|
winlogon.exe und explorer.exe hi ich bin neu hier und habe leider noch nicht soviel ahnung von viren usw. ich habe aber ein problem und würde mich freuen wenn ihr mir helfen könntet anti vir zeigt mir an das die prozesse winlogon.exe und explorer.exe von dem virus TR/Vundo.H.DLL betroffen sind. außerdem zeigt mir antivir die ganze zeit wenn ich auf inetexplorer oder z.b auf arbeitsplatz klicke eine warnung von dem selben virus in der datei c:/windows/system32/ddabc.dll an. hier mal der hijackthis.log Logfile of HijackThis v1.99.1 Scan saved at 20:41:53, on 23.12.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Valve\Steam\Steam.exe C:\WINDOWS\system32\acs.exe C:\Programme\NETGEAR\WPN311\wlancfg5.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\System32\dmadmin.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\iPod\bin\iPodService.exe C:\WINDOWS\Explorer.EXE C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Internet Explorer\iexplore.exe C:\Dokumente und Einstellungen\The Gamer\Desktop\hijackthis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {09398E35-C7EC-46F6-BBA0-2CDB483C015E} - C:\WINDOWS\system32\ddabc.dll O2 - BHO: (no name) - {3FD6B99C-A275-46ea-8FD1-3D63986E51E4} - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O2 - BHO: (no name) - {9B0C7A02-A17A-4C81-BD7D-30A622701C36} - C:\WINDOWS\system32\rqrrpol.dll O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKCU\..\Run: [Steam] C:\Valve\Steam\Steam.exe O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: NETGEAR WPN311 Smart Wizard.lnk = C:\Programme\NETGEAR\WPN311\wlancfg5.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O20 - Winlogon Notify: ddabc - C:\WINDOWS\system32\ddabc.dll O20 - Winlogon Notify: rqrrpol - C:\WINDOWS\SYSTEM32\rqrrpol.dll O20 - Winlogon Notify: winrge32 - winrge32.dll (file missing) O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe würde mich freuen wenn ihr mir weiterhelfen könnt mfg |
Hi, also lass die 3 Dateien mal bei virustotal auswerten: Zitat:
lg myrtille |
STATUS: FINISHEDComplete scanning result of "ddabc.dll", received in VirusTotal at 12.23.2006, 21:21:51 (CET). Antivirus Version Update Result AntiVir 7.3.0.21 12.23.2006 no virus found Authentium 4.93.8 12.22.2006 no virus found Avast 4.7.892.0 12.21.2006 no virus found AVG 386 12.23.2006 no virus found BitDefender 7.2 12.23.2006 no virus found CAT-QuickHeal 8.00 12.23.2006 no virus found ClamAV devel-20060426 12.23.2006 no virus found DrWeb 4.33 12.23.2006 no virus found eSafe 7.0.14.0 12.23.2006 no virus found eTrust-InoculateIT 23.73.97 12.23.2006 no virus found eTrust-Vet 30.3.3271 12.23.2006 no virus found Ewido 4.0 12.23.2006 no virus found Fortinet 2.82.0.0 12.23.2006 no virus found F-Prot 3.16f 12.22.2006 no virus found F-Prot4 4.2.1.29 12.22.2006 no virus found Ikarus T3.1.0.27 12.23.2006 no virus found Kaspersky 4.0.2.24 12.23.2006 no virus found McAfee 4925 12.22.2006 no virus found Microsoft 1.1904 12.23.2006 no virus found NOD32v2 1936 12.23.2006 no virus found Norman 5.80.02 12.22.2006 no virus found Panda 9.0.0.4 12.23.2006 no virus found Prevx1 V2 12.23.2006 no virus found Sophos 4.12.0 12.22.2006 no virus found Sunbelt 2.2.907.0 12.18.2006 no virus found TheHacker 6.0.3.135 12.20.2006 no virus found UNA 1.83 12.22.2006 no virus found VBA32 3.11.1 12.23.2006 no virus found VirusBuster 4.3.19:9 12.23.2006 no virus found STATUS: FINISHEDComplete scanning result of "rqrrpol.dll", received in VirusTotal at 12.23.2006, 21:25:31 (CET). Antivirus Version Update Result AntiVir 7.3.0.21 12.23.2006 ADSPY/Froeste Authentium 4.93.8 12.22.2006 no virus found Avast 4.7.892.0 12.21.2006 no virus found AVG 386 12.23.2006 Adware Generic.SHM BitDefender 7.2 12.23.2006 Trojan.Virtumod.DF CAT-QuickHeal 8.00 12.23.2006 no virus found ClamAV devel-20060426 12.23.2006 no virus found DrWeb 4.33 12.23.2006 Trojan.Virtumod eSafe 7.0.14.0 12.23.2006 no virus found eTrust-InoculateIT 23.73.97 12.23.2006 Win32/Chisyne.5sd!DLL!Trojan eTrust-Vet 30.3.3271 12.23.2006 Win32/Chisyne!generic Ewido 4.0 12.23.2006 Adware.Virtumonde Fortinet 2.82.0.0 12.23.2006 Adware/Virtumonde F-Prot 3.16f 12.22.2006 no virus found F-Prot4 4.2.1.29 12.22.2006 no virus found Ikarus T3.1.0.27 12.23.2006 not-a-virus:AdWare.Win32.Virtumonde.fn Kaspersky 4.0.2.24 12.23.2006 not-a-virus:AdWare.Win32.Virtumonde.fn McAfee 4925 12.22.2006 no virus found Microsoft 1.1904 12.23.2006 no virus found NOD32v2 1936 12.23.2006 no virus found Norman 5.80.02 12.22.2006 W32/Virtumonde.TE Panda 9.0.0.4 12.23.2006 Spyware/Virtumonde Prevx1 V2 12.23.2006 SpywareQuake Sophos 4.12.0 12.22.2006 no virus found Sunbelt 2.2.907.0 12.18.2006 Virtumonde TheHacker 6.0.3.135 12.20.2006 Adware/Virtumonde.fn UNA 1.83 12.22.2006 Adware.Virtumonde.4CF5 VBA32 3.11.1 12.23.2006 Trojan.Virtumod VirusBuster 4.3.19:9 12.23.2006 no virus found das waren die ersten beiden aber wie soll ich denn den letzten scannen wenn die datei fehlt? mfg |
