Trojaner-Board - tr/vundo.gen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - tr/vundo.gen (https://www.trojaner-board.de/55245-tr-vundo-gen.html)

hallo da!

mal wieder ein neuling mit ohne ahnung :(

bekomme seit neuestem alle zwei sekunden ein pop-up von meinem antivir-guard mit folgender info:

"g:\windows\system32\ssqriypq.dll
ist das trojanische pferd tr/vundo.gen"

und weder löschen noch in quarantäne verschieben behebt das problem, wie gesagt, die meldung kommt andauernd wieder...

habe hier im board auch schon das programm vundofix.exe gefunden, runtergeladen und ausprobiert, jedoch ohne erfolg. daher poste ich jetzt mal das log-file von hijackthis und hoffe, dass jemand sich die mühe macht, mir zu helfen...

danke im voraus,
marv

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:32:59, on 2.7.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
G:\WINDOWS\Explorer.EXE
G:\Programme\Spyware Terminator\SpywareTerminatorShield.exe
G:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe
G:\Programme\NetMeter\NetMeter.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
G:\WINDOWS\system32\nvsvc32.exe
G:\Programme\Spyware Terminator\sp_rsser.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\system32\rundll32.exe
G:\WINDOWS\system32\rundll32.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
G:\Dokumente und Einstellungen\***\Desktop\HiJackThis.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - G:\Programme\Crawler\ctbr.dll
O2 - BHO: (no name) - {D7765436-2C51-4121-8BC0-3E33743F9AF8} - G:\WINDOWS\system32\ssqRIYpq.dll
O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - G:\Programme\Crawler\ctbr.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE G:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avgnt] "G:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SpywareTerminator] "G:\Programme\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Samsung PanelMgr] G:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe /autorun
O4 - HKCU\..\Run: [G:\Programme\NetMeter\NetMeter.exe] G:\Programme\NetMeter\NetMeter.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = G:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - G:\Programme\Crawler\ctbr.dll
O20 - Winlogon Notify: awtrsstQ - G:\WINDOWS\SYSTEM32\awtrsstQ.dll
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - G:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - G:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NMIndexingService - Nero AG - G:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - G:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - G:\Programme\Spyware Terminator\sp_rsser.exe

--
End of file - 3447 bytes

Hallo und :hallo:

Lade dir das Tool Avenger und kopiere folgenden Text in die weiße Textbox:

Code:

Files to delete:

G:\WINDOWS\system32\ssqRIYpq.dll

G:\WINDOWS\SYSTEM32\awtrsstQ.dll

Der PC wird neu starten und danach sieht man ein Editorfenster.
Poste bitte den Kompletten Inhalt des Fensters.

Danach fixe in Hijackthis ALLE einträge mit (no name) und (file missing).

Lass anschließend noch Superantispyware und Malwarebytes scannen und poste die Reports.
Desweiteren poste zum Schluss ein frisches Logfile von Hijackthis

hatte den heute auch neben malware und 2 andren trojanern xD
hat alles gelöscht auser den drecks vundo -.-

hab den dann einfach mal mit suchen gesucht war tuvtuUOE.dll bei mir
wollten ihn umnennen und sagte halt er wird bereits genutzt, schnell das anti vir fenster geschlössen ( das mit löschen quarantäne etc )

und bevor die naechste meldung von antivir kam namen in Virus.dll geändert

seid dem kam von guard keine meldung mehr

hab dann mitm hauptprogramm scannen lassen die datei und hat halt wie immer den drecks Vundo.gen darin gefunden und mir wie schon so oft angeboten nachm restart den zu löschen .. wie oft ich das heute wohl schon gemacht habe -.-

komischer weise hat er die datei jetzt wirklich gelöscht Öö
zumindest findet er weder Virus.dll noch tuvtuUOE.dll

lass gerade mein anti vir wieder durchlaufen und hat bisjetzt nix gemeldet..

hab ich voll horst was vieren angeht grad den virus gekillt? Öö oder verarscht der mich scho wieder? XD

@Lupin eröffne bitte einen eigenen Thread, und gib mir den Link per PN, dann wird dir auch geholfen^^

hast mein beitrag gelesen ??

anscheinend hab ich den virus irgndwie gelöscht, zumindest wird nix mehr gefunden

danke ersma für die reaktionen/hilfe!

neben antivir, welches dauernd den "befall" meldete hab ich auch noch spyware-terminator im echtzeitschutz laufen, der wohl tiefergehenden zugriff des trojaner/virus verhinderte (im suchmodus allerdings nix anzeigte, hm...)

dann hab ich mich weiter durch foren gesucht und bin bei dem programm "superantispyware pro" gelandet, welches ich dann geladen und laufen lassen habe. dieses programm hat dann ordentlich zugepackt und einiges in die quarantäne geschoben (siehe grafik im anhang!)

danach gab antivir ruhe und auch bei erneutem deep-scan kam keine fehler/warn-meldung mehr. :aplaus:

auch sonst laufen alle programme und keine dateien sind gelöscht oder beschädigt.

so viel zu meinem problem,

grüße,
marv

Zitat:

Zitat von Lupin (Beitrag 351250)

hast mein beitrag gelesen ??

anscheinend hab ich den virus irgndwie gelöscht, zumindest wird nix mehr gefunden

Das ist ja schön und gut, trotzdem schreibt man nicht irgendwas in fremde Themen, dazu eröffnet man einen eigenen Thread!

@marvin:

Poste bitte noch das firsches Logfile von Hijackthis und lass zusätzlich noch Malwarebytes scannen und Poste den Report.

also,

folgend nochmal wie angeraten ein aktuelles log-file von malwarebytes:

Malwarebytes' Anti-Malware 1.19
Datenbank Version: 918
Windows 5.1.2600 Service Pack 2

15:03:59 3.7.2008
mbam-log-7-3-2008 (15-03-59).txt

Scan Art: Komplett Scan (G:\|)
Objekte gescannt: 55440
Scan Dauer: 5 minute(s), 19 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
G:\System Volume Information\_restore{DC11FAB7-74FD-41B3-ABC5-526A4C5E32BF}\RP78\A0012199.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

so, folgend das log-file von hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:05:05, on 3.7.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
G:\WINDOWS\Explorer.EXE
G:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
G:\WINDOWS\system32\nvsvc32.exe
G:\Programme\Spyware Terminator\sp_rsser.exe
G:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
G:\Programme\Spyware Terminator\SpywareTerminatorShield.exe
G:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe
G:\Programme\NetMeter\NetMeter.exe
G:\WINDOWS\system32\svchost.exe
G:\Dokumente und Einstellungen\***\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - G:\Programme\Crawler\ctbr.dll
O3 - Toolbar: &Crawler Toolbar - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - G:\Programme\Crawler\ctbr.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE G:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avgnt] "G:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SpywareTerminator] "G:\Programme\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Samsung PanelMgr] G:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe /autorun
O4 - HKCU\..\Run: [G:\Programme\NetMeter\NetMeter.exe] G:\Programme\NetMeter\NetMeter.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] G:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = G:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - G:\Programme\Crawler\ctbr.dll
O20 - Winlogon Notify: !SASWinLogon - G:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - G:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - G:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NMIndexingService - Nero AG - G:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - G:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - G:\Programme\Spyware Terminator\sp_rsser.exe

--
End of file - 3320 bytes

was sagt silverdragon dazu, bin ich jetzt wieder auf der sicheren seite?

grüße, rainer

Sieht alles sauber aus.
Gibts noch Probleme?

keine probleme mehr, alles läuft und läuft und läuft!

tausend dank an silverdragon für die unterstützung :aplaus:

grüße,
marv