Trojaner-Board - TR/Dldr.Small.MT problemz help

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - TR/Dldr.Small.MT problemz help (https://www.trojaner-board.de/9982-tr-dldr-small-mt-problemz-help.html)

TR/Dldr.Small.MT problemz help

kann mir jemand helfen bitte!!!!!

Logfile of HijackThis v1.98.2
Scan saved at 15:20:56, on 23.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Winamp\winampa.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\system32\xpsp2fw.exe
C:\WINDOWS\system32\dvppatdui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\wuclient.exe
C:\mysql\bin\mysqld-nt.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Gamers.IRC\mirc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Stefan Hülk\Desktop\hijackthis_198\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R3 - URLSearchHook: (no name) - {981D49B6-0444-8F43-726C-5674F1FD74F7} - C:\WINDOWS\system32\dvppatdui.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Starter] C:\WINDOWS\System32\STARTER.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [RUNDLL] c:\windows\system32\rundll32\svchost.exe
O4 - HKLM\..\Run: [svc] rundll32.exe
O4 - HKLM\..\Run: [secure] c:\windows\system32\secure\rundll32.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [XPSP2 Firewall] C:\WINDOWS\system32\xpsp2fw.exe
O4 - HKLM\..\Run: [B899A4F6] C:\WINDOWS\system32\dvppatdui.exe
O4 - HKLM\..\Run: [F1AD30C6] C:\WINDOWS\system32\rorcryp.exe
O4 - HKLM\..\Run: [81034DEB] C:\WINDOWS\system32\pardsnw.exe
O4 - HKLM\..\Run: [DA03504E] C:\WINDOWS\system32\roomrawe.exe
O4 - HKLM\..\Run: [E1890C4E] C:\WINDOWS\system32\4svcedit.exe
O4 - HKLM\..\Run: [173D277E] C:\WINDOWS\system32\l32apiatm.exe
O4 - HKLM\..\Run: [CE811BEE] C:\WINDOWS\system32\calanap.exe
O4 - HKLM\..\Run: [96ECB676] C:\WINDOWS\system32\sipcatryp.exe
O4 - HKLM\..\Run: [5B20196E] C:\WINDOWS\system32\vitedrm.exe
O4 - HKLM\..\Run: [FAAB3BE3] C:\WINDOWS\system32\ndsycpvc.exe
O4 - HKLM\..\Run: [80292DD3] C:\WINDOWS\system32\aaodca.exe
O4 - HKLM\..\Run: [932E44C3] C:\WINDOWS\system32\dsldatsr.exe
O4 - HKLM\..\Run: [800B98DE] C:\WINDOWS\system32\olepte.exe
O4 - HKLM\..\Run: [9A83950E] C:\WINDOWS\system32\3d8ispe.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Windows Update Client ] C:\WINDOWS\system32\wuclient.exe
O4 - HKCU\..\Run: [B899A4F6] C:\WINDOWS\system32\dvppatdui.exe
O4 - HKCU\..\Run: [F1AD30C6] C:\WINDOWS\system32\rorcryp.exe
O4 - HKCU\..\Run: [81034DEB] C:\WINDOWS\system32\pardsnw.exe
O4 - HKCU\..\Run: [DA03504E] C:\WINDOWS\system32\roomrawe.exe
O4 - HKCU\..\Run: [E1890C4E] C:\WINDOWS\system32\4svcedit.exe
O4 - HKCU\..\Run: [173D277E] C:\WINDOWS\system32\l32apiatm.exe
O4 - HKCU\..\Run: [CE811BEE] C:\WINDOWS\system32\calanap.exe
O4 - HKCU\..\Run: [96ECB676] C:\WINDOWS\system32\sipcatryp.exe
O4 - HKCU\..\Run: [5B20196E] C:\WINDOWS\system32\vitedrm.exe
O4 - HKCU\..\Run: [FAAB3BE3] C:\WINDOWS\system32\ndsycpvc.exe
O4 - HKCU\..\Run: [80292DD3] C:\WINDOWS\system32\aaodca.exe
O4 - HKCU\..\Run: [932E44C3] C:\WINDOWS\system32\dsldatsr.exe
O4 - HKCU\..\Run: [800B98DE] C:\WINDOWS\system32\olepte.exe
O4 - HKCU\..\Run: [9A83950E] C:\WINDOWS\system32\3d8ispe.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe (file missing)
O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: ConferenceRoom Java Client - http://root24.net:8000/java/cr.cab
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com.../c381/chat.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com...45/yacscom.cab
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...tatsClient.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0675B8A2-EEAF-4DD6-9920-E75FECA5C303}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{1BF2537E-078D-49D4-AA49-C5ACBE430D13}: NameServer = 217.237.151.225 217.237.150.225
O17 - HKLM\System\CS1\Services\Tcpip\..\{0675B8A2-EEAF-4DD6-9920-E75FECA5C303}: NameServer = 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0675B8A2-EEAF-4DD6-9920-E75FECA5C303}: NameServer = 192.168.0.1

