Trojaner-Board - Trojan Agent dwm.exe / csrss.exe in C:\Dokumente und Einstellungen\Anwendungsdaten\dwm.exe

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Trojan Agent dwm.exe / csrss.exe in C:\Dokumente und Einstellungen\Anwendungsdaten\dwm.exe (https://www.trojaner-board.de/96981-trojan-agent-dwm-exe-csrss-exe-c-dokumente-einstellungen-anwendungsdaten-dwm-exe.html)

Trojan Agent dwm.exe / csrss.exe in C:\Dokumente und Einstellungen\Anwendungsdaten\dwm.exe

Hallo!

Ich habe mir wohl einen hartnäckigen Trojaner?? eingefangen. Beim hochfahren des PC´s bekomme ich die Meldung:

"C:/Dokumente und Einstellungen/Lokale17Temp/csrss.exe
Ein anderes Programm greift gerade auf die Datei zu. OK?"

Bei Bestätigung dieser Abfrage dann:
"Die in der Registrieung angegebene Anwendung konnte nicht geladen oder gestartet werden. Stellen sie sicher, dass die Datei vorhanden ist, oder entfernen sie den Eintrag mit Bezug auf diese Datei aus der Registrierung"

Ein erster Scan und die automatische Auswertung mit Hijackthis erbrachte:

F3 - REG:win.ini: load=C:\DOKUME~1\xxxx\LOKALE~1\Temp\csrss.exe

Schädlich (2.23 / 5.00)

C:\Dokumente und Einstellungen\xxxx\Anwendungsdaten\dwm.exe

Der angebliche Systemprozess läuft nicht im System32 Ordner und ist deshalb als schädlich einzustufen.
Eventuell schädlich! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\windows\system32\! überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch. Prozess läuft nicht im System32 Ordner!

C:\DOKUME~1\xxxx\LOKALE~1\Temp\csrss.exe

Der angebliche Systemprozess läuft nicht im System32 Ordner und ist deshalb als schädlich einzustufen.
Eventuell schädlich! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\windows\system32\! überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch. Prozess läuft nicht im System32 Ordner!

Symptome konnte ich bisher nicht feststellen, außer dass Google anfragen auf bubiose Seiten umgeleitet werden, aber auch nicht regelmäßig. Weitere Recherechen im Internet erbrachten, dass ich mit dem Problem wohl nicht ganz alleine dastehe, allerdings ohne eine konkrete Lösungsmöglichkeit anzubieten.

Im Trojaner Board gibt es einen sehr ähnlichen Fall unter:

www.trojaner-board.de/96596-csrss-exe-dwm-exe-und-conhost-exe-erscheinen-imer-wieder.html

Allerdings funktioniert auch hier die vorgeschlagene Lösung nicht für meinen Fall.

Hat vielleicht jemand eine Idee? Da wäre ich sehr dankbar.
Mit besten Grüßen Timo

Anbei die beiden ODT und der Malewarebytes Auszug

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6174

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

26.03.2011 18:31:25
mbam-log-2011-03-26 (18-31-08).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|K:\|L:\|N:\|O:\|)
Durchsuchte Objekte: 167510
Laufzeit: 2 Stunde(n), 35 Minute(n), 28 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\Typelib\{50CCD00A-66B6-4D95-AAEF-8EE959498F92} (Trojan.FakeAlert) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\dokumente und einstellungen\timo\anwendungsdaten\desktopicon\ebayshortcuts.exe (Adware.ADON) -> No action taken.
c:\dokumente und einstellungen\timo\lokale einstellungen\Temp\55.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\TEMP\USS667.tmp (Trojan.Agent) -> No action taken.
c:\WINDOWS\TEMP\USS668.tmp (Trojan.Agent) -> No action taken.

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

Hallo,

vielen Dank für die Antwort. Anbei ein aktueller Scan von Malewarebytes:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6228

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

31.03.2011 19:16:48
mbam-log-2011-03-31 (19-16-31).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 168060
Laufzeit: 10 Minute(n), 58 Sekunde(n)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
c:\dokumente und einstellungen\timo\anwendungsdaten\microsoft\conhost.exe (Trojan.Agent) -> 3188 -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\affltid (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\affri (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affltid (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affri (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost (Trojan.Agent) -> Value: conhost -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Value: Load -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Value: Shell -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer (PUM.Bad.Proxy) -> Value: ProxyServer -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Bad: (C:\DOKUME~1\timo\LOKALE~1\Temp\csrss.exe) Good: () -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\dokumente und einstellungen\timo\anwendungsdaten\microsoft\conhost.exe (Trojan.Agent) -> No action taken.
c:\dokumente und einstellungen\timo\lokale einstellungen\Temp\csrss.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\bm8f067b6d.txt (Trojan.Vundo) -> No action taken.

Zitat:

-> No action taken.

Du musst alle Funde entfernen!!

Zitat:

Art des Suchlaufs: Quick-Scan

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Ok, ich habe jetzt alle Funde entfernt

(siehe Anhang mbam-log-2011-03-31 (19-51-38).txt)

und daraufhin den Computer neu gestartet.

Danach einen weiteren Quick Scan durchgeführt (diesmal nur noch eine infizierte Datei)

(siehe Anhang mbam-log-2011-03-31 (20-14-50).txt )

und den Computer wieder neu gestartet.

Dann nochmal einen QuickScan durchgeführt

(Siehe Anhang mbam-log-2011-03-31 (20-36-47).txt )

mit dem Ergebnis, dass jetzt keine Infizierte datei mehr gefunden wurde.

Was sonst noch auffällig ist:

1. Es gibt keine Fehlermeldung mehr beim Hochfahren des Computers
2. Firefox läuft nicht mehr mit der Fehlermeldung:
Fehler: Proxy-Server verweigert die Verbindung
Firefox wurde konfiguriert, einen Proxy-Server zu nutzen, der die
Verbindung zurückweist.

Der MS Internet Explorer funktioniert aber.
Wie sollte ich denn jetzt vorgehen?

Zur zeit haben irgendwie viele diesen Trojaner, auch aus meinem Privaten Freundeskreis.
Ich habe ähnliche "symptome" wie du =D
Irgendwie ändert der Trojaner beim Löschen etwas im System, damit firefox über einen Proxy connectet, der aber nicht funktioniert.
Mal schaun ob ich noch was finde.

mfg daniel

http://www.trojaner-board.de/images/icons/icon4.gif@Russel_Crowe: http://www.trojaner-board.de/images/icons/icon4.gif
Kannst du mal aufhören in fremde Stränge zu posten?!! :balla:

Bitte mach - wie jeder andere hier auch - für Dein Anliegen einen eigenen Strang auf! Nur so ist sichergestellt, dass jedem übersichtlich und indivuell geholfen werden werden!

Hallo,

konnte das Problem mit dem Firefox und der fehlenden Proxy Verbindung noch nicht lösen. Zudem habe ich jetzt dazu noch eine Mail von meinem Provider erhalten, dass wohl von meinem Postfach Mails verschickt wurden, die einen Virus enthalten :-(
Wäre für weitere Ideen sehr dankbar

Sry dein Strang ist untergegangen :o
Mach bitte einen neuen Vollscan mit Malwarebytes, denk an das vorherige Update bitte!

Ok, prima, im Anhang jetzt also der Scan.

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:54364

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

FF - prefs.js..network.proxy.http: "127.0.0.1"

FF - prefs.js..network.proxy.http_port: 54364

FF - prefs.js..network.proxy.type: 1

O4 - HKLM..\Run: [conhost] C:\Dokumente und Einstellungen\timo\Anwendungsdaten\Microsoft\conhost.exe ()

O4 - HKCU..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe (Safer-Networking Ltd.)

F3 - HKCU WinNT: Load - (C:\DOKUME~1\timo\LOKALE~1\Temp\csrss.exe) - C:\Dokumente und Einstellungen\timo\Lokale Einstellungen\Temp\csrss.exe ()

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2002.02.15 21:44:13 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O33 - MountPoints2\{3130845c-826f-11de-a854-000c76bb5b26}\Shell\AutoRun\command - "" = J:\installer.exe

O33 - MountPoints2\{446ecaae-940e-11df-92b7-000c76bb5b26}\Shell - "" = AutoRun

O33 - MountPoints2\{446ecaae-940e-11df-92b7-000c76bb5b26}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{446ecaae-940e-11df-92b7-000c76bb5b26}\Shell\AutoRun\command - "" = M:\LaunchU3.exe -a

O33 - MountPoints2\{b4e00e4c-48f7-11dd-b8e4-000c76bb5b26}\Shell - "" = AutoRun

O33 - MountPoints2\{b4e00e4c-48f7-11dd-b8e4-000c76bb5b26}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{b4e00e4c-48f7-11dd-b8e4-000c76bb5b26}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL copy.exe

O33 - MountPoints2\M\Shell - "" = AutoRun

O33 - MountPoints2\M\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\M\Shell\AutoRun\command - "" = M:\Autorun.exe

[2011.03.26 15:40:43 | 000,016,665 | ---- | M] () -- C:\Dokumente und Einstellungen\timo\Anwendungsdaten\1992.B24

[2011.03.23 21:12:30 | 000,173,568 | ---- | C] () -- C:\Dokumente und Einstellungen\timo\Anwendungsdaten\dwm.exe

[2011.03.23 18:05:33 | 000,054,156 | -H-- | C] () -- C:\WINDOWS\QTFont.qfn

[2011.03.23 18:05:33 | 000,001,409 | ---- | C] () -- C:\WINDOWS\QTFont.for

[2011.03.23 05:29:35 | 000,016,665 | ---- | C] () -- C:\Dokumente und Einstellungen\timo\Anwendungsdaten\1992.B24

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Ich bin beeindruckt, der Firefox läuft wieder.
Anbei nochmal der OTL Logfile

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Falls du durch die Infektion auf die Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

Ok, habe ich gemacht. Kaspersky findet eine Datei, die als verdächtig eingestuft wird. Ich habe das das erste Mal gelöscht, danach ist der Computer aber nicht mehr hoch gefahren und und ich musste über die "letzte als funktional bekannte Version" (oder so ähnlich) hochfahren. Scheint also wohl was wichtiges zu sein, das sich nicht so ohne weiteres löschen lässt.
Anbei das Logfile

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.