Trojaner-Board - Trojaner...

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Trojaner... (https://www.trojaner-board.de/12491-trojaner.html)

Hallo...ich hoffe, jemand kann mir helfen. Ich habe auf meinem Pc den Trojaner
TR/2ndThought.AA.1 und kann ihn nicht löschen :crazy: ! Bin für Hilfe dankbar...achja.. ich hab Windows XP Home .
Lieben Dank
Targia

Hallo,

poste bitte ein Logfile von HijackThis hier her!

http://hijackthis.de/downloads/hijackthis_199.zip

Anleitung

http://filepony.de/download-hijackthis/

Gruss

Puh...ich muss echt sagen...ich war schonmal hier und es wird einem ja sofort geholfen. Nur, ich weiß nicht, was sie damit meinen....*schäm! Erklären sie mir mal für "doofe"?????
Danke

Zitat:

Zitat von Targia

Puh...ich muss echt sagen...ich war schonmal hier und es wird einem ja sofort geholfen. Nur, ich weiß nicht, was sie damit meinen....*schäm! Erklären sie mir mal für "doofe"?????
Danke

hehe also mit dem sietzen habe ich es nich so ;)

unter http://filepony.de/download-hijackthis/ ist eine bebilderte Anleitung,ganz easy :)

Ok...hallo Kautz..*lach...na jetzt hab ich alles runtergeladen, gescannt und neu gestartet...er ist immer noch drauf..... :o(

und nu???

Hallo Targia

Zitat:

Nur, ich weiß nicht, was sie damit meinen...Erklären sie mir mal für "doofe"?????

Damit ist Folgendes gemeint: HJT erstellt eine Log-Datei, aus der die laufenden Prozesse und wichtigen Einträge aus der Registrierungsdatenbank, samt die Einträge, die mit dem Start des Systems auch die verschiedenen Programme starten, ersichtlich seien sollten. Wenn ein erfahrener Benutzer den Log durchschaut, kann er das Befinden der Schädlings-Programme am Rechner feststellen/vermuten.
Wenn du schon aber den Trojaner mit einem anderen Programm gefunden hast, löschen ihn kannst du aber nicht, musst du deinen PC neu installieren und danach vernünftig absichern.
Info: http://faq.underflow.de/ (am Besten alles ausdrucken, Bildrahmen kaufen, am PC an die Wand festnageln und als "Vater Unser.." täglich lesen)

Hallo,

mein Virenscanner hat ebenfalls diesen (angeblichen) Trojaner angezeigt TR/2ndThought/AA.1 und TR/2ndThought/AA.2

hier mein logfile :

Logfile of HijackThis v1.99.0
Scan saved at 00:01:56, on 23.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\DOKUME~1\KedDy\LOKALE~1\Temp\Temporäres Verzeichnis 3 für hijackthis_199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://f6.parsimony.net/forum6482/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [AIM] C:\Programme\AIM95\aim.exe -cnetwait.odl
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105200691225
O17 - HKLM\System\CCS\Services\Tcpip\..\{E367FD57-A589-4258-A252-54467B64DF16}: NameServer = 212.62.64.34 212.62.68.34
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InCD File System Service - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe

gruß,
puRiTy

@ puRiTy

Dein Log-File weist auf keine Auffälligkeiten hin.
Welche Datei wurde von AntiVir vermeintlich als TR/2ndThought/AA.1 erkannt?

Zitat:

C:\Programme\Java\j2re1.4.2_01\bin\jusched.exe

Solltest du updaten, siehe http://www.heise.de/newsticker/meldung/55396

danke für deine antwort.
der meinte bei dem trojaner was von einer datei wie hyperlinker.exe
meinte mein bruder. sorry. ich hab nicht viel ahnung

Eventuell könnte dies zutreffen -> http://de.trendmicro-europe.com/ente...ENT.CO&VSect=T

Führe mal dies aus ->
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hi,
ich hab versucht alles so zu machen wie du es mir gesagt hast. Wenn was nicht stimmt/was fehlt oder so sag mir einfach bescheid. Hier die Info's:

Sun Jan 23 16:56:58 2005 => File C:\WINDOWS\system32\cd_clint.dll infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.

Sun Jan 23 16:56:58 2005 => File C:\WINDOWS\system32\cd_htm.dll infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.

Sun Jan 23 16:57:21 2005 => File C:\WINDOWS\system32\InstaFinder_inst.exe infected by "not-a-virus:AdWare.InstaFinder.a" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:06:17 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004370.exe infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004371.dll infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004372.dll infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004373.dll infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004374.dll infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:10 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004377.exe infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:11 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004379.dll infected by "not-a-virus:AdWare.Gator.3124" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:11 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004380.dll infected by "not-a-virus:AdWare.Gator.5115" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:11 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004381.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:11 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004382.exe infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:11 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004385.dll infected by "not-a-virus:AdWare.Gator.6051" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:12 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004388.exe infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:12 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004392.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:12 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004393.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:12 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004394.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:13 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004395.dll infected by "not-a-virus:AdWare.Gator.5017" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:13 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004396.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:13 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004397.exe infected by "not-a-virus:AdWare.Gator.6034" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:13 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004398.exe infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004400.exe infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004405.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004406.exe infected by "not-a-virus:AdWare.Gator.6034" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004407.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004408.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004409.dll infected by "not-a-virus:AdWare.Gator.3124" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004410.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004411.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004412.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004413.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:14 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004415.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:15 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP27\A0004416.dll infected by "not-a-virus:AdWare.Gator.6041" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004947.dll infected by "not-a-virus:AdWare.EZula.ae" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004948.dll infected by "not-a-virus:AdWare.EZula.x" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004949.exe infected by "not-a-virus:AdWare.EZula.z" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004951.dll infected by "not-a-virus:AdWare.EZula.ab" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004955.dll infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:53 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004957.dll infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:54 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004964.exe infected by "not-a-virus:AdWare.NewDotNet" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:54 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004965.exe infected by "not-a-virus:AdWare.ToolBar.Quick.a" Virus. Action Taken: No Action Taken.

der Rest

Sun Jan 23 17:17:54 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004974.exe infected by "not-a-virus:AdWare.EZula.ak" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:55 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004975.exe infected by "not-a-virus:AdWare.EZula.ak" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:55 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004992.exe infected by "not-a-virus:AdWare.EZula.ak" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:56 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0004993.exe infected by "not-a-virus:AdWare.EZula.ak" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:17:56 2005 => File C:\System Volume Information\_restore{34F422EF-ACA1-411F-8135-C0BB94CA9F13}\RP34\A0005001.exe infected by "not-a-virus:AdWare.EZula.u" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:22:12 2005 => File C:\WINDOWS\Downloaded Program Files\instafin.dll infected by "Trojan.Win32.Delf.gh" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:32:42 2005 => File C:\WINDOWS\system32\cd_clint.dll infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:32:42 2005 => File C:\WINDOWS\system32\cd_htm.dll infected by "not-a-virus:AdWare.Cydoor" Virus. Action Taken: No Action Taken.

Sun Jan 23 17:34:22 2005 => File C:\WINDOWS\system32\InstaFinder_inst.exe infected by "not-a-virus:AdWare.InstaFinder.a" Virus. Action Taken: No Action Taken.

ich denke mal das einzige bedenkliche ist der Trojan.Win32.Delf.gh oder?

gruß,
puRiTy

Zitat:

C:\System Volume Information\_restore

Die bekommst du so weg:
=> Systemwiederherstellung deaktivieren -> Neustart -> Systemwiederherstellung aktivieren

Den Rest im abgesicherten Modus löschen.

du? das klingt jetzt ziemlich dumm aber wie lösche ich im abgesichterten modus? ich hab von sowas absolut keine ahnung.

Wechsle in den abgesicherten Modus http://www.bsi.bund.de/av/texte/wiederher_xp.htm -> lösche die von eScan beanstandeten Dateien.

Falls du nicht wissen solltest, wie man Dateien oder Ordner löscht, dann rufe die Windows Hilfe (Hilfe&Support) mit Win Taste+F1 auf. Gib dort "Dateien löschen" ein und lese.