Verlangsamen von Programmen und Laden von Internetseiten... --> Trojaner???
 

Hallo liebes Trojaner-Board,

hoffe, ihr könnt mir weiterhelfen...

Ich bin leider überhaupt kein Computerspezialist, habe aber einige Probleme die mich vermuten lassen, dass sich ein Trojaner bei mir eingeschlichen hat.

1. viele Programme laufen langsamer
2. Internetseiten lassen sich oft nur langsam laden
3. manchmal kommt es vor, dass mein Bildschirm komplett schwarz wird, nach ein paar Sekunden und Tastaturbetätigung erscheint das Bild wieder
4. im Taskmanager laufen (auch wenn ich wenige Programme geöffnet habe) sehr viele Prozesse, manche doppelt

Ich weiß leider nicht, welche der Prozesse man ohne Bedenken beenden kann und hoffe stark auf eure Hilfe!


Hier das logfile:

#
Falls ihr etwas Auffälliges entdeckt, sagt mir bitte wie ich das endgültig entfernen kann. (Bitte ganz einfach und deutlich erklärt - thnx!)

DANKE

Hallo

mach bitte zuerst alle versteckten Dateien und Ordner sichtbar.
Dann lass diese Dateien
(scheinen zusammen zu gehören)
hier Virustotal, hier virscan.org
oder hier Jotti überprüfen (kann einige Minuten dauern),
poste die Ergebnisse mit der Angabe der Größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben,
bitte auch wenn nichts gefunden wurde.

MFG

Hallo und vielen Dank erstmal...

so wie es aussieht, sind die beiden Dateien wirklich extremst gefährlich...

Ich poste dir hier die Ergebnisse (den Abschnitt mit den ERgebnissen der Antivirenprogramme wolltest du hier nicht, nur das Letzte mit der Dateigröße sowie die MD5 und SHA1 Angaben, oder?)

für die DAtei C:\WINDOWS\system32\secpol.exe:

und für die C:\WINDOWS\SYSTEM32\fsmgmt.dll:

Wie soll ich jetzt am Besten vorgehen, um die Dateien endgültig zu beseitigen? Und sind die restlichen Dateien unbedenklich gewesen?

Vielen Dank für die Hilfe,

Liebe Grüße

Hallo Salsera
Du solltest eigentlich auch die Meldungen der einzelnen Virenprogramme posten und zusätlich die SHA und MD5.
Es ist interresant um welchen Schädling es sich handelt, damit man sagen kann mit welchen Progi dagegen vorgegangen werden muss.

Hallo,

ich hab noch ne Frage:

ich möchte die Dateien mit Hijack fixen, die Datei secpol.exe wird aber in einer Zeile mit einer anderen Datei (userinit.exe), die mir unbedenklich erscheint angezeigt. Wenn ich das Häkchen davor mache, wird dann diese Datei mitgelöscht?

So sieht der Eintrag aus:

F2 - REG: system.ini: UserInit=C:\WINDOWS\system32\userinit.exe, C:\WINDOWS\system32\secpol.exe,

Bitte gebt mir Bescheid, wie ich das am Besten handhabe... möchte nichts löschen, was man noch braucht...

Danke!

Hallo,


das hab ich leider falsch verstanden... sorry... Die Datei secpol.exe habe ich schon gelöscht, weswegen ich die Datei nicht nocheinmal durchlaufen lassen kann. Nur tritt sie bei hijack noch immer auf weil ich das noch nicht "gefixt" habe, da ich mir unsicher war (siehe vorheriger Eintrag)

Für die fsmgmt.dll Datei poste ich dir das Ergebnis nocheinmal:

Was rätst du mir?

LG salsera

Wenn du schon etwas gelöscht hast, ist es nicht verkehrt, wenn du ein neues HJT-Log zeigen würdest.
Zur weiteren Entfernung muss dir dann aber @Nochdigger weiterhelfen.

Okay,
hier mein neues HJT-Log:

[code]
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:21:54, on 02.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\Java\jre1.5.0_03\bin\jusched.exe
C:\Dokumente und Einstellungen\XXXX\Desktop\Huawei technologies\Mobile Connect\Data\E220Util.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Live\Messenger\MsnMsgr.Exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Rainlendar2\Rainlendar2.exe
C:\Programme\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
C:\Programme\RALINK\Common\RaUI.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOKUME~1\XXXX\LOKALE~1\Temp\Temporäres Verzeichnis 6 für HiJackThis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\secpol.exe,
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [HUAWEI E220 UTIL] C:\Dokumente und Einstellungen\XXXX\Desktop\Huawei technologies\Mobile Connect\Data\E220Util.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Rainlendar2] C:\Programme\Rainlendar2\Rainlendar2.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 4.0\Distillr\AcroTray.exe
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Programme\RALINK\Common\RaUI.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{54CDAB6E-8B6C-47BB-B6B3-157942C2B729}: NameServer = 195.3.96.67,195.3.96.68
O18 - Protocol: t-mobile - (no CLSID) - (no file)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe

--
End of file - 4912 bytes
[\code]

Dann hoffe ich mal auf die Hilfe von @Nochdigger...

