Trojaner-Board - Spyware oder Trojaner ... mit Kreuzchen in rotem Kreis

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Spyware oder Trojaner ... mit Kreuzchen in rotem Kreis (https://www.trojaner-board.de/62046-spyware-trojaner-kreuzchen-rotem-kreis.html)

Spyware oder Trojaner ... mit Kreuzchen in rotem Kreis

Hallöchen,

ich hab mir da wohl ein Problem eingefangen ... wie genau weiß ich absolut nicht. Jedenfalls ist in meiner Taskleiste unten rechts jetzt so ein blödes weißes Kreuz mit rotem Kreis drumherum. Dauernd meldet der sich, dass mein PC unsicher wäre. Will dann immer eine Antispyware2009 installieren.
Außerdem erscheint ab und an eine gefakte Windows Sicherheitsnachricht, in der vor einem Trojaner (irgendwas mit green.screen) gewarnt wird.

Wie bekomme ich den Mist jetzt wieder runter? Hilft formatieren und eine Neuinstallation? (Müsste ich eh mal machen)

Würde gern eine HJT-Logfile posten ... hab HJT auch installiert ... blöderweise lässt es sich nicht öffnen ... weiß der Geier warum.

Ich hoffe, dass mir jemand helfen kann.

Gruß,
Micha

ps: ach ja ... wie gefährlich ist dieser Trojaner oder Spywaredings oder was das auch immer ist? Kann ich trotzdem Onlinebanking machen? Muss dringend was überweisen.

Hallo Micha
Also wenn du sowieso vor hast, deinen PC neu zu machen, dann tue es. Es ist sicherer und vielleicht auch schneller als eine Virenbeseitigung. Das Antispyware2009 ist ein Fake Programm, dass weitere Schadsoftware nach läd.
Dass das Hijackthis sich nicht starten lässt, mach mich nachdenklich.

So ... hab jetzt Malware laufen lassen und einige Sachen gelöscht. Jetzt ist der rote Kreis verschwunden ... allerdings auch alle anderen Sachen aus der rechten Taskleiste. Zu sehen sind nur noch die Netzwerkverbindungen und das Zeigegerät.

Jetzt geht auf jeden Fall HijackThis. Hier mal die Logfile:

Zitat:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:01:15, on 14.10.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\keyhook.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\lotus\organize\easyclip6.exe
C:\WINDOWS\system32\sistray.exe
C:\Programme\802.11 Wireless LAN\802.11g Wireless CardBus & PCI Adapter HW.61 V.1.10\WlanCU.exe
C:\WINDOWS\system32\acs.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\pruefung.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/fuji/defaults/su/*http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Lotus Organizer EasyClip.lnk = ?
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: Wireless Configuration Utility HW.61.lnk = C:\Programme\802.11 Wireless LAN\802.11g Wireless CardBus & PCI Adapter HW.61 V.1.10\WlanCU.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Web Entry - {B4E30F61-16D9-11D3-85D1-005004229569} - c:\lotus\organize\bandobjs.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {A8482EAF-A1F3-4934-AE3F-56EB195A50BF} (DeskUpdate - Activex Control) - http://support.fujitsu-siemens.de/DeskUpdate/isapi/activex.cab
O16 - DPF: {A93B47FD-9BF6-4DA8-97FC-9270B9D64A6C} (VaPgCtrl Class) - http://192.168.95.240/plugin/h263ctrl.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: karna.dat
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CRViewService - Unknown owner - C:\CRTECH\CRView\CRViewService.exe (file missing)
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 6763 bytes

Hm. Die Icons sind wieder alle da ... hab die Logfile auch mal von jotti scannen lassen. Kam nix bei raus.
Es bleibt aber ein ungutes Gefühl!

Es ist echt mysteriös ... braucht sehr lange beim starten ... und die Icons sind schon wieder weg. HILFE!

Hallo Micha
Führe als erstes mal den Scan mit Avira mit agressiven Einstellungen aus.
Dann noch einen Scan mit Blackligth durchführen.

Hier mal der Avira-Report nach aggressiver Suche:

Code:

AntiVir PersonalEdition Classic

Erstellungsdatum der Reportdatei: Mittwoch, 15. Oktober 2008  12:25
 

Es wird nach 1158779 Virenstämmen gesucht.
 

Lizenznehmer:     Avira AntiVir PersonalEdition Classic

Seriennummer:     0000149996-ADJIE-0001

Plattform:        Windows XP

Windowsversion:   (Service Pack 2)  [5.1.2600]

Benutzername:     Micha

Computername:     HNPC4
 

Versionsinformationen:

BUILD.DAT    : 270           15603 Bytes  19.09.2007 13:29:00

AVSCAN.EXE   : 7.0.6.1      290856 Bytes  23.08.2007 13:16:24

AVSCAN.DLL   : 7.0.6.0       57384 Bytes  14.08.2007 15:48:28

LUKE.DLL     : 7.0.5.3      147496 Bytes  14.08.2007 15:32:43

LUKERES.DLL  : 7.0.6.0       10792 Bytes  14.08.2007 15:49:04

ANTIVIR0.VDF : 6.40.0.0    11030528 Bytes  18.07.2007 14:27:15

ANTIVIR1.VDF : 7.0.3.2     5447168 Bytes  07.03.2008 13:53:20

ANTIVIR2.VDF : 7.0.3.3        2048 Bytes  07.03.2008 13:53:21

ANTIVIR3.VDF : 7.0.3.53     309760 Bytes  19.03.2008 13:53:21

AVEWIN32.DLL : 7.6.0.75    3334656 Bytes  19.03.2008 13:53:33

AVWINLL.DLL  : 1.0.0.7       14376 Bytes  26.02.2007 10:36:23

AVPREF.DLL   : 7.0.2.2       25640 Bytes  18.07.2007 07:16:50

AVREP.DLL    : 7.0.0.1      155688 Bytes  16.04.2007 13:16:24

AVPACK32.DLL : 7.6.0.3      360488 Bytes  19.03.2008 13:53:35

AVREG.DLL    : 7.0.1.6       30760 Bytes  18.07.2007 07:17:02

AVARKT.DLL   : 1.0.0.20     278568 Bytes  28.08.2007 12:26:28

AVEVTLOG.DLL : 7.0.0.20      86056 Bytes  18.07.2007 07:10:14

NETNT.DLL    : 7.0.0.0        7720 Bytes  08.03.2007 11:09:03

RCIMAGE.DLL  : 7.0.1.30    2342952 Bytes  07.08.2007 12:37:51

RCTEXT.DLL   : 7.0.62.0      90152 Bytes  21.08.2007 12:50:28

SQLITE3.DLL  : 3.3.17.1     339968 Bytes  23.07.2007 09:37:21
 

Konfiguration für den aktuellen Suchlauf:

Job Name.........................: Lokale Laufwerke

Konfigurationsdatei..............: c:\programme\avira\antivir personaledition classic\alldrives.avp

Protokollierung..................: niedrig

Primäre Aktion...................: interaktiv

Sekundäre Aktion.................: ignorieren

Durchsuche Masterbootsektoren....: aus

Durchsuche Bootsektoren..........: ein

Bootsektoren.....................: D:, 

Durchsuche Speicher..............: ein

Durchsuche aktive Programme......: ein

Durchsuche Registrierung.........: ein

Suche nach Rootkits..............: aus

Datei Suchmodus..................: Intelligente Dateiauswahl

Durchsuche Archive...............: ein

Rekursionstiefe einschränken.....: aus

Archiv Smart Extensions..........: ein

Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, 

Makrovirenheuristik..............: ein

Dateiheuristik...................: hoch

Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,
 

Beginn des Suchlaufs: Mittwoch, 15. Oktober 2008  12:25
 

Der Suchlauf über gestartete Prozesse wird begonnen:

Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'slserv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'HPZipm12.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'MDM.EXE' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'acs.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'WlanCU.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'sistray.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'easyclip6.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'Keyhook.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'aawservice.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Es wurden '38' Prozesse mit '38' Modulen durchsucht
 

Der Suchlauf über die Bootsektoren wird begonnen:

Bootsektor 'C:\'

      [HINWEIS]   Es wurde kein Virus gefunden!
 

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.

Die Registry wurde durchsucht ( '40' Dateien ).
 
 

Der Suchlauf über die ausgewählten Dateien wird begonnen:
 

Beginne mit der Suche in 'C:\' <N00645>

C:\hiberfil.sys

      [WARNUNG]   Die Datei konnte nicht geöffnet werden!

C:\pagefile.sys

      [WARNUNG]   Die Datei konnte nicht geöffnet werden!

C:\ComboFix\psexec.cfexe

      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/Rmadmin.131072

      [INFO]      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '495ac58e.qua' verschoben!

C:\ComboFix\pv.cfexe

      [FUND]      Enthält Erkennungsmuster des SPR/Tool.PV-Programmes

      [INFO]      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4923c593.qua' verschoben!

C:\Dokumente und Einstellungen\Micha\Desktop\ComboFix.exe

  [0] Archivtyp: RAR SFX (self extracting)

  --> 32788R22FWJFW\psexec.cfexe

      [FUND]      Enthält Erkennungsmuster der Anwendung APPL/Rmadmin.131072

  --> 32788R22FWJFW\pv.cfexe

      [FUND]      Enthält Erkennungsmuster des SPR/Tool.PV-Programmes

      [INFO]      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4962c5e6.qua' verschoben!

C:\Dokumente und Einstellungen\Micha\Lokale Einstellungen\Temp\Binaries2.cab3

  [0] Archivtyp: CAB (Microsoft)

  --> wscui.cpl

      [FUND]      Enthält verdächtigen Code: HEUR/Crypted

      [INFO]      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4963c5f7.qua' verschoben!

C:\Dokumente und Einstellungen\Micha\Lokale Einstellungen\Temp\Binaries2.cab4

  [0] Archivtyp: CAB (Microsoft)

  --> wscui.cpl

      [FUND]      Enthält verdächtigen Code: HEUR/Crypted

      [INFO]      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4963c5fb.qua' verschoben!

Beginne mit der Suche in 'D:\'

Der zu durchsuchende Pfad D:\ konnte nicht geöffnet werden!

Das Gerät ist nicht bereit.
 
 
 

Ende des Suchlaufs: Mittwoch, 15. Oktober 2008  13:07

Benötigte Zeit: 42:12 min
 

Der Suchlauf wurde vollständig durchgeführt.
 

   5014 Verzeichnisse wurden überprüft

 330671 Dateien wurden geprüft

      4 Viren bzw. unerwünschte Programme wurden gefunden

      2 Dateien wurden als verdächtig eingestuft

      0 Dateien wurden gelöscht

      0 Viren bzw. unerwünschte Programme wurden repariert

      5 Dateien wurden in die Quarantäne verschoben

      0 Dateien wurden umbenannt

      2 Dateien konnten nicht durchsucht werden

 330667 Dateien ohne Befall

   8031 Archive wurden durchsucht

      2 Warnungen

     13 Hinweise

In die Quarantäne wurden gesteckt:
3 Sachen von ComboFix
2 binaries (Binaries2.cab3 und Binares2.cab4)

Blacklight hat auch nichts gefunden.

Halli hallo
Du hast dir anscheinend Combofix installiert. Deine Fund rühren davon. Sind also Fehlalarme. Du solltest Combofix entfernen.
Wie verhält sich dein Rechner?