Zitat:

Platform: Windows XP SP1 (WinNT 5.01.2600)

Da fehlt das SP2!

Scan bitte mal mit eScan: http://www.trojaner-board.de/42731-escan-anleitung.html
Gehe genau nach Anleitung vor und poste anschließend, welche Schädlinge gefunden wurden:

Zitat:

"öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen (Cidre)

Gruß :daumenhoc
Yopie

File C:\WINDOWS\system32\dvppatdui.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File c:\windows\system32\rundll32\svchost.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.
File c:\windows\system32\secure\rundll32.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.
File C:\WINDOWS\system32\dvppatdui.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\rorcryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\calanap.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\sipcatryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\aaodca.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\dsldatsr.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\olepte.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\3d8ispe.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\dvppatdui.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\rorcryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\calanap.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\sipcatryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\aaodca.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\dsldatsr.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\olepte.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\3d8ispe.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\3d8ispe.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\aaodca.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\calanap.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\dsldatsr.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\dvppatdui.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\l32apiatm.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\ndsycpvc.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\olepte.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\rorcryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\System32\sipcatryp.exe infected by "Trojan.Win32.Small.bu" Virus. Action Taken: No Action Taken.

Lösche die von eScan angemeckerten Trojaner im abgesicherten Modus; also alles bis auf
File c:\windows\system32\rundll32\svchost.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.
File c:\windows\system32\secure\rundll32.exe tagged as not-a-virus:RiskWare.mIRC.6.0. No Action Taken.

Anschließend kannst Du die Trojaner-Einträge mit HJT fixen.

Wenn alles wieder sauber ist, beherzige die Hinweise unter http://www.mathematik.uni-marburg.de...ompromise.html

Gruß :daumenhoc
Yopie

wenn ich z.b. browser öffne (hab als startseite google) und ich geb web.de ein komm ich immer zu ner porno seite ich kann nur auf andere seite gelangen indem ich auf links klicke die mir jemand gibt...nur als info

Beende vorher die laufenden Prozesse, die zum Trojaner gehören. Dann evtl. nochmal die Dateien löschen.

Gruß :daumenhoc
Yopie

wenn ich wüsste welceh das wären

wäre ganz nett wenn du mal ins teamspeak kommen könntenst ist leichter als hier alles zu schreiben ip: 62.75.246.183:1985

Du, ich bin kein Gamer.... :rolleyes:

Vergleich einfach mal die Dateinamen der laufenden Prozesse mit den Dateinamen der gefundenen Trojaner, vielleicht hilft Dir das weiter.

Gruß :daumenhoc
Yopie

hab ich schon aber nix gefunden

Hast Du das ganze mal im abgesicherten Modus versucht?

Im Taskmanager sollte unter den lfd. Prozessen "dvppatdui.exe" stehen. Diesen Prozess beenden.

Vielleicht hilft Dir auch Killbox weiter.
Anleitung von raman: http://www.rokop-security.de/board/i...showtopic=3867

Gruß :daumenhoc
Yopie

was soll ich denn jetzt tun?!

Genau das, was dir im letzten Post von Yopie empfohlen wurde.
Danach postest du ein aktuelles Log-File.

naja format c hat geholfen