|
Bitte mal Logfile prüfen, ist der Trojaner noch da ? Hallo, meine sygate-firewall bringt seit heute die Meldung das der WindowsExplorer eine Verbindung zu "acidisa.com. herstellen möchte. beim ersten Scan mit Spybot wurde ein Virtumonde-Trojaner ( C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\removalfile.bat ) gefunden und gelöscht. Adaware und Spybot haben nach einem Neustart keinen Befall mehr gefunden. Trotzdem taucht immer wieder obige Meldung auf wo der explorer die verbindung herstellen will. Kann es sein das der Trojaner immer noch auf meinem System ist obwohl beide Spywareprogramme nichts finden können ? Ich habe eben ein Protokoll mit Hijack erstellt und poste es hier mit der Bitte das jemand mal überprüft ob mein System sauber ist. Ich habe windows-XP-professional Servicepack 3. Antivir, Sygate Firewall und den Spybot-SD Resident mit Systemstart aktiv. hier also mein logfile: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:26:15, on 13.07.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Sygate\SPF\smc.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe C:\WINDOWS\CTHELPER.EXE C:\WINDOWS\system32\CTXFIHLP.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\Winamp\winampa.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\Programme\Skype\Phone\Skype.exe C:\WINDOWS\SYSTEM32\CTXFISPI.EXE C:\Programme\Skype\Plugin Manager\skypePM.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\system32\CTsvcCDA.EXE C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\pctspk.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = w*w.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {62D6DDA7-8FE9-47F1-B8E9-D1D0D3D9FF3A} - C:\WINDOWS\system32\ddcAroLD.dll O4 - HKLM\..\Run: [RCSystem] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" RCSystem * -Startup O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programme\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll" O4 - HKLM\..\Run: [VolPanel] "C:\Programme\Creative\Sound Blaster X-Fi\Volume Panel\VolPanel.exe" /r O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{8656036E-C8AD-4725-88EC-7889913C9F22}: NameServer = 62.109.123.7 213.191.92.86 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - Winlogon Notify: ddcAroLD - C:\WINDOWS\SYSTEM32\ddcAroLD.dll O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe -- End of file - 5887 bytes vielen dank im voraus :) @GC Sunny: Hoffe ich habe diesmal alles richtig gemacht. Falls nicht bitte um genauere Erklärung... |
Hallo, updatemäßig fehlt da noch mindestens der IE7! (Auch wenn man ihn nicht unbedingt nutzen sollte, sollte er aktuell sein.) C:\WINDOWS\system32\ddcAroLD.dll Diese Datei mal bitte bei virustotal.com auswerten lassen und alle Ergebnisse posten. Danach brauchen wir mehr Infos in Form von Logfiles, folge mal daher dem DSS-Link in meiner Signatur und poste die Logfiles (bitte mit Codetags umschlossen). |
Danke erstmal für die Antwort :) hier erstmal das resultat von virus total. ich verstehe es zwar nicht warum wurde aber mehrmals so angezeigt: File has already been analysed: MD5: First received: Date: Results: Permalink: habe ich was falsch gemacht? (Durchsuchen, Datei auswählen, Send File klicken) DSS folgt gleich |
Nein, das bedeuetet nur, daß diese Datei (mit der gleichen Prüfsumme) schonmal zu Virustotal zum scannen hochgeladen wurde. Da müsste es einen Link geben, um die Datei trotzdem nchmal scannen zu lassen. Mach das mal und poste dann die Resultate. |
hier die logfiles DSS: leider sind sie zu lange da musste ich splitten : MAIN I: Code: Deckard's System Scanner v20071014.68 |
MAIN II: Code: |
EXTRA: Code: Deckard's System Scanner v20071014.68 |
und hier das Ergebnis von Virustotal: Code: Datei ddcAroLD.dll empfangen 2008.07.13 13:44:13 (CET) |
