Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   MBAM findet Trojan.Agent in C:\Windows\System32\WinSys2.exe (https://www.trojaner-board.de/72094-mbam-findet-trojan-agent-c-windows-system32-winsys2-exe.html)

lilchilla 16.04.2009 20:30
MBAM findet Trojan.Agent in C:\Windows\System32\WinSys2.exe
 
Hy,

nachdem in letzter Zeit immer mal wieder merkwürdige Fehlermeldungen und Abstürze aufgetreten sind, habe ich eben mal MBAM aktualisiert und durchlaufen lassen.

Dabei hatte ich folgende Treffer:
Code:
mbam-log-2009-04-16 (20-38-19).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|K:\|L:\|)
Durchsuchte Objekte: 251916
Laufzeit: 31 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinSys2 (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\WinSys2.exe (Trojan.Agent) -> Quarantined and deleted successfully.
Daraufhin habe ich CCleaner und HiJackThis ausgeführt, hier ist das Logfile:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:14:19, on 16.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Programme\AutoShutdownManager\Services\AutoShutdownManager_Service.exe
d:\Programme\DynDNS Updater\DynUpSvc.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40ST7.EXE
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40RP7.EXE
D:\Programme\FolderSize\FolderSizeSvc.exe
C:\Programme\Java\jre6\bin\jqs.exe
D:\Programme\Multimedia Keyboard Driver\KMWDSrv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Cyberlink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe
D:\Programme\AutoShutdownManager\AutoShutdownManager.exe
D:\Programme\Multimedia Keyboard Driver\StartAutorun.exe
D:\Programme\Multimedia Keyboard Driver\KMConfig.exe
D:\Programme\Video\PowerDVD8\PowerDVD8\PDVD8Serv.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Copernic Desktop Search - Home\DesktopSearchService.exe
D:\Programme\Multimedia Keyboard Driver\KMProcess.exe
D:\Programme\Adobe\Acrobat Pro 6.0\Distillr\acrotray.exe
C:\Programme\Java\jre6\bin\javaw.exe
D:\Programme\DynDNS Updater\DynTray.exe
D:\Programme\Ulead PE\CalCheck.exe
D:\Programme\Yahoo! Widgets\YahooWidgets.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\MSI\DualCoreCenter\DualCoreCenter.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Yahoo! Widgets\YahooWidgets.exe
D:\Programme\Yahoo! Widgets\YahooWidgets.exe
D:\Programme\System-Tools\Sicherheit\Malwarebytes' Anti-Malware\mbam.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\Admin\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programme\Epson Software\Easy Photo Print\EPTBL.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - d:\Programme\Adobe\Acrobat Pro 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Dme&x Toolbar - {3F756BC4-26CB-497E-9409-8F09C1850C80} - D:\Programme\System-Tools\DMEXBar\dmexbar.dll
O3 - Toolbar: Dmexdir Toolbar - {4ADFE869-0C09-4F41-AD79-A8F1CFA201E8} - D:\Programme\System-Tools\DMEXBar\dmexdir\dmexdir.dll
O3 - Toolbar: Dmexfav Toolbar - {2977A961-7304-49C3-9BA5-C957E5277A76} - D:\Programme\System-Tools\DMEXBar\dmexfav\dmexfav.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - d:\Programme\Adobe\Acrobat Pro 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programme\Epson Software\Easy Photo Print\EPTBL.dll
O3 - Toolbar: Symbolleiste für Copernic Desktop Search - Home - {4A1C6093-14F9-44D7-860E-5D265CFCA9D9} - d:\Programme\Copernic Desktop Search - Home\Toolbar\ToolbarContainer101000048.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [HDAudDeck] C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\Video\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AutoShutdownManager] D:\Programme\AutoShutdownManager\AutoShutdownManager.exe
O4 - HKLM\..\Run: [KMConfig] "D:\Programme\Multimedia Keyboard Driver\StartAutorun.exe" KMConfig.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl8] D:\Programme\Video\PowerDVD8\PowerDVD8\PDVD8Serv.exe
O4 - HKLM\..\Run: [PDVD8LanguageShortcut] D:\Programme\Video\PowerDVD8\PowerDVD8\Language\Language.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "d:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [EPSON BX300F Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIEJE.EXE /FU "C:\DOKUME~1\Admin\LOKALE~1\Temp\E_S149.tmp" /EF "HKCU"
O4 - HKCU\..\Run: [Copernic Desktop Search - Home] "d:\Programme\Copernic Desktop Search - Home\DesktopSearchService.exe" /tray
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = D:\Programme\Adobe\Acrobat Pro 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: BORG Calendar.lnk = D:\Programme\BORG Calendar\borg.jar
O4 - Global Startup: DualCoreCenter.lnk = C:\Programme\MSI\DualCoreCenter\StartUpDualCoreCenter.exe
O4 - Global Startup: DynDNS Updater Tray Icon.lnk = D:\Programme\DynDNS Updater\DynTray.exe
O4 - Global Startup: Malwarebytes' Anti-Malware (2).lnk = D:\Programme\System-Tools\Sicherheit\Malwarebytes' Anti-Malware\mbam.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Ulead Photo Express Calendar Checker.lnk = D:\Programme\Ulead PE\CalCheck.exe
O4 - Global Startup: Yahoo! Widgets.lnk = D:\Programme\Yahoo! Widgets\YahooWidgets.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Programme\Yahoo!\Common\Yinsthelper.dll
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ASDM_Service - EnviProt - D:\Programme\AutoShutdownManager\Services\AutoShutdownManager_Service.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: DynDNS Updater - Dynamic Network Services, Inc. - d:\Programme\DynDNS Updater\DynUpSvc.exe
O23 - Service: EPSON V5 Service4(01) (EPSON_EB_RPCV4_01) - SEIKO EPSON CORPORATION - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40ST7.EXE
O23 - Service: EPSON V3 Service4(01) (EPSON_PM_RPCV4_01) - SEIKO EPSON CORPORATION - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40RP7.EXE
O23 - Service: FileZilla Server FTP server (FileZilla Server) - FileZilla Project - D:\Programme\FileZilla Server\FileZilla server.exe
O23 - Service: Folder Size (FolderSize) - Brio - D:\Programme\FolderSize\FolderSizeSvc.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Keyboard And Mouse Communication Service (KMWDSERVICE) - UASSOFT.COM - D:\Programme\Multimedia Keyboard Driver\KMWDSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\Cyberlink\Shared files\RichVideo.exe

