Trojaner-Board - SuperMWindow

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - SuperMWindow (https://www.trojaner-board.de/37755-supermwindow.html)

Salü,

ich habe ein programm namens "SuperMWindow" eingefangen...

Dieses wirkt sich so aus das nach ca. 10 minuten sämtliche Browser fürchterlich langsam werden und explorer Fenster garnicht mehr reagieren.

Ich hab das System schon im normalbetrieb und im abgesicherten Modus mit Ad-Aware inkl. aktuellem Update, AntiVir inkl. aktuellem Update, Spybot Search & Destroy inkl. aktuellem Update und Hjt durchsucht. Keins der programme findet irgendwas.

Wie werde ich diesem mistding herr?

Hier noch ein scann von Hjt:

Code:

Logfile of HijackThis v1.99.1

Scan saved at 11:47:05, on 07.04.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
 

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Programme\TGTSoft\StyleXP\StyleXPService.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Programme\AntiVir PersonalEdition Classic\sched.exe

D:\Programme\AntiVir PersonalEdition Classic\avguard.exe

D:\Programme\xampp\filezillaftp\filezillaserver.exe

D:\WINDOWS\system32\nvsvc32.exe

D:\WINDOWS\Explorer.EXE

D:\Programme\TortoiseSVN\bin\TSVNCache.exe

D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

D:\Programme\ICQLite\ICQLite.exe

D:\WINDOWS\system32\wuauclt.exe

D:\Programme\Internet Explorer\iexplore.exe

D:\Programme\Teamspeak2_RC2\TeamSpeak.exe

D:\Programme\Mozilla Firefox\firefox.exe

D:\hijackthis_sfx\HijackThis.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [avgnt] "D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [ICQ Lite] "D:\Programme\ICQLite\ICQLite.exe" -minimize

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [STYLEXP] D:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - D:\Programme\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: FileZilla Server FTP server (FileZilla Server) - FileZilla Project - D:\Programme\xampp\filezillaftp\filezillaserver.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PostgreSQL Database Server (pgsql-8.0) - PostgreSQL Global Development Group - D:\Programme\PostgreSQL\8.0\bin\pg_ctl.exe

O23 - Service: StyleXPService - Unknown owner - D:\Programme\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - D:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

O23 - Service: XAMPP Service (XAMPP) - Unknown owner - D:\Programme\xampp\service.exe

Für hilfe wäre ich sehr dankbar...

Gruß SyrinxX

Hallo. :)

Wenn ich mich recht entsinne, handelt es sich bei deiner Malware um ein sogeanntes Rootkit!

Mach daher als erstes folgendes:

F-Secure Blacklight – Rootkitscanner:

* Scanne dein System mit Blacklight-
* Poste im Anschluss das Ergebnis des Reportes in dem du alles abkopierst und hier in einen Beitrag einfügst. (die Datei sollte auf C: angelegt werden.)

Arbeiten mit MWAV (eScan)

* Lies dir folgende Anleitung genau durch und arbeite sie ab:
-> Anleitung eScan
* Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der “find.bat”.
(steht alles ganz genau in der Anleitung.)

Gruß
Sunny

Salü,

der Scann mit F-Secure Blacklight brachte folgendes ergebnis:

"No hidden items found"

Gruß SyrinxX

Salü,

nach 5:12:22 nun der Scanbericht von eScan...

Code:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 Header 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 

Microsoft Windows XP [Version 5.1.2600]

Sat Apr 07 13:26:08 2007 => Deleting Registry Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\searchassistant uninstall 

Sat Apr 07 13:16:49 2007 => Virus-Datenbank Datum: 4/5/2007

Sat Apr 07 18:36:40 2007 => Virus-Datenbank Datum: 4/5/2007

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 Infektionsmeldungen 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   

Sat Apr 07 13:26:05 2007 => System found infected with spyfalcon Trojan ({cd5e2ac9-25ce-a1c5-d1e2-dc6b28a6ed5a})! Action taken: Einträge entfernt.

Sat Apr 07 13:26:06 2007 => System found infected with ace club casino Spyware/Adware ({8ba2fe8d-8506-11d4-bfe2-cb5fed326646})! Action taken: Einträge entfernt.

Sat Apr 07 13:26:06 2007 => System found infected with ace club casino Spyware/Adware ({8ba2fe8f-8506-11d4-bfe2-cb5fed326646})! Action taken: Einträge entfernt.

Sat Apr 07 13:26:06 2007 => System found infected with ace club casino Spyware/Adware ({8ba2fe91-8506-11d4-bfe2-cb5fed326646})! Action taken: Einträge entfernt.

Sat Apr 07 13:26:13 2007 => System found infected with smitfraud Browser Hijacker (ot.ico)! Action taken: Einträge entfernt.

Sat Apr 07 13:26:14 2007 => System found infected with antispywarebox Adware (user32.exe)! Action taken: Einträge entfernt.

Sat Apr 07 13:26:17 2007 => System found infected with smitfraud Browser Hijacker (online security guide.url)! Action taken: Einträge entfernt.

Sat Apr 07 13:26:17 2007 => System found infected with smitfraud Browser Hijacker (security troubleshooting.url)! Action taken: Einträge entfernt.

Sat Apr 07 13:26:21 2007 => System found infected with spylax Corrupted Adware/Spyware (D:\WINDOWS\unvise32.exe)! Action taken: Einträge entfernt.

