|
hartnäckiger Trojaner / keine Virenscanner findet etwas Hallo, ich poste hier heute das erste Mal. Ich hoffe, mir kann einer von Euch helfen! Folgendes Problem: auf meinem Laptop scheint sich irgendwann irgendwie ein Trojaner eingeschlichen zu haben. Ich wollte vor 3 Tagen auf mein Online-Bankkonto vom Laptop aus zugreifen und einige Überweisungen tätigen. Normalerweise mache ich soetwas immer nur von meinem Rechner @home, daher kann ich nicht wirklich sagen, wann sich dieser Trojaner eingeschlichen hat. Nach Eingabe meiner Konto-Nr. und meinem PIN kam plötzlich die Aufforderung, 4 Tans zur weiteren Identifikation einzugeben. Das habe ich natürlich nicht gemacht und hab mich direkt wieder abgemeldet, leider hatten die Bösen nun aber meine Konto-Nr und meine PIN => also PIN ersteinmal vom anderen Rechner aus geändert. Auf meine Laptop habe ich die freie Version von Antivir. Antivir erkennt jedoch nichts bösartiges. Dann hab ich mir die 30-Tage Versionen von F-Prot und F-Secure runtergeladen. Leider erkennen auch diese Programme nichts. Auch mit HijackThis und Spybot konnte ich das Problem nicht lösen. Was zum Teufel kann das sein? Inzwischen hab ich mir mit diesem "datfind" die Log-Dateien erstellen lassen. Kann sich die jemand mal bitte ansehen? Vielen Dank! |
hier kommen noch die anderen LOG-Dateien... |
Hallo. :) Zitat:
Wie hast du die (vermeintliche) Seite deiner Bank aufgerufen? Adresse per Hand eingetippt oder ein Bookmark benutzt? Oder irgendwo einen Link angeklickt? |
[QUOTE=Franz1968;263616]Hallo. :) Ein HJT-Logfile wäre besser. Bitte nicht als Anhang, sondern direkt in deinen Beitrag kopieren, nachdem du alle aktiven Links und persönlichen Informationen editiert hast. QUOTE] Von Hand eingegeben. Egal auf welches Banking-Portal ich gehe, ich bekomme immer die TAN-Abfrage. Sobald ich in der Anmeldemaske (alle Bankportale) als Konto-Nr. 12345 und Passwort 12345 eingebe, kommt die Meldung mit den TANs. Bei manchen Banken sind es nur 4 TANs, bei andere manchmal auch bis zu 6 TANs. Das mit der HJT-Logfile und dem editieren werde ich gleich mal ausprobrieren, mal sehen ob ich das so hinbekomme... ;-) |
Zitat:
Bitte scanne gleich im Anschluss dein System mit Blacklight von F-Secure und poste das Log. |
Sorry, ich weiß nicht wirklich, was Du mit vorher editieren meintest. Ich hoffe, dass ist in Ordnung so... Hier die Log-File: Logfile of HijackThis v1.99.1 Scan saved at 12:02:38, on 19.04.2007 Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Apache Group\Apache\Apache.exe C:\WINDOWS\system32\bmwebcfg.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Apache Group\Apache\Apache.exe C:\Programme\MySQL\MySQL Server 5.0\bin\mysqld-nt.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\ATK0100\Hcontrol.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programme\Sony\HotKey Utility\HKserv.exe C:\Programme\sony\vaio power management\SPMgr.exe C:\Programme\sony\vaio update 2\VAIOUpdt.exe C:\Programme\FreePDF_XP\fpassist.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\Logitech\SetPoint\SetPoint.exe C:\Programme\Microsoft Office\Office\OSA.EXE C:\Programme\BHODemon 2\BHODemon.exe C:\WINDOWS\ATK0100\ATKOSD.exe C:\Programme\Sony\HotKey Utility\HKWnd.exe C:\Programme\Gemeinsame Dateien\Logitech\KhalShared\KHALMNPR.EXE C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\System32\svchost.exe C:\Hijackthis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Startup: BHODemon 2.0.lnk = C:\Programme\BHODemon 2\BHODemon.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE O10 - Broken Internet access because of LSP provider 'bmnet.dll' missing O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Apache - Unknown owner - C:\Programme\Apache Group\Apache\Apache.exe" --ntservice (file missing) O23 - Service: Bytemobile Web Configurator (bmwebcfg) - Bytemobile, Inc. - C:\WINDOWS\system32\bmwebcfg.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing) O23 - Service: MySQL5 - Unknown owner - C:\Programme\MySQL\MySQL.exe (file missing) |
