Trojaner-Board - Renitente .dll

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Renitente .dll (https://www.trojaner-board.de/9254-renitente-dll.html)

Logfile of HijackThis v1.97.7
Scan saved at 14:00:35, on 06.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
c:\progra~1\0190wa~1\w0svc.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Winamp\Winamp.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de
O2 - BHO: (no name) - {5AEB90E9-E7CD-323E-0A15-2D12E4F11AEB} - C:\WINDOWS\System32\srclfent.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /0
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab

Mein Problem ist O2 - BHO: (no name) - {5AEB90E9-E7CD-323E-0A15-2D12E4F11AEB} - C:\WINDOWS\System32\srclfent.dll ; Hijackthis.de ist sie unbekannt, und hab sonst nirgendwas dazu gefunden, und fest steht dass sie renitent ist und sich sogar im abgesicherten Modus nicht löschen lässt. Weiss jemand wie ich die loswerde bzw. ob/wie gefährlich sie überhaupt ist?

Hallo,

poste mal ein aktuelles HJT Log-File mit der aktuellen Version 1.98.2.
http://www.chip.de/downloads/c_downloads_11353576.html

Zitat:

fest steht dass sie renitent ist und sich sogar im abgesicherten Modus nicht löschen lässt

Wenn sie wirklich resistent ist, bekommst du dann beim Löschen eine Fehlermeldung wie z.B. "Zugriff verweigert"?

Überprüfe mal folgende Dateien bei http://virusscan.jotti.org/de
und poste das Ergebnis:
C:\WINDOWS\System32\srclfent.dll

Neus Log:
Logfile of HijackThis v1.98.2
Scan saved at 14:25:01, on 06.11.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
c:\progra~1\0190wa~1\w0svc.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Winamp\Winamp.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Program Files\hjthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de
O2 - BHO: srclfent - {5AEB90E9-E7CD-323E-0A15-2D12E4F11AEB} - C:\WINDOWS\System32\srclfent.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /0

Und ja, wenn ich sie zu löschen versuche kommt das Popup "wird von einem andren Programm verwendet..."

Viruscan: Ich copy&paste das einfach mal

Service load:
0% 100%
File: srclfent.dll
Status:
INFECTED/MALWARE
Packers detected:
None

AntiVir
BDS/Afcore.AH.2 (3.89 seconds taken)

Avast
Win32:Afcore (12.14 seconds taken)

BitDefender
Backdoor.AfCore.AE (8.28 seconds taken)

ClamAV
Trojan.Afcore-5 (5.92 seconds taken)

Dr.Web
No viruses found (8.19 seconds taken)

F-Prot Antivirus
No viruses found (0.38 seconds taken)

Kaspersky Anti-Virus
No viruses found (5.09 seconds taken)

mks_vir
No viruses found (1.45 seconds taken)

NOD32
No viruses found (2.35 seconds taken)

Norman Virus Control
No viruses found (1.04 seconds taken)

Kann ich jetzt persönlich wenig mit anfangens scheint aber ja was zu sein

:mad:

Probiers mal so:
HJT öffnen -> Config -> Misc Tools -> Delete a File on reboot -> navigiere dann zur C:\WINDOWS\System32\srclfent.dll -> Öffnen -> nächste Frage mit JA beantworten.

Danach mit eScan scannen (den Scanner mit der "mwavscan.com" starten. Alle Häkchen setzen und "Scan clean" klicken.) und die Malware manuell entfernen http://www.trojaner-board.de/42731-escan-anleitung.html.

Erstmal vielen Dank bis hierhin, die srclfent.dll konnte ich mit HJT so entfernen. Von eScan hab ich Version 4.6.2, d.h. betroffene Dateien werden nicht automatisch entfernt. Jetzt wollte ich mich nur nochmal versichern, dass ich alle infizierte Dateien, die eScan gefunden hat, im abgesicherten Modus entfernen soll/darf.

Alle Dateien die eScan als "infected" meldet, kannst du bedenkenlos löschen. Falls du dir trotzdem noch unsicher bist, dann poste die von eScan gefundene Malware.