Trojaner-Board - ständig wiederkehrende Trojaner

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - ständig wiederkehrende Trojaner (https://www.trojaner-board.de/68350-staendig-wiederkehrende-trojaner.html)

ständig wiederkehrende Trojaner

Hallo,

ich habe folgendes Problem. Auf meinem Rechner tauchen ständig diverse Trojaner auf bzw. werden von Antivir gemeldet. Es handelt sich um folgende Trojaner:

TR/Hijacker.Gen
TR/Spy.GEN
TR/Dropper.GEN
TR/Hijack.Explor.307
TR/Rootkit.GEN
TR/Agent.wyi.1
TR/Crypt.XPACK.Gen

Ich schildere mal einen "typischen" Ablauf:

1. Der Rechner wurde direkt nach dem Start mit Antivir untersucht. Gefunden wurden:

TR/Hijacker.Gen windows/system32/rvdecb.dll
TR/Hijacker.Gen windows/system32/rvdecb32.dll
TR/Spy.GEN windows/temp/BN2.tmp
TR/Dropper.GEN windows/temp/gfc4.tmp
TR/Dropper.GEN windows/temp/kfh4.tmp
TR/Hijack.Explor.307 windows/System32/svchost.exe:ext.exe

Die gemeldeten Funde werden gelöscht. Die besagten Dateien sind nach dem Löschen auch tatsächlich verschwunden.

2. Ich führe einen Neustart durch und durchsuche den Rechner erneut. Ergebnis, keine Funde.

3. Ich gehe nun online. Nach ca. 2 min warnt mich der Avira Guard vor folgenden Funden:

TR/Dropper.GEN windows/temp/BN3.tmp
TR/Spy.GEN windows/temp/BN4.tmp
TR/Rootkit.GEN windows/system32/drivers/restore.sys

Ich gehe offline. Die Funde werden gelöscht. Bemerkenswerterweise sind Drooper.GEN und Spy.GEN wieder da, aber in anderen Dateien. Rootkit.GEN ist neu. Nach dem Löschen neuer Check und wieder keine Funde mehr.

4. Ich gehe wieder kurz online und zwar direkt auf die trojaner-board website. Nach ca. 5 Minuten meldet der Avira Guard:

TR/Hijacker.GEN windows/system32/rvdecb.dll
TR/Agent.wyi.1 windows/TEMP/luj6.tmp
TR/Crypt.XPACK.GEN dokumente und Einstellungen/LocalService/..../nws32(1).exe

Die Trojaner kommen also scheinbar immer neu aus dem Internet herunter. Unabhängig von den besuchten Websites. Es sind nicht immer die gleichen Trojaner, aber oft.

Das Betriebssystem ist Windows XP Service Pack 2, geschützt bin ich durch die Firewall Zone Alarm und durch AntiVir. Beides durch updates aktuell gehalten.

Wer weiss Rat?

Hallo,
du hast noch SP2 drauf. Das ist veraltet und stellt eine Gefahr da. ->SP3.
Hast du automatischen Update an?

* aktivieren der "Automatischen Updates", insbesondere das einspielen/installieren des "Service Pack 3 (XP)" und des "Service Pack 1 (Vista)" ist hierbei absolute Pflicht!

Instaliere dir Hijackthis und erstelle einen log. Diesen log stellste hier rein.
Diese Log-datein kannst du auch von virustotal (http://www.virustotal.com/de/) auswerten lassen und ebenfalls hier reinstellen.
Dann kann dir schon eher geholfen werden.

Ich habe den Rat befolgt und auf Service Pack 3 upgedatet.

