|
TR/Drop.Delf.DJ.3 Hallo, habe den Trojaner TR/Drop.Delf.DJ.3 und würde ihn gerne loswerden. Das hijjackThis-Protokoll ist unten angegeben, ich bin aber mit der Auswertung etwas hilflos. Wer kann mir helfen? Viele Grüße Logfile of HijackThis v1.98.2 Scan saved at 21:21:28, on 11.11.2004 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\svchost.exe C:\WINNT\system32\LEXBCES.EXE C:\WINNT\system32\spoolsv.exe C:\WINNT\System32\msdtc.exe C:\Program Files\AVPersonal\AVGUARD.EXE C:\WINNT\System32\Ati2evxx.exe C:\Program Files\AVPersonal\AVWUPSRV.EXE C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\tcpsvcs.exe C:\WINNT\System32\snmp.exe C:\WINNT\system32\stisvc.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\mspmspsv.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\inetsrv\inetinfo.exe C:\WINNT\System32\mqsvc.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\Atiptaxx.exe C:\Program Files\AVPersonal\AVSCHED32.EXE C:\Program Files\QuickTime\qttask.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\AVPersonal\AVGNT.EXE C:\WINNT\system32\systime.exe C:\WINNT\system32\internat.exe C:\WINNT\system32\systime.exe C:\Program Files\Telekom\Eumex 704PC LAN\Capictrl.exe C:\Program Files\iPod\bin\iPodService.exe C:\WINNT\DvzCommon\DvzMsgr.exe C:\Program Files\Telekom\Eumex 704PC LAN\HNetCtrl.exe C:\Program Files\WinZip\WZQKPICK.EXE C:\Palm\HOTSYNC.EXE c:\Program Files\interMute\SpySubtract\SpySub.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE C:\PROGRA~1\WINZIP\winzip32.exe C:\Documents and Settings\Administrator.MICHAEL\Local Settings\Temp\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min O4 - HKLM\..\Run: [EumexInst] "E:\Setup.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min O4 - HKLM\..\Run: [SysTime] C:\WINNT\system32\systime.exe O4 - HKCU\..\Run: [internat.exe] internat.exe O4 - HKCU\..\Run: [SysTime] C:\WINNT\system32\systime.exe O4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE O4 - Global Startup: CAPIControl.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\Capictrl.exe O4 - Global Startup: Dataviz Messenger.lnk = C:\WINNT\DvzCommon\DvzMsgr.exe O4 - Global Startup: HomeNet Control.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\HNetCtrl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm |
Hallo, sten bitte im abgesicherten modus fixen: C:\WINNT\system32\systime.exe C:\WINNT\system32\systime.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://213.159.117.134/index.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://213.159.117.134/index.php O4 - HKLM\..\Run: [SysTime] C:\WINNT\system32\systime.exe O4 - HKCU\..\Run: [SysTime] C:\WINNT\system32\systime.exe Dann neues Logfile posten. Welcher scanner hat Dir angezeigt, daß Du TR/Drop.Delf.DJ.3 hast? Die Datei C:\WINNT\system32\systime.exe manuell löschen |
Hallo cacatoa, vielen Dank für deine Empfehlung. ich bin genauso vorgegangen. Hier kommt das Logfile: Logfile of HijackThis v1.98.2 Scan saved at 22:05:41, on 12.11.2004 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\userinit.exe C:\WINNT\Explorer.EXE C:\hijackthis1982\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min O4 - HKLM\..\Run: [EumexInst] "E:\Setup.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [internat.exe] internat.exe O4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE O4 - Global Startup: CAPIControl.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\Capictrl.exe O4 - Global Startup: Dataviz Messenger.lnk = C:\WINNT\DvzCommon\DvzMsgr.exe O4 - Global Startup: HomeNet Control.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\HNetCtrl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm Ist das Logfile OK? Zum Zeitpunkt des Befalls lief übrigens Antivir Guard. Viele Grüße, sten |
