komische .scr Datei
 

Hallo zusammen,

ich bin neu hier und hab folgendes Problem:

Ich habe mir folgende Datei eingefangen (IMG 082.scr) als ich sie angeklickt habe sagt mir AntiVir es sei folgender Virus "TR/Agent.497121"!!!


Was bewirkt dieser Virus / dieses File?
Was ist .scr ?

Die Datei liegt hier:

http://xxxxxxxxxxxxx.xxx/180316126.html

Vlt. kann sich die Datei jemand (der Ahnung von sowas hat) mal angucken.
Ich vermute das ist eine Art "Scherz oä" bin mir aber sehr unsicher.

Ich hoffe Ihr könnt mir helfen.

Gruß
herro

Hi,
erstmal, woher hast du die Datei?
Die Endung .scr deutet auf einen Screensaver (Bildschirmschoner) hin.

Poste mal ein HijackThis Logfile, den Boardregeln entsprechend.

mfg

Das ist ein Agent der den Sohanad Wurm nachläd..

ich hab diese Datei von einem aus meiner ICQ liste geschickt bekommen (bzw. er hat mir den gleichen link, wie ich oben gepostet habe, geschickt....

und ich habe aus reflex einfach mal draufgeklickt....!

Na dann sollte sich dein Kumpel mal bei uns melden...

ich hoffe so war das gemeint:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:12:12, on 20.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\Tools\Bluesoleil\BlueSoleilCS.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
D:\Tools\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
D:\Tools\Bluesoleil\BsHelpCS.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPNRA.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
D:\Tools\MB Monitor\MBM5.EXE
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
D:\Tools\iTunes\iTunesHelper.exe
D:\Tools\Bluesoleil\BtTray.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
D:\Treiber\Logitech\MouseWare 9.80\MouseWare\system\em_exec.exe
D:\Internet\Thunderbird\TRAY\Thunderbird-Tray\TBTray.exe
D:\Internet\Thunderbird\thunderbird.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
D:\Internet\Miranda IM 0.7.7\miranda32.exe
D:\Internet\Firefox 3\firefox.exe
G:\Downloads\Incoming\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Tools\FLASHF~1\IEFlash.dll
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.exe -off
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Treiber\SB Live!\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [MBM 5] "D:\Tools\MB Monitor\MBM5.EXE"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [iTunesHelper] "D:\Tools\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [BtTray] "D:\Tools\Bluesoleil\BtTray.exe"
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [AlcoholAutomount] "D:\Tools\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [MSWINSCK.OCX] C:\WINDOWS\system32\1088\scvhost.exe
O4 - Startup: TB-Tray.lnk = D:\Internet\Thunderbird\TRAY\Thunderbird-Tray\TBTray.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\Tools\OFFICE~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Tools\OFFICE~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - D:\Tools\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - D:\Tools\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: BlueSoleilCS - Unknown owner - D:\Tools\Bluesoleil\BlueSoleilCS.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: BsHelpCS - Unknown owner - D:\Tools\Bluesoleil\BsHelpCS.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - D:\Tools\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 7264 bytes

Ja genau so..
Kram schonmal deine XP CD aus und mach bitte noch das:


Dateien Online überprüfen lassen:

• Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

• Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

• Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

• Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

• Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Nochwas:

@Admin/Mod.
Könnt ihr den Link editieren? Da kommt sonst noch einer auf dumme Gedanken..

mfg

der Ordner 1088 ist leer...


...habe auch "verstecke elemente anzeigen" an !

mom mal ... diesen Pfad hatte mir AntiVir gestern angezeigt....!!

ich habe den Inhalt gelöscht!

Dann stell HijackThis so ein:

• Öffne das Programm
• Gehe in die Option "Open the Misc tools section"
• Scrolle runter bis "Advanced Settings"
• Setze bei "Calculate MD5 of files if possible" einen Haken
• Erstelle jetzt ein neues Logfile und poste es

Eine Frage: Hast du die Screensaver-Datei geöffnet? Oder nur heruntergeladen?