Ja, das passt. Allerdings scheint dein Logfile in Ordnung zu sein, abgesehen von der Internet-Explorer-Version, die nicht aktuell ist. Nutzt du beim Online-Banking den IE? Bitte erstelle vorsichtshalber noch ein Logfile, nachdem du Hijackthis.exe in abc.com umbenannt hast. Es gibt Malware, die sich vor der Hijackthis.exe versteckt, nach Umbenennen aber sichtbar wird. Kannst du die Datei bmnet.dll auf deinem Rechner finden? Wenn ja, lade sie bei Virustotal hoch und poste das komplette Ergebnis, auch wenn nichts gefunden wurde. |
Ja, ich nutze den IE. Hijackthis hab ich in abc.com umbenannt. Hier die neue Logfile: Logfile of HijackThis v1.99.1 Scan saved at 13:07:08, on 19.04.2007 Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Apache Group\Apache\Apache.exe C:\WINDOWS\system32\bmwebcfg.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Apache Group\Apache\Apache.exe C:\Programme\MySQL\MySQL Server 5.0\bin\mysqld-nt.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\ATK0100\Hcontrol.exe C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programme\Sony\HotKey Utility\HKserv.exe C:\Programme\sony\vaio power management\SPMgr.exe C:\Programme\sony\vaio update 2\VAIOUpdt.exe C:\Programme\FreePDF_XP\fpassist.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\Logitech\SetPoint\SetPoint.exe C:\Programme\Microsoft Office\Office\OSA.EXE C:\Programme\BHODemon 2\BHODemon.exe C:\WINDOWS\ATK0100\ATKOSD.exe C:\Programme\Sony\HotKey Utility\HKWnd.exe C:\Programme\Gemeinsame Dateien\Logitech\KhalShared\KHALMNPR.EXE C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\System32\svchost.exe C:\Programme\MapInfo\Professional\MAPINFOW.EXE C:\Programme\mg9\prog\mg.exe C:\Programme\Microsoft Office\OFFICE11\EXCEL.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Hijackthis\abc.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - Startup: BHODemon 2.0.lnk = C:\Programme\BHODemon 2\BHODemon.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE O10 - Broken Internet access because of LSP provider 'bmnet.dll' missing O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Apache - Unknown owner - C:\Programme\Apache Group\Apache\Apache.exe" --ntservice (file missing) O23 - Service: Bytemobile Web Configurator (bmwebcfg) - Bytemobile, Inc. - C:\WINDOWS\system32\bmwebcfg.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing) O23 - Service: MySQL5 - Unknown owner - C:\Programme\MySQL\MySQL.exe (file missing) Die bmnet.dll hab ich auch gefunden und bei Virustotal scannen lassen. Ich kannte den Service garnicht. Danke hierfür! Jedoch wurde leider nichts gefunden. Das Ergebnis sieht so aus: Antivirus Version Update Result AhnLab-V3 2007.4.19.1 04.19.2007 no virus found AntiVir 7.3.1.53 04.19.2007 no virus found Authentium 4.93.8 04.18.2007 no virus found Avast 4.7.981.0 04.19.2007 no virus found AVG 7.5.0.447 04.18.2007 no virus found BitDefender 7.2 04.19.2007 no virus found CAT-QuickHeal 9.00 04.18.2007 no virus found ClamAV devel-20070416 04.19.2007 no virus found DrWeb 4.33 04.19.2007 no virus found eSafe 7.0.15.0 04.18.2007 no virus found eTrust-Vet 30.7.3579 04.19.2007 no virus found Ewido 4.0 04.19.2007 no virus found FileAdvisor 1 04.19.2007 no virus found Fortinet 2.85.0.0 04.19.2007 no virus found F-Prot 4.3.2.48 04.18.2007 no virus found F-Secure 6.70.13030.0 04.19.2007 no virus found Ikarus T3.1.1.5 04.19.2007 no virus found Kaspersky 4.0.2.24 04.19.2007 no virus found McAfee 5012 04.18.2007 no virus found Microsoft 1.2405 04.19.2007 no virus found NOD32v2 2203 04.19.2007 no virus found Norman 5.80.02 04.19.2007 no virus found Panda 9.0.0.4 04.19.2007 no virus found Prevx1 V2 04.19.2007 no virus found Sophos 4.16.0 04.17.2007 no virus found Sunbelt 2.2.907.0 04.07.2007 no virus found Symantec 10 04.19.2007 no virus found TheHacker 6.1.6.088 04.09.2007 no virus found VBA32 3.11.3 04.18.2007 no virus found VirusBuster 4.3.7:9 04.18.2007 no virus found Webwasher-Gateway 6.0.1 04.19.2007 no virus found |