@Sten diese 2 einträge noch in den abgesicherten modus fixen O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm diese datei danach manuell löschen C:\WINNT\web\related.htm danach neu starten ist dieses logfile im normalen modus erstellt? wenn ja, dann sehe ich nichts auffälliges mehr. wenn nein, dann bitte ein im normalen modus erstellen. wo würde der TR/Drop.Delf.DJ.3 gefunden? chaosman |
@ chaosman Sch.... hab´ich doch glatt web\related übersehen.... Sorry. |
@ Zitat:
Danach - IE sicherer konfigurieren und nur noch für das Windows Update benutzen http://www.datenschutzzentrum.de/sel...sie/config.htm oder http://www.blafusel.de/ie.html - Sichere und komfortablere Browser wie z.B. Mozilla oder Firefox verwenden http://www.mozilla.org |
@chaosman danke für den Hinweis. Ich bin genau so vorgegangen; hier ist das Logfile, nicht im abgesicherten Modus: Logfile of HijackThis v1.98.2 Scan saved at 18:08:49, on 13.11.2004 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\svchost.exe C:\WINNT\system32\LEXBCES.EXE C:\WINNT\system32\spoolsv.exe C:\WINNT\System32\msdtc.exe C:\Program Files\AVPersonal\AVGUARD.EXE C:\WINNT\System32\Ati2evxx.exe C:\Program Files\AVPersonal\AVWUPSRV.EXE C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\tcpsvcs.exe C:\WINNT\System32\snmp.exe C:\WINNT\system32\stisvc.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\mspmspsv.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\inetsrv\inetinfo.exe C:\WINNT\System32\mqsvc.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\Atiptaxx.exe C:\Program Files\AVPersonal\AVSCHED32.EXE C:\Program Files\QuickTime\qttask.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\AVPersonal\AVGNT.EXE C:\WINNT\system32\internat.exe C:\Program Files\Telekom\Eumex 704PC LAN\Capictrl.exe C:\Program Files\iPod\bin\iPodService.exe C:\WINNT\DvzCommon\DvzMsgr.exe C:\Program Files\Telekom\Eumex 704PC LAN\HNetCtrl.exe C:\Program Files\InterMute\SpySubtract\SpySub.exe C:\Program Files\WinZip\WZQKPICK.EXE C:\WINNT\system32\wuauclt.exe C:\Palm\HOTSYNC.EXE C:\hijackthis1982\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min O4 - HKLM\..\Run: [EumexInst] "E:\Setup.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [internat.exe] internat.exe O4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE O4 - Global Startup: CAPIControl.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\Capictrl.exe O4 - Global Startup: Dataviz Messenger.lnk = C:\WINNT\DvzCommon\DvzMsgr.exe O4 - Global Startup: HomeNet Control.lnk = C:\Program Files\Telekom\Eumex 704PC LAN\HNetCtrl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE Ich bin durch eine google-Suche offensichtlich an eine infizierte web-page geraten. Antivir hat sofort Alarm geschlagen, und ich habe sofort die Netzverbindung getrennt und den Rechner ausgeschaltet, aber es war schon zu spät. Welche page das war, habe ich nicht erkennen können. Im logfile steht die Zeile MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000) Ich habe schon vor ein paar Wochen IE upgedated und erhalte unter help/About die Info: Version: 6.0.2800.1106 Update Versions: SP1; Q823353; Q833989 Was hat dieser Unterschied in den angezeigten Versionen zu bedeuten? Schon mal danke und schönen Gruß sten |
Das Logfile ist jetzt sauber. Du kannst ja nochmal im abgesicherten Modus Deinen Antivier laufen lassen, aber ich glaube, er wird nichts mehr finden. |
Habe ich gemacht, und nun scheint alles in Ordnung zu sein. Ich bedanke mich ganz herzlich bei allen, die mit Tips gegeben haben. Ich weiß wirklich nicht, wie ich das Problem alleine hätte lösen können. Also nochmal vielen Dank, sten |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:52 Uhr. |
Copyright ©2000-2025, Trojaner-Board