Trojaner-Board - Rechner verhält sich komisch! Verdacht auf Trojaner!

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Rechner verhält sich komisch! Verdacht auf Trojaner! (https://www.trojaner-board.de/35562-rechner-verhaelt-komisch-verdacht-trojaner.html)

Rechner verhält sich komisch! Verdacht auf Trojaner!

Hallo zusammen,

habe hier ein kleines Problem, bei welchem ich nicht wirklich weiter komme.
Habe mir mal das Hijackthis geladen und mir das Log mal angesehen.
Das meiste aus diesem Log kenne ich, jedoch gibt es etwas, was mir wenig bzw. garnichts sagt:

C:\WINDOWS\MCBIN\AV\RT\MGAVRTE.EXE

Ich habe nicht wirklich Probleme mit dem rechner, jedoch sagt mir Google, das es sich dabei um einen Trojaner handeln kann!

Hier mal das gesamte Log:

Logfile of HijackThis v1.99.1
Scan saved at 21:24:02, on 21.01.2007
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\AOL\ACS\AOLACSD.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\PROGRAMME\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMKEYBD.EXE
C:\WINDOWS\MCBIN\AV\RT\MGAVRTCL.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\AHEAD\INCD\INCD.EXE
C:\WINDOWS\STARTER.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\AOL\ACS\AOLDIAL.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\PROGRAMME\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\KEYBDMGR.EXE
C:\PROGRAMME\NETROPA\ONSCREEN DISPLAY\OSD.EXE
C:\WINDOWS\MCBIN\AV\RT\MGAVRTE.EXE
C:\PROGRAMME\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMUSBKB2.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMME\WINZIP\WINZIP32.EXE
C:\WINDOWS\TEMP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.addcom.de:3128
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = www.addcom.de;<local>
F1 - win.ini: run=hpfsched
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Keyboard Manager] C:\Programme\Netropa\One-touch Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [mgavrtclexe] C:\WINDOWS\MCBin\AV\Rt\mgavrtcl.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [EnsoniqMixer] starter.exe
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [YeppStudioAgent] C:\PROGRAMME\SAMSUNG\SAMSUNGMEDIASTUDIO4.1\SamsungMediaStudioAgent.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [mgavrtclexe] C:\WINDOWS\MCBin\AV\Rt\mgavrte.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [AolAcsDaemon1] "C:\PROGRAMME\GEMEINSAME DATEIEN\AOL\ACS\AOLACSD.EXE"
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

Könnt Ihr das bestätigen und wenn ja, wie bekomme ich den weg?

Danke schonmal für die Hilfe!

Liebe Grüße

Bommelmaus

C:\WINDOWS\MCBIN\AV\RT\MGAVRTE.EXE

Werte diese Datei dochmal bei Virustotal aus und poste sämtliche Ergebnisse.

OK, gesagt getan!

Hier die Ergebnisse:

STATUS: FINISHED
Complete scanning result of "MGAVRTE.EXE", received in VirusTotal at 01.21.2007, 22:17:18 (CET).

Antivirus Version Update Result
AntiVir 7.3.0.26 01.21.2007 no virus found
Authentium 4.93.8 01.21.2007 no virus found
Avast 4.7.936.0 01.18.2007 no virus found
AVG 386 01.21.2007 no virus found
BitDefender 7.2 01.21.2007 no virus found
CAT-QuickHeal 9.00 01.20.2007 no virus found
ClamAV devel-20060426 01.21.2007 no virus found
DrWeb 4.33 01.21.2007 no virus found
eSafe 7.0.14.0 01.21.2007 no virus found
eTrust-InoculateIT 23.73.118 01.20.2007 no virus found
eTrust-Vet 30.3.3336 01.19.2007 no virus found
Ewido 4.0 01.21.2007 no virus found
Fortinet 2.82.0.0 01.21.2007 no virus found
F-Prot 3.16f 01.21.2007 no virus found
F-Prot4 4.2.1.29 01.21.2007 no virus found
Ikarus T3.1.0.27 01.09.2007 no virus found
Kaspersky 4.0.2.24 01.21.2007 no virus found
McAfee 4943 01.19.2007 no virus found
Microsoft 1.1904 01.21.2007 no virus found
NOD32v2 1995 01.21.2007 no virus found
Norman 5.80.02 01.20.2007 no virus found
Panda 9.0.0.4 01.21.2007 no virus found
Prevx1 V2 01.21.2007 no virus found
Sophos 4.13.0 01.20.2007 no virus found
Sunbelt 2.2.907.0 01.12.2007 no virus found
TheHacker 6.0.3.153 01.21.2007 no virus found
UNA 1.83 01.19.2007 no virus found
VBA32 3.11.2 01.20.2007 no virus found
VirusBuster 4.3.19:9 01.21.2007 no virus found

Aditional Information
File size: 94208 bytes
MD5: d4c898fff9eda606a86af3daa619a1a3
SHA1: 67415ca89153e5ee337e29dde347a68fd443aba7

Ist dann wohl sauber.....
Kannst du sonst irgendwas schädliches erkennen?
Mein Brenner spinnt nämlich aber das ist dann doch wohl ein Hardware Problem?!

