|
Wurde von einem Trojaner infiziert. Bitte um Hilfe Hallo, mein Rechner wurde wahrscheinlich von einem Trojaner infiziert. Ich hab mir Antvir installiert, nachdem ich lange Zeit Avast! benutzt habe. Nach der Installation kommt bei jedem Programmstart eine Alarmmeldung von Antivir, dass die Datei "cbxuvur.dll" im Windows/System32-Ordner wahrscheinlich infiziert ist. Antivir kann die Datei nicht entfernen bzw. reparieren, auch nicht im abgesicherten Modus, bei deaktivierter Systemwiederherstellung. Da ich von der Materie nicht allzuviel Ahnung hab, wende ich mich an euch. Meine aktuelle HJT-Log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:44:52, on 06.09.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\WINDOWS\System32\PackethSvc.exe C:\WINDOWS\system32\cisvc.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\LXSUPMON.EXE C:\Programme\QuickTime\qttask.exe C:\Programme\Telekom\Eumex 504PC USB\Capictrl.exe C:\Programme\Sony\VAIO Action Setup\VAServ.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\wuauclt.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\system32\NOTEPAD.EXE C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-vaio.sony-europe.com/ O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon O4 - HKLM\..\Run: [routcnf] C:\Programme\Telekom\Eumex 504PC USB\routcnf.exe O4 - HKLM\..\Run: [avp] C:\WINDOWS\TEMP\winC42.tmp.exe O4 - HKLM\..\Run: [wjebadqt] rundll32.exe "C:\Programme\wjebadqt\glcpsbaj.dll",Init O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [testlessbibfast] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Support Surf Test Less\VcSpam.exe O4 - HKLM\..\Run: [smgr] mgrs.exe O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Awei] "C:\DOKUME~1\Michael\ANWEND~1\SEMBLY~1\msdtc.exe" -vt yazb O4 - HKCU\..\Run: [Rgipdr] C:\WINDOWS\?racle\?canregw.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: CAPIControl.lnk = ? O4 - Global Startup: VAIO Action Setup (Server).lnk = ? O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) O14 - IERESET.INF: START_PAGE_URL=h**p://www.club-vaio.sony-europe.com O15 - Trusted Zone: *.Sony-europe.com O15 - Trusted Zone: *.Sonystyle-europe.com O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163198250435 O17 - HKLM\System\CCS\Services\Tcpip\..\{CFE3094D-C440-4BB8-9590-839832B2DB4C}: NameServer = 217.237.150.51 217.237.148.22 O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: Virtual NIC Service (PackethSvc) - America Online, Inc. - C:\WINDOWS\System32\PackethSvc.exe O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe -- End of file - 5271 bytes Desweiteren hab ich die infizierte Datei noch bei Virustotal.com auswerten lassen. Es folg deren Analysebericht: Datei cbxuvur.dll empfangen 2007.09.06 20:43:09 (CET) Ergebnis: 17/32 (53.13%) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.9.5.0 2007.09.06 - AntiVir 7.6.0.5 2007.09.06 TR/Vundo.Gen Authentium 4.93.8 2007.09.06 - Avast 4.7.1029.0 2007.09.06 - AVG 7.5.0.485 2007.09.06 Adware Generic2.OYD BitDefender 7.2 2007.09.06 Trojan.Vundo.DMV CAT-QuickHeal 9.00 2007.09.06 - ClamAV 0.91.2 2007.09.06 - DrWeb 4.33 2007.09.06 Trojan.Virtumod.206 eSafe 7.0.15.0 2007.09.04 Suspicious Trojan/Worm eTrust-Vet 31.1.5114 2007.09.06 Win32/Vundo!generic Ewido 4.0 2007.09.06 - FileAdvisor 1 2007.09.06 - Fortinet 3.11.0.0 2007.09.06 - F-Prot 4.3.2.48 2007.09.06 - F-Secure 6.70.13030.0 2007.09.06 - Ikarus T3.1.1.12 2007.09.06 not-a-virus:AdWare.Win32.Virtumonde.jp Kaspersky 4.0.2.24 2007.09.06 not-a-virus:AdWare.Win32.Virtumonde.jp McAfee 5114 2007.09.06 - Microsoft 1.2803 2007.09.06 - NOD32v2 2510 2007.09.06 - Norman 5.80.02 2007.09.06 W32/Virtumonde.dam Panda 9.0.0.4 2007.09.06 Suspicious file Prevx1 V2 2007.09.06 Generic.Malware Rising 19.39.32.00 2007.09.06 - Sophos 4.21.0 2007.09.06 Virtumundo Sunbelt 2.2.907.0 2007.09.06 VIPRE.Suspicious Symantec 10 2007.09.06 Adware.VirtuMonde TheHacker 6.1.9.179 2007.09.06 Adware/Virtumonde.jp VBA32 3.12.2.4 2007.09.06 - VirusBuster 4.3.26:9 2007.09.06 Adware.Vundo.P.Gen Webwasher-Gateway 6.0.1 2007.09.06 Trojan.Vundo.Gen weitere Informationen File size: 43542 bytes MD5: 4a67e680c457c3b08780f5264d7cd266 SHA1: 0a5185821afa9c67fac1e592b0ee2457ec204cb8 packers: PecBundle, PECompact Prevx info: http://fileinfo.prevx.com/fileinfo.asp?PX5=53C6E0011655169EAAE7003489002A00D5A9D028 Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics Ich hoffe ihr könnt mir helfen, Mfg MeisterM |
Hi, Im Explorer im Menü Extras -> Ordneroptionen -> Ansicht setze folgende Einstellungen:
Virustotal kennst Du ja schon, hier gleich noch ein paar Dateien zum Scannen:
Wir wollen uns mal den Inhalt einiger kritischer Verzeichnisse auf deinem System ansehen. Dazu arbeite bitte diese Anleitung ab. Gruß, Karl |
Also, ich habe diese Ordneroptionen gändert. Danach hab ich mich daran gemacht, die aufgelisteten Dateien zu suchen. Leider konnt ich sie nicht an Virustotal senden, da ich bzw. die Windows Suche, sie, oder die enthaltenden Ordner nicht gefunden habe. Die beiden Ausnahme bilden die Datei "winC42.tmp", die aber von Virustotal nicht akzeptiert wurde, da sie 0 Kb groß ist und "mgrs.exe" zu der aber nur die ähnliche Datei "mgrs.dll" existiert, die zu Anitvir gehört. Die Virustotal Analyse dieser Datei konnte keinen Virus feststellen. Als nächstes habe ich diese Filelist erstellt. Das hat sofort funktioniert, jdeoch ist die Datei trotz Kürzungen so groß, dass der Thread sie nicht annimmt und ich sie auch nicht als Attachment anhängen kann. Deshalb mach ich alles einzeln: Code: ----- Root ----------------------------- Code: ----- System32 ------------------------- Code: ----- Prefetch ------------------------- Code: ----- Windows -------------------------- Code: ----- Tasks ---------------------------- Code: ----- Wintemp -------------------------- Code: ----- Temp ----------------------------- Ausserdem sind durch Meldungen von AntiVir folgende Dateien aufgefallen: -fqsuesjt.exe -valera[1] -jjgeksjv.exe -hhadgrky.dll Allesamt langen sie laut Antivir irgendwo in "C:\Dokumente und Einstellungen" (der ganze Pfad wird nie angezeigt) und nach der Meldung nicht mehr auffindbar, so dass ich sie auch nicht scannen lassen konnte. Danke fürs Helfen! |
