|
Trojaner TR/Crypt.xpack.gen entfernen? Hallo. Habe mir leider den Trojaner TR/crypt.xpack.gen eingefangen.Antivir meldete mir diesen: Die Datei 'C:\System Volume Information\_restore{C697E92A-EAC9-4B8E-967C-327C5866234B}\RP93\A0030169.dll' enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan]. Habe ihn zuerst gelöscht und dann noch einmal scannen lassen, dann kam wieder die fehlermeldung und ich hab ihn in Quarantäne gesteckt. Habe mich schon über Google informiert, aber noch keine passende Information gefunden, da diese meist speziell für die Logfiles waren. Gibt es eine Möglichkeit diesen zu entfernen? Hier mein Logfile: Logfile of Trend Micro HiJackThis v2.0.2 Scan saved at 15:27:14, on 15.12.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\snmp.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\sm56hlpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\ATK0100\HControl.exe C:\Programme\Thomson\SpeedTouch USB\Dragdiag.exe C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe C:\Programme\iTunes\iTunesHelper.exe C:\Programme\Java\jre1.6.0_07\bin\jusched.exe C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\DAEMON Tools Lite\daemon.exe C:\Programme\OpenOffice.org 2.4\program\soffice.exe C:\Programme\OpenOffice.org 2.4\program\soffice.BIN C:\WINDOWS\ATK0100\ATKOSD.exe C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe C:\Programme\iPod\bin\iPodService.exe C:\Programme\Skype\Plugin Manager\skypePM.exe C:\Programme\Mozilla Thunderbird\thunderbird.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe c:\programme\avira\antivir personaledition classic\avcenter.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avscan.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll O2 - BHO: (no name) - {ca728877-7afd-431c-aeb9-f291db751bbe} - C:\WINDOWS\system32\zofowoda.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SMSERIAL] C:\WINDOWS\sm56hlpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programme\Thomson\SpeedTouch USB\Dragdiag.exe" /icon O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe " O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [rehiyatoyu] Rundll32.exe "C:\WINDOWS\system32\kewowupa.dll",s O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [CPMab411dfd] Rundll32.exe "c:\windows\system32\wutilowu.dll",a O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\Run: [rehiyatoyu] Rundll32.exe "C:\WINDOWS\system32\kewowupa.dll",s (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe O8 - Extra context menu item: Append to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{39BC355A-F7DD-4E56-BF28-DCC3EAD1DB13}: NameServer = 10.0.0.2,10.0.0.11 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = int.campus-sbg.at O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = int.campus-sbg.at O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: C:\WINDOWS\system32\nuzepema.dll c:\windows\system32\wutilowu.dll O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\wutilowu.dll O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\wutilowu.dll O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe -- End of file - 9023 bytes Danke für die Hilfe im vorraus. |
Hallo und welcome back, Deinstalliere folgende Programme: Code: Zone Alarm1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen: Code: C:\WINDOWS\system32\zofowoda.dll3.) Führe dieses MBR-Tool aus und poste die Ausgabe 4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!) 5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken. 6.) ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so: HTML-Code: [code] Hier das Logfile rein! [/code]
Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist. 8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe Editiere die Links und privaten Infos!! ciao, andreas |
Hallo Andreas. erstmals riesen danke für deine Hilfe und Anleitungen. Hier die Logfiles: Virustotal: Hier hat er nur C:\WINDOWS\system32\zofowoda.dll und c:\windows\system32\wutilowu.dll gefunden. Die beiden anderen nicht. C:\WINDOWS\system32\zofowoda.dll Code: Antivirus Version letzte aktualisierung ErgebnisCode: Antivirus Version letzte aktualisierung ErgebnisCode: Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.netCode: 12/16/08 10:28:57 [Info]: BlackLight Engine 2.2.1092 initializedCode: Malwarebytes' Anti-Malware 1.31 |
Silentrunners: Code: "Silent Runners.vbs", revision 59, http://www.silentrunners.org/ |
CCleaner: durchgeführt Combofix: habe es runtergeladen und angeklickt, nach einer Zeit kam eine Fehlermeldung, dass keine Internetverbindung besteht. Dummerweise hab ich dann auf wiederholen geklickt und dann ging combofix nicht mehr weiter. Habe es dann nocheinmal probiert zu starten doch das blaue Fenster kommt nicht mehr. Filelisting: http://www.file-upload.net/download-1319400/listing8.cmd.txt.html Hijackthis: Code: Logfile of Trend Micro HijackThis v2.0.2Ich hoffe du kannst mir weiterhelfen. Und nochmal riesen danke, dasst dich meiner annimmst. *g* lg |
Wenn man sich den DNS anschaut, könnte man auf die Idee kommen, dass du studierst. Aber mit Anleitungen scheinst du auf Kriegsfuß zu stehen. :) Mache den Schritt 7 noch einmal, diesmal nach der Anleitung. Ich brauche noch einmal ein aktuelles HJT-Log, der Downloader ist ziemlich aktiv. ciao, andreas |
Bin gerade fertig mit studieren. *G* hier das logfile von combofix: Code: ComboFix 08-12-15.05 - corinna 2008-12-16 15:38:48.1 - NTFSx86 |
Lass mbam noch einmal laufen und poste das Log. Wieso läuft jetzt Combofix? Hast du irgendetwas geändert? ciao, andreas |
Hier noch einmal ein neues Logfile von hijackthis: Code: Logfile of Trend Micro HijackThis v2.0.2 |
hab mich auch gewundert warum es jetzt läuft. Hab einen Ordner von Combofix gelöscht und auf einmal gings wieder. *G* |
Muss gestehen, dass ich Mbam vorhin noch einmal durchlaufen hab lassen, als dann statt der 28 infizierten Dateien 36 standen hab ich ein bissi gepanikt und die dateien von mbam löschen lassen. mal schaun, was jetzt rauskommt. |
Das sieht schon viel besser aus. :) ciao, andreas |
Hier ist die Erklärung, wo du die Malware her hast: Zitat:
|
Bist du dir sicher, dass es von Limewire ist? Hab das Programm schon seit Monaten nicht mehr benutzt. Lass auch jeden Tag antivir den computer prüfen und er hat nie etwas angzeigt. Erst gestern, als ich Facebook geöffnet hab, hat sich ein browserfenster geöffnet und sich als Virenscanner ausgegeben. Es hat sofort begonnen etwas zu laden. Hab es weggeklickt, aber da wars schon zu spät. Mbam läuft gerade und es sieht ganz gut aus. bis jetzt noch keine Meldungen. |
Hier das fertige Mbam logfile: Code: |
Ja, viel besser. :) Um sicher zu sein, brauche ich aber immer noch das Log vom Punkt 7 der Liste. Starte HJT => Do a system scan only => Markiere: Code: O20 - AppInit_DLLs:Fangen wir mit Aufräumen an: Start => Ausführen => combofix /u => OK Du solltest dir SP3 installieren: Windows XP Service Pack 3 Das aktuelle Java gibt es hier: Download der Java-Software von Sun Microsystems |
Probier punkt 7 schon die ganze zeit aus. er speichert es mir immer als txt datei und nicht mehr als cmd. |
:) Genau diese txt brauche ich, nicht die cmd. |
Hier das neue combofix: Code: |
Code: del /f "%temp%"\listing.txt |
