Hijackthis logfile Trojaner Problem
 

hallo

ich hatte heute 2 trojaner auf meinem diese konnten von avira entfernt und in quarantäne verschoben werden allerdings öfnnet sich jetzt immer der microsoft internet explorer und zeigt mir irgendwelche schwarzbraunen stiefeletten auf billiger.de xD erstens benutz ich kein ms internet exploerer und ich schaue mir auch keine stiefeletten an .
habe die vermutung das das noch mit den trojanern zutun hat vieleicht kann mir ja einer on euch helfen .

also . die trojaner waren SPR/tool-inge und Java agent 212

hier die logfile :

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 18:48:51, on 10.11.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TuneUp Utilities 2011\TuneUpUtilitiesService32.exe
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\TuneUp Utilities 2011\TuneUpUtilitiesApp32.exe
C:\Dokumente und Einstellungen\speedy\Eigene Dateien\Downloads\HiJackThis204.exe
C:\DOKUME~1\speedy\LOKALE~1\Temp\Gxr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://search.bearshare.com/de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [U36VRSFLG6] C:\DOKUME~1\speedy\LOKALE~1\Temp\Gxr.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [{D4B2B43E-04DF-3CF5-55E0-8F07B9BBE4C5}] "C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Isvue\qyezs.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - hxxp://wwwimages.adobe.com/www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{199C8F6A-29F9-4B0E-AD46-19E314347387}: NameServer = 195.50.140.246 195.50.140.114
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: ServiceLayer - Nokia - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Programme\TuneUp Utilities 2011\TuneUpUtilitiesService32.exe

--
End of file - 5515 bytes


hilfeeeeeeee bitte :knuddel:

1. schreibe mit satzzeichen, das kann ja keiner lesen.
2. öffne avira, ereignisse, poste die fundmeldungen.
3.
ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten.

so erstmal die fundmeldungen :

die erste fundmeldung:

Die Datei 'C:\Dokumente und Einstellungen\speedy\Eigene Dateien\ICQ\295059561\ReceivedFiles\75938359 [B.H.G]=Devil\iNGEn_XPsp2_v2.1.exe'
enthielt einen Virus oder unerwünschtes Programm 'SPR/Tool.Inge' [riskware].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4e312408.qua' verschoben!

die zweite fundmeldung:

Die Datei 'C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\15\6ff0e00f-473aea1d'
enthielt einen Virus oder unerwünschtes Programm 'JAVA/Agent.2212' [virus].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4e2f29c0.qua' verschoben!

OTL Logfile:
--- --- ---

OTL EXTRAS Logfile:
--- --- ---

sodele ich hoffe das war richtig so

kann mir jemand weiterhelfen was ich machen kann ?:(

siehst du vllt wie viel im forum zu tun is? also bitte gedulde dich gefälligst es sind auch noch andere da.


• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

:OTL
PRC - C:\Dokumente und Einstellungen\speedy\Lokale Einstellungen\Temp\Gxr.exe (Opera Software)
SRV - (SSHNAS) -- C:\WINDOWS\system32\sshnas21.dll (Opera Software)
O3 - HKU\S-1-5-21-1123561945-963894560-725345543-1003\..\Toolbar\WebBrowser: (no name) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - No CLSID value found
O3 - HKU\S-1-5-21-1123561945-963894560-725345543-1003\..\Toolbar\WebBrowser: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found
O4 - HKU\S-1-5-21-1123561945-963894560-725345543-1003..\Run: [{D4B2B43E-04DF-3CF5-55E0-8F07B9BBE4C5}] C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Isvue\qyezs.exe
()
O4 - HKU\S-1-5-21-1123561945-963894560-725345543-1003..\Run: [U36VRSFLG6] C:\Dokumente und Einstellungen\speedy\Lokale Einstellungen\Temp\Gxr.exe (Opera
Software)
[2010.11.09 18:15:43 | 000,208,896 | ---- | C] (Opera Software) -- C:\WINDOWS\Gzuhaa.exe
[2010.11.09 18:15:35 | 000,274,432 | ---- | C] (Opera Software) -- C:\WINDOWS\System32\sshnas21.dll
[2010.10.28 16:38:37 | 000,000,000 | -HSD | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{24036256-BFDB-4CD3-BE8A-A3D6160F2E16}
[2010.11.10 18:40:00 | 000,000,248 | -H-- | M] () -- C:\WINDOWS\tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job
[2010.11.10 18:35:07 | 000,000,286 | -H-- | M] () -- C:\WINDOWS\tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job
[2010.11.10 18:08:05 | 000,000,286 | -H-- | M] () -- C:\WINDOWS\tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job
[2010.11.10 16:26:41 | 000,090,112 | -H-- | M] () -- C:\WINDOWS\System32\a.exe
[2010.10.28 16:38:37 | 000,000,000 | -HSD | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{24036256-BFDB-4CD3-BE8A-A3D6160F2E16}
[2010.11.10 18:08:24 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Acehab
[2009.12.19 13:38:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Isvue
:FILES
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort posten.

