Problem mit svchost.exe

Sbasti87 · 01.04.2009, 12:01

Hey bin neu hier also wenn ich was übersehe verzeiht es mir!!

Nun zu meinem Problem hatte vor kurzem nen Virus auf meinem PC und musste XP neu aufspielen. Alles super Virus war weg und ich glücklich.
ABER jetzt kommt kurz nach dem Start ein Fenster das darauf hinweist das svchost.exe ein Problem festgestellt hat und beendet werden muss wenn ich OK bzw. Abbrechen drücke schnellt dir RAM auslastung nach oben alles hängt und ich komme nicht mehr ins Netz.

Hier die Log file

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:45:16, on 01.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\winsys2.exe
C:\WINDOWS\system32\RUNDLL32.EXE
E:\Internet\ZoneAlarm\zlclient.exe
C:\WINDOWS\RTHDCPL.EXE
F:\Disketts\Software\Spyware Doctor\Spyware Doctor\pctsTray.exe
C:\WINDOWS\system32\ctfmon.exe
E:\Hard\Wireless Wheel Mouse\Mouse32A.exe
C:\WINDOWS\System32\afisicx.exe
C:\WINDOWS\System32\nvsvc32.exe
F:\Diske\Software\Spyware Doctor\Spyware Doctor\pctsAuxs.exe
F:\Diske\Software\Spyware Doctor\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\sopidkc.exe
C:\WINDOWS\System32\tdctxte.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\reader_s.exe
C:\WINDOWS\system32\mstd.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\3361\svchost.exe
C:\WINDOWS\system32\tpszxyd.sys
E:\Internet\Opera\opera.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\System32\sw20.exe
O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\System32\winsys2.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ZoneAlarm Client] "E:\Internet\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Ad-Watch] C:\PROGRA~1\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ISTray] "F:\Disk\Software\Spyware Doctor\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32\reader_s.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [svchost.exe] "C:\WINDOWS\system32\3361\svchost.exe"
O4 - HKLM\..\RunOnce: [svchost.exe] "C:\WINDOWS\system32\3361\svchost.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [reader_s] C:\Dokumente und Einstellungen\xxxxx\reader_s.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Ad-Aware.lnk = C:\Programme\Lavasoft\Ad-Aware\Ad-Aware.exe
O4 - Startup: Verknüpfung mit Mouse32A.lnk = E:\Hardware\Wireless Wheel Mouse\Mouse32A.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Microsoft DDE+ server (222bb2ba733d02db) - Unknown owner - C:\WINDOWS\System32\.222bb2ba733d02db\222bb2ba733d02db.exe (file missing)
O23 - Service: afisicx Service (afisicx) - Unknown owner - C:\WINDOWS\System32\afisicx.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - F:\Disketts\Software\Spyware Doctor\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - F:\Disketts\Software\Spyware Doctor\Spyware Doctor\pctsSvc.exe
O23 - Service: sopidkc Service (sopidkc) - Unknown owner - C:\WINDOWS\System32\sopidkc.exe
O23 - Service: tdctxte Service (tdctxte) - Unknown owner - C:\WINDOWS\System32\tdctxte.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 5190 bytes

Hoffe ihr könnt mir helfen

john.doe · 01.04.2009, 12:18

Hallo und

1.) Starte HijackThis => Do a system scan only => Markiere:

Code:

ATTFilter

O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32\reader_s.exe
O4 - HKLM\..\Run: [svchost.exe] "C:\WINDOWS\system32\3361\svchost.exe"
O4 - HKLM\..\RunOnce: [svchost.exe] "C:\WINDOWS\system32\3361\svchost.exe"
O4 - HKCU\..\Run: [reader_s] C:\Dokumente und Einstellungen\xxxxx\reader_s.exe (xxxxx durch Anmeldenamen ersetzen)
O4 - Startup: Ad-Aware.lnk = C:\Programme\Lavasoft\Ad-Aware\Ad-Aware.exe
O23 - Service: Microsoft DDE+ server (222bb2ba733d02db) - Unknown owner - C:\WINDOWS\System32\.222bb2ba733d02db\222bb2ba733d 02db.exe (file missing)
O23 - Service: afisicx Service (afisicx) - Unknown owner - C:\WINDOWS\System32\afisicx.exe
O23 - Service: sopidkc Service (sopidkc) - Unknown owner - C:\WINDOWS\System32\sopidkc.exe
O23 - Service: tdctxte Service (tdctxte) - Unknown owner - C:\WINDOWS\System32\tdctxte.exe

