Trojan-Downloader.Win32.Agent.akfx
 

Hallo,
Ich habe den G-data internetsecurity Pcwelt edition und den ad-aware auf meinen Pc. Wenn ich jetzt den g-data durchlaufen lasse findet er keine viren lass ich aber den ad-awre durchlaufen dann meldet mir der g-data auf einmal einen trojaner und will ihn in quarantäne stellen.Esrt wenn ich dies bestätige und der trojaner dann in quarantäne ist erst dann läuft der ad-aware weiter. ist irgenwie komisch oder nicht!? Naja auf jeden fall habe ich jetzt nen trojaner on board und will ihn wieder losswerden....
ich hab hier mal HJT durchlaufen lassen...
kann mir vll. jmd sagen ob sich da etwas engeschlichen hat ??

Datei:
A0025016.exe
Verzeichnis:
C:\System Volume Information\_restore{298FFCF7-01D8-47CA-8560-8C7CDC0608D0}\RP57



LG
CS.

Hallo crystalstyle
Du solltest eTrust Pest Patrol und AdAware deinstallieren! AdAware war mal gut ist es jetzt aber bei weitem nicht mehr und steht außerdem auf meiner persönlichen Fraud-Tool Liste..

Räume nach der Deinstallation mit dem cCleaner auf (Punlte 1&2).

Scanne deinen Rechner danach mit Anti-Malware und SuperAntiSpyware und poste die logs.

Hallo und erst mal vielen dank für die schnelle Antwort, ich wollte nur dazu sagen das ich den trojaner unter quarantäne gesetzt habe und wenn ich dir dann die logs schicke dieser bestimmt nicht zu sehen ist oder? Soll ich ihn zuvor wieder zurücksetzen bevor ich den Rechner scanne oder soll ich ihn unter quarantäne lassen?

LG

Einfach alles so lassen und so vorgehen wie ich es dir gepostet habe.. ;)

Also...


mbam-log
Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1337
Windows 5.1.2600 Service Pack 3

29.10.2008 23:46:30
mbam-log-2008-10-29 (23-46-26).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|G:\|H:\|I:\|)
Durchsuchte Objekte: 183327
Laufzeit: 1 hour(s), 36 minute(s), 11 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\AVS (Rogue.AntiVirusSentry) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


SUPERAntiSpyware Scan Log
SUPERAntiSpyware.com - AntiAdware, AntiSpyware, AntiMalware!

Generated 10/30/2008 at 10:23 AM

Application Version : 4.21.1004

Core Rules Database Version : 3615
Trace Rules Database Version: 1601

Scan type : Complete Scan
Total Scan Time : 01:42:11

Memory items scanned : 389
Memory threats detected : 0
Registry items scanned : 4888
Registry threats detected : 0
File items scanned : 151070
File threats detected : 8

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@doubleclick[1].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@adfarm1.adition[1].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@bs.serving-sys[1].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@msnportal.112.2o7[1].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@atdmt[1].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@ad.yieldmanager[2].txt
C:\Dokumente und Einstellungen\M4RkY\Cookies\m4rky@serving-sys[1].txt

Rogue.AntiSpyBoss-FakeThreats
C:\DOKUMENTE UND EINSTELLUNGEN\M4RKY\DESKTOP\ALL\SOFTWARE\WM9_CODEC_XP_AB_7.1\WM9CODECS.EXE

E-Pest patrol und ad aware ist acuh deinstalliert

Und Rogue.AntiSpyBoss-FakeThreats habe ich nie installiert was ist das und wie bekomm ich es weg?

Lg

crystalstyle

Hast du die MBA Funde löschen lassen?

sorry habe das log ausversehen vorm löschen kopiert

Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1337
Windows 5.1.2600 Service Pack 3

29.10.2008 23:46:50
mbam-log-2008-10-29 (23-46-50).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|G:\|H:\|I:\|)
Durchsuchte Objekte: 183327
Laufzeit: 1 hour(s), 36 minute(s), 11 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\AVS (Rogue.AntiVirusSentry) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Gut, dann poste bitte ein frisches HJT log.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:32:37, on 30.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVK\AVKService.exe
C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVK\AVKWCtl.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Firewall\GDFwSvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Firewall\GDFirewallTray.exe
C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVKTray\AVKTray.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programme\Desktop Maestro\deskmech.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
C:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.msn.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,c:\programme\g data internetsecurity pc-welt-edition\avkkid\avkcks.exe
O2 - BHO: G DATA WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Webfilter\AVKWebIE.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\4.1.805.4472\swg.dll
O2 - BHO: IXQUICKTB - {C5CAA6CD-8EE4-40a3-92E0-385561406C50} - C:\PROGRA~1\IXQUIC~1\tbu07925\ix_quick.dll
O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Webfilter\AVKWebIE.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: Ixquick Toolbar - {70F241F6-52AB-4D45-993E-C1C09920095B} - C:\Programme\Ixquick Toolbar\tbu07925\ix_quick.dll
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [GDFirewallTray] C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Firewall\GDFirewallTray.exe
O4 - HKLM\..\Run: [AVKTray] "C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PCTVRemote] C:\Programme\Pinnacle\PCTV Stereo\Remote\Remoterm.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKCU\..\Run: [DesktopMaestro] C:\Programme\Desktop Maestro\deskmech.exe /H
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: G DATA Firewall Tray.lnk = ?
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: G DATA AntiVirus Proxy (AVKProxy) - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: G DATA Scheduler (AVKService) - G DATA Software AG - C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVK\AVKService.exe
O23 - Service: AntiVirus Wächter (AVKWCtl) - G DATA Software AG - C:\Programme\G DATA InternetSecurity PC-WELT-Edition\AVK\AVKWCtl.exe
O23 - Service: G DATA Personal Firewall (GDFwSvc) - G DATA Software AG - C:\Programme\G DATA InternetSecurity PC-WELT-Edition\Firewall\GDFwSvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe

--
End of file - 7083 bytes

Das sieht gut aus. Gibt's noch Probleme?

Probleme eigentlich weniger bis auf das der i-net explorer manchmal etwas länger dauert wenn ich etwas länger surfe, aber was ist jetzt mit dem virus was soll ich da tun? De win32 Agent.akfx ist nach wie vor in quarantäne und der super antispyware hat ja auch etwas gefunden das noch in quarantäne ist z.b. \WM9_CODEC _XP_AB_7.1\WM9CODECS.EXE

Soll ich diese dateien einfach löschen,und sind sie dann auch sicher weg?

Lg
crystalstyle

Den Internet Eyplorer solltest du nicht nutzen. Nimm lieber FireFox.

Quarantäne kannst du löschen, ja.

Wenn der Rechner nochmal auffällig wird dann melde dich.

Ok mach ich,danke vielmals

LG