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:33:06, on 20.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\Tools\Bluesoleil\BlueSoleilCS.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
D:\Tools\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
D:\Tools\Bluesoleil\BsHelpCS.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPNRA.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
D:\Tools\MB Monitor\MBM5.EXE
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
D:\Tools\iTunes\iTunesHelper.exe
D:\Tools\Bluesoleil\BtTray.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
D:\Treiber\Logitech\MouseWare 9.80\MouseWare\system\em_exec.exe
D:\Internet\Thunderbird\TRAY\Thunderbird-Tray\TBTray.exe
D:\Internet\Thunderbird\thunderbird.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
D:\Internet\Miranda IM 0.7.7\miranda32.exe
D:\Internet\Firefox 3\firefox.exe
G:\Downloads\Incoming\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (filesize 62080 bytes, MD5 C11F6A1F61481E24BE3FDC06EA6F7D2A)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll (filesize 509328 bytes, MD5 F921D875A1CBD69A6A462BA2514BC831)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll (filesize 654320 bytes, MD5 72D6804DC43CC0CF4F10E699D7738138)
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Tools\FLASHF~1\IEFlash.dll (filesize 191096 bytes, MD5 3507AEE207E68553606F17DB01574E60)
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.exe -off (filesize 1323008 bytes, MD5 2554C50D1B238B32465467835BB3FD75)
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE (filesize 24576 bytes, MD5 3C7A868402B2DD7B65AC32BED886D9E5)
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEC:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "D:\Treiber\SB Live!\PROGRAM\ADGJDet.exe" (filesize 28672 bytes, MD5 7DF5F447DE9E4600F8C77A00D86D210B)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min (filesize 266497 bytes, MD5 6E812818306D460D62B4ABEA9FDC6679)
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun (filesize 61440 bytes, MD5 E1E71D80D078C576801B6FE2A29FCF85)
O4 - HKLM\..\Run: [MBM 5] "D:\Tools\MB Monitor\MBM5.EXE" (filesize 594432 bytes, MD5 090261B46C2A689BE9B1DD5D6F80E288)
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime (filesize 413696 bytes, MD5 F34EB5D4F145ED5FE50033CA3A41ED24)
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" (filesize 144784 bytes, MD5 6AB4C021FBD36DC6764924C312428D97)
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exeC:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [iTunesHelper] "D:\Tools\iTunes\iTunesHelper.exe" (filesize 289064 bytes, MD5 12577ED7558A642C53C959E72FF2455F)
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent (filesize 33792 bytes, MD5 F6B34CD47CAF6D68106B9F8055F35C50)
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe (filesize 20992 bytes, MD5 C921A733FA3F1E4C3505D436DBC5EA47)
O4 - HKLM\..\Run: [BtTray] "D:\Tools\Bluesoleil\BtTray.exe" (filesize 258134 bytes, MD5 671A210D11B6E5206A7263220023170C)
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020 (filesize 1828136 bytes, MD5 E4EFC2CDC71E0698CB81A4D60C3FADFF)
O4 - HKCU\..\Run: [AlcoholAutomount] "D:\Tools\Alcohol 120\axcmd.exe" /automount (filesize 4608 bytes, MD5 7804172420FD2DCDCD8FCED31FD424DD)
O4 - HKCU\..\Run: [MSWINSCK.OCX] C:\WINDOWS\system32\1088\scvhost.exe
O4 - Startup: TB-Tray.lnk = D:\Internet\Thunderbird\TRAY\Thunderbird-Tray\TBTray.exe (filesize 38912 bytes, MD5 CCC752860FBCBFE44CA85DEE8EBFE1BD)
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\Tools\OFFICE~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll (filesize 509328 bytes, MD5 F921D875A1CBD69A6A462BA2514BC831)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll (filesize 509328 bytes, MD5 F921D875A1CBD69A6A462BA2514BC831)
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Tools\OFFICE~1\Office12\REFIEBAR.DLL (filesize 40424 bytes, MD5 7FC19DA1DC70C78D2FBD7A1D10942051)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe (filesize 558080 bytes, MD5 AAC1D4EE39DF138C5D30AC5883E3B59F)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe (filesize 558080 bytes, MD5 AAC1D4EE39DF138C5D30AC5883E3B59F)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (filesize 1695232 bytes, MD5 E2AA953ED6A296B6BF399A783B32CCDE)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (filesize 1695232 bytes, MD5 E2AA953ED6A296B6BF399A783B32CCDE)
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - D:\Tools\xp-AntiSpy\sponsoring\sponsor.html (HKCU) (filesize 140 bytes, MD5 464583A5065679C9452679BE4524AAF0)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - D:\Tools\xp-AntiSpy\sponsoring\sponsor.html (HKCU) (filesize 140 bytes, MD5 464583A5065679C9452679BE4524AAF0)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exeC:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exeC:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exeC:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exeC:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: BlueSoleilCS - Unknown owner - D:\Tools\Bluesoleil\BlueSoleilCS.exeD:\Tools\Bluesoleil\BlueSoleilCS.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exeC:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: BsHelpCS - Unknown owner - D:\Tools\Bluesoleil\BsHelpCS.exeD:\Tools\Bluesoleil\BsHelpCS.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exeC:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exeC:\Programme\iPod\bin\iPodService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exeC:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exeC:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exeC:\WINDOWS\system32\HPZipm12.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - D:\Tools\Alcohol 120\StarWind\StarWindServiceAE.exeD:\Tools\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 9801 bytes

Ich habe Sie geöffnet !!!