Java und Service Pack sind runtergeladen und werden installiert. Ich lass auch noch einmal antivir durchlaufen. Hoffentlich piepts nicht wieder. *G* |
Lies noch einmal ganz genau. ;) Zitat:
|
Fallst du das rechtsklick und auf desktop speichern meinst, das hab ich damit vorher gemeint. Er speichert es mir gleich als txt auf den desktop und nich als cmd. |
Kann ich zwar nicht nachvollziehen :confused:, aber ändere den Namen von .txt auf .cmd |
http://www.file-upload.net/download-1320049/listing8.cmd.txt.html |
Lösche alle Listings vom Desktop und lade die Datei noch einmal herunter. Sollte die wieder hinten .txt haben, dann ändere den Namen und hänge .cmd an. Dort dann ein Doppelklick drauf. |
HAb ich gemacht. befürchte, dass es trotzdem nicht funktioniert hat. http://www.file-upload.net/download-1320085/listing8cmd.cmd.txt.html meine schritte: rechtsklick auf link. - Ziel speichern unter (er schreibt bei dateityp gleich textdatei hin) Wenn ich auf "alle dateitypen" umstelle wird es trotzdem gleich ein txt file. |
Starte Notepad und kopiere diesen Text nach Notepad: Code: ren listing8cmd.cmd.txt listibisti.cmd |
YEY! funktioniert http://www.file-upload.net/download-1320147/listing.txt.html |
:aplaus: Lass mal Avira mit diesen Einstellungen laufen: http://www.trojaner-board.de/54192-a...tellungen.html |
wird gemacht. kann ich dann auch wieder die systemherstellungspunkt anklicken und gewisse daten wieder verstecken? |
Bisher hat er nur das gefunden. Die Datei 'C:\Dokumente und Einstellungen\corinna\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\651ail94.default\Cache\C2152591d01' enthielt einen Virus oder unerwünschtes Programm 'APPL/PsExec.E' [program]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4978ecff.qua' verschoben! Aber er läuft noch. |
Die Systemwiederherstellung kannst du wieder aktivieren. Du solltest nur wissen, dass sich Malware gerne dort versteckt. Sie kann bei misslungenen Treiber- oder Programminstallationen hilfreich sein, aber bei Malware ist sie eher kontraproduktiv. Die Systemdateien kannst du wieder verstecken, dasgleiche gilt für Systemordner. ciao, andreas p.s.: Im Listing sehe ich gerade, dass ComboFix noch nicht deinstalliert ist. Start => Ausführen => combofix /u => OK p.p.s.: Lass CCleaner noch einmal laufen und lasse auch Firefox bereinigen. |
Hab ich probiert, er sagt mir, dass er den namen nicht findet. |
Avira "erkennt" ComboFix als Virus. Von diesen Meldungen nicht verunsichern lassen. Es werden noch mehr Meldungen kommen. |
Gehört also diese APPL/PsExec.E Datei zu combofix? Es kamen noch weitere Meldungen. Code: Die Datei 'C:\RECYCLER\S-1-5-21-1060284298-1275210071-839522115-1003\Dc9.exe'Code: Die Datei 'C:\System Volume Information\_restore{C697E92A-EAC9-4B8E-967C-327C5866234B}\RP101\A0034313.exe'Code: Die Datei 'C:\System Volume Information\_restore{C697E92A-EAC9-4B8E-967C-327C5866234B}\RP99\A0030847.exe'Code: Die Datei 'C:\System Volume Information\_restore{C697E92A-EAC9-4B8E-967C-327C5866234B}\RP99\A0030854.com'Code: Die Datei 'C:\WINDOWS\NIRCMD.exe' |
Zitat:
Zitat:
Zitat:
NirCmd gehört zu ComboFix. Ich vermute, dass du combofix/u anstatt combofix /u eingegeben hast. |
Das kann echt net wahr sein. Der blöde Trojaner is schon wieder da. Wie gibts das denn? Ich bin auf der normalen google seite gewesen. Woher kommt der? Den haben ja jetzt schon einige sich eingefangen. Weiß man vielleicht von wo man sich das mistding holt? |
Hallo Corinna, Zitat:
Bitte ein neues HJT-Log. ciao, andreas |
---------- |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 16:23 Uhr. |
Copyright ©2000-2025, Trojaner-Board