TR/Crypt.XPACK.Gen ?? Einigermaßen verzweifelt..
 

Hallo,
Ich scheine einen einigermaßen resistenten Trojaner auf meinem PC, besser gesagt meiner Virtuelllen Win XP maschine auf meinem Mac zu haben. AntiVir hat "TR/Crypt.XPACK.Gen" gefunden und gelöscht. Gebracht hat das garnichts, und jetzt findet es garnichts mehr.
Mein Desktophintergrund wude geändert. Die Startseite des IE wurde geändert, es wurden Verknüpfungen zu angeblichen "Spyware Removern" auf meinem Desktop erstellt, Es poppen ständig "Windows Security Alert" Warndmeldungen auf, die mich zum installieren von "Anti Spyware" Software auffornder...
was kann ich machen??
Gibt es überhaupt noch eine alternative zu Format C: ?
vielen Dank.

Edit: Ja, ich hab auch schon Gegooglet und auch hier im Forum gesucht, aber aufgrund wiedersprüchlicher Ergebnisse frage ich nochmal hier.

Logfile of HijackThis v1.99.1
Scan saved at 17:50:10, on 13.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Parallels\Parallels Tools\ParallelsToolsCenter.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Parallels\Parallels Tools\cohrence.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Parallels\Parallels Tools\toolsrv.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe
C:\Dokumente und Einstellungen\Jürgen\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
O2 - BHO: DVA Media - {9D3ECC02-37FA-4CE8-868A-165D2FAB7AFD} - C:\WINDOWS\temlxopqpfg.dll (file missing)
O3 - Toolbar: vnbptxlf - {3A8CCF72-E368-44C8-9666-94ED3897F08D} - C:\WINDOWS\vnbptxlf.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Parallels Tools] C:\Programme\Parallels\Parallels Tools\ParallelsToolsCenter.exe
O4 - HKLM\..\Run: [SharedInternetApplication] "C:\Programme\Parallels\Parallels Tools\SIA\sharedintapp.exe" /start
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O21 - SSODL: qdnkewfa - {CE89819B-52C3-495C-B64C-3FE54DA916CF} - C:\WINDOWS\qdnkewfa.dll
O21 - SSODL: mgsvflkw - {25B1392D-1929-42F0-8B63-E53AE5F03D52} - C:\WINDOWS\mgsvflkw.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Parallels Coherence Service (cohrence) - Parallels Software International, Inc. - C:\Programme\Parallels\Parallels Tools\cohrence.exe
O23 - Service: Parallels Tools Utility Service (toolsrv) - Parallels Software International, Inc. - C:\Programme\Parallels\Parallels Tools\toolsrv.exe

Hi,

here we go:
C:\WINDOWS\vnbptxlf.dll
->VNBPTXLF.DLL - Threat report!

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
(eventuelle Umleitung Deiner Startpage)

Die sind nicht so einfach zu entfernen:
O21 - SSODL: qdnkewfa - {CE89819B-52C3-495C-B64C-3FE54DA916CF} - C:\WINDOWS\qdnkewfa.dll
und
O21 - SSODL: mgsvflkw - {25B1392D-1929-42F0-8B63-E53AE5F03D52} - C:\WINDOWS\mgsvflkw.dll

Frage:
Kein Backup der virtuellen Maschine zum einfach drüberbügeln?

chris

nein, hab leider kein backup, und ich bin auch auf die funktionsfähigkeit meiner VM angewiesen. Trotzdem Danke schonmal. Weiß jemand anderes noch eine Lösung?

Hallo,
Ich bilde mir ein, den Trojaner durch das Tool "SmitfraudFix" eliminiert zu haben. Habe nochmal ein HijackThis Log gemacht. Könnte bitte nochmal jemand schauen, ob er noch irgendwelche Hinweise auf boshafte Software im Log findet?
währe sehr nett.
Danke.

Logfile of HijackThis v1.99.1
Scan saved at 21:37:16, on 13.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Parallels\Parallels Tools\ParallelsToolsCenter.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\InCode Solutions\RemoveIT Pro v4-Trial\removeit.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Parallels\Parallels Tools\cohrence.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Parallels\Parallels Tools\toolsrv.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\Jürgen\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: DVA Media - {9D3ECC02-37FA-4CE8-868A-165D2FAB7AFD} - C:\WINDOWS\temlxopqpfg.dll (file missing)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Parallels Tools] C:\Programme\Parallels\Parallels Tools\ParallelsToolsCenter.exe
O4 - HKLM\..\Run: [SharedInternetApplication] "C:\Programme\Parallels\Parallels Tools\SIA\sharedintapp.exe" /start
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [RemoveIT Pro XT] C:\Programme\InCode Solutions\RemoveIT Pro v4-Trial\removeit.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Parallels Coherence Service (cohrence) - Parallels Software International, Inc. - C:\Programme\Parallels\Parallels Tools\cohrence.exe
O23 - Service: Parallels Tools Utility Service (toolsrv) - Parallels Software International, Inc. - C:\Programme\Parallels\Parallels Tools\toolsrv.exe

Hi,

sieht OK aus,
fixe mit HJ noch folgenden Eintrag:
O2 - BHO: DVA Media - {9D3ECC02-37FA-4CE8-868A-165D2FAB7AFD} - C:\WINDOWS\temlxopqpfg.dll (file missing)

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor diese Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
(Achtung: Alle Anwendungen bis auf HJ müssen geschlossen sein!)
Abschließend noch ein Scan mit Dr. Web:
Anleitung: http://www.trojaner-board.de/showthread.php?t=59299


Stelle Avira aggressiver ein:
http://www.trojaner-board.de/showthread.php?t=54192

Chris
Ps.: Hätte sonst heute die Dinger mit Dir zusammen entfernt...