Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   TR/Spy.Farko.mg - Wie werde ich ihn los? (https://www.trojaner-board.de/118834-tr-spy-farko-mg-ihn-los.html)

Roquit 08.07.2012 01:15
TR/Spy.Farko.mg - Wie werde ich ihn los?
 
Moin!

Der Trojaner TR/Spy.Farko.mg schleicht sich immer wieder in diese Datei rein: C:\WINDOWS\system32\AcroIEHelpe.dll. Egal wie oft ich ihn in die Qurantäne verschiebe.

Was gibt es für Möglichkeiten den loszuwerden, am besten ohne den PC zu formatieren?

__________________

Typ: Datei
Quelle: C:\WINDOWS\system32\AcroIEHelpe.dll
Status: Infiziert
Quarantäne-Objekt: 538b6bbf.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows XP/VISTA Workstation/Windows 7
Suchengine: 8.02.10.106
Virendefinitionsdatei: 7.11.35.120
Meldung: TR/Spy.Farko.mg
Datum/Uhrzeit: 08.07.2012, 02:05

__________________


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Sonntag, 8. Juli 2012 01:46

Es wird nach 3845887 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - Free Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Microsoft Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : HAUKEPC

Versionsinformationen:
BUILD.DAT : 12.0.0.1125 41829 Bytes 02.05.2012 16:34:00
AVSCAN.EXE : 12.3.0.15 466896 Bytes 08.05.2012 14:59:57
AVSCAN.DLL : 12.3.0.15 66256 Bytes 08.05.2012 14:59:57
LUKE.DLL : 12.3.0.15 68304 Bytes 08.05.2012 14:59:57
AVSCPLR.DLL : 12.3.0.14 97032 Bytes 08.05.2012 14:59:57
AVREG.DLL : 12.3.0.17 232200 Bytes 10.05.2012 14:59:48
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 10:49:21
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 07:56:15
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 07:56:21
VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 13:47:33
VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:41:03
VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 20:43:26
VBASE006.VDF : 7.11.34.117 2048 Bytes 29.06.2012 20:43:26
VBASE007.VDF : 7.11.34.118 2048 Bytes 29.06.2012 20:43:26
VBASE008.VDF : 7.11.34.119 2048 Bytes 29.06.2012 20:43:26
VBASE009.VDF : 7.11.34.120 2048 Bytes 29.06.2012 20:43:26
VBASE010.VDF : 7.11.34.121 2048 Bytes 29.06.2012 20:43:26
VBASE011.VDF : 7.11.34.122 2048 Bytes 29.06.2012 20:43:26
VBASE012.VDF : 7.11.34.123 2048 Bytes 29.06.2012 20:43:26
VBASE013.VDF : 7.11.34.124 2048 Bytes 29.06.2012 20:43:26
VBASE014.VDF : 7.11.34.201 169472 Bytes 02.07.2012 14:52:17
VBASE015.VDF : 7.11.35.19 122368 Bytes 04.07.2012 14:52:20
VBASE016.VDF : 7.11.35.87 146944 Bytes 06.07.2012 14:52:22
VBASE017.VDF : 7.11.35.88 2048 Bytes 06.07.2012 14:52:22
VBASE018.VDF : 7.11.35.89 2048 Bytes 06.07.2012 14:52:22
VBASE019.VDF : 7.11.35.90 2048 Bytes 06.07.2012 14:52:23
VBASE020.VDF : 7.11.35.91 2048 Bytes 06.07.2012 14:52:23
VBASE021.VDF : 7.11.35.92 2048 Bytes 06.07.2012 14:52:23
VBASE022.VDF : 7.11.35.93 2048 Bytes 06.07.2012 14:52:23
VBASE023.VDF : 7.11.35.94 2048 Bytes 06.07.2012 14:52:23
VBASE024.VDF : 7.11.35.95 2048 Bytes 06.07.2012 14:52:23
VBASE025.VDF : 7.11.35.96 2048 Bytes 06.07.2012 14:52:23
VBASE026.VDF : 7.11.35.97 2048 Bytes 06.07.2012 14:52:23
VBASE027.VDF : 7.11.35.98 2048 Bytes 06.07.2012 14:52:23
VBASE028.VDF : 7.11.35.99 2048 Bytes 06.07.2012 14:52:23
VBASE029.VDF : 7.11.35.100 2048 Bytes 06.07.2012 14:52:23
VBASE030.VDF : 7.11.35.101 2048 Bytes 06.07.2012 14:52:23
VBASE031.VDF : 7.11.35.120 18944 Bytes 07.07.2012 14:52:23
Engineversion : 8.2.10.106
AEVDF.DLL : 8.1.2.8 106867 Bytes 01.06.2012 15:22:12
AESCRIPT.DLL : 8.1.4.32 455034 Bytes 05.07.2012 14:53:59
AESCN.DLL : 8.1.8.2 131444 Bytes 23.03.2012 13:49:21
AESBX.DLL : 8.2.5.12 606578 Bytes 15.06.2012 05:11:11
AERDL.DLL : 8.1.9.15 639348 Bytes 31.01.2012 07:55:37
AEPACK.DLL : 8.2.16.22 807288 Bytes 21.06.2012 14:19:08
AEOFFICE.DLL : 8.1.2.40 201082 Bytes 28.06.2012 15:35:00
AEHEUR.DLL : 8.1.4.64 5009782 Bytes 05.07.2012 14:53:59
AEHELP.DLL : 8.1.23.2 258422 Bytes 28.06.2012 15:34:08
AEGEN.DLL : 8.1.5.32 434548 Bytes 06.07.2012 14:52:23
AEEXP.DLL : 8.1.0.60 86388 Bytes 05.07.2012 14:54:00
AEEMU.DLL : 8.1.3.0 393589 Bytes 31.01.2012 07:55:34
AECORE.DLL : 8.1.25.10 201080 Bytes 01.06.2012 15:22:05
AEBB.DLL : 8.1.1.0 53618 Bytes 31.01.2012 07:55:33
AVWINLL.DLL : 12.3.0.15 27344 Bytes 08.05.2012 14:59:56
AVPREF.DLL : 12.3.0.15 51920 Bytes 08.05.2012 14:59:57
AVREP.DLL : 12.3.0.15 179208 Bytes 08.05.2012 14:59:57
AVARKT.DLL : 12.3.0.15 211408 Bytes 08.05.2012 14:59:57
AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 08.05.2012 14:59:57
SQLITE3.DLL : 3.7.0.1 398288 Bytes 08.05.2012 14:59:57
AVSMTP.DLL : 12.3.0.15 63440 Bytes 08.05.2012 14:59:57
NETNT.DLL : 12.3.0.15 17104 Bytes 08.05.2012 14:59:57
RCIMAGE.DLL : 12.3.0.15 4447952 Bytes 08.05.2012 14:59:56
RCTEXT.DLL : 12.3.0.15 98512 Bytes 08.05.2012 14:59:56

