Vundo.Gen in ...system32/mllmn.dll
 

Ich weiß, dieser Trojaner wurde schon mehrmals besprochen, ich kenne mich jedoch mit log-files nicht besonders gut aus.
Bitte deshalb dies mal kurz durchzukontrollieren.

Logfile of HijackThis v1.99.1
Scan saved at 22:22:03, on 09.10.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Opera\Opera.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
E:\Eigene Dateien\Sonstiges\Programme\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchURL = prosearching.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {9B3DB486-5068-00C8-14F0-07E29B777597} - C:\WINDOWS\system32\xjxpuc.dll (file missing)
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: Safety Bar - {052b12f7-86fa-4921-8482-26c42316b522} - C:\Programme\Safety Bar\SafetyBar.dll (file missing)
O3 - Toolbar: &VSToolBar - {821F87FF-8245-4972-9E28-732E92EC2F51} - C:\Programme\VSToolbar\VSToolBar.dll (file missing)
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\\nTune.exe" clear
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - h**p://kp.bar.need2find.com/KP/menusearch.html?p=KP
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {74CD40EA-EF77-4BAD-808A-B5982DA73F20} - h**p://yax-download.yazzle.net/YazzleActiveX.cab?refid=1162
O18 - Filter: text/html - (no CLSID) - (no file)
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe


Danke.

Wei äussert sich der Befall?
Du solltest mal Dein Surfverhalten überprüfen:
O8 - Extra context menu item: &Search - h**p://kp.bar.need2find.com/KP/menusearch.html?p=KP
C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

Prüfe Dein System mit Ewido http://www.ewido.net/de/ Lasse alles löschen, was vorgeschlagen wird. Poste das Ergebnis, aber bitte lösche vorher aus dem Log alles was mit Cookies zu tun hat.

Ok, ich denk ich hab so einiges säubern können, danke.
F-Secure Blacklight hat nichts gefunden, doch Ewido dafür einiges...
zwecks Surfverhalten: ja, kann schon sein...es ist ein Familien-PC und ich weiß jetzt ehrlichgesagt nicht wer da sch*** gebaut hat :mad:
Der Vundo.Gen ist jetzt durch VundoFix gesäubert worden.

+ Scan-Ergebnis von Ewido:

C:\Programme\Safety Bar -> Adware.Generic : Gesäubert.
C:\Programme\Safety Bar\Uninstall.bat -> Adware.Generic : Gesäubert.
HKLM\SOFTWARE\Classes\CLSID\{052b12f7-86fa-4921-8482-26c42316b522} -> Adware.Generic : Gesäubert.
HKLM\SOFTWARE\Classes\CLSID\{873eb32d-ae1a-4183-89bd-45a77f761be4} -> Adware.Generic : Gesäubert.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\\{052b12f7-86fa-4921-8482-26c42316b522} -> Adware.Generic : Gesäubert.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{873eb32d-ae1a-4183-89bd-45a77f761be4} -> Adware.Generic : Gesäubert.
HKU\S-1-5-21-343818398-1935655697-725345543-500\Software\Classes\CLSID\{5aaf6542-f4ba-4df4-873d-4902ecbe794c} -> Adware.Generic : Gesäubert.
HKU\S-1-5-21-343818398-1935655697-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{052B12F7-86FA-4921-8482-26C42316B522} -> Adware.Generic : Gesäubert.
HKU\S-1-5-21-343818398-1935655697-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{873EB32D-AE1A-4183-89BD-45A77F761BE4} -> Adware.Generic : Gesäubert.
HKU\S-1-5-21-343818398-1935655697-725345543-500_Classes\CLSID\{5aaf6542-f4ba-4df4-873d-4902ecbe794c} -> Adware.Generic : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP156\A0010761.exe -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP156\A0010766.dll -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP167\A0019921.dll -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP167\A0019922.exe -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP169\A0019968.dll -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP170\A0020888.dll -> Adware.PurityScan : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP170\A0020889.exe -> Adware.PurityScan : Gesäubert.
HKU\S-1-5-21-343818398-1935655697-725345543-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{59879FA4-4790-461C-A1CC-4EC4DE4CA483} -> Adware.RXToolbar : Gesäubert.
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\SpyQuake2.com 2.3.lnk -> Adware.SpywareQuake : Gesäubert.
HKLM\SOFTWARE\SpyQuake2.com -> Adware.SpywareQuake : Gesäubert.
C:\WINDOWS\wt\backup\1.6.0.037\wcmdmgr.exe -> Adware.Wildtangent : Gesäubert.
C:\WINDOWS\wt\updater\wcmdmgr.exe -> Adware.Wildtangent : Gesäubert.
C:\System Volume Information\_restore{3B16433F-8305-48AD-A823-90F3AEDB0AD7}\RP169\A0020279.dll -> Downloader.Zlob.tj : Gesäubert.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\\kernel32.dll -> Trojan.Small : Gesäubert.