Ok, das heißt für dich => Neuaufsetzen

Schon allein, das diese scvhost.exe auf deinem Rechner war.
Dabei hat es sich vermutlich um einen Backdoor Server der Familie Bifrost gehandelt.
Daher solltest du das umgehend machen:

• Ändern aller Zugangsdaten und Passwörter von einem sauberen Rechner aus
• Bank kontraktieren, wenn OnlineBanking, etc betrieben wurde/wird

:) Dann hast du ein Problem den der Agent läd den Sohanad nach... aber ich wiederhole mich grade.. ;)

Ich möchte DarkVirus nicht dazwischen funken aber ich würde es mal damit probieren: Sohanad Removal Tool

Wenn das nicht schon wieder eine neue Variante ist dann sollte das funktionieren..

PS: Das ist glaube ich nicht nötig.
Sohanad erstellt die svchost, hat aber keine Backdoor Eigenschaften..

Ich denk mal ich werde den Rat von Dark Viruz folgen.

Reicht das wenn ich nur C formatiere, da ich alles getrennt habe ...System und Datenpartition !

Sohanad Removal Tool hat nichts gefunden!

Kein Problem, kannst ruhig mitmischen. :D

@undoreal
Eine Frage, hatte noch nie Erfahrungen mit dem Wurm. Hast du mir einen Link zu Sophos, etc.?

Und ja, hab die Datei geladen und bei VT hochgeladen. Ergebnis: 7 Scanner haben sie erkannt.
Das wusste ich nicht, ich hatte mal Erfahrungen mit einem Bifrost Server, der genau diese Datei in dem Ordner erstellt hat.

mfg

Führe bitte das removal Tool aus und lösche die infizierte src Datei.

das kann eigentlich nicht sein. Da muss eine k.exe und die scvhost.exe drinn sein.

Ist aber eigtlich auch egal..

Fixe nach der Ausführung des Removal Tools folgende Einträge mit HJT:
Danach nehmen wir uns die k.exe und scvhos.exe vor:

Anleitung Avenger (by swandog46)

Lade dir das Tool Avenger und speichere es auf dem Desktop:

• Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

• Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

http://saved.im/mzi3ndg3nta0/aven.jpg

• Schliesse nun alle Programme und Browser-Fenster

• Um den Avenger zu starten klicke auf -> Execute
• Dann bestätigen mit "Yes" das der Rechner neu startet

• Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

• Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Dateien Online überprüfen lassen:


* Lasse dir auch die versteckten Dateien anzeigen!

* Suche die Seite Virtustotal auf. Kopiere folgenden Dateipfad per copy and paste in das Eingabefeld neben dem "Durchsuchen"-Button. Klicke danach auf "Senden der Datei"!

* Alternativ kannst du dir die Datei natürlich auch über den "Durchsuchen"-Button selbst heraussuchen.

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.


Systemanalyse

• Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.
  
• Räume mit cCleaner auf. (Punkt 1 & 2)
  
• Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes und schließe alle AntiViren Programme komplett!
  
• Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  
• Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  
• Unter File -> Database Update Start drücken.
  
• Während des Scans sollte der Rechner weiterhin Verbindung mit dem Internet haben.
  
• Unter File -> System Analys, die Option Attach System Analysis log to ZIP anhaken und Start drücken. Wähle als Speicherort den von dir erstellten AVZ-Ordner.
  
• Nachdem der Scan beendet ist lade die avz_sysinfo.zip bei Rapidshare hoch und poste den Download-Link.

bin nun ein bisschen unschlüssig wie ich weiter vorgehen soll! :confused:

reicht format c ? oder soll ich alles formatieren?

habe die besagte datei auf meiner externen platte ausgeführt!