Ich wundere mich immer noch über deine Windows- und IE-Version: Zitat:
Kannst du die folgenden Prozesse zuordnen? Zitat:
Zitat:
edit: Und noch ein Auftrag: Eigentlich sollte Hijackthis das schon erledigt haben, aber ich würde auch gern einen Blick in die Datei "hosts" werfen, zu finden unter windows\system32\drivers\etc. Öffne sie mit dem Editor und poste ihren Inhalt. Sollte dort tatsächlich der Name (bzw. die Web-Adresse) deiner Bank erscheinen, ersetze ihn durch deine-bank.de o.ä. |
Ja, die Prozesse kann ich zuordnen. Das sind 2 Routingprogramme die ich nutze, nichts schlimmes... Hier die Log des "Blacklight-Scans", was immer das auch bedeuten mag... ;-) "Silent Runners.vbs", revision R50, http://www.silentrunners.org/ Operating System: Windows XP Output limited to non-default values, except where indicated by "{++}" Startup items buried in registry: --------------------------------- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "CTFMON.EXE" = "C:\WINDOWS\system32\ctfmon.exe" [MS] "Skype" = ""C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized" ["Skype Technologies S.A."] HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++} "Hcontrol" = "C:\WINDOWS\ATK0100\Hcontrol.exe" [empty string] "ATIPTA" = "C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."] "Mouse Suite 98 Daemon" = "ICO.EXE" [file not found] "HKSERV.EXE" = "C:\Programme\Sony\HotKey Utility\HKserv.exe" ["Sony Corporation"] "SonyPowerCfg" = "C:\Programme\sony\vaio power management\SPMgr.exe" ["Sony Corporation"] "VAIO Update 2" = ""C:\Programme\sony\vaio update 2\VAIOUpdt.exe" /Stationary" ["Sony Corporation"] "Switcher.exe" = "C:\Programme\Sony\Wireless Switch Setting Utility\Switcher.exe" ["Sony Corporation"] "(Default)" = "(empty string)" [file not found] "FreePDF Assistant" = "C:\Programme\FreePDF_XP\fpassist.exe" [null data] "avgnt" = ""C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"] "TkBellExe" = ""C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot" ["RealNetworks, Inc."] HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\ {53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided) -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\Programme\Spybot - Search & Destroy\SDHelper.dll" ["Safer Networking Limited"] HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ "{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung" -> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung" \InProcServer32\(Default) = "deskpan.dll" [file not found] "{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons" -> {HKLM...CLSID} = "HyperTerminal Icon Ext" \InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."] "{ED58A35B-B554-42AF-A26C-6F3D424200D3}" = "Sony Power Management Extensiond" -> {HKLM...CLSID} = "SPMPanel" \InProcServer32\(Default) = "C:\Programme\sony\vaio power management\SPMPanel.dll" ["Sony Corporation"] "{00020D75-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Desktop Icon Handler" -> {HKLM...CLSID} = "Microsoft Office Outlook" \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\MLSHEXT.DLL" [MS] "{0006F045-0000-0000-C000-000000000046}" = "Microsoft Office Outlook Custom Icon Handler" -> {HKLM...CLSID} = "Outlook-Dateisymbolerweiterung" \InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\OLKFSTUB.DLL" [MS] "{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\Programme\Microsoft Office\OFFICE11\msohev.dll" [MS] "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning" -> {HKLM...CLSID} = "Shell Extension for Malware scanning" \InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"] "{BB7DF450-F119-11CD-8465-00AA00425D90}" = "Microsoft Access Custom Icon Handler" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office\soa800.dll" [MS] "{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player" -> {HKLM...CLSID} = "RealOne