Trojaner-Board - TR/Silentbanker.E.2 eingefangen

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Silentbanker.E.2 eingefangen (https://www.trojaner-board.de/71761-tr-silentbanker-e-2-eingefangen.html)

TR/Silentbanker.E.2 eingefangen

Hallo,
da ihr hier so freundlich Hilfe verteilt schlage ich auch mal mit meinem Problem auf:
Antivir installiert, dieser hat mir "TR/Crypt.FKM.Gen" und "TR/Silentbanker.E.2" gefunden.
CCleaner haben ich ausgeführt.
Mbam ebenfalls:

Code:

Malwarebytes' Anti-Malware 1.35

Datenbank Version: 1942

Windows 5.1.2600 Service Pack 2
 

06.04.2009 01:59:43

mbam-log-2009-04-06 (01-59-39).txt
 

Scan-Methode: Vollständiger Scan (C:\|F:\|)

Durchsuchte Objekte: 129880

Laufzeit: 38 minute(s), 18 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 2

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 1

Infizierte Verzeichnisse: 2

Infizierte Dateien: 4
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_CURRENT_USER\SOFTWARE\CrucialSoft Ltd (Rogue.MSantispyware2009) -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{def85c80-216a-43ab-af70-1665edbe2780} (Spyware.Sinowal) -> No action taken.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> No action taken.
 

Infizierte Verzeichnisse:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CrucialSoft Ltd (Rogue.Multiple) -> No action taken.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CrucialSoft Ltd\MS AntiSpyware 2009 (Rogue.Multiple) -> No action taken.
 

Infizierte Dateien:

C:\WINDOWS\system32\9657645721.cpx (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\96576457212.CPX (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\96576457221.cpx (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\96576457266.CPX (Trojan.Agent) -> No action taken.

Hijack this uninstall list:

Code:

Adobe Flash Player 10 Plugin

Adobe Reader 7.0.8 - Deutsch

AMD Dual-Core Optimizer

America's Army

ASUSUpdate

Avira AntiVir Personal - Free Antivirus

BASCOM-AVR DEMO Setup

CCleaner (remove only)

CDBurnerXP Pro 3

Compatibility Pack für 2007 Office System

Corel WinDVD 9

Crysis(R)

DivX Web Player

DSL-Manager

EVEREST Home Edition v2.20

FBIde 0.4.4 + FreeBASIC 0.15

Fraps

Google Earth

Google Update

Google Updater

GTA San Andreas

GTK+ 2.8.18-1 runtime environment

High Definition Audio Driver Package - KB888111

HijackThis 2.0.2

IrfanView (remove only)

Lexmark Software deinstallieren

Logitech MouseWare 9.79.1 

Malwarebytes' Anti-Malware

Microsoft Office XP Professional mit FrontPage

Microsoft Visual C++ 2005 Redistributable

Microsoft Visual C++ 2005 Redistributable

Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17

Mozilla Firefox (3.0.8)

Mozilla Thunderbird (2.0.0.19)

Need for Speed™ Most Wanted

NetMos Multi-IO Controller

NVIDIA Drivers

Office 2007 Word Konverter 1.0.1

OpenOffice.org 2.1

PerfectDisk 2008 Professional

QuickTime

RealPlayer

REALTEK GbE & FE Ethernet PCI NIC Driver

RivaTuner v2.22

RN_BootLoader

SnagIt 9

SoundMAX

The GIMP 2.2.13

TrackMania Nations ESWC 0.1.7.5

UFO:AI 2.2

Uninstall 1.0.0.1

VideoLAN VLC media player 0.8.6a

Winamp (remove only)

WinFast(R) Display Driver

WinRAR Archivierer

Zattoo 3.3.1 Beta

ZoneAlarm

ich hoffe ihr ihr habt die passende Wurmkur für meinen Rechner, format c: würde ich mir natürlich gerne ersparen. Geldgeschäfte mache ich zum Glück keine von hier aus. Vielen Dank im Vorraus!

Ich darf mal schieben... wäre echt nett wenn ihr mir noch den ein oder anderen Ratschlag geben könnt.

Hier noch der HJT scan:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 00:04:24, on 07.04.2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Google\Update\GoogleUpdate.exe

C:\Programme\Analog Devices\SoundMAX\Smax4.exe

C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\Programme\Analog Devices\Core\smax4pnp.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\Sunbelt Software\CounterSpy\SBCSTray.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\T-Online\DSL-Manager\DslMgr.exe

C:\Programme\Logitech\MouseWare\system\em_exec.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Programme\Raxco\PerfectDisk2008\PD91Agent.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\PnkBstrB.exe

C:\Programme\Gemeinsame Dateien\Protexis\License Service\PsiService_2.exe

C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Google\Update\GoogleUpdate.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [SBCSTray] C:\Programme\Sunbelt Software\CounterSpy\SBCSTray.exe

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKUS\S-1-5-19\..\RunOnce: [nlhr] RunDll32.exe %SystemRoot%\System32\AdvPack.Dll,LaunchINFSection %SystemRoot%\inf\nlite.inf,C (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlhr] RunDll32.exe %SystemRoot%\System32\AdvPack.Dll,LaunchINFSection %SystemRoot%\inf\nlite.inf,C (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\RunOnce: [nlhr] RunDll32.exe %SystemRoot%\System32\AdvPack.Dll,LaunchINFSection %SystemRoot%\inf\nlite.inf,C (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\RunOnce: [nlhr] RunDll32.exe %SystemRoot%\System32\AdvPack.Dll,LaunchINFSection %SystemRoot%\inf\nlite.inf,C (User 'Default user')

O4 - Startup: DSL-Manager.lnk = C:\Programme\T-Online\DSL-Manager\DslMgr.exe

O4 - Startup: T-Online DSL-Manager.lnk = C:\Programme\T-Online\DSL-Manager\TODslMgr.exe

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)

O23 - Service: Google Update Service (gupdate1c986cac90dbcaa) (gupdate1c986cac90dbcaa) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: IviRegMgr - InterVideo - C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe

O23 - Service: lmab_device -   - C:\WINDOWS\system32\LMabcoms.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PD91Agent - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk2008\PD91Agent.exe

O23 - Service: PD91Engine - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk2008\PD91Engine.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe

O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - C:\Programme\Gemeinsame Dateien\Protexis\License Service\PsiService_2.exe

O23 - Service: Sandra Data Service (SandraDataSrv) - Unknown owner - C:\Programme\SiSoftware\SiSoftware Sandra Lite 2007.SP1\Win32\RpcDataSrv.exe (file missing)

O23 - Service: Sandra Service (SandraTheSrv) - Unknown owner - C:\Programme\SiSoftware\SiSoftware Sandra Lite 2007.SP1\RpcSandraSrv.exe (file missing)

O23 - Service: Sunbelt CounterSpy Antispyware (SBCSSvc) - Sunbelt Software - C:\Programme\Sunbelt Software\CounterSpy\SBCSSvc.exe

O23 - Service: DSL-Manager (TDslMgrService) - T-Systems Enterprise Services GmbH - C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
 

--

End of file - 6135 bytes

Neuaufsetzten!
Silent Banker: Online-Bankraub in aller Stille - PC-WELT

Es gäbe wohl eine Variante den manuelle zu entfernen "'TR/Silentbanker.E.2' manuell entfernt - AntiVir Personal für Windows - Avira Support Forum", aber Neu machen wäre sicherer...

Nach dem Neuaufsetzten alle Passwörter abändern...

Warte aber erst eine andere Meinung ab!

Danke für deine Antwort.
Ich habe jetzt tatsächlich mein System neu aufgesetzt. Schade, es hat sich 2 Jahre gut gehalten, lief flott und war (imho) halbwegs aufgeräumt.
Man findet leider nicht allzuviele Informationen wie man seine Daten vor dem formatieren sichert ohne sich direkt wieder zu infizieren.
Ich habe -in dieser Reihenfolge- alles wesentliche auf die externe Festplatte geschoben, diese und das Netzwerkkabel abgezogen, c: formatiert, XP aufgespielt, autostart deaktiviert, externe Festplatte wieder angeschlossen, xp-antispy angeschmissen, antivir installiert, internet angeschlossen und dann den Rest an Treibern und wasweissichnochalles eingerichtet.
Ich hoffe mal ich bin jetzt parasitenfrei, falls daran Zweifel bestehen sagt mir bescheid.:)

Jetzt hat Avira doch noch was gefunden, muss wohl irgendwie durch das vorherige Antivirengedöns durchgerutscht sein:

E:\tattaa\MP3\Metall\Slipknot\All Hope Is Gone\14. Vermilion Pt.2(Bloodstone Mix) (Bonus track ).mp3
[FUND] Enthält Erkennungsmuster des Exploits EXP/ASF.GetCodec.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a0c0642.qua' verschoben!

Google ist sich leider uneinig wie das zu bewerten ist.
Malwarebytes und Avira finden jetzt nichts mehr, vielleich wars das ja dann :rolleyes:

Woher hast du denn die Datei?
Hier hilft dir nur eine ehrliche Aussage weiter...

Das war ja ne schnelle Antwort, ich war nur zwischenzeitlich noch kurz Grillen:party:
Die Datei dürfte ca ein. Jahr auf der Festplatte eines Mitbewohners gegammelt haben bevor sie vor etwa sechs Monaten den Weg auf meine fand. Liegt mir nichts dran, kann gerne draufgehen.

Wenn es dir eh wurscht ist, dann ist ja ok...
Du kannst zur Sicherheit noch Superantispyware einmal laufen lassen und wenn das nichts findet, sollte es ok sein.
Ich hoffe, dass du alle Passwörter geändert hast und das du dein System aufm neusten Stand hällst.

Halte immer alle Anwendungen aktuell (Secunia PSI kann hier wertvolle Hilfe leisten).
.
Update die Viren-Signaturen deines Anti-Viren Programmes reglemäßig.
http://www.trojaner-board.de/54192-a...tellungen.html
.
Update auch regelmäßig die Hardwaretreiber (Grafikkarte, Soundkarte).
.
Das Windows Update sollte automatisch erfolgen.
.
Das aktuelle ServicePack sollte installiert sein:
XP_ ServicePack3
Vista_ ServicePack1
.
Benutze keine Tauschbörsen^^

Wurscht ist es mir eigentlich nicht, da musst du mich falsch verstanden haben.
Das System ist nach dem neuaufsetzen nun wieder auf dem neuesten Stand, Superantispyware werde ich noch laufen lassen. Gerade eben ist das Wetter leider zu gut, ich muss schon wieder Grillen gehen :)
Mir war es, obwohl mir Computer nicht gerade fremd sind, bisher unbekannt das es Malware gibt die sich nicht binnen einer halben Stunde vom Rechner entfernen lässt, bzw. ich habe das Risiko so etwas zu erwischen als verschwindend gering eingestuft. Naja, nun bin ich klüger und etwas vorsichtiger.