Mach doch einfach das was ich dir hier so poste.. :)

PS an Dark: da gibt's ein paar mehr von.. ;)

http://www.google.de/search?q=sohana...ient=firefox-a ;)

jup. Die meistens anderen wahrscheinlich erst wenn man sie ausführt. Ist auch echt fies das Ding. Habe hier ein bischen in der Sandkiste rumgespielt... :)

Folge der Anleitung von undoreal ;)

Datei HPNRA.EXE empfangen 2008.08.20 01:03:56 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.8.19.0 2008.08.19 -
AntiVir 7.8.1.23 2008.08.19 -
Authentium 5.1.0.4 2008.08.19 -
Avast 4.8.1195.0 2008.08.19 -
AVG 8.0.0.161 2008.08.20 -
BitDefender 7.2 2008.08.20 -
CAT-QuickHeal 9.50 2008.08.19 -
ClamAV 0.93.1 2008.08.19 -
DrWeb 4.44.0.09170 2008.08.19 -
eSafe 7.0.17.0 2008.08.19 -
eTrust-Vet 31.6.6036 2008.08.19 -
Ewido 4.0 2008.08.19 -
F-Prot 4.4.4.56 2008.08.19 -
F-Secure 7.60.13501.0 2008.08.19 -
Fortinet 3.14.0.0 2008.08.19 -
GData 2.0.7306.1023 2008.08.19 -
Ikarus T3.1.1.34.0 2008.08.19 -
K7AntiVirus 7.10.421 2008.08.19 -
Kaspersky 7.0.0.125 2008.08.19 -
McAfee 5364 2008.08.19 -
Microsoft 1.3807 2008.08.20 -
NOD32v2 3369 2008.08.19 -
Norman 5.80.02 2008.08.19 -
Panda 9.0.0.4 2008.08.19 -
PCTools 4.4.2.0 2008.08.19 -
Prevx1 V2 2008.08.20 -
Rising 20.58.12.00 2008.08.19 -
Sophos 4.32.0 2008.08.19 -
Sunbelt 3.1.1546.1 2008.08.15 -
Symantec 10 2008.08.20 -
TheHacker 6.3.0.5.054 2008.08.19 -
TrendMicro 8.700.0.1004 2008.08.19 -
VBA32 3.12.8.3 2008.08.19 -
ViRobot 2008.8.19.1341 2008.08.19 -
VirusBuster 4.5.11.0 2008.08.19 -
Webwasher-Gateway 6.6.2 2008.08.19 -
weitere Informationen
File size: 61440 bytes
MD5...: 0dc675eb75fa36ab9c24331eb861d3d7
SHA1..: 47734c2340912e2908d1554a21510c6fdfa894b8
SHA256: 52288bc58796b0f115c1cf31ae0f515a372070ad4de1391577d1ddb969b436f5
SHA512: 81e64faa24d3140c5fd0c0849c8c424dd41fb832e0b77e902775cab38786bcd7
c21438274b92288ac86fd1e6d964ce0bae7a2c8498d7c2d56fe6c24460d423b3
PEiD..: Armadillo v1.71
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x250032c7
timedatestamp.....: 0x40bda4ab (Wed Jun 02 09:58:03 2004)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x85b6 0x9000 6.37 5a683ff18f0e20199c98a9af049d8855
.rdata 0xa000 0xf92 0x1000 5.44 7efc05b290b0222ec8c2c3cd05354a19
.data 0xb000 0x4660 0x3000 1.10 c37dd5d7d5db17cd72cd3784a702d3f2
.rsrc 0x10000 0x3c0 0x1000 1.01 f342e23d8c4e9ac59362a475ae9d5b0a

( 5 imports )
> KERNEL32.dll: TerminateThread, WaitForSingleObject, GetExitCodeThread, GetLastError, GetProcAddress, FreeLibrary, LoadLibraryA, GetSystemDirectoryW, GetTickCount, GetModuleHandleW, CreateThread, ExitThread, GetVersion, FindFirstFileW, LCMapStringW, MultiByteToWideChar, WriteFile, LCMapStringA, GetFileType, GetStdHandle, RtlUnwind, GetEnvironmentStringsW, GetEnvironmentStrings, SetHandleCount, FreeEnvironmentStringsW, FreeEnvironmentStringsA, WideCharToMultiByte, CompareStringW, CompareStringA, CloseHandle, FlushFileBuffers, SetStdHandle, GetOEMCP, GetACP, FileTimeToLocalFileTime, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetCPInfo, GetTimeZoneInformation, GetStringTypeW, GetStringTypeA, SetEnvironmentVariableA, SetFilePointer, HeapFree, HeapAlloc, GetCommandLineA, GetStartupInfoA, FindClose, FileTimeToSystemTime, HeapReAlloc, ExitProcess, GetModuleFileNameA, GetModuleHandleA, VirtualFree, VirtualAlloc, HeapDestroy, GetEnvironmentVariableA, GetVersionExA, HeapCreate
> USER32.dll: RegisterClassW, TranslateMessage, wsprintfW, DispatchMessageW, GetMessageW, DefWindowProcW, PostQuitMessage, EndPaint, SetTimer, KillTimer, RegisterWindowMessageW, RegisterClassExW, CreateWindowExW, UpdateWindow, ShowWindow, FindWindowW, IsIconic, LoadCursorW, SetForegroundWindow, LoadIconW, BeginPaint
> WINSPOOL.DRV: GetPrinterW, OpenPrinterW, EnumPrintersW, SetPrinterDataW, ClosePrinter, GetPrinterDataW
> ADVAPI32.dll: RegQueryValueExW, RegOpenKeyExW, RegCloseKey, RegEnumValueW
> ole32.dll: CoUninitialize, CoTaskMemFree, CoCreateInstance, CoInitializeSecurity, CoInitializeEx