Player Context Menu Class" \InProcServer32\(Default) = "C:\Programme\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."] "{DC70C4A5-2044-4c59-B806-DEFB9AE0DF7C}" = "Logitech Setpoint Extension" -> {HKLM...CLSID} = "KbLogiExt Class" \InProcServer32\(Default) = "C:\Programme\Logitech\SetPoint\kbcplext.dll" ["Logitech Inc."] "{B9B9F083-2B04-452A-8691-83694AC1037B}" = "Logitech Setpoint Extension" -> {HKLM...CLSID} = "LogiExt Class" \InProcServer32\(Default) = "C:\Programme\Logitech\SetPoint\mcplext.dll" ["Logitech Inc."] "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] "{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF}" = "iTunes" -> {HKLM...CLSID} = "iTunes" \InProcServer32\(Default) = "C:\Programme\iTunes\iTunesMiniPlayer.dll" ["Apple Computer, Inc."] HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ <<!>> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."] HKLM\Software\Classes\PROTOCOLS\Filter\ <<!>> text/xml\CLSID = "{807553E5-5146-11D5-A672-00B0D022E945}" -> {HKLM...CLSID} = (no title provided) \InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL" [MS] HKLM\Software\Classes\Folder\shellex\ColumnHandlers\ {F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info" -> {HKLM...CLSID} = "PDF Shell Extension" \InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."] HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" -> {HKLM...CLSID} = "Shell Extension for Malware scanning" \InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"] WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\ WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ Roll Back Shell Extention\(Default) = "{A51DA762-BDD7-11D5-973D-C0539E56E216}" -> {HKLM...CLSID} = "conmenu Class" \InProcServer32\(Default) = "C:\Programme\Avira\Unerase\ciasvrue.dll" [empty string] Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" -> {HKLM...CLSID} = "Shell Extension for Malware scanning" \InProcServer32\(Default) = "C:\Programme\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"] WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}" -> {HKLM...CLSID} = "WinRAR" \InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data] Group Policies {GPedit.msc branch and setting}: ----------------------------------------------- Note: detected settings may not have any effect. HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\ "shutdownwithoutlogon" = (REG_DWORD) hex:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Shutdown: Allow system to be shut down without having to log on} "undockwithoutlogon" = (REG_DWORD) hex:0x00000001 {Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options| Devices: Allow undock without having to log on} Active Desktop and Wallpaper: ----------------------------- Active Desktop may be disabled at this entry: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState Startup items in "Cüneyt" & "All Users" startup folders: -------------------------------------------------------- C:\Dokumente und Einstellungen\Cüneyt\Startmenü\Programme\Autostart "BHODemon 2.0" -> shortcut to: "C:\Programme\BHODemon 2\BHODemon.exe" ["Definitive Solutions, Inc."] C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart "Adobe Reader - Schnellstart" -> shortcut to: "C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe" ["Adobe Systems Incorporated"] "Logitech SetPoint" -> shortcut to: "C:\Programme\Logitech\SetPoint\SetPoint.exe" ["Logitech Inc."] "Office-Start" -> shortcut to: "C:\Programme\Microsoft Office\Office\OSA.EXE -b" [MS] Enabled Scheduled Tasks: ------------------------ "AppleSoftwareUpdate" -> launches: "C:\Programme\Apple Software Update\SoftwareUpdate.exe -Task" ["Apple Computer, Inc."] Winsock2 Service Provider DLLs: ------------------------------- Namespace Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++} 000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] 000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS] 