|
ich brauche hilfe - hab ein Trojan.Vundo und andere probleme hallo, habe ein problem, der sitzt in zeile Q17 - ich habe ihn über Hijack this schon gefixt, aber leider kommt der eintrag nach pc neustart wieder. ausserdem, wenn ich über google seite aufrufe, dann wird die versuchte seite, die ich lesen will, in einem neuen firefox tap geöffnet, und sofort, mit einer werbeseite weitergeleitet, ich muss mehrmals den zurück knopf drücken, um zu der seite zu kommen die ich eigentlich in google ausgesucht habe. mein kaspersky funktioniert nicht mehr, wird nicht mehr mit gestartet. und antivir meldet das ich ein Trojan.Vundo habe. wie bekomme ich nun mein pc wieder heile, danke für eure hilfe. Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:17:04, on 19.02.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: D:\WINDOWS\System32\smss.exe D:\WINDOWS\system32\winlogon.exe D:\WINDOWS\system32\services.exe D:\WINDOWS\system32\lsass.exe D:\WINDOWS\system32\Ati2evxx.exe D:\WINDOWS\system32\svchost.exe D:\WINDOWS\System32\svchost.exe D:\WINDOWS\system32\Ati2evxx.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\sched.exe D:\WINDOWS\Explorer.EXE D:\Programme\Winamp\winampa.exe D:\Programme\Java\jre6\bin\jusched.exe D:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe D:\Programme\Napster\napster.exe D:\Programme\Brother\Brmfcmon\BrMfcWnd.exe D:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe D:\WINDOWS\RTHDCPL.EXE D:\Programme\Brother\ControlCenter3\brccMCtl.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe D:\WINDOWS\system32\ctfmon.exe D:\Programme\Windows Live\Messenger\msnmsgr.exe D:\Programme\Brother\Brmfcmon\BrMfcmon.exe D:\Programme\Messenger\msmsgs.exe D:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\avguard.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe D:\Programme\Java\jre6\bin\jqs.exe D:\Programme\MySQL\MySQL Server 5.0\bin\mysqld-nt.exe D:\WINDOWS\system32\svchost.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe D:\Programme\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE D:\Programme\Yahoo!\Messenger\ymsgr_tray.exe D:\WINDOWS\system32\spoolsv.exe D:\WINDOWS\system32\wuauclt.exe D:\Programme\Trend Micro\HijackThis\HijackThis.exe O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - D:\Programme\Adobe\/Adobe Contribute CS4/contributeieplugin.dll O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - D:\Programme\Adobe\/Adobe Contribute CS4/contributeieplugin.dll O4 - HKLM\..\Run: [StartCCC] "D:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [WinampAgent] D:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [NapsterShell] D:\Programme\Napster\napster.exe /systray O4 - HKLM\..\Run: [BrMfcWnd] D:\Programme\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN O4 - HKLM\..\Run: [ControlCenter3] D:\Programme\Brother\ControlCenter3\brctrcen.exe /autorun O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "D:\Programme\Gemeinsame Dateien\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin O4 - HKLM\..\Run: [Adobe_ID0ENQBO] D:\PROGRA~1\GEMEIN~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [AVP] "D:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe" O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe" /min O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [msnmsgr] "D:\Programme\Windows Live\Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [Messenger (Yahoo!)] "D:\Programme\Yahoo!\Messenger\YahooMessenger.exe" -quiet O4 - HKCU\..\Run: [MSMSGS] "D:\Programme\Messenger\msmsgs.exe" /background O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw/toolbar/download/InstallerControl.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1234303423031 O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1234303413156 O17 - HKLM\System\CCS\Services\Tcpip\..\{A168B390-4DE5-4C31-90B9-7148EBE675F2}: NameServer = 85.255.112.39,85.255.112.40 O17 - HKLM\System\CCS\Services\Tcpip\..