Hier ist das Logfile von HiJackThis:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:07:22, on 11.01.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

C:\Programme\AntiVir PersonalEdition Classic\sched.exe

C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

C:\Programme\Samsung\Samsung Media Studio 5\SMSTray.exe

C:\Programme\MarkAny\ContentSafer\MAAgent.exe

C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Messenger\msmsgs.exe

C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\ISW\alice\signup\alicecnn.exe

C:\PROGRA~1\MOZILL~1\firefox.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\TEMP\BN2.tmp

C:\Programme\HiJacktThis\HiJackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.alice-dsl.de

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.alice-dsl.de

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Microsft Security Monitor Process] mssmpp.exe

O4 - HKLM\..\Run: [FrameWork 2.5] FrameWork.exe

O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [SMSTray] C:\Programme\Samsung\Samsung Media Studio 5\SMSTray.exe

O4 - HKLM\..\Run: [MAAgent] C:\Programme\MarkAny\ContentSafer\MAAgent.exe

O4 - HKLM\..\Run: [lphc1lvj0eva9] C:\WINDOWS\System32\lphc1lvj0eva9.exe

O4 - HKLM\..\Run: [inrhc5lvj0eva9] C:\WINDOWS\Temp\.tt9.tmp.exe /CR=BF41E8B2D96ED8F141145E40F597DD53012E546B97DF001F57E585574CAD0093793C0DB2ADDB6EE1FABB73A81E43130F75432D819A3D949B559D0D5AE695DE4BDD293C51645EBB54D0423B0F907B03FD96E316EC783AFC

O4 - HKLM\..\Run: [Auto File System Conversion Utility] C:\WINDOWS\system32\wbem\scricon.exe

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\RunServices: [Auto File System Conversion Utility] C:\WINDOWS\system32\wbem\scricon.exe

O4 - HKLM\..\RunServices: [Microsft Security Monitor Process] mssmpp.exe

O4 - HKLM\..\RunServices: [FrameWork 2.5] FrameWork.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Auto File System Conversion Utility] C:\WINDOWS\system32\wbem\scricon.exe

O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\RunServices: [Auto File System Conversion Utility] C:\WINDOWS\system32\wbem\scricon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\System32\Macromed\Flash\FlashUtil9d.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunServices: [Auto File System Conversion Utility] C:\WINDOWS\System32\wbem\scricon.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\System32\Macromed\Flash\FlashUtil9d.exe (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunServices: [Auto File System Conversion Utility] C:\WINDOWS\System32\wbem\scricon.exe (User 'Default user')

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O20 - Winlogon Notify: rvdecb - rvdecb.dll (file missing)

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: FCI - Unknown owner - C:\WINDOWS\System32\svchost.exe:ext.exe (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ICF - Unknown owner - C:\WINDOWS\System32\svchost.exe:ext.exe (file missing)

O23 - Service: MSN RAV MSNERSvc (MSNERSvc) - Unknown owner - C:\WINDOWS\System32\adsldpcl.exe (file missing)

O23 - Service: NtmlSvc NtmlSvc RAV (NtmlSvc RAV) - Unknown owner - C:\WINDOWS\System32\actmoviep.exe (file missing)

O23 - Service: Windows User Mode Driver Framework (UMWdf) - Unknown owner - C:\WINDOWS\System32\wdfmgr.exe (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
 

--

End of file - 6196 bytes

Kann damit jemand etwas anfangen?

Danke

Du hast noch den IE6 drauf->IE7!
Du kannst aus eigener Intresse mal deinen Logfile auswerten lassen HijackThis Logfileauswertung, dann siehste wie es um dein System steht. Du wirst sehr viele "ungute" Einträge finden.
Diesen Log kannst du noch bei Vi (einfach die log-datei hochladen) auswerten lassen und hier reinstellen.
Dann sollte die von einem Kompetenzler geholfen werden...

Zitat:

Zitat von Robsen84 (Beitrag 404959)

Du hast noch den IE6 drauf->IE7!

Ich surfe nicht mit IE sondern mit Mozilla FF3.

