|
Ziemlich viele Funde in kurzer Zeit (Vundo.Gen/Agent.Age) Hallo! Ich habe seit gestern ein relativ heftiges Trojaner-Problem... ich hatte nacheinander die Viren Vundo.Gen, Agent.Age und noch weitere... Die infizierten Dateien habe ich gelöscht, nachdem ich mich auf anderen PCs versichert hatte, dass diese dort überhaupt nicht existieren. Dazu zählten: mscheck.exe msmouse.dll closeapp.exe hivnxrkt.dll Alle im System32-Ordner. Ich habe gelesen, dass der Agent.Age anscheinend neue Malware aus dem Internet zieht und bemerkt, dass immer ungefragt der IE (ich benutze eigentlich Firefox) geöffnet wird und mir Werbung vor die Nase klatscht, ich hätte Viren (was mir natürlich selber klar ist :D )... jedenfalls hat Antivir immer kurz, nachdem ich dieses Zeug geschlossen hatte, einen neuen Virus festgestellt. Daraufhin habe ich mit ZoneAlarm dem IE einen Internetzugriff verboten... grade eben hat sich aber auf einmal ein neues Tab im Firefox geöffnet, die IP in der Adressleiste war 89.188.16.10. Es wurden ziemlich viele GET-Variablen für PHP übermittelt, glaube ich. Und da im System Volume irgendwas-Ordner auch Funde waren, habe ich die Systemwiederherstellung ausgeschaltet, neu gestartet, und wieder eingeschaltet... Aber wegen dieses Tabs, das nach alledem erst kam, bin ich mir recht sicher, dass ich noch irgendwas haben muss (ich habe ja vielleicht auch alles falsch gemacht). Darum, schlussendlich, mein HijackThis-Log: Zitat:
|
Hallo. :) Dein Hijacklog ist unauffällig und deutet auf keine Schädlinge hin. ;) Arbeite aber das hier ab: Vundofix * Lade dir vundofix.exe * Doppelklick VundoFix.exe * Klicke "Scan" --> Vundo button. * Nach dem Scannen, klicke den "Remove" Vundo button. * Man wird nun gefragt, ob man "remove" will --> klicke YES * Danach werden alle Desktop-Symbole verschwinden * Dann wird man gefragt, ob der PC neustarten soll --> klicke OK. C:\VundoFix Backups - löschen + Papierkorb leeren Arbeiten mit MWAV (eScan) * Lies dir folgende Anleitung genau durch und arbeite sie ab: -> Anleitung eScan * Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der “find.bat”. (steht alles ganz genau in der Anleitung.) Gruß Sunny |
mscheck.exe, msmouse.dll Ich hab mal nach den beiden gegoogelt. Dabei rauskam das es sich bei den beiden wahrscheinlich um den Troj/Dropper-AM handelt. Ein Trojaner der immer mehr Malware auf den PC lädt. Vielleicht eine Erklärung für die immer wieder auftretenden Funde von Antivir Apo |
Stimmt... VundoFix habe ich gestern schonmal laufen lassen, das hatte auch 3 Dateien gefunden/gelöscht. Ich habe es eben nochmals laufen lassen und wieder 3 Dateien gefunden/gelöscht... Und grade während des MWAV-Scans ging wieder ein Firefox-Tab auf. der Link ist: h**p://89.188.16.10/trafc-2/rfe.php?cmp=wavff_kw&uid=91EC7CC2EAE311DBBE83003048895BFC&nid=ik&guid=2a2616f7+9E9F0150792A47B9A1A52195E1D3CA4D&url=http:%2F%2Fwww.trojaner-board.de%2F37981-escan-anleitung.html&affid=67308&lid=escan%3E Ich finde es komisch, dass die URL der Anleitung zu eScan da irgendwo hin übertragen zu werden scheint... edit: Da im abgesicherten Modus (ohne ZoneAlarm) ging auch der IE wieder auf gerade... |
Poste erstmal den Bericht von eScan sowie von diesen Tools zusätzlich: Silentrunners Logfile *Lade dir das Tool -> Silentrunners *Entpacke das Script in einen Ordner deiner Wahl *Doppelklick auf -> Silent Runners -> Option Supplementary Searches auswählen *System wird nun überprüft, nach Beendigung wird eine Log-Datei erstellt (Dein Antiviren-Scanner könnte eine Meldung wegen „bösartigem Script“ erstellen, ignoriere dieses und arbeite weiter!) *dann öffne die Silent Runners xxx.txt mit einem Editor und kopiere den gesamten Inhalt ab und füge ihn in einen Beitrag ein F-Secure Blacklight – Rootkitscanner: * Scanne dein System mit Blacklight- * Poste im Anschluss das Ergebnis des Reportes in dem du alles abkopierst und hier in einen Beitrag einfügst. (die Datei sollte auf C: angelegt werden.) |
