|
AntiVir bekommt Backdoorprogramm nicht gelöscht Hallo, ich bin neu hier und auch allgemein mit Computern nicht im professionellen Umgang vertraut. Ich habe einige Hinweise gelesen und mir nun auch dieses "HiJackThis" heruntergeladen. Ich habe auch wie empfohlen Spybot und AntiVir im abgesicherten Modus laufen lassen. Keine Funde. Dennoch habe ich immer noch, wie seit mehreren Tagen unverändert, beim Systemstart die Meldung über einen Fund. AntiVir kann das Problem scheinbar trotzdem nicht lösen. Kann mir da bitte jemand sagen, wie ich das Ding wieder loswerde? Danke anbei mein Logfile und ein Bild: http://img360.imageshack.us/img360/3706/meldungqs9.jpg Zitat: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 11:47:14, on 24.12.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16762) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\system32\ctfmon.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\msco rsvw.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\tcpsvcs.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Programme\T-DSL SpeedManager\tsmsvc.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://goo***.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=****7 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=5***6 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=5***6 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69*** R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\nTuneCmd.exe" clear O4 - HKCU\..\Run: [IECheck] C:\WINDOWS\IECheck.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/microsof...te.cab?*34**** O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsof...b?122*****5734 O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - h**p://icq.oberon-media.com/Gameshel...onGameHost.cab O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe |
Hallo und :hallo: 1. ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. 2. Mach auch ein Filelisting mit diesem script:
Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist. 3. Avira mit diesen Einstellungen laufen lassen und anschliessend das Log posten: http://www.trojaner-board.de/54192-a...tellungen.html Frohe Weihnachten, andreas |
Hallo, danke für die Antwort. Ich habe bereits alles wie von Ihnen erklärt durchgeführt. Anbei der Link zu den Logfiles: File-Upload.net - Logfiles.zip |
Hallo, Allgemein sagt man "du" im Internet;) Aber zu aller erst solltest du Combofix durchlaufen lassen. LG |
Jeder Arbeitsschritt wurde wie beschrieben ausgeführt. Gruß |
Nur um sicher zu gehen: Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!) Seit wann hast du Probleme? Seit wann kommen die Meldungen von Avira? ciao, andreas |
Zitat:
Ich hatte ein ähnliches Problem! Bei mir waren "c:\windows\system32\c_617039.nls ... 49.nls... 69.nls...19.nls ." befallen. Ich konnte nichts löschen und im abgesicherten Modus habe ich nie etwas gefunden. Hier mal der Link: http://www.trojaner-board.de/64683-v...2-antivir.html Vllt. hat "john.doe", ja die gleiche, oder ähnliche Vorahnung. ->Rootkit?! |
Um hier kein Missverständnis aufkommen zu lassen. Auch wenn es den Anschein erweckt, dass ich hier zu säubern versuche. Das ist bei einem Backdoor ausgeschlossen. Erst Recht bei so einem fiesen Teil, wie dem Silent Banker. Ich hatte gehofft, dass Avira zugeschlagen hat, bevor er aktiviert wurde. Das ComboFix-Log zeigt: Code: "aux1"= c_929180.nlshttp://www.trojaner-board.de/67012-r...tml#post400407 Auch wenn das einige nicht wahrhaben wollen: http://www.trojaner-board.de/67012-r...tml#post400442 So gibt es nur eine Möglichkeit: http://www.trojaner-board.de/67012-r...tml#post400448 ciao, andreas |
Oh ja, in der letzten Zeit sind extrem viele Rootkiter unterwegs, auch in meinem Freundeskreis. Da hilft nur noch platt machen und neu aufspielen. Seit dem Silent Banker bin ich nur noch paranoid:( |
Hallo John, danke für deine Hilfe erst mal. Ich habe deine Malware-Tools vom letzten Post noch nciht ausgeführt, weil ich von AntiVir keine Meldung beim Systemstart mehr bekomme. Ist das Problem jetzt behoben? Ich hatte Antivir schon vor dem Befall installiert als meinen Virenprüfer. Fehler hatte ich wie gesagt... seit ca. 3 Tagen vor meinem Post. Muss ich mein System jetzt immer noch neu aufsetzen? Wäre wieder mal sehr Zeitaufwändig :-( |
Zitat:
Hast du auch nur auf einen einzigen Link geklickt, der hier zu sehen ist? Welche Programme liefen denn vor 3 Tagen: Code: 21.12.2008 23:06 71.238 MSIMN.EXE-0B61806C.pf
Code: 09.10.2008 17:09 <DIR> AzureusCode: 21.12.2008 18:34 13.088 NFSCSAVEEDITOR.EXE-247BC7D6.pfWeil die Symptome verschwunden sind, denkst du, du bist kuriert? :headbang: Zitat:
|
Lass bloß die Finger von Savegame-Editoren. Bei Call of Duty5 zb. ist der Savegame-Editor mit einem Keylogger versehen... Da bringt dir das sekündlich einen hohen Rang, aber auf dauer nur Ärger. |
Hallo, ja, ich habe es gelesen. Aber zugegeben nur die Hälfte verstanden, ich bin nicht so mit Computern versiert... Ja, das sollte ich in gewissen Maße, denn ich benutze ja einen. Das ist mir klar. Aber ich denke nicht, dass ein Maurer bescheid weiss, wie man Hüte macht... Das heisst, ich sollte mich in Zukunft davor hüten, etwas herunterzuladen mit Azureus? Den Savegame-Editor habe ich nicht mal selbst heruntergeladen... ich sollte meinen Freund wohl auch benachrichtigen... Wenn der Savegame-Editor gelöscht ist, und Azureus ebenso, sollte mein Problem behoben sein? oder MUSS ich in jedem Fall mein System neu aufsetzen? Dass man es in den meisten Fällen muss, habe ich so weit verstanden. Nur in dem Fall, in dem nichts mehr kommt, hatte ich gedacht, ich muss nicht neu aufsetzen? Ich habe NFS, Azureus und den Editor gelöscht. Falls ich neu Aufsetzen MUSS, kann ich meine anderen Partitionen behalten, sprich alle bis auf C: ? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 01:33 Uhr. |
Copyright ©2000-2025, Trojaner-Board