Zitat:

Zitat von Robsen84 (Beitrag 404959)

Du kannst aus eigener Intresse mal deinen Logfile auswerten lassen HijackThis Logfileauswertung, dann siehste wie es um dein System steht. Du wirst sehr viele "ungute" Einträge finden.

Das ist schön, dass ich "viele ungute Einträge finden werde". Aber geholfen ist mir damit leider noch immer nicht, diese zu beseitigen.

Werde aber so vorgehen. Danke

Ich poste nun mal das Ergebnis meiner Lofile-Auswertung von Hijackthis:

schädlich, nicht bekanntes Programm

O4 - HKLM\..\RunServices: [FrameWork 2.5] FrameWork.exe
O4 - HKLM\..\RunServices: [Microsft Security Monitor Process] mssmpp.exe
O4 - HKLM\..\Run: [Microsft Security Monitor Process] mssmpp.exe

äußerst schädlich, nicht bekanntes Programm

O4 - HKLM\..\Run: [FrameWork 2.5] FrameWork.exe

sowie einige ubekannte Programme ohne Wertung.

Wie gehe ich nun vor um diese Programme zu entfernen? Um warum wird Antivir damit nicht fertig?

Zitat:

Zitat von mr_black (Beitrag 404968)

Ich surfe nicht mit IE sondern mit Mozilla FF3.

Hallöchen!:)

Du solltest deinen Internet Explorer dennoch immer auf dem aktuellsten Stand halten, da die Windowsupdates über ihn aktualisiert werden. Deswegen sollte der auch auf keinen Fall deinstalliert werden!

Zitat:

Zitat von mr_black (Beitrag 404968)

Das ist schön, dass ich "viele ungute Einträge finden werde". Aber geholfen ist mir damit leider noch immer nicht, diese zu beseitigen.

Werde aber so vorgehen. Danke

Dazu solltest du aber wissen, dass diese Logfileauswertung nicht immer korrekt ist, d.h., er übersieht Dinge oder wertet auch mal falsch aus. Du kannst es ja dennoch mal damit versuchen.

Zitat:

Zitat von mr_black (Beitrag 404972)

O4 - HKLM\..\RunServices: [Microsft Security Monitor Process] mssmpp.exe
O4 - HKLM\..\Run: [Microsft Security Monitor Process] mssmpp.exe

Hier fehlen wichtige Buchstaben! Da kann man schon von ausgehen, dass das Malware ist. Versuch mal bitte Malwarebytes Antimalware.

An die Kompetenzler: Wenn ich hier einen Fehler mache, bitte sagen!

Zitat:

Zitat von Helena1 (Beitrag 404973)

Dazu solltest du aber wissen, dass diese Logfileauswertung nicht immer korrekt ist, d.h., er übersieht Dinge oder wertet auch mal falsch aus. Du kannst es ja dennoch mal damit versuchen.

Na dass macht mir ja nicht gerade Mut. Wozu dann der Aufwand?

Zitat:

Zitat von Helena1 (Beitrag 404976)

Hier fehlen wichtige Buchstaben! Da kann man schon von ausgehen, dass das Malware ist. Versuch mal bitte Malwarebytes Antimalware.

Kann ich tun. Ist Malewarebytes denn "besser" als AntiVir oder warum wird AntiVir trotz Erkennung und Löschung der Trojaner damit nicht fertig?

Zitat:

Zitat von mr_black (Beitrag 404981)

Kann ich tun. Ist Malewarebytes denn "besser" als AntiVir oder warum wird AntiVir trotz Erkennung und Löschung der Trojaner damit nicht fertig?

Naja, "besser" kann man vielleicht nicht sagen. Es scheint etwas gründlicher im Systemscan zu sein.

Halte dich bitte genau an die Anleitung, verschiebe das Gefundene in die Quarantäne und denke daran, dass enstandene Logfile hier zu posten!

Aufwand?
Vllt. ist ja noch was zu retten...,vielleicht.
Sollte in deinem Sinne sein.

