Trojaner-Board - Win32.Gator ist nicht desinfizierbar

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Win32.Gator ist nicht desinfizierbar (https://www.trojaner-board.de/39898-win32-gator-desinfizierbar.html)

Win32.Gator ist nicht desinfizierbar

Hallo,

ich hab vor kurzen mal wieder ein scan meiner Festplatte gemacht!

Das hier hat Kaspersky ausgegeben:

Zitat:

gefunden: Adware not-a-virus: AdWare.Win32.Gator.3202

danach hab ich versucht diesen ungebetenen Gast zu löschen / desinfizieren was aber leider nicht ging!

Ich hab danach auch ein log File erstellt (mit Hijackthis)

Zitat:

Logfile of HijackThis v1.99.1
Scan saved at 20:02:22, on 11.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\System32\svchost.exe
E:\Programme\Festplatten Progs\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.icq.com/start
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.5.19.dll (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Program Files\Common Files\Logitech\LCD Manager\lcdmon.exe"
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Program Files\Common Files\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [System Files Updater] C:\WINDOWS\FlyakiteOSX\Tools\System Files Updater.exe /S
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Program Files\Acronis\TrueImage\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [UltraMon] "C:\Program Files\UltraMon\UltraMon.exe" /auto
O4 - HKCU\..\Run: [Alt+Q Hotkey Tool] C:\WINDOWS\Alt+Q Hotkey.exe
O4 - HKCU\..\Run: [Steam] "E:\Games\Spiele\Steam\Steam.exe" -silent
O4 - HKCU\..\Run: [ICQ] "C:\Program Files\ICQ6\ICQ.exe" silent
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)

ich hoffe das hilft euch!

danke schon einmal im voraus!

Halli hallo.

Du nutzt Acrois hoffentlich? Spiele ein früheres IMAGE auf und probiere ob Kav da auch schon was findet. Wenn nicht prima; wenn doch dann geht's weiter:

Findet sich in deiner Systemsteuerung->Software ein Eintrag New.net oder NewDotNet oder so? Wenn ja deinstalliere ihn!

Wenn nicht ist schlecht... :)

Erstelle bitte ein iClean Report: Prog in eignem Ordner ausführen -> "Yes" -> File -> Report.

Sauge dir Spybot und AdAware. Update die Signaturen Auch die von KAV. Dann wechselst du in den abgesicherten Modus und machst mit allen drein einen kompletten Systemscan (Kav auf höchste Sicherheitsstufe) und entfernst ALLES was gefunden wird.

danke für die Antwort,

ist der virus oder trojaner oder was es überhaupt ist sehr schlimm ?

so ich hab hier mal das log file erstellt !

Zitat:

