Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Virtumonde ja oder nein??

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 27.08.2008, 19:16   #1
mayo91
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



Hallo,
Seit mehreren Tagen habe ich das Problem, dass einerseits verschiedene Internet Seiten wie schülervz.net oder auch die Suche mit Google nicht mehr funktionieren ("warten auf google.de/schülervz.net"). Außerdem öffnen sich öfters versiedenen (Werbe)webseiten ohne mein Einwirken. Nachdem ich einen Scan mit spybot search & destroy durchgeführt habe fand ich 5 Einträge mit dem Namen "virtumonde". Nach dem Löschen der gefundenen Dateien funktionierten die genannten Webseiten wieder ganz normal. Jedoch nur bis zum Neustart meines PCs. Nun habe ich bei der Suche nach virtumonde (nicht mit google....das funktioniert ja nicht) einen Eintrag in Ihrem Forum entdeckt (http://www.trojaner-board.de/23940-iwe-kann-man-virtumonde-entfernen.html). Jedoch konnte ich den Anweisungen nicht folgen da ich dem HijackThis Log file nicht entnehmen konnte welche Datei bei mir betroffen ist. An dieser Stelle bitte ich Sie nun um Hilfe.

HijackThis Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:56:43, on 27.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.2:80
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [BM8b1f6a00] Rundll32.exe "C:\WINDOWS\system32\oevmcrsa.dll",s
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DE4F74AF-F815-4DC6-B814-CED3DAECCB43}: NameServer = 217.237.148.102,217.237.151.115
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing)
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 5304 bytes

Alt 27.08.2008, 20:14   #2
erty
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??




Dateien Online überprüfen lassen:
  • Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
Code:
ATTFilter
C:\WINDOWS\system32\oevmcrsa.dll
         
  • Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
  • Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
  • Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Malwarebytes scannen lassen:

Anleitung und download Malwarebytes
__________________


Alt 27.08.2008, 22:19   #3
mayo91
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



Danke schon mal für die schnelle Antwort!
Ich habe die Datei gerade wie empfohlen bei virustotal im "Analyse" Fenster hochgeladen. Doch anstatt eines Berichts erschien die Meldung:

File has already been analysed:
MD5:
First received:
Date:
Results:
Permalink:

Der Button "show last report" war grau hinterlegt und ich konnte ihn somit nicht anklicken. Für das Scannen der Malwarebytes hatte ich heute leider keine Zeit mehr.

Gruß, Mario
__________________

Alt 27.08.2008, 22:29   #4
erty
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



Du müsstes normalerweise zwischen

Zeige die letzten Ergebnisse


oder

Analysiere die Datei

auswählen können.

Alt 28.08.2008, 10:03   #5
mayo91
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



Die beiden Buttons "show last report" und "reanalyse file now" sind leider beide grau hinterlegt und nicht anklickbar....


Alt 28.08.2008, 13:41   #6
mayo91
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



So,
Ich hab jetz mit MAM sämtliche Infizierten Dateien vernichtet. Hier die Log Datei dazu:

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1090
Windows 5.1.2600 Service Pack 2

14:43:43 28.08.2008
mbam-log-08-28-2008 (14-43-43).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 186932
Laufzeit: 3 hour(s), 28 minute(s), 36 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 2
Infizierte Registrierungsschlüssel: 31
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 3
Infizierte Dateien: 59

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\WINDOWS\system32\nnnoPGVO.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\rydlwr.dll (Trojan.Vundo) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{09fd317f-4900-4084-88bd-10e9adf47d8d} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{09fd317f-4900-4084-88bd-10e9adf47d8d} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2753b591-d1ec-4a00-93e4-cec5247eb60c} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\nnnneeut (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{2753b591-d1ec-4a00-93e4-cec5247eb60c} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{88d465ee-0210-45c8-90a3-52758c158424} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{88d465ee-0210-45c8-90a3-52758c158424} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{17e44256-51e0-4d46-a0c8-44e80ab4ba5b} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{2e4a04a1-a24d-45ae-aca4-949778400813} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{e0f01490-dcf3-4357-95aa-169a8c2b2190} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{63334394-3da3-4b29-a041-03535909d361} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{80ef304a-b1c4-425c-8535-95ab6f1eefb8} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{ff46f4ab-a85f-487e-b399-3f191ac0fe23} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{fc30d7fb-7bd6-4f53-9aac-1a8156c8a568} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{e6d6d5d1-702b-4fbe-8ae1-0d44cca2509f} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{59200193-332d-4d21-9d0a-d19351bc19e3} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\BHO_MyJavaCore.DLL (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Webtools (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\testCPV6.DLL (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\MediaHoldings (Adware.PlayMP3Z) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Trymedia Systems (Adware.Trymedia) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\WR (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETWORK_MONITOR (Trojan.DNSChanger) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_CMDSERVICE (Trojan.Downloader) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bm8b1f6a00 (Trojan.Agent) -> Delete on reboot.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnopgvo -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\nnnopgvo -> Delete on reboot.

Infizierte Verzeichnisse:
C:\Programme\Webtools (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\kBin02 (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Programme\Mjcore (Trojan.BHO) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\system32\nnnoPGVO.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\OVGPonnn.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\OVGPonnn.ini2 (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\nnnNeEuT.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\rydlwr.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\vihhowst.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\tswohhiv.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\Programme\Mjcore\Mjcore.dll (Trojan.BHO) -> Quarantined and deleted successfully.
C:\Programme\Webtools\webtools.dll (Trojan.BHO) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Mario\Lokale Einstellungen\Temporary Internet Files\Content.IE5\45QVGTA3\kb65666[1] (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Mario\Lokale Einstellungen\Temporary Internet Files\Content.IE5\6IUVLPLC\kb767887[1] (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP94\A0049268.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049302.exe (Trojan.DNSChanger) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049312.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049325.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049355.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049356.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049357.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049358.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C7E87882-F72B-4CC6-B94B-0C5CDA4414CA}\RP95\A0049359.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\b155.exe (Trojan.BHO) -> Quarantined and deleted successfully.
C:\WINDOWS\TWFyaW8\asappsrv.dll (Adware.CommAd) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\adjhmaet.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\affgct.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\cefoweqj.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\cgprambp.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\flpokg.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\fobzfc.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\gtcxmg.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\vggoaujq.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\vundrobx.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\uwloinep.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\dzedxy.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\krxyos.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\wrcvsqop.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ujusmjnh.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\aqngtdjl.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\jfwamp.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\muibjunx.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mybufa.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\myljemja.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\xeigbhmf.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ylnbvbcr.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\yxstwquv.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\vyvvqlul.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\feseicol.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\enkjvpvj.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\aafkeumy.exe (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\cookies.ini (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\gside.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\oevmcrsa.dll (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\cmd.com (Worm.Alcra) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\netstat.com (Worm.Alcra) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ping.com (Worm.Alcra) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\tasklist.com (Worm.Alcra) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\tracert.com (Worm.Alcra) -> Quarantined and deleted successfully.
C:\WINDOWS\pskt.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\BM8b1f6a00.xml (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\BM8b1f6a00.txt (Trojan.Vundo) -> Quarantined and deleted successfully.


Und wie erwartet sind meine voherigen Probleme (google suche, Öffnen von Werbeseiten) gelöst. Fragt ich nur wie lange.

Wie kann ich meinen PC jetzt vor erneuten Infizierungen oder Wiederherstellung alter Infizierungen schützen???

Bei der meiner Viren-Vernichtungs-Aktion haben sich in den letzten Tagen erstaunlich viele Tools zum Entfernen von Schädlingen angesammelt. Hier mal eine kleine Liste der Programme, die ich mir zuletzt runtergeladen habe:

- CCleaner
- Spybot Search & Destroy
- HijackThis
- VundoFix.exe
- AVG Anit-Spyware von Ewido
- AdAware 2008 von Lavasoft
- Malwarebytes' Anti-Malware

Welche dieser Programme kann ich irgendwann mal noch brauchen??
Welche kann ich getrost löschen??

P.S. Die Datei die ich mit Virustotal überprüfen sollte, war nach dem Neustart nach dem MAM-Scan anscheinend nicht mehr da. Gleich nach dem Hochfahren bekam ich eine dementsprechende Fehlermeldung.

Gruß, Mario

Geändert von mayo91 (28.08.2008 um 14:14 Uhr)

Alt 28.08.2008, 19:32   #7
erty
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



adaware kannst du getrost löschen.

- CCleaner würd ich behalten
- Spybot Search & Destroy kannst du behalten, aber SDhelper und Teatimer abschalten
- HijackThis behalten
- VundoFix.exe kannst du entfernen
- AVG Anit-Spyware von Ewido kannst du deinstallieren
- AdAware 2008 von Lavasoft kannst du getrost deinstallieren
- Malwarebytes' Anti-Malware würd ich behalten

Du solltest noch Java updaten

Mit Avira und diesen Einstellungen scannen und dann nochmal ein HijackThis Log posten.

Alt 29.08.2008, 20:41   #8
mayo91
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



Hi,
Der Avira Scan meldete 43 Funde. Die meisten der Dateien waren vom Trojaner TR/Trash.Gen infiziert. Außerdem ist mir aufgefallen, dass die meisten Funde aus dem Ordner C:\System Volume Information\_restore stammten. Trotz mehrer Neustarts habe ich im Moment keine Probleme mehr mit sich selbst öffnenten Seiten und anderen Späßen. Dafür schon mal DANKESCHÖN. Ich werde aus dem Fehler jahrelang ohne jeglichen Virenschutz zu surfen lernen. Doch ist mein PC jetzt mit Avira und der Windows Firewall genügend geschützt???

Hier auf jeden Fall mal das HijackThis Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:37:18, on 29.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.2:80
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {208727CF-2205-48AE-B700-E42D7D379CE7} - (no file)
O2 - BHO: (no name) - {281D3C77-273F-4418-A16F-B1A1B0EEABF9} - (no file)
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {340A2843-DF93-40B5-96EE-9871A4497B68} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {8e1340c5-07aa-6afa-ea98-fcd73f16fa12} - (no file)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: (no name) - {B02C5AD0-D6FD-4A42-BB32-0A6F1DB58516} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DE4F74AF-F815-4DC6-B814-CED3DAECCB43}: NameServer = 217.237.148.102,217.237.151.115
O20 - AppInit_DLLs: rydlwr.dll
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing)
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 5973 bytes

Alt 30.08.2008, 09:34   #9
erty
 
Virtumonde ja oder nein?? - Standard

Virtumonde ja oder nein??



dann deatviere die systemwiederherstellung und scanne nochmals mit den tools.

weitere aktionen:
Bearshare deinstallieren und folgende Einträge mit HijackThis fixen:

Code:
ATTFilter
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.bearshare.com/de/
O2 - BHO: (no name) - {208727CF-2205-48AE-B700-E42D7D379CE7} - (no file)
O2 - BHO: (no name) - {281D3C77-273F-4418-A16F-B1A1B0EEABF9} - (no file)
O2 - BHO: (no name) - {340A2843-DF93-40B5-96EE-9871A4497B68} - (no file)
O2 - BHO: (no name) - {8e1340c5-07aa-6afa-ea98-fcd73f16fa12} - (no file)
O2 - BHO: (no name) - {B02C5AD0-D6FD-4A42-BB32-0A6F1DB58516} - (no file)
         

Dateien Online überprüfen lassen:
  • Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
Code:
ATTFilter
rydlwr.dll
         
  • Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
  • Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
  • Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Ausserdem von hier Panda Antirootkit herunterladen und scannen.

Antwort

Themen zu Virtumonde ja oder nein??
ad-aware, antivir, antivirus, avira, ctfmon.exe, explorer, firefox, google, hijack, hijackthis, hijackthis log, hkus\s-1-5-18, home, internet, internet explorer, log file, logfile, mehrere, mozilla, mozilla firefox, neustart, problem, rundll, scan, seiten, software, system, virtumonde, windows, windows xp



Ähnliche Themen: Virtumonde ja oder nein??


  1. Drivecrypt ja oder nein?
    Überwachung, Datenschutz und Spam - 01.06.2015 (16)
  2. Bundestrojaner - Ja oder Nein
    Plagegeister aller Art und deren Bekämpfung - 20.03.2014 (5)
  3. Virus ja oder nein?
    Log-Analyse und Auswertung - 05.01.2014 (1)
  4. Trojaner ja oder nein
    Plagegeister aller Art und deren Bekämpfung - 13.02.2012 (23)
  5. Trojaner, ja oder nein`?
    Plagegeister aller Art und deren Bekämpfung - 31.10.2011 (20)
  6. virus ja oder nein?
    Plagegeister aller Art und deren Bekämpfung - 05.06.2011 (10)
  7. Win Heur 32 ja oder nein
    Plagegeister aller Art und deren Bekämpfung - 19.11.2009 (3)
  8. Trojaner ja oder nein?
    Log-Analyse und Auswertung - 10.09.2009 (25)
  9. TDSS Ja oder nein?
    Plagegeister aller Art und deren Bekämpfung - 02.02.2009 (1)
  10. Hilfe!! Monder.Acia oder Vundo 129024 oder Virtumonde auf dem PC gefunden
    Plagegeister aller Art und deren Bekämpfung - 19.12.2008 (0)
  11. Infiziert Ja oder Nein ?
    Mülltonne - 27.08.2008 (2)
  12. richtig- oder falsch-positiv? kompromittiert ja oder nein?
    Log-Analyse und Auswertung - 26.01.2008 (12)
  13. WSNPOEM ja oder nein????
    Log-Analyse und Auswertung - 01.11.2007 (1)
  14. Formatieren ja oder nein
    Mülltonne - 07.08.2007 (2)
  15. hijack ? ja oder nein
    Log-Analyse und Auswertung - 11.11.2005 (12)
  16. virus ja oder nein ?
    Log-Analyse und Auswertung - 26.08.2005 (1)

Zum Thema Virtumonde ja oder nein?? - Hallo, Seit mehreren Tagen habe ich das Problem, dass einerseits verschiedene Internet Seiten wie schülervz.net oder auch die Suche mit Google nicht mehr funktionieren ("warten auf google.de/schülervz.net"). Außerdem öffnen sich - Virtumonde ja oder nein??...
Archiv
Du betrachtest: Virtumonde ja oder nein?? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.