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ff80b12\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: reparieren
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Sonntag, 8. Juli 2012 01:46

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DiskDefrag.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Server4PC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Server4PC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MOM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RocketDock.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hamachi-2-ui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PnkBstrA.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hamachi-2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\WINDOWS\system32\AcroIEHelpe.dll'
C:\WINDOWS\system32\AcroIEHelpe.dll
[FUND] Ist das Trojanische Pferd TR/Spy.Farko.mg
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '538b6bbf.qua' verschoben!


Ende des Suchlaufs: Sonntag, 8. Juli 2012 01:46
Benötigte Zeit: 00:11 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
38 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
37 Dateien ohne Befall
0 Archive wurden durchsucht
0 Warnungen
1 Hinweise
_____________________

Danke schon mal im vorraus!

cosinus 12.07.2012 15:20
Bitte erstmal routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

  • Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
  • Lade und starte Eset Online Scanner
  • Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
  • Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
  • Klicke auf Starten.
  • Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Klicke am Ende des Suchlaufs auf Fertig stellen.
  • Schließe das Fenster von ESET.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset





Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:
hier steht das Log

Roquit 13.07.2012 05:12
So hier der Malwarebytes Log:

Code:
Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.07.12.10

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Hauke :: HAUKEPC [Administrator]

12.07.2012 21:30:25
mbam-log-2012-07-12 (21-30-25).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 391612
Laufzeit: 1 Stunde(n), 51 Minute(n), 57 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 1
C:\WINDOWS\system32\xmldm (Stolen.Data) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateien: 3
C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP47\A0012273.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP77\A0018463.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP86\A0022698.dll (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)


und hier der Eset Log:

Code:
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=9ca347f82fe35742a9e88f734b945815
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-13 01:03:40
# local_time=2012-07-13 03:03:40 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1792 16777191 100 0 9622502 9622502 0 0
# compatibility_mode=8192 67108863 100 0 208 208 0 0
# scanned=109518
# found=4
# cleaned=0
# scan_time=12168
C:\Dokumente und Einstellungen\Hauke.HAUKEPC\Eigene Dateien\Downloads\LR2P.rar        a variant of Win32/Kryptik.EIF trojan (unable to clean)        00000000000000000000000000000000        I
C:\Programme\Crysis - Maximum Edition\Crysis\Crysis.iso        probably a variant of Win32/Spy.Agent.FEABBFZ trojan (unable to clean)        00000000000000000000000000000000        I
C:\WINDOWS\system32\12001.035\components\AcroFF035.dll        a variant of Win32/Spy.Banker.YCR trojan (unable to clean)        00000000000000000000000000000000        I
${Memory}        a variant of Win32/Spy.Banker.YCR trojan        00000000000000000000000000000000        I

cosinus 13.07.2012 14:19
Zitat:
C:\Dokumente und Einstellungen\Hauke.HAUKEPC\Eigene Dateien\Downloads\LR2P.rar
C:\Programme\Crysis - Maximum Edition\Crysis\Crysis.iso
Wenn man sich gecrackte Spiele und Programme von 1Click-Hostern besorgt muss man sich über Schädlinge wie Banking-Trojaner und Ableger auch nicht mehr wundern! :pfui:

Siehe auch => http://www.trojaner-board.de/95393-c...-software.html

Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support ohne jegliche Diskussion beenden.

Cracks/Keygens sind zu 99,9% gefährliche Schädlinge, mit denen man nicht spaßen sollte. Ausserdem sind diese illegal und wir unterstützen die Verwendung von geklauter Software nicht. Somit beschränkt sich der Support auf Anleitung zur kompletten Neuinstallation!!

Dass illegale Cracks und Keygens im Wesentlichen dazu dienen, Malware zu verbreiten ist kein Geheimnis und muss jedem klar sein!


In Zukunft Finger weg von: Softonic, Registry-Bereinigern und illegalem Zeugs Cracks/Keygens/Serials


Alle Zeitangaben in WEZ +1. Es ist jetzt 21:37 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131