Sat Apr 07 13:26:22 2007 => System found infected with w32.rontokbro.d@mm Worm (D:\WINDOWS\tasks\at1.job)! Action taken: Einträge entfernt.

~~~~~~~~~~~ 
 Dateien 

~~~~~~~~~~~ 

~~~~ Infected files 

~~~~~~~~~~~ 

~~~~~~~~~~~ 

~~~~ Tagged files 

~~~~~~~~~~~ 

Sat Apr 07 13:23:51 2007 => Datei D:\Programme\RealVNC\VNC4\WinVNC4.exe markiert als not-a-virus:RemoteAdmin.Win32.WinVNC.4110. Keine Aktion vorgenommen.

Sat Apr 07 13:58:08 2007 => File D:\Dokumente und Einstellungen\Daniel\Lokale Einstellungen\Temp\bgehkgtr.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ar". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 13:58:16 2007 => File D:\Dokumente und Einstellungen\Daniel\Lokale Einstellungen\Temp\ltlefbup.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ar". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 13:59:14 2007 => File D:\Dokumente und Einstellungen\Daniel\Lokale Einstellungen\Temp\yruwatkc.dll markiert als "not-a-virus:AdWare.Win32.Virtumonde.ar". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 16:00:40 2007 => File D:\pcdj30144.exe//WISE0019.BIN markiert als "not-a-virus:AdWare.Win32.TimeSink". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 16:37:02 2007 => File D:\Programme\PCDJ\TSUninstaller.exe markiert als "not-a-virus:AdWare.Win32.TimeSink". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 16:39:45 2007 => Datei D:\Programme\RealVNC\VNC4\winvnc4.exe markiert als not-a-virus:RemoteAdmin.Win32.WinVNC.4110. Keine Aktion vorgenommen.

Sat Apr 07 16:39:45 2007 => Datei D:\Programme\RealVNC\VNC4\wm_hooks.dll markiert als not-a-virus:RemoteAdmin.Win32.WinVNC.4. Keine Aktion vorgenommen.

Sat Apr 07 18:08:32 2007 => File D:\WINDOWS\dr.exe//Virtumonde markiert als "not-a-virus:AdWare.Win32.Virtumonde.if". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 18:19:17 2007 => File D:\WINDOWS\mtuninst.exe//UPX markiert als "not-a-virus:AdWare.Win32.MediaTickets.u". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 18:28:34 2007 => File D:\WINDOWS\system32\jsujildo.dll//Virtumonde//PE_Patch.UPX//UPX markiert als "not-a-virus:AdWare.Win32.Virtumonde.ar". Folgende Maßnahme wurde durchgeführt: Datei wird beim Neustart gelöscht.

Sat Apr 07 18:30:32 2007 => File D:\WINDOWS\system32\xlvmugyq.dll//Virtumonde//PE_Patch.UPX//UPX markiert als "not-a-virus:AdWare.Win32.Virtumonde.ar". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

Sat Apr 07 18:30:49 2007 => File D:\WINDOWS\TSAd.dll_tobedeleted markiert als "not-a-virus:AdWare.Win32.TimeSink.b". Folgende Maßnahme wurde durchgeführt: Datei gelöscht.

~~~~~~~~~~~ 

~~~~ Offending files 

~~~~~~~~~~~ 

Sat Apr 07 13:26:13 2007 => Offending file found: D:\WINDOWS\system32\ot.ico

Sat Apr 07 13:26:14 2007 => Offending file found: D:\Programme\user32.exe

Sat Apr 07 13:26:17 2007 => Offending file found: D:\DOKUME~1\ALLUSE~1\STARTM~1\ONLINE~1.URL

Sat Apr 07 13:26:17 2007 => Offending file found: D:\DOKUME~1\ALLUSE~1\STARTM~1\SECURI~1.URL

Sat Apr 07 13:26:21 2007 => Offending file found: D:\WINDOWS\unvise32.exe

Sat Apr 07 13:26:22 2007 => Offending file found: D:\WINDOWS\tasks\at1.job

~~~~~~~~~~~ 
 Ordner 

~~~~~~~~~~~ 

Sat Apr 07 13:26:13 2007 => Offending Folder found: D:\WINDOWS\system32\1024

~~~~~~~~~~~ 
 Registry 

~~~~~~~~~~~ 

Sat Apr 07 13:26:08 2007 => Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\searchassistant uninstall !!!

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
 Statistiken: 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   

Sat Apr 07 18:36:40 2007 => Gefundene Viren: 31

Sat Apr 07 18:36:40 2007 => Anzahl Fehler: 49

Sat Apr 07 18:36:40 2007 => Dauer des Scans bisher: 05:12:22

Sat Apr 07 18:36:40 2007 => Gescannte Dateien: 188103

Sat Apr 07 13:23:04 2007 => Specherüberprüfung: Aktiviert

Sat Apr 07 13:23:04 2007 => Registry Überprüfung: Aktiviert

Sat Apr 07 13:23:04 2007 => System-Ordner Überprüfung: Deaktiviert

Sat Apr 07 13:23:04 2007 => Überprüfung der Systembereiche: Deaktiviert

Sat Apr 07 13:23:04 2007 => Überprüfung der Dienste: Aktiviert

Sat Apr 07 13:23:04 2007 => Überprüfung der Festplatten: Deaktiviert

Sat Apr 07 13:23:04 2007 => Überprüfung aller Festplatten :Aktiviert