Trojaner-Board - prova virus /trojan? ZA meldet: sistray.exe, rasautou.exe

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - prova virus /trojan? ZA meldet: sistray.exe, rasautou.exe (https://www.trojaner-board.de/53673-prova-virus-trojan-za-meldet-sistray-exe-rasautou-exe.html)

prova virus /trojan? ZA meldet: sistray.exe, rasautou.exe

Hallo Trojaner-Board,
mein erstes Forum, bitte schon mal um Nachsicht und Geduld. Schritt für Schritt erklären, bei "starte mal im abgesicherten modus und deaktiviere die Systemwiederherstellung" entstehen nur :confused: und Handlungsunfähigkeit :) Danke.

Meldungen von ZoneAlarm (Windows Vista):
...? versucht auf das Internet zuzugreifen. sistray.exe
Remotezugriffswählhilfe versucht.. rasautou.exe
Aufgabenplanungsmodul versucht.. taskeng.exe
Lokaler Sitzungs-Manager-Dienst versucht... lsm.exe
Windows-Explorer versucht... explorer.exe
Client-Server-Laufzeitprozess versucht... csrss.exe.

Bin bis zum HJT gekommen. Laut Info im Internet taucht PROVA im italienischsprachigen Raum auf. Das könnte ich mir dann über italienische hotmail.com E-Mail eingefangen haben, obwohl ich nichts geöffnet habe.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 00:41:12, on 08.06.2008

Platform: Windows Vista  (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16643)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Windows\system32\taskeng.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\SiS VGA Utilities\SiSTray.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\FSC\Wireless Utility\WirelessSelector.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\HiJackThis\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.fujitsu-siemens.com/index2

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O1 - Hosts: ::1 localhost

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [Skytel] Skytel.exe

O4 - HKLM\..\Run: [SiSTray] %ProgramFiles%\SiS VGA Utilities\SiSTray.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"16:48 08.06.200816:49 08.06.2008

O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: WirelessSelector.lnk = ?

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O13 - Gopher Prefix: 

O17 - HKLM\System\CCS\Services\Tcpip\..\{ABCDC747-9E5A-47D2-ABED-F398F5717340}: NameServer = 213.209.104.220 213.209.104.250

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\Windows\System32\ZoneLabs\vsmon.exe
 

--

End of file - 5212 bytes

Gruß tintin

Hi,

Bitte mal folgende datei bei virustotal überprüfen,ergebniss hier posten:

C:\Program Files\SiS VGA Utilities\SiSTray.exe

Lasse bitte Malwarebytes Antimalware laufen,poste das ergebnis und mache im anschluss nen onlinescan mit housecall. ebenso ergebnis hier posten.

gruß

schrauber

Hallo, danke für die schnelle Antwort!

Virus Total:

Code:

Antivirus          Version          letzte aktualisierung          Ergebnis

AhnLab-V3        2008.5.30.1        2008.06.05        -

AntiVir        7.8.0.55        2008.06.06        -

Authentium        5.1.0.4        2008.06.08        -

Avast        4.8.1195.0        2008.06.08        -

AVG        7.5.0.516        2008.06.07        -

BitDefender        7.2        2008.06.08        -

CAT-QuickHeal        9.50        2008.06.07        -

ClamAV        0.92.1        2008.06.08        -

DrWeb        4.44.0.09170        2008.06.08        -

eSafe        7.0.15.0        2008.06.05        -

eTrust-Vet        31.6.5858        2008.06.08        -

Ewido        4.0        2008.06.08        -

F-Prot        4.4.4.56        2008.06.08        -

F-Secure        6.70.13260.0        2008.06.08        -

Fortinet        3.14.0.0        2008.06.08        -

GData        2.0.7306.1023        2008.06.08        -

Ikarus        T3.1.1.26.0        2008.06.08        -

Kaspersky        7.0.0.125        2008.06.08        -

McAfee        5312        2008.06.06        -

Microsoft        1.3604        2008.06.08        -

NOD32v2        3165        2008.06.06        -

Norman        5.80.02        2008.06.06        -

Panda        9.0.0.4        2008.06.08        -

Prevx1        V2        2008.06.08        Malicious Software

Rising        20.47.42.00        2008.06.06        -

Sophos        4.30.0        2008.06.08        -

Sunbelt        3.0.1145.1        2008.06.05        -

Symantec        10        2008.06.08        -

TheHacker        6.2.92.339        2008.06.07        -

VBA32        3.12.6.7        2008.06.08        -

VirusBuster        4.3.26:9        2008.06.08        -

Webwasher-Gateway        6.6.2        2008.06.08        -

weitere Informationen

File size: 552960 bytes

MD5...: 676f4b16d650d783d8b6701cd9f72239

SHA1..: e55e2a56b96676a7cd8f10c04ec87931c7b4d33b

SHA256: b968c981388e68dff9381b02a3e2c5522fa5e02a9c61dc38a9a00d6526184129

SHA512: 6668735433a8280408a7548ba7af31d2bde442253b3446cc10558148b7fbc080

7b25b7fd3c8f918b9e0dbd7c68cf064f1b26e3c7755ae7bc4d751b0eeab8ca8c

PEiD..: -

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x48502e

timedatestamp.....: 0x46c13d9b (Tue Aug 14 05:28:59 2007)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x2000 0x83034 0x84000 7.00 099e4f877abe6277ebb02e982b2bcf1d

.rsrc 0x86000 0xb38 0x1000 3.92 c1acdc5bd111ab34d129bb3d5ab368b6

.reloc 0x88000 0xc 0x1000 0.02 5cc6fe241894dbdca22f878a1f00efc4
 

( 1 imports )

> mscoree.dll: _CorExeMain
 

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=7D25CD8500BF5A8570F7082D4A601F008C2F8AE3

Während des Postens versuchte sistray.exe auf das Internet zuzugreifen.

Malwarebyte:

kein Befund

MSASCui.exe versuchte auf das Internet zuzugreifen. Habe ich verweigert, weil ich das in dem Moment nicht zuordnen konnte.

HouseCall konnte ich nicht durchführen. Mußte Java installieren :( Nach Neustart war das Feld mit Einstellungen für Wählverbindungen offen. Hatte nichts geöffnet.

Java (TmM) Platform SE binary versucht auf das Internet zuzugreifen.
jusched.exe auch und habe dem IP-Konfigurationsprogramm zugestimmt, nachdem HouseCall noch Daten fehlten, habe ich nachträglich in ZA wieder gesperrt.
Beim Versuch Daten aus dem Internet zu übertragen ist ein Fehler aufgetreten! Soll Trend Mirco HouseCall erneut versuchen, die benötigten Daten zu übertragen? Klicke vergeblich auf okay.

Guten Morgen! Heute morgen konnte ich HouseCall (Schnellauswahl) durchführen lassen:

Scanning and Cleaning Complete

HouseCall did not find any potential threats on your computer.

Soll ich die erweiterte Auswahl laufen lassen?

jepp,

immer komplett scannen lassen.

gruß

schrauber

und scan nochmal mit counterspy:

Lade die 15 Tage kostenlose Trialversion von CounterSpy V2 von Sunbelt herunter. Counterspy V2 ist ein Programm, dass Adware und Spyware findet und löscht. Das Programm ist geeignet für Windows 98/ME/2000/XP/2003/Vista. Drucke Dir die Anleitung evtl. aus, da Du während der Reinigung keine Verbindung zum Internet haben wirst.

Update das Programm online (Geduld, das kann eine Weile dauern).
Klicke links auf "System Scan" und setze Häkchen bei Full System, Low Risk Programs, Cookies und bei Save Options.
Beende die Internet-Verbindung.
Starte Deinen Rechner neu in den abgesicherten Modus (Hinweise zum Wie findest Du weiter unten).
Scanne nun Deinen Rechner (Scan Now) mit CounterSpy (das Fenster sieht im abgesicherten Modus etwas anders, nicht wundern). Auch hier ist wieder Geduld gefragt, denn ein kompletter Scan dauert je nach Belegung der Festplatten u. U. mehrere Stunden.
Wenn der Scan fertig ist, klicke bitte auf den Button "Results".
Du musst nun Counterspy sagen, was es mit den Funden machen soll, dazu

Recommended Action auf REMOVE (= entfernen) umstellen, damit Counterspy weiß, was es mit der Malware machen soll.

Vorhanden sind folgende Möglichkeiten:
Ignore
Quarantine
Remove (das wählen!)

Dann musst Du noch auf den Button 'Clean' klicken, den Du unten rechts im Bild siehst. Wenn Du das nicht machst, weiß CounterSpy nicht, dass es eine Handlung vornehmen soll.
Wenn die Behandlung der Malware abgeschlossen ist, zeigt CounterSpy Dir das Ergebnis des Scans.