Also die Datei
Scheint ja noch vorhanden zu sein.
Gehe zu Virustotal und kopiere dort den o.g. phad direkt hinein und lade sie hoch.

Nein, das funktioniert leider nicht. Die Datei wird nicht gefunden und kann daher auch nicht übertragen werden.

Die Einzige ähnliche Datei, die ich noch finde ist C:\WINDOWS\system32\secopol.msc

Hallo

lass sie bitte auch auswerten, wie zuletzt;) ich will ja wissen um was es sich handelt.


Versuchen wir mal die Entfernung

deaktiviere zuerst bitte die Sytemwiederherstellung
Systemwiederherstellung

- wechsel anschließend in den abgesicherten Modus (beim start F8 drücken)
- starte Regedit (Start -> Ausführen -> - Regedit - eintippen -> Enter )
- suche diesen Schlüssel
und im rechten Fenster diesen Schlüssel
klick den Schlüssel im rechten Fenster mit der rechten Maustaste an und wähle " Ändern "
Lösche nur diesen Pfad
dann beende Regedit.
Suche nach dieser Datei
und lösche sie, anschließend leere den Mülleimer.
Deinstalliere bei der Gelegenheit bitte gleich alle alten Javaversionen.


Wechsel in den normalen Modus von Windows und erstelle einen eigenen Ordner für Hijackthis, dann entpacke das Programm dorthinein und erstelle ein frisches Log.

Führe ein Update deines Antivirenprogramms durch und mache einen Fullscan, dann berichte bitte.

Führe bitte auch einen Onlinescan durch z.B. hier
Kostenloser Online Virus und Spyware Scanner - Trend Micro Deutschland
Free Virus Scan - Kaspersky Lab
BitDefender Online Scanner - Free Online Virus Scan
F-Secure Support pages: F-Secure Online Virus Scanner

MFG

Hi,

Das hatte ich schon gemacht, hat aber nichts ergeben. ;-)



Hab alles gemacht, wie du gesagt hast, aber bei diesem Punkt gibt es wieder das Problem, dass sich die Datei nicht finden lässt... Ist sie dann doch nicht ganz eliminiert?


Mein Antivirenprogramm hat einige Dateien erkannt, die ich in den Container verschoben habe. Sind diese somit ausgeschaltet?
Die Dateien:
C:WINDOWS\system32\kavo.exe
C:WINDOWS\system32\kavo0.dll
C:WINDOWS\system32\kavo1.dll

Den Online Scan werde ich später durchführen und berichten.

Das neue Log:
LG

Moin

Warum nicht?

Warum nicht?
Wie groß war die Datei?

Lies die Anweisungen bitte etwas genauer....

Führ mal bitte folgende Tools bzw. Anleitungen aus und poste die Logfiles:

- ftp://ftp.f-secure.com/anti-virus/tools/fsbl.exe
- Silentrunners

Und mach bitte ein Filelist:

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

MFG

Hallo,

Hab die Datei secopol.msc nochmal auswerten lassen:

Onlinescan mit Kaspersky Lab ergab 2 gefundene Viren:
C:\Dokumente und Einstellungen\XXXX\Eigene Dateien\Eigene Musik\der ewige gartner.mp3 Infected: Trojan-Downloader.WMA.Wimad.n

C:\Programme\Alwil Software\Avast4\DATA\moved\NewServer[3].dll.vir Infected: Trojan-PSW.Win32.WOW.atw

Die Auswertungen der beiden Dateien ergaben:

1.
und
2.
Wie soll ich vorgehen, um die Dateien loszuwerden???

Ergebnis für F-Secure Blacklight waren keine versteckten Prozesse und Dateien.
Das Logfile für Silentrunner:

2. Teil der Nachricht:


Hier die ERgebnisse:

Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\temp
Verzeichnis von C:\DOKUME~1\Tanja\LOKALE~1\Temp

Verzeichnis von C:\WINDOWS\Prefetch
Bezüglich den Ordner Hijackthis, den hatte ich schon seit Beginn erstellt, das aktuelle Log:

So, ich hoffe dass ich jetzt deine Anweisungen richtig befolgt habe... ;-)

Bin gespannt auf deine Anleitung, wie ich meine "Problemkinder" beseitigen kann?

LG Salsera