Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 18.10.2005, 11:57   #1
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Icon23

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Hallo ihr Helfer!
Ich habe seit gestern ein Problem mit folgenden Trojanern:
- TR/DIdr.Agent.TV.9
- TR/Drop.Small.bke.2

Ich habe bereits versucht die Hilfeschritte in der anderen Diskussion zu befolgen, habe auch die Dateien gesucht, aber nicht gefunden. Ich vermute das dies ein klein bisschen anderes Problem ist.

Ich habe nur folgende Dateien gefunden:
-Spoolsv.exe nicht Spoolsv32.exe
-dllhost.exe nicht dllhost32.exe
-ntdll.dll und nicht ntdll.exe

irgendwie find ich das ein bischen verwirrend.
Ach und noch was. Ich erhalt mit jedem Start eines neuen Programms eine Meldung vom Antivir das folgende Datei der Trojaner ist:

C:\DOKUME~1\BASTIA~1\LOKALE~1\TEMP\328792_2404_612_3076_65.41.TMP

Jetzt bin ich ratlos,... das scheiß Ding lässt sich nicht löschen, bzw. wird immer wieder erstellt.

Danke für eure HILFE !!!

Alt 18.10.2005, 11:59   #2
stupormundi
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Servus, Samqx!
Poste doch einmal ein HJT-Logfile nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17493
Bis dann, stupormundi
__________________


Alt 18.10.2005, 12:22   #3
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Icon17

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Hier mein HJT-Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 13:08:12, on 18.10.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
C:\PROGRAMME\ANTIVIR PE\AVGUARD.EXE
C:\Programme\AntiVir PE\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\pctspk.exe
C:\Programme\DU Meter\DUMeter.exe
C:\Programme\DaemonTool\daemon.exe
C:\Programme\Cherry\KeyMan\KeyMan.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\etb\pokapoka65.exe
C:\Programme\SurfAccuracy\SAcc.exe
C:\WINDOWS\NCLAUNCH.EXe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe
C:\Programme\Cherry\CDI\CDI.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\ICQ\Icq.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\BASTIA~1\LOKALE~1\Temp\Rar$EX00.487\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
- C:\WINDOWS\system32\hlwin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] REM C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [DU Meter] C:\Programme\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\DaemonTool\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AntiVir PE\AVGNT.EXE /min
O4 - HKLM\..\Run: [CherryKeyMan] "C:\Programme\Cherry\KeyMan\KeyMan.exe"
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\wuauclt10.exe
O4 - HKLM\..\Run: [Client Server Runtime Process] C:\WINDOWS\system32\smmss.exe
O4 - HKLM\..\Run: [Windows update] C:\WINDOWS\system32\wudupdate.exe
O4 - HKLM\..\Run: [I downloaded pirated Software from P2P and now I post my Hijack log whining] C:\WINDOWS\system32\Fussball Manager 2006 crack.exe
O4 - HKLM\..\Run: [System service65] C:\WINDOWS\etb\pokapoka65.exe
O4 - HKLM\..\Run: [SurfAccuracy] C:\Programme\SurfAccuracy\SAcc.exe
O4 - HKCU\..\Run: [NCLaunch] C:\WINDOWS\NCLAUNCH.EXe
O4 - Startup: WKCALREM.LNK = C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkCalRem.exe
O4 - Global Startup: Picture Package Menu.lnk = ?
O4 - Global Startup: Picture Package VCD Maker.lnk = ?
O8 - Extra context menu item: &eBay Search - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\13C1B~1.BAS\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Send to Keyman - C:\Programme\Cherry\KeyMan\IEMenuExtKeyman.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\13C1B~1.BAS\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - O23 - Service: Adobe Active File Monitor (AdobeActiveFileMonitor) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\ANTIVIR PE\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AntiVir PE\AVWUPSRV.EXE
O23 - Service: Cherry Device Interface - Cherry Gmbh, Auerbach Germany, - C:\Programme\Cherry\CDI\CDI.exe
O23 - Service: Photoshop Elements Device Connect (PhotoshopElementsDeviceConnect) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe

Ich hoffe das das Aussagekräftig genug ist und ich nicht das falsche editiert habe
__________________

Alt 18.10.2005, 12:24   #4
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Beitrag

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Ach übrigens,... Ich log mal die ganzen Temp. Dateien mit, die er bei jedem Programmstart anlegt,... Vielleicht nutzt das was.

Alt 18.10.2005, 12:38   #5
stupormundi
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Servus, Samqx!
Bevor wir da jetzt Rätsel raten lass´ diese Datei/en
Zitat:
O4 - HKLM\..\Run: [Windows update] C:\WINDOWS\system32\wudupdate.exe
...
O4 - HKLM\..\Run: [shell32] C:\WINDOWS\system32\wuauclt10.exe
bei Jotti virusscan.jotti.org/de prüfen und poste das Ergebnis. Falls Du eine Fehlermeldung bekommen solltest (0 bytes etc...) beende den dazugehörigen Prozess und/oder deaktiviere temporär Deine FW. Oder Du kopierst die Datei in ein anderes Verzeichnis, gibst ihr einen anderen Namen und probierst es damit.
Wenn sich mein Verdacht bestätigt, brauchst Du sonst gar nicht mehr weitersuchen, da Du dann einen oder mehrere sog. Backdoor-Trojaner im System hast. Dann hilft nur noch http://www.trojaner-board.de/showthread.php?t=12154
Bis dann, stupormundi


Alt 18.10.2005, 12:58   #6
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Beitrag

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Ich habe beide exe Dateien im Autostart gefunden, allerdings nicht im System 32. Soll ich in den Abgesicherten Modus gehen und diese Dateien über HJT löschen?

Alt 18.10.2005, 13:00   #7
stupormundi
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Nicht löschen, sondern überprüfen lassen (siehe vorpost)
Erst das Wissen was es ist hilft bei der Entscheidung der weiteren Vorgehensweise. Sollte es ein Backdoor sein, hilft Dir einfaches löschen sowieso nicht!
stupormundi

Alt 18.10.2005, 13:01   #8
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Beitrag

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Die Dateien die so ähnlich heißen
-wuaudt.exe
-wuaudt1.exe
hab ich alle gecheckt und die hatten alle keinen Virus.

Alt 18.10.2005, 13:06   #9
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Böse

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Ja wie soll ich denn bitte die Datei überprüfen, wenn ich diese überhaupt nicht finde. Beide exe Dateien lassen sich nirgendwo in diesem System 32 auffinden.

Alt 18.10.2005, 13:06   #10
stupormundi
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Nicht wahllos Dateien die so ähnlich heißen (das können sehr viele sein) sondern exakt (beachte die genaue Schreibweise und den Pfad) nur die von mir zitierten.
Solltest Du die nicht gleich finden, achte darauf, dass auch Systemdateien und versteckte Dateien angezeigt werden (Windows-Explorer: Menüleiste-->Extras--> Ansicht: Erweiterte Einstellungen--> Haken bei "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren und Haken setzen bei "Inhalte von Systemordnern anzeigen"-->*Click* "Übernehmen" und dann die Dateien suchen und zu Jotti senden!
stupormundi

Alt 18.10.2005, 13:20   #11
Samqx
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Also was auch immer ich falsch mache,... Ich habe die Systemdateien eingblendet, die versteckten auch aber ich finde die angegebenen Dateien nicht im Sytem 32. Ich habe im Autostart schon mal nachgeschaut und da steht genau der selbe Quellpfad wie du ihn geschrieben hast und genau diesen mache ich über copy paste in die Suchmachine, also nur das: wuauclt10
Finden tut er trotzdem nix...

Alt 18.10.2005, 13:25   #12
stupormundi
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Eigenartig, maskiert sich gut ...
Naja, dann etwas anderes - dauert etwas länger!
Lass mal escan nach Cidres Anleitung http://www.trojaner-board.de/showthread.php?t=17492 im abgesicherten Modus http://www.systemwiederherstellung-d...indows-xp.html laufen und poste anschließend das Ergebnis von Hau45´s "find.bat" (in der Anleitung ebenfalls beschrieben). Halte Dich genau an alle Punkte der Anleitung und habe Geduld. Wenn die Einstellungen richtig gewählt sind, läuft der Scan >1 Stunde und länger.
~~Edit: Nachtrag: Habe ich vorher vergessen bei den versteckten Dateien
Zitat:
Solltest Du die nicht gleich finden, achte darauf, dass auch Systemdateien und versteckte Dateien angezeigt werden (Windows-Explorer: Menüleiste-->Extras--> Ansicht: Erweiterte Einstellungen--> Haken bei "Geschützte Systemdateien ausblenden (empfohlen)" deaktivieren und Haken setzen bei "Inhalte von Systemordnern anzeigen" und bei versteckte Dateien und Ordner "Alle Dateien und Ordner anzeigen" anklicken
bis dann, stupormundi

Geändert von stupormundi (18.10.2005 um 13:34 Uhr)

Alt 18.10.2005, 13:33   #13
Wildone
 
TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Standard

TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2



Hallo,
Zitat:
Eigenartig, maskiert sich gut ...
Denke einfach das die eigentliche Datei schon weg ist, aber der Autostarteintrag (O4) noch vorhanden ist.

Escan ist auf jeden Fall eine gute Idee, aber meiner Meinung nach kannst du nebenbei schon Datensicherung betreiben


Grüße Wildone

Antwort

Themen zu TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2
anderen, anderes, antivir, dateien, diskussion, erstell, folge, folgende, gesucht, immer wieder, klein, lokale, löschen, meldung, neue, neuen, nicht löschen, problem, ratlos, start, temp, trojaner, trojanern, versucht



Ähnliche Themen: TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2


  1. TR/Crypt.XPACK.Gen'/ TR/Drop.Agent.qkm/ TR/Drop.Mudr.CY.305...alles seit heut morgen!
    Plagegeister aller Art und deren Bekämpfung - 06.04.2009 (8)
  2. tr/drop.small.bke.2
    Plagegeister aller Art und deren Bekämpfung - 22.01.2006 (3)
  3. TR/Drop.Small.bke.2
    Plagegeister aller Art und deren Bekämpfung - 22.10.2005 (1)
  4. TR/Drop.Small.YD.2
    Plagegeister aller Art und deren Bekämpfung - 08.06.2005 (7)
  5. TR/Drop.small.rs
    Plagegeister aller Art und deren Bekämpfung - 26.04.2005 (3)
  6. Trojaner TR/Drop.small.TY.2
    Log-Analyse und Auswertung - 21.03.2005 (1)
  7. TR/Drop.Small.MT.2
    Plagegeister aller Art und deren Bekämpfung - 14.03.2005 (2)
  8. TR/Drop.Small.PV.1
    Plagegeister aller Art und deren Bekämpfung - 24.02.2005 (8)
  9. TR/Drop/Small.NK
    Plagegeister aller Art und deren Bekämpfung - 17.02.2005 (34)
  10. TR.Drop.Small.NT
    Plagegeister aller Art und deren Bekämpfung - 09.01.2005 (1)
  11. TR\Drop.Small.NK
    Log-Analyse und Auswertung - 14.12.2004 (1)
  12. TR/Drop.Small.NK
    Log-Analyse und Auswertung - 08.12.2004 (6)
  13. TR/Drop.small.nk
    Plagegeister aller Art und deren Bekämpfung - 28.11.2004 (4)
  14. TR/drop.small
    Plagegeister aller Art und deren Bekämpfung - 25.11.2004 (8)
  15. TR/Drop.Small.Ju.2
    Plagegeister aller Art und deren Bekämpfung - 11.10.2004 (18)
  16. TR/Drop.Small.Ju.2
    Plagegeister aller Art und deren Bekämpfung - 03.10.2004 (1)
  17. TR/Drop.Small.Ju 2
    Plagegeister aller Art und deren Bekämpfung - 29.09.2004 (9)

Zum Thema TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 - Hallo ihr Helfer! Ich habe seit gestern ein Problem mit folgenden Trojanern: - TR/DIdr.Agent.TV.9 - TR/Drop.Small.bke.2 Ich habe bereits versucht die Hilfeschritte in der anderen Diskussion zu befolgen, habe auch - TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2...
Archiv
Du betrachtest: TR/DIdr.Agent.TV.9 und TR/Drop.Small.bke.2 auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.