Das Thema soll heißen: Trojan Horse IRC/BackDoor.SdBot.MYX, danke Admin für die Umbenennung!


Hab einen fiesen Trojaner, den ich nicht wegkriege. Vielleicht kann mir ja jemand helfen?? Neuinstallation will ich vermeiden, da ich meine ganzen Software-CDs in Russland gelassen habe! Falls das was hilft: Ich bekomme bei jedem Neustart erneut die Meldung, dass AVG (Free Edition) den Trojaner entdeckt hat. Wenn ich ihn "heale" oder "move to virus vault", dann kommt er trotzdem wieder. Hab den Trojaner schätzungsweise über Limewire bekommen, und er versucht auch, LimeWire zu starten. Ich habs aber schon deinstalliert, so dass ich ne Fehlermeldung bekomme, die so aussieht:


LimeWire version 4.10.3
Java version 1.5.0_06 from Sun Microsystems Inc.
Windows XP v. 5.1 on x86
Free/total memory: 2790328/4128768

com.limegroup.gnutella.gui.GUILoader$StartupFailedException: invalid update.ver
at com.limegroup.gnutella.gui.GUILoader.sanityCheck(GUILoader.java:274)
at com.limegroup.gnutella.gui.GUILoader.load(GUILoader.java:40)
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
at sun.reflect.NativeMethodAccessorImpl.invoke(Unknown Source)
at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source)
at java.lang.reflect.Method.invoke(Unknown Source)
at com.limegroup.gnutella.gui.Main.main(Main.java:44)

STARTUP ERROR!




FILES IN CURRENT DIRECTORY:
C:\Programme\LimeWire\clink.jar
LAST MODIFIED: 1137494051015
SIZE: 307949

C:\Programme\LimeWire\commons-httpclient.jar
LAST MODIFIED: 1137494051046
SIZE: 459988

C:\Programme\LimeWire\commons-logging.jar
LAST MODIFIED: 1137494051062
SIZE: 59154

C:\Programme\LimeWire\commons-net.jar
LAST MODIFIED: 1137494051093
SIZE: 355370

C:\Programme\LimeWire\daap.jar
LAST MODIFIED: 1137494051125
SIZE: 311611

C:\Programme\LimeWire\downloads
LAST MODIFIED: 1143540439312
SIZE: 0

C:\Programme\LimeWire\GenericWindowsUtils.dll
LAST MODIFIED: 1136500904927
SIZE: 12279

C:\Programme\LimeWire\i18n.jar
LAST MODIFIED: 1137494051125
SIZE: 25678

C:\Programme\LimeWire\icu4j.jar
LAST MODIFIED: 1137494051171
SIZE: 741440

C:\Programme\LimeWire\id3v2.jar
LAST MODIFIED: 1137494051187
SIZE: 94430

C:\Programme\LimeWire\Incomplete
LAST MODIFIED: 1143540448625
SIZE: 0

C:\Programme\LimeWire\jcraft.jar
LAST MODIFIED: 1137494051203
SIZE: 136693

C:\Programme\LimeWire\jl011.jar
LAST MODIFIED: 1137494051234
SIZE: 255016

C:\Programme\LimeWire\jmdns.jar
LAST MODIFIED: 1137494051250
SIZE: 69306

C:\Programme\LimeWire\LimeWire.exe
LAST MODIFIED: 1136500907943
SIZE: 81920

C:\Programme\LimeWire\LimeWire.jar
LAST MODIFIED: 1137494050859
SIZE: 6322553

C:\Programme\LimeWire\LimeWire20.dll
LAST MODIFIED: 1136500907693
SIZE: 40960

C:\Programme\LimeWire\log4j.jar
LAST MODIFIED: 1137494051296
SIZE: 677952

C:\Programme\LimeWire\logicrypto.jar
LAST MODIFIED: 1137494051312
SIZE: 227510

C:\Programme\LimeWire\looks.jar
LAST MODIFIED: 1137494051359
SIZE: 630634

C:\Programme\LimeWire\MessagesBundles.jar
LAST MODIFIED: 1137494050984
SIZE: 2820285

C:\Programme\LimeWire\mp3sp14.jar
LAST MODIFIED: 1137494051359
SIZE: 40064

C:\Programme\LimeWire\ProgressTabs.jar
LAST MODIFIED: 1137494051000
SIZE: 18324

C:\Programme\LimeWire\themes.jar
LAST MODIFIED: 1137494051375
SIZE: 379059

C:\Programme\LimeWire\tritonus.jar
LAST MODIFIED: 1137494051406
SIZE: 152711

C:\Programme\LimeWire\vorbis.jar
LAST MODIFIED: 1137494051406
SIZE: 27215

C:\Programme\LimeWire\WindowsV5PlusUtils.dll
LAST MODIFIED: 1136500907724
SIZE: 12808

C:\Programme\LimeWire\xerces.jar
LAST MODIFIED: 1137494051531
SIZE: 2147687

C:\Programme\LimeWire\xml-apis.jar
LAST MODIFIED: 1137494051578
SIZE: 207655

-----------------------Ende----Fehlermeldung---------------------------
Die Datei, die AVG gefunden hat, hieß c:\\oo.exe die hab ich gelöscht und danach die Systemwiederherstellung auf allen Laufwerken deaktiviert und dann Neustart gemacht. Keine AVG-Meldung mehr! Systemwiederherstellung also wieder aktiviert und Neustart gemacht, und immer noch keine AVG-Meldung. Leider geht der Task-Manager nicht mehr, was mich ein wenig misstrauisch stimmt.

Ich hab HijackThis drüberlaufen lassen und das ist jetzt das Logfile (bevor ich oo.exe gelöscht habe):



Logfile of HijackThis v1.99.1
Scan saved at 16:43:17, on 28.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\**admin\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com/fsc/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h*p://de.yahoo.com/fsc/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com/fsc/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://h**p://resultsmaster.com/Smar...meLeftPane.htm
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: ShprRprts - {2A8A997F-BB9F-48F6-AA2B-2762D50F9289} - C:\Programme\ShopperReports\Bin\1.1.0.0\ShprRprt.dll
O2 - BHO: HbTools - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Programme\HbTools\Bin\4.7.3.0\HbtHostIE.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll
O3 - Toolbar: H&otbar - {74CC49F7-EB32-4A08-B204-948962A6E3DB} - C:\Programme\HbTools\Bin\4.7.3.0\HbtHostIE.dll
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
O4 - HKLM\..\Run: [LiquidView] C:\Programme\LiquidView\lviewj.exe -nogui
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [CreativeMouse ] C:\Programme\Mouse Driver\MouseDrv.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [WeatherOnTray] C:\Programme\HbTools\Bin\4.7.3.0\HbtWeatherOnTray.exe
O4 - HKLM\..\Run: [HbTools] C:\Programme\HbTools\Bin\4.7.3.0\HbtOEAddOn.exe
O4 - HKLM\..\Run: [dtvohuoz] C:\WINDOWS\system32\cggqsluq.exe
O4 - HKLM\..\Run: [MsMovies] C:\Programme\MsMovies\MsMovies.exe /auto
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: VPN Client.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE14} - C:\Programme\ShopperReports\Bin\1.1.0.0\ShprRprt.dll
O9 - Extra button: ShopperReports - Compare product prices - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\Programme\ShopperReports\Bin\1.1.0.0\ShprRprt.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Ja, vielen Dank für eventuelle Hilfe!
David

@dumbid

Das Thema soll heißen: Trojan Horse IRC/BackDoor.SdBot.MYX

...was aber wenig ändert . Ich kann Dir nur einen Rat geben: nimm Dein Laptop vom Netz, hole Deine Original-CDs aus Rußland, oder wo auch immer sie sind und installiere Windows neu. Warum? Guck mal hier.

Ja okay, wenn das WIRKLICH die einzige Lösung ist???? Wieso startet der Task-Manager nicht mehr? Vielen Dank für die Hilfe!

Da ich die CDs nicht einfliegen lassen konnte, habe ich weitergesucht und folgende Lösung gefunden (ich hoffe, dass jetzt Schluss mit dem Trojaner ist!):

SOURCE OF VIRUS:
1. Downloaded a zip file, with an innocuous name, containing one file: video.exe.
2. Unzipped the file and launched video.exe.

SYMPTOMS OF VIRUS:
1. An executable file named MsMovies.exe runs automatically on startup (and apparently locks up Task Manager).
2. Prevents user from running Task Manager, by either using Ctrl-Alt-Del keys or running TaskMgr in the Run dialog.

CHANGES MADE BY VIRUS:
1. Creates these files:
a. c:/0.exe
b. c:/Program Files/msmovie, a hidden folder containing these files:
v.tmp
MsMovies.exe
p.zip, containing the same file as the one in the original download: video.exe
Adds many, many other zip files, all containing MsMovies.exe
2. Adds the following register keys:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsMovies"="C:\\Program Files\\MsMovies\\MsMovies.exe /auto"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\MsMovies\\MsMovies.exe"="Windows Media Video"

OTHER NOTES:
1. Virus scanner will detect a virus in c:/0.exe.
2. Even with the file c:/0.exe deleted, MsMovies.exe still runs and locks up Task Manager.
3. MsMovies.exe can't easily be terminated by user.
4. If a firewall is used and running, it can be used to terminate MsMovies.exe.
5. MsMovies.exe will still start on next start-up however.

FIX:
1. Delete register entries, above, using regedit.
2. Delete c:/0.exe, if an anti-virus program hasn't already deleted it.
3. Delete c:/Program Files/msmovie folder and it's content (you may have to set explorer to see hidden folders and files).

Der Fix ist das Entscheidende:

Start -> Ausführen -> regedit

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsMovies"="C:\\Program Files\\MsMovies\\MsMovies.exe /auto" löschen.

Diese Datei kann aber auch unter
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\MsMovies\\MsMovies.exe"="Windows Media Video"
oder
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run zu finden sein. Jedenfalls hab ich sie am angegebenen Ort unter LOCAL_MACHINE nicht gefunden.

Na und dann C:/oo.exe löschen

und dann noch c:/programme/msmovie löschen. Auf der englischen Seite steht zwar c:/program files/msmovie aber ich habs wieder woanders gefunden. Kann sein, dass man "msmovies.exe" erst nach einem weiteren Neustart löschen kann. Viel Erfolg!