=> Fix checked => Neustart

2.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

ATTFilter

C:\WINDOWS\System32\afisicx.exe
C:\WINDOWS\System32\sopidkc.exe
C:\WINDOWS\System32\tdctxte.exe
C:\WINDOWS\System32\reader_s.exe
C:\WINDOWS\system32\mstd.exe
C:\WINDOWS\system32\3361\svchost.exe
C:\WINDOWS\system32\tpszxyd.sys

Markiere jeweils eine Zeile, kopiere sie und füge sie bei Virustotal ein. Sollte die Meldung kommen, dass die Datei schon analysiert wurde, dann klicke trotzdem auf Analysieren.

ciao, andreas

Sbasti87 · 01.04.2009, 13:13

soll ich bei 2. das gesamte auswertungsprotokoll posten oder nur oben das mit den Virenscannern????

john.doe · 01.04.2009, 13:19

Alles.

ciao, andreas

Sbasti87 · 01.04.2009, 13:45

C:\WINDOWS\System32\afisicx.exe

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.0.0.101 2009.04.01 Backdoor.Win32.Refpron!IK
AhnLab-V3 5.0.0.2 2009.04.01 -
AntiVir 7.9.0.129 2009.04.01 W32/Virut.Gen
Antiy-AVL 2.0.3.1 2009.04.01 -
Authentium 5.1.2.4 2009.03.31 W32/Virut.AI!Generic
Avast 4.8.1335.0 2009.03.31 Win32:Vitro
AVG 8.5.0.285 2009.04.01 Win32/Virut
BitDefender 7.2 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
CAT-QuickHeal 10.00 2009.04.01 W32.Virut.G
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
DrWeb 4.44.0.09170 2009.04.01 -
eSafe 7.0.17.0 2009.04.01 -
eTrust-Vet 31.6.6429 2009.04.01 Win32/Virut.17408
F-Prot 4.4.4.56 2009.03.31 W32/Virut.AI!Generic
F-Secure 8.0.14470.0 2009.04.01 Virus.Win32.Virut.ce
Fortinet 3.117.0.0 2009.04.01 -
GData 19 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
Ikarus T3.1.1.49.0 2009.04.01 Backdoor.Win32.Refpron
K7AntiVirus 7.10.687 2009.03.31 -
Kaspersky 7.0.0.125 2009.04.01 Virus.Win32.Virut.ce
McAfee 5570 2009.03.31 W32/Virut.n.gen
McAfee+Artemis 5570 2009.03.31 W32/Virut.n.gen
McAfee-GW-Edition 6.7.6 2009.04.01 Win32.Virut.Gen
Microsoft 1.4502 2009.04.01 Backdoor:Win32/Refpron.M
NOD32 3980 2009.04.01 -
Norman 6.00.06 2009.03.31 -
nProtect 2009.1.8.0 2009.04.01 -
Panda 10.0.0.14 2009.03.31 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.01 -
Rising 21.23.22.00 2009.04.01 -
Sophos 4.40.0 2009.04.01 -
Sunbelt 3.2.1858.2 2009.04.01 -
Symantec 1.4.4.12 2009.04.01 -
TheHacker 6.3.4.0.298 2009.04.01 W32/Virut.gen2
TrendMicro 8.700.0.1004 2009.04.01 -
VBA32 3.12.10.1 2009.03.31 -
ViRobot 2009.4.1.1671 2009.04.01 -
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 193536 bytes
MD5...: 5a0dfd5f23e0069fba480d7018c97732
SHA1..: 36cee9b6f16bca3e36746b8cff255beac1940923
SHA256: 727a51b54fb9748df17316009d477771d3033e48d163c2c47952d23be2cdc44e
SHA512: c44fc386ea041f2bc9dd1082a4836e30917b703a1defeff26212abe5d1132ef4
bc4d3844468af7ae436195d651e7955275ee214868495220ffd5060c95f97380
ssdeep: 3072:TU6d1mef2FC/+NL1El3E4cBX6S0gDsyIK1vA32GuIUIs/F6o+gA3HxMUGur
WY:w6WU2dNL+l32rtIpnuUoehD
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x24d31
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)

( 8 sections )
name viradd virsiz rawdsiz ntrpy md5
CODE 0x1000 0x23e00 0x23e00 6.55 6e6d12638ffd97553de08d62a062d173
DATA 0x25000 0xb9c 0xc00 4.42 eba96f2cf35a0c685c1445f7ef2516f5
BSS 0x26000 0xf1d 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.idata 0x27000 0xbec 0xc00 4.72 b118f1a840f56a5edc6147dd28c6bcd2
.tls 0x28000 0xc 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rdata 0x29000 0x18 0x200 0.26 d8a43ef1071635906767f26496abd6b3
.reloc 0x2a000 0x2b30 0x2c00 6.66 0b6fd05c51d44e258fde64b8fb9099d0
.rsrc 0x2d000 0x8200 0x6c00 6.06 3c3574a2c39d3b950a1ab8aa5cb8db8c

( 9 imports )
> kernel32.dll: DeleteCriticalSection, LeaveCriticalSection, EnterCriticalSection, InitializeCriticalSection, VirtualFree, VirtualAlloc, LocalFree, LocalAlloc, GetCurrentThreadId, InterlockedDecrement, InterlockedIncrement, VirtualQuery, WideCharToMultiByte, MultiByteToWideChar, lstrlenA, lstrcpynA, LoadLibraryExA, GetThreadLocale, GetStartupInfoA, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLastError, GetCommandLineA, FreeLibrary, FindFirstFileA, FindClose, ExitProcess, WriteFile, UnhandledExceptionFilter, SetFilePointer, SetEndOfFile, RtlUnwind, ReadFile, RaiseException, GetStdHandle, GetFileSize, GetSystemTime, GetFileType, CreateFileA, CloseHandle
> user32.dll: GetKeyboardType, LoadStringA, MessageBoxA, CharNextA
> advapi32.dll: RegQueryValueExA, RegOpenKeyExA, RegCloseKey
> oleaut32.dll: SysFreeString, SysReAllocStringLen, SysAllocStringLen
> kernel32.dll: TlsSetValue, TlsGetValue, LocalAlloc, GetModuleHandleA
> kernel32.dll: WriteFile, WaitForSingleObject, VirtualQuery, SetFilePointer, SetEvent, SetEndOfFile, ResetEvent, ReadFile, LoadLibraryA, LeaveCriticalSection, InitializeCriticalSection, GlobalUnlock, GlobalReAlloc, GlobalHandle, GlobalLock, GlobalFree, GlobalAlloc, GetVersionExA, GetThreadLocale, GetStringTypeExA, GetStdHandle, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLocalTime, GetLastError, GetDiskFreeSpaceA, GetCurrentThreadId, GetCPInfo, GetACP, FreeLibrary, FormatMessageA, FindFirstFileA, FindClose, FileTimeToLocalFileTime, FileTimeToDosDateTime, EnumCalendarInfoA, EnterCriticalSection, DeleteCriticalSection, CreateFileA, CreateEventA, CompareStringA, CloseHandle
> user32.dll: MessageBoxA, LoadStringA, GetSystemMetrics, CharNextA
> kernel32.dll: Sleep
> oleaut32.dll: SafeArrayPtrOfIndex, SafeArrayPutElement, SafeArrayGetElement, SafeArrayGetUBound, SafeArrayGetLBound, SafeArrayRedim, SafeArrayCreate, VarBstrFromBool, VarBstrFromDate, VarBstrFromCy, VarBoolFromStr, VarCyFromStr, VarDateFromStr, VarR8FromStr, VarI4FromStr, VarNot, VarNeg, VariantChangeTypeEx, VariantCopyInd, VariantCopy, VariantClear, VariantInit

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 13:47

So ok oder erkennst du nichts?

john.doe · 01.04.2009, 13:52

Doch, schon viel zu viel.

Die anderen auch noch um sicher zu gehen.

ciao, andreas

Sbasti87 · 01.04.2009, 13:58

C:\WINDOWS\System32\sopidkc.exe

a-squared 4.0.0.101 2009.04.01 Backdoor.Win32.Refpron!IK
AhnLab-V3 5.0.0.2 2009.04.01 -
AntiVir 7.9.0.129 2009.04.01 W32/Virut.Gen
Antiy-AVL 2.0.3.1 2009.04.01 -
Authentium 5.1.2.4 2009.03.31 W32/Virut.AI!Generic
Avast 4.8.1335.0 2009.03.31 Win32:Vitro
AVG 8.5.0.285 2009.04.01 Win32/Virut
BitDefender 7.2 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
CAT-QuickHeal 10.00 2009.04.01 W32.Virut.G
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
DrWeb 4.44.0.09170 2009.04.01 -
eSafe 7.0.17.0 2009.04.01 -
eTrust-Vet 31.6.6429 2009.04.01 Win32/Virut.17408
F-Prot 4.4.4.56 2009.03.31 W32/Virut.AI!Generic
F-Secure 8.0.14470.0 2009.04.01 Virus.Win32.Virut.ce
Fortinet 3.117.0.0 2009.04.01 -
GData 19 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
Ikarus T3.1.1.49.0 2009.04.01 Backdoor.Win32.Refpron
K7AntiVirus 7.10.687 2009.03.31 -
Kaspersky 7.0.0.125 2009.04.01 Virus.Win32.Virut.ce
McAfee 5570 2009.03.31 W32/Virut.n.gen
McAfee+Artemis 5570 2009.03.31 W32/Virut.n.gen
McAfee-GW-Edition 6.7.6 2009.04.01 Win32.Virut.Gen
Microsoft 1.4502 2009.04.01 Backdoor:Win32/Refpron.M
NOD32 3980 2009.04.01 -
Norman 6.00.06 2009.03.31 -
nProtect 2009.1.8.0 2009.04.01 -
Panda 10.0.0.14 2009.03.31 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.01 -
Rising 21.23.22.00 2009.04.01 -
Sophos 4.40.0 2009.04.01 -
Sunbelt 3.2.1858.2 2009.04.01 -
Symantec 1.4.4.12 2009.04.01 -
TheHacker 6.3.4.0.298 2009.04.01 W32/Virut.gen2
TrendMicro 8.700.0.1004 2009.04.01 Cryp_Virux
VBA32 3.12.10.1 2009.03.31 -
ViRobot 2009.4.1.1671 2009.04.01 -
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 193536 bytes
MD5...: 390fea115be24a35cf9cc4ae47f5eda4
SHA1..: f06f7e00eed92ab8f2faee3e7b7a5e3c6e780b1c
SHA256: 220bef9ffb506155e176581aafd3a9930b0f7ea8bf12d6e31815252d191904f5
SHA512: 2e2237e6e2b3891dc26d0ec0597bdfab0cba4b003162c2a948091f73b2f2da66
e7ca758960c7fe06bec7c9a6e6a76eb7edbbce711f69ee1c9f5e6ef99b681d0c
ssdeep: 3072:1U6d1mef2FC/+NL1El3E4cBX6S0gDsyIK1vA32GuIUIs/FnfJ2KHu8MPdi6
e+:66WU2dNL+l32rtIpnuhB
PEiD..: Ste@lth PE 1.01 -> BGCorp
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x24d27
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)

( 8 sections )
name viradd virsiz rawdsiz ntrpy md5
CODE 0x1000 0x23e00 0x23e00 6.54 d7128c2cbc36c02c19d4de83437bda66
DATA 0x25000 0xb9c 0xc00 4.42 1a98b13dd975ede137a3ae383338d50f
BSS 0x26000 0xf1d 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.idata 0x27000 0xbec 0xc00 4.72 b118f1a840f56a5edc6147dd28c6bcd2
.tls 0x28000 0xc 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rdata 0x29000 0x18 0x200 0.26 d8a43ef1071635906767f26496abd6b3
.reloc 0x2a000 0x2b34 0x2c00 6.67 8fca163db6c6a33095304e82ae48a124
.rsrc 0x2d000 0x8200 0x6c00 6.16 afa77928107232d18f74cb1804940c07

( 9 imports )
> kernel32.dll: DeleteCriticalSection, LeaveCriticalSection, EnterCriticalSection, InitializeCriticalSection, VirtualFree, VirtualAlloc, LocalFree, LocalAlloc, GetCurrentThreadId, InterlockedDecrement, InterlockedIncrement, VirtualQuery, WideCharToMultiByte, MultiByteToWideChar, lstrlenA, lstrcpynA, LoadLibraryExA, GetThreadLocale, GetStartupInfoA, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLastError, GetCommandLineA, FreeLibrary, FindFirstFileA, FindClose, ExitProcess, WriteFile, UnhandledExceptionFilter, SetFilePointer, SetEndOfFile, RtlUnwind, ReadFile, RaiseException, GetStdHandle, GetFileSize, GetSystemTime, GetFileType, CreateFileA, CloseHandle
> user32.dll: GetKeyboardType, LoadStringA, MessageBoxA, CharNextA
> advapi32.dll: RegQueryValueExA, RegOpenKeyExA, RegCloseKey
> oleaut32.dll: SysFreeString, SysReAllocStringLen, SysAllocStringLen
> kernel32.dll: TlsSetValue, TlsGetValue, LocalAlloc, GetModuleHandleA
> kernel32.dll: WriteFile, WaitForSingleObject, VirtualQuery, SetFilePointer, SetEvent, SetEndOfFile, ResetEvent, ReadFile, LoadLibraryA, LeaveCriticalSection, InitializeCriticalSection, GlobalUnlock, GlobalReAlloc, GlobalHandle, GlobalLock, GlobalFree, GlobalAlloc, GetVersionExA, GetThreadLocale, GetStringTypeExA, GetStdHandle, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLocalTime, GetLastError, GetDiskFreeSpaceA, GetCurrentThreadId, GetCPInfo, GetACP, FreeLibrary, FormatMessageA, FindFirstFileA, FindClose, FileTimeToLocalFileTime, FileTimeToDosDateTime, EnumCalendarInfoA, EnterCriticalSection, DeleteCriticalSection, CreateFileA, CreateEventA, CompareStringA, CloseHandle
> user32.dll: MessageBoxA, LoadStringA, GetSystemMetrics, CharNextA
> kernel32.dll: Sleep
> oleaut32.dll: SafeArrayPtrOfIndex, SafeArrayPutElement, SafeArrayGetElement, SafeArrayGetUBound, SafeArrayGetLBound, SafeArrayRedim, SafeArrayCreate, VarBstrFromBool, VarBstrFromDate, VarBstrFromCy, VarBoolFromStr, VarCyFromStr, VarDateFromStr, VarR8FromStr, VarI4FromStr, VarNot, VarNeg, VariantChangeTypeEx, VariantCopyInd, VariantCopy, VariantClear, VariantInit

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 13:59

C:\WINDOWS\System32\tdctxte.exe

a-squared 4.0.0.101 2009.04.01 Backdoor.Win32.Refpron!IK
AhnLab-V3 5.0.0.2 2009.04.01 -
AntiVir 7.9.0.129 2009.04.01 W32/Virut.Gen
Antiy-AVL 2.0.3.1 2009.04.01 -
Authentium 5.1.2.4 2009.03.31 W32/Virut.AI!Generic
Avast 4.8.1335.0 2009.03.31 Win32:Vitro
AVG 8.5.0.285 2009.04.01 Win32/Virut
BitDefender 7.2 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
CAT-QuickHeal 10.00 2009.04.01 W32.Virut.G
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
DrWeb 4.44.0.09170 2009.04.01 -
eSafe 7.0.17.0 2009.04.01 -
eTrust-Vet 31.6.6429 2009.04.01 Win32/Virut.17408
F-Prot 4.4.4.56 2009.03.31 W32/Virut.AI!Generic
F-Secure 8.0.14470.0 2009.04.01 Virus.Win32.Virut.ce
Fortinet 3.117.0.0 2009.04.01 -
GData 19 2009.04.01 Gen:Trojan.Heur.B034CBE9E9
Ikarus T3.1.1.49.0 2009.04.01 Backdoor.Win32.Refpron
K7AntiVirus 7.10.687 2009.03.31 -
Kaspersky 7.0.0.125 2009.04.01 Virus.Win32.Virut.ce
McAfee 5570 2009.03.31 W32/Virut.n.gen
McAfee+Artemis 5570 2009.03.31 W32/Virut.n.gen
McAfee-GW-Edition 6.7.6 2009.04.01 Win32.Virut.Gen
Microsoft 1.4502 2009.04.01 Backdoor:Win32/Refpron.M
NOD32 3980 2009.04.01 -
Norman 6.00.06 2009.03.31 -
nProtect 2009.1.8.0 2009.04.01 -
Panda 10.0.0.14 2009.03.31 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.01 -
Rising 21.23.22.00 2009.04.01 -
Sophos 4.40.0 2009.04.01 -
Sunbelt 3.2.1858.2 2009.04.01 -
Symantec 1.4.4.12 2009.04.01 -
TheHacker 6.3.4.0.298 2009.04.01 W32/Virut.gen2
TrendMicro 8.700.0.1004 2009.04.01 Cryp_Virux
VBA32 3.12.10.1 2009.03.31 -
ViRobot 2009.4.1.1671 2009.04.01 -
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 194048 bytes
MD5...: 78215c845b1e54a81e6112786fde1950
SHA1..: 69b0ba61c1030c01a3c53a2b0911d5065d9b9409
SHA256: f3b4bae641253e3709da8c416e9e22836e15d3606a149f767f16e5f4d1c09597
SHA512: 146368ae255d3ff9a79485ad3db52b51519298217857830b45424db2c472817e
43f1b5337614e244542cd4900556687aa46f2221d2682578a8925e3fe3b6982e
ssdeep: 3072:VU6d1mef2FC/+NL1El3E4cBX6S0gDsyIK1vA32GuIUIs/FQ3zi+u+HwMD7a
PSxqb:a6WU2dNL+l32rtIpnuqjPaPSx8D
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x24cea
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)