\{A5916694-B738-4221-A996-05C9878CD323}: NameServer = 85.255.112.39,85.255.112.40 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40 O20 - AppInit_DLLs: D:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,D:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,D:\PROGRA~1\KASPER~1\KASPER~1\adialhk.dll,D:\PROGRA~1\KASPER~1\KASP ER~1\kloehk.dll O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - D:\Programme\Gemeinsame Dateien\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe O23 - Service: Avira AntiVir Premium MailGuard (AntiVirMailService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe O23 - Service: Avira AntiVir Premium Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Premium\sched.exe O23 - Service: Avira AntiVir Premium Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Premium\avguard.exe O23 - Service: Avira AntiVir Premium WebGuard (antivirwebservice) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe O23 - Service: Avira AntiVir Premium MailGuard Hilfsdienst (AVEService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - D:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - D:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\Java\jre6\bin\jqs.exe O23 - Service: MySQL - Unknown owner - D:\Programme\MySQL\MySQL.exe (file missing) -- End of file - 7914 bytes |
Zuerst solltest du folgendes zur Kenntnis nehmen: Dein System ist kompromitiert und zwar vermutlich von einem Trojan.DNS Changer mit entsprechendem Rootkit. Erklärung Rootkit: Der Begriff beschreibt ein kleines Tool, das sich in ein Betriebssystem eingräbt und dort als Deckmantel für weitere Programme dient. In einem Rootkit können sich Viren ebenso verstecken wie ausgefeilte Spionagetools. Das Perfide: Während diese Programme sonst von jedem Virenscanner früher oder später erkannt würden, fallen sie dem System dank der Tarnung durch das Rootkit nicht mehr auf. Der Eintrag 017 Code: NameServer = 85.255.112.108;85.255.112.167 verweist auf einen Server in der Ukraine.Hinweis: kompromitierte Systeme sollten neu aufgesetzt und abgesichert werden Anleitung: Neuaufsetzen des Systems + Absicherung hier im Forum Um den Virus zu entfernen, um sicher Backups zu machen oder obigen Hinweis aus diversen Gründen zu ignorieren, befolge folgende Schritte: Natürlich alles unter dem Hinweis das die ganze Sache auch schiefgehen kann und du um ein Neuaufsetzen nicht herumkommen wirst. Lade dir folgende Software herunter und installiere diese, bitte unternehme nichts auf eigene Faust sondern folge den folgenden Anweisungen: Download von CCleaner Anleitung: CCleaner <----dl Link in der Erklärung Download von Avenger http://swandog46.geekstogo.com/avenger2/download.php Download von Gmer http://www.gmer.net/gmer.zip Download von MalwareBytes >---dl Link in der Erklärung Lies dir die Anweisungen zu MalwareBytes und CCleaner aufmerksam durch und befolge die Schritte genau, ggf. drucke sie dir aus. Checken wir jetzt das Ganze erst mal von Anfang an. Code: Geh bitte auf STARTHier siehst du dann eine Menge Einträge. Scrolle runter bis zum Eintrag TCP/IP drücke hier einmal mit der linken Maustaste drauf und dann auf Eigenschaften. Schau in den Eintrag DNS Server . Ist der Eintrag DNS Server automatisch beziehen aktiviert oder siehst du darunter IP Nummern ( die oben ) eingetragen? Falls hier Nummern stehen die mit 85.255.XXX.XXX können wir einen Virusbefall mit dem Trojan.DNSChanger annehmen und gehen entsprechend vor. Dein System sollte die DNS eigentlich automatisch beziehen. Jetzt gehen wir mal an die Arbeit: Bitte deaktiviere deine Systemwiederherstellung: Systemsteuerung/System/ Reiter Systemwiederherstellung. Nimm das Häkchen aus der Box. Beantworte die Frage mit Ja, somit werden alle deine Wiederherstellungspunkte auch gelöscht. Nun zurück zu Hijack This. Lass das Programm nochmal laufen und suche nach dem Eintrag mit der Nummer 017. Markiere diesen EINEN Eintrag und drücke auf Fixen. Hiernach einen Malwarebyte Scan ( Full Scan ) und das Logfile hier posten.... Lasse zum Abschluß alle Funde löschen Dann wirst du CCleaner aktivieren und wie beschrieben vorgehen und zwar so lange bis das keine Fehler mehr angezeigt werden. Wieder zurück zu deiner Internetverbindung: Stelle den Eintrag DNS automatisch beziehen wieder her.. es kann sein, dass dies jetzt schon erfolgt ist. lass es dann auf auto stehen Hiernach öffnest du Gmer und lässt bei diesem Programm ebenfalls einen Scan durchführen, poste das Logfile hier. Gmer wird sicherlich meckern über einen Rootkit, lass dann, wie vorgeschlagen einen vollen Scan durchführen.. Weiteres kommt dann nach diesem Logfile von mir..... |
Ich habe nichts mehr von dir gehört und gehe daher davon aus, dass du Dein System neu aufgesetzt hast. Falls nicht und du brauchst noch meine Hilfe, kurze PM. |
richtig habe es neu aufgesetzt, thema kann geschlossen werden. danke für die hilfe trotzdem:) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 01:33 Uhr. |
Copyright ©2000-2025, Trojaner-Board