Guten Tag !

Scheinbar habe ich mir etwas gedownloadet, was einen Virus, Trojaner o.ä. enthält.

Wie kann ich dies sicher von meinem Compi entfernen, ohne dass noch weitere versteckte Dateien auf meinem Compi bleiben?

NB: Malwarebytes' Anti-Malware hatte dies nicht gefunden. Spybot fragte mich jeweils beim Neustart, ob ich die Änderung in der Registrierungsdatenbank erlaube. Ich habe (hoffentlich) immer verweigert.

Hier noch das Protokoll von Virus Total:

Datei msnmsgr.exe empfangen 2008.08.16 11:08:42 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt


Ergebnis: 1/36 (2.78%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:


Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.8.15.0 2008.08.15 -
AntiVir 7.8.1.19 2008.08.15 -
Authentium 5.1.0.4 2008.08.16 -
Avast 4.8.1195.0 2008.08.15 -
AVG 8.0.0.161 2008.08.15 -
BitDefender 7.2 2008.08.16 -
CAT-QuickHeal 9.50 2008.08.16 -
ClamAV 0.93.1 2008.08.16 -
DrWeb 4.44.0.09170 2008.08.15 -
eSafe 7.0.17.0 2008.08.14 -
eTrust-Vet 31.6.6035 2008.08.15 -
Ewido 4.0 2008.08.15 -
F-Prot 4.4.4.56 2008.08.16 -
F-Secure 7.60.13501.0 2008.08.16 Suspicious:W32/Hidd.k!Gemini
Fortinet 3.14.0.0 2008.08.16 -
GData 2.0.7306.1023 2008.08.16 -
Ikarus T3.1.1.34.0 2008.08.16 -
K7AntiVirus 7.10.417 2008.08.15 -
Kaspersky 7.0.0.125 2008.08.16 -
McAfee 5362 2008.08.15 -
Microsoft 1.3807 2008.08.16 -
NOD32v2 3360 2008.08.15 -
Norman 5.80.02 2008.08.15 -
Panda 9.0.0.4 2008.08.15 -
PCTools 4.4.2.0 2008.08.15 -
Prevx1 V2 2008.08.16 -
Rising 20.57.52.00 2008.08.16 -
Sophos 4.32.0 2008.08.16 -
Sunbelt 3.1.1546.1 2008.08.15 -
Symantec 10 2008.08.16 -
TheHacker 6.3.0.3.046 2008.08.13 -
TrendMicro 8.700.0.1004 2008.08.16 -
VBA32 3.12.8.3 2008.08.15 -
ViRobot 2008.8.16.1338 2008.08.16 -
VirusBuster 4.5.11.0 2008.08.15 -
Webwasher-Gateway 6.6.2 2008.08.16 -
weitere Informationen
File size: 5724184 bytes
MD5...: bc00e958e96fe4041123944e0b3f5d31
SHA1..: 4a6e60e9d9e7dcfb4d536ff830cb365e9b5e3e6c
SHA256: 0e8b777ef97b765916962db15df1ae9d66732557bcc68ecc2f220f75d301b261
SHA512: 8d504fafafe43345611fe6f41c9a37cd416ef1bb4a700827b0580699fcad76b7
2378a74854b68a528c87e615ee55b6eb45cdf7e658dab01f3eb426c223b041eb
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4da741
timedatestamp.....: 0x4717a53b (Thu Oct 18 18:26:03 2007)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x4bbfc6 0x4bc000 6.30 62ed61cde92cb5af4f29acd638a51f3f
.data 0x4bd000 0x89d88 0x89200 5.06 2fc0b8a2478dacad820021663b23d2c6
.rsrc 0x547000 0x2dd1c 0x2de00 4.89 e8f58cd700e5454d57736baba7d852fd

ACHTUNG: das Protokoll konnte ich hier nicht komplett senden, da es zuviele Zeichen drin hat bzw. auch zum Anhängen zu gross ist.
Ich bitte um Mitteilung, wenn ich das Protokoll aufteilen und nachsenden soll.


Ich danke schon jetzt für Eure Hilfe !

LG. hexlis

Nochmals hallo

Vielleicht hilft auch das HiJackThis-Protokoll weiter:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:00:52, on 16.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Gemeinsame Dateien\Logitech\QCDriver3\LVCOMS.EXE
C:\Programme\Logitech\ImageStudio\LogiTray.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\Programme\SweetIM\Messenger\SweetIM.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Programme\Logitech\QuickCam\Quickcam.exe
C:\Programme\Windows Live\Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Programme\NETGEAR\WG511v2\WG511v2.exe
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe
C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://***
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://***
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://***
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://***
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://***
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Programme\Gemeinsame Dateien\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Programme\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Programme\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [SweetIM] C:\Programme\SweetIM\Messenger\SweetIM.exe
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam\Quickcam.exe" /hide
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] ~"C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: NETGEAR WG511v2 Smart Wizard.lnk = C:\Programme\NETGEAR\WG511v2\WG511v2.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://***
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} -
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://***
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://***
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://***
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://***
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://***
O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://***
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://***
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://***
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://***
O17 - HKLM\System\CCS\Services\Tcpip\..\{9D262189-681F-4BBD-8949-9DFE1D2F8DBF}: NameServer = 194.158.230.53,194.158.230.54
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 9048 bytes


Ich freue mich über Eure Hilfe!

Gruss. hexlis

Hi,

was hast du geladen? Wer hat dir gesagt, dass das ein Virus ist? Wieso glaubst du, dass das ein Virus ist? Was wird von Spybot geblockt? Wieso hast du die Datei auswerten lassen? In welchem Ordner liegt die Datei? Was für versteckte Dateien hast du bereits gefunden?

lg myrtille

Hallo myrtille.
Danke für deine Antwort! Und auch nochmals Entschuldigung, dass ich gegen Regel 2 verstossen habe.

Die Datei erhielt ich von einer Bekannten. Erst einen Tag später wurde mir klar, dass ich mir meinen letzten Trojaner/Virus o.ä. vom gleichen Herausgeber eingefangen hatte.

Da mich Spybot vor der Datei warnte bin ich verunsichert und habe sie von VirusTotal prüfen lassen (C:\Programme\WindowsLive\Messenger\msnmsgr.exe).
Dort erhielt ich eine Warnung: "F-Secure 7.60.13501.0 2008.08.16 Suspicious:W32/Hidd.k!Gemini" (Dies ist ein Auszug aus dem oben gesandten Protokoll von VirusTotal).

Reicht es aus, wenn ich die erwähnte Dateil lösche? Ich habe einfach Angst, dass dort noch verstecktes drin ist. ODER ist diese Warnung gar nicht schlimm, d.h. ich diese Warnung ignorieren kann?

Ich freue mich, wenn du mir weiter helfen kannst.

LG. hexlis

Hi,

was für eine Datei hast du angenommen? (Zur not auch per PM)

Die Datei liegt zumindest vorerst im "richtigen" Verzeichnis und scheint mir auch nicht bösartig. Der Alarm von F-Secure ist vermutlich ein Fehlalarm.

Die Veränderungen im System können aber dennoch durch Malware bewirkt worden sein.

Erstelle bitte ein filelisting mit diesem script: - Script abspeichern per Rechtsklick, speichern unter auf dem Desktop - Doppelklick auf listing7.cmd auf dem Desktop - nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei file-upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

und ein Log mit blacklight: Link

lg myrtille

Hallo myrtille

ich habe (hoffentlich) deinen Anweisungen gefolgt. Ich kenne 'verlinken' nicht. Sag mir bitte Bescheid, wenn es nicht ankommt. Jedenfalls habe ich auf meinem Desktop "listing.txt"

Grüessli. hexlis

Nachtrag: blacklight läuft

Hi,

verlinken = den Link zu deiner listing.txt bei file-upload hier angeben.


Ich hab dir in meinem vorhergehenden Post zb file-upload.net verlinkt, indem ich dir die Webadresse www.file-upload.net gegeben habe.

lg myrtille

von BLACKLIGHT konnte nichs kopieren;

jedenfalls war: zwei mal 0
no hiddens found und auf der zweiten Zeile war auch 0

Sorry; vielleicht habe ich wieder mal etwas nicht so ganz richtig gemacht?!?

LG. hexlis

Ich fange nochmals nach Anleitung an; vielleicht schaffe ich es nun richtig zu machen
Wünsch mir Glück und Verstand für etwas, was ich nicht verstehe

Grüessli

Ich kann das nicht
File-Upload.net gibt mir zwei Möglichkeiten:
Downloadlink: http://www.file-upload.net/download-...sting.txt.html

und einen Löschlink: http://www.file-upload.net/delete-1047332/qiqwtq.html

und bei beiden heisst es oben drüber "Link iin die Zwischenablage kopieren"

Und nun? Bin ich echt so DOOF?

Nachtrag:
hab bei Downloadlink - auf das blaue "Link in die Zwischenablage kopieren" angeklickt.

Hoffe, dass das richtig war
Gruss. hexlis

Hi,

den Downloadlink wollte ich haben, damit ich die listing.txt runterladen kann.

Blacklight ist offensichtlihc ohne Befund durchgelaufen, das ist auch schonmal gut

Ich komm heute nicht mehr dazu die listing.txt auszuwerten.

lg myrtille

Gut so Myrtille. Ich lasse diese Datei weiterhin NICHT ZU, wenn Spybot nachfragt und gucke morgen wieder hier rein.
Merkwürdig ist, dass ich in den letzten drei Tagen bereits zwei Mal die Situation hatte, dass GAR NIX mehr geht. Ich konnte den Lapi nicht mal mit "Start-Beenden-herunterfahren" ausschalten. Leider musste ich den Ausschaltknopf lange drücken, um meinen Lapi auszuschalten.
Ob das mit dem Erwähnten zusammen hängt, weiss ich wirklich nicht.

Ansonsten läuft alles i.O.

LG und gute Nacht wünscht Dir hexlis

Hi,

dein listing.txt ist sauber. Der Blacklightscan auch.

Wenn du die angenommene Datei noch hast (und sie kleiner als 10 Mb ist), kannst du diese bei virustotal hochladen und schauen ob die Datei selbst infiziert ist.

Den Autostart solltest du deaktivieren können, indem du entweder den Eintrag bei HijackThis fixed

O4 - HKCU\..\Run: [MsnMsgr] ~"C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background

oder ihn über den Internet Explorer (IE aufrufen ->Extras ->Addons verwalten ->das Addon Messenger deaktivieren) deaktivierst.

lg myrtille

Hallo myrtille

Ich habe den von dir angegebenen Eintrag mittels HJT fixed. Ich denke, das ist die sicherste Lösung.

Ganz herzlichen Dank für deine Hilfe!
Ich hoffe, dass ich nicht bald wieder so einen Mist veranstalte.

Einen schönen Abend und eine geruhsame Nacht.

LG hexlis

Hallöchen myrtille

ich habe keine Probleme mehr, ausser mit meiner Verbindung; aber daran bin ich soweit gewöhnt.

Herzliche Grüsse aus dem Emmental. hexlis (I schick der en Egge Chäs!!!)