| |
| |||||||
Log-Analyse und Auswertung: Virtumonde und Smitfraudbefall - Hilfe bitteWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
07.08.2008, 12:05
| #1 | |
 |  Virtumonde und Smitfraudbefall - Hilfe bitte hi ihr freundlichen helfer  ich habe einen virus den ich nicht ganz wegbekomme. ich hatte am anfang ständig popups von einem viren programm dass ich nicht installiert habe. dazu kommt das mein desktop schwarz wurde und unten in der ecke stand "Your computer is in danger" ausserdem stand dort ich soll dieses oben genannte virenprog kaufen um den virus zu beheben. ich habe erstmal spybot benutzt um dieses virenprogramm und den anderen desktop wegzubekommen. anschließend habe ich im inet weiter geforscht wie ich den virus komplett wegbekomme da ich meinen taskmanager nicht mehr öffnen konnte und auch nicht mehr auf die regedit.exe zuuugreifen konnte(Fehlermeldung:"Taskmanager/Registrierungseditor vom Administrator deaktiviert") komischer weiße funktionierte beides weider nach einem neustart(???) ich weiß nicht genau womit das zusammenhängt aber es könnte an spybot gelegen haben anschließend sah ich das ich prozesse habe die meinen pc vollkommen auslasten bis hin zu 100%. namens svchost.exe ich habe 7 oder mehr davon unter prozessen. ich weiß nur nicht was die machen........und weiter bin ich noch nicht gekommen ich habe auch schon versucht in den abgesicherten modus zu kommen aber dann startet der pc neu und ich bekomme wieder den bildschirm wo ich auswählen kann wie ich den pc starten will..... ich würde mich sehr über eure hilfe freuen MFG futzgen anbei die hijackthis.log Zitat:
|
|
07.08.2008, 13:18
| #2 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte Hm, klingt ähnlich wie mein Problem ...
__________________Guck mal den Thread "Virus eingefangen - Taskmgr und Regedit deaktiviert" von mir durch, ich bin nach dieser Anleitung vorgegangen: http://www.trojaner-board.de/51869-a...fakeale-c.html und habe außerdem alle verdächtigen Einträge mit HiJack gefixt. Sachen wie "Option Ansicht der Systemsteuerung/Taskmanager wurde vom Admin deaktiviert" können evtl. in den Gruppenrichtlinien (Ausführen->gpedit.msc->Benutzerkonfiguration z.B.) geändert werden, kann aber sein, dass solange der Virus noch drauf ist es bei jedem Neustart wieder geändert wird. Egal, versuchs mal mit der Anleitung. Wenn du allerdings nicht in den abgesicherten Modus kommst, ist das problematisch. |
|
07.08.2008, 13:32
| #3 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte @pyro
__________________das problem ist nur dass der virus iwie nicht mehr so aktiv ist wie am anfang ich habe es iwie geschafft das der taskmanager wieder funkt und auch die regedit ist wieder zugänglich das heißt diese spams waren nicht der richtige virus sondern der muss noch iwo drin sein. ein bekannter meinte es könnte die winlogon sein(???) oder ein anderer prozess weil mein pc so gut wie ausgelastet ist kann das stimmem?? deinen bericht habe ich mir auch angeschaut deswegen konte ich auch so gut mit dem problewm umgehen habe alleine durch die sachen in deinem post die sachen auf meinem pc gefunden und gelöscht nur mit hijack kenne ich mich nicht aus deswegen wollte ich da nicht zu voreilig sein Geändert von futzgen (07.08.2008 um 13:40 Uhr) |
|
07.08.2008, 18:08
| #4 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte Hast du denn die Programme in der Anleitung schon verwendet? Ich hab nämlich mit AntiVir, Adaware, Spybot, mwav usw. immer jeweils andere Teile des Virus finden können. Hast du dein Log mal in der HiJack http://www.hijackthis.de/de kontrollieren lassen? Die scheint mir äußerst zuverlässig zu sein. Was genau ist denn noch das Problem mit dem Virus, zumindest das spürbare Problem (denn n Virus is ja an sich schon mal nich so doll ^^)? |
|
07.08.2008, 18:26
| #5 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte also ich habe alle progs runtergeldane aber nur adaware und spybot haben was gefunden.....die anderen komischer weißte nicht......und danke für den tipp mit hijack werds gleich mal machen das bestehende problem ist das irgendein prozess läuft der meinen pc fast vollkommen auslastet bzw ich habe viele programme die ich nicht zuordnen kann |
|
07.08.2008, 18:26
| #6 |
   | Virtumonde und Smitfraudbefall - Hilfe bitte Hi, Poste mir bitte ein HijackThis log nach dieser Anleitung http://www.trojaner-board.de/51130-a...ijackthis.html Danach sehen wir weiter  |
|
07.08.2008, 18:39
| #7 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte @Tayk gib mir einen moment weil ich grade ein registry first aid programm durchlaufen habe und das meine registry auf gefährliche einträge scannt hier ist aber schonmal die aktuelle logfile Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 19:32:59, on 07.08.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\Explorer.exe C:\WINDOWS\system32\spoolsv.exe C:\PROGRA~1\SYMANT~1\VPTray.exe C:\WINDOWS\system32\RunDll32.exe C:\Programme\Symantec AntiVirus\DefWatch.exe C:\WINDOWS\Dit.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe C:\Programme\CyberLink\PowerDVD\PDVDServ.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\vsnpstd2.exe C:\Programme\CyberLink\Shared files\RichVideo.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\SearchIndexer.exe C:\WINDOWS\system32\maxpaynowti1.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe C:\WINDOWS\neos.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe C:\Programme\Logitech\SetPoint\SetPoint.exe C:\Programme\Windows Desktop Search\WindowsSearch.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\Programme\Gemeinsame Dateien\Logitech\KhalShared\KHALMNPR.EXE C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\Skype\Plugin Manager\skypePM.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Dokumente und Einstellungen\<user>\Desktop\VIRENKILLER\HiJackThis.exe C:\WINDOWS\system32\SearchProtocolHost.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 F2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\system32\wpx122.cpx" O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [SNPSTD2] C:\WINDOWS\vsnpstd2.exe O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S125.tmp" /EF "HKLM" O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series (Kopie 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S129.tmp" /EF "HKLM" O4 - HKLM\..\Run: [(De)Coder Cleaner] C:\Programme\(De)Coder\Coder.exe /clean /silent O4 - HKLM\..\Run: [System32] C:\WINDOWS\system32\winds32.exe O4 - HKLM\..\Run: [DriveSystem] C:\WINDOWS\system32\maxpaynowti1.exe O4 - HKLM\..\Run: [\Win9C.exe] C:\Windows\system32\Win9C.exe O4 - HKLM\..\Run: [Antivirus] C:\Programme\VAV\vav.exe O4 - HKLM\..\Run: [a09f1cef] rundll32.exe "C:\WINDOWS\system32\eqsnjljl.dll",b O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Personal ID] C:\PROGRA~1\COOLSP~1\PERSON~1\PID.EXE O4 - HKCU\..\Run: [neos] C:\WINDOWS\neos.exe O4 - HKCU\..\Run: [\Win9C.exe] C:\Windows\system32\Win9C.exe O4 - HKCU\..\Run: [Antivirus] C:\Programme\VAV\vav.exe O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ? O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Acrobat 8.0\Acrobat\AdobeCollabSync.exe O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Secret City - {D401C3A2-12EF-4D1D-A086-F3AB10B565BF} - C:\Temp\Kevin\KEVINS~1\ALLESM~1\PROGRA~1\SECRET~1\SECRET~1.EXE O9 - Extra button: (no name) - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {dfb852a3-47f8-48c4-a200-58cab36fd2a2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1217370444078 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Programme\Symantec AntiVirus\DefWatch.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: Distributed Transaction Coordinator MSDTCSwPrv (msdtcswprv) - Unknown owner - C:\WINDOWS\system32\actxprxyq.exe O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe -- End of file - 9587 bytes PS: achte auf die prozesse bzw auf die anzahl von prozessen  |
|
07.08.2008, 18:47
| #8 | |
| | Virtumonde und Smitfraudbefall - Hilfe bitte Da ist doch was! Folgende Dateien bei VirusTotal - Kostenloser online Viren- und Malwarescanner hochladen und den vollständigen bericht posten! Zitat:
|
|
07.08.2008, 18:54
| #9 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte @Tayk habs geschafft habe das jetzt mit explorer offen |
|
07.08.2008, 18:59
| #10 |
| | Virtumonde und Smitfraudbefall - Hilfe bitteCode:
ATTFilter maxpainowti.exe
AhnLab-V3 - - -
AntiVir - - WORM/Zhelatin.Gen
Authentium - - -
Avast - - -
AVG - - I-Worm/Nuwar.N
BitDefender - - -
CAT-QuickHeal - - (Suspicious) - DNAScan
ClamAV - - -
DrWeb - - -
eSafe - - Suspicious File
eTrust-Vet - - -
Ewido - - -
F-Prot - - -
F-Secure - - -
Fortinet - - -
GData - - -
Ikarus - - -
K7AntiVirus - - -
Kaspersky - - Trojan-Downloader.Win32.Tibs.kkt
McAfee - - -
Microsoft - - -
NOD32v2 - - a variant of Win32/TrojanDownloader.FakeAlert.FF
Norman - - -
Panda - - -
PCTools - - -
Prevx1 - - Cloaked Malware
Rising - - -
Sophos - - Mal/TibsPak
Sunbelt - - -
Symantec - - -
TheHacker - - -
TrendMicro - - -
VBA32 - - -
ViRobot - - -
VirusBuster - - -
Webwasher-Gateway - - Worm.Zhelatin.Gen
|
|
07.08.2008, 19:02
| #11 |
| | Virtumonde und Smitfraudbefall - Hilfe bitteCode:
ATTFilter wpx122.cpx
AhnLab-V3 - - -
AntiVir - - HEUR/Malware
Authentium - - W32/Threat-HLLSI-based!Maximus
Avast - - -
AVG - - -
BitDefender - - -
CAT-QuickHeal - - Backdoor.Agent.nzp
ClamAV - - -
DrWeb - - -
eSafe - - Suspicious File
eTrust-Vet - - Win32/Maazben!generic
Ewido - - -
F-Prot - - W32/Threat-HLLSI-based!Maximus
F-Secure - - -
Fortinet - - -
GData - - -
Ikarus - - -
K7AntiVirus - - -
Kaspersky - - -
McAfee - - -
Microsoft - - -
NOD32v2 - - -
Norman - - -
Panda - - Suspicious file
PCTools - - -
Prevx1 - - Cloaked Malware
Rising - - -
Sophos - - -
Sunbelt - - -
Symantec - - -
TheHacker - - -
TrendMicro - - PAK_Generic.001
VBA32 - - suspected of Win32 Shadow Socket Open
ViRobot - - -
VirusBuster - - -
Webwasher-Gateway - - Heuristic.Malware
|
|
07.08.2008, 19:04
| #12 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte Wo sind die logs der restlichen dateien und die bitte vollständig'! |
|
07.08.2008, 19:05
| #13 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte winds32.exe kann ich nicht finden habe auch versteckte dateien angezeigt aber diese datei ist auf jeden fall nicht drinne |
|
07.08.2008, 19:07
| #14 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte Lasse auch systemdateien und ordner anzeigen bei ordneroptionen ganz oben da steht in (empfohlen) das deaktivieren! |
|
07.08.2008, 19:09
| #15 |
| | Virtumonde und Smitfraudbefall - Hilfe bitte es wird alles angezeigt aber ich kann 3 von 6 dateien nicht finden habe auch gesucht aber er findet die nit auch die systemdateien werden angezeigt das letzte findet er aber wieder...... und die letzte datei hat eine größe von 0 bytes (???????) |
|
| Themen zu Virtumonde und Smitfraudbefall - Hilfe bitte |
| abgesicherten modus, ad-aware, anfang, antivirus, bildschirm, c:\windows\temp, computer, desktop, desktop schwarz, drivers, excel, hijack, hängt, iexplorer.exe, internet explorer, konvertieren, logfile, nicht installiert, nicht mehr öffnen, object, pdf-datei, programm, software, starten, svchost.exe, symantec, system, taskmanager, viren, virtumonde, virus, windows, windows xp, windows\temp |
Linear-Darstellung
