Hey Leute,
ich habe von einem Kollegen ein Programm bekommen, von dem ich erst nach dem Installieren und ausführen hörte, dass es den Trojan Dropper "DR/Spy.Banc.ha.10.B" enthalten soll. Ich habe im Forum dazu nicht viel gefunden, es lief immer auf das scannen mit E-Scan und einem Logfile von HijackThis hinaus.
Bei mir hab ich seitdem allerdings auch nichts merkwürdiges festgestellt, auch meine Festplatte läuft noch einwandfrei.
Das einzige Problem, was allerdings auch davor schon bestand ist, dass mein PC teilweise einfach so und ohne Abhängigkeit zu irgendeinem einem Programm einfriert und ich nur mit dem resetten weiterkomm.
Ich habe zur Zeit Kaspersky Anti Virus Personal Pro und die Outpost Firewall, dazu noch den Spybot S&D drauf.
Kaspersky hat nichts gefunden und ich hab die Datei nachdem ich es erfahren hatte, auch direkt gelöscht.
Habe dann gestern mal den E-Scan drüber laufen lassen und der fand dann auch keine Spuren mehr, dafür aber umso mehr Spyware/Adware.
Jetzt hatte ich gestern dann probiert mal das böse Übel ein wenig zu bekämpfen, aber es halt leider nichts geklappt.
Ich versuchte zum Beispiel den "smitfraud variant Browser Hijacker" über den im Forum gefunden Thread mit dem franzöischen Programm zu bekämpfen, aber es halt wohl nicht geklappt.
Deshalb habe ich eben nochmal im abgesicherten Modus mit den notwendigen Einstellungen einen E-Scan gemacht und ein HijackThis logfile.
Über Msconfig.exe hab ich grundsätzlich schon ein paar Prozesse entfernt, darunter auch 2 wo einfach kein Text beisteht, neben so den üblich nervenden (z.B. Real Player oder Quick Time).
Vielleicht könnt ihr mir ja mal helfen, wie schlimm der "Schaden" ist und ob das simple entfernen reicht.
Drüberlaufen lassen hab ich also heut morgen Spybot S&D, E-Scan und dann eben Hijack.
Vielen Dank schonmal im Voraus.

Hier also mal die Logfiles:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Mar 14 07:00:55 2006 => System found infected with cws.loadadv.400 Browser Hijacker ({5e2121ee-0300-11d4-8d3b-444553540000})! Action taken: No Action Taken.
Tue Mar 14 07:01:01 2006 => System found infected with ezula Spyware/Adware (internet.lnk)! Action taken: No Action Taken.
Tue Mar 14 07:01:02 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:03 2006 => System found infected with lop.com Spyware/Adware (backup.reg)! Action taken: No Action Taken.
Tue Mar 14 07:01:08 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:08 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:08 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:12 2006 => System found infected with clipgenie Spyware/Adware (channels.ini)! Action taken: No Action Taken.
Tue Mar 14 07:01:14 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:14 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:01:14 2006 => System found infected with cydoor.topicks.a Spyware/Adware (settings.dat)! Action taken: No Action Taken.
Tue Mar 14 07:00:59 2006 => Object "smitfraud variant Browser Hijacker" found in File System! Action Taken: No Action Taken.
Tue Mar 14 07:01:11 2006 => Object "smitfraud variant Browser Hijacker" found in File System! Action Taken: No Action Taken.
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Tue Mar 14 07:01:01 2006 => Offending file found: C:\Dokumente und Einstellungen\*** *** ***\Anwendungsdaten\microsoft\office\zuletzt verwendet\internet.lnk
Tue Mar 14 07:01:02 2006 => Offending file found: C:\Dokumente und Einstellungen\*** *** ***\Anwendungsdaten\utorrent\settings.dat
Tue Mar 14 07:01:03 2006 => Offending file found: C:\Dokumente und Einstellungen\*** *** ***\Desktop\spiele\backup.reg
Tue Mar 14 07:01:08 2006 => Offending file found: D:\Eigene Dateien\konami\pro evolution soccer 5\settings.dat
Tue Mar 14 07:01:08 2006 => Offending file found: D:\Eigene Dateien\manhunt user files\savegames\settings.dat
Tue Mar 14 07:01:08 2006 => Offending file found: D:\Eigene Dateien\nba live 06\settings\settings.dat
Tue Mar 14 07:01:12 2006 => Offending file found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gtek\gtupdate\aupdate\channels\channels.ini
Tue Mar 14 07:01:14 2006 => Offending file found: D:\Eigene Dateien\konami\pro evolution soccer 5\settings.dat
Tue Mar 14 07:01:14 2006 => Offending file found: D:\Eigene Dateien\manhunt user files\savegames\settings.dat
Tue Mar 14 07:01:14 2006 => Offending file found: D:\Eigene Dateien\nba live 06\settings\settings.dat
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Tue Mar 14 07:00:59 2006 => Offending Folder found: C:\Dokumente und Einstellungen\*** *** ***\Anwendungsdaten\acccore\caches\bart\1024
Tue Mar 14 07:01:11 2006 => Offending Folder found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\aol\d_aol 9.0\idb\bart\1024
~~~~~~~~~~~
Registry
~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Tue Mar 14 10:29:28 2006 => Total Errors: 20
Tue Mar 14 10:29:28 2006 => Time Elapsed: 03:28:45
Tue Mar 14 10:29:28 2006 => Total Objects Scanned: 225100
Tue Mar 14 06:58:04 2006 => Virus Database Date: 3/13/2006
Tue Mar 14 06:58:16 2006 => Virus Database Date: 3/14/2006
Tue Mar 14 07:00:10 2006 => Virus Database Date: 3/14/2006
Tue Mar 14 10:29:28 2006 => Virus Database Date: 3/14/2006
Tue Mar 14 12:11:36 2006 => Virus Database Date: 3/14/2006
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Und dazu der hijacklog:

Logfile of HijackThis v1.99.1
Scan saved at 12:18:32, on 14.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SYSTEM32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
D:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
D:\Programme\cFosSpeed\spd.exe
D:\Programme\Logitech\iTouch\iTouch.exe
D:\Programme\Razer\razerhid.exe
C:\WINDOWS\system32\CTsvcCDA.exe
D:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
D:\FH-GE\TSW\Filezilla\FileZilla Server.exe
D:\Programme\cFosSpeed\cFosSpeed.exe
D:\Programme\Creative\MediaSource\RemoteControl\RcMan.exe
D:\Programme\Creative\MediaSource\Detector\CTDetect.exe
D:\Programme\a-squared\a2guard.exe
D:\Programme\Creative\MediaSource\Go\CTCMSGo.exe
C:\Programme\Microsoft SQL Server\MSSQL$INVENTORCONTENT\Binn\sqlservr.exe
D:\Programme\Razer\razertra.exe
D:\Programme\Razer\razerofa.exe
C:\WINDOWS\system32\oodag.exe
D:\Programme\Agnitum\Outpost Firewall\outpost.exe
D:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
D:\FH-GE\TSW\Apache2\bin\apache.exe
D:\FH-GE\TSW\DB\MySQL4\bin\mysqld-nt.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\system32\MsPMSPSv.exe
D:\FH-GE\TSW\Apache2\bin\apache.exe
C:\WINDOWS\system32\HDDSvc.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Mozilla Firefox\firefox.exe
C:\HiJackThis\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O4 - HKLM\..\Run: [CTSysVol] D:\Programme\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [zBrowser Launcher] D:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [razer] D:\Programme\Razer\razerhid.exe
O4 - HKLM\..\Run: [KAVPersonal50] "D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKLM\..\Run: [CTDVDDET] D:\Programme\Creative\SBAudigy2ZS\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [Outpost Firewall] D:\Programme\Agnitum\Outpost Firewall\outpost.exe /waitservice
O4 - HKLM\..\Run: [cFosSpeed] D:\Programme\cFosSpeed\cFosSpeed.exe
O4 - HKLM\..\Run: [HDInspector.exe] D:\Programme\Hard Drive Inspector\HDInspector.exe
O4 - HKCU\..\Run: [RemoteCenter] D:\Programme\Creative\MediaSource\RemoteControl\RcMan.exe
O4 - HKCU\..\Run: [Creative Detector] "D:\Programme\Creative\MediaSource\Detector\CTDetect.exe" /R
O4 - HKCU\..\Run: [a-squared] "D:\Programme\a-squared\a2guard.exe"
O4 - HKCU\..\Run: [Creative MediaSource Go] "D:\Programme\Creative\MediaSource\Go\CTCMSGo.exe" /SCB
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Alles mit FlashGet laden - D:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - D:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Outpost Firewall Pro Quick Tune - {44627E97-789B-40d4-B5C2-58BD171129A1} - D:\Programme\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - h**p://www.creative.com/su/ocx/15015/CTSUEng.cab
O16 - DPF: {1F831FA3-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) -
O16 - DPF: {2359626E-7524-4F87-B04E-22CD38A0C88C} (ICSScannerLight Class) - h**p://download.zonelabs.com/bin/free/cm/ICSCM.cab
O16 - DPF: {4A3CF76B-EC7A-405D-A67D-8DC6B52AB35B} (QDiagAOLCCUpdateObj Class) - h**p://aolcc.aol.de/computercheckup/qdiagcc.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - h**p://www.bitdefender.de/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120211702218
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1123760743359
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday-Steuerung) -
O16 - DPF: {AE563724-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) -
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview-Steuerung) -
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - h**p://creative.com/su/ocx/15016/CTPID.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3A7D1D85-DA1B-446F-8965-32C1C3D79E35}: NameServer = 192.168.2.1
O18 - Protocol: pcl - {182D0C85-206F-4103-B4FA-DCC1FB0A0A44} - D:\Siemens\Programme\Autodesk\Inventor Professional 10\Bin\HSPCLPRO10.dll
O20 - AppInit_DLLs: D:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - D:\Programme\cFosSpeed\spd.exe" -service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - D:\FH-GE\TSW\Filezilla\FileZilla Server.exe
O23 - Service: HDD Information Service (HDDSvc) - AltrixSoft (h**p://www.altrixsoft.com/) - C:\WINDOWS\system32\HDDSvc.exe
O23 - Service: kavsvc - Kaspersky Lab - D:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - D:\Programme\Agnitum\Outpost Firewall\outpost.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - D:\Programme\SiSoftware\SiSoftware Sandra Lite 2005.SR3\RpcSandraSrv.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Programme\Gemeinsame Dateien\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TSW-Controlserver - Unknown owner - D:\FH-GE\TSW\Apache2\bin\apache.exe" -k runservice (file missing)
O23 - Service: TSW-MySQL - Unknown owner - D:\FH-GE\TSW\DB\MySQL4\bin\mysqld-nt.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe

Kann keiner helfen?!
Oder hab ich irgendwie was falsch gepostet?!
Könntet ihr mir vielleicht wenigstens sagen wie schlimm die sich bei mir auf dem befindlichen System Malware ist?
Vielen Dank für eure Hilfe.
mfg
Dami

Hallo d4m1,
du hast diesen im system
und zwar hier:
System found infected with cws.loadadv.400 Browser Hijacker ({5e2121ee-0300-11d4-8d3b-444553540000})! Action taken: No Action Taken.

Ich würde mich an deiner Stelle an den Systemadmin melden, ich kann dir nur raten dein System neuafzusetzen.

SRY
chaosman

Neuaufsetzen ist ja schonmal nicht so gut *grml*
Reicht es eigentlich dann dafür wenn ich die Windowspartition formatiere?
Und die restlichen Daten auf den anderen Festplatte belasse?
Aber ansich kann ich dann davon ausgehen, dass die restliche Malware minderschlimm ist.
Gibts es denn eine Möglichkeit das Ding vorher zu entfernen, da ich noch ca. eine Woche brauchen werde bis ich die Zeit dafür habe.
Danke im Voraus.
mfg
Dami

@d4m1
zur erinnerung: * Stiehlt Daten
* Installiert sich in der Registrierung

du arbeitest mit ein kompromittiertes System.

Speichere deine Daten auf ein externes Medium, nach dem Neuaufsetzen die Daten von ein sauberes System überprüfen lassen. Wenn nichts gefunden wird, dann die Daten zurückkopieren.


chaosman