Trojaner-Board - Escan findet multiple Viren + Malware

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Escan findet multiple Viren + Malware (https://www.trojaner-board.de/42452-escan-findet-multiple-viren-malware.html)

Escan findet multiple Viren + Malware

Hallo

Der neue Escan findet bei mir ziemlich viel heftige Sachen:

Tue Aug 21 15:42:51 2007 => Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.

ue Aug 21 15:42:44 2007 => Offending file found: C:\Dokumente und Einstellungen\Martin.SCHLAFZIMMER\Desktop\smitfraudfix\process.exe
Tue Aug 21 15:42:44 2007 => System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (process.exe)! Action taken: Keine Aktion vorgenommen

das kam erst seitdem ich den Smitfraud entfernt habe...

hier das Hijack Log:

Logfile of HijackThis v1.99.1
Scan saved at 16:51:09, on 21.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
e:\Programme\NetCom\netcom.service.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\digi96.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Martin.SCHLAFZIMMER\Desktop\HijackThis.exe

R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RMETray] digi96.exe

O4 - HKLM\..\Run: [NvCplDaemon] "RUNDLL32.EXE" C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0\bin\ssv.dll (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - e:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - e:\Programme\ICQ6\ICQ.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C86BE75D-47FA-4841-80D3-9F75760844B0}: NameServer = 217.237.148.102 217.237.151.115
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! Web Scanner - Unknown owner - d:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - Unknown owner - C:\WINDOWS\system32\brsvc01a.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NetCom service (NetCom) - NetCom - e:\Programme\NetCom\netcom.service.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: T-Online DSL-Manager (TODslService) - T-Systems International GmbH - C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\Gigaset DECT\talk&surf_6_0\xcontrolcom.exe

Spacklsp.dll sollte zum t-online dsl manager gehören... fällt jemandem noch was auf?

mfg

Birdland

Die eScan-Funde sind Fehlalarme. Das Programm stuft die Dateien vom smitfraudfix als verdächtig ein. Wird denn sonst nix gefunden?

Dein HJT-Log sieht sauber aus, allerdings kommt mir die Liste der laufenden Prozesse recht kurz vor, oder laufen bei dir nur tatsächlich 19 Prozesse? ;)

Zitat:

Zitat von cosinus (Beitrag 288839)

Die eScan-Funde sind Fehlalarme. Das Programm stuft die Dateien vom smitfraudfix als verdächtig ein. Wird denn sonst nix gefunden?

Hi, doch! loveLan, Syginre, Fujacks-Type...

Dein HJT-Log sieht sauber aus, allerdings kommt mir die Liste der laufenden Prozesse recht kurz vor, oder laufen bei dir nur tatsächlich 19 Prozesse? ;)

kann irgendwie nicht sein... es laufen 32 Prozesse... unter anderem immer wieder mal wuauclt.exe obwohl ich keine updates laufen habe
, smss.exe, wdfmgr.exe, ansonsten kommt mir da auch nichts sonderbar vor
hatte neulich mal ravmon.exe drauf, aber der lässt sich ja schön per hand löschen. Wie bekommt man die Prozesse jettzt in HJT protokolliert?

ciao

Birdland

Ich seh grad, du hast die alte Version von HJT noch benutzt. Probier mal die neue aus und poste ein neues Logfile der aktuellen Version.

Download HJT 2.0.2

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:57:16, on 22.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
e:\Programme\NetCom\netcom.service.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\digi96.exe

C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
E:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\Martin.SCHLAFZIMMER\Lokale Einstellungen\Temp\HijackThis.exe

R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RMETray] digi96.exe

O4 - HKLM\..\Run: [NvCplDaemon] "RUNDLL32.EXE" C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [H2OWIBU] d:\Programme\WIBUKEY\H2O\CXWibu.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: T-Online DSL-Manager.lnk = C:\Programme\T-Online\DSL-Manager\TODslMgr.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: T-Online DSL-Manager.lnk = C:\Programme\T-Online\DSL-Manager\TODslMgr.exe (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0\bin\ssv.dll (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - e:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - e:\Programme\ICQ6\ICQ.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{C86BE75D-47FA-4841-80D3-9F75760844B0}: NameServer = 217.237.148.102 217.237.151.115
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - d:\Programme\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: BrSplService (Brother XP spl Service) - Unknown owner - C:\WINDOWS\system32\brsvc01a.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NetCom service (NetCom) - NetCom - e:\Programme\NetCom\netcom.service.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: T-Online DSL-Manager (TODslService) - T-Systems International GmbH - C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\Gigaset DECT\talk&surf_6_0\xcontrolcom.exe

--
End of file - 4130 bytes

Es werden auch nicht mehr prozesse... 2 hab ich rausgelöscht (privacy)

ciao

Birdland

Wieso haust du da unnötige zeilenumbrüche rein?
Das Logfile sollte so unverfälscht wie möglich gepostet werden, zensiere private Infos mit Sernchen aus, aber lösch nicht gleich ganzen Zeilen! Das gilt auch für deinen Rechnernamen, jetzt weiß jeder dass dein PC im Schlafzimmer steht :rolleyes:

Zitat:

e:\Programme\NetCom\netcom.service.exe

Ist dir diese Datei bekannt? Wenn nicht, bitte auswerten lassen bei Virustotal.

Mach auch mal einen Check mit Blacklight und escan (link siehe Sig)

Ist dir diese Datei bekannt? Wenn nicht, bitte auswerten lassen bei Virustotal.

Mach auch mal einen Check mit Blacklight und escan (link siehe Sig)[/QUOTE]

Also Netcom ist so ein VNC Proggie das ich mal installiert habe für den Rechner im Nachbarzimmer. Habs jetzt deinstalliert... Blacklight findet keine versteckten Prozesse, für netcom.service.exe wurde auch kein Virus gefunden bei diversen Online-Scannern... habe jetzt aber trotzdem mal meine Junk-Mails gelöscht, da hat escan auch einiges gefunden. Werde die Prozesse weiterhin beobachten,

mfg

Birdland

Bitte die escn Anleitung beachten! escan findet ja anscheinend was bei dir, lso stell auch das Log dazu hierein!