|
tr/monder auf der c partition - unlöschbar guten tag :) habe mit antivir eine datei auf meiner c partition entdeckt die angeblich vom tr/monder befallen ist. es handelt sich um "c:\ARK5A.tmp". die datei löscht weder das programm antivir noch der shredder von tuneup2008. es wäre nett wenn mir geholfen werden könnte, da ich nicht wirklich lust habe mein system neu zu installieren. anbei poste ich noch meinen hijacklog. vielen dank im voraus! Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:46:05, on 18.08.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\Programme\Intel\Wireless\Bin\EvtEng.exe C:\Programme\Intel\Wireless\Bin\S24EvMon.exe C:\Programme\Intel\Wireless\Bin\WLKeeper.exe C:\WINDOWS\System32\wltrysvc.exe C:\WINDOWS\System32\bcmwltry.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\Intel\Wireless\Bin\RegSrvc.exe C:\Programme\CyberLink\Shared files\RichVideo.exe C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe C:\WINDOWS\system32\svchost.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe C:\Programme\Apoint\Apoint.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\Rundll32.exe C:\Programme\ICQ6\ICQ.exe C:\Programme\Apoint\HidFind.exe C:\Programme\Apoint\Apntex.exe C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe C:\Programme\Winamp\winamp.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe C:\Programme\AntiVir PersonalEdition Classic\avscan.exe E:\[Download Temp]\CryptLoad_1.0.7\CryptLoad.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\explorer.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/ R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O1 - Hosts: 127.255.255.255 serial.alcohol-soft.com O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe" O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe O4 - HKLM\..\Run: [BM737f3d51] Rundll32.exe "C:\WINDOWS\system32\wutlbkyc.dll",s O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\FRONTP~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: vhsdjg.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe -- End of file - 6519 bytes |
Halli hallo william gotti :hallo: Um alle weiteren Hilfeleistungen zu erleichtern und deine Systemsicherheit zu erhöhen arbeite bitte folgendes gründlich ab:
Fixe mit HJT dann folgende Einträge: Zitat:
Lade dir das Tool Avenger und speichere es auf dem Desktop:
Code: Files to delete:
Suche wie in meiner Sigantur beschrieben nach folgender Datei und poste den kompletten Dateipfad wo sie gefunden wurde: vhsdjg.dll Konfiguriere AntiVir danach aggressiv und führe einen Vollscan durch. Poste den Bericht. |
avenger log: Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "C:\WINDOWS\system32\wutlbkyc.dll" deleted successfully. Error: file "c:\ARK5A.tmp" not found! Deletion of file "c:\ARK5A.tmp" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Completed script processing. ******************* Finished! Terminate. ------------------------------------------------------------- die datei vhsdjg.dll ist in c:\windows\system32 ------------------------------------------------------------ ich habe durch zufall gesehen, dass antivir wohl die datei ARK5A.tmp in quarantäne geschoben hat der virenscan dauert noch an |
Avira AntiVir Personal Erstellungsdatum der Reportdatei: Dienstag, 19. August 2008 05:15 Es wird nach 1561842 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: 0000149996-ADJIE-0001 Plattform: Windows XP Windowsversion: (Service Pack 2) [5.1.2600] Boot Modus: Normal gebootet Benutzername: SYSTEM Computername: WILLIAM Versionsinformationen: BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00 AVSCAN.EXE : 8.1.4.7 315649 Bytes 18.07.2008 23:00:38 AVSCAN.DLL : 8.1.4.0 48897 Bytes 18.07.2008 23:00:37 LUKE.DLL : 8.1.4.5 164097 Bytes 18.07.2008 23:00:38 LUKERES.DLL : 8.1.4.0 12545 Bytes 18.07.2008 23:00:38 ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 01:56:02 ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 21:30:25 ANTIVIR2.VDF : 7.0.6.10 2587136 Bytes 14.08.2008 12:24:34 ANTIVIR3.VDF : 7.0.6.29 142336 Bytes 18.08.2008 11:29:02 Engineversion : 8.1.1.19 AEVDF.DLL : 8.1.0.5 102772 Bytes 14.04.2008 17:52:35 AESCRIPT.DLL : 8.1.0.63 311673 Bytes 07.08.2008 11:53:42 AESCN.DLL : 8.1.0.23 119156 Bytes 18.07.2008 23:00:38 AERDL.DLL : 8.1.0.20 418165 Bytes 26.04.2008 03:10:42 AEPACK.DLL : 8.1.2.1 364917 Bytes 18.07.2008 23:00:38 AEOFFICE.DLL : 8.1.0.21 192891 Bytes 18.07.2008 23:00:38 AEHEUR.DLL : 8.1.0.47 1368437 Bytes 07.08.2008 11:53:41 AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 