Lade dir mal folgendes Tool und starte es -> F-Secure Blacklight.
Poste im Anschluss den Inhalt des Reports.

Zitat:

Zitat von Robsen84 (Beitrag 404986)

Aufwand?
Vllt. ist ja noch was zu retten...,vielleicht.

Hi Robsen84! :)

Denkst du, Neuaufsetzen wäre hierbei die bessere Lösung?

Edit: Sorry für die Einmischung, werde nur noch stille Leserin sein....

Im Zweifel ja.:party:
Vorher sollte, aber soviel wie es nur geht bereinigt werden.

Dann mache ich das mal und melde mich wieder.

Allerdings hätte ich Malewarebytes doch auch gleich rüberjagen können ohne das ganze Procedere mit Hijackthis und dem Posten des Logfiles hier oder?

Zitat:

Zitat von Helena1 (Beitrag 404988)

Hi Robsen84! :)
Denkst du, Neuaufsetzen wäre hierbei die bessere Lösung?

Naja, DASS würde ich gerne vermeiden. Wozu denn die diversen Programme und Sicherheitsvorkehrungen (AntiVir, ZoneAlarm, Malewarebytes, Hijackthis etc.) das ständige Posten von irgendwelchen Auswertungsfiles, wenn es am Ende doch nur heißt: Totalkahlschlag?

Sorry bin gerade echt frustriert (nicht über die Ratgeber hier, sondern mein Problem).

Ich spreche aus eiener Erfahrung->Rootkit
Neuaufsetzten hilft nur dann etwas, wenn dein System einigermassen sicher ist.
Es gibt Schädlinge die du durch das Formatieren nicht restlos weg bekommst.
Wenn dein System bereinigt ist kannst es Neuaufsetzen. Gehe dabei genau nach der Anleitung vor.

Antivir etc. schlagen bei vielen Fällen nur noch an, aber sind ab da an Machtlos.

Nachdem nun habe drüberlaufen lassen hier das Ergebnis:

Code:

11.01.2009 22:30:52

mbam-log-2009-01-11 (22-30-52).txt
 

Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 103983

Laufzeit: 1 hour(s), 52 minute(s), 37 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 13

Infizierte Registrierungswerte: 2

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 11
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\restore (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fci (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ICF (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ntio256 (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RUNTIME2 (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asc3550p (Rootkit.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RUNTIME (Rootkit.Agent) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\inrhc5lvj0eva9 (Rogue.AntivirusXP2008) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lphc1lvj0eva9 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\System Volume Information\_restore{19BC842C-7143-4BA6-A25E-1051B5C4F21E}\RP23\A0005022.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{19BC842C-7143-4BA6-A25E-1051B5C4F21E}\RP24\A0005147.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\ati8waxx.sys (Rootkit.Agent) -> Delete on reboot.

C:\WINDOWS\Temp\irq5.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\caa4.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\dlc1.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\ifz4.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\jpy4.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\qcj4.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\wbv1.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\yra1.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.

Beim Beheben der Probleme kam folgende Meldung:

Code:

Bestimmte Objekte konnten nicht entfernt werden! Die ersten paar Einträge werden unten aufgeführt.Alle Objekte, die nicht entfernt werden konnten wurden der Liste "Löschen bei Neustart" hinzugefügt. Bitte starten Sie Ihren Rechner jetzt neu. Eine Logdatei wurde im Logdateiverzeichnis gespeichert.
 

HKEY_LOCAL_MACHINE/System/ControlSet001/Services/ati8waxx

HKEY_LOCAL_MACHINE/System/ControlSet002/Services/ati8waxx

HKEY_LOCAL_MACHINE/System/ControlSet003/Services/ati8waxx

HKEY_LOCAL_MACHINE/System/ControlSet004/Services/ati8waxx

HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/ati8waxx

Der Rechner wurde dann neu gestartet.

