Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn" (https://www.trojaner-board.de/86630-hilfe-ploetzlich-liegt-unbekannte-datei-meinem-desktop-fjhdyfhsn.html)

Faustino 31.05.2010 21:49
HILFE! Plötzlich liegt unbekannte Datei auf meinem Desktop "fjhdyfhsn"
 
Liste der Anhänge anzeigen (Anzahl: 1)
Hallo zusammen,

soeben komme ich von einem Termin wieder zurück an meinen Rechner und sehe plötzlich eine mir unbekannte Datei (sieht aus wie eine Systemdatei) auf dem Desktop liegen. Die Datei war vorher nicht da und ist mir völlig unbekannt, mit folgender Bezeichnung "fjhdyfhsn".

Mein Betriebsystem ist Windows XP. Virenscanner ist AntiVir (Premium)

Kann das ein Virus sein oder wie kann eine unbekannte Datei plötzlich auf meinen Desktop kommen?

Ich starte jetzt sicherheitshalber mal AntiVir Scan.

Ich bitte um Eure Hilfe - Vielen Dank

Faustino

Faustino 01.06.2010 10:04
Weitere Informationen zur Ergänzung:


Mir ist noch aufgefallen, dass ich gestern auf einer Webseite war, auf welcher sich beim Betreten der Seite, ein kleines Java-Fenster auf meinem Rechner geöffnet hat... Kann er damit evtl. zusammenhängen?

Avira AntiVir ist jetzt zu 20% durchgelaufen und läuft weiter. Aktuell 1 Fund:

TR/Crypt.ZPACK.Gen

Ich habe in AntiVir mal in vegangenen Berichten geschaut und festgestellt, dass es in naher Vergangenheit 4 Funde gab:

14.05.2010: 3 Funde => TR/Drop.Agent.bqde
14.05.2010: 1 weiterer Fund => TR/Drop.Agent.bqde

Im Anschluß habe ich mal in der Systemverwaltung unter Quarantäne geschaut und folgende Einträge gefunden:

14.05.2010, 2 x Quarantäne-Einträge von TR/Drop.Agent.bqde
31.05.2010, 1 x Quarantäne-Eintrag von TR/Drop.Agent.bqde jeweils in unterschiedlichen Dateien.

Meine Fragen ab Euch: hängt der aktuelle Fund von TR/Crypt.ZPACK.Gen mit den vergangenen Funden von Drop.Agent zusammen?

All das erklärt aber leider auch nicht wie urplötzlich die zuvor genannte Datei auf meinen Desktop kommt :

C:\Dokumente und Einstellungen\PC1\Desktop\fjhdyfhsn.bat

Was kann ich tun um meinen Rechner wieder sauber zu bekommen?

Vielen Dank
Faustino

malwarefight 01.06.2010 10:18
*vorneweg: ich bin kein offizieller Helfer oder Kompetenzler, sondern nur interessierter und hilfsbereiter Leser*


Ohne Pfadangaben ist es schwierig, irgendetwas zu diagnostizieren -> poste mal die alten Avira-Logs mit den Funden und den neuen Log von heute (sobald Avira fertig durchgelaufen ist).

Um die Dateien in der Quarantäne brauchst du dich nicht zu sorgen, denn sie sind nicht aktiv und können von dort aus keinen Schaden anrichten.

Zu der "unbekannten" Datei: laut google-Suche und Dateiname scheint diese sehr wahrscheinlich Malware zu sein -> lade sie doch mal bei www.virustotal.com hoch und poste das komplette Ergebnis.


Für die Bereinigung des Systems (oder ggf. auch Neuaufsetzen) ist dann ein offizieller Helfer gefragt, das traue ich mir lieber nicht zu :daumenhoc

Viel Erfolg!
Sonja

Faustino 01.06.2010 10:26
Hallo Sonja,

vielen Dank für Deine Rückmeldung. Sobald AntiVir durch ist werde ich die alten und neuen logs mal posten. AntiVir-Scan läuft akutell bei 38%. Dauert also leider noch etwas.

Parallel werde ich bei www.virustotal.com mal wegen

C:\Dokumente und Einstellungen\PC1\Desktop\fjhdyfhsn.bat

anfragen.

Bis gleich

Faustino 01.06.2010 10:43
Hier der Analysereport von virustotal.com:

https://www.virustotal.com/de/analisis/982dc315b1c13b3d571d2366aa3222ddf44dd6e734255e3d6d9f3b8a38b3bcf0-1274635405


Hier der Report von virustotal.com

Datei fjhdyfhsn.bat empfangen 2010.05.23 17:23:25 (UTC)
Status: Beendet

Ergebnis: 1/41 (2.44%)
Filter Drucken der Ergebnisse Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.50 2010.05.10 -
AhnLab-V3 2010.05.23.00 2010.05.22 -
AntiVir 8.2.1.242 2010.05.23 -
Antiy-AVL 2.0.3.7 2010.05.21 -
Authentium 5.2.0.5 2010.05.23 -
Avast 4.8.1351.0 2010.05.23 -
Avast5 5.0.332.0 2010.05.23 -
AVG 9.0.0.787 2010.05.23 -
BitDefender 7.2 2010.05.23 -
CAT-QuickHeal 10.00 2010.05.21 -
ClamAV 0.96.0.3-git 2010.05.22 -
Comodo 4920 2010.05.23 -
DrWeb 5.0.2.03300 2010.05.23 -
eSafe 7.0.17.0 2010.05.23 -
eTrust-Vet 35.2.7503 2010.05.21 -
F-Prot 4.6.0.103 2010.05.23 -
F-Secure 9.0.15370.0 2010.05.23 -
Fortinet 4.1.133.0 2010.05.23 -
GData 21 2010.05.23 -
Ikarus T3.1.1.84.0 2010.05.23 -
Jiangmin 13.0.900 2010.05.22 -
Kaspersky 7.0.0.125 2010.05.23 -
McAfee 5.400.0.1158 2010.05.23 -
McAfee-GW-Edition 2010.1 2010.05.23 -
Microsoft 1.5802 2010.05.23 -
NOD32 5139 2010.05.23 -
Norman 6.04.12 2010.05.23 BAT/Agent.AB nProtect 2010-05-23.01 2010.05.23 -
Panda 10.0.2.7 2010.05.23 -
PCTools 7.0.3.5 2010.05.23 -
Prevx 3.0 2010.05.23 -
Rising 22.48.06.04 2010.05.23 -
Sophos 4.53.0 2010.05.23 -
Sunbelt 6343 2010.05.23 -
Symantec 20101.1.0.89 2010.05.23 -
TheHacker 6.5.2.0.285 2010.05.23 -
TrendMicro 9.120.0.1004 2010.05.23 -
TrendMicro-HouseCall 9.120.0.1004 2010.05.23 -
VBA32 3.12.12.5 2010.05.22 -
ViRobot 2010.5.20.2326 2010.05.23 -
VirusBuster 5.0.27.0 2010.05.23 -
weitere Informationen
File size: 140 bytes
MD5 : 80c04d6b9f82d8ae1c68901a952be0d4
SHA1 : 59550cc310544695424b718c127fca2be2ce7c32
SHA256: 982dc315b1c13b3d571d2366aa3222ddf44dd6e734255e3d6d9f3b8a38b3bcf0
TrID : File type identification
Unknown!
ssdeep: 3:mKDDfmA+5K025dZuA5qRYAs1Cki97NaZuA5qRYAs1Cki9Vjjvn:hqN2mJRYb1Cki97NZJRYb1Cki9V/vn
sigcheck: publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

PEiD : -
RDS : NSRL Reference Data Set

Faustino 01.06.2010 11:03
Welchen Bereich der Avira-Logs soll ich posten?

Danke und Gruß
Faustino

malwarefight 01.06.2010 15:01
Hi,

am besten die kompletten Avira-Logs posten.
Zusätzlich kannst du auch einen Voll-Scan mit Malwarebytes machen - Wichtig ist, das Programm vorher zu updaten!

Sonja

Faustino 01.06.2010 17:57
So, anbei nun der Avira-Report: 2 Funde von TR/Crypt.ZPACK.Gen

Zitat:
vira AntiVir Premium
Erstellungsdatum der Reportdatei: Dienstag, 1. Juni 2010 08:31

Es wird nach 2177792 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : xxx
Seriennummer : 2208183957-PEPWE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 2) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : PC1

Versionsinformationen:
BUILD.DAT : 10.0.0.603 36207 Bytes 19.04.2010 15:44:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 19.05.2010 08:06:52
AVSCAN.DLL : 10.0.3.0 56168 Bytes 19.05.2010 08:06:51
LUKE.DLL : 10.0.2.3 104296 Bytes 19.05.2010 08:07:03
LUKERES.DLL : 10.0.0.0 13672 Bytes 19.05.2010 08:07:03
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 06:35:52
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 07:24:41
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 07:24:46
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 07:24:47
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 07:24:49
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 12:34:06
VBASE006.VDF : 7.10.6.83 2048 Bytes 15.04.2010 12:34:06
VBASE007.VDF : 7.10.6.84 2048 Bytes 15.04.2010 12:34:06
VBASE008.VDF : 7.10.6.85 2048 Bytes 15.04.2010 12:34:06
VBASE009.VDF : 7.10.6.86 2048 Bytes 15.04.2010 12:34:06
VBASE010.VDF : 7.10.6.87 2048 Bytes 15.04.2010 12:34:06
VBASE011.VDF : 7.10.6.88 2048 Bytes 15.04.2010 12:34:06
VBASE012.VDF : 7.10.6.89 2048 Bytes 15.04.2010 12:34:06
VBASE013.VDF : 7.10.6.90 2048 Bytes 15.04.2010 12:34:06
VBASE014.VDF : 7.10.6.123 126464 Bytes 19.04.2010 12:33:41
VBASE015.VDF : 7.10.6.152 123392 Bytes 21.04.2010 12:33:42
VBASE016.VDF : 7.10.6.178 122880 Bytes 22.04.2010 12:33:42
VBASE017.VDF : 7.10.6.206 120320 Bytes 26.04.2010 12:33:45
VBASE018.VDF : 7.10.6.232 99328 Bytes 28.04.2010 12:33:45
VBASE019.VDF : 7.10.7.2 155648 Bytes 30.04.2010 12:33:46
VBASE020.VDF : 7.10.7.26 119808 Bytes 04.05.2010 07:23:34
VBASE021.VDF : 7.10.7.51 118272 Bytes 06.05.2010 07:23:35
VBASE022.VDF : 7.10.7.75 404992 Bytes 10.05.2010 07:22:33
VBASE023.VDF : 7.10.7.100 125440 Bytes 13.05.2010 07:21:37
VBASE024.VDF : 7.10.7.119 177664 Bytes 17.05.2010 08:05:12
VBASE025.VDF : 7.10.7.139 129024 Bytes 19.05.2010 07:40:13
VBASE026.VDF : 7.10.7.157 145920 Bytes 21.05.2010 20:36:05
VBASE027.VDF : 7.10.7.173 147456 Bytes 25.05.2010 20:34:41
VBASE028.VDF : 7.10.7.189 120320 Bytes 27.05.2010 07:20:31
VBASE029.VDF : 7.10.7.202 130560 Bytes 31.05.2010 15:55:48
VBASE030.VDF : 7.10.7.203 2048 Bytes 31.05.2010 15:55:48
VBASE031.VDF : 7.10.7.204 30720 Bytes 31.05.2010 15:55:48
Engineversion : 8.2.1.242
AEVDF.DLL : 8.1.2.0 106868 Bytes 24.04.2010 12:33:43
AESCRIPT.DLL : 8.1.3.29 1343866 Bytes 13.05.2010 21:24:00
AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 21:23:59
AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 12:33:44
AERDL.DLL : 8.1.4.6 541043 Bytes 17.04.2010 12:34:09
AEPACK.DLL : 8.2.1.1 426358 Bytes 22.03.2010 07:24:54
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 13.05.2010 21:23:59
AEHEUR.DLL : 8.1.1.27 2670967 Bytes 06.05.2010 07:23:38
AEHELP.DLL : 8.1.11.3 242039 Bytes 06.04.2010 12:35:16
AEGEN.DLL : 8.1.3.9 377203 Bytes 13.05.2010 21:23:58
AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 12:33:43
AECORE.DLL : 8.1.15.3 192886 Bytes 13.05.2010 21:23:58
AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 12:33:42
AVWINLL.DLL : 10.0.0.0 19304 Bytes 19.05.2010 08:06:42
AVPREF.DLL : 10.0.0.0 44904 Bytes 19.05.2010 08:06:51
AVREP.DLL : 10.0.0.8 62209 Bytes 19.05.2010 08:07:17
AVREG.DLL : 10.0.3.0 53096 Bytes 19.05.2010 08:07:17
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 19.05.2010 08:07:17
AVARKT.DLL : 10.0.0.14 227176 Bytes 19.05.2010 08:06:48
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 19.05.2010 08:06:49
SQLITE3.DLL : 3.6.19.0 355688 Bytes 19.05.2010 08:07:06
AVSMTP.DLL : 10.0.0.17 63848 Bytes 19.05.2010 08:06:53
NETNT.DLL : 10.0.0.0 11624 Bytes 19.05.2010 08:07:03
RCIMAGE.DLL : 10.0.0.32 2631528 Bytes 19.05.2010 08:06:44
RCTEXT.DLL : 10.0.53.0 98152 Bytes 19.05.2010 08:06:44

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +PFS,

Beginn des Suchlaufs: Dienstag, 1. Juni 2010 08:31

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_USERS\S-1-5-21-1229272821-1500820517-725345543-1003\Software\Microsoft\Protected Storage System Provider\S-1-5-21-1229272821-1500820517-725345543-1003\data
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\type
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\start
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\errorcontrol
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\group
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\group
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\sg2ws1pi8g0
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\x2mdk7lx
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\edssiiu\ii7u5so2ny8
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\NtmsSvc\Config\Standalone\drivelist
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\type
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\start
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\errorcontrol
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\sg2ws1pi8g0
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\x2mdk7lx
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\edssiiu\ii7u5so2ny8
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '70' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'wlcomm.exe' - '70' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'AVWEBGRD.EXE' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'avmailc.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'ccc.exe' - '148' Modul(e) wurden durchsucht
Durchsuche Prozess 'dpupdchk.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'MESSENGR.EXE' - '122' Modul(e) wurden durchsucht
Durchsuche Prozess 'MsnMsgr.Exe' - '132' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACDaemon.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'MOM.EXE' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'itype.exe' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'WZCSLDR2.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'AirGCFG.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'ipoint.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'CALMAIN.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlwriter.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlbrowser.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'SeaPort.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '84' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'lxctcoms.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '90' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'ACService.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '64' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '187' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '14' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1742' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\WINDOWS\system32\drivers\edssiiu.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen
C:\WINDOWS\system32\drivers\edssiiu.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen

Beginne mit der Desinfektion:
C:\WINDOWS\system32\drivers\edssiiu.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f0097e5.qua' verschoben!


Ende des Suchlaufs: Dienstag, 1. Juni 2010 18:42
Benötigte Zeit: 9:48:40 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

73565 Verzeichnisse wurden überprüft
1845216 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
1845214 Dateien ohne Befall
10360 Archive wurden durchsucht
0 Warnungen
0 Hinweise
531839 Objekte wurden beim Rootkitscan durchsucht
16 Versteckte Objekte wurden gefunden


Voll-Scan mit Malwarebytes werde ich jetzt laufen lassen.

Faustino 01.06.2010 19:51
Zitat:
Zitat von Faustino (Beitrag 529849)
So, anbei nun der Avira-Report: 2 Funde von TR/Crypt.ZPACK.Gen





Voll-Scan mit Malwarebytes werde ich jetzt laufen lassen.
Die haben die über Virustotal.com gefundene Datei "BAT/Agent.AB" und die auf meinem Desktop erschienene "fjhdyfhsn.bat" etwas mit den Funden von Crypt.ZPACK.Gen zu tun?

Kann ich die Datei "fjhdyfhsn.bat" die auf meinem Dasktop liegt einfach löschen?

Ich weiß, es sind viele Fragen, aber wenn ich mir anders zu helfen wüßte, würde ich nicht so viel fragen.:headbang:

Vielen Dank vorab!

malwarefight 01.06.2010 20:18
Hi,

du kannst natürlich einfach probieren, die Datei auf dem Desktop einfach zu löschen, aber 1. bezweifle ich, dass die sich so einfach löschen lässt und 2. hast du damit nicht die Ursache der Probleme der behoben. Und ob die beiden Funde zusammenhängen, weiß ich leider nicht -> poste aber mal noch das Avira-Log von den alten Funden am 14.5.

Das "edssiiu" hat einige versteckte Registry-Einträge produziert -> mal sehen, was Malwarebytes davon findet und bereinigen kann.

Es scheint mir allerdings so, dass sich da tiefer im System noch was verbirgt, deshalb sollte nach dieser oberflächlichen Bereinigung sich am besten ein offzieller Helfer der Sache annehmen.

Ansonsten könnte ich dir noch einen Scan mit OTL (http://www.trojaner-board.de/85104-o...-oldtimer.html) und OSAM empfehlen, um mal genauer im System nachzuschauen.

VG Sonja

Faustino 01.06.2010 20:36
Liste der Anhänge anzeigen (Anzahl: 1)
Hi Petra, ok, aber ich belasse die Datei einfach mal auf dem Desktop. Malwarebytes Scan ist durchgelaufen (Scan interne und esterne Platte) anbei der Log.

Was soll ich mit Soll ich bei Malwarebytes nun tun? "Entferne Auswahl" drücken?



Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4161

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

01.06.2010 21:32:48
mbam-log-2010-06-01 (21-32-48).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|)
Durchsuchte Objekte: 316251
Laufzeit: 1 Stunde(n), 50 Minute(n), 42 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken.

Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Infizierte Dateien:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\Dokumente und Einstellungen\gabe\Lokale Einstellungen\Temp\svchost.exe (Trojan.Agent) -> No action taken.

Faustino 01.06.2010 21:09
Ich habe nun einfach mal "Entfernen Auswahl" getätigt.

Hier die Log-Datei:

Code:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4161

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

01.06.2010 21:55:07
mbam-log-2010-06-01 (21-55-07).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|)
Durchsuchte Objekte: 316251
Laufzeit: 1 Stunde(n), 50 Minute(n), 42 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\WINDOWS\system32\lowsec (Stolen.data) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\gabe\Lokale Einstellungen\Temp\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Faustino 01.06.2010 22:22
Ich habe jetzt noch die Ereignisse (nur Funde) von Avira exportiert und hier nun die Logs:

Code:
Exportierte Ereignisse:

14.05.2010 19:40 [Scanner] Malware gefunden
      Die Datei 'C:\Dokumente und Einstellungen\gabe\Lokale
      Einstellungen\Temp\1017143300000e5cim6zs3lsmo\BLTranslatorApp.zip'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c418b55.qua'
      verschoben!

14.05.2010 19:41 [Scanner] Malware gefunden
      Die Datei 'C:\Downloads\BLTranslatorApp.zip'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c418ba4.qua'
      verschoben!

01.06.2010 18:42 [Scanner] Malware gefunden
      Die Datei 'C:\WINDOWS\system32\drivers\edssiiu.sys'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Crypt.ZPACK.Gen' [trojan].
      Durchgeführte Aktion(en):
      Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler
      aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004.
      Die Quelldatei konnte nicht gefunden werden.
      Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f0097e5.qua'
      verschoben!

14.05.2010 19:39 [Guard] Malware gefunden
      In der Datei 'C:\Downloads\BL Translator App.exe'
      wurde ein Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan]
      gefunden.
      Ausgeführte Aktion: Datei löschen

14.05.2010 21:12 [Scanner] Malware gefunden
      Die Datei 'C:\System Volume
      Information\_restore{7AE4A41C-5A1D-4615-8CF6-329D11A6BDE1}\RP711\A0084489.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
      Durchgeführte Aktion(en):
      Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c1da0da.qua'
      verschoben!

14.05.2010 19:41 [Scanner] Malware gefunden
      Die Datei 'C:\Downloads\BL Translator App.exe'
      enthielt einen Virus oder unerwünschtes Programm 'TR/Drop.Agent.bqde' [trojan].
      Durchgeführte Aktion(en):
      Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler
      aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004.
      Die Quelldatei konnte nicht gefunden werden.
      Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
      Fehler in der ARK Library.
      Die Datei wurde zum Löschen nach einem Neustart markiert.


Alle Zeitangaben in WEZ +1. Es ist jetzt 11:55 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131