Trojaner erkannt und gelöscht, tauchen jedoch wieder auf
 

Hallo.
Ich hatte schon viele Viren- und Trojanerangriffe und konnte immer in diesem Forum eine passende Lösung finden.
Nun ist mein PC schon wieder verseucht und ich möchte ein für alle mal meinen Computer säubern.

Ich hatte gestern eine einen Befall, bei dem sich die die Internetseite SpyQuake2.com geöffnet und sich das Programm selbstständig installiert hat. Ich habe hier mich im Forum umgeschaut und bin mithilfe des SmitfraudFix wie beschrieben vorgegangen. Das hat auch funktioniert und alle Meldungen sowie SpyQuake2 sind nicht mehr da.

Nun zum eigentlichen Problem:
Ich habe in den letzten Tagen immer und immer wieder Meldungen von meinem Bitdefender 9 internet security, über folgende Trojaner:
Wenn ich sie vom Bitdefender suchen lasse, werden sie gefunden, in die Quarantäne verschoben und ich kann sie aus der Quarantäne löschen. Leider kommen diese Meldungen immer wieder und ich weis nicht, was ich machen soll.
Wie bekomme ich meinen PC sauber und wie kann ich ihn optimal schützen (da mit diesem PC auch Onlinebanking gemacht wird)?

Danke schon einmal im vorraus.

Hier mein HijackThis Log:

Könntest Du das HJT-Log posten wie alle anderen das auch tun?;)

Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

Prüfe Dein System mit Ewido http://www.ewido.net/de/ Lasse alles löschen, was vorgeschlagen wird. Poste das Ergebnis.

oh....Entschuldigung.....bei manchen Foren soll man solche Sachen als Code einfügen. Ich hab mir schon fast gedacht, dass ich das anders hätte machen sollen ;)

Hier nochmal richig gepostet:

Logfile of HijackThis v1.99.1
Scan saved at 20:05:57, on 30.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
D:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
D:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE
D:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
E:\3D Max 8\mentalray\satellite\raysat_3dsmax8server.exe
D:\WINDOWS\system32\nvsvc32.exe
E:\alcohol 120\Alcohol 120\StarWind\StarWindService.exe
D:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
D:\Programme\Softwin\BitDefender9\vsserv.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\PROGRA~1\softwin\BITDEF~1\bdmcon.exe
D:\Programme\Softwin\BitDefender9\bdoesrv.exe
D:\PROGRA~1\softwin\BITDEF~1\bdnagent.exe
D:\PROGRA~1\softwin\BITDEF~1\bdswitch.exe
D:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Programme\USBToolbox\ResModify.EXE
D:\Programme\Gemeinsame Dateien\{BC0D3A74-0C8E-1031-0815-050216060031}\Update.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\NOTEPAD.EXE
E:\firefox browser\firefox.exe
D:\Dokumente und Einstellungen\***\Desktop\hijackthis(2)\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - E:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: ToolBar888 - {CBCC61FA-0221-4ccc-B409-CEE865CACA3A} - D:\Programme\ToolBar888\MyToolBar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [BDMCon] d:\PROGRA~1\softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "D:\Programme\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "D:\PROGRA~1\softwin\BITDEF~1\bdnagent.exe"
O4 - HKLM\..\Run: [BDSwitchAgent] "D:\PROGRA~1\softwin\BITDEF~1\bdswitch.exe"
O4 - HKLM\..\Run: [Ulead AutoDetector v2] D:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "D:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ResModify] D:\Programme\USBToolbox\ResModify.EXE
O4 - HKLM\..\Run: [VirusKeeper] E:\VirusKeeper 2006 Pro Probeversion\VirusKeeper.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = E:\acrobat reader\Reader\reader_sl.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = D:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://E:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - E:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O16 - DPF: {1F831FA3-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - file://D:\Programme\MDT6\InstFred.ocx
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday-Steuerung) - file://D:\Programme\MDT6\AcDcToday.ocx
O16 - DPF: {AE563724-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://D:\Programme\MDT6\InstBanr.ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview-Steuerung) - file://D:\Programme\MDT6\AcPreview.ocx
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) -h**p://pdl.stream.aol.com/downloads/aol/unagi/ampx_en_dl.cab
O23 - Service: Adobe LM Service - Unknown owner - D:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Autodesk Licensing Service - Autodesk - D:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: C-DillaSrv - C-Dilla Ltd - D:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE
O23 - Service: EpsonBidirectionalService - Unknown owner - D:\Programme\Gemeinsame Dateien\EPSON\EBAPI\eEBSVC.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: RaySat_3dsmax8 Server (mi-raysat_3dsmax8) - Unknown owner - E:\3D Max 8\mentalray\satellite\raysat_3dsmax8server.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - E:\alcohol 120\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - D:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - D:\Programme\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - D:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Die anderen Prüfergebnisse werde ich morgen nachreichen. :)

Ist kein Gemecker, wertet sich nur :pfui:aus.
Poste die Ergebnisse morgen. Denke aber, dass Ewido aufräumt;)
Hoffe mal, dass nicht noch weitere Dinge zum Vorschein kommen.

