Trojaner "TR/Agent.33302" will mich nicht verlassen...
 

Hallo,

ich habe mir irgendwie einen Trojaner eingefangen, den AntiVir als TR/Agent.33302 bezeichnet. Habe danach gegoogelt aber es kommt zu keinen Suchergebnissen.
Hier im Forum habe ich dann den ein oder anderen Hinweis gefunden allerdings kam auch nicht viel dabei rum, deswegen habe ich diesen Thread hier eröffnet. Hoffe ich habe da jetzt in meiner schluderigkeit nichts übersehen...

Also AntiVir spuckt mir in mehr oder weniger regelmäßig auftretenden Abständen immer einen Fund aus aus der in C:\WINDOWS\system32\hggghgd.dll zu finden ist. Und egal ob ich die betroffene Datei in Quarantäne verschiebe oder lösche, nach einiger Zeit (1 Sekunde - 4 Minuten) erscheint diese Meldung schon wieder.

Des weiteren kommen öfters Pop-Ups im IE (obwohl Firefox Standard Browser ist) die mir dann eine Anti Virus Software oder ähnliches aufschwatzen will (habe leider nicht genau aufgepasst, nähere Infos werden beim nächsten erscheinen eines Pop Us ergänzt!)
Weiterhin ist es der Fall, dass Teilweise Downloads im Firefox blockiert werden. Sprich: wenn ich auf einen Download-Link klicke, kann ich zwar auf Datei speichern gehen aber es passiert nichts.


So, hier das HiJack-File, hoffe ich hab soweit alles richtig erklärt und es kann mir wer helfen, danke...


Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 18:05:17, on 08.06.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Messenger\Miranda\miranda32.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\DitExp.exe
C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Sicherheit\ZoneAlarm\zlclient.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\**\Eigene Dateien\Johannes\Downloads\HiJackThis_v2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {447F8FB0-AE97-4308-984E-CD8E3311E5AF} - C:\WINDOWS\system32\pmkhe.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggghgd.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Sicherheit\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe
O4 - HKLM\..\Run: [EPSON Stylus DX5000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBVE.EXE /FU "C:\WINDOWS\TEMP\E_S12E.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Sicherheit\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ApachInc] rundll32.exe "C:\WINDOWS\system32\vxxqoooe.dll",realset
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O14 - IERESET.INF: START_PAGE_URL=h**p://dech7.hpwis.com
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h
h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1154025093562
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F195DB6-1B1A-472D-9189-B7C597D489CA}: NameServer = 192.168.2.1
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O20 - Winlogon Notify: hggghgd - C:\WINDOWS\SYSTEM32\hggghgd.dll
O20 - Winlogon Notify: pmkhe - C:\WINDOWS\system32\pmkhe.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Sicherheit\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 7938 bytes

Halli hallo.

Fixe bitte folgende Einträge mit Hijackthis:

* O2 - BHO: (no name) - {447F8FB0-AE97-4308-984E-CD8E3311E5AF} - C:\WINDOWS\system32\pmkhe.dll *

* O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggghgd.dll *

* O4 - HKLM\..\Run: [ApachInc] rundll32.exe "C:\WINDOWS\system32\vxxqoooe.dll",realset *

* O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) *

* 09 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) *

* O20 - Winlogon Notify: hggghgd - C:\WINDOWS\SYSTEM32\hggghgd.dll *

* O20 - Winlogon Notify: pmkhe - C:\WINDOWS\system32\pmkhe.dll *

* O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll *

* O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll *

Danach suchst du dir, unter Beachtung des links in meiner Signatur zum Suchen von Dateien, folgende Datein heraus:

" C:\WINDOWS\System32\browseui.dll "

" C:\WINDOWS\system32\pmkhe.dll "

" C:\WINDOWS\SYSTEM32\hggghgd.dll "

" C:\WINDOWS\system32\vxxqoooe.dll "

Diese löscht du mit killbox.
Füge die Dateipfade ein, markiere "delet on reboot" und klicke auf das X. Wenn du nun gefragt wirst ob du den Rechner Neustarten möchtest verneinst du.
Erst nach der letzten Datei klickst du auf "Yes".

Gruß

Undoreal

Hi, danke für die Hilfe, aber ich habe da ein Problem mit der Killbox

Jedes mal wenn ich so wie von dir beschrieben eine der Dateien angebe zum löschen und dann bei der Reboot nachfrage auf nein klicke, zeigt er mir kurz oben in der Leiste an "1 Files 0 Folders" und sobald ich die zweite Datei eingebe, steht auf einemal "0 Files 0 folders" oben.
Habe dann probiert, ob da vielleicht nur ein Fehler in der Anzeige ist und bin die Liste der Dateien durch gegangen und habe neu gebootet, doch das hat nichts gebracht. Sogar die mit Hijackthis gefixten Dateien waren wieder da.
Habe das ganze dann noch mehrfach versucht mit den Einstellungen "single files" und "all Files" was allerdings alles zum gleichen Ergebnis geführt hat...
Mach ich da was falsch? Oder blockiert der Trojaner diese Aktionen? Das geht ja mittlerweile sogar schon so weit, dass ich nicht mal mehr auf meine Taskleiste zugreifen kann...

Hallo.


Versuche die Dateien im abgesicherten Modus zu löschen:

Drücke beim Start F8 und starte im Abgesicherten.

Suche dir im Explorer die Ordner heraus in denen sich die Dateien befinden. Klicke mit rechts drauf und wähle Freigabe und Sicherheit.
Aktiviere hier den Vollzugriff für deinen Benutzer sowie für das System und den Administrator.
Jetzt sollten sich die Dateien problemlos löschen lassen.

Starte den Rechner danach im normalen Modus neu und überprüfe ob du Erfolg gehabt hast.

Gruß

Undoreal

Hab das gleiche Problem wie bei JoFrie