.33
O17 - HKLM\System\CCS\Services\Tcpip\..\{CB8F6254-42AA-4DE3-8CF7-12D0ECCEA1A0}: NameServer = 192.168.121.252,192.168.121.253
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\PROGRAMME\TELEDAT\de_serv.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Unknown owner - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Mouse Cursor Monitor (mousecrm) - Unknown owner - C:\WINDOWS\System32\mousecrm.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Gruß haribo

Überprüfe folgende Datei:

C:\WINDOWS\System32\sys64mnger.exe

hier online:

http://virusscan.jotti.org/de/

Teile uns das Ergebnis mit.
Vorher mußt du den laufenden Prozess im Taskmanager beenden.

Hm,

also an dem Ort wo da angegeben wird befindet sich die Datei net. Wenn i unter suche schaue, dann erscheint es als Internet Seite und wenn i mit der Maus drauf gehe, dann zeigt er an das die Datei zu Hijack This. de gehört.

Und nun ?

Gruß haribo

Hallo, haribo 1976! (Sorry, hab mich vorhin vertippt)

Auf die Gefahr eines Doppelpostings -

einige der Einträge in Deinem Log-file sind nicht so fein!
(hab´möglicherweise nicht alle, aber die sind schon ziemlich böse!)

Zitat:

Zitat von haribo1976

Hallo,
O4 - HKLM\..\Run: [Trickler] "c:\dokumente und einstellungen\daniel\lokale einstellungen\temp\~vis0000\fsg_4104.exe"
guckst du
http://www.iamnotageek.com/a/fsg_4104.exe.php

O4 - HKLM\..\Run: [NwnSrv32] C:\WINDOWS\nwnsrv.exe
lass´die Datei mal bei
[http://virusscan.jotti.org/de/
prüfen

O4 - HKLM\..\Run: [sysmngr32] sys64mnger.exe
lass´die Datei mal bei
http://virusscan.jotti.org/de/
prüfen
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
ist der hier
http://castlecops.com/startuplist-5636.html

O23 - Service: Mouse Cursor Monitor (mousecrm) - Unknown owner - C:\WINDOWS\System32\mousecrm.exe (file missing)
Da war zumindest mal der hier
http://www.bleepingcomputer.com/star...exe-11553.html

Gruß haribo

Da scheint nur mehr plattmachen nach Anleitung, wie hier auf dem board so oft empfohlen m anzuraten!

Zitat:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Hier hast Du wahrscheinlich den Grund für Deine Malaise

Lg, Stupormundi

Du könntest dein System auch wie beschrieben mit Escan untersuchen und uns die Ergebnisse mitteilen.

Edit:

@stupormundi

Aufs plattmachen wirds wohl rauslaufen.

So,

hab es jetzt mal mit Escan durchlaufen lassen. Hier das Ergebnis:

Tue Aug 16 16:43:58 2005 => ***** Scanning Registry and File system for Adware/Spyware *****
Tue Aug 16 16:43:58 2005 => Loading Spyware Signatures from FIXED Database...
Tue Aug 16 16:43:58 2005 => System found infected with Gator Spyware/Adware ({21FFB6C0-0DA1-11D5-A9D5-00500413153C})! Action taken: No Action Taken.
Tue Aug 16 16:44:00 2005 => System found infected with Alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken.
Tue Aug 16 16:44:02 2005 => Offending value found in HKLM\Software\microsoft\downloadmanager !!!
Tue Aug 16 16:44:02 2005 => Object "AltNet Spyware/Adware" found in File System! Action Taken: No Action Taken.

Tue Aug 16 16:44:02 2005 => Offending value found in HKLM\Software\Microsoft\Windows\CurrentVersion\Run !!!
Tue Aug 16 16:44:02 2005 => Offending value found in HKLM\Software\Microsoft\Windows\CurrentVersion\Run !!!
Tue Aug 16 16:44:02 2005 => Object "Trickler Spyware/Adware" found in File System! Action Taken: No Action Taken.

Tue Aug 16 16:44:02 2005 => Offending value found in HKLM\Software\gator.com !!!
Tue Aug 16 16:44:02 2005 => Object "Gator Spyware/Adware" found in File System! Action Taken: No Action Taken.

Also der Scan zeigt ja noch viel mehr an. Nur das mit der Find Rar, wie in der Beschreibung is versteh i irgendwie net.

Gruß haribo

Hallo Haribo1976!

Zitat:

Nur das mit der Find Rar, wie in der Beschreibung is versteh i irgendwie net

zuerst: hast Du dich wirklich an die von Cidre beschriebene Vorgehensweise
http://www.trojaner-board.de/showthread.php?t=17492
zum Entpacken von eScan AntiVirus gehalten (richtiges Verzeichnis-wichtig für die find.bat-Datei, richtige Einstellungen vor dem Scan-da läuft der Scan je nach System auf jeden Fall über eine Stunde aufwärts, Scan im abgesicherten Modus, etc...)? - Wenn ja, dann folge einfach diesen Anweisungen:

Zitat:

Zitat von Cidre

[5] Rechtsklick auf die Find.rar -> Ziel speichern unter… z.B. 'C:\Find.rar' -> 'Find.rar' entpacken z.B. 'C:\Find.bat' -> 'Find.bat' doppelklicken und den Scan abwarten -> den Inhalt [6] der automatisch erstellten 'C:\eScan_neu.txt' posten.

Wenn du damit nicht klar kommst - hast du Cidres alternativen Tipp schon ausprobiert?

Zitat:

Zitat von Cidre

Alternativ:
Öffne die 'mwav.log' im Ordner 'C:\Bases_X' -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

(Einfach den Text markieren, kopieren und einfügen!)

Aber-wie schon gestern gesagt - du wirst sinnvollerweise nicht am Neuaufsetzen vorbeikommen, da du zumindest einen Backdoor-Trojaner hast/gehabt hast! Dazu noch der Verweis auf Cronos' link zu diesem Thema
http://www.dradio.de/dlf/sendungen/wib/253543/

Btw: Hast du, wie vorgeschlagen, die Dateien bei
http://virusscan.jotti.org/de/
prüfen lassen. Die Ergebnisse hätten mich interessiert (Ändern aber nichts an der grundsätzlichen Empfehlung zu Neuaufsetzen!)
Bis denn, stupormundi

Hi,

erstmal danke für eure super Hilfe. Habe mich heute dran erinnert, das i noch nen Backup( wusste doch das man das irgendwann braucht) drauf habe und das ohne Viren und Co. is. Jetzt läuft wieder alles super ohne irgendwelche Warnungen und sonstwas.

Also danke nochmal. Wenn mal wieder was is, Adresse is gespeichert ;-)

Gruß haribo