Vundo-Befall evtl. schon selbst bereinigt?
 

Hallo ihr tüchtigen Helfer!

Nachdem ich es eigentlich besser wissen sollte, habe ich eine aus nicht sicherer Quelle stammende exe ausgeführt :aplaus:.
Daraufhin verschwand die Datei selbst, es wurden die beiden gefälschten Microsoft-Links auf dem Desktop erstellt, C:\ und "Eigene Dateien" wurden mit tmp-Dateien überhäuft, es entstanden auffällige, schreibgeschützte dlls im Systemordner und gefälschte Fehlermeldungen erschienen.
Außerdem war die Systemperformance völlig am Hund und einige bekannte Prozesse liefen ständig bei 20-30% Last.

Nachdem ich im Internet gesucht und (vorbildlich :lach:) mehrere Threads in diesem super Forum studiert habe (bin wirklich begeistert von der Leistung hier), legte ich erstmal selbst Hand an.

Hier mal stichpunktartig das Geschehen:

1.- zum Zeitpunkt des Befalls hatte ich Ashampoo AntiVirus installiert (aus mehreren Gründen sehr enttäuscht und wieder zu Avira gewechselt)
2.- tmp-Dateien und gefälschte Desktop-Links manuell gelöscht
3.- Systemscan mit Ashampoo AV mit mäßigem Erfolg
4.- Spybot und Ad-Aware laufen und fixen lassen
5.- Säuberung mit VundoFix v6.7.8 (ca. 10 Dateien entfernt, urqqpoo.dll erst nach zweitem Neustart)
6.- System vermeintlich sauber, doch dann hat sich Vundo sofort wieder komplett reproduziert
7.- Ashampoo durch Avira AntiVir ersetzt, anschließend kompletter Systemscan mit sehr vielen Funden
8.- Registry- und Datei-Säuberung mit CCleaner
9.- Säuberung mit VundoFix v6.7.8 (ca. 10 Dateien entfernt, urqqpoo.dll wieder erst nach zweitem Neustart)
10.- Rundll-Meldung "Fehler beim Laden von C:\Windows\System32\pvldhpst.dll"
11.- Registry- und Datei-Säuberung mit CCleaner
12.- seitdem habe ich Ruhe, zumindest aus meiner Sicht

Da Eure oft empfohlene Verwendung von Avenger und/oder ComboFix imho immer spezifisch abläuft, wäre ich Euch dankbar, wenn Ihr bitte mal mein HJT-Log anschauen könntet, ob da noch was zu machen ist.

Ich werde Windows neu installieren, doch ist es wirklich so, dass auch von anderen Partitionen (z.B. Eigene Dateien) noch eine Gefahr ausgeht?
Könnten eigentlich auch Keylogger Bestandteil solcher Trojaner sein?

Vielen Dank im Voraus!!!

Andy

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:47:42, on 11.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\nVidia\nTune\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programme\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
C:\WINDOWS\CTHELPER.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\Rundll32.exe
D:\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\DrvMon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avnotify.exe
C:\WINDOWS\system32\rundll32.exe
D:\Mozilla Firefox\firefox.exe
D:\HJT\Franz.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.nefkom.info/StillAnotherPlace/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {350EB50C-9753-41CE-A57E-0721234425A1} - (no file)
O2 - BHO: {77ea91e9-447b-0de9-dff4-29281e9dae55} - {55ead9e1-8292-4ffd-9ed0-b7449e19ae77} - (no file)
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)
O2 - BHO: (no name) - {9A123C16-4EA6-4DFE-955B-D3E93452D612} - (no file)
O2 - BHO: (no name) - {9C571119-5B1D-4D1E-A7E7-7D7549E9E0A4} - (no file)
O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController
O4 - HKLM\..\Run: [USBToolTip] "C:\Programme\Pinnacle\Shared Files\\Programs\USBTip\USBTip.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [amd_dc_opt] "D:\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CTSysVol] D:\Creative\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "D:\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [IncrediMail] D:\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DrvMon.exe] C:\WINDOWS\system32\DrvMon.exe
O4 - HKCU\..\Run: [NVIDIA nTune] "D:\nVidia\nTune\nTune\nTuneCmd.exe" clear
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'Default user')
O4 - Startup: NaturalColorLoad.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = D:\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - h**p://www.creative.com/su/ocx/15026/CTSUEng.cab
O16 - DPF: {2AF5BD25-90C5-4EEC-88C5-B44DC2905D8B} (Steuerung des DownloadManager ) - h**p://dlmanager.akamaitools.com.edgesuite.net/dlmanager/versions/activex/dlm-activex-2.0.5.1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1179417989937
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - h**p://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - h**p://www.creative.com/su2/CTL_V02002/ocx/15031/CTPID.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - D:\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NMIndexingService - Unknown owner - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe (file missing)
O23 - Service: nTune Service (nTuneService) - NVIDIA - D:\nVidia\nTune\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 7352 bytes

Halli hallo Andy.

Schön, dass du die Boardregeln so vorbildlich befolgst und dir selber viel Mühe gibst! :daumenhoc

Fixe bitte mit Hijackthis alle .....(no file) und ....(file missing) Einträge.

Danach führe dises Tool im abgesicherten Modus aus und poste anschließen das log.

Wenn der auch nichts findet sollte es das gewesen sein...

Wenn du ganz sicher gehen möchtest könntest du nochmal combofix laufen lassen.. das ist aber mit einem gewissen Risiko behaftet. Musst du selbst entscheiden..

Das ein Keylogger oder sonstiges mitgeladen wurde ist eher unwahrscheinlich.