| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR/Spy.Farko.mg - Wie werde ich ihn los?Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
08.07.2012, 01:15
| #1 |
| |  TR/Spy.Farko.mg - Wie werde ich ihn los? Moin! Der Trojaner TR/Spy.Farko.mg schleicht sich immer wieder in diese Datei rein: C:\WINDOWS\system32\AcroIEHelpe.dll. Egal wie oft ich ihn in die Qurantäne verschiebe. Was gibt es für Möglichkeiten den loszuwerden, am besten ohne den PC zu formatieren? __________________ Typ: Datei Quelle: C:\WINDOWS\system32\AcroIEHelpe.dll Status: Infiziert Quarantäne-Objekt: 538b6bbf.qua Wiederhergestellt: NEIN Zu Avira hochgeladen: NEIN Betriebssystem: Windows XP/VISTA Workstation/Windows 7 Suchengine: 8.02.10.106 Virendefinitionsdatei: 7.11.35.120 Meldung: TR/Spy.Farko.mg Datum/Uhrzeit: 08.07.2012, 02:05 __________________ Avira Free Antivirus Erstellungsdatum der Reportdatei: Sonntag, 8. Juli 2012 01:46 Es wird nach 3845887 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Microsoft Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : HAUKEPC Versionsinformationen: BUILD.DAT : 12.0.0.1125 41829 Bytes 02.05.2012 16:34:00 AVSCAN.EXE : 12.3.0.15 466896 Bytes 08.05.2012 14:59:57 AVSCAN.DLL : 12.3.0.15 66256 Bytes 08.05.2012 14:59:57 LUKE.DLL : 12.3.0.15 68304 Bytes 08.05.2012 14:59:57 AVSCPLR.DLL : 12.3.0.14 97032 Bytes 08.05.2012 14:59:57 AVREG.DLL : 12.3.0.17 232200 Bytes 10.05.2012 14:59:48 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 10:49:21 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 07:56:15 VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 07:56:21 VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 13:47:33 VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:41:03 VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 20:43:26 VBASE006.VDF : 7.11.34.117 2048 Bytes 29.06.2012 20:43:26 VBASE007.VDF : 7.11.34.118 2048 Bytes 29.06.2012 20:43:26 VBASE008.VDF : 7.11.34.119 2048 Bytes 29.06.2012 20:43:26 VBASE009.VDF : 7.11.34.120 2048 Bytes 29.06.2012 20:43:26 VBASE010.VDF : 7.11.34.121 2048 Bytes 29.06.2012 20:43:26 VBASE011.VDF : 7.11.34.122 2048 Bytes 29.06.2012 20:43:26 VBASE012.VDF : 7.11.34.123 2048 Bytes 29.06.2012 20:43:26 VBASE013.VDF : 7.11.34.124 2048 Bytes 29.06.2012 20:43:26 VBASE014.VDF : 7.11.34.201 169472 Bytes 02.07.2012 14:52:17 VBASE015.VDF : 7.11.35.19 122368 Bytes 04.07.2012 14:52:20 VBASE016.VDF : 7.11.35.87 146944 Bytes 06.07.2012 14:52:22 VBASE017.VDF : 7.11.35.88 2048 Bytes 06.07.2012 14:52:22 VBASE018.VDF : 7.11.35.89 2048 Bytes 06.07.2012 14:52:22 VBASE019.VDF : 7.11.35.90 2048 Bytes 06.07.2012 14:52:23 VBASE020.VDF : 7.11.35.91 2048 Bytes 06.07.2012 14:52:23 VBASE021.VDF : 7.11.35.92 2048 Bytes 06.07.2012 14:52:23 VBASE022.VDF : 7.11.35.93 2048 Bytes 06.07.2012 14:52:23 VBASE023.VDF : 7.11.35.94 2048 Bytes 06.07.2012 14:52:23 VBASE024.VDF : 7.11.35.95 2048 Bytes 06.07.2012 14:52:23 VBASE025.VDF : 7.11.35.96 2048 Bytes 06.07.2012 14:52:23 VBASE026.VDF : 7.11.35.97 2048 Bytes 06.07.2012 14:52:23 VBASE027.VDF : 7.11.35.98 2048 Bytes 06.07.2012 14:52:23 VBASE028.VDF : 7.11.35.99 2048 Bytes 06.07.2012 14:52:23 VBASE029.VDF : 7.11.35.100 2048 Bytes 06.07.2012 14:52:23 VBASE030.VDF : 7.11.35.101 2048 Bytes 06.07.2012 14:52:23 VBASE031.VDF : 7.11.35.120 18944 Bytes 07.07.2012 14:52:23 Engineversion : 8.2.10.106 AEVDF.DLL : 8.1.2.8 106867 Bytes 01.06.2012 15:22:12 AESCRIPT.DLL : 8.1.4.32 455034 Bytes 05.07.2012 14:53:59 AESCN.DLL : 8.1.8.2 131444 Bytes 23.03.2012 13:49:21 AESBX.DLL : 8.2.5.12 606578 Bytes 15.06.2012 05:11:11 AERDL.DLL : 8.1.9.15 639348 Bytes 31.01.2012 07:55:37 AEPACK.DLL : 8.2.16.22 807288 Bytes 21.06.2012 14:19:08 AEOFFICE.DLL : 8.1.2.40 201082 Bytes 28.06.2012 15:35:00 AEHEUR.DLL : 8.1.4.64 5009782 Bytes 05.07.2012 14:53:59 AEHELP.DLL : 8.1.23.2 258422 Bytes 28.06.2012 15:34:08 AEGEN.DLL : 8.1.5.32 434548 Bytes 06.07.2012 14:52:23 AEEXP.DLL : 8.1.0.60 86388 Bytes 05.07.2012 14:54:00 AEEMU.DLL : 8.1.3.0 393589 Bytes 31.01.2012 07:55:34 AECORE.DLL : 8.1.25.10 201080 Bytes 01.06.2012 15:22:05 AEBB.DLL : 8.1.1.0 53618 Bytes 31.01.2012 07:55:33 AVWINLL.DLL : 12.3.0.15 27344 Bytes 08.05.2012 14:59:56 AVPREF.DLL : 12.3.0.15 51920 Bytes 08.05.2012 14:59:57 AVREP.DLL : 12.3.0.15 179208 Bytes 08.05.2012 14:59:57 AVARKT.DLL : 12.3.0.15 211408 Bytes 08.05.2012 14:59:57 AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 08.05.2012 14:59:57 SQLITE3.DLL : 3.7.0.1 398288 Bytes 08.05.2012 14:59:57 AVSMTP.DLL : 12.3.0.15 63440 Bytes 08.05.2012 14:59:57 NETNT.DLL : 12.3.0.15 17104 Bytes 08.05.2012 14:59:57 RCIMAGE.DLL : 12.3.0.15 4447952 Bytes 08.05.2012 14:59:56 RCTEXT.DLL : 12.3.0.15 98512 Bytes 08.05.2012 14:59:56 Konfiguration für den aktuellen Suchlauf: Job Name..............................: AVGuardAsyncScan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ff80b12\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: reparieren Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Beginn des Suchlaufs: Sonntag, 8. Juli 2012 01:46 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DiskDefrag.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ccc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Server4PC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Server4PC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RocketDock.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hamachi-2-ui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PnkBstrA.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hamachi-2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\WINDOWS\system32\AcroIEHelpe.dll' C:\WINDOWS\system32\AcroIEHelpe.dll [FUND] Ist das Trojanische Pferd TR/Spy.Farko.mg [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '538b6bbf.qua' verschoben! Ende des Suchlaufs: Sonntag, 8. Juli 2012 01:46 Benötigte Zeit: 00:11 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 38 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 37 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise _____________________ Danke schon mal im vorraus! |
|
12.07.2012, 15:20
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | TR/Spy.Farko.mg - Wie werde ich ihn los? Bitte erstmal routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
__________________Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! ESET Online Scanner
Bitte alles nach Möglichkeit hier in CODE-Tags posten. Wird so gemacht: [code] hier steht das Log [/code] Und das ganze sieht dann so aus: Code:
ATTFilter hier steht das Log
__________________ |
|
13.07.2012, 05:12
| #3 |
| | TR/Spy.Farko.mg - Wie werde ich ihn los? So hier der Malwarebytes Log:
__________________Code:
ATTFilter Malwarebytes Anti-Malware 1.62.0.1300 www.malwarebytes.org Datenbank Version: v2012.07.12.10 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Hauke :: HAUKEPC [Administrator] 12.07.2012 21:30:25 mbam-log-2012-07-12 (21-30-25).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 391612 Laufzeit: 1 Stunde(n), 51 Minute(n), 57 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 1 C:\WINDOWS\system32\xmldm (Stolen.Data) -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Dateien: 3 C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP47\A0012273.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP77\A0018463.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\System Volume Information\_restore{8BF61412-A826-477C-B858-B234344CBABF}\RP86\A0022698.dll (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt. (Ende) und hier der Eset Log: Code:
ATTFilter ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=9ca347f82fe35742a9e88f734b945815
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-13 01:03:40
# local_time=2012-07-13 03:03:40 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1792 16777191 100 0 9622502 9622502 0 0
# compatibility_mode=8192 67108863 100 0 208 208 0 0
# scanned=109518
# found=4
# cleaned=0
# scan_time=12168
C:\Dokumente und Einstellungen\Hauke.HAUKEPC\Eigene Dateien\Downloads\LR2P.rar a variant of Win32/Kryptik.EIF trojan (unable to clean) 00000000000000000000000000000000 I
C:\Programme\Crysis - Maximum Edition\Crysis\Crysis.iso probably a variant of Win32/Spy.Agent.FEABBFZ trojan (unable to clean) 00000000000000000000000000000000 I
C:\WINDOWS\system32\12001.035\components\AcroFF035.dll a variant of Win32/Spy.Banker.YCR trojan (unable to clean) 00000000000000000000000000000000 I
${Memory} a variant of Win32/Spy.Banker.YCR trojan 00000000000000000000000000000000 I
|
|
13.07.2012, 14:19
| #4 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | TR/Spy.Farko.mg - Wie werde ich ihn los?Zitat:
 Siehe auch => http://www.trojaner-board.de/95393-c...-software.html Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support ohne jegliche Diskussion beenden. Cracks/Keygens sind zu 99,9% gefährliche Schädlinge, mit denen man nicht spaßen sollte. Ausserdem sind diese illegal und wir unterstützen die Verwendung von geklauter Software nicht. Somit beschränkt sich der Support auf Anleitung zur kompletten Neuinstallation!! Dass illegale Cracks und Keygens im Wesentlichen dazu dienen, Malware zu verbreiten ist kein Geheimnis und muss jedem klar sein! In Zukunft Finger weg von: Softonic, Registry-Bereinigern und illegalem Zeugs Cracks/Keygens/Serials
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
| Themen zu TR/Spy.Farko.mg - Wie werde ich ihn los? |
| avira, ccc.exe, csrss.exe, datei, desktop, dllhost.exe, einstellungen, explorer.exe, formatieren, free, juli 2012, lsass.exe, microsoft, modul, mom.exe, namen, nt.dll, programm, prozesse, server, service pack 3, services.exe, spoolsv.exe, svchost.exe, system, system32, temp, trojaner, windows, winlogon.exe |
