Trojaner-Board - trojaner spambot und rootkit agent

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - trojaner spambot und rootkit agent (https://www.trojaner-board.de/59992-trojaner-spambot-rootkit-agent.html)

ok!dann hab ich ja noch ein bisschen arbeit vor mir ;) werde diese seite auf jeden fall weiter empfehlen.falls noch irgendwas sein sollte, melde ich mich nochmal.ansonsten schonmal vielen dank!!!:party: :)

lg gagsman

hallo!
ich melde mich jetzt doch noch einmal.da ich jetzt wieder in meiner studienstadt bin und auch meine windowscd hier habe, habe ich doch noch einmal combofix durchlaufen lassen, wie auch ccleaner zuvor.ein mitbewohner hatte mir spybot empfohlen, welches ich auch nochmal zuvor durchlaufen lassen habe.ich hoffe, dass war ok.wollte nur nochmal alles durchgehen, vlt muss ich ja doch nicht aufsetzen ;)

hier ist die combofix log:

Code:

ComboFix 08-09-22.06 - Kagi 2008-09-23 23:29:11.1 - NTFSx86

Microsoft Windows XP Home Edition  5.1.2600.2.1252.1.1031.18.440 [GMT 2:00]

ausgeführt von:: C:\Dokumente und Einstellungen\Kagi\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: C:\Dokumente und Einstellungen\Kagi\Desktop\WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

 * Neuer Wiederherstellungspunkt wurde erstellt

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\wsnpoem

C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\wsnpoem\audio.dll

C:\WINDOWS\system32\_000006_.tmp.dll

C:\WINDOWS\system32\drivers\tcpsr.sys
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Service_tcpsr
 
 

(((((((((((((((((((((((   Dateien erstellt von 2008-08-23 bis 2008-09-23  ))))))))))))))))))))))))))))))

.
 

2008-09-22 20:04 . 2008-09-22 20:07        <DIR>        d--------        C:\Programme\Spybot - Search & Destroy

2008-09-22 20:04 . 2008-09-23 23:21        <DIR>        d--------        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2008-09-18 01:07 . 2008-09-18 01:43        <DIR>        d--------        C:\WINDOWS\system32\CatRoot_bak

2008-09-16 17:39 . 2008-09-16 17:39        0        --a------        C:\WINDOWS\nsreg.dat

2008-09-15 00:54 . 2008-09-15 00:54        197        --a------        C:\WINDOWS\system32\MRT.INI
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-09-23 21:33        32,256        ----a-w        C:\WINDOWS\system32\drivers\Pwe53.sys

2008-09-23 21:04        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google Updater

2008-09-23 10:05        ---------        d-----w        C:\Dokumente und Einstellungen\Kagi\Anwendungsdaten\AVG7

2008-09-22 19:36        ---------        d-----w        C:\Programme\ICQ6

2008-08-13 11:52        ---------        d-----w        C:\Programme\QuickTime

2008-08-13 11:48        ---------        d-----w        C:\Programme\Apple Software Update

2008-08-13 11:48        ---------        d-----w        C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple

2008-08-12 09:22        ---------        d-----w        C:\Programme\Google

2008-07-18 20:10        94,920        ----a-w        C:\WINDOWS\system32\cdm.dll

2008-07-18 20:10        53,448        ----a-w        C:\WINDOWS\system32\wuauclt.exe

2008-07-18 20:10        45,768        ----a-w        C:\WINDOWS\system32\wups2.dll

2008-07-18 20:10        36,552        ----a-w        C:\WINDOWS\system32\wups.dll

2008-07-18 20:09        563,912        ----a-w        C:\WINDOWS\system32\wuapi.dll

2008-07-18 20:09        325,832        ----a-w        C:\WINDOWS\system32\wucltui.dll

2008-07-18 20:09        205,000        ----a-w        C:\WINDOWS\system32\wuweb.dll

2008-07-18 20:09        1,811,656        ----a-w        C:\WINDOWS\system32\wuaueng.dll

2008-07-07 20:30        253,952        ----a-w        C:\WINDOWS\system32\es.dll

2008-06-24 16:22        74,240        ----a-w        C:\WINDOWS\system32\mscms.dll

2008-06-23 16:14        826,368        ----a-w        C:\WINDOWS\system32\wininet.dll

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2008-09-01 173304]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2006-01-02 45056]

"AVG7_CC"="C:\PROGRA~1\Grisoft\AVG7\avgcc.exe" [2008-04-17 579584]

"RTHDCPL"="RTHDCPL.EXE" [2006-04-17 C:\WINDOWS\RTHDCPL.EXE]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Pwe53.sys]

@="Driver"
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Programme\\Yahoo!\\Messenger\\YPager.exe"=

"C:\\Programme\\Yahoo!\\Messenger\\YServer.exe"=

"C:\\Programme\\Messenger\\Msmsgs.exe"=

"C:\\Programme\\iTunes\\iTunes.exe"=

"C:\\Programme\\Grisoft\\AVG7\\avginet.exe"=

"C:\\Programme\\ICQ6\\ICQ.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
 

R0 O2MDRDR;O2MDRDR;C:\WINDOWS\system32\DRIVERS\o2media.sys [2006-02-27 34880]

R0 O2SDRDR;O2SDRDR;C:\WINDOWS\system32\DRIVERS\o2sd.sys [2006-02-20 29056]

R0 Pwe53;Pwe53;C:\WINDOWS\system32\Drivers\Pwe53.sys [2008-09-23 32256]

R2 ICQ Service;ICQ Service;C:\Programme\ICQ6Toolbar\ICQ Service.exe [2008-06-10 222456]

R3 CLEDX;Team H2O CLEDX service;C:\WINDOWS\system32\DRIVERS\cledx.sys [2005-05-09 33792]

S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 1527900]

S3 UPnPService;UPnPService;C:\Programme\Gemeinsame Dateien\MAGIX Shared\UPnPService\UPnPService.exe [2005-11-08 647242]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0f6b88b4-d026-11dc-8c92-00c0a8bfee2f}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe WINDOWSPC.vbs

.