--
End of file - 10075 bytes
Bin ich das Ding durch das einfache Löschen losgeworden, oder findet jemand noch Auffälligkeiten?

Danke Euch im Voraus!

Gruß
lil

nochdigger 17.04.2009 17:19
Hallo

entlasse die Datei bitte mal aus der Quarantäne von Malwarebytes
(Quarantäne --> Wiederherstellen --> bitte zum Desktop)
und lass die Datei hier Virustotal, hier virscan.org
oder hier Jotti überprüfen (kann einige Minuten dauern),
poste die gesamten Ergebnisse mit der Angabe der Größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben oder verlinke auf die Auswertung,
bitte auch wenn nichts gefunden wurde.

MFG

lilchilla 29.04.2009 15:57
Hy,

erst mal sorry für die sehr späte Antwort, ich hab das gemacht, hier ist der Link:
Virustotal. MD5: daee383586db76671c43a83c04e51283 Unclassified Malware Trojan.Win32.Malware.1 Trj/Agent.ISR

Übrigens häufen sich inzwischen schon wieder die Abstürze.. Insbesondere Copernic Desktop Search setzt ständig den Index zurück..
Die Datei ist 204kb groß..

nochdigger 29.04.2009 16:12
Hallo

Ich dachte eigentlich an einen Fehlalarm, schau dir bitte mal per rechtsklick auf die Datei die Eigenschaften (Hersteller, Version usw.) an und stelle sie uns zur Verfügung.

MFG

lilchilla 29.04.2009 16:54
Ich denke inzwischen auch eher an einen Fehlalarm, eben hat MBAM die Datei auf dem Desktop nämlich NICHT als Treffer gemeldet. Aber merkwürdig ist es trotzdem:

Version: 1.0.0.2
Beschreibung: DOT MFC Application
Copyright: Copyright (C) 2003 (?!!)

Es gibt in \system32\ auch noch eine WinSys.exe, die ist nur ein paar kb kleiner..

Dazu hab ich gerade auch noch das hier gefunden:
WinSys.exe Windows Prozess - Was ist das?

lilchilla 29.04.2009 17:08
Oha, könnte wohl zu meinem Nvidia Grafiktreiber gehören, sagt Google.. ;)
Sonst war da nichts auffälliges im Log?

nochdigger 29.04.2009 17:37
Hallo

Zitat:
Oha, könnte wohl zu meinem Nvidia Grafiktreiber gehören, sagt Google..
Ja Google ist garnicht soooo schlecht:D

Zitat:
Sonst war da nichts auffälliges im Log?
wenn du einen Brother und einen Epsondrucker gleichzeitig angeschlossen hast, nicht wirklich.

MFG

lilchilla 04.05.2009 13:48
Ja, hatte ich mal.
Besten Dank :)

Kann geschlossen werden (oder muss ich das machen?)

Gruß


Alle Zeitangaben in WEZ +1. Es ist jetzt 08:45 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55