Während ich das hier tippe poppt im 2-Sekunden Takt der Avira-Guard auf und meldet diverse Trojaner. :headbang:

Nachtrag: Ich habe nun auch F-Secure Blacklight drüber laufen lassen, aber hier wurde nichts gefunden.

Neues von der Front:

Heute morgen habe ich den Rechner im abgesicherten Modus gestartet und noch einmal mit Malewarebytes gescant:

Code:

Scan type: Full Scan (C:\|)

Objects scanned: 102568

Time elapsed: 1 hour(s), 15 minute(s), 47 second(s)
 

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 1

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 1
 

Memory Processes Infected:

(No malicious items detected)
 

Memory Modules Infected:

(No malicious items detected)
 

Registry Keys Infected:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\restore (Rootkit.Agent) -> Quarantined and deleted successfully.
 

Registry Values Infected:

(No malicious items detected)
 

Registry Data Items Infected:

(No malicious items detected)
 

Folders Infected:

(No malicious items detected)
 

Files Infected:

C:\WINDOWS\Temp\BN2.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

Gefunden wurde also "Rootkit.Agent".
Nach dem von Malewarebytes geforderten Neustart (normaler Modus) folgte direkt ein erneuter Scan:

Code:

12.01.2009 11:52:04

mbam-log-2009-01-12 (11-52-04).txt
 

Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 102764

Laufzeit: 1 hour(s), 36 minute(s), 18 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 5

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 1
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ati8waxx (Rootkit.Agent) -> Delete on reboot.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\drivers\ati8waxx.sys (Rootkit.Agent) -> Delete on reboot.

Und Siehe da: Rootkit.Agent ist noch immer vorhanden. (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ati8waxx )

Was nun? Gibt es ein Tool?

Nachtrag:
Folgende Infos zu meinem Freund Rootkit.Agent gefunden:

Das Ungeziefer Win32/Rootkit.Agent.DP Trojaner im Verzeichnis vom Windows System32 (laut Grundbedeutung: C:\ Windows\ System32) erzeugt folgende Dateien:

* \ drivers\ runtime.sys
* \ drivers\ ip6fw.sys
* \ drivers\ netdtect.sys
* wsys.dll
* ws2_32.dll

* \ drivers\ runtime.sys
* \ drivers\ ip6fw.sys
* \ drivers\ netdtect.sys
* wsys.dll
* ws2_32.dll

Das Ungeziefer Win32/Rootkit.Agent.DP Trojaner Im Temporary-Verzeichnis (Temp) kann weiters folgende Dateien erzeugen:

* svchost.exe
* imapi.exe

* svchost.exe
* imapi.exe

Der Schädling Win32/Rootkit.Agent.DP Trojaner erstellt, bzw. ändert (falls bereits vorhanden) folgende Einträge in der systembeschreibenden Datenbasis:

* [HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ ip6fw]
* [HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ NetDetect]

* [HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ ip6fw]
* [HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ NetDetect]

Die Viren, Würmer sind in der Lage, Prozesse stoppen zu versuchen, die Bestandteile von Anti-Viren-Programmen bzw- Firewalls sind. Auch das hat ein doppeltes Ziel: Zum einen wird erschwert, dass der Anwender von der Infektion in Kenntnis Gesetz wird, zum anderen kann auch das Herauskommen des Hintertür-Komponenten erleichtert werden. Sie können auch vom bestimmten Verkehr zum Internet ablenken, den Zugriff auf bestimmte Web-Seiten verhindern.

Der Schädling Trojaner überlagert die Routine: IEXPLORER.EXE .

E-Mail Nachrichten
Das vorrangige Ziel der sich durch E-Mail Nachrichten verbreitenden Würmer ist, einen anderen Computer zu infizieren. Das erreichen sie durch die Erzeugung und das Abschicken von E-Mail Nachrichten. Die erzeugten E-Mail Nachrichten enthalten generell den Wurmcode, es kann aber auch vorkommen, dass selbst der Anwender des angegriffenen Computers über die in der Nachricht angegebenen Bezugsadresse ihn herunterlädt. Manche Würmer können E-Mail Nachrichten mit den verschiedensten Parameter generieren und abschicken.

Der Schädling Win32/Rootkit.Agent.DP Trojaner generiert zur eigenen Verbreitung E-Mail Nachrichten und schickt seinen eigenen Code darin weiter.
Um sich noch mehr verbreiten zu können, sammeln die sich über E-Mail Nachrichten verbreitenden Viren, bzw. Würmer E-Mail Adressen in dem angegriffenen Rechner. Diese E-Mail Adressen werden dann verwendet, um den Viren- bzw. Wurmcode weiterzuschicken. Fallweise werden die gefundenen Adressen auch zur Ausfüllung der Absenderfelder verwendet, um die Origin der Nachricht zu verfälschen.

Der Schädling Win32/Rootkit.Agent.DP Trojaner durchsucht die Dateien mit folgender Erweiterung nach E-Mail Adressen:

* adb
* asp
* dbx
* eml
* fpt
* Vollständige Liste...

* adb
* asp
* dbx
* eml
* fpt
* htm
* inb
* mbx
* php
* pmr
* sht
* tbb
* txt
* wab
* zurück...

Der Aufbau der zusammengestellten E-Mail Nachrichten sieht wie folgt aus:
Das Feld Absender

Der Absender wird vom angegriffenen Rechner gesammelt, bzw. wurde von früher angegriffenen Rechnern gesammelt.

Angriff über das Internet
Viele Viren, Würmer sind in der Lage, einen Angriff auf andere Computer über das Internet zu starten und deren Einsatz so unmöglich zu machen.

Das Schädlingsprogramm Trojaner versucht, sich an die Web-Adresse: 63.216.0.5 anzuschließen.

Das Schädlingsprogramm Trojaner lädt Code von den folgenden Web-Adressen herunter und führt sie durch:

* 208.66.194.241
* 66.246.252.213
* 67.18.114.98

* 208.66.194.241
* 66.246.252.213
* 67.18.114.98

Hintertür
Die Viren, Würmer öffnen immer häufiger eine Hintertür auf dem infizierten Rechner. Dadurch können sie voll und ganz die Kontrolle über den Computer übernehmen, der Angreifer kann auf dem Computer machen, was er will: Er kann Anwendungen laufen lassen, Anwendungen stoppen, Dateien herunterladen, Passwörter, Zugriffscode entfremden

Die heruntergeladnen (Download) Dateien werden unter folgenden Bezeichnungen gespeichert:

* C:\ WINDOWS\ systwm32\ <random>_exception.nls
* C:\ WINDOWS\ Temp\ ldrnt.bin
* C:\ WINDOWS\ Temp\ <random>.exe

* C:\ WINDOWS\ systwm32\ <random>_exception.nls
* C:\ WINDOWS\ Temp\ ldrnt.bin
* C:\ WINDOWS\ Temp\ <random>.exe

Die vom Computer gesammelten Informationen werden an die Adresse: h**p://208.66.195.169:3154/post.cgi übermittelt.

So wie es aussieht hast du dir folgendes eingefangen: http://www.sophos.de/security/analys...w32rbotde.html Klick für info.

Du kannst die infizierten Daten per www.virustotal.com auswerten lassen.
Programm-Leiste -> Suchen -> usw..
Allerdings nur um sicher zu gehen.

Danach bitte folgendes:
1. Sofort die Verbindung zum Internet kappen.
2. Keine Daten retten!
3. Neuaufsetzen und anschliessend alle Kennwörter ändern.
http://www.trojaner-board.de/51262-a...sicherung.html Gehe dabei genau nach der Anleitung vor. Halte dein System immer auf dem neusten Stand, auch den IE, zb.