Das "file missing" hat nen bug, die Aussage hat nichts zu bedeuten. Die Datei also einfach mal suchen, und vorher alle Dateien sichtbar machen. Werte bitte die erste Datei,die ohne Befunde, nochmal aus und poste ALLE Daten, insbesondere die Größe der Datei. Du kannst auch schonmal einen eScan machen, der sollte auch aufklären... So, den zweiten Beitrag werden wir jetzt mal hiermit(vundofix) in Angriff nehmen, ich vermute dass der gleich noch den ein oder anderen Beitrag mitnehmen wird. Poste nach beenden bitte das "report.txt" Dann sehen wir weiter lg myrtille |
so ich habe vundofix gemacht und die drei sachen sind weg O20 - Winlogon Notify: ddabc - C:\WINDOWS\system32\ddabc.dll O20 - Winlogon Notify: rqrrpol - C:\WINDOWS\SYSTEM32\rqrrpol.dll O20 - Winlogon Notify: winrge32 - winrge32.dll (file missing) doch leider hat er meinen pc sofort neugestartet und die report datei dafür finde ich nicht :( wie es aussieht is das problem weg, aber mal gucken ob es wiederkommt. hier nochmal der neue hijackthis.log Logfile of HijackThis v1.99.1 Scan saved at 00:21:41, on 24.12.2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\acs.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Alwil Software\Avast4\aswUpdSv.exe C:\PROGRA~1\eScan\TRAYSSER.EXE C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWAgent.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\System32\dmadmin.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\PROGRA~1\eScan\TRAYICOS.EXE C:\Programme\NETGEAR\WPN311\wlancfg5.exe C:\PROGRA~1\eScan\eScanWin.exe C:\PROGRA~1\eScan\kavss.exe C:\PROGRA~1\eScan\mwavscan.com C:\PROGRA~1\eScan\kavss.exe C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\Explorer.EXE C:\Dokumente und Einstellungen\The Gamer\Desktop\hijackthis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {3FD6B99C-A275-46ea-8FD1-3D63986E51E4} - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [MailScan Dispatcher] "C:\Programme\eScan\LAUNCH.EXE" O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App O4 - HKCU\..\Run: [Steam] C:\Valve\Steam\Steam.exe O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: NETGEAR WPN311 Smart Wizard.lnk = C:\Programme\NETGEAR\WPN311\wlancfg5.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\PROGRA~1\eScan\TRAYSSER.EXE O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe dann erstmal danke für die hilfe :D war schon fast verzweifelt und wollte nach weihnachten den pc eigentlich formatieren. mfg |
Ja, das sieht schonmal ganz gut aus. :) Es wäre allerdings ganz gut zu wissen, was in dem report.txt stand, aber dein HJT-File sieht sauber aus, daher denke ich, dass das passt. Du kannst das Zitat:
lg myrtille |
ich hab hier noch die fixvundo.log datei gefunden. ist das die richtige ? Symantec Trojan.Vundo Removal Tool 1.5.0 The process "IEXPLORE.EXE" might be affected by the threat. It has been suspended. The process "IEXPLORE.EXE" might be affected by the threat. It has been suspended. The process "IEXPLORE.EXE" might be affected by the threat. It has been terminated. The process "IEXPLORE.EXE" might be affected by the threat. It has been terminated. C:\System Volume Information: (not scanned) D:\maps\Maps: (not scanned) D:\System Volume Information: (not scanned) Trojan.Vundo has been successfully removed from your computer! Here is the report: The total number of the scanned files: 81287 The number of deleted files: 0 The number of viral processes terminated: 2 The number of viral processes suspended: 2 The number of viral threads terminated: 0 The number of registry entries fixed: 0 dann schonmal vielen dank an dich du bist echt der beste :D ;) mfg |
Um das ganze hier noch etwas unnötig in die Länge zu ziehen: Sieht ok aus :party: Wünsche ein Frohes Fest und eine schöne Feier! lg die myrtille |
als erstes mal wünsche ich dir auch frohe weihnachten und ein frohes fest. ich hab da aber noch ein anderes problem :( ad-aware zeigt mir irgendwelche viren an 4mal tracking cookie (name) IECache (type) data miner (category) und 9 verschiedene MRU lists an. er löscht sie zwar jedes mal aber sie kommen immer wieder :( bringt es was wenn ich die im abgesicherten modus lösche ? wäre toll wenn du dafür auch noch ne lösung hättest :D mfg |
Tja zu dem Zeitpunkt war ich schon auf dem Weg zu den lieben Verwandten. :D Traust du mir etwa nicht, wenn ich dir sage, dass dein Rechner sauber ist? ;) Aber du hast natürlich Recht: Vertrauen ist gut, Kontrolle ist besser. :kloppen: Zum Thema cookies hier ein Beitrag, der deine Ängste verfliegen lassen sollte. lg myrtille |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 01:35 Uhr. |
Copyright ©2000-2025, Trojaner-Board