|
Diverse Malware ruft Adseiten auf Hallo, leider habe ich gestern eine Datei geöffnet, welche offensichtlich mit Schädlingen befallen war, da beim Öffnen direkt diverse Virenwarnungen von AntiVir kamen. Die Malwarewarnungen bezogen sich konkret auf folgende Schädlinge: TR/Dldr.VB.iqv' [trojan] DR/Dldr.Agent.aopb' [dropper] DR/BHO.dwj' [dropper] HEUR/Crypted' [heuristic] TR/Crypt.CFI.Gen' [trojan] EXP/MS05-013' [exploit] TR/Buzus.adbl.1' [trojan] Ich habe sämtliche Funde mittels AntiVir gelöscht, jedoch öffnet sich seitdem in regelmäßigen Abständen Firefox und versucht auf die Seite h**p://ads.globaladsolution.com/bc/1stpageads.php zuzugreifen, woraufhin aber nur folgende Fehlermeldung im Browser angezeigt wird: "Error - Ads need to be loaded from adcode, if you keep getting this error contact your account rep." Nachfolgend mein HJT-Log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:22:57, on 25.11.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Winamp\winampa.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\RTHDCPL.EXE C:\Programme\Java\jre1.6.0_05\bin\jusched.exe C:\WINDOWS\System32\regsvr32.exe C:\WINDOWS\system32\iesvcmon.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\OpenOffice.org 2.4\program\soffice.exe C:\Programme\OpenOffice.org 2.4\program\soffice.BIN C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Java\jre1.6.0_05\bin\jucheck.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.netcologne.de R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.netcologne.de R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.netcologne.de R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer bereitgestellt von NetCologne R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: globaladsolution - {6b59562a-b48b-1b33-d996-0ea0fa10f13d} - C:\WINDOWS\system32\nsx69.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\4.1.805.4472\swg.dll O2 - BHO: globaladsolution browser enhancer - {D85143F4-3EBD-7E5C-EDD0-77358D937B23} - C:\WINDOWS\system32\lcorxsldtrpcn.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Programme\DAEMON Tools Toolbar\DTToolbar.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\RaidTool\xInsIDE.exe O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\xRaidSetup.exe boot O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [ykjkcfrdynw] C:\WINDOWS\System32\regsvr32.exe /s "C:\WINDOWS\system32\lcorxsldtrpcn.dll" O4 - HKLM\..\Run: [iesvcmon] "C:\WINDOWS\system32\iesvcmon.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe -- End of file - 7351 bytes Ich wäre sehr erleichtert, wenn ich um eine Formatierung herumkommen könnte. Vielen Dank schonmal im Voraus für jede Hilfe! Thomas |
Hallo und :hallo: Acker diese Punkte für weitere Analysen ab: 1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen: Code: C:\WINDOWS\system32\iesvcmon.exe3.) Führe dieses MBR-Tool aus und poste die Ausgabe 4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten. Vor dem Ausführen von Malwarebytes den Wächter Deines Virenscanners abschalten!! 5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken. 6.) ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so: HTML-Code: [code] Hier das Logfile rein! [/code]
Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist. 8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!! |
So, fertig mit der ganzen Prozedur! Vielen Dank schonmal für die Antwort! Leider musste ich in 2 Beiträgen schreiben, weil das Forum die Zeichenzahl meines Beitrags nicht akzeptieren wollte; ich hoffe das macht nichts. 1) Zunächst die Virustotal-Scans (leider habe ich die Scans erst nach den anderen Schritten gemacht, hoffentlich sind die Ergebnisse trotzdem aufschlussreich): Code: Datei iesvcmon.exe empfangen 2008.11.23 14:14:05 (CET)Code: http://www.file-upload.net/download-1276947/MBR-log.rar.htmlCode: 11/25/08 17:27:07 [Info]: BlackLight Engine 2.2.1092 initializedCode: Malwarebytes' Anti-Malware 1.30 |
5) logfile von silentrunners: Code: http://www.file-upload.net/download-1276876/silentrunners.rar.htmlCombofix-log: Code: ComboFix 08-11-24.03 - Besitzer 2008-11-25 19:48:52.2 - NTFSx86listing-log: Code: http://www.file-upload.net/download-1276720/listing.txt.htmlneues HJT log: Code: Logfile of Trend Micro HijackThis v2.0.2Viele Grüße und Dank, Thomas |
Das ist schon ok, aber von GMER solltest Du die verlinkte MBR.EXE benutzen :confused: Java verdient bei Dir auch ein Update! Ich meld mich gleich wieder. |
Anleitung Avenger (by swandog46) Lade dir das Tool Avenger und speichere es auf dem Desktop:
Code: files to delete:
|
Supervielen Dank für die schnelle Hilfe :) Bei dem MBR hatte ich eine andere Version genommen, weil die verlinkte EXE sich bei mir nicht richtig geöffnet hat. Hier das Avanger-log: Code: Logfile of The Avenger Version 2.0, (c) by Swandog46Code: Logfile of Trend Micro HijackThis v2.0.2Thomas |
Code: O4 - HKLM\..\Run: [ykjkcfrdynw] C:\WINDOWS\System32\regsvr32.exe /s "C:\WINDOWS\system32\lcorxsldtrpcn.dll"Code: Platform: Windows XP SP2 (WinNT 5.01.2600)Auch Java verdient bei Dir ein Update. Du solltest Updates nicht vernachlässigen! Mach zur Übersicht zum gegencheck bitte noch ein frisches filelisting mit der listing8.cmd und verlinke es hier. |
Hi, leider weiß ich nicht, wie ich die Einträge fixen soll, muss ich einfach nur eine Datei mit dem Editor bearbeiten? Und wenn ja, welche? Gruß, Thomas :) |
Das machst Du mit Hijackthis, entnimmst Du bitte der Anleitung. |
Hi, ok hab die Einträge gefixt und das file listing hochgeladen: http://www.file-upload.net/download-1281214/listing.rar.html Gruß, Thomas |
Das sollte okay gehen :) Wenns noch Probleme gibt meld Dich wieder. |
Supervielen Dank für die tolle Hilfe und die Mühe, wüßte nicht was ich sonst getan hätte! :) Gruß, Thomas |
Hi, ich habe leider wieder ein Problem mit Malware, ich habe heute mit Malwarebytes einen Systemcheck gemacht und es wurden 6 infizierte Objekte gefunden. Da es sich um Systemdateien handelt wollte ich bevor ich die Objekte entferne wissen, ob ich dies problemlos machen kann. Nachfolgend habe ich den Log eingefügt: Code: Malwarebytes' Anti-Malware 1.30Vielen Dank schonmal im Vorraus, Thomas |
Hallo, Code: Infizierte Speichermodule:Code: C:\Qoobox\Quarantine\C\WINDOWS\nohh06760.exe.vir (Adware.BHO) -> No action taken.Code: C:\System Volume Information\_restore{B82282F8-7CB2-43E9-968B-8590F6976F49}\RP2\A0000052.exe (Adware.BHO)Sollte eigentlich nicht mehr auftreten!! Oder hast Du die SWH nicht deaktiviert bzw. in der Zwischenzeit reaktiviert? :confused: |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:21 Uhr. |
Copyright ©2000-2025, Trojaner-Board