Trojaner-Board - Spybot kann Win32.Agent.sxi nicht entfernen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Spybot kann Win32.Agent.sxi nicht entfernen (https://www.trojaner-board.de/64182-spybot-win32-agent-sxi-entfernen.html)

Spybot kann Win32.Agent.sxi nicht entfernen

Hallo!

Trotz Beachtung der üblichen Sicherheitsregeln scheine ich mir auf meinem Bürorechner einen Trojaner eingefangen zu haben. Zumindest meldete McAfee gestern den Befall von "res.dll" und "A0049273.dll" in der "System Volume Information" mit "New Malware.je". Die Dateien stehen jetzt unter Quarantäne. Auf den McAfee-Seiten habe ich dazu zunächst keine weiterhelfenden Infos gefunden.

Spybot (Ver. 1.6.0.30) erkannte dann den Trojaner "Win32.Agent.sxi". Das Beseitigen war zwar lt. Spybot erfolgreich, aber beim nächsten Scan findet sich der Schlingel wieder. Passend zur Beschreibung fand ich auf meinen USB-Sticks in letzter Zeit die Dateien "autorun.inf" und eine beliebige weitere dll, die ich jeweils entsorgt habe, ohne auf die Idee zu kommen, dass mein Rechner die Quelle ist :dummguck:

Das Recherchieren im Netz brachte bisher auch nur mäßig Erfolg, da ich keine exakte Übereinstimmung der Bezeichnungen fand und sich die Anleitungen zur Beseitigung doch sehr stark unterscheiden.

Ich poste daher nachfolgend ein HJT log-file und wäre für weiterführende Tipps sehr dankbar.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:00:09, on 11.11.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16735)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Network Associates\VirusScan\SHSTAT.EXE

C:\Programme\Network Associates\Common Framework\UpdaterUI.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe

C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe

C:\Programme\ScanSoft\PaperPort\pptd40nt.exe

C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe

C:\Programme\Java\jre1.6.0_07\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

C:\Programme\Network Associates\Common Framework\FrameworkService.exe

C:\Programme\Network Associates\VirusScan\Mcshield.exe

C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\lotus\notes\ntmulti.exe

C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Pmail\Programs\winpm-32.exe

C:\lotus\notes\NLNOTES.EXE

C:\lotus\notes\ntaskldr.EXE

C:\Programme\Adobe\Acrobat 6.0\Acrobat\Acrobat.exe

C:\WINDOWS\System32\WISPTIS.EXE

C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe"

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot

O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe

O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe

O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.XXX.de

O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de

O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.XXX.de

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.XXX.de

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

ciao,
waldi1979

Hi,

das HJ-Log gibt nichts her, außer das hier:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X
O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de

Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner?

MAM & RSIT:
Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris

Hi, Chris4You,

:dankeschoen: für die schnelle Antwort. Zunächst die einfachen Punkte:

>das HJ-Log gibt nichts her, außer das hier:
>O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X
>O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de

>Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner?

Einträge sind mir bekannt/von mir mit XXX editiert. "Geschäftlich" genutzt ist sicherlich übertrieben (Forschungseinrichtung). Mein Brötchengeber XXX hätte sich halt nur ungern in diesen Einträgen wiedergefunden ;-)

Ich arbeite jetzt die Anleitung ab ...

waldi1979

Hi,

anbei als Nachtrag die gewünschten log-files (ich hoffe, dass das jetzt minimiert erscheint):

MAM

Code:

Malwarebytes' Anti-Malware 1.30

Datenbank Version: 1382

Windows 5.1.2600 Service Pack 2
 

11.11.2008 15:28:53

mbam-log-2008-11-11 (15-28-53).txt
 

Scan-Methode: Vollständiger Scan (C:\|E:\|)

Durchsuchte Objekte: 199865

Laufzeit: 1 hour(s), 18 minute(s), 50 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 7

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_CLASSES_ROOT\cometcursor.cometcursor (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\cometcursor.cometcursor.1 (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Typelib\{3c0c31a2-70a2-11d1-b69e-444553540000} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

RSIT (log.txt)

Code:

Logfile of random's system information tool 1.04 (written by random/random)

Run by *** at 2008-11-11 15:31:27

Microsoft Windows XP Professional Service Pack 2

System drive C: has 47 GB (62%) free of 76 GB

Total RAM: 1015 MB (38% free)
 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:31:31, on 11.11.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16735)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Network Associates\VirusScan\SHSTAT.EXE

C:\Programme\Network Associates\Common Framework\UpdaterUI.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe

C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe

C:\Programme\ScanSoft\PaperPort\pptd40nt.exe

C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe

C:\Programme\Java\jre1.6.0_07\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

C:\Programme\Network Associates\Common Framework\FrameworkService.exe

C:\Programme\Network Associates\VirusScan\Mcshield.exe

C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\lotus\notes\ntmulti.exe

C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\WISPTIS.EXE

C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Dokumente und Einstellungen\welzel\Desktop\RSIT.exe

C:\Programme\Trend Micro\HijackThis\***.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe"

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot

O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe

O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe

O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Utils\Malwarebytes\mbamgui.exe /install /silent

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.***.de

O17 - HKLM\Software\..\Telephony: DomainName = intranet.***.de

O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.***.de

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.***.de

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

und RSIT (info.txt)

Code:

======Registry dump======
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]

AcroIEHlprObj Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll [2003-05-14 50376]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]

SSVHelper Class - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll [2008-06-10 509328]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE7CD045-E861-484f-8273-0445EE161910}]