Ich weis schon, dass das ein freundlicher Hinweis und kein Gemecker war. :)

Hier ist erst einmal das F-Secure Blacklight Logfile:
10/01/06 18:17:51 [Info]: BlackLight Engine 1.0.47 initialized
10/01/06 18:17:51 [Info]: OS: 5.1 build 2600 (Service Pack 2)
10/01/06 18:17:51 [Note]: 7019 4
10/01/06 18:17:51 [Note]: 7005 0
10/01/06 18:17:56 [Note]: 7006 0
10/01/06 18:17:56 [Note]: 7011 1716
10/01/06 18:17:56 [Note]: 7026 0
10/01/06 18:17:57 [Note]: 7026 0
10/01/06 18:18:05 [Note]: FSRAW library version 1.7.1020
10/01/06 18:23:00 [Note]: 7007 0

er hat mir gesagt, dass er nichts gefunden hat.

Ewido hat gleich beim Start bösartige Malware gefunden. Mal sehen was der Scan für böse Überraschungen bringt.

Wenigsten schon mal negativ:aplaus:
Auf das Ergebnis von Ewido bin ich gespannt;)

OK. Nach über 1h und 15min ist Ewido endlich fertig und liefert mir das erschreckende Erbgebnis:

Sieht so aus, als bräuchte ich nicht nur eine bessere Firewall sondern auch eine Kindersicherung, wenn ich mir manche Einträge anschaue.

Leider musste ich erstmal diese Form der Darstellung wählen, weil ich sonst zu viele Grafiken im Post gehabt hätte und so keinen Post erstellen hätte können. :(

EDIT: Ich hab das Gefühl, dass das Internet jetzt auch wieder schneller läuft.

Was ist relevant?
Du hast aber schon alles löschen lassen?
Wenn nicht, nochmals laufen lassen mit der Option löschen.

Die sind alle in die Quarantäne verschoben worden (wurde von Ewido empfohlen). Reicht das, wenn ich die dort lösche?

EDIT: So ich hab noch einmal die relevanten Ordner durchsuchen lassen. Es haben sich schon wieder ein paar neue Sachen aufgetan aber alles andere scheint gelöscht.

---------------------------------------------------------
ewido anti-spyware - Scan-Bericht
---------------------------------------------------------

+ Erstellt um: 20:42:19 01.10.2006

+ Scan-Ergebnis:



D:\Programme\ToolBar888 -> Adware.ToolBar888 : Gesäubert.
D:\WINDOWS\system32\opnljkj.dll -> Adware.Virtumionde : Gesäubert.
D:\Dokumente und Einstellungen\***\Cookies\***@2o7[2].txt -> TrackingCookie.2o7 : Gesäubert.
D:\Dokumente und Einstellungen\***\Cookies\***@ivwbox[1].txt -> TrackingCookie.Ivwbox : Gesäubert.


::Berichtende

Löschen!!!!!!
Lade Dir Clearprog:
http://www.clearprog.de/

Installieren und starten. Haken bei alles Löschen setzen und Löschen betätigen.

Lasse Ewido nochmals laufen, ich will wissen, ob alles weg ist.

Hallo MajorPain,

leider ist die Datei
ein unangenhemer Downloader der allerlei Unrat auf den Rechner zaubert.
Alle bisherigen Infektionen dieser Art zogen dies nach sich, was ich Dir auch raten möchte.

Deweiteren solltest Du die Finger von diesem
lassen. Die in derlei Programmen enthaltenen Schadroutinen werden auch von bei einem Scan auf virustotal nicht erfasst.

Gruß :)

Schrulli

Hallo Schrulli
Mit dem Hinweis auf die Cracks Hast Du recht.
Ob der PC nicht zu retten ist, da habe ich meine Bedenken:D

@ MajorPain
Lasse die Datei:
D:\Programme\Gemeinsame Dateien\{BC0D3A74-0C8E-1031-0815-050216060031}\Update.exe

online prüfen. Nutze dazu die Hinweise in meiner Signatur. Poste die Ergebnisse.

Hallo felix1,

ich lege Dir diesen Thread ans Herz.
Dazu der Hinweis, das Ewido die Datei überhaupt nicht erkannt hat, es also durchaus sein kann das noch einiges andere auf dem Rechner läuft.
Wie immer liegt es am TO, wie er weiter verfährt.

Gruß :)

Schrulli

@Schrulli
Warten wir doch mal das Ergebnis der Prüfungen ab. Kann sein, dass Du recht hast, aber auch möglich, dass Du Gespenster siehst:aplaus: