Trojaner-Board - win32/olmarik.ju.trojan + win32/rootkit.agent.odg.trojan

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - win32/olmarik.ju.trojan + win32/rootkit.agent.odg.trojan (https://www.trojaner-board.de/76082-win32-olmarik-ju-trojan-win32-rootkit-agent-odg-trojan.html)

Genotron

04.08.2009 19:11

win32/olmarik.ju.trojan + win32/rootkit.agent.odg.trojan

Servus erstmal ;>

Das rootkit sitzt im Arbeitsspeicher und der andere schädling unter globalroot\...
mittlerweile bemerkt die beiden auch mein Virenscanner ESET32
darauf gestoßen bin ich leider erst dadurch dass jmd zuviel eins meiner passworte kannte :S

leider zeigen sich auch beide recht resistent gegen behandlungsmaßnahmen
wobei ich leider auch zugeben muss dass ich nicht mal den hauch einer ahnung habe wie ich etwas im Arbeitsspeicher "killen" könnte :>

aber dafür gibts ja euch :)

04.08.2009 Startup scanner operating memory Operating memory Win32/Rootkit.Agent.ODG trojan unable to clean ***\***

04.08.2009 Startup scanner file \\?\globalroot\systemroot\system32\hjgruivjgkiplh.dll Win32/Olmarik.JU trojan error while cleaning ***\***

genug der einleitung - fakten =)

Suchfunktion
Die meißten "brauchbaren" ergebnisse laufen auf eine MAM empfehlung hinaus
win32/olmarik.ju.trojan findet MAM auch löscht ihn und dann isser nach dem neustarten wieder da =)
win32/rootkit.agent.odg.trojan wird nichtmal aufgespürt
Ansonsten versagt noch
Loaris Trojan remover und Eset32.

was ich jetzt für euch gemacht habe ist
1. CCleaner durchlaufen lassen
2. Einen weiteren MAM scann (wieder gefunden gelöscht und wieder da ^^)
3. Rsit durchgejagt
4. GMER scann gemacht da es in vielen anderen Threads hier im Forum dem Moderator geholfen hat die lösung zu finden :>

alle scanns wurden ohne aktive programme gemacht ;>
zensiert habe ich alles was ich finden konnte ;>
logs gibts im anhang... :daumenhoc

Viel spaß beim suchen ;>
Und ein DICKES Danke im vorraus

Grüßle Addy

Genotron

04.08.2009 19:13

"/edit" nur 4 anhänge a 90kb? z z z

dritter teil des gesplitteten Gmer logs ;>

Grüßle Addy

john.doe

04.08.2009 23:13

Hallo und :hallo:

Rootkitwarnung! Du hast eine schwere Infektion die nur mit sehr viel Zeitaufwand zu bereinigen ist. Deshalb empfehle ich dir die schnelle und sichere Methode => http://www.trojaner-board.de/51262-a...sicherung.html

Solltest du trotzdem die Bereinigung vorziehen, dann beginne mit ComboFix.

Es fehlt noch die info.txt von RSIT.

Start => Ausführen => c:\rsit\info.txt => OK

Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

ciao, andreas

Genotron

05.08.2009 10:25

Ich habe mich fürs reparieren entschieden und nach anleitung nochmal CCleaner laufen lassen.
Anschließend dann "cofi"

sieht auf jedenfall gleich freundlicher aus ohne viren meldungen beim hochfahren :aplaus:
;>

und abgesehen von den beiden plagegeistern bei denen cofi ordentlich dateien gelöscht hat, hat das programm noch etwas suspektes aus meinen firefox plugins gelöscht.

Der gute junge startet auch wieder schneller (wobei das bei mir 4-5 sec sind ^^)

Logs sind wieder im anhang :)

p.s. Ich habe versucht euch die sache so einfach wie möglich zu machen
(also nach tutorial http://www.trojaner-board.de/69886-a...-beachten.html)
allerdings hat mich Rsit nur auf das logfile hingewiesen.
Wäre vielleicht ne überlegung wert auf das info.txt file im Tutorial hinzuweisen ;>

Grüße Addy

/edit und Hey verdammt schnelle antworten gibts hier =)

john.doe

05.08.2009 16:20

Zitat:

Wäre vielleicht ne überlegung wert auf das info.txt file im Tutorial hinzuweisen

Wenn der Scan beendet ist, werden zwei Logfiles in C:\rsit erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und >>> C:\rsit\info.txt <<< (wird in die Taskleiste minimiert) in Deinen Thread.

Zitat:

Acronis*True*Image*Home

Warum spielst du nicht einfach ein sauberes Image zurück, ist Minutensache oder läuft es nur um den Rechner auszubremsen. ;)

Zitat:

C:\Programme\TypingMaster\quickphrase\quickphrase.exe

Was'n'das?

1.) Deinstalliere:

Loaris Trojan Remover 1.1
Skype™ 3.2
SuperAntiSpyware
ThreatExpert Memory Scanner 1.0
Vuze (Virenschleuder)
ZoneAlarm Pro

Das Uniblue- und Stardockgelumpe ist mir auch ein Dorn im Auge.

2.) Installiere:

Die offizielle Skype-Website ? Skype jetzt kostenlos herunterladen für kostenlose Anrufe und Internetanrufe

3.) Lade die Datei

Code:

C:\WINDOWS\system32\svchost.exee

bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html
Markiere den Text in der Box, kopiere ihn und füge ihn im Uploadchannel ein.

4.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

Driver::

vqaabafw

vsmon

AcrSch2SvcAlerter

ZJPFCH
 

Registry::

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"SunJavaUpdateSched"=-

"Malwarebytes' Anti-Malware"=-

"ZoneAlarm Client"=-

"MSConfig"=-

"MSxmlHpr"=-

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

"QuickPhrase"=C:\Programme\TypingMaster\quickphrase\quickphrase.exe [2007-08-03 638992]

"Loaris Trojan Remover"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Portfolio]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Update Detection]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSxmlHpr]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NWEReboot]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PC Suite Tray]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uniblue RegistryBooster 2009]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows Services]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WorksFUD]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"C:\Programme\Vuze\Azureus.exe"=-

"C:\WINDOWS\system32\rundll32.exe"=-

""=-

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=-

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"=-
 

Folder::

C:\rsit

C:\Programme\Loaris Trojan Remover

C:\Programme\ThreatExpert Memory Scanner

C:\Dokumente und Einstellungen\Addy\Anwendungsdaten\Azureus
 

Files::

C:\WINDOWS\system32\RENA699.tmp

c:\windows\system32\zllictbl.dat

c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
 

DirLook::

C:\Dokumente und Einstellungen\Addy\Anwendungsdaten\UseNeXT
 

FileLook::

c:\windows\GPCIDrv.sys

c:\windows\system32\drivers\GVTDrv.sys

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Genotron

05.08.2009 18:17

Den Wald vor lauter Bäu... egal

True Image is wirklich ne gute sache - leider hatte ich die letzten monate Abi Prüfungsstress und dementsprechend alt sind leider auch meine sicherungen.
Hab meinen Pc schwer vernachlässigen müssen :(

Quickphrase is der rattenschwanz von TypingMaster
Ich mache quickphrase immer dann an wenn ich irgend nen Text in word o.ä. schreibe und wenn ich fertig bin analysiert das programm das ganze und gibt mir dann tipps wie ich meine 10 finger noch schneller bewegen kann.

welche tasten treffe ich überdurchschnittlich oft falsch usw.
ergo
TypingMaster = Programm zum erlernen oder trainieren des 10 Finger systems
Quickphrase = Keyboard monitor

1.) Deinstalliere:

* Loaris Trojan Remover 1.1
* Skype™ 3.2
* SuperAntiSpyware
* ThreatExpert Memory Scanner 1.0
* Vuze (Virenschleuder)
* ZoneAlarm Pro

Gemacht

Aber warum Zone Alarm??? das programm hat mir schon mal den arsch gerettet :confused:

Stardock zeugs auf das eingeschränkt was ich benutze

2.) Skype Installiert

3. ) svchost.exee hochgeladen

4.) cofi script vorbereitet ergebniss wird asap gepostet

Gruß Addy =)

john.doe

05.08.2009 18:28

Zitat:

Aber warum Zone Alarm??? das programm hat mir schon mal den arsch gerettet

Wie? Bei welcher Aktion genau?

ciao, andreas

Genotron

05.08.2009 19:03

Eine verlinkte Webseite (link durch dreiste popup werbung - "fake" schließen button) hat versucht 2 firefox plugins zu modifizieren

Zal hat mich drauf hingewiesen das die webseite das versucht und die aktion blockiert

glaub damals haben knapp ein drittel der benutzer dieses forums ihren pc neu aufgesetzt weil das ding anscheinend echt so bösartig war.
bzw das was firefox dann munter runtergeladen hat
habs selber aber nicht getestet =)

nu denn log ist im anhang.

lg Addy

/edit

btw jede ausführung löscht cofi alle anwendungsdateien für mein Mail Programm "The Bat" - is echt agressiv dieses combofix ^^

john.doe

05.08.2009 19:40

Zitat:

jede ausführung löscht cofi alle anwendungsdateien für mein Mail Programm "The Bat" - is echt agressiv dieses combofix

Ja. :D Der löscht gerne zuviel, genau wie ich. :) Wir können die Löschungen aber wieder rückgängig machen, falls es nötig ist. :daumenhoc

Das Schlimmste ist geschafft, die Rootkits sind tot. Jetzt müssen noch die Sachen, die nachgeladen wurden, entfernt werden, aber bei dir habe ich gar nicht soviel gesehen. Hast du dich frühzeitig gemeldet? Die ersten Schädlinge hatten das Datum von Gestern.

Bezgl. Zonealarm, ok, in dem Fall hat es dich tatsächlich geschützt, das ist aber die absolute Ausnahme. Lass ihn drauf oder installiere dir das zum Schluss wieder. Alternative wäre ein sicherer Browser wie Opera. Weil ihn wenige nutzen ist er nicht auf der Liste der Schädlingsprogrammierer. Lies aber, bevor du wieder installierst das hier.

1.) Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

2.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte.

ciao, andreas

Genotron

05.08.2009 20:10

Das die Zone Alarm Firewall keine wirewall an sich ist darüber bin ich informiert ;>

Meine Firewall ist in meiner Fritz box

was ich an Zal mag ist das er mir anzeigt welche programme z.b.
ins internet wollen
auf mein netzwerk zugreifen
sich in die bootliste eintragen wollen
sich selbsts verändert haben

usw =)

--------

hat die hochgeladene svchost.exee irgendwas verdächtiges gehabt?

weil seitdem das rootkit weg ist meldet eset dass hier

05.08.2009 8:58:46 PM Real-time file system protection file D:\System Volume Information\_restore{0F733ED7-1D20-466F-A3D7-9B6EA3FF2599}\RP98\A0026866.exe Win32/PSW.Agent.NMH trojan cleaned by deleting - quarantined NT-AUTORITÄT\SYSTEM Event occurred during an attempt to access the file by the application: C:\WINDOWS\system32\svchost.exe.

05.08.2009 7:20:03 PM Real-time file system protection file C:\System Volume Information\_restore{0F733ED7-1D20-466F-A3D7-9B6EA3FF2599}\RP98\A0026537.dll a variant of Win32/Kryptik.YL trojan cleaned by deleting - quarantined NT-AUTORITÄT\SYSTEM Event occurred on a file modified by the application: C:\WINDOWS\system32\svchost.exe.

05.08.2009 7:19:59 PM Real-time file system protection file C:\System Volume Information\_restore{0F733ED7-1D20-466F-A3D7-9B6EA3FF2599}\RP98\A0026536.sys probably a variant of Win32/Kryptik.TV trojan cleaned by deleting - quarantined NT-AUTORITÄT\SYSTEM Event occurred on a file modified by the application: C:\WINDOWS\system32\svchost.exe.

Der Panda scann läuft immo

lg Addy :>

/edit
Da ich eigentlich was die sicherheit meines rechners angeht recht besorgt bin und normalerweise mindestens jeden monat nen umfangreiches backup mache hat mich das rootkit jetzt echt auf nem kalten fuß erwischt.

Bin nicht der Fan von irgendwelchem Schweinskram free XXX passes usw
oder irgendwelcher torrents. Vuze z.b. habe ich nur benutzt um gesubte anime Serien herunterzuladen die zwar gut sind aber so unbekannt dass sie den spurng aus japan hier nach Deutschland warscheinlich nie schaffen werden :(
stammt aber alles vom subber meines vertrauens :>

ich habe wirklich keine Ahnung wie ich den ganzen scheiß (unbemerkt) bekommen habe.
Bisher habe ich immer wenn ich infiziert war gewusst dass ich infiziert bin und dementsprechend gegenmaßnahmen einleiten können :>

Aber diesesmal habe ich es nur dadurch bemerkt dass plötzlich jmd zuviel ein passwort kannte...

ich habe mich zwar zügig gemeldet allerding muss die schadsoftware welche mein pw geklaut hat bereits am 3 August(abends) aktiv gewesen sein. Ich habe dieses Passwort schon seit mehr als zwei Monaten(+) nicht mehr benötigt und nur am dritten August 1 mal eingegeben.

am vierten hab ichs dann gemerkt dass mein account hops ist und recherchen begonnen

mfg =)

john.doe

05.08.2009 20:28

Zitat:

was ich an Zal mag ist das er mir anzeigt welche programme z.b.
ins internet wollen

Das schafft die Windowsfirewall auch.

Zitat:

auf mein netzwerk zugreifen

Eben nicht, lies dir die Links in meinem Link durch.

Zitat:

hat die hochgeladene svchost.exee irgendwas verdächtiges gehabt?

Alleine der Name ist mehr als verdächtig. Hat sich aber als Textdatei mit dem Inhalt "blubb" herausgestellt. :) Lösche die Datei.

Zitat:

weil seitdem das rootkit weg ist meldet eset dass hier

Ja, seitdem die Rootkits weg sind, können deine ganzen "Sicherheitsprogramme" wieder arbeiten.

Vor dem Rootkit hat dich weder NOD noch Zonealarm schützen können, denk mal drüber nach. :)

Solange das Rootkit aktiv war, konnten deine ganzen "Sicherheitsprogramme" überhaupt nicht arbeiten, die waren komplett stillgelegt und völlig wirkungslos.

Du hast dir nicht zufällig etwas heruntergeladen und gestartet, dass den Namen Keygen, Crack, Patch o.ä. hatte? :D

Lies das hier und denke auch da drüber nach. :)

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

ciao, andreas

john.doe

05.08.2009 22:21

Zitat:

die zwar gut sind aber so unbekannt dass sie den spurng aus japan hier nach Deutschland warscheinlich nie schaffen werden

Das ist ja in Ordnung. Wenn du verantwortungsvoll damit umgehst, kannst du die auch P2P-Software installieren, nur eben niemals Programme laden. Gegen Filme ist, bis auf Urheberrechtsverletzungen, nichts einzuwenden. Trotzdem würde ich immer zuerst DDL versuchen.

Zitat:

Bisher habe ich immer wenn ich infiziert war gewusst dass ich infiziert bin

Passiert das häufiger? Dann machst du einen grundsätzlichen Fehler. Klicke auf die letzten beiden Links in meiner Signatur.

Alleine die Tatsache, dass du dich auf deine "Sicherheitsprogramme" verlässt, zeigt, dass du es noch nicht wirklich verstanden hast.

ciao, andreas

Genotron

05.08.2009 22:27

panda scann bis "kurz" vor schluss (500k dateien von ca 510k)

-> Systemabsturz

War gerade bei meinen Bildern welche auch noch die restlichen 10k dateien füllen

Ich schau mal obs reproduzierbar ist =)
Hat bis dahin auch verdächtige dateien gefunden
mehr wie prevx

ht*p://img411.imageshack.us/i/prevx.jpg/
beide dateien findet eset übrigens normal

anyway 100k hat panda schon wieder durchsucht ;>
wer sucht der findet - abwarten^^

lg Addy

/edit

häufig? definitionssache ^^ warn jetzt 2 mal in 5 jahren
+ die Zal geschichte

auf die Sicherheitsprogramme verlasse ich mich nicht.
Ich bin sogar der meinung das gegen einen gut programmierten Virus/trojaner/wurm etc der auf mein System zugeschnitten ist (z.b. Firefox user) mein Virenprogramm machtlos ist.
allerdings konnte mir bisher niemand sagen wie ich es effizient präventiv verhindern kann mir dementsprechendes einzufangen.
Ein Link zuviel in google angeklickt
einer mit ner infizierten tragbaren bei der letzten lan party
usw, gibt so viele eventualitäten
und

Bisher habs ich so gehalten dass ich mich von der ganzen Free flash game Free xxx movies Free whatever Seiten ferngehalten habe, bzw was open source Software angeht erst recherchiert dann installiert habe.
Und was risikofaktiren wie P2P software oder eines der zahllosen chat programme, emails versucht habe diese bewusst zu benutzen.
Was mir dabei zu gute kommt ist dass ich weis dass meine freunde endlose labertaschen sind. Und ich selbst relativ vorsichtig ;>
Nen link mit Hey Adi hier die Fotos von gestern nacht würde mir nie jmd schicken ^^

ergo versuche ich die Risiken zu minimieren und dabei aber trotzdem "auf meine kosten" zu kommen
ist für mich kein Rechner mit dem Geld bewegt wird, deshalb find ich das ganze eigentlich aktzeptabel
und für den fall das doch mal was ist habe ich eigentlich meine Backups
die ich die letzten monate wegen dem scheiß rl stress sträflich vernachlässigt habe
die quittung dafür sehe ich ja momentan vor mir :S

Deswegen bin ich dir auch super super unendlich dankbar wenn ich die letzten ~6 monate nicht verliere sondern du (wir) das ganze wieder in den griff kriegst :)

Bei dem ganzen gelaber hier fall ich übrigens aus allen wolken ...
so ziemlich genau als vor 3 tagen bin ich durch zufall direkt auf nen "komischen" link gegangen weil ich in diesem moment aus nem spiel rausgetabbt bin und trillian(mein chat programm) das fenster genau an dieser stelle unter meiner maus geöffnet hat.
Das könnte mein infektionsurprung sein - war so ne kettenbrief variante bei der man ne frau nackig machen kann ...
Ich depp manchmal vergess ich an die offensichtlichsten sachen zu denken :S
Achtung - verseuchte Url(?)
ht*p://mein-erstes-mal.net/?id=3172447

Grüße Addy

john.doe

05.08.2009 22:34

Da wird noch mehr sein. Die erste wird mit Sicherheit ein Schädling sein. Lade die Dateien bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html (nur Schritt 2)

Das Filelisting kannst du auch erstellen, solange Panda läuft. Versuche zu ermitteln, wo genau (Pfad) er abstürzt.

Erstelle ein Filelisting.

Lade die Datei listing1.bat auf deinen Desktop
Doppelklicke auf listing1.bat
Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. www.materialordner.de) hochladen und hier den Link posten.

ciao, andreas

Edit:
Die Edits nerven und sind schwer zu lesen. Lieber ein neues Post, kostet ausnahmsweise auch nichts extra. :)

Die Url ist nicht verseucht (zumindest nicht für Opera), das ist nur eine der üblichen Abzockerseiten.

Zitat:

Die 30 Tage Softerotik Mitgliedschaft kostet 59 Euro incl. Mwst.

Wie üblich, ganz klein und nur zu finden, wenn man danach sucht. :D

Genotron

05.08.2009 23:43

Beides Gemacht :)

http://www.materialordner.de/u16pzrR...5P1bOk6oE.html

panda sollte bald abstürzen (oder weitermachen :D)

Addy

/edit Ok meister =)

lg

john.doe

06.08.2009 00:13

Code:

Datei bhjlxduuwq.exe empfangen 2009.08.05 23:09:55 (UTC)

Status:    Beendet 

Ergebnis: 18/41 (43.91%) 

 Filter 

Drucken der Ergebnisse  Antivirus        Version        letzte aktualisierung        Ergebnis

a-squared        4.5.0.24        2009.08.05        Packed.Win32.Krap!IK

AhnLab-V3        5.0.0.2        2009.08.05        Win-Trojan/Runner.31488

AntiVir        7.9.0.240        2009.08.05        TR/Runner.PX

Antiy-AVL        2.0.3.7        2009.08.05        Trojan/Win32.Runner.gen

Authentium        5.1.2.4        2009.08.05        -

Avast        4.8.1335.0        2009.08.05        Win32:Spyware-gen

AVG        8.5.0.406        2009.08.05        Win32/Cryptor

BitDefender        7.2        2009.08.06        -

CAT-QuickHeal        10.00        2009.08.05        -

ClamAV        0.94.1        2009.08.05        -

Comodo        1879        2009.08.06        -

DrWeb        5.0.0.12182        2009.08.05        -

eSafe        7.0.17.0        2009.08.05        Suspicious File

eTrust-Vet        31.6.6660        2009.08.05        -

F-Prot        4.4.4.56        2009.08.05        -

F-Secure        8.0.14470.0        2009.08.05        -

Fortinet        3.120.0.0        2009.08.05        -

GData        19        2009.08.06        Win32:Spyware-gen 

Ikarus        T3.1.1.64.0        2009.08.05        Packed.Win32.Krap

Jiangmin        11.0.800        2009.08.05        -

K7AntiVirus        7.10.811        2009.08.05        -

Kaspersky        7.0.0.125        2009.08.06        Packed.Win32.Krap.s

McAfee        5699        2009.08.05        -

McAfee+Artemis        5699        2009.08.05        Artemis!5B7AF02CED03

McAfee-GW-Edition        6.8.5        2009.08.06        Trojan.Runner.PX

Microsoft        1.4903        2009.08.04        TrojanSpy:Win32/Bebloh.A

NOD32        4310        2009.08.05        -

Norman        6.01.09        2009.08.05        -

nProtect        2009.1.8.0        2009.08.05        -

Panda        10.0.0.14        2009.08.05        Suspicious file

PCTools        4.4.2.0        2009.08.05        -

Prevx        3.0        2009.08.06        High Risk Cloaked Malware

Rising        21.41.24.00        2009.08.05        -

Sophos        4.44.0        2009.08.05        Mal/EncPk-JO

Sunbelt        3.2.1858.2        2009.08.05        Bulk Trojan

Symantec        1.4.4.12        2009.08.06        -

TheHacker        6.3.4.3.377        2009.08.05        -

TrendMicro        8.950.0.1094        2009.08.05        -

VBA32        3.12.10.9        2009.08.05        -

ViRobot        2009.8.5.1869        2009.08.05        -

VirusBuster        4.6.5.0        2009.08.05        Trojan.Runner.EY

weitere Informationen

File size: 31488 bytes

MD5...: 5b7af02ced03ed2f0cb358a3fb1a248d

SHA1..: 48e6ee56984df873b5dbdafa29486cb2e6a841bd

SHA256: e9e3b84787bae717b8890805e2fac13ccc57c65898179b5d80bfcae2e8e5c90e

ssdeep: 768:6IHp0HsfWxj7d1vHp0QDltlCmBawjLmoIB6ZgksowQsALK:r0MfWdDpT5tAw

3m7M3Ps+K

PEiD..: Armadillo v1.71

TrID..: File type identification

Win32 Executable MS Visual C++ 4.x (85.8%)

Win32 Executable Generic (5.4%)

Win32 Dynamic Link Library (generic) (4.8%)

Win16/32 Executable Delphi generic (1.3%)

Generic Win/DOS Executable (1.2%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x66d8

timedatestamp.....: 0x47d7b1a6 (Wed Mar 12 10:34:14 2008)

machinetype.......: 0x14c (I386)
 

( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x5bd8 0x5c00 7.94 85686c5d3b82907422d1341f967e0072

.rdata 0x7000 0x9dd 0xa00 6.55 842c1c66147fe5d01faa4b477fbcd90a

.data 0x8000 0x1d523 0x800 5.81 1cda33900ccdc8fb9a5fe2ffff671813

.reloc 0x26000 0x79e 0x800 6.51 3a7c10e794a4297cfe5ab77c2c90a630
 

( 2 imports ) 

> KERNEL32.dll: GetModuleHandleA, GetLastError, GetCommandLineA, ExitProcess, GetModuleFileNameA, LoadLibraryA, GetVersion, GetTickCount, GetCurrentThreadId, GetSystemTimeAsFileTime, SetTermsrvAppInstallMode

> MSVCRT.dll: strtoul, _getcwd, memcmp, _splitpath, _wfullpath, realloc, wcsncat, strcpy, fclose, _access, __mb_cur_max, _beginthread, srand
 

( 0 exports ) 

PDFiD.: -

RDS...: NSRL Reference Data Set

-

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=7826CCBF0080A3257B5100713E9D6B00466A4AF4' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=7826CCBF0080A3257B5100713E9D6B00466A4AF4</a>

packers (Antiy-AVL): Armadillo 1.71

Da hast du deinen Passwortstehler:

Code:

Datei msxm192z.dll empfangen 2009.08.05 23:18:53 (UTC)

Status:    Beendet 

Ergebnis: 15/41 (36.59%) 

 Filter 

Drucken der Ergebnisse  Antivirus        Version        letzte aktualisierung        Ergebnis

a-squared        4.5.0.24        2009.08.05        -

AhnLab-V3        5.0.0.2        2009.08.05        -

AntiVir        7.9.0.240        2009.08.05        TR/Agent.Bongler.B

Antiy-AVL        2.0.3.7        2009.08.05        -

Authentium        5.1.2.4        2009.08.05        W32/Bongler-based!Maximus

Avast        4.8.1335.0        2009.08.05        -

AVG        8.5.0.406        2009.08.05        -

BitDefender        7.2        2009.08.06        -

CAT-QuickHeal        10.00        2009.08.05        -

ClamAV        0.94.1        2009.08.05        -

Comodo        1879        2009.08.06        -

DrWeb        5.0.0.12182        2009.08.06        Trojan.NtRootKit.origin

eSafe        7.0.17.0        2009.08.05        -

eTrust-Vet        31.6.6660        2009.08.05        -

F-Prot        4.4.4.56        2009.08.05        W32/Bongler-based!Maximus

F-Secure        8.0.14470.0        2009.08.05        Trojan-GameThief.Win32.OnLineGames.bmoi

Fortinet        3.120.0.0        2009.08.05        PossibleThreat

GData        19        2009.08.06        -

Ikarus        T3.1.1.64.0        2009.08.05        -

Jiangmin        11.0.800        2009.08.05        -

K7AntiVirus        7.10.811        2009.08.05        -

Kaspersky        7.0.0.125        2009.08.06        Trojan-GameThief.Win32.OnLineGames.bmoi

McAfee        5699        2009.08.05        -

McAfee+Artemis        5699        2009.08.05        Artemis!62367F4BDB91

McAfee-GW-Edition        6.8.5        2009.08.06        Heuristic.LooksLike.Trojan.Agent.Bongler.P

Microsoft        1.4903        2009.08.04        -

NOD32        4310        2009.08.05        -

Norman        6.01.09        2009.08.05        -

nProtect        2009.1.8.0        2009.08.05        Trojan/W32.Agent.28672.WT

Panda        10.0.0.14        2009.08.05        Suspicious file

PCTools        4.4.2.0        2009.08.05        -

Prevx        3.0        2009.08.06        Medium Risk Malware

Rising        21.41.24.00        2009.08.05        -

Sophos        4.44.0        2009.08.05        Mal/Behav-170

Sunbelt        3.2.1858.2        2009.08.05        Bulk Trojan

Symantec        1.4.4.12        2009.08.06        Trojan Horse

TheHacker        6.3.4.3.377        2009.08.05        -

TrendMicro        8.950.0.1094        2009.08.05        -

VBA32        3.12.10.9        2009.08.05        -

ViRobot        2009.8.5.1869        2009.08.05        -

VirusBuster        4.6.5.0        2009.08.05        -

weitere Informationen

File size: 28672 bytes

MD5...: 62367f4bdb91484922fa68e71aa0faf0

SHA1..: fd7a7216637abc19747844bf5a24a2dd450c54c5

SHA256: 13b0e58d943a285ea02aabbede23094e088850535a594e0a802e442221c50d5d

ssdeep: 192:igeTC+SRnvgu+lGXhGc/1L4qIvLHZ6qmbqN11IOHO+kKpOYfyCyd:igeTzSR

noat/1NqLgq1NblkKMYqC

PEiD..: Armadillo v1.xx - v2.xx

TrID..: File type identification

Win32 Executable Generic (42.3%)

Win32 Dynamic Link Library (generic) (37.6%)

Generic Win/DOS Executable (9.9%)

DOS Executable Generic (9.9%)

Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x2d5d

timedatestamp.....: 0x4a70f454 (Thu Jul 30 01:16:04 2009)

machinetype.......: 0x14c (I386)
 

( 5 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x1e46 0x2000 6.33 50d70248fe66e1358fba153ef4c59b33

.rdata 0x3000 0x53e 0x1000 2.05 719c95acc2d120fa6f852de848b415d6

.data 0x4000 0x297c 0x1000 0.70 bfd86f6a11db6626b01ccfc964d72fdf

.rsrc 0x7000 0x360 0x1000 0.89 fe6ce800a07b99c2dc4d0fbac860a475

.reloc 0x8000 0x20e 0x1000 0.92 9b9074a30d65916f49ae4a3970497892
 

( 5 imports ) 

> KERNEL32.dll: CloseHandle, GetCurrentProcess, CreateThread, GetSystemInfo, GetTempPathA, Sleep, lstrcmpiA, GetVersionExA, GetModuleHandleA, GetProcAddress, GetModuleFileNameA

> USER32.dll: GetSystemMetrics, CallNextHookEx, DispatchMessageA, TranslateMessage, GetMessageA, SetWindowsHookExA, wsprintfA, CharLowerA