Hm, eScan scannt aber immernoch, im Moment sehr langsam... ist mittlweile bei 16 angeblichen Viren, die aber zum Großteil mit "not-a-virus:" bezeichnet sind. Jedenfalls passiert da seit einigen Minuten nix mehr, aber fertig ist es irgendwie auch nicht... Die letzte Meldung über eine gescannte Datei (die wohlgemerkt nicht gelesen werden konnte) ist von vor über 10 Minuten. |
Warte erstmal den Scan ab und poste danach den Bericht, dann sehen wir weiter. ;) |
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Header ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Microsoft Windows XP [Version 5.1.2600] Sun Apr 15 15:10:47 2007 => Version 9.1.9 Sun Apr 15 15:09:03 2007 => Virus-Datenbank Datum: 4/13/2007 Sun Apr 15 15:10:35 2007 => Virus-Datenbank Datum: 4/15/2007 Sun Apr 15 18:13:46 2007 => Virus-Datenbank Datum: 4/15/2007 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Infektionsmeldungen ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Sun Apr 15 15:11:50 2007 => System found infected with whenu.savenow Spyware/Adware (war3_install.exe)! Action taken: Keine Aktion vorgenommen. Sun Apr 15 15:11:50 2007 => System found infected with whenu.savenow Spyware/Adware (cmdlineext02.dll)! Action taken: Keine Aktion vorgenommen. Sun Apr 15 15:11:59 2007 => System found infected with uplink Adware (installoptions.dll)! Action taken: Keine Aktion vorgenommen. Sun Apr 15 15:11:59 2007 => System found infected with whenu.savenow Spyware/Adware (war3_install.exe)! Action taken: Keine Aktion vorgenommen. Sun Apr 15 15:12:00 2007 => System found infected with whenu.savenow Spyware/Adware (cmdlineext02.dll)! Action taken: Keine Aktion vorgenommen. Sun Apr 15 15:12:07 2007 => System found infected with spylax Corrupted Adware/Spyware (D:\WINDOWS\unvise32.exe)! Action taken: Keine Aktion vorgenommen. ~~~~~~~~~~~ Dateien ~~~~~~~~~~~ ~~~~ Infected files ~~~~~~~~~~~ ~~~~~~~~~~~ ~~~~ Tagged files ~~~~~~~~~~~ Sun Apr 15 15:10:52 2007 => File D:\WINDOWS\system32\ssqqonn.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 15:11:00 2007 => File D:\WINDOWS\system32\ssqqonn.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 15:11:06 2007 => File D:\WINDOWS\system32\ssqqonn.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 15:13:13 2007 => File D:\WINDOWS\system32\ssqqonn.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 15:16:32 2007 => File D:\DOKUME~1\*****\LOKALE~1\Temp\vtp6_6592.zip/Vista Transformation Pack 6.0.exe//WISE0030.BIN markiert als "not-a-virus:RiskTool.Win32.CloseApp.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 15:16:55 2007 => File D:\DOKUME~1\*****\LOKALE~1\Temp\Vista Transformation Pack 6.0.exe//WISE0030.BIN markiert als "not-a-virus:RiskTool.Win32.CloseApp.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 16:19:05 2007 => File C:\Eigene Dateien\Eigene Downloads\ChuzzleSetup-dm.exe markiert als "not-a-virus:AdWare.Win32.Trymedia.b". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 16:31:27 2007 => Datei C:\dowload2\mirc617.exe//data0001.bin markiert als not-a-virus:Client-IRC.Win32.mIRC.617. Keine Aktion vorgenommen. Sun Apr 15 16:53:07 2007 => File C:\dowload2\DK_b16.exe//Stream//data0001//UPX markiert als "not-a-virus:AdWare.Win32.Delf.o". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 16:58:50 2007 => Datei C:\mIRC\mirc.exe markiert als not-a-virus:Client-IRC.Win32.mIRC.617. Keine Aktion vorgenommen. Sun Apr 15 17:06:04 2007 => File C:\HiJackThis\backups\backup-20070415-123137-885.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 17:19:05 2007 => File D:\WINDOWS\system32\ssqqonn.