iclean log 12.06.2006 13:52:23

Windows XP SP2, Kernel functions unavailable

Processes
---------
800 - \SystemRoot\System32\smss.exe - \SystemRoot\System32\smss.exe
880 - \??\C:\WINDOWS\system32\csrss.exe - \??\C:\WINDOWS\system32\csrss.exe
908 - \??\C:\WINDOWS\system32\winlogon.exe - \??\C:\WINDOWS\system32\winlogon.exe
952 - C:\WINDOWS\system32\services.exe - Services and Controller app
964 - C:\WINDOWS\system32\lsass.exe - LSA Shell (Export Version)
1128 - C:\WINDOWS\system32\Ati2evxx.exe - ATI External Event Utility EXE Module
1148 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
1212 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
1616 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
1676 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
1724 - C:\WINDOWS\system32\Ati2evxx.exe - ATI External Event Utility EXE Module
1796 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
312 - C:\WINDOWS\system32\spoolsv.exe - Spooler SubSystem App
1880 - C:\WINDOWS\Explorer.EXE - Windows Explorer
1860 - C:\WINDOWS\SOUNDMAN.EXE - Realtek Sound Manager
444 - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe - Kaspersky Anti-Virus
452 - C:\Program Files\Common Files\Logitech\LCD Manager\lcdmon.exe - Logitech LCD Manager (Signed)
460 - C:\Program Files\Common Files\Logitech\G-series Software\LGDCore.exe - Logitech G-series Profiler (Signed)
420 - C:\Program Files\Razer\Copperhead\razerhid.exe - razerhid MFC Application
556 - C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE - Catalyst Control Center: Monitoring program
560 - C:\Program Files\Acronis\TrueImage\TrueImageMonitor.exe - TrueImage
572 - C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe - Acronis Scheduler Helper
580 - C:\Program Files\UltraMon\UltraMon.exe - UltraMon
588 - C:\WINDOWS\Alt+Q Hotkey.exe - C:\WINDOWS\Alt+Q Hotkey.exe
708 - C:\Program Files\Common Files\Logitech\LCD Manager\Applets\LCDClock.exe - Logitech G-series LCD Clock (Signed)
716 - C:\Program Files\Schmads Inc\G15_TeamSpeak\G15_TeamSpeak.exe - C:\Program Files\Schmads Inc\G15_TeamSpeak\G15_TeamSpeak.exe
752 - C:\Program Files\UltraMon\UltraMonTaskbar.exe - UltraMon Taskbar
1180 - C:\Program Files\Razer\Copperhead\razerofa.exe - Razer OFA - On-the-Fly Sensitivity Adjustment
1380 - C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe - Acronis Scheduler 2
1412 - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe - Kaspersky Anti-Virus
2608 - C:\WINDOWS\System32\alg.exe - Application Layer Gateway Service
3284 - C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe - Catalyst Control Centre: Host application
2128 - C:\WINDOWS\system32\svchost.exe - Generic Host Process for Win32 Services
1008 - C:\Program Files\Opera\Opera.exe - Opera Internet Browser
1240 - C:\WINDOWS\system32\msiexec.exe - Windows® installer
3536 - C:\Program Files\Winamp\winamp.exe - Winamp
2492 - C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe - System settings protector (Signed)
4012 - C:\Documents and Settings\Nerd2k7\Desktop\iclean.exe - Interactive Cleaner
3744 - C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe - Spybot - Search & Destroy (Signed)

Services
--------
c:\program files\common files\acronis\schedule2\schedul2.exe=AcrSch2Svc
C:\WINDOWS\system32\alg.exe=ALG
C:\WINDOWS\system32\svchost.exe=AppMgmt
C:\WINDOWS\system32\ati2evxx.exe=Ati HotKey Poller
C:\WINDOWS\system32\svchost.exe=AudioSrv
c:\program files\kaspersky lab\kaspersky anti-virus 6.0\avp.exe=AVP
C:\WINDOWS\system32\svchost.exe=CryptSvc
C:\WINDOWS\system32\svchost.exe=DcomLaunch
C:\WINDOWS\system32\svchost.exe=Dhcp
C:\WINDOWS\system32\svchost.exe=dmserver
C:\WINDOWS\system32\svchost.exe=Dnscache
C:\WINDOWS\system32\svchost.exe=ERSvc
C:\WINDOWS\system32\services.exe=Eventlog
c:\windows\system32\svchost.exe=EventSystem
C:\WINDOWS\system32\svchost.exe=FastUserSwitchingCompatibility
C:\WINDOWS\system32\svchost.exe=helpsvc
C:\WINDOWS\system32\svchost.exe=HidServ
C:\WINDOWS\system32\svchost.exe=HTTPFilter
C:\WINDOWS\system32\svchost.exe=lanmanserver
C:\WINDOWS\system32\svchost.exe=lanmanworkstation
C:\WINDOWS\system32\svchost.exe=LmHosts
c:\windows\system32\msiexec.exe=MSIServer
C:\WINDOWS\system32\svchost.exe=Netman
C:\WINDOWS\system32\svchost.exe=Nla
C:\WINDOWS\system32\services.exe=PlugPlay
C:\WINDOWS\system32\lsass.exe=PolicyAgent
C:\WINDOWS\system32\lsass.exe=ProtectedStorage
C:\WINDOWS\system32\svchost.exe=RasMan
C:\WINDOWS\system32\svchost.exe=RpcSs
C:\WINDOWS\system32\lsass.exe=SamSs
C:\WINDOWS\system32\svchost.exe=Schedule
C:\WINDOWS\system32\svchost.exe=seclogon
C:\WINDOWS\system32\svchost.exe=SENS
C:\WINDOWS\system32\svchost.exe=SharedAccess
C:\WINDOWS\system32\svchost.exe=ShellHWDetection
C:\WINDOWS\system32\spoolsv.exe=Spooler
C:\WINDOWS\system32\svchost.exe=srservice
C:\WINDOWS\system32\svchost.exe=SSDPSRV
C:\WINDOWS\system32\svchost.exe=TapiSrv
C:\WINDOWS\system32\svchost.exe=TermService
C:\WINDOWS\system32\svchost.exe=Themes
C:\WINDOWS\system32\svchost.exe=TrkWks
C:\WINDOWS\system32\svchost.exe=UxTuneUp
C:\WINDOWS\system32\svchost.exe=W32Time
C:\WINDOWS\system32\svchost.exe=WebClient
C:\WINDOWS\system32\svchost.exe=winmgmt
C:\WINDOWS\system32\svchost.exe=wscsvc
C:\WINDOWS\system32\svchost.exe=wuauserv
C:\WINDOWS\system32\svchost.exe=WZCSVC