> ADVAPI32.dll: RegOpenKeyExA, AdjustTokenPrivileges, LookupPrivilegeValueA, OpenProcessToken, RegQueryValueExA, RegSetValueExA, RegCreateKeyA, RegCloseKey

> MSVCRT.dll: _initterm, _adjust_fdiv, _stricmp, _splitpath, malloc, free, sprintf, atoi, strchr, strncmp, _except_handler3, strstr

> WS2_32.dll: -, -, -, -, -, -, -, -, -
 

( 3 exports ) 

AR, GetVer, w

PDFiD.: -

RDS...: NSRL Reference Data Set

-

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=4D6D97FE007C4CB4701C001F166A0F003A76B8B2' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=4D6D97FE007C4CB4701C001F166A0F003A76B8B2</a>

Die haben ein gefälschtes Datum, die verstecken sich zwischen den Installationsdateien und sind im Filelisting so gut wie nicht auszumachen. Zudem lässt sich nicht ermitteln, wann genau die Infektion stattgefunden hat. :(

ciao, andreas

Edit:
Das hier würde ich ganz schnell aus den Favoriten verschwinden lassen:

Zitat:

Verzeichnis von C:\Dokumente und Einstellungen\Addy\Favoriten
14.07.2009 10:58 122 Serials & keys - unlocks the world.URL

Genotron

06.08.2009 01:29

diesmal hat panda fertiggescannt (komplett)

weitergeleitet zur zusammenfassung
die war kurz da (mit dem mehr oder weniger lustigen bruce-gesicht)
und dann hat sich firefox verabschiedet =)

die seite mit den ergebnissen krieg ich nicht wiederhergestellt :/

3 1/2 std hat er nun gebraucht

ich hau mich hin, auch ne eule braucht schlaf ;>

p.s. wie krieg ich die leecher nun endgültig vom rechner?
die zeigen sich beide recht reproduktionsfreudig... :S

lg Addy

Genotron

06.08.2009 13:12

hab jetzt nochmal versucht panda durchlaufen zu lassen.
Hat komplett gescannt und dann firefox aufgehängt

hab mich bei der seite aber mal registriert
und dass hat sie sich von dem scann gestern nacht noch gemerkt ...
h*tp://img146.imageshack.us/i/pandac.jpg/
damit weiß ich wenigstens dass ich nichts weiß =)

Gruß Addy

Genotron

06.08.2009 16:18

der Firefox absturz über den panda scann nach beendigen desselben ist problemlos reproduzierbar...

john.doe

06.08.2009 16:37

Das 19 gefunden wurden ist schön und gut, ich brauche aber Namen und Pfade. :(

Hast du denn zumindest den Pfad, bei dem Panda abstürzt? Dann kopiere den Ordner auf einen externen Datenträger und lösche den Ordner.

Oder teste das Ganze mit dem MSIE, dafür ist er ja zu Gebrauchen.

ciao, andreas

Genotron

06.08.2009 22:17

er stürzt erst ab wenn er den scann beendet hat

d.h. 100% -> weiterleitung zur zusammenfassung *bum*

ie werd ich asap ausprobieren

hab heute aber keine 3 1/2 std mehr :D

john.doe

06.08.2009 22:22

Dann halt morgen, bin aber erst abends wieder on.

ciao, andreas

Genotron

07.08.2009 15:07

Hat mit dem IE geklappt log ist im anhang.

Jetzt nerft noch svchost.exe

06.08.2009 11:16:39 PM Real-time file system protection file D:\System Volume Information\_restore{0F733ED7-1D20-466F-A3D7-9B6EA3FF2599}\RP98\A0026875.exe a variant of Win32/Injector.TW trojan cleaned by deleting - quarantined NT-AUTORITÄT\SYSTEM Event occurred on a file modified by the application: C:\WINDOWS\system32\svchost.exe.

msxm192z.dll mein toller keylogger

und was diese tracking cookies sind weiß ich nicht - nach nem neustart hab ich diese jedoch nocht mehr gefunden.

Gruß Addy

p.s. Prevx findet nur noch meinen Keylogger (will den aber ohne lizenz aber auch nicht entfernen :D)

john.doe

07.08.2009 16:53

Zitat:

und was diese tracking cookies sind weiß ich nicht - nach nem neustart hab ich diese jedoch nocht mehr gefunden.

Das sind kleine Textdateien, die völlig ungefährlich sind und nur Surfverhalten protokollieren. Simple Datenträgerbereinigung oder entsprechende Browsereinstellungen löschen die automatisch.

Die meisten Funde sind in der Systemwiederherstellung.

1.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

2.) Deinstalliere Panda Active Scan.

3.) Start => Ausführen => combofix /u => OK

4.) Lade dir ein neues ComboFix auf deinen Desktop.

5.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

File::

C:\WINDOWS\system32\msxm192z.dll

C:\WINDOWS\system32\RENA699.tmp

c:\windows\system32\zllictbl.dat

c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat

D:\Aufräumen plx\Desktop2\CryptLoad_1.0.4\plugins\rapidbolt.com.dll

D:\Aufräumen plx\Desktop2\CryptLoad_1.0.4\plugins\rs.dr.ag.0.dll  

D:\Basics\Programme\CryptLoad_1.1.4\ocr\rapidshare.com\asmCaptcha\test.exe

D:\Basics\Programme\CryptLoad_1.1.4\ocr\netload.in\asmCaptcha\test.exe

C:\Dokumente und Einstellungen\Addy\Desktop\avenger.zip

C:\Dokumente und Einstellungen\Addy\Desktop\avenger\avenger.exe

c:\avenger.txt
 

Folder::

c:\avenger

C:\rsit

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Genotron

07.08.2009 17:47

Hier das log :)

Das Cofi gerne meinem mail programm auf den zeiger geht und auch sonst viel löscht habe ich ja bereits gemerkt ;>

aber ist es normal dass das programm die anzeige der dateierweiterungen deaktiviert? !
(hat es ja bisher nicht gemacht + !kann ich gar nicht leiden! :D)

Grüßle Addy

john.doe

07.08.2009 18:02

Tja, da musst du nun durch. Mir gefällt das auch nicht. Da sind neue Einträge aufgetaucht. Hast du irgendetwas installiert?

1.) Deinstalliere:

PrevxCSI
Panda Online Scan

2.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

File::

c:\windows\system32\drivers\cvldiuhr.sys
 

Driver::

XVU

VGUKHFYH

evwekv
 

Registry::

[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Windows Search.lnk]

[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]

[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Erinnerungen in Microsoft Works-Kalender.lnk]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-
 

Folder::

c:\dokume~1\Addy\LOKALE~1\Temp

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Genotron

07.08.2009 18:35

Ich habe heute lediglich Bilder ausgemistet und einen großteil gelöscht.

Das einzige was ich heute mit ausführbarem code installiert bzw deinstalliert habe war ein animierter bildschirmschoner.
Dessen überreste sind allerdings bereits im virtuellen nirvana verschwunden

(abgesehen von deinen anweisungen ;>)

Gruß Addy

p.s. Habe die wichtigsten einstellungen (dateiendungen, versteckte dateien, systemordner anzeigen) wiederhergestellt

wurde diesesmal auch nichts wieder verändert
(zumindest dass was ich überprüft habe)

Genotron

07.08.2009 19:39

Nachtrag

Ich lass den rechner seitdem das passwort flöten gegangen ist "unangetastet".

Wenn überhaupt merze ich alten kram aus =)
Deinstalliere überflüssiges
"Uniblue und Stardock gelumpe" :)

hatte genug damit zu tun von nem sauberen system aus sämtliche passwörter zu verändern :)
Infektionsdatum nicht bestimmbar - beschde ! :D
is aber zum glück nichts weiter weggekommen und geändert hab ich nun auch alle ;>

ergo nein installiert wurde nichts aber deinstalliert :>

Addy

john.doe

07.08.2009 19:45

Zitat:

Deinstalliere überflüssiges "Uniblue und Stardock gelumpe"

Jede Wette, der Rechner ist jetzt deutlich schneller.

Zitat:

Infektionsdatum nicht bestimmbar - beschde !

Spielt eh keine Rolle, die arbeiten mit gefälschten Daten, ein Filelisting ist nutzlos.

Zitat:

ergo nein installiert wurde nichts aber deinstalliert

OK, das erklärt dann einiges.

Ich brauche nochmal frische RSIT-Logs, damit ich auf dem laufenden bin.

ciao, andreas

Genotron

07.08.2009 20:09

Sagt dir "AdvertisingCenter" etwas?

War in meiner software liste und wurde schon gelöscht.
Allerdings hab ich das (bewusst) nie installiert ...

Rsit logs im anhang

john.doe

07.08.2009 20:19

Zitat:

Sagt dir "AdvertisingCenter" etwas?

Ja.

Zitat:

War in meiner software liste und wurde schon gelöscht.
Allerdings hab ich das (bewusst) nie installiert ...

Warst du auch nicht, das hat das Rootkit erledigt. Die verdienen Geld damit, ungefragt Rogue und Scareware zu installieren.

Je mehr Rechner infiziert werden, desto mehr Geld bekommen sie. Einige fallen auf Scareware und Rogue herein und bezahlen für nichts. So läuft das Geschäft.

Solange ich Logs lese, kannst du weiterscannen. Mir gefällt dein AVP überhaupt nicht, es erkennt ja so gut wie gar nichts. Mir wäre es lieb, wenn du das zeitweise deinstallierst und stattdessen damit scannst => http://www.trojaner-board.de/54192-a...tellungen.html

Kannst danach wieder installieren. Dann noch

1.) Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Online Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

2.) http://www.trojaner-board.de/59299-a...eb-cureit.html

ciao, andreas

Genotron

07.08.2009 21:19

dachte mehr so daran ob dir das installierte insofern was sagt dass du wüsstest was es macht ;>

bin ja leider nicht dein erster fall :)

scanne immo mit Avira "fullscann"

cureit habe ich vorbereitet

mit dem kaspersky online scanner hab ich immo noch nen problem
der will dass ich die activeX elemente für ALLE benutzer installiere (ergo Administrator)
ich weiß nicht wie ich dass hinbekommen könnte ohne im abgesicherten modus zu starten - und dann hab ich ja selbst im "mit netzwerktreibern" Modus kein Internet um da irgendwas runterzuladen

Als Administrator starten hilft nicht (also den prozess) ... ka sry ;>

Gruß Addy

john.doe

07.08.2009 21:34

Dann lasse Kaspersky weg, der macht häufiger Ärger und bei den TDSS-Varianten hängt er eh immer zurück. Habe gerade wieder eine Analyse, achte auf Kaspersky und NOD. :D

Code:

Datei UACymophqiafd.dll.vir empfangen 2009.08.07 20:38:35 (UTC)

Status:    Beendet 

Ergebnis: 18/41 (43.91%) 

 Filter 

Drucken der Ergebnisse  Antivirus        Version        letzte aktualisierung        Ergebnis

a-squared        4.5.0.24        2009.08.07        Trojan.Win32.FakeCog!IK

AhnLab-V3        5.0.0.2        2009.08.07        Win-Trojan/Alureon.20480.B

AntiVir        7.9.0.248        2009.08.07        TR/Alureon.20480C.1

Antiy-AVL        2.0.3.7        2009.08.07        -

Authentium        5.1.2.4        2009.08.07        -

Avast        4.8.1335.0        2009.08.07        Win32:Fasec

AVG        8.5.0.406        2009.08.07        -

BitDefender        7.2        2009.08.07        -

CAT-QuickHeal        10.00        2009.08.07        -

ClamAV        0.94.1        2009.08.07        -

Comodo        1901        2009.08.07        -

DrWeb        5.0.0.12182        2009.08.07        -

eSafe        7.0.17.0        2009.08.06        Win32.Metajuan

eTrust-Vet        31.6.6665        2009.08.07        Win32/Alureon.AEU

F-Prot        4.4.4.56        2009.08.07        -

F-Secure        8.0.14470.0        2009.08.07        -

Fortinet        3.120.0.0        2009.08.07        -

GData        19        2009.08.07        Win32:Fasec 

Ikarus        T3.1.1.64.0        2009.08.07        Trojan.Win32.FakeCog

Jiangmin        11.0.800        2009.08.07        -

K7AntiVirus        7.10.813        2009.08.07        Trojan.Win32.Malware.1

Kaspersky        7.0.0.125        2009.08.07        -

McAfee        5701        2009.08.07        -

McAfee+Artemis        5701        2009.08.07        Artemis!B91C01DC687B

McAfee-GW-Edition        6.8.5        2009.08.07        Trojan.Alureon.20480C.1

Microsoft        1.4903        2009.08.07        Trojan:Win32/Alureon.gen!C

NOD32        4316        2009.08.07        -

Norman        6.01.09        2009.08.07        -

nProtect        2009.1.8.0        2009.08.07        -

Panda        10.0.0.14        2009.08.07        Generic Trojan

PCTools        4.4.2.0        2009.08.07        -

Prevx        3.0        2009.08.07        High Risk Rootkit

Rising        21.41.44.00        2009.08.07        -

Sophos        4.44.0        2009.08.07        Mal/TDSSPack-A

Sunbelt        3.2.1858.2        2009.08.07        FraudTool.Win32.Antivirus2010 (v)

Symantec        1.4.4.12        2009.08.07        Trojan.Metajuan

TheHacker        6.3.4.3.377        2009.08.05        -

TrendMicro        8.950.0.1094        2009.08.07        -

VBA32        3.12.10.9        2009.08.07        -

ViRobot        2009.8.7.1873        2009.08.07        -

VirusBuster        4.6.5.0        2009.08.07        Trojan.Alureon.GHE

weitere Informationen

File size: 20480 bytes

MD5...: b91c01dc687b2984ef4e4f1515ae3ee7

SHA1..: 3bd74815fd9c35977e61f8baa97b04fdf090d9f4

SHA256: a9122a3910802b1ead8d6f00a297f87e6b959550e7424dd86ececdb1184ff57e

ssdeep: 384:gzcC4OhnJJM5GkJRGNEsBjYofnUUNWKnY8Kdb4:gzgOhJG5b3GNEslTcLOY8

w4

PEiD..: -

TrID..: File type identification

Win32 Executable Generic (38.5%)

Win32 Dynamic Link Library (generic) (34.2%)

Clipper DOS Executable (9.1%)

Generic Win/DOS Executable (9.0%)

DOS Executable Generic (9.0%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x144b

timedatestamp.....: 0x4a6dac34 (Mon Jul 27 13:31:32 2009)

machinetype.......: 0x14c (I386)
 

( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

.itext 0x1000 0x5000 0x1000 3.28 7746f36f01baba7e72648d162ba891a0

.lrq1lr 0x6000 0x4000 0x3000 7.89 c4db749f1c034691ee7595a2a682ecb0

.idata 0xa000 0x13f4 0x800 1.36 4be6a1429a8a3ac0bfb4c767d8e9444d

.rsrc 0xc000 0x1000 0x400 4.90 c62ad4659b964cb29d7f78d3d13fb291
 

( 2 imports ) 

> kernel32.dll: GetProcAddress, GetProcessVersion, CopyFileA, VirtualProtectEx, ExitProcess

> user32.dll: CharUpperA, CheckMenuItem, EmptyClipboard, DeferWindowPos
 

( 4 exports ) 

GetAqjmuji, ReadWluwlgj, CloseSgkleair, Nhdhvqrsnxg

PDFiD.: -

RDS...: NSRL Reference Data Set

-

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=2BEE27F7000A34735027002DDDE82A0039E4E287' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=2BEE27F7000A34735027002DDDE82A0039E4E287</a>

ciao, andreas

Genotron

07.08.2009 21:44

... :S

könnte man ja auch einfach irgend nen script laufen lassen das ram für sich beansprucht ;>

ich lass ma avira fertig scannen und entscheide dann ob ich
"vorsicht scann kann mehrere stunden dauern"
noch n paar std im abgesicherten modus verbringe :)

wenn du lustig bist kannst du mir auch gerne sagen mit welchen Virenscannern du (besonders) positive erfahrungen gemacht hast.
Um Werbeflames vorzubeugen gerne auch als pm :)

dauerhaft zu wechseln wäre nichts vor dem ich zurückschrecke
eher davor selber die scanner zu vergleichen ... zu undurchsichtige werbung
zu wenig offener quellcode :D
zu wenig erfahrung :S

Gruß Addy

john.doe

07.08.2009 21:54

Zitat:

mit welchen Virenscannern du (besonders) positive erfahrungen gemacht hast.

Das werde ich laufend gefragt, dazu gibt es mindestens 1000 Threads.
http://www.trojaner-board.de/453090-post29.html
http://www.trojaner-board.de/450548-post5.html
http://www.trojaner-board.de/75833-w...erleitung.html

ciao, andreas

Genotron

07.08.2009 22:18

brain.exe ... was hast du eigentlich alles für scheiß links?

und ich hab auch noch fast geglaubt ...

man man man :)

http://www.pcfreunde.de/forum/t24886/woher-bekomme-ich-brain-exe/

göttlich :D

lg Addy

john.doe

07.08.2009 22:34

Zitat:

göttlich

Ja, aber leider auch traurig, denn die Anzahl der Leute steigt, die ein AVP, dann noch Spybot, jetzt bin ich sicherer, ne, noch AdAware, dann bin ich noch sicherer, ne, noch ZoneAlarm, jetzt bin ich wirklich sicher, ne, da gibt es ja jetzt noch OnlineArmor, damit bin ich wirklich sicher und dann ein Keygen laden und sich wundern, warum denn nun der Rechner infiziert ist, bei soviel Sicherheit. :headbang:

Brain.exe hätte gereicht, aber das läuft irgendwie nicht bei jedem so richtig. :D

ciao, andreas

Genotron

07.08.2009 22:55

Avira hat fertig ...

ich habe mir erlaubt die offensichtlichen false positives wiederherzustellen

D:\Basics\Programme\CryptLoad_1.1.4\router\FRITZ!Box\nc.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.NetCat.B-Programmes
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4aaa9f32.qua' verschoben!

Kryptload = Programm um anonym posten / hochladen zu können

C:\Qoobox\Quarantine\C\Dokumente und Einstellungen\****\Desktop\avenger\avenger.exe.vir
[FUND] Ist das Trojanische Pferd TR/Trash.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ae19f3f.qua' verschoben!

Avenger hab ich da gelasssen wo er is ... brauch ich atm nicht ;>

logfile im anhang

/edit dann mal ab in den abgesicherten ... wenns zu lange geht mach ichs morgen (fertig)

Gruß Addy

john.doe

07.08.2009 23:04

Zitat:

ich habe mir erlaubt die offensichtlichen false positives wiederherzustellen

Avenger kann weg bleiben, den brauchen wir nicht mehr und wenn doch, wird er wieder geladen. :)

1.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

2.) Start => Ausführen => combofix /u => OK

ciao, andreas

Genotron

08.08.2009 11:21

naja cureit braucht wohl noch pi mal daumen 4-5 std

zumindest wenns mit der geschwindigkeit weiterscannt ;>

bin hier übern sauberes system drin und wollt mal schaun was es neues gibt :)
(zuviel zeit um anderes zu tun)

Gruß Addy

john.doe

08.08.2009 12:55

Liste der Anhänge anzeigen (Anzahl: 1)

1.) Lade dir den Anhang auf deinen Desktop => doppelklicke auf Genotron.reg => klicke auf Ja => lösche Genotron.reg.

2.) Lösche die Ordner

Code:

C:\rsit

C:\WINDOWS\isRS-000.tmp

C:\Programme\Desktop Butterflies 3D Screensaver

C:\Programme\Panda Security

3.) Lösche die Dateien

Code:

C:\ComboFix.txt

C:\WINDOWS\system32\svchost.exee

4.) Stell sicher, daß Dir auch alle Dateien angezeigt werden und kontrolliere den Inhalt der Ordner

Code:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\~0

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\~1

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\~2

5.) Deinstalliere:

Apple Software Update

6.) Lade die Datei

Code:

C:\WINDOWS\system32\drivers\anarpokw.sys

bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html

ciao, andreas

Genotron

08.08.2009 17:21

1. Gemacht

2. C:\WINDOWS\isRS-000.tmp existiert nicht

ich + suche Findet nichts - alle dateien inkl systemdateien werden bereits angezeigt

3. Gemacht

4. Inwiefern kontrollieren?

5. Gemacht

6. Datei existiert nicht

curit log im anhang ... 7 lange stunden :D

p.s. Systemwiederherstellung wurde erst Nach dem scann deaktiviert

/edit combofix deinstalliert

Gruß Addy

john.doe

08.08.2009 17:23

Zitat:

Inwiefern kontrollieren?

Gibt es Dateien, insbesondere ausführbare Programme in den Ordnern?

Deinstalliere DrWeb. Lösche danach den Ordner von DrWeb.

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

ciao, andreas

Genotron

08.08.2009 17:42

Code:

 Datenträger in Laufwerk C: ist Lokaler Datenträger

 Volumeseriennummer: ********
 

 Verzeichnis von C:\Dokumente und Einstellungen\All Users\Anwendungsdaten
 

08.08.2009  18:36    <DIR>          .

08.08.2009  18:36    <DIR>          ..

07.06.2009  23:39    <DIR>          {5CB3B214-2971-41B4-93F5-3344A403F942}

07.06.2009  19:04    <DIR>          Acronis (true image scripte)

07.08.2009  21:56    <DIR>          Avira (viel avira kram ...)

02.07.2009  23:22    <DIR>          Installations (teile der software um mein handy mit dem pc zu verbinden)

18.07.2009  09:49    <DIR>          Malwarebytes (...)

27.06.2009  20:59    <DIR>          Microsoft (viel windows kram ...)

12.07.2009  13:54    <DIR>          Microsoft Help (dito)

02.07.2009  23:23    <DIR>          Nokia (noch mehr fürs handy)

05.08.2009  19:55    <DIR>          Skype (skype profilbilder)

07.06.2009  23:16    <DIR>          Windows Genuine Advantage (windows)

08.08.2009  18:36                30 Dateiliste.bat mein script

07.06.2009  19:26                62 desktop.ini

08.08.2009  18:36                 0 dateiliste.txt deine datei

               3 Datei(en)             92 Bytes

              13 Verzeichnis(se), 28.458.983.424 Bytes frei

jap is zeugs drinauch ausführbarer code

Gruß Addy

Genotron

08.08.2009 17:46

dr web gelöscht inkl ordner

Systemwiederherstellung ist bereits deaktiviert

war nu während dem web scann noch an =)

Gruß addy

john.doe

08.08.2009 17:55

Es ging nur um die Ordner ~0, ~1 und ~2, aber das waren wohl nur temporäre.

Starte HJT => Do a system scan only => Markiere:

Code:

Alle R0, R1, O8 und O22-Einträge

O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray

O4 - HKCU\..\Run: [Uniblue RegistryBooster 2009] C:\Programme\Uniblue\RegistryBooster\RegistryBooster.exe /S

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

=> Fix checked => Neustart => Neues HJT-Log posten

ciao, andreas

Genotron

08.08.2009 18:11

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:13:03, on 08.08.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\PROGRA~1\GEMEIN~1\Stardock\SDMCP.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe

C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Dokumente und Einstellungen\Addy\Desktop\HiJackThis.exe
 

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [VGAUtil] C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\system32\wbsys.dll

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: ESET HTTP Server (EhttpSrv) - Unknown owner - C:\Programme\ESET\ESET NOD32 Antivirus\EHttpSrv.exe (file missing)

O23 - Service: ESET Service (ekrn) - Unknown owner - C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe (file missing)

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: Scramby Server (ScrambyServer) - Unknown owner - C:\Programme\RapidSolution\Scramby\ScrambyServer.exe (file missing)

O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
 

--

End of file - 3579 bytes

Gruß Addy

john.doe

08.08.2009 18:51

Hast du WindowsBlinds deinstalliert?

Start => Ausführen => cmd => OK

Code:

sc stop JavaQuickStarterService [Enter]

sc delete JavaQuickStarterService [Enter]

exit [Enter]

ciao, andreas

Genotron

08.08.2009 19:03

nein aber deaktiviert

cmd done

Gruß Addy

john.doe

08.08.2009 19:09

Welches AVP möchtest du denn nun behalten? Für eins musst du dich entscheiden und das andere deinstallieren. Anschliessend Neustart und neues HJT-Log posten.

ciao, andreas

Genotron

08.08.2009 19:44

eset ist bereits deinstalliert ...

dass es sich nicht vollständig entfernt hat habe ich bemerkt und verssucht zu beheben.

um registry u.so. zu editieren habe ich aber nicht genügend know how ;>

/edit

toll vorhin wars dann aus der software liste draußen jetzt isses wieder drin

/edit 2

glaub diesesmal hats alles gelöscht /shutdown

Gruß Addy

john.doe

08.08.2009 19:48

Zitat:

blubb

:D

NOD32 SUPPORT FAQs - How do I remove NOD32?

ciao, andreas

Genotron

08.08.2009 20:02

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:07:28, on 08.08.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\GEMEIN~1\Stardock\SDMCP.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe

C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Teamspeak2_RC2\TeamSpeak.exe

C:\Dokumente und Einstellungen\Addy\Desktop\HiJackThis.exe
 

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [VGAUtil] C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\system32\wbsys.dll

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: ESET HTTP Server (EhttpSrv) - Unknown owner - C:\Programme\ESET\ESET NOD32 Antivirus\EHttpSrv.exe (file missing)

O23 - Service: ESET Service (ekrn) - Unknown owner - C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe (file missing)

O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: Scramby Server (ScrambyServer) - Unknown owner - C:\Programme\RapidSolution\Scramby\ScrambyServer.exe (file missing)

O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
 

--

End of file - 3561 bytes

glaube habs selber hingebogen

gehörte mehr zu fraktion die probleme damit hatte über "Software" das ding loswerden

btw

blubb = bitte lass uns bumsen baby ;>

also nicht zuoft benutzen :D

Gruß addy

/edit jht vergessen

btw dateien von eset sind keine mehr da alles weg ... soll ich die Services raus hijacken?
(missing file ... da is auch nichts mehr )

john.doe

08.08.2009 20:08

Zitat:

soll ich die Services raus hijacken?

Ja. Danach Neustart und neues HJT-Log.

ciao, andreas

Genotron

08.08.2009 20:18

Und abgeschossen =)

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:19:41, on 08.08.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\PROGRA~1\GEMEIN~1\Stardock\SDMCP.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe

C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\svchost.exe

C:\Dokumente und Einstellungen\Addy\Desktop\HiJackThis.exe
 

O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe

O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [VGAUtil] C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe

O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\system32\wbsys.dll

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

Gruß Addy

john.doe

08.08.2009 20:38

Das Log ist sauber. Wie geht es dem Rechner? Noch irgendwelche Auffälligkeiten oder Meldungen? Hast du die Bezahlversion von Malwarebytes?

Irgendwie habe ich bei der Kiste ein schlechtes Gefühl. Poste bitte noch das Log von Gmer => http://www.trojaner-board.de/74908-a...t-scanner.html

ciao, andreas

Genotron

08.08.2009 21:12

Ja habe ich (mir für das problem von meinem Besten Freund geliehen)
da ich mit dem programm bei der letzten kontamination gute erfahrungen gemacht hatte.
werde ich nach abschluss der behandlung wieder downgraden :)

Auffälligkeiten? ja ! läuft deutlich besser, schneller, lagfreier =)

hoffe dein Gefühl trügt dich ;>

Gruß Addy

/edit wasn aw4bhtnv.SYS ?

john.doe

08.08.2009 21:22

Start => Ausführen => c:\windows\gmer_uninstall.cmd => OK

Zitat:

wasn aw4bhtnv.SYS ?

Ein Rootkit, hast du dir aber selber installiert. Gehört zu Daemon Tools, Alcohol und ähnlichen Konsorten.

Zitat:

mir für das problem von meinem Besten Freund geliehen

Auch wenn sich das widersprüchlich anhört, die ist schlechter als die frei erhältliche. Die installiert einen Wächter, der völlig nutzlos ist, aber Unmengen an Ressourcen verbrät. :) Da kannst du dir genauso gut das Stardock- und Unibluegelumpe installieren. Hat den selben Effekt, Rechner wird lahm. :D

Zitat:

Auffälligkeiten? ja ! läuft deutlich besser, schneller, lagfreier =)

Du bist entlassen. :)

ciao, andreas

Genotron

08.08.2009 21:37

Wüsste garnicht wie ich dir danken kann =)

gehr warscheinlich auch garnicht :D

gib mir noch hierrauf ne antwort und ich bin glücklich ;>

http://www.trojaner-board.de/75447-kann-man-sich-einfach-bedanken.html

oder verlink wieder auf 20 andere threads in denen das alles schonmal jmd gefragt hat :D

Gruß Addy

john.doe

08.08.2009 21:47

Nope, du bist der erste. :)

Zitat:

Was treibt euch an ?

Altruismus, Spaß am Schädlinge erkunden und killen, Spaß am Lehren und ab und zu gibt es sogar Leute, die sich bedanken. :)

Zitat:

Üben, damit man eine eventuelle eigene Infektion möglichst gut übersteht?

Dann wären wir hier falsch. Klicke auf die letzten beiden Links in meiner Signatur. Der Trick ist, das Zeug erst gar nicht auf den Rechner zu lassen. Selbst wenn man es auf dem Rechner hat, ist es erst dann gefährlich, wenn es gestartet wird. ;)

Trotz Ablehnung der breiten "wissenden" Masse geht das auch ohne jedes "Sicherheitsprogramm". Man muss sich nur strikt an die Regeln halten.

Und falls ich mich absichtlich infizieren muss, dann spiele ich halt mein Image zurück. Das dauert weniger als 2 Minuten, anschliessend ein paar Programme neu installieren ist in weniger als einer Stunde gemacht. :)

ciao, andreas

Alle Zeitangaben in WEZ +1. Es ist jetzt 16:28 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131