AcroIEToolbarHelper Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

{47833539-D0C5-4125-9FA8-0819E2EAAC93} - Adobe PDF - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"=C:\WINDOWS\System32\NvCpl.dll [2003-10-06 5058560]

"nwiz"=nwiz.exe /install []

"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe [2001-07-09 155648]

"ShStatEXE"=C:\Programme\Network Associates\VirusScan\SHSTAT.EXE [2004-09-22 94208]

"McAfeeUpdaterUI"=C:\Programme\Network Associates\Common Framework\UpdaterUI.exe [2004-08-06 139320]

"IgfxTray"=C:\WINDOWS\System32\igfxtray.exe [2003-10-02 155648]

"HotKeysCmds"=C:\WINDOWS\System32\hkcmd.exe [2003-10-02 118784]

"Network Associates Error Reporting Service"=C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe [2003-10-07 147514]

"TrueImageMonitor.exe"=C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe [2006-11-16 1137545]

"Acronis Scheduler2 Service"=C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe [2006-11-14 135168]

"CorelDRAW Graphics Suite 11b"=C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe [2003-11-28 733184]

"QuickTime Task"=C:\Programme\Utils\QuickTime\qttask.exe [2007-02-12 98304]

"SSBkgdUpdate"=C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe [2003-10-14 155648]

"PaperPort PTD"=C:\Programme\ScanSoft\PaperPort\pptd40nt.exe [2004-03-09 57393]

"IndexSearch"=C:\Programme\ScanSoft\PaperPort\IndexSearch.exe [2004-03-09 40960]

"ControlCenter2.0"=C:\Programme\Brother\ControlCenter2\brctrcen.exe [2005-01-07 864256]

"AcronisTimounterMonitor"=C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe [2006-11-15 1870730]

"SunJavaUpdateSched"=C:\Programme\Java\jre1.6.0_07\bin\jusched.exe [2008-06-10 144784]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"Malwarebytes' Anti-Malware"=C:\Programme\Utils\Malwarebytes\mbamgui.exe [2008-10-22 399504]
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2004-08-04 15360]
 

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart

Acrobat Assistant.lnk - C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe

AutoCAD-Startbeschleuniger.lnk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui]

C:\WINDOWS\system32\igfxsrvc.dll [2003-10-02 319488]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]

C:\WINDOWS\system32\WgaLogon.dll [2007-02-15 236928]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

"authentication packages"=msv1_0

relog_ap
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]
 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]

"dontdisplaylastusername"=0

"legalnoticecaption"=

"legalnoticetext"=

"shutdownwithoutlogon"=1

"undockwithoutlogon"=1

"disablecad"=1
 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]

"NoDriveTypeAutoRun"=145
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"

"C:\Programme\SmartFTP Client 2.0\SmartFTP.exe"="C:\Programme\SmartFTP Client 2.0\SmartFTP.exe:*:Enabled:SmartFTP Client 2.5"

"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"

"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"

"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"

"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client 3.0"
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"

"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"

"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"

"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"

"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client"
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}]

shell\AutoRun\command - F:\

shell\open\command - rundll32.exe .\\dguet.dll,InstallM
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]

shell\AutoRun\command - F:\

shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]

shell\AutoRun\command - F:\
 
 

======List of files/folders created in the last 2 months======
 

2008-11-11 15:31:27 ----D---- C:\rsit

2008-11-11 13:52:15 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes

2008-11-11 13:52:10 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes

2008-11-10 11:31:20 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2008-11-10 10:25:23 ----D---- C:\Programme\Trend Micro

2008-10-28 10:51:21 ----HDC---- C:\WINDOWS\$NtUninstallKB958644$

2008-10-15 09:17:54 ----HDC---- C:\WINDOWS\$NtUninstallKB956803$

2008-10-15 09:17:44 ----HDC---- C:\WINDOWS\$NtUninstallKB957095$

2008-10-15 09:15:13 ----HDC---- C:\WINDOWS\$NtUninstallKB954211$

2008-10-15 09:14:47 ----HDC---- C:\WINDOWS\$NtUninstallKB956841$

2008-09-12 08:07:41 ----HDC---- C:\WINDOWS\$NtUninstallKB938464$
 

======List of files/folders modified in the last 2 months======
 

2008-11-11 15:31:03 ----D---- C:\WINDOWS\Prefetch

2008-11-11 13:52:14 ----D---- C:\WINDOWS\system32\drivers

2008-11-11 13:52:10 ----D---- C:\Programme\Utils

2008-11-11 12:00:33 ----D---- C:\Temp

2008-11-11 11:57:09 ----D---- C:\Programme\Mozilla Firefox

2008-11-11 11:46:48 ----D---- C:\Programme\Trillian

2008-11-11 11:34:33 ----A---- C:\WINDOWS\hpbafd.ini

2008-11-11 10:32:15 ----D---- C:\WINDOWS\Temp

2008-11-11 09:23:46 ----D---- C:\WINDOWS\security

2008-11-11 09:18:07 ----D---- C:\WINDOWS\system32

2008-11-11 09:17:43 ----D---- C:\WINDOWS

2008-11-11 00:31:20 ----A---- C:\WINDOWS\SchedLgU.Txt

2008-11-10 18:32:24 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\AdobeUM