( 0 exports )

Datei HPBPRO.EXE empfangen 2008.08.20 01:05:56 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.8.19.0 2008.08.19 -
AntiVir 7.8.1.23 2008.08.19 -
Authentium 5.1.0.4 2008.08.19 -
Avast 4.8.1195.0 2008.08.19 -
AVG 8.0.0.161 2008.08.20 -
BitDefender 7.2 2008.08.20 -
CAT-QuickHeal 9.50 2008.08.19 -
ClamAV 0.93.1 2008.08.19 -
DrWeb 4.44.0.09170 2008.08.19 -
eSafe 7.0.17.0 2008.08.19 -
eTrust-Vet 31.6.6036 2008.08.19 -
Ewido 4.0 2008.08.19 -
F-Prot 4.4.4.56 2008.08.19 -
F-Secure 7.60.13501.0 2008.08.19 -
Fortinet 3.14.0.0 2008.08.19 -
GData 2.0.7306.1023 2008.08.19 -
Ikarus T3.1.1.34.0 2008.08.19 -
K7AntiVirus 7.10.421 2008.08.19 -
Kaspersky 7.0.0.125 2008.08.19 -
McAfee 5364 2008.08.19 -
Microsoft 1.3807 2008.08.20 -
NOD32v2 3369 2008.08.19 -
Norman 5.80.02 2008.08.19 -
Panda 9.0.0.4 2008.08.19 -
PCTools 4.4.2.0 2008.08.19 -
Prevx1 V2 2008.08.20 -
Rising 20.58.12.00 2008.08.19 -
Sophos 4.32.0 2008.08.19 -
Sunbelt 3.1.1546.1 2008.08.15 -
Symantec 10 2008.08.20 -
TheHacker 6.3.0.5.054 2008.08.19 -
TrendMicro 8.700.0.1004 2008.08.19 -
VBA32 3.12.8.3 2008.08.19 -
ViRobot 2008.8.19.1341 2008.08.19 -
VirusBuster 4.5.11.0 2008.08.19 -
Webwasher-Gateway 6.6.2 2008.08.19 -
weitere Informationen
File size: 77824 bytes
MD5...: 963571f6157f04af8421d6d058b19e78
SHA1..: 6a6bd3e0bbc452e24933897aede18e41f592d73b
SHA256: 3585c3d3e821ba29491e85684f829f1003b779c96877cac7883174d5c7815d2a
SHA512: aea3c49502e12e2bbbc5ed0c22840daf958e2498aeb75acb279a314de040b9c4
ef6b525b43164a28f69b4a7fc3b37f2a6491a5b80145110df26562c900be1853
PEiD..: Armadillo v1.71
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x20005986
timedatestamp.....: 0x40bda4ff (Wed Jun 02 09:59:27 2004)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x9d6a 0xa000 6.53 1d80c26ed88c0acddb334f86401d3390
.rdata 0xb000 0x1378 0x2000 3.72 b10cdba845d87bccff67dc2a133d4212
.data 0xd000 0x4a64 0x4000 1.20 e668b059279be847588253ade6208db7
.rsrc 0x12000 0x17f8 0x2000 3.83 96d6c4aea49dc8362acbd86c5e8f76bd

( 6 imports )
> ATL.DLL: -, -, -, -, -, -, -
> KERNEL32.dll: GetProcAddress, FlushFileBuffers, SetStdHandle, GetLastError, ExitThread, SetFilePointer, IsBadCodePtr, IsBadReadPtr, GetStringTypeW, GetStringTypeA, LCMapStringW, LCMapStringA, WriteFile, MultiByteToWideChar, WideCharToMultiByte, DeleteCriticalSection, InitializeCriticalSection, GetModuleFileNameA, HeapCreate, GetVersionExA, GetSystemInfo, HeapAlloc, lstrlenA, GetFileType, GetEnvironmentStrings, GetCommandLineA, lstrcmpiA, GetCurrentThread, GetCurrentProcess, CloseHandle, GetCurrentThreadId, InterlockedIncrement, InterlockedDecrement, CreateThread, WaitForSingleObject, TerminateThread, GetEnvironmentStringsW, FreeEnvironmentStringsW, FreeLibrary, LoadLibraryW, LoadLibraryA, GetVersionExW, FreeEnvironmentStringsA, UnhandledExceptionFilter, GetACP, GetStdHandle, SetHandleCount, GetOEMCP, GetEnvironmentVariableA, HeapFree, RtlUnwind, RaiseException, GetModuleHandleA, GetStartupInfoA, GetVersion, ExitProcess, HeapReAlloc, HeapDestroy, VirtualFree, VirtualAlloc, IsBadWritePtr, TerminateProcess, SetUnhandledExceptionFilter, GetCPInfo
> USER32.dll: LoadStringA, GetMessageA, CharNextA, PostThreadMessageA, DispatchMessageA
> WINSPOOL.DRV: EnumPrintersW, EnumPrintersA, EnumPortsW, EnumPortsA
> ADVAPI32.dll: InitializeSecurityDescriptor, CopySid, RegQueryValueExA, RegCloseKey, GetTokenInformation, OpenServiceA, OpenSCManagerA, CloseServiceHandle, RegOpenKeyExW, RegQueryValueExW, StartServiceCtrlDispatcherA, ControlService, DeleteService, CreateServiceA, RegDeleteValueA, RegSetValueExA, RegOpenKeyExA, GetLengthSid, SetSecurityDescriptorDacl, OpenThreadToken, OpenProcessToken, SetSecurityDescriptorGroup, SetSecurityDescriptorOwner, ReportEventA, SetServiceStatus, RegisterServiceCtrlHandlerA, RegisterEventSourceA, DeregisterEventSource
> ole32.dll: CoUninitialize, CoInitialize, CoTaskMemFree, CoTaskMemAlloc

( 0 exports )

Hi
Führe noch dieses Programm aus:

MalwareBytes Anti-Malware:

• Lade dir MalwareBytes Anti-Malware
• Folge den Anweisungen der Anleitung und poste das Logfile

Und poste bitte das Avenger log sowie den AVZ4 Analyse Bericht.

ich werde den rest morgen komplettieren...

muss nämlich gleich arbeiten ...frühschicht...!!! :(



Danke für eure bisherige SUPER Hilfe !!!!!!


Gruß

folgendes:

als ich heute nach der arbeit meinen rechner hochfahren wollte, um noch die restlichen sachen zu erledigen, funktionierte garnichts mehr.

das booten von WindowsXP frierte immer wieder ein...


habe jetzt alles formatiert und neu aufgespielt..



dürfte ich damit alles wieder in ordungs gebrach haben?

Gruß

Sehr gute Entscheidung, Hochachtung. :daumenhoc

okay!

Dann noch mal ein großes DANKE an alle die mir geholfen haben !!!



Besten Dank! :aplaus::aplaus:

Kein Problem,
immer wieder gerne! ;)

schönen Abend noch :party:

hallo herro_m die datei was du gedownloadet hast ist ein "typischer" Trojaner,
wenn du ihn ausgeführt haben solltest würde ich meinen PC von internet trennen und meinen PC sofort neu auflegen !!!

Ein Trojaner wird von einer anderen Person gesteuert.
Diese Person kann deinen PC fernsteuern bzw. kontrollieren und dir Dateien löschen und passworter klauen, sowie auch sich eine Desktop/Webcam Ansicht von deinen PC holen !!!

Bei diesem hast du aber noch Glück gehabt, dass er von deinem Anti-Virs Programm erkannt wird, denn is gibt ne ganze Reihe an anderen Trojaner die
FUD sind. D.H. dein Avira wird diesen Trojaner durchscannen, wird aber nichts finden !!! Deshalb solltest du nie Dateien downloaden und ausführen, wenn sie dir nicht bekannt sind :D

Hallo thecoder,

das Thema ist von 2008 und wird daher geschlossen.