| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR-Vundo.gen | mal wieder...Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
09.12.2008, 11:37
| #1 | |
 |  TR-Vundo.gen | mal wieder... Moin, bin neuling hier, da ich bisher mit meinen viren immer klar gekommen bin. Ich darf jetzt den rechner von ner bekannten fixen, die leider ne dumme mail mit bösem anhang geöffnet hat^^ Naja wie dem acuh sei, ich hab versucht aus all den andern beiträgen über diesen trojaner schlau zu werden und dabei festgestellt, dass das wohl nur individuell geht. ich hoffe ich mache alles richtig, wenn ich hier erstmal schreibe was ich alles schon gemacht hab: Als erstes hab ich McAffe von ihrem rechner verbannt und Avira AV und Zonealarm drauf gemacht. Nexter schritt war MB AntiMalware im abgesicherten laufen lassen. Der konnte natürlich einige der zufällig generierten dlls (die offensichtlich jedem laufenden prozess zugewiesen werden  ) nich löschen, hab ich dann manuell mit nem BartPE-BootCDlein gemacht.2 neustarts lang funzt das auch, danach is der gute aber wieder mit ner frisch generierten .dll zurück. Meine erste frage ist: soll ich erstaml eigenmächtig alles posten, was ich für wichtig halte (malwarebytes logs, HJT logs) oder step by step eure anweisungen ausführen (ich frage, weil mein halbwissen gerne mit echtem profiwissen probleme macht^^) Danke schonmal, sollte euch vorerst, das HJT log nich intressiern, ignorierts einfach^^ (alle datein anzeigen, ist natürlich an.) Zitat:
EDIT: hab grad nen paar links gefunden, die ich natürlich sofort geedited hab EDIT2: und noch mehr^^ EDIT3: bin übrigenz die nexten 6 stunden am rechner, also wenn was is einfach sagen ich drück alle paar sec F5 (jap, IE user aus überzeugung, solang man die updates macht^^) Geändert von sacastor (09.12.2008 um 11:50 Uhr) |
|
09.12.2008, 11:49
| #2 |
| |  TR-Vundo.gen | mal wieder... Du hast an dem System ja anscheinend schon rumgelöscht... falls nicht korrigiere mich.
__________________Ich glaube aber du surfst nicht über Deutschland O17 - HKLM\System\CCS\Services\Tcpip\..\{553B051D-A5BB-4F2B-A689-2943011645E4}: NameServer = 62.109.123.6 213.191.92.87 Ich glaube die Ukraine lässt grüßen. Kann aber auch ein Fehlalarm sein ich weiß nicht wo ich das zuverlässig prüfen kann! Vll kann mir mal ein Erfahrener User ne Quelle nennen wo ich solche Ips überprüfen kann. Habs nur grade über Google gesucht und dort seht das das nach Ukraine schreit. Das heißt deine Datenfluß könnte "abgehört" worden sein. Ändere alle wichtigen Onlinepasswörter von einem sauberen System. Warte auf weiter Posts. Ich muss mich mal erkundigen. Vll schreibt ja auch noch wer anderes. |
|
09.12.2008, 11:56
| #3 |
| | TR-Vundo.gen | mal wieder... volkommen richtig, ich sitze an dem ding schon 3 tage^^
__________________jop, alles von wert wurde über dritten rechner sofort geändert. nen komplettes backup (natürlich virenfrei) ist auch schon gezogen, für den format fall. Danke fürs schnelle reply (sucht ihr noch leute?  ) |
|
09.12.2008, 12:05
| #4 |
| | TR-Vundo.gen | mal wieder... Wofür suchen wir noch Leute? Kannste mal vorsichtshalber C:\WINDOWS\system32\dla\tfswshx.dll bei Virustotal.com prüfen. Und weißte noch was du alles gelöscht hast? Hast du davon ne Doku? Aber ich denke mal wenn der Rechner wirklich über die Urkaine läuft war der Befall so stark das man den Rechner formatieren sollte damit das System wieder komplett vertraunswürdig ist. Aber warte mal auf Posts von den Spezis hier... bin noch bissel unerfahren auf dem Gebiet, ich lerne aber gerne dazu. |
|
09.12.2008, 12:13
| #5 |
| | TR-Vundo.gen | mal wieder... 1) ob ihr noch staff sucht 2) hab noch alle logs, aber der rechner war sowas von im eimer, dass ich mir nich vorstelln kann dass ihr euch das alles ansehn wollt (über 500 funde, mindestenz 40 verschiedene sachen) 3) Ja, die Neuaufsetzen befürchtung hab ich auch, is nur leider son dell laptop, wo das OS auf ner versteckten partition im rechner is und nich auf cd, und ob das virenfrei geblieben is ... |
|
09.12.2008, 12:19
| #6 |
| | TR-Vundo.gen | mal wieder... Ja dann bleibt und ja nichts anderes über als die Möglichkeiten mal anzusehen aber ich glaube bei 500 Funden lohnt sich das gar nimmer xD Egal poste mal, interessiert mich! Bis ich das dann druchhabe dauert das aber etwas!xD Das mit dem neumachen wird aber immer wahrscheinlicher.... |
|
09.12.2008, 12:33
| #7 | |
    | TR-Vundo.gen | mal wieder... Wieso Ukraïne ist eine IP aus Deutschland Zitat:
Klicke: Do a Systemscan only Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei O2 - BHO: (no name) - {7998f598-4e28-4ab3-8a16-06f76fdbb58a} - C:\WINDOWS\system32\hizapego.dll O4 - HKUS\S-1-5-19\..\Run: [tiwiyigasu] Rundll32.exe "C:\WINDOWS\system32\yaponema.dll",s (User 'LOKALER DIENST') O20 - AppInit_DLLs: C:\WINDOWS\system32\nozahiti.dll c:\windows\system32\lipewedi.dll klicke: Fix checked Download ComboFix und speichert es auf den Desktop! Schliesse alle Programme und Anwendungen mit Hintergrundwächtern inklusive der Firewall + Antivirusprogramme müssen deaktiviert sein Starte combofix.exe Note: Wenn ComboFix schon eher benutzt worden ist, kann es sein das eine Meldung kommt das es ein Update gibt Lass es zu das ComboFix ge-updatet wird Klicke OK im "NirCmd") Fenster klicke ja um Combofix zu starten Folge den Instruktionen in das Fenster Während Combofix lauft NICHT ins Fenster klicken sonst erfriert dein Rechner Wenn das Tool fertig ist,oeffnet sich ein logfile (C:\ combofix.txt) nun das KOMPLETTE Log mit rechtem Mausklick ab kopieren und ins Forum mit rechtem Mausklick "einfügen" zusammen mit ein neuen log von HijackThis |
|
09.12.2008, 12:36
| #8 |
| | TR-Vundo.gen | mal wieder... danke, is in arbeit, brauchtr ihr das VirusTotal gecheckte noch? (vt analysiert wohl recht langsam ^^) und eine frage noch, sicher dasss ich den av guard ausmachen soll? ich mein, klar hab ich theoretisch die .dlls mit HJT gelöscht, defakto sind die aber noch an und laufen, aus meiner bisherigen erfahrung, verbreitet sich das dicng binnen millisekunden brutl, so wie ich av ausmache. soll ich die nich lieber per hand von nem andern betriebsys löschen bevor ich av ausmache ? Geändert von sacastor (09.12.2008 um 12:44 Uhr) |
|
09.12.2008, 12:56
| #9 |
| | TR-Vundo.gen | mal wieder... @Argus: Woran seh ich das denn? Ich hab das nur bei google eingegeben und dort stand das es eine umleitung in die ukraine sei. Gibt das i-wo online sone liste wo man das prüfen kann? Wäre für eine Quelle dankbar |
|
09.12.2008, 13:05
| #10 | |
| | TR-Vundo.gen | mal wieder... so, ich hoffe mal, das ich tatsache alle links und so weiter gefunden und unkenntlich gemacht habe, falls nicht, weist mich drauf hin und ich werds umgehend ändern. hier das log: Zitat:
|
|
09.12.2008, 14:24
| #11 |
| | TR-Vundo.gen | mal wieder... so, also es scheint als hätte combofix was auch immer es war beseitigt, ich bekomme auf jedenfall keine anzeichen von dem ding mehr obwohl ich schon mehrmals neugestartet hab =) falls ihr noch was entdeckt, lasst es mich wissen ^^ |
|
09.12.2008, 14:58
| #12 |
| | TR-Vundo.gen | mal wieder... Hi, Bitte folgende Files prüfen: Dateien Online überprüfen lassen:
Code:
ATTFilter C:\WINDOWS\system32\yaponema.dll -> sollte faul sein -> http://www.prevx.com/filenames/2034997618338357937-0/YAPONEMA2EDLL.html
C:\WINDOWS\system32\hizapego.dll -> sollte clean sein, Zonealarm, wenn nicht unten aufnehmen
C:\WINDOWS\system32\nozahiti.dll -> ? falls nicht erkannt unten rausnehmen
c:\windows\system32\lipewedi.dll -> ? falls nicht erkannt unten rausnehme
Also: Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code:
ATTFilter Registry values to replace with dummy:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs
Files to delete:
C:\WINDOWS\system32\yaponema.dll
c:\windows\system32\lipewedi.dll
C:\WINDOWS\system32\nozahiti.dll
4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
09.12.2008, 15:15
| #13 |
| | TR-Vundo.gen | mal wieder... moin, also ja ich weiß das diese datein nich gut sind^^ Hat antivir als besagten TR-Vundo.gen identifiziert. Da allerdings keins der mir bekannten programme (ob unlocker oder MB FA) in der lage waren sie zu löschen (die verknüpfen sich mit jedem aktiven programm) habe ich die alle schon lange manuell per BartPE gelöscht. Demnach kann ich davon auch keine auf dem rechner finden. Und ja ich hab versteckte datein anzeigen an ^^ auch sysdat und was es sonst so gibt. daher kann ich sie auch nich mit avanger bearbeiten. Die letzte (hizapego.dll) Habe ich nicht manuell gelöscht, sie war von meinem system verschwunden, nach dem ausführen von ComboFix. ich habe seit dem auch nur noch einmal eine virenwarnmeldung vom AVGuard bekommen über eine .tmp datei im SystemVolumeInformation ordner, auf den ich leider anscheinend garkeine zugreiffsrechte habe. Ideen? EDIT: kleiner fehler meinerseits, letzte fund war das hier C:\System Volume Information\_restore{DF867C4F-0E0D-4E20-9F25-BC2B2DFBD84A}\RP523\A0085863.dll keine .tmp file EDIT2: Ich sag euch mal was aus meiner bisherigen erfahrung der letzten 4 tage mit dem ding: so weit wie jetzt war ich schonmal, keine dlls in sys32 aber im systemvolumeinformation noch was. wenn ich wetten müsste, dann verbreitet sich der binnen der nexten 2 neustarts wieder in den sys32 ordner. Wie ich dieses ding jetzt schon liebe ^^ der oben genannte fund, kam übrigenz OHNE das ich am rechner war NACHDEM ich mehrmals nach dem durchlaufen lassen von ComboFix neugestartet hatte. Geändert von sacastor (09.12.2008 um 15:27 Uhr) |
|
09.12.2008, 15:41
| #14 |
| | TR-Vundo.gen | mal wieder... Hi, wie sieht es mit den folgenden Dateien/Ordnern aus? c:\windows\system32\hnehakphsucy.dll-uninst.exe 2008-12-02 18:29 . 2008-12-02 18:45 2 --a------ C:\2093312714 2008-12-02 18:20 . 2008-12-02 18:22 47,584 --a------ c:\windows\system32\thhzycsourjaojb.exe 2008-12-02 18:19 . 2008-12-05 22:19 <DIR> d-------- c:\windows\system32\evp 2008-12-02 18:19 . 2008-12-05 22:18 <DIR> d-------- c:\windows\system32\AT c:\windows\system32\buyoyena.exe c:\windows\system32\thhzycsourjaojb.exe chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
09.12.2008, 15:57
| #15 | ||||
| | TR-Vundo.gen | mal wieder... C:\2093312714 Zitat:
Zitat:
Zitat:
Zitat:
EDIT2: sind alles VT auszüge^^ Geändert von sacastor (09.12.2008 um 16:14 Uhr) |
|
| Themen zu TR-Vundo.gen | mal wieder... |
| .dll, anhang geöffnet, antivir, antivirus, avira, bho, excel, explorer, frage, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, logfile, löschen, object, programme, prozess, registry, rundll, software, system, toolbars, trojaner, viren, windows, windows xp, windows xp sp3, xp sp3 |
Linear-Darstellung