2008-11-10 13:55:24 ----D---- C:\Quarantäne

2008-11-10 10:25:23 ----RD---- C:\Programme

2008-11-04 18:36:57 ----D---- C:\Literat

2008-10-28 10:51:28 ----HD---- C:\WINDOWS\inf

2008-10-28 10:51:24 ----RSHDC---- C:\WINDOWS\system32\dllcache

2008-10-28 10:50:41 ----HD---- C:\WINDOWS\$hf_mig$

2008-10-28 10:50:40 ----D---- C:\WINDOWS\system32\CatRoot2

2008-10-27 09:35:32 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI

2008-10-15 17:57:39 ----A---- C:\WINDOWS\system32\netapi32.dll

2008-10-15 09:17:59 ----A---- C:\WINDOWS\imsins.BAK

2008-10-15 09:17:28 ----D---- C:\Programme\Internet Explorer

2008-10-15 09:17:15 ----D---- C:\WINDOWS\ie7updates

2008-10-15 09:16:57 ----SHD---- C:\WINDOWS\Installer

2008-10-15 09:16:41 ----A---- C:\WINDOWS\win.ini

2008-10-03 17:58:14 ----A---- C:\WINDOWS\system32\ieframe.dll

2008-09-23 22:54:30 ----D---- C:\Fotos

2008-09-12 08:07:42 ----D---- C:\WINDOWS\WinSxS
 

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R1 intelppm;Intel-Prozessortreiber; C:\WINDOWS\System32\DRIVERS\intelppm.sys [2004-08-04 40192]

R1 NaiAvTdi1;NaiAvTdi1; C:\WINDOWS\system32\drivers\mvstdi5x.sys [2004-09-22 58048]

R2 CVPNDRVA;Cisco Systems IPsec Driver; \??\C:\WINDOWS\system32\Drivers\CVPNDRVA.sys []

R2 tifsfilter;Acronis True Image FS Filter; C:\WINDOWS\System32\DRIVERS\tifsfilt.sys [2007-06-15 32768]

R3 {6080A529-897E-4629-A488-ABA0C29B635E};Intel(R) Graphics Platform (SoftBIOS) Driver; C:\WINDOWS\system32\drivers\ialmsbw.sys [2003-10-08 120830]

R3 {D31A0762-0CEB-444e-ACFF-B049A1F6FE91};Intel(R) Graphics Chipset (KCH) Driver; C:\WINDOWS\system32\drivers\ialmkchw.sys [2003-10-08 98842]

R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164; C:\WINDOWS\system32\drivers\A302.sys [2003-10-08 11831]

R3 aeaudio;aeaudio; C:\WINDOWS\system32\drivers\aeaudio.sys [2002-04-01 4816]

R3 DNE;Deterministic Network Enhancer Miniport; C:\WINDOWS\system32\DRIVERS\dne2000.sys [2005-06-29 110080]

R3 E1000;Intel(R) PRO/1000 Adapter Driver; C:\WINDOWS\System32\DRIVERS\e1000325.sys [2003-08-14 125952]

R3 EntDrv51;EntDrv51; \??\C:\WINDOWS\system32\drivers\EntDrv51.sys []

R3 ialm;ialm; C:\WINDOWS\System32\DRIVERS\ialmnt5.sys [2003-10-08 93979]

R3 NaiAvFilter1;NaiAvFilter1; C:\WINDOWS\system32\drivers\naiavf5x.sys [2004-09-22 108256]

R3 smwdm;smwdm; C:\WINDOWS\system32\drivers\smwdm.sys [2003-06-13 578752]

R3 StillCam;Treiber für serielle Digitalkamera; C:\WINDOWS\system32\DRIVERS\serscan.sys [2001-08-18 7040]

R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbehci.sys [2004-08-04 26624]

R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\System32\DRIVERS\usbhub.sys [2004-08-04 57600]

R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbuhci.sys [2004-08-04 20480]

S2 DS1410D;DS1410D; C:\WINDOWS\SYSTEM32\drivers\DS1410D.SYS []

S3 bfturboh;BUFFALO TurboUSB for HD Filter; C:\WINDOWS\system32\drivers\bfturboh.sys [2007-08-01 15872]

S3 CVirtA;Cisco Systems VPN Adapter; C:\WINDOWS\system32\DRIVERS\CVirtA.sys [2005-05-17 5315]

S3 nv;nv; C:\WINDOWS\System32\DRIVERS\nv4_mini.sys [2003-10-06 1550043]

S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-04 15104]

S3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 26496]

S3 vsdatant;vsdatant; \??\C:\WINDOWS\system32\vsdatant.sys []

S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []
 

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======
 

R2 AcrSch2Svc;Acronis Scheduler2 Service; C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe [2006-11-14 397312]

R2 CVPND;Cisco Systems, Inc. VPN Service; C:\Programme\Cisco Systems\VPN Client\cvpnd.exe [2005-11-04 1516584]

R2 McAfeeFramework;McAfee Framework-Dienst; C:\Programme\Network Associates\Common Framework\FrameworkService.exe [2004-08-06 102463]

R2 McShield;Network Associates McShield; C:\Programme\Network Associates\VirusScan\Mcshield.exe [2004-09-22 221191]

R2 McTaskManager;Network Associates Task Manager; C:\Programme\Network Associates\VirusScan\VsTskMgr.exe [2004-09-22 28672]

R2 MDM;Machine Debug Manager; C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE [2003-06-19 322120]

R2 Multi-user Cleanup Service;Multi-user Cleanup Service; C:\lotus\notes\ntmulti.exe [2005-12-01 57393]

R2 SoundMAX Agent Service (default);SoundMAX Agent Service; C:\Programme\Analog Devices\SoundMAX\SMAgent.exe [2002-09-20 45056]

S2 NVSvc;NVIDIA Display Driver Service; C:\WINDOWS\System32\nvsvc32.exe [2003-10-06 81920]

S3 aspnet_state;ASP.NET-Zustandsdienst; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2007-04-13 33632]