Registry
--------
000=HKCU\Run: Alt+Q Hotkey Tool=c:\windows\alt+q hotkey.exe
000=HKCU\Run: ICQ="c:\program files\icq6\icq.exe" silent
000=HKCU\Run: SpybotSD TeaTimer=c:\program files\spybot - search & destroy\teatimer.exe
000=HKCU\Run: Steam="e:\games\spiele\steam\steam.exe" -silent
000=HKLM\Run: =
000=HKLM\Run: Acronis Scheduler2 Service="c:\program files\common files\acronis\schedule2\schedhlp.exe"
000=HKLM\Run: AVP="c:\program files\kaspersky lab\kaspersky anti-virus 6.0\avp.exe"
000=HKLM\Run: Copperhead=c:\program files\razer\copperhead\razerhid.exe
000=HKLM\Run: Launch LCDMon="c:\program files\common files\logitech\lcd manager\lcdmon.exe"
000=HKLM\Run: Launch LGDCore="c:\program files\common files\logitech\g-series software\lgdcore.exe" /showhide
000=HKLM\Run: NeroFilterCheck=c:\windows\system32\nerocheck.exe
000=HKLM\Run: SoundMan=c:\windows\soundman.exe
000=HKLM\Run: StartCCC=c:\program files\ati technologies\ati.ace\core-static\clistart.exe
000=HKLM\Run: System Files Updater=c:\windows\flyakiteosx\tools\system files updater.exe
000=HKLM\Run: TrueImageMonitor.exe=c:\program files\acronis\trueimage\trueimagemonitor.exe
000=HKLM\Run: UltraMon="c:\program files\ultramon\ultramon.exe" /auto
001=Firewall bypass: %windir%\system32\sessmgr.exe=c:\windows\system32\sessmgr.exe
001=Firewall bypass: C:\Documents and Settings\Nerd2k7\Desktop\utorrent.exe=c:\documents and settings\nerd2k7\desktop\utorrent.exe
001=Firewall bypass: C:\Program Files\BitComet\BitComet.exe=c:\program files\bitcomet\bitcomet.exe
001=Firewall bypass: C:\Program Files\ICQ6\ICQ.exe=c:\program files\icq6\icq.exe
001=Firewall bypass: C:\Program Files\Opera\Opera.exe=c:\program files\opera\opera.exe
001=Firewall bypass: C:\Program Files\Skype\Phone\Skype.exe=c:\program files\skype\phone\skype.exe
001=Firewall bypass: C:\Program Files\Trillian Pro\trillian.exe=c:\program files\trillian pro\trillian.exe
001=Firewall bypass: C:\Program Files\uTorrent\utorrent.exe=c:\program files\utorrent\utorrent.exe
001=Firewall bypass: C:\Program Files\Xfire\xfire.exe=c:\program files\xfire\xfire.exe
001=Firewall bypass: E:\dload\warsow_0.3_windows\warsow.exe=e:\dload\warsow_0.3_windows\warsow.exe
001=Firewall bypass: E:\Games\Rund um Spiele\Tools\HLServer\hlds.exe=e:\games\rund um spiele\tools\hlserver\hlds.exe
001=Firewall bypass: E:\Games\Spiele\CallofDuty1\CoDMP.exe=e:\games\spiele\callofduty1\codmp.exe
001=Firewall bypass: E:\Games\Spiele\CallofDuty2\CoD2MP_s.exe=e:\games\spiele\callofduty2\cod2mp_s.exe
001=Firewall bypass: E:\Games\Spiele\Steam\steamapps\nerd2k5\counter-strike\hl.exe=e:\games\spiele\steam\steamapps\nerd2k5\counter-strike\hl.exe
001=Firewall bypass: E:\Games\Spiele\Warcraft III\Warcraft III.exe=e:\games\spiele\warcraft iii\warcraft iii.exe
004=AntiVirus Disable Notify is ON (Default is OFF)
002=Firewall Disable Notify is ON (Default is OFF)
020=SSODL: CDBurn=C:\WINDOWS\system32\shell32.dll
020=SSODL: PostBootReminder=C:\WINDOWS\system32\shell32.dll
020=SSODL: SysTray=c:\windows\system32\stobject.dll
020=SSODL: WebCheck=C:\WINDOWS\system32\webcheck.dll
030=BHO: {055FD26D-3A88-4e15-963D-DC8493744B1D}=c:\progra~1\icqtoo~1\toolbaru.dll (XTTBPos00 Class)
030=BHO: {22BF413B-C6D2-4d91-82A9-A0F997BA588C}=c:\program files\skype\toolbars\internet explorer\skypeieplugin.dll (Skype add-on (mastermind))
030=BHO: {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60}=c:\program files\bitcomet\tools\bitcometbho_1.1.5.19.dll (BitComet Helper)
030=BHO: {53707962-6F74-2D53-2644-206D7942484F}=c:\program files\spybot - search & destroy\sdhelper.dll ()
031=Toolbar: {01E04581-4EEE-11D0-BFE9-00AA005B4383}=C:\WINDOWS\system32\browseui.dll
031=Toolbar: {0E5CBF21-D15F-11D0-8301-00AA005B4383}=C:\WINDOWS\system32\shell32.dll
031=Toolbar: {855F3B16-6D32-4FE6-8A56-BBB695989046}=c:\progra~1\icqtoo~1\toolbaru.dll
031=Toolbar: {855F3B16-6D32-4fe6-8A56-BBB695989046}=c:\progra~1\icqtoo~1\toolbaru.dll