09:39:19 AEGEN.DLL : 8.1.0.35 315764 Bytes 07.08.2008 11:53:37 AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 21:55:35 AECORE.DLL : 8.1.1.8 172406 Bytes 31.07.2008 21:55:34 AEBB.DLL : 8.1.0.1 53617 Bytes 18.07.2008 23:00:38 AVWINLL.DLL : 1.0.0.12 15105 Bytes 18.07.2008 23:00:38 AVPREF.DLL : 8.0.2.0 38657 Bytes 18.07.2008 23:00:37 AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 21:55:33 AVREG.DLL : 8.0.0.1 33537 Bytes 18.07.2008 23:00:37 AVARKT.DLL : 1.0.0.23 307457 Bytes 14.04.2008 17:52:35 AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 18.07.2008 23:00:37 SQLITE3.DLL : 3.3.17.1 339968 Bytes 14.04.2008 17:52:35 SMTPLIB.DLL : 1.2.0.23 28929 Bytes 18.07.2008 23:00:38 NETNT.DLL : 8.0.0.1 7937 Bytes 14.04.2008 17:52:35 RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 18.07.2008 23:00:36 RCTEXT.DLL : 8.0.52.0 86273 Bytes 18.07.2008 23:00:36 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Vollständige Systemprüfung Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp Protokollierung..................: niedrig Primäre Aktion...................: interaktiv Sekundäre Aktion.................: ignorieren Durchsuche Masterbootsektoren....: ein Durchsuche Bootsektoren..........: ein Bootsektoren.....................: C:, D:, E:, Durchsuche aktive Programme......: ein Durchsuche Registrierung.........: ein Suche nach Rootkits..............: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: aus Archiv Smart Extensions..........: ein Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, Makrovirenheuristik..............: ein Dateiheuristik...................: hoch Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR, Beginn des Suchlaufs: Dienstag, 19. August 2008 05:15 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '40963' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'StarWindServiceAE.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RichVideo.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BCMWLTRY.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WLTRYSVC.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SpybotSD.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WLKEEPER.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '31' Prozesse mit '31' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'E:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. C:\Programme\Windows Media Player\Skins\appocm.dll [FUND] Enthält Erkennungsmuster der Phish-Datei/Email PHISH/FraudTool.XPShield.H [WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003 [WARNUNG] Die Datei konnte nicht gelöscht werden! [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK lib durchzuführen. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '491a580e.qua' verschoben! Die Registry wurde durchsucht ( '64' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <Main> C:\ARK45.tmp [FUND] Enthält Erkennungsmuster der Phish-Datei/Email PHISH/FraudTool.XPShield.H [WARNUNG] Die Datei konnte nicht gelöscht werden! [HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK lib durchzuführen. [HINWEIS] Die Datei wurde gelöscht. C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\User\Desktop\i*****\free fall.mp3 [FUND] Enthält Erkennungsmuster des SPR/ASF.GetCodec.Gen-Programmes [WARNUNG] Die Datei wurde ignoriert. C:\Dokumente und Einstellungen\User\Desktop\***** F\raste aus.mp3 [FUND] Enthält Erkennungsmuster des SPR/ASF.GetCodec.Gen-Programmes [WARNUNG] Die Datei wurde ignoriert. C:\Dokumente und Einstellungen\User\Desktop\i*****\EMBK Beat snoppet 2.mp3 [FUND] Enthält Erkennungsmuster des SPR/ASF.GetCodec.Gen-Programmes [WARNUNG] Die Datei wurde ignoriert. ES KOMMEN NOCH UNZÄHLIGE FUNDEMIT DEM SELBEN EINTRAG BZW FUND, WELCHE ICH AUF GRUND DER PFADE GELÖSCHT HAB E:\***\rdy\prooved\bank.mp3 [FUND] Enthält Erkennungsmuster des SPR/ASF.GetCodec.Gen-Programmes [WARNUNG] Die Datei wurde ignoriert. Ende des Suchlaufs: Dienstag, 19. August 2008 13:21 Benötigte Zeit: 8:06:15 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 7365 Verzeichnisse wurden überprüft 488916 Dateien wurden geprüft 4535 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 3 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 484379 Dateien ohne Befall 2021 Archive wurden durchsucht 4535 Warnungen 4 Hinweise 40963 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden |
Was sind das für mp3s die ignoriert wurden? Ich würde die löschen.. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 02:53 Uhr. |
Copyright ©2000-2025, Trojaner-Board