Von der Sygate solltest Du Dich verabschieden, die wird schon seit einigen Jahren nicht mehr supportet - Windows-Firewall reicht dicke. Noch besser wäre das Verwenden eines Routers (Hardware-Firewall) wenn nicht schon vorhanden. Einige Sachen müssen gelöscht werden, geh dazu wie folgt vor: Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop: http://mitglied.lycos.de/efunction/tb/avenger.png 2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code: files to delete:4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. Führ danach mal bitte Malwarebytes aus. |
Hab alles so gemacht wie beschrieben. Nach der Ausführung von Avenger und Neustart : Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "C:\WINDOWS\system32\ddcAroLD.dll" deleted successfully. File "C:\WINDOWS\system32\wvUlLbAS.dll" deleted successfully. Driver "jbridgep" deleted successfully. Registry key "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{62D6DDA7-8FE9-47F1-B8E9-D1D0D3D9FF3A}" deleted successfully. Registry key "HKLM\software\microsoft\windows nt\currentversion\winlogon\notify\ddcAroLD" deleted successfully. Completed script processing. ******************* Finished! Terminate. dannach malwarebyte, konnte 2 infizierte Dateien finden und löschen: Malwarebytes' Anti-Malware 1.20 Datenbank Version: 944 Windows 5.1.2600 Service Pack 3 17:20:38 13.07.2008 mbam-log-7-13-2008 (17-20-33).txt Scan Art: Schnell Scan Objekte gescannt: 37342 Scan Dauer: 2 minute(s), 23 second(s) Infizierte Speicher Prozesse: 0 Infizierte Speicher Module: 0 Infizierte Registrierungsschlüssel: 1 Infizierte Registrierungswerte: 1 Infizierte Datei Objekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicher Prozesse: (Keine Malware Objekte gefunden) Infizierte Speicher Module: (Keine Malware Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_CLASSES_ROOT\CLSID\{62d6dda7-8fe9-47f1-b8e9-d1d0d3d9ff3a} (Trojan.Vundo) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{62d6dda7-8fe9-47f1-b8e9-d1d0d3d9ff3a} (Trojan.Vundo) -> No action taken. Infizierte Datei Objekte der Registrierung: (Keine Malware Objekte gefunden) Infizierte Verzeichnisse: (Keine Malware Objekte gefunden) Infizierte Dateien: (Keine Malware Objekte gefunden) dann neustart und nochmal malwarebyte: Datenbank Version: 944 Windows 5.1.2600 Service Pack 3 17:29:22 13.07.2008 mbam-log-7-13-2008 (17-29-22).txt Scan Art: Schnell Scan Objekte gescannt: 37312 Scan Dauer: 3 minute(s), 2 second(s) Infizierte Speicher Prozesse: 0 Infizierte Speicher Module: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Datei Objekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicher Prozesse: (Keine Malware Objekte gefunden) Infizierte Speicher Module: (Keine Malware Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine Malware Objekte gefunden) Infizierte Registrierungswerte: (Keine Malware Objekte gefunden) Infizierte Datei Objekte der Registrierung: (Keine Malware Objekte gefunden) Infizierte Verzeichnisse: (Keine Malware Objekte gefunden) Infizierte Dateien: (Keine Malware Objekte gefunden) ist mein system jetzt wieder ok ? vielen Dank im voraus ! |
Das sieht gut aus! :cool: Mach nochmal nen Durchlauf mit DSS, Du brauchst nur das main.log zu posten. |
MAIN I: Code: Deckard's System Scanner v20071014.68 |
MAIN II: Code: -- Find3M Report --------------------------------------------------------------- |
Ähm moment, Du solltest mit Malwarebytes eigentlich einen vollen und keinen schnellen Scan machen. Hol das bitte nach! |
Das mach ich dann morgen muss jetzt leider zur Arbeit :( ich poste dann das Ergebnis von Malwarebyte morgen früh. Nochmals vielen Dank für deine Hilfe und schönen Sonntag noch. Viele Grüße |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:03 Uhr. |
Copyright ©2000-2025, Trojaner-Board