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 17:40:58 2007 => File D:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\vtp6_6592.zip/Vista Transformation Pack 6.0.exe//WISE0030.BIN markiert als "not-a-virus:RiskTool.Win32.CloseApp.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 17:41:19 2007 => File D:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\Vista Transformation Pack 6.0.exe//WISE0030.BIN markiert als "not-a-virus:RiskTool.Win32.CloseApp.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. Sun Apr 15 18:09:47 2007 => File D:\VundoFix Backups\awtqn.dll.bad markiert als "not-a-virus:AdWare.Win32.Virtumonde.ig". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. ~~~~~~~~~~~ ~~~~ Offending files ~~~~~~~~~~~ Sun Apr 15 15:11:50 2007 => Offending file found: D:\DOKUME~1\*****\LOKALE~1\Temp\war3_install.exe Sun Apr 15 15:11:50 2007 => Offending file found: D:\DOKUME~1\*****\LOKALE~1\Temp\cmdlineext02.dll Sun Apr 15 15:11:59 2007 => Offending file found: D:\Dokumente und Einstellungen\*****\Lokale Einstellungen\temp\nsv7.tmp\installoptions.dll Sun Apr 15 15:11:59 2007 => Offending file found: D:\Dokumente und Einstellungen\*****\Lokale Einstellungen\temp\war3_install.exe Sun Apr 15 15:12:00 2007 => Offending file found: D:\Dokumente und Einstellungen\*****\Lokale Einstellungen\temp\cmdlineext02.dll Sun Apr 15 15:12:07 2007 => Offending file found: D:\WINDOWS\unvise32.exe ~~~~~~~~~~~ Ordner ~~~~~~~~~~~ ~~~~~~~~~~~ Registry ~~~~~~~~~~~ Sun Apr 15 15:12:12 2007 => Offending Key found: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E !!! ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Statistiken: ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Sun Apr 15 18:13:46 2007 => Gefundene Viren: 22 Sun Apr 15 18:13:46 2007 => Anzahl Fehler: 156 Sun Apr 15 18:13:46 2007 => Dauer des Scans bisher: 03:02:26 Sun Apr 15 18:13:46 2007 => Gescannte Dateien: 200476 Sun Apr 15 15:10:47 2007 => Specherüberprüfung: Aktiviert Sun Apr 15 15:10:47 2007 => Registry Überprüfung: Aktiviert Sun Apr 15 15:10:47 2007 => System-Ordner Überprüfung: Aktiviert Sun Apr 15 15:10:47 2007 => Überprüfung der Systembereiche: Deaktiviert Sun Apr 15 15:10:47 2007 => Überprüfung der Dienste: Aktiviert Sun Apr 15 15:10:47 2007 => Überprüfung der Festplatten: Deaktiviert Sun Apr 15 15:10:47 2007 => Überprüfung aller Festplatten :Aktiviert |
Scheint mir als hättest du dir diesen WhenU - Potentiell unerwünschte Anwendung - Sophos Bedrohungsanalyse Freund eingefangen. Apo |
@TheGrem Arbeite das hier durch: Spyware entfernen Lade dir diese Tools -> Ad-Aware SE Personal Edition 1.06 - Freeware - ZDNet.de, Downloads, Utilities, Privacy FileForum | Spybot Search and Destroy Lass damit dein System durchlaufen, wenn nötig auch mehrfach! Zusätzlich auch noch mit diesem Programm nach folgender Anleitung: Counterspy Gruß Sunny |
So... ich habe jetzt Ad-Aware durchlaufen lassen, CounterSpy, die Systemwiederherstellung vorerst dauerhfat ausgeschaltet, VundoFix ein paar mal laufen lassen, alles in meiner AntiVir-Quarantäne gelöscht. Im Moment findet VundoFix keine infizierten Dateien mehr (vorher gab es bei jedem Systemstart ein Popup von Antivir, oder mehrere) und das ungewollte aufrufen von IE und Firefox hat im Moment auch aufgehört und das System ist halbwegs schnell. Soll ich trotzdem noch weiterscannen, oder brauche ich das nicht? [b]/edit: Ich nehme alles zurück... ist wieder wie vorher, seitdem ich Spybot S&D runtergeladen habe. Den lasse ich jetzt auch immer das Hinzufügen zweier Registrierungsschlüssel verhindern, einer davon heißt "gebxy". |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 02:59 Uhr. |
Copyright ©2000-2025, Trojaner-Board