Gruß und Danke

Bommelmaus

Mach mal einen Check mit MWAV (eScan), beachte den Link in meiner Sig.

Hallo Cosinus,

habe eScan laufen lassen......genau wie in der Anleitung beschrieben! Leider funktioniert das mit der find.zip nicht!

Es kommt immer folgende Meldung:

Befehl oder Dateiname nicht gefunden.
Deine Windowsversion wird nicht unterstützt.
Die Staplerverarbeitung wird abgebrochen.
Weiter mit beliebiger Taste...

Jedoch wurde einiges Gefunden.

Ich werde mal die Viruslog abtippen.....vielleicht hilft das ja schon weiter:

Object "winpopup Spyware/Adware" found in File System! Action Taken: Entries Removed
Object kraze.b Virus" found in File System! Action Taken: Entries Removed
Object "precisionpop Spyware/Adware" found in File System! Action Taken: Entries Removed
Object "lopcom Browser Hijacker" found in File System! Action Taken: Entries Removed
Object "cracks.am Spyware/Adware found in File System! Action Taken: Entries Removed
Object "smitfraud Browser Hijacker" found in File System! Action Taken: Entries Removed
Object "spylax Trojan" found in File System! Action Taken: Entries Removed

Das ist das, was ich für wichtig halte...es sind dann noch Einträge von der Registry aufgelistet...allerding glaube ich, das dies nicht so schlimm bzw. Relevant ist ( Berichtige mich bitte, wenn ich mich irre )!

Hoffe, du kannst mir dennoch helfen........

Gruß Bommelmaus

Zitat:

habe eScan laufen lassen......genau wie in der Anleitung beschrieben! Leider funktioniert das mit der find.zip nicht!
Es kommt immer folgende Meldung:

Achja, herrje, :teufel1: die FIND.BAT funktioniert nicht bei WinME.

Zitat:

Das ist das, was ich für wichtig halte...es sind dann noch Einträge von der Registry aufgelistet...

Sonst nichts gefunden worden? Keine Dateien angemeckert?

Guten Morgen,

Zitat:

Zitat von cosinus (Beitrag 250339)

Sonst nichts gefunden worden? Keine Dateien angemeckert?

Nein, keine einizige Datei angemeckert. Hatte das Fenster extra offen gelassen ( ist von einem anderen Rechner, bin mit Lappi Online )!

Muss ich mir also keine großen Sorgen machen?

Gruß Bommelmaus

Zitat:

Muss ich mir also keine großen Sorgen machen?

Wohl eher nicht. Ob wohl ja auch die Wahrscheinlichkeit besteht, dass der Virenscanner einige Schädlinge übersehen hat. Hast du denn auch komplett Laufwerk C: überprüfen lassen inkl. aller Unterverzeichnisse?
Zeigt dein System sonst irgendwelche Auffälligkeiten wie langsamer Seitenaufbau im Browser oder so?

Hallo Cosinus,

Ich habe den kompletten Rechner scannen lassen......die Einstellungen habe ich aus der Beschreibung übernommen!

Eigentlich sind keine Auffälligkeiten vorhanden, nur das dass DVD Laufwerk nicht geht und das die Festplatte etwas laut ist! Aber das wird wahrscheinlich am Alter des Rechners liegen ( gekauft 2000 )!
Weiterhin ist manchmal das Problem, das der Rechner nicht runter fährt....er bleibt einfach beim Einstellungen speichern hängen und nur durch reset wieder zum Leben zu erwecken...danach folgt der Scann Disc...oder wie das heißt!

Wie bekomme ich nun die angegebenen Sachen weg bzw. muss ich die überhaupt entfernen?

Gruß und Danke Bommelmaus

Zitat:

nur das dass DVD Laufwerk nicht geht und das die Festplatte etwas laut ist!

Was heißt "geht nicht"? Eine laute Festplatte ist keine Fehlfunktion ;)

Zitat:

das der Rechner nicht runter fährt....er bleibt einfach beim Einstellungen speichern hängen und nur durch reset wieder zum Leben zu erwecken

Ich hatte selbst nie WinME, aber Win98SE ne ganze zeitlang (98 und ME sind nah verwandte Betriebssysteme), und auch dort häufiger dieses Problem. Es gab da mal einen Patch für 98 der das Shutdown-Problem behob, aber ob es das für ME gibt, keine Ahnung.

Zitat:

Wie bekomme ich nun die angegebenen Sachen weg bzw. muss ich die überhaupt entfernen?

Steht doch da, die angeblichen schädlichen Einträge hat MWAV entfernt. Wie sicher das ist sei mal dahingestellt. Und "angeblich" deswegen, weil man hier nicht wirklich nachvollziehen kann wo das denn nun überhaupt sein soll, was da angemeckert wird. Nur die Angabe "found in filesystem" bringt da IMHO garnichts. Hatte auch schon selber einige Fehlalarme von MWAV festgestellt, z.B. "winupd". Hatte mir mal Windowsupdates in einem Ordner downgeloadet, dessen Namen ich platzsparend in "winupd" festgelegt habe. Das hat ausgereicht um MWAV anschlagen zu lassen, denn es gibt anscheinend auch Malware/Spyware whatever die wohl so heißt... :rolleyes: