Hallo Leute!

Ich habe mich gerade frisch angemeldet, weil ich ein Problem mit dem Trojanischen Pferd TR/Proxy.Horst.Gen habe. Antivr hat diesen seit etwa 1 Woche schon öfters gefunden, ich konnte ihn aber nicht erfolgreich löschen. Diesesmal war er unter folgendem Pfad zu finden:
C:\System Volume Information\_restore {0DEDB9D4-79B0-4D2A-9FA3-4B9FF6211DAB}\RP114\A0012023.exe

Ich meine aber, dass bei vorherigen Meldungen der gleiche Virus in C:\Windows\Temp\ und dann in Dateien mit der Endung tmp zu finden war.

Bei der letzen Meldung habe ich "Unter Quarantäne stellen" gewählt. Ich habe in anderen Foren gelesen, dass man besser nicht versucehn sollte ihn zu löschen.

Unter dem folgenden Link ist in etwa das gleiche Problem beschrieben http://www.trojaner-board.de/32241-t...horst-gen.html

Hier wird gesagt, dass es wohl die einzige Lösung wäre, das System neu aufzusetzen (Ich habe übrigens WinXPProSP2). Das wäre für mich nicht allzu schlimm, wenn ich meine D Partition behalten könnte. Dort sind Lieder, Fotos und Speicherstände von Spielen gespeichert. Wäre es sicher genug nur C zu formatieren?
Außerdem habe ich den Virus auf meinen Laptop übertragen (Auch Antivir, ähnliche Meldungen, gleiches Betriebssystem), dieser ist ganz neu und statt einer Treiber CD habe ich nur die Möglichkeit von einer Recovery-Festplatte DVDs zur Systemwiederherstellung zu brennen. Kann es sein, dass diese Festplatte auch schon infizuiert ist und die Wiederherstellungs-DVDs somit auch? Ich müsste sie erst jetzt noch brennen, habe das bisher nicht gemacht. Bisher kamen keine Meldungen von Antivir, dass auf der Recovery-Platte was gefunden wurde.

Wichtig ist vielleicht noch, dass Antivir bei einem kompletten Scan nichts findet, kurze Zeit später jedoch wieder eine Meldung erscheint.


Danke schonmal an jeden, der sich das hier alles durchliest

EDIT: Hier der Hijack-Log-File...wenn ich da was falsch gemacht habe, bitte sagen, ich kenne mich damit einfach nich aus

Logfile of HijackThis v1.99.1
Scan saved at 16:28:48, on 04.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\ANYCOM\Blue USB-200-250\bin\btwdins.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\Programme\Internet\ICQ5.1Lite\ICQLite.exe
C:\programme\player\video\divx\divx pro codec\gain_trickler_3202.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ANYCOM\Blue USB-200-250\BTTray.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\PROGRA~1\Webshots\webshots.scr
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://google.icq.com
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\Internet\ICQToolbar\toolbaru.dll
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: XTTBPos00 Class - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programme\Internet\ICQToolbar\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\Internet\ICQToolbar\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: WikiSearch - {44E7EF6C-6F5C-4AAF-A080-7725A27878ED} - C:\PROGRA~1\WIKISE~1\WIKIPE~1.DLL
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\Internet\ICQ5.1Lite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\Rippen\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Trickler] "c:\programme\player\video\divx\divx pro codec\gain_trickler_3202.exe"
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\Internet\ICQ5.1Lite\ICQLite.exe -trayboot
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Startup: Webshots.lnk = C:\Programme\Webshots\Launcher.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: Find on Wikipedia... - C:\Programme\WikiSearch Toolbar\cm.html
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\ANYCOM\Blue USB-200-250\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\Internet\ICQ5.1Lite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\Internet\ICQ5.1Lite\ICQLite.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ANYCOM\Blue USB-200-250\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\ANYCOM\Blue USB-200-250\btsendto_ie.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\ANYCOM\Blue USB-200-250\bin\btwdins.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Zitat von DarkAngel

Diesesmal war er unter folgendem Pfad zu finden:
C:\System Volume Information\_restore {0DEDB9D4-79B0-4D2A-9FA3-4B9FF6211DAB}\RP114\A0012023.exe

Systemwiederhertsllung abschalten.

Das wäre für mich nicht allzu schlimm, wenn ich meine D Partition behalten könnte. ...Wäre es sicher genug nur C zu formatieren?

Im Normallfall -Ja.

Bisher kamen keine Meldungen von Antivir, dass auf der Recovery-Platte was gefunden wurde.

Man kan erstmals davon ausgehen, dass sie noch sauber ist.

Einen Hijack-Log erstelle ich noch, habe das noch nie gemacht, u muss erstmal sehen wie das geht. Poste ihn sobald ich ihn habe.

Tue das

Oh mensch, das ging ja schnell. Systemwiederherstellung schalte ich sofort aus.

Hab gerade das log-file drangehängt

Danke schonmal

also bevor sich jemand beschwert, ich hab nix zum editieren gefunden...vorhin ging das ja noch, merkwürdig.

ich wollte nur noch hinzufügen, dass ich mit kaspersky jetzt noch andere sachen finde...und zwar steht da
"gefunden: Adaware not-a-virus:Adware.Win32.Nav.Excel" und zwar in mehreren Dateien, dll,BIN u. exe-Dateien.

Darf man das "Not-a-Virus" ernst nehmen? Die Programme wurden mir bisher nämlich noch von keinem Virus-Programm gemeldet.

EDIT: (so jetzt hab ich die editier-funktion wieder gefunden... )
nur noch eine frage hintendran...Wenn ich formatiere, besser ein extra-programm dafür verwenden? habe mal gehört, dass das standard programm auf der win-cd nich so gut wäre. da würden wohl manche unbeliebte sachen überleben. und wie schütze ich mich nach der neu-installation ausreichend? hatte bisher halt antivir mit regelmäßigen updates drauf. keine firewall muss ich zugeben. kommt dieser trojaner durch datein, die man selbst runterlädt, oder hab ich mir das einfach so eingefangen?

Zitat von DarkAngel

also bevor sich jemand beschwert, ich hab nix zum editieren gefunden...vorhin ging das ja noch, merkwürdig.

den eigenen Posting editieren darf man nur innerhalb von 30 min nach dem Post. Ansosten wende dich an Administratoren des TB.

ich wollte nur noch hinzufügen, dass ich mit kaspersky jetzt noch andere sachen finde...und zwar steht da
"gefunden: Adaware not-a-virus:Adware.Win32.Nav.Excel" und zwar in mehreren Dateien, dll,BIN u. exe-Dateien.

Welche denn? Wo?

Darf man das "Not-a-Virus" ernst nehmen? Die Programme wurden mir bisher nämlich noch von keinem Virus-Programm gemeldet.

Not-a-virus bedeutet nur, dass diese Malware nicht als klassischen Virus bezeichnet werden kann - es kann sich dabei um Spy- oder Adware handeln..

...Wenn ich formatiere, besser ein extra-programm dafür verwenden?

Für mich - nein

und wie schütze ich mich nach der neu-installation ausreichend?

http://www.trojaner-board.de/12154-a...sicherung.html
Wie kann ich... FAQ
Meine Personal Firewall ... FAQ
Ich würde dir noch empfehlen, den Link AVZ4 in meiner Signatur zu lesen .

gut zu wissen, das mit dem editieren, danke sehr.

das mit der virusmeldung ist ja der witz. da steht nur das, was ich geschrieben habe. es wurde in einer weiteren meldung auch der TR/Proxy.Horst.Gen angezeigt, das stand dann in der meldung da, wo das not-a-virus steht. ich habe keine weitere beschreibung gefunden. zum ort: es waren sehr viele dateien, und da ich das kaspersky wieder runtergeschmissen habe, kann ich dir das jetzt auch nich so genau sagen. eins war in etwa "D:\Programme\Player\winamp(glaube ich).exe

hm ,heißt das ich soll ein log-file mit der software erstellen, die du verlinkt hast? ich habe nicht genau verstanden, was du mir damit sagen wolltest

danke, für die FAQ links....hätte ich selber finden können, stimmt wohl

Zitat von DarkAngel

heißt das ich soll ein log-file mit der software erstellen, die du verlinkt hast? ich habe nicht genau verstanden, was du mir damit sagen wolltest

Du sollst das Geschriebene LESEN .

ja, das habe ich jetzt zum 2. mal getan....und alles was ich finde, ist eine anleitung einen log-file zu erstellen u den auf einem bestimmten forum auswerten zu lassen. und dann noch eine anleitung wie man bestimmte sachen löschen kann, allerdings braucht man dazu skripts von helpern, also antworten aus dem forum....

also du meinst, dass mir so geholfen werden kann,ja? ich dachte nämlich, dass du mir das als antwort auf meine frage bzgl des neu aufsetzen bzw absichern, gesagt hast.

Zitat von DarkAngel

also du meinst, dass mir so geholfen werden kann,ja? ich dachte nämlich, dass du mir das als antwort auf meine frage bzgl des neu aufsetzen bzw absichern, gesagt hast.

Ich wiederhole es eh ungern, aber: Du sollst das Geschriebene LESEN
Die Antworten hättest du auch finden können, wenn du die verlinkte Anleitung zum Neuaufsetzen gelesen hättest.
Generell verstehe ich nicht mehr, was du von uns noch wissen möchtest: Wir haben dir zur Auswahl 2 Alternaitven gegeben - Neu aufzusetzen oder die Hilfe beim VirusInfo -Forum zu holen. Wenn es Beides für dich zu hoch ist - schmeiße deinen PC aus dem Fenster und gut so. Den anderen Weg gibt es nicht. Für mich ist hier EOD.

schon gut, werde deine kostbare zeit nich mehr in anspruch nehmen...habe es jetzt ja verstanden, wie du das mit dem link meinst. das war alles was ich wissen wollte...