Ich übernehm mal für KarlKarl. Da du zumindest den Vundo drauf hast, acker das hier mal ab: * Lade dir vundofix.exe * Doppelklick VundoFix.exe * Klicke "Scan" --> Vundo button. * Nach dem Scannen, klicke den "Remove" Vundo button. * Man wird nun gefragt, ob man "remove" will --> klicke YES * Danach werden alle Desktop-Symbole verschwinden * Dann wird man gefragt, ob der PC neustarten soll --> klicke OK. Mach dann mal ein neues Filelist, so können wir ggf. krumme Dateien finden, die nicht zu Vundo gehören. Du könntest VOR dem erneuten Erstellen die tempfade leeren - dieses CMD-script könnte dir dabei helfen, speicher es auf dem Desktop und klick es doppelt an (es müsste nur kurz ein schwarzes fenster erscheinen). |
Editiert: Danke Cosinus :) |
Kaum springt man ein, isser schon da! ;) |
So, hat alles prima funktioniert, Antivir meldet auch nix mehr. Vielen Dank! Jedoch startet der INetExplorer immernoch von alleine... Hier ist die neue Filelist: Code: ----- Root ----------------------------- |
Ein paar Dateien seh ich so, die du löschen kannst. Geh dazu mal so vor: 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop: |
OK. Alles erledingt, hier sind die Ergebnisse: Code: Logfile of The Avenger version 1, by Swandog46Code: ----- Root ----------------------------- |
Code: "Silent Runners.vbs", revision 52, http://www.silentrunners.org/ |
Oje, da ist mit Sicherheit noch mehr :( Code: 09.09.2007 21:46 1.080 nqfqrowb.batWerte die Datei c:\zip.exe schon mal bei Virustotal aus, ich acker mich mal durch das silentrunners-Log... |
Die beiden Dateien sind Überbleibsel des Avenger-Einsatzes, somit ok, können aber gelöscht werden. Die benutzt Avenger um nach dem Neustart die Backupdatei zu erzeugen. Die Essenz des Silentrunners: Code: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++} |
Willst du immer noch bereinigen? ;) Das hier konnte ich als Schädlingseinträge aus dem Silentrunners-Log "extrahieren": Code: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\C:\WINDOWS\*racle\*canregw.exe Sowie erfahren, ob sich noch andere dubiose Ordner eingeschlichen haben. Das wären zumindest schon mal diese hier: C:\DOKUME~1\Michael\ANWEND~1\SEMBLY~1\ C:\WINDOWS\*racle\ Mir ist allerdings schleierhaft, welche Technik da angewandt wird, um die konkreten Pfadangaben mit Platzhaltern wie * oder ? zu maskieren... :pfui: Ich hoffe ein anderer Bekämpfer weiß das. |
Hallo Cosinus :) Da habe ich eine Idee. Die Dateinamen enthalten im Original Unicode-Zeichen, z.B. kyrillische Zeichen, oft welche, die lateinischen Zeichen sehr ähnlich aussehen, aber eben andere Zeichen sind. Eine große Menge Tools, u.a. Hijackthis und Silentrunners kommen damit nicht klar. Hijackthis zeigt dann ein '?' an, Silentrunners '*' (und gibt eine Meldung aus, dass er das nicht drucken kann). Auch ein Preis der Abwärtskompatibilität für Systeme, die Unicode nicht kennen. Escan hat da übrigens auch Probleme. Wenn man das aber weiß, ist es kein Problem, bei der Suche nach Verzeichnissen und Dateien Ausschau nach welchen zu halten, die an der entsprechenden Stelle ein anders Zeichen enthalten. Könnte sich übrigens um etwas namens "Purityscan" handeln, die benutzen diesen Trick gerne. Leider habe ich dafür keinen Remover griffbereit. Sehr lästiges Teil. Vielleicht Counterspy. |
Gute Idee! :daumenhoc Und ich hab mich schon bei anderen Threads gewundert, wie die Schädlinge es schaffen, mit Wildcards umzugehen :headbang: Bei einem anderen Fred nur mit lauter ? und hier nur mit * ...grr :koch: |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:09 Uhr. |
Copyright ©2000-2025, Trojaner-Board