Startup Folders
---------------
Common: desktop.ini
Personal: desktop.ini

HOSTS
-----
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

P.S.:
Die anderen Scanns muss ich noch machen!
Was ich noch sagen wollte oder anmerken ist das ich mit einem Beschränkten Benutzer arbeite nicht als Admin! nur mal so

Zitat:

ist der virus oder trojaner oder was es überhaupt ist sehr schlimm ?

googeln kannste selber ;)

Da ist noch einiges faul bei dir wesshalb ich hoffe, dass MWAVE bald wieder fit ist... :/

Wechsel bitte in den abgesicherten Modus und starte iClean dort.

Finden sich unter dem "Registry" Reiter nun die Einträge:

* 004=AntiVirus Disable Notify is ON *
* 002=Firewall Disable Notify is ON * ?

wenn ja dann sichere bitte die Registry, markiere danach die beiden Einträge und drücke "Repair". Danach lasse bitte sofort cCleaner laufen. (Die Registry solange überprüfen und bereinigen lassen bis nichts mehr gefunden wird!)

Sollten sich die Einträge im abgesicherten Modus nicht finden so führe die Schritte bitte im normalen Modus durch.

HINWEIS: Solltest du starke Probleme mit deinem Rechner bekommen kannst du die vorher gespeicherte Registry mittels iClean wiederherstellen..

Gruß

Undoreal

also ich habs jetzt ganz einfach gemacht ich hab den ganzen festplatten inhalt auf ne andere Partition gemacht und dann einfach formatiert !

nochma gescannt und jup er hat nix gefunden !!! find ich toll zum glück hatte ich so viel platz (hab auch vorher HD backup gemacht ;-))

^^ also als klinisch rein würde ich den Rechner jetzt nicht bezeichnen aber wenn's funktioniert hatt dann ist doch super :)