CounterSpy entfernt mit einem Durchgang immer nur einen Teil der Malware vom System. Wiederhole den Scan im abgesicherten Modus so oft, bis Counterspy keine Funde mehr anzeigt. Starte den Rechner anschließend neu in den normalen Modus.

Logfiles finden:
Starte Counterspy V2
klicke oben im Menü auf View => System Scan => View System Scan History => dort unten rechts => View full details of scan'.
Es erscheint ein Fenster mit allen Scanergebnissen (Scan History).
Markiere das Ergebnis des ersten Scans und klicke unten rechts auf => View full details of scan...
In dem aufpoppenden Fenster 'Scan History Details' steht das Scan Ergebnis mit allen Details, was an Malware auf Deinem Rechner gefunden und gelöscht worden ist.
Dieses Ergebnis mit STRG + A markieren und mit STRG + C ins Clipboard kopieren.
Mit STRG + V die Ergebnisse hier in den Thread reinkopieren.
Dies ist das erste Logfile von CounterSpy, das wir im Forum unbedingt sehen müssen, um zu erfahren, was auf Deinem System gefunden und gelöscht wurde.
Poste bitte auf die gleiche Weise die Ergebnisse der weiteren Scans, die evtl. gemacht wurden, in diesem Thread.

===== Hinweise zum Arbeiten im abgesicherten Modus

Neustart des Computers
Vor dem Start von Windows mehrfach die Taste "F8" betätigen, um in das erweiterte Windows-Startmenü zu gelangen.
Auf einem Computer, der für das Starten mit mehreren Betriebssystemen konfiguriert ist, bei Anzeige des Auswahlmenüs die Taste "F8" drücken.
Im erweiterten Windows-Startmenü wähle die über die Pfeiltasten die Option "Abgesicherter Modus" und drücke die Eingabetaste. Starte Deinen Rechner neu, um wieder in den normalen Modus zu kommen.

===== Nach dem ersten Durchlauf von Counterspy bitte die Systemwiederherstellung deaktivieren und wieder reaktivieren, damit alle alten Systemwiederherstellungspunkte (und die dazugehörigen alten Dateien) gelöscht werden. Systemwiederherstellung deaktivieren und wieder aktivieren:

Windows XP: Deaktiviere die Systemwiederherstellung
Start => ausführen => tippe sysdm.cpl => Ok oder Enter drücken
Wähle den Reiter Systemwiederherstellung
Mache einen Haken bei "Systemwiederherstellung auf allen Laufwerken deaktivieren" => drücke "übernehmen"
der Rechner rattert eine Weile heftig vor sich hin, wenn er fertig ist,
den Haken wieder entfernen und OK drücken
wahlweise kannst Du die Systemwiederherstellung für einzelne Partitionen ausschalten (ich persönlich habe die SWH nur auf C: aktiv und bei allen zusätzlichen Partitionen/Laufwerken deaktiviert).

Danach ggfs. noch einmal Counterspy laufen lassen, falls beim ersten Durchlauf Funde gemacht wurde.

gruß

schrauber

Hallo,

vielen Dank für die ausführliche Beschreibung! Hatte erst jetzt die Zeit und Ruhe, alles abzuarbeiten. Ich dachte, ich würde länger brauchen.

HouseCall Komplettscan:

Scanning and Cleaning Complete

HouseCall did not find any potential threats on your computer. Make sure you run HouseCall once a week to keep your PC clean and malware free.

CounterSpy V2 (2x laufen lassen):

Scan History Details
Start Date: 14.06.2008 22:19:19
End Date: 14.06.2008 22:47:00
Total Time: 27 Min 41 Sec
Detected security risks
No risks were found during this scan.

Scan History Details
Start Date: 15.06.2008 00:27:06
End Date: 15.06.2008 00:54:45
Total Time: 27 Min 39 Sec
Detected security risks
No risks were found during this scan.

"Nach dem ersten Durchlauf von Counterspy bitte die Systemwiederherstellung deaktivieren und wieder reaktivieren." Im abgesicherten Modus? Konnte ich ohnehin nicht tun, da fehlender Reiter (oder ich konnte ihn partout nicht finden?). Habe demnach die Systemwiederherstellung im normalen Modus deaktiviert und wieder aktiviert.

Gruß

tintin