öffne den arbeitsplatz, dort c: dann rechtsklick auf _OTL und zu _OTL.rar oder zip hinzufügen.
archiv zu uns hochladen.
http://www.trojaner-board.de/54791-a...ner-board.html

All processes killed
========== OTL ==========
No active process named Gxr.exe was found!
Error: Unable to stop service SSHNAS!
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SSHNAS deleted successfully.
C:\WINDOWS\system32\sshnas21.dll moved successfully.
Registry value HKEY_USERS\S-1-5-21-1123561945-963894560-725345543-1003\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{855F3B16-6D32-4FE6-8A56-BBB695989046} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{855F3B16-6D32-4FE6-8A56-BBB695989046}\ not found.
Registry value HKEY_USERS\S-1-5-21-1123561945-963894560-725345543-1003\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{EEE6C35B-6118-11DC-9C72-001320C79847} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}\ not found.
Registry value HKEY_USERS\S-1-5-21-1123561945-963894560-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run\\{D4B2B43E-04DF-3CF5-55E0-8F07B9BBE4C5} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4B2B43E-04DF-3CF5-55E0-8F07B9BBE4C5}\ not found.
C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Isvue\qyezs.exe moved successfully.
Registry value HKEY_USERS\S-1-5-21-1123561945-963894560-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run\\U36VRSFLG6 deleted successfully.
C:\Dokumente und Einstellungen\speedy\Lokale Einstellungen\Temp\Gxr.exe moved successfully.
C:\WINDOWS\Gzuhaa.exe moved successfully.
File C:\WINDOWS\System32\sshnas21.dll not found.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{24036256-BFDB-4CD3-BE8A-A3D6160F2E16} folder moved successfully.
C:\WINDOWS\tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job moved successfully.
C:\WINDOWS\tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job moved successfully.
C:\WINDOWS\tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job moved successfully.
C:\WINDOWS\system32\a.exe moved successfully.
Folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{24036256-BFDB-4CD3-BE8A-A3D6160F2E16}\ not found.
C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Acehab folder moved successfully.
C:\Dokumente und Einstellungen\speedy\Anwendungsdaten\Isvue folder moved successfully.
========== FILES ==========
========== COMMANDS ==========

[EMPTYFLASH]

User: All Users

User: Default User

User: LocalService

User: NetworkService
->Flash cache emptied: 436 bytes

User: speedy
->Flash cache emptied: 119975 bytes

Total Flash Files Cleaned = 0,00 mb


[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 0 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 0 bytes

User: speedy
->Temp folder emptied: 1103699 bytes
->Temporary Internet Files folder emptied: 282133571 bytes
->Java cache emptied: 41916365 bytes
->FireFox cache emptied: 46437379 bytes
->Flash cache emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 4029951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1983071 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 360,00 mb


OTL by OldTimer - Version 3.2.17.3 log created on 11102010_231019

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

moin
danke erstmal für die hilfe

ich weiß nicht ob das bei den vorherigen geklappt hat ich habe aber schon wieder einen neuen trojaner gefunden :

[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen3
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4e7810ea.qua' verschoben!


vieleicht kann mir dabei auch einer helfen

hier nochmal die fundmeldung:


Die Datei 'C:\_OTL.rar'
enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen3' [trojan].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4e7810ea.qua' verschoben!

HiJackthis Logfile:
--- --- ---

1. avira guard deaktivieren, klick auf schirm, guard deaktivieren.
2. avira öffnen, verwaltung, quarantäne, _OTL.rar auswählen, wiederherstellen in, desktop.
3. die datei zu uns hochladen wie ich dich gestern drumm gebeten hab.

ich habe gestern die datei hochgeladen

ist keine datei da, noch mal