000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS] Transport Service Providers HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++} 0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range: bmnet.dll ["Bytemobile, Inc."], 01 - 03 %SystemRoot%\system32\mswsock.dll [MS], 04 - 06, 09 - 22 %SystemRoot%\system32\rsvpsp.dll [MS], 07 - 08 Toolbars, Explorer Bars, Extensions: ------------------------------------ Explorer Bars HKLM\Software\Microsoft\Internet Explorer\Explorer Bars\ HKLM\Software\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren" Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar] InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL" [MS] Running Services (Display Name, Service Name, Path {Service DLL}): ------------------------------------------------------------------ AntiVir PersonalEdition Classic Guard, AntiVirService, ""C:\Programme\AntiVir PersonalEdition Classic\avguard.exe"" ["Avira GmbH"] AntiVir PersonalEdition Classic Planer, AntiVirScheduler, ""C:\Programme\AntiVir PersonalEdition Classic\sched.exe"" ["Avira GmbH"] Apache, Apache, ""C:\Programme\Apache Group\Apache\Apache.exe" --ntservice" [null data] Ati HotKey Poller, Ati HotKey Poller, "C:\WINDOWS\system32\Ati2evxx.exe" ["ATI Technologies Inc."] Bytemobile Web Configurator, bmwebcfg, ""C:\WINDOWS\system32\bmwebcfg.exe"" ["Bytemobile, Inc."] gb, gb, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00001.dll" [null data]} Machine Debug Manager, MDM, ""C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE"" [MS] MySQL5, MySQL5, ""C:\Programme\MySQL\MySQL Server 5.0\bin\mysqld-nt" --defaults-file="C:\Programme\MySQL\MySQL Server 5.0\my.ini" MySQL5" [null data] SQL Server (SQLEXPRESS), MSSQL$SQLEXPRESS, ""c:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS" [MS] SQL Server-Browser, SQLBrowser, ""c:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe"" [MS] Print Monitors: --------------- HKLM\System\CurrentControlSet\Control\Print\Monitors\ Microsoft Document Imaging Writer Monitor\Driver = "mdimon.dll" [MS] Redirected Port\Driver = "redmonnt.dll" [null data] ---------- <<!>>: Suspicious data at a malware launch point. + This report excludes default entries except where indicated. + To see *everywhere* the script checks and *everything* it finds, launch it from a command prompt or a shortcut with the -all parameter. + The search for DESKTOP.INI DLL launch points on all local fixed drives took 53 seconds. ---------- (total run time: 95 seconds) Und hier noch der Inhalt des hosts: # Copyright (c) 1993-1999 Microsoft Corp. # # Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP # für Windows 2000 verwendet wird. # # Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen. # Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP- # Adresse sollte in der ersten Spalte gefolgt vom zugehörigen # Hostnamen stehen. # Die IP-Adresse und der Hostname müssen durch mindestens ein # Leerzeichen getrennt sein. # # Zusätzliche Kommentare (so wie in dieser Datei) können in # einzelnen Zeilen oder hinter dem Computernamen eingefügt werden, # aber müssen mit dem Zeichen '#' eingegeben werden. # # Zum Beispiel: # # 102.54.94.97 rhino.acme.com # Quellserver # 38.25.63.10 x.acme.com # x-Clienthost 127.0.0.1 localhost Also, ich verstehe erhrlich gesagt nur noch Bahnhof. Ich mache nur noch genau das, was Du mir sagst... :heulen: Vielen Dank für die Mühe!!! |
Hallo. Ich bin erst jetzt dazu gekommen, einen Blick in dein Logfile zu werfen - und werde nicht wirklich schlau aus ihm. Lade bitte die beiden folgenden Dateien auf Virustotal hoch, lasse sie scannen und poste das gesamte Ergebnis, auch wenn nichts gefunden wurde: Zitat:
Einen weiteren Eintrag kann ich nicht einordnen: Zitat:
edit: Einem Posting von MightyMarc verdanke ich die Erkenntnis, dass ich gestern zum Thema hosts-Datei Unsinn geschrieben habe. :kloppen: Möglich, dass es auf deinem System eine weitere hosts-Datei gibt und dass die auch tatsächlich verwendet wird. Öffne die Registry (Start -> Ausführen -> regedit) und navigiere zu dem Schlüssel HKLM\System\CurrentControlSet\Services\Tcpip\Parameters. Sieh nach, was unter DataBasePath eingetragen ist (und achte darauf, dass du nichts versehentlich veränderst). "HKLM" = HKey_Local_Machine |
Hallo Franz, sorry, dass ich erst jetzt antworten kann. Ich glaube, ich bin das Ding los geworden. Ich habe gestern Abend meinen Rechner im abgesicherten Modus hochgefahren und Antivir und Spybot nochmals laufen lassen. Antivir hat etwas in ibm00001.dll und ibm00002.dll gefunden und in Quarantäne geschoben. Spybot hat dann im Anschluß den Trojaner "Torpig" gefunden und entfernt. Jetzt kommt auf jeden Fall diese Sch... TAN-Abfrage nicht mehr. Meinst Du ich bin das Ding jetzt wirlich los? Auf jeden Fall meldet nun Antivir und Spybot, dass das System sauber wäre. Wann meinst Du? Sollte ich noch irgendetwas überprüfen? Auf jeden Fall mal vieeeeeeeeelen Dank für die Unterstützung!!! |
Zitat:
Zitat:
Wenn ich nach "Torpig" google, finde ich auf Anhieb eine Variante mit Keylogger- und eine mit Backdooreigenschaften. :eek: Beides passt vordergründig nicht zu dem von dir beschriebenen Problem. Zumindest solltest du Folgendes machen: Zitat:
|
Hmmm...der Rechner ist wohl leider immer noch nicht sauber. Gerade hat mir der Guard von Antivir wieder etwa neues gemeldet: TR/PSW.VNZ unter folgedem Pfad C:\System Volume Information\_restore{CF043E17-BAB5-4C32-9569-52F48D77EA7B}\RP111\A0017682.dll Die A0017682.dll hab ich natürlich auch gleich wieder in Quarantäne geschoben. Die ibm... von gestern hab ich leider direkt gelöscht, kann sie daher bei virustotal nicht mehr scannen. Die A0017682.dll werde ich auch gleich mal bei virustotal scannen. Hier das Ergebnis wegen der redmonnt.dll: STATUS: FINISHEDComplete scanning result of "redmonnt.dll", received in VirusTotal at 04.20.2007, 19:58:33 (CET). Antivirus Version Update Result AhnLab-V3 2007.4.21.0 04.20.2007 no virus found AntiVir 7.3.1.53 04.20.2007 no virus found Authentium 4.93.8 04.20.2007 no virus found Avast 4.7.981.0 04.20.2007 no virus found AVG 7.5.0.464 04.19.2007 no virus found BitDefender 7.2 04.20.2007 no virus found CAT-QuickHeal 9.00 04.20.2007 no virus found ClamAV devel-20070416 04.20.2007 no virus found DrWeb 4.33 04.20.2007 no virus found eSafe 7.0.15.0 04.19.2007 no virus found eTrust-Vet 30.7.3581 04.20.2007 no virus found Ewido 4.0 04.20.2007 no virus found FileAdvisor 1 04.20.2007 No threat detected Fortinet 2.85.0.0 04.20.2007 no virus found F-Prot 4.3.2.48 04.20.2007 no virus found F-Secure 6.70.13030.0 04.20.2007 no virus found Ikarus T3.1.1.5 04.20.2007 no virus found Kaspersky 4.0.2.24 04.20.2007 no virus found McAfee 5014 04.20.2007 no virus found Microsoft 1.2405 04.20.2007 no virus found NOD32v2 2207 04.20.2007 no virus found Norman 5.80.02 04.20.2007 no virus found Panda 9.0.0.4 04.19.2007 no virus found Prevx1 V2 04.20.2007 no virus found Sophos 4.16.0 04.20.2007 no virus found Sunbelt 2.2.907.0 04.19.2007 no virus found Symantec 10 04.20.2007 no virus found TheHacker 6.1.6.095 04.15.2007 no virus found VBA32 3.11.4 04.20.2007 no virus found VirusBuster 4.3.7:9 04.20.2007 no virus found Webwasher-Gateway 6.0.1 04.20.2007 no virus found Aditional Information File size: 116224 bytes MD5: 1574dd9d409f2dc45cf82c22b99164a4 SHA1: e645051f6cb4b703ae7ab184f36359175fe9d346 Bit9 info: http |
Mach in diesem Fall folgendes: Schädlinge im Ordner der Systemwiederherstellung: * Deaktiviere die Systemwiederherstellung -> So wird es gemacht. * Danach das System neu starten, und mit deinem AV-Scanner nach dem Neustart alles üb erprüfen. (Systemwiederherstellung kann nun wieder aktiviert werden.) Das sollte dein Problem lösen...achja, und leere den Quarantäne-Ordner von Antivir! ;) Gruß Sunny |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 23:40 Uhr. |
Copyright ©2000-2025, Trojaner-Board