S3 Autodesk Licensing Service;Autodesk Licensing Service; C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe [2007-02-12 74360]

S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2007-04-13 68952]

S3 ose;Office Source Engine; C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE [2003-07-28 89136]
 

-----------------EOF-----------------

Danke vorab,
waldi1979

Hi,

da sind einige seltsame Mountpoints:
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\dguet.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM

Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick?
Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur Ausführung eingetragen haben...(inklusiver der Betriebssystem HD)

Mal sehen was es ist:
Versuche die Dateien Online testen zu lassen:
virustotal

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

F:\jgsl400.dll

F:\dguet.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Mountpoints ausgeben:
http://forums.techguy.org/attachments/112705d1186263628/mountpoints_diagnostic.zip
Auf den Desktop downloaden, auspacken und per Doppelklick starten.
Es wird eine Datei Diagnostic.txt erstellt, die im Notepad angezeigt wird. Abkopieren und im Forum posten!

chris

Hi,

>Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick?
>Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur >Ausführung eingetragen haben...(inklusiver der Betriebssystem HD)

F: ist leider nicht ausschließlich *ein* USB-Stick.

Habe eine USB-HDD zur Datensicherung, die jedoch nur an ist, wenn auch gesichert wird. Diese bekommt F: zugeordnet. Ansonsten (sofern ext. HDD aus) bekommen die USB-Sticks in der Regel F: zugeordnet. Zwei davon habe ich bei mir und soeben getestet. An den dritten komme ich innerhalb der nächsten 12 h erstmal nicht heran.

Außerdem wird halt gelegentlich mal ein fremder Stick eines Kollegen angeschlossen.

Einiges davon kann ein geübter Blick wahrscheinlich auch der "Diagnostics.txt" entnehmen. (Anmerkung: C:, E: = 2 lokale HDDs, D: = DVD, K - O: sind per Domänenskript verbundene Netzlaufwerke)

Leider kann ich nur Teilvollzug melden :killpc:, denn ich habe weder auf meinen 2 USB-Sticks, noch auf der System-HD (C:) bzw. der zweiten HD (E:) und der externen USB-Platte die genannten dlls finden können ...
Ehrlich gesagt, kann ich mich auch nicht erinnern, dass ich **diese** dlls in letzter Zeit von meinen USB-Sticks gelöscht habe (die hießen anders).

Diagnostic.txt

Sorry, aber die Ausgabe ist so umfangreich, dass ich über das 25000 Zeichen-Limit und das 19.5-KB-Limit des Editors komme; ich muss die Datei daher leider aufsplitten und in zwei Teilen anhängen.

waldi1979

Hi,

wir werfen den Eintrag per combofix aus dem Rennen:

Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.

Den folgenden Text in den Editor (Start -> Zubehör -> Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop ablegen.
Gib an "Alle Dateien" - Speichern:

Code:

Registry:: 

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{82d815e9-7f08-11dd-913d-003005774536}]

Jetzt solltest Du diese Datei auf Deinem Desktop finden, mit der Maus anklicken (rechte Taste gedrückt halten)
und per drag-and-drop auf das Combofix-Icon fallen lassen. Der sollte nun starten und das Script abarbeiten; Poste danach das Log von Combofix.

Poste das Log von combofix und noch das Log von Prevx (falls der was findet):
http://www.prevx.com/freescan.asp

chris

Hi,

Anwort hat etwas gedauert, weil wohl die hausinterne Firewall den vollst. Download von ComboFix zu verhindern wusste. Als ich nach 2h und unzähligen Versuchen endlich dahinter gekommen war und mir das Programm habe anderweitig zukommen lassen, sind die vorgeschlagenen Tasks ausgeführt worden.

log von ComboFix hängt an. Anmerkung: während der Ausführung (Scan) wurde Mcafee wieder aktiv und hat eine "Av-test.txt" unter Quarantäne gestellt :confused:

Prevx hat mir kein log-file erstellt; es wurde ein Thread gefunden: ich kann den nur per Hand hier eintragen. Zu dessen Behebung müsste ich mir jetzt eine Lizenz von Prevx organisieren :rolleyes: Wie sollte ich weiter vorgehen?

Code:

ComboFix 08-11-11.01 - XXX 2008-11-12 12:12:39.1 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.509 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\XXX\Desktop\cfscript.txt

 * Neuer Wiederherstellungspunkt wurde erstellt

 * Resident AV is active
 

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

c:\windows\IE4 Error Log.txt

c:\windows\system32\wmcache.nld
 

----- BITS: Eventuell infizierte Webseiten -----
 

hxxp://inp-ad2

.

(((((((((((((((((((((((   Dateien erstellt von 2008-10-12 bis 2008-11-12  ))))))))))))))))))))))))))))))

.
 

2008-11-11 22:05 . 2008-11-12 11:18        <DIR>        d--------        c:\temp\trojaner

2008-11-11 15:31 . 2008-11-11 15:31        <DIR>        d--------        C:\rsit

2008-11-11 13:52 . 2008-11-11 13:52        <DIR>        d--------        c:\dokumente und einstellungen\XXX\Anwendungsdaten\Malwarebytes

2008-11-11 13:52 . 2008-11-11 13:52        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2008-11-11 13:52 . 2008-10-22 16:10        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys

2008-11-11 13:52 . 2008-10-22 16:10        15,504        --a------        c:\windows\system32\drivers\mbam.sys

2008-11-10 11:31 . 2008-11-10 12:03        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2008-11-10 10:25 . 2008-11-10 10:25        <DIR>        d--------        c:\programme\Trend Micro
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-11-12 09:07        ---------        d-----w        c:\programme\Trillian