( 8 sections )
name viradd virsiz rawdsiz ntrpy md5
CODE 0x1000 0x23e00 0x23e00 6.55 3357fb0d6d8137727d1fe034308f1212
DATA 0x25000 0xb9c 0xc00 4.42 c75fd7548ec400f4de42964b28987f23
BSS 0x26000 0xf1d 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.idata 0x27000 0xbec 0xc00 4.72 b118f1a840f56a5edc6147dd28c6bcd2
.tls 0x28000 0xc 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rdata 0x29000 0x18 0x200 0.26 d8a43ef1071635906767f26496abd6b3
.reloc 0x2a000 0x2b34 0x2c00 6.66 cb4157e83e18e80f39b257542b1efe98
.rsrc 0x2d000 0x7400 0x6e00 6.08 fdecf7bbcc2283b4b6b08efb7aafc890

( 9 imports )
> kernel32.dll: DeleteCriticalSection, LeaveCriticalSection, EnterCriticalSection, InitializeCriticalSection, VirtualFree, VirtualAlloc, LocalFree, LocalAlloc, GetCurrentThreadId, InterlockedDecrement, InterlockedIncrement, VirtualQuery, WideCharToMultiByte, MultiByteToWideChar, lstrlenA, lstrcpynA, LoadLibraryExA, GetThreadLocale, GetStartupInfoA, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLastError, GetCommandLineA, FreeLibrary, FindFirstFileA, FindClose, ExitProcess, WriteFile, UnhandledExceptionFilter, SetFilePointer, SetEndOfFile, RtlUnwind, ReadFile, RaiseException, GetStdHandle, GetFileSize, GetSystemTime, GetFileType, CreateFileA, CloseHandle
> user32.dll: GetKeyboardType, LoadStringA, MessageBoxA, CharNextA
> advapi32.dll: RegQueryValueExA, RegOpenKeyExA, RegCloseKey
> oleaut32.dll: SysFreeString, SysReAllocStringLen, SysAllocStringLen
> kernel32.dll: TlsSetValue, TlsGetValue, LocalAlloc, GetModuleHandleA
> kernel32.dll: WriteFile, WaitForSingleObject, VirtualQuery, SetFilePointer, SetEvent, SetEndOfFile, ResetEvent, ReadFile, LoadLibraryA, LeaveCriticalSection, InitializeCriticalSection, GlobalUnlock, GlobalReAlloc, GlobalHandle, GlobalLock, GlobalFree, GlobalAlloc, GetVersionExA, GetThreadLocale, GetStringTypeExA, GetStdHandle, GetProcAddress, GetModuleHandleA, GetModuleFileNameA, GetLocaleInfoA, GetLocalTime, GetLastError, GetDiskFreeSpaceA, GetCurrentThreadId, GetCPInfo, GetACP, FreeLibrary, FormatMessageA, FindFirstFileA, FindClose, FileTimeToLocalFileTime, FileTimeToDosDateTime, EnumCalendarInfoA, EnterCriticalSection, DeleteCriticalSection, CreateFileA, CreateEventA, CompareStringA, CloseHandle
> user32.dll: MessageBoxA, LoadStringA, GetSystemMetrics, CharNextA
> kernel32.dll: Sleep
> oleaut32.dll: SafeArrayPtrOfIndex, SafeArrayPutElement, SafeArrayGetElement, SafeArrayGetUBound, SafeArrayGetLBound, SafeArrayRedim, SafeArrayCreate, VarBstrFromBool, VarBstrFromDate, VarBstrFromCy, VarBoolFromStr, VarCyFromStr, VarDateFromStr, VarR8FromStr, VarI4FromStr, VarNot, VarNeg, VariantChangeTypeEx, VariantCