Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Trojaner Doanload win32.ladder (https://www.trojaner-board.de/1848-trojaner-doanload-win32-ladder.html)

Rider 01.06.2004 22:57

Hallo Leute,
werde das Teil nicht los. Temporäre Dateien sind gelöscht, die Datei: Notepad.exe im System 32 ist weder im abgesicherten noch im normalen Modus zu finden und ich weiß nicht weiter.Windows Updates ausgeführt, Sicherheitsupdates konnten nicht installiert werden.Poste highjack log und letzten Scan. Wer hat einen Tip?
Gruß an Remover - schön dich hier zu sehen (der Name Bruce war leider schon vergeben)
Gruß aus Berlin


Scan-Bericht
Montag, 31. Mai 2004 23:22:51

Optionen
Ziel:

* C:\ F:\ G:\ H:\ I:\

Aktion:

* Infizierte Dateien desinfizieren

Scan-Optionen:

* Scannen von Dateien mit folgenden Erweiterungen: ACM ASD ASP AX BAT BIN BOO CHM CNV COM CPL CSC DLL DO? DRV EML EXE HLP HTA HTM HTML HTT INF INI JS JSE LNK MDB MPD MPP MPT MSG MSO NWS OBD OBT OCX OV? PCI PDF PIF POT PP? PRC PWZ QWE RTF SBF SCR SHB SHS SWF SYS TD0 TLB TSP TT6 VBE VBS VWP VXD WBK WBT WIZ WML WPC WSC WSF WSH XL? ZL? . {* AVB CEO CMD LSP MAP MHT MIF TAR TGZ ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2
* Archive scannen: An

Scan-Module:

* F-Secure F-PROT: 3.12.410, 2004-05-27
* F-Secure AVP: 4.0.164.4160, 2004-05-31
* F-Secure Orion: 1.02.21, 2004-05-21

Ergebnisse
Boot-Sektoren

* Gescannt: 1
* Infiziert: 0
* Verdächtig: 0
* Desinfiziert: 0

Dateien

* Gescannt: 19006
* Infiziert: 1
* Verdächtig: 0
* Desinfiziert: 0
* Umbenannt: 0
* Gelöscht: 0
* Unter Quarantäne gestellt: 0

Bericht

* F:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\1V7VTT0E\ieloader[1].cab\ieloader.dll Infektion: TrojanDownloader.Win32.Ladder


Logfile of HijackThis v1.97.7
Scan saved at 16:56:44, on 01.06.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\System32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
G:\PROGRA~1\PERSON~1\backweb\2581593\Program\SERVIC~1.EXE
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\System32\cisvc.exe
G:\Programme\Personal Security Service\Anti-Virus\fsgk32st.exe
G:\Programme\Personal Security Service\Anti-Virus\FSGK32.EXE
G:\Programme\Personal Security Service\backweb\2581593\program\fsbwsys.exe
G:\Programme\Personal Security Service\Common\FSM32.EXE
F:\Programme\mozilla.org\Mozilla\Mozilla.exe
F:\Programme\SAGEM\SAGEM F@st 800-840\dslmon.exe
G:\Programme\Personal Security Service\Anti-Virus\fssm32.exe
G:\Programme\Personal Security Service\Common\FSMA32.EXE
G:\Programme\Personal Security Service\Common\FSMB32.EXE
G:\Programme\Personal Security Service\backweb\2581593\Program\BackWeb-2581593.exe
G:\Programme\Personal Security Service\Common\FCH32.EXE
G:\Programme\Personal Security Service\Common\FAMEH32.EXE
G:\Programme\Personal Security Service\Anti-Virus\fsav32.exe
G:\Programme\Personal Security Service\DFW\Program\fsdfwd.exe
F:\WINDOWS\system32\NOTEPAD.EXE
F:\Programme\hijackthis1977\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [F-Secure TNB] "G:\Programme\Personal Security Service\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [F-Secure Manager] "G:\Programme\Personal Security Service\Common\FSM32.EXE" /splash
O4 - HKCU\..\Run: [Mozilla Quick Launch] "F:\Programme\mozilla.org\Mozilla\Mozilla.exe" -turbo
O4 - Global Startup: DSLMON.lnk = F:\Programme\SAGEM\SAGEM F@st 800-840\dslmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O12 - Plugin for .spop: F:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

Who Cares 02.06.2004 11:51

</font><blockquote>Zitat:</font><hr />
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
[/QB]</font>[/QUOTE]Hi,

a) gib bitte
LADDER
in obige Forensuche ein

b) Alle Programme/fenster schließen; dann
Systemsteuerung -&gt; Internetoptionen -&gt; Allgemein -&gt; Dateien löschen -&gt;&gt; Offline Anhaken -&gt; ok

c) obiges zitiertes mit Hijackhtis im abgesicherten Modus fixen (F8-Boot)

d) Windowsupdates einspielen, ggfs woanders runterladen, und offline aufspielen..

e) www.heise.de -&gt; security -&gt; browsercheck und emailcheck..

f) SPYBOT, Ad-Aware & CWShredder probieren

Details: Forensuche


Alle Zeitangaben in WEZ +1. Es ist jetzt 18:26 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131