Inhalt des "geplante Tasks" Ordners

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -
 

Notify-cryptonet - cryptonet.dll

Notify-WgaLogon - (no file)
 
 

.

------- Zusätzlicher Suchlauf -------

.

FireFox -: Profile - C:\Dokumente und Einstellungen\Kagi\Anwendungsdaten\Mozilla\Firefox\Profiles\334w5xs9.default\

FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.web.de/

FF -: plugin - C:\Programme\Adobe\Acrobat 7.0\Reader\browser\nppdf32.dll

FF -: plugin - C:\Programme\Google\Google Updater\2.2.1172.2021\npCIDetect11.dll

.
 

**************************************************************************
 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-09-23 23:34:03

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse...
 

Scanne versteckte Autostarteinträge...
 

Scanne versteckte Dateien...
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

------------------------ Weitere laufende Prozesse ------------------------

.

C:\WINDOWS\system32\ati2evxx.exe

C:\WINDOWS\system32\ati2evxx.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\o2flash.exe

C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\wscntfy.exe

C:\ComboFix\pv.cfexe

C:\Programme\Internet Explorer\iexplore.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2008-09-23 23:39:41 - PC wurde neu gestartet [Kagi]

ComboFix-quarantined-files.txt  2008-09-23 21:39:38
 

Vor Suchlauf: 26 Verzeichnis(se), 14.681.862.144 Bytes frei

Nach Suchlauf: 33 Verzeichnis(se), 14,636,060,672 Bytes frei
 

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect
 

135        --- E O F ---        2008-09-14 22:54:50

für ein statement wäre ich sehr dankbar!
lg gagsman

ach und hier nochmal ein frisches hjt-log:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:55:07, on 23.09.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

C:\Programme\ICQ6Toolbar\ICQ Service.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\o2flash.exe

C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\RTHDCPL.EXE

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Programme\ATI Technologies\ATI.ACE\cli.exe

C:\Programme\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\explorer.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Dokumente und Einstellungen\Kagi\Desktop\HiJackThis\HiJackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll

R3 - URLSearchHook: (no name) -  - (no file)

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll

O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll

O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyGaming.Net\PartyPokerNet\RunPF.exe

O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programme\PartyGaming.Net\PartyPokerNet\RunPF.exe

O9 - Extra button: @c:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: @c:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\Programme\Messenger\msmsgs.exe

O16 - DPF: {1239CC52-59EF-4DFA-8C61-90FFA846DF7E} (Musicnotes Viewer) - http://www.musicnotes.com/download/mnviewer.cab

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\MAGIX\Common\Database\bin\fbserver.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - C:\WINDOWS\system32\o2flash.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: UPnPService - Unknown owner - C:\Programme\Gemeinsame Dateien\MAGIX Shared\UPnPService\UPnPService.exe
 

--

End of file - 6000 bytes

Hi,

nein natürlich musst du nicht neuaufsetzen, niemand muss das, dabei hättest Du das nun schon mehrfach fertig haben können. Es ist nur eine Empfehlung, denn da zitiere ich mich doch gerne selber:

Zitat:

Sollten Folgen und Nebenwirkungen eintreten wie "Bankkonto wurde abgeräumt, Polizei tritt morgens um vier die Tür ein und erschießt den Hund, um den Rechner zu beschlagnahmen, danach fettes Verfahren wegen Verbreitung von Raubkopien und Kinderp0rn0s am Hintern", ist mir das total egal, denn es wird weder mein Bankkonto, noch meine Türe, noch mein Hund noch mein Rechner sein, auch werde nicht ich im Knast sitzen. Ich räume aber ein, dass mir der Hund leid täte.

Gruß, Karl

konnte es leider vorher nicht erledigen, da ich die xp-cd nicht zur hand hatte, sondern alles in meiner studienstadt liegt, wo ich nun wieder bin ;) deshalb wollte ich vorher nochmal die empfehlungen wie combofix durchlaufen lassen und ein statement dazu bekommen.falls wirklich nichts geht, setze ich natürlich neu auf!lg gagsman

Ein Statement ist schwierig und kann kaum mehr sein als "im Kaffeesatz lesen". Die Datei ntos.exe selber lässt isch natürlich entfernen (sogar sehr einfach) aber sie hat jemand anderem einen Remotezugriff auf dein System gegeben. Er war also Administrator. Was hat er gemacht? Nur eben schnell deine Passwörter abgegriffen? Oder sich für die Zukunft eine weitere Tür ins System geflickt? Oder gleich ein paar? Kann man nicht so genau sagen. Um garantierte Sicherheit zu schaffen gibt es da nur eins. Man kann das Restrisiko mit aufwändigen Untersuchungen vielleicht noch etwas verkleinern, aber da hast Du die Kiste schneller neu installiert und dann ein Risiko exakt bei Null.

Hängt sicher auch davon ab, was Du auf dem Rechner machst. Wenn Du nur Solitär spielst, sind die Ansprüche natürlich kleiner. Bei Ebay, Onlinebanking, usw. umgekehrt besonders groß.

ok, danke für deine antwort.dann werd ich das neuaufsetzen mal in die hand nehmen :) onlinebanking und ebay hab ich glücklicherweise nicht betrieben, nur mails, myspace etc. danke nochmal!
lg gagsman