2008-11-11 12:52        ---------        d-----w        c:\programme\Utils

2008-11-10 17:32        ---------        d-----w        c:\dokumente und einstellungen\XXX\Anwendungsdaten\AdobeUM

2004-08-04 12:00        180,224        --sha-r        c:\windows\system32\tqpmon.dll

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2003-10-06 5058560]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"ShStatEXE"="c:\programme\Network Associates\VirusScan\SHSTAT.EXE" [2004-09-22 94208]

"McAfeeUpdaterUI"="c:\programme\Network Associates\Common Framework\UpdaterUI.exe" [2004-08-06 139320]

"IgfxTray"="c:\windows\System32\igfxtray.exe" [2003-10-02 155648]

"HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2003-10-02 118784]

"Network Associates Error Reporting Service"="c:\programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe" [2003-10-07 147514]

"TrueImageMonitor.exe"="c:\programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe" [2006-11-16 1137545]

"Acronis Scheduler2 Service"="c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" [2006-11-14 135168]

"CorelDRAW Graphics Suite 11b"="c:\programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe" [2003-11-28 733184]

"QuickTime Task"="c:\programme\Utils\QuickTime\qttask.exe" [2007-02-12 98304]

"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]

"PaperPort PTD"="c:\programme\ScanSoft\PaperPort\pptd40nt.exe" [2004-03-09 57393]

"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2004-03-09 40960]

"ControlCenter2.0"="c:\programme\Brother\ControlCenter2\brctrcen.exe" [2005-01-07 864256]

"AcronisTimounterMonitor"="c:\programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe" [2006-11-15 1870730]

"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"nwiz"="nwiz.exe" [2003-10-06 c:\windows\system32\nwiz.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

Acrobat Assistant.lnk - c:\programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-05-15 217193]

AutoCAD-Startbeschleuniger.lnk - c:\programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe [2004-02-25 10872]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"disablecad"= 1 (0x1)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\Trillian\\trillian.exe"=

"c:\\Programme\\Utils\\LeechFTP\\Leechftp.exe"=

"c:\\Programme\\Messenger\\msmsgs.exe"=

"c:\\Programme\\Acronis\\TrueImageWorkstation\\TrueImage.exe"=

"c:\\Programme\\Gemeinsame Dateien\\Acronis\\TrueImage\\TrueImageService.exe"=

"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009
 

R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164;c:\windows\system32\drivers\A302.sys [2003-10-08 11831]

S3 bfturboh;BUFFALO TurboUSB for HD Filter;c:\windows\system32\drivers\bfturboh.sys [2007-08-01 15872]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]

\Shell\AutoRun\command - F:\

\Shell\open\Command - rundll32.exe .\\jgsl400.dll,InstallM
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]

\Shell\AutoRun\command - F:\

.
 

**************************************************************************
 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-11-12 12:16:57

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse...
 

Scanne versteckte Autostarteinträge...
 

Scanne versteckte Dateien...
 
 

c:\windows\system32\wmcache.nld 2930 bytes
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 1
 

**************************************************************************

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

c:\programme\Cisco Systems\VPN Client\cvpnd.exe

c:\programme\Network Associates\Common Framework\FrameworkService.exe

c:\programme\Network Associates\VirusScan\Mcshield.exe

c:\programme\Network Associates\VirusScan\VsTskMgr.exe

c:\progra~1\NETWOR~1\COMMON~1\naPrdMgr.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\lotus\notes\ntmulti.exe

c:\programme\Analog Devices\SoundMAX\SMAgent.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2008-11-12 12:19:46 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2008-11-12 11:19:41
 

Vor Suchlauf: 22 Verzeichnis(se), 48,903,958,528 Bytes frei

Nach Suchlauf: 22 Verzeichnis(se), 49,036,398,592 Bytes frei
 

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptOut
 

122        --- E O F ---        2008-10-28 09:51:29

Code:

PrevX (manuell)

Status = bad

C:\windows\system32\tqpmon.dll (Cloaked Malware)

:dankeschoen: bis hierhin
waldi1979

Hi,

ja, Prevx ist nur der Scanner, beseitigen kostet... .

Macht aber nix, jetzt wissen wir wo das Ding abliegt (nur wo es aufgerufen wird, das haben wir noch nicht gefunden...).

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

c:\windows\system32\wmcache.nld

C:\windows\system32\tqpmon.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Beide Files sind versteckt, daher am Besten gleich das File komplett mit Pfad reinkopieren!

So, wenn alles erkannt wurde, dann hast Du ein größerer Problem!
Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk repliziert...
-> A network-aware worm that attempts to replicate across the existing network(s).
Was will ich Dir damit sagen? Wenn wir ihn runterlöschen und er gleich wieder da ist, dann existiert er bereits in dem Netzwerk, dann solltes Du Dir alle Rechner einzeln vornehmen...

Also (falls beide erkannt):
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

http://saved.im/mzi3ndg3nta0/aven.jpg

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:

Files to delete:

c:\windows\system32\wmcache.nld

C:\windows\system32\tqpmon.dll

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

chris

Ps.: Da Avenger ähnlich wie ein Trojaner agiert, kann es notwendig sein Mcafee abzuschalten. Nimm dazu den Rechner dann auch vom Netz (INetz und lokal)

Hi,

so, beide Dateien gescannt; Ergebnis nachfolgend:

Code:

File wmcache.nld received on 11.12.2008 14:09:02 (CET)

Antivirus        Version        Last Update        Result

AhnLab-V3        2008.11.11.2        2008.11.12        -

AntiVir        7.9.0.31        2008.11.12        -

Authentium        5.1.0.4        2008.11.12        -

Avast        4.8.1248.0        2008.11.11        -

AVG        8.0.0.161        2008.11.11        -

BitDefender        7.2        2008.11.12        -

CAT-QuickHeal        9.50        2008.11.12        -

ClamAV        0.94.1        2008.11.12        -

DrWeb        4.44.0.09170        2008.11.12        -

eSafe        7.0.17.0        2008.11.11        -

eTrust-Vet        31.6.6204        2008.11.11        -

Ewido        4.0        2008.11.11        -

F-Prot        4.4.4.56        2008.11.11        -

F-Secure        8.0.14332.0        2008.11.12        -

Fortinet        3.117.0.0        2008.11.12        -

GData        19        2008.11.12        -

Ikarus        T3.1.1.45.0        2008.11.12        -

K7AntiVirus        7.10.522        2008.11.11        -

Kaspersky        7.0.0.125        2008.11.12        -

McAfee        5431        2008.11.12        -

Microsoft        1.4104        2008.11.12        -

NOD32        3606        2008.11.12        -

Norman        5.80.02        2008.11.12        -

Panda        9.0.0.4        2008.11.11        -

PCTools        4.4.2.0        2008.11.12        -

Prevx1        V2        2008.11.12        -

Rising        21.03.22.00        2008.11.12        -

SecureWeb-Gateway        6.7.6        2008.11.12        -

Sophos        4.35.0        2008.11.12        -

Sunbelt        3.1.1785.2        2008.11.11        -

Symantec        10        2008.11.12        -

TheHacker        6.3.1.1.149        2008.11.12        -

TrendMicro        8.700.0.1004        2008.11.12        -

VBA32        3.12.8.9        2008.11.11        -

ViRobot        2008.11.12.1463        2008.11.12        -

VirusBuster        4.5.11.0        2008.11.11        -

Additional information

File size: 2930 bytes

MD5...: cb82993af6dbaf5d1c96f656adb880aa

SHA1..: 13d56e50201182c4f8d1e2383be2a62f681c2607

SHA256: 6a0806311df0e55d2b3921d58e2036e862192ab162d63a70395eca73b93dae70

SHA512: 5443246757b6a2c29f113802cf641ca321f6dbd8e51c35e0880af1e2373d36fb<br>8a9632f4fcec798acc458f1b6f8219e68f90b2bf108f6584735dfc8bdd3ea13e

PEiD..: -

TrID..: File type identification<br>Unknown!

PEInfo: -

Code:

File tqpmon.dll received on 11.12.2008 14:13:46 (CET)

Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED

Result: 27/36 (75%)

Loading server information...

Your file is queued in position: 5.

Estimated start time is between 70 and 100 seconds.

Do not close the window until scan is complete.

The scanner that was processing your file is stopped at this moment, we are going to wait a few seconds to try to recover your result.

If you are waiting for more than five minutes you have to resend your file.

Your file is being scanned by VirusTotal in this moment,

results will be shown as they're generated.

Compact Compact

Print results Print results

Your file has expired or does not exists.

Service is stopped in this moments, your file is waiting to be scanned (position: ) for an undefined time.
 

You can wait for web response (automatic reload) or type your email in the form below and click "request" so the system sends you a notification when the scan is finished.

Email:         

        

Antivirus         Version         Last Update         Result

AhnLab-V3        2008.11.11.2        2008.11.12        -

AntiVir        7.9.0.31        2008.11.12        TR/Autorun.acy

Authentium        5.1.0.4        2008.11.12        W32/Worm.WKR

Avast        4.8.1248.0        2008.11.11        Win32:AutoRun-SD

AVG        8.0.0.161        2008.11.11        Worm/Generic.IPV

BitDefender        7.2        2008.11.12        Worm.Generic.18299

CAT-QuickHeal        9.50        2008.11.12        Worm.AutoRun.ejg

ClamAV        0.94.1        2008.11.12        Worm.Autorun-1662

DrWeb        4.44.0.09170        2008.11.12        Win32.HLLW.Autoruner.2293

eSafe        7.0.17.0        2008.11.11        -

eTrust-Vet        31.6.6203        2008.11.11        -

Ewido        4.0        2008.11.12        Worm.AutoRun.ejg

F-Prot        4.4.4.56        2008.11.11        W32/Worm.WKR

F-Secure        8.0.14332.0        2008.11.12        Worm.Win32.AutoRun.ejg

Fortinet        3.117.0.0        2008.11.12        -

GData        19        2008.11.12        Worm.Generic.18299

Ikarus        T3.1.1.45.0        2008.11.12        Virus.Win32.AutoRun.sd

K7AntiVirus        7.10.522        2008.11.11        Worm.Win32.AutoRun.ejg

Kaspersky        7.0.0.125        2008.11.12        Worm.Win32.AutoRun.ejg

McAfee        5431        2008.11.12        -

Microsoft        1.4104        2008.11.12        Worm:Win32/Autorun.FC

NOD32        3606        2008.11.12        Win32/AutoRun.RW

Norman        5.80.02        2008.11.12        W32/AutoRun.ELD

Panda        9.0.0.4        2008.11.11        W32/Autorun.AHC.worm

PCTools        4.4.2.0        2008.11.12        -

Prevx1        V2        2008.11.12        Cloaked Malware

Rising        21.03.22.00        2008.11.12        Worm.Win32.Autorun.exn

SecureWeb-Gateway        6.7.6        2008.11.12        Trojan.Autorun.acy

Sophos        4.35.0        2008.11.12        Mal/FakeAle-B

Sunbelt        3.1.1785.2        2008.11.11        Porn-Dialer.Win32.CapreDeam.BL (vf)

Symantec        10        2008.11.12        W32.SillyFDC

TheHacker        6.3.1.1.149        2008.11.12        -

TrendMicro        8.700.0.1004        2008.11.12        -

VBA32        3.12.8.9        2008.11.11        Win32.AutoRun.RW

ViRobot        2008.11.12.1463        2008.11.12        Worm.Win32.Autorun.180224

VirusBuster        4.5.11.0        2008.11.11        -

Additional information

File size: 180224 bytes

MD5...: 98cf09c3264f6accbb90693c5ffb3eed

SHA1..: cf9bad31cf144bc004bd02cc255c87f99ebdc35a

SHA256: 9f59cefd8e01863607b564bcdc20dad88f1387c1f940af838ec0f83101673baf

SHA512: 6d33d27b5f6759aab8669f4fc000a72ea4214bffded32db6fdc3e2e527b2b741

373f9a985216dc67b31e8c85f2e1efe001b887909b7bc489120b03663e05cffb

PEiD..: Armadillo v1.xx - v2.xx

TrID..: File type identification

Win64 Executable Generic (59.6%)

Win32 Executable MS Visual C++ (generic) (26.2%)

Win32 Executable Generic (5.9%)

Win32 Dynamic Link Library (generic) (5.2%)

Generic Win/DOS Executable (1.3%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x1001730e

timedatestamp.....: 0x484d672c (Mon Jun 09 17:23:56 2008)

machinetype.......: 0x14c (I386)
 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x1f775 0x20000 6.39 746cce0896f6f856f6d5d9f22f5b6827

.rdata 0x21000 0x1e59 0x2000 5.02 73fdad62a081be4375e688263d147978

.data 0x23000 0x74a4 0x5000 2.97 262ebf81a8de20300ae2697a50eb9a58

.rsrc 0x2b000 0x6d8 0x1000 1.44 fa226b072974eab2b3292c577dc02b26

.reloc 0x2c000 0x26b4 0x3000 4.80 19806e9e364fa4ba076e15df9a84b1cb
 

( 5 imports )

> KERNEL32.dll: GetProcAddress, LoadLibraryA, FindClose, FindFirstFileA, UnmapViewOfFile, GetLastError, MapViewOfFile, CreateFileMappingA, GetFileSize, lstrcmpA, GetTempFileNameA, GetTempPathA, lstrlenA, SetLastError, SetFileAttributesA, CopyFileA, WriteFile, GetPrivateProfileStringA, FindNextFileA, OpenEventA, GetVolumeInformationA, GetDriveTypeA, ExitProcess, GetModuleHandleA, GetModuleFileNameA, SetFilePointer, ReadFile, CreateProcessA, Sleep, lstrcatA, GetSystemDirectoryA, GetSystemTime, SetFileTime, GetTempPathW, FreeLibrary, GetEnvironmentVariableW, GetComputerNameW, GetTimeZoneInformation, GetLocalTime, MultiByteToWideChar, lstrcatW, lstrlenW, GetVersionExA, GetTickCount, GetComputerNameA, WaitForSingleObject, ResumeThread, TerminateProcess, FileTimeToSystemTime, GetWindowsDirectoryA, GetEnvironmentVariableA, CreateDirectoryA, CreateMutexA, ReleaseMutex, OutputDebugStringA, GetFileTime, InterlockedIncrement, InterlockedDecrement, SetEnvironmentVariableA, CompareStringW, CompareStringA, GetStringTypeW, GetStringTypeA, DeleteFileA, lstrcpyA, CreateFileA, GetFileInformationByHandle, CloseHandle, GetFileAttributesA, FileTimeToLocalFileTime, FileTimeToDosDateTime, GetWindowsDirectoryW, IsBadCodePtr, IsBadReadPtr, GetOEMCP, GetACP, GetCPInfo, GetEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsW, FreeEnvironmentStringsA, LCMapStringW, LCMapStringA, WideCharToMultiByte, UnhandledExceptionFilter, HeapSize, SetUnhandledExceptionFilter, FlushFileBuffers, GetCurrentProcess, GetStartupInfoA, GetStdHandle, HeapAlloc, HeapFree, GetFileType, EnterCriticalSection, LeaveCriticalSection, RaiseException, RtlUnwind, CreateThread, TlsSetValue, TlsGetValue, ExitThread, GetCommandLineA, GetVersion, HeapDestroy, HeapCreate, VirtualFree, VirtualAlloc, HeapReAlloc, IsBadWritePtr, InitializeCriticalSection, DeleteCriticalSection, GetCurrentThreadId, TlsAlloc, TlsFree, SetStdHandle, SetEndOfFile, SetHandleCount

> USER32.dll: RegisterClassExA, CreateWindowExA, DefWindowProcA, CharLowerBuffA, wsprintfA, wsprintfW, GetMessageA, TranslateMessage, DispatchMessageA

> ADVAPI32.dll: RegCreateKeyA, RegDeleteValueA, RegQueryValueExA, RegSetValueExA, RegCreateKeyExA, RegEnumValueA, RegCloseKey

> RPCRT4.dll: UuidToStringA, UuidCreate, RpcStringFreeA

> WS2_32.dll: -, -, -, -
 

( 3 exports )

Entry, InstallM, InstallS

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=73ED3BC00079C5D8C06802A47D9536002FF75420

Die "wmcache.nld" ist lt. den zur Auswertung genutzten Scannern nicht infiziert. War mir unsicher was ich machen sollte und habe erstmal nicht mit Avenger getilgt, sondern per Hand mit anderer Extension in den Quarantäne-Ordner gelegt. War das Unfug/unnötig oder sollte ich sie doch noch killen?

Avenger hat seine Arbeit auch verrichtet:

Code:

Logfile of The Avenger Version 2.0, (c) by Swandog46

http://swandog46.geekstogo.com
 

Platform:  Windows XP
 

*******************
 

Script file opened successfully.

Script file read successfully.
 

Backups directory opened successfully at C:\Avenger
 

*******************
 

Beginning to process script file:
 

Rootkit scan active.

No rootkits found!
 

File "C:\WINDOWS\system32\tqpmon.dll" deleted successfully.
 

Completed script processing.
 

*******************
 

Finished!  Terminate.

Datei ist nach einmaligem Neustart noch nicht wieder aufgetaucht.

>So, wenn alles erkannt wurde, dann hast Du ein größerer Problem!
>Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk >repliziert...

:eek:

Da ich bis gestern davon ausging, dass ich den Schädling mit meinen Sticks weiterverbreitet habe, habe ich die unmittelbar greifbaren Rechner bereits negativ mit Spybot geprüft. Das vermeintlich betroffene Netz ist deutlich größer :mad: ...

Ich kann die obigen Ergebnisse (nur eine der beiden Dateien erkannt; zunächst erfolgreich gekillt) mit meinen Laienkenntnissen nicht wirklich interpretieren. Was kann/sollte ich im Augenblick noch tun?

Danke auf jeden Fall schonmal für die bisher immer leicht verständlichen und klaren Anweisungen!

waldi1979

Hi,

wenn Du Zugang zu einen anderen Rechner im Netz hast, dann prüfe den mal (weist ja jetzt wie es geht)...
Tauch auch dort der Wurm auf, dann bleibt nur der "offizielle" Weg.
Es ist ja nicht klar, wo der Wurm herkam (wer ihn eingeschleppt hat)...

Lass bitte noch ein mal PrevX laufen und einen Scan mit Kapi-Online...
Kaskpersky OnlineScanner
http://www.kaspersky.com/de/virusscanner

chris

Hi,

Zwischeninformation: zwei weitere Rechner im Netz, an die ich recht schnell herankam waren lt. PrevX "clean"; was über die restlichen > 100 natürlich nichts aussagt.

Eigener Rechner ist lt. PrevX auch (noch) clean. Kapersky installiert und scannt gerade, aber das scheint ein abenfüllendes Programm zu werden (5% nach 5 Minuten in nur 1 Kategorie), daher die Zwischeninfo.

Ich hoffe, dass KapiOnline auch nix findet und danke nochmals ;)

waldi1979

Hi,

muss mich doch noch einmal zurückmelden ;(

Kapi-Online hat neben einer ganzen Menge für ihn nicht zugreifbaren Dateien auch 3 "infizierte" gefunden

Auszug aus dem Protokoll:

Code:

-------------------------------------------------------------------------------

 PROTOKOLL FÜR KASPERSKY ONLINE SCANNER

 Mittwoch, 12. November 2008 21:19:10

 Betriebssystem: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

 Version von Kaspersky Online Scanner: 5.0.98.1

 Letztes Update der Antiviren-Datenbanken: 12/11/2008

 Anzahl der Einträge in den Antiviren-Datenbanken: 1381677

-------------------------------------------------------------------------------
 

Scan-Einstellungen:

        Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte

        Archive untersuchen: ja

        Mail-Datenbanken untersuchen: ja
 

Untersuchungsobjekt - Ordner:

        C:\

        E:\
 

Untersuchungsergebnisse:

        Untersuchte Objekte insgesamt: 146353

        Viren gefunden: 3

        Infizierte Objekte gefunden: 3

        Verdächtige Objekte gefunden: 0

        Untersuchungszeit: 03:50:45
 

Name des infizierten Objekts / Virusname / Letzte Aktion

...

C:\Quarantäne\Av-test.txt.Vir        Infizierte Objekte: EICAR-Test-File        übersprungen

C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP532\A0049343.DLL        Infizierte Objekte: not-a-virus:AdWare.Win32.Comet.ap        übersprungen

C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP535\A0049629.dll        Infizierte Objekte: Worm.Win32.AutoRun.ejg        übersprungen

C

...

Über die beiden ersten mache ich mir weniger Sorgen, aber um den dritten.

Ich habe mittlerweile auf meinen Platten per Explorer-Suche die in

h**p://www.threatexpert.com/threats/worm-win32-autorun-ejg.html

aufgelisteten "usrv4ga.dll" und "conimsp.dll" gesucht und glücklicherweise nicht gefunden.

Wie werde ich jetzt aber diesen Wiederherstellungspunkt (ist doch einer?) bzw. die eine dll darin noch los?

waldi1979

Hi,

das erste ist ein allgemeingültiger "Virenscannertest", daher ungefährlich;

Der Rest muss tatsächlich weg:
(Und wie sagt Dir jetzt das Licht, äh, oder so ähnlich ;o)...

Systemwiederherstellung löschen
http://www.systemwiederherstellung-deaktivieren.de/windows-xp.html
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

chris

Hi,

so, die Systemwiederherstellung wurde kurzzeitig deaktiviert und ein neuer Wdh.-Punkt gesetzt.

Ich lasse jetzt nochmals alle bisher genutzten Scan-Tools drüberlaufen (Kapersky arbeitet schon seit 6 h). Danach noch ein Image vom (hoffentlich) gereinigten Rechner. Noch bin ich optimistisch, dass er jetzt clean ist und das auch vorerst so bleibt :)

:dankeschoen: & :daumenhoch:
waldi1979