| |
| |||||||
Log-Analyse und Auswertung: Worm/Rbot.93696 file:msmq2inst.exeWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
13.04.2005, 00:40
| #1 |
| |  Worm/Rbot.93696 file:msmq2inst.exe Hallo, ich bekomme von Antivir Guard die Meldung über dieses wurm. Außerdem wird mein Rechner ab und zu heruntergefahren wegen LSA Shell problem (das Toll zum Entfernen wurde nicht installiert von Windows und ich weiß nicht warum!!!!) hier ist das logfile von Hijack: Logfile of HijackThis v1.99.1 Scan saved at 01:20:55, on 13.04.2005 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AVPersonal\AVWUPSRV.EXE C:\WINDOWS\system32\cisvc.exe C:\WINDOWS\Explorer.EXE C:\Programme\AVPersonal\AVGNT.EXE C:\Programme\AVPersonal\AVGUARD.EXE C:\Programme\Winamp\winamp.exe C:\WINDOWS\system32\cidaemon.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Dokumente und Einstellungen\ozzy\Desktop\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [MSOffice] C:\WINDOWS\System32\MSOffice\services.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min O4 - HKCU\..\Run: [JavaUpdate0.07] C:\WINDOWS\System32\hfnvyxxx.exe O4 - HKCU\..\Run: [Skype] "C:\Programme\skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: ICQ 4 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O15 - Trusted Zone: www.mtel.bg O15 - Trusted Zone: http://www.o2-online.de O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone O16 - DPF: Yahoo! Backgammon - http://download.games.yahoo.com/game...ts/y/at1_x.cab O16 - DPF: Yahoo! Bridge - http://download.games.yahoo.com/game...ts/y/bt1_x.cab O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/game...ts/y/ct2_x.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{C2F4E5EE-FED0-4C92-99B5-41433DF1A769}: NameServer = 134.2.200.1,134.2.200.2 O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE |
|
13.04.2005, 01:02
| #2 |
  | Worm/Rbot.93696 file:msmq2inst.exe hi
__________________bitte diese dateien hier bei Jotti oder Virustotal überprüfen lassen, ergebnis hier posten. C:\WINDOWS\System32\MSOffice\services.exe poste bitte den inhalt des avpe(c) logfiles -> C:\Programme\AVPersonal\Logfiles
__________________ |
|
13.04.2005, 01:11
| #3 |
| | Worm/Rbot.93696 file:msmq2inst.exe es gibt keine detei im folder MSOffice in system32, abet es gibt services.exe in Windows\system32 und es ist virenfrei. also hier das logfile von AVir:
__________________12.4.2005,23:19:37 [INIT] Der AVGuard Service wird gestarted. 12.4.2005,23:19:40 [INIT] Lizenzdatei enthält eine gültige Lizenz. Der AVGuard Dienst läuft als uneingeschränkte Vollversion! 12.4.2005,23:19:41 [INFO] Start Filter Device. 12.4.2005,23:19:41 [INIT] AntiVirService Version: 6.30.00.06 AVE Version 6.30.0.7 VDF Version: 6.30.0.90 12.4.2005,23:19:41 [INIT] Der AVGuard Dienst wurde erfolgreich gestartet! 12.4.2005,23:19:42 [LOGON] Verbindung zu Remote-Computer. Sicherer Kommunikationskanal wird hergestellt. 12.4.2005,23:19:42 [LOGON] Verbindung zu Computer 127.0.0.1 erfolgreich hergestellt. Session ID = 0xaaa88917. 13.4.2005,00:26:53 [WARNUNG] AVGuard fand in der folgenden Datei ein Problem: C:\DOKUMENTE UND EINSTELLUNGEN\OZZY\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\GNTF6MBH\EUROCV-ENG[1].DOC [WARNUNG] Dieses OLE-Dokument ist möglicherweise zerstört! 13.4.2005,01:10:33 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR 13.4.2005,01:10:45 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR00.VIR 13.4.2005,01:10:47 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR01 13.4.2005,01:10:48 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR02 13.4.2005,01:10:48 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR03 13.4.2005,01:10:49 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR06 13.4.2005,01:13:31 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR03 13.4.2005,01:13:40 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR06 13.4.2005,01:14:31 [WARNUNG] Enthält Signatur des Wurmes Worm/Rbot.93696! C:\PROGRAMME\AVPERSONAL\INFECTED\MSMQ2INST.VIR [INFO] Die Datei wurde gelöscht! |
|
13.04.2005, 01:24
| #4 | |
| Moderator, a.D.  | Worm/Rbot.93696 file:msmq2inst.exeZitat:
 Der ist da nicht nur zur Zierde! Dein System ist völlig veraltet.Installiere alle(!) Updates, lösche den Internet-Cache und den Antivir-Infected-Ordner und scan mit escan. Wenn escan keinen aktiven Bot findet, dann hast Du evtl. Glück gehabt. Ansonsten kannst Du Dich auf Neuinstallation einstellen. eScan: http://www.trojaner-board.de/42731-escan-anleitung.html Neuinstallation: http://www.trojaner-info.de/report_i...nleitung.shtml Die Anleitungen sind zu beachten. Gruß  Yopie |
|
| Themen zu Worm/Rbot.93696 file:msmq2inst.exe |
| adobe, adobe reader, antivir, antivir guard, antivir update, avg, bho, desktop, einstellungen, entfernen, excel, explorer, file, hijack, hijackthis, icqtoolbar, internet, internet explorer, javaupdate, logfile, lsa shell, microsoft, nicht installiert, problem, programme, skype.exe, software, system, urlsearchhook, warum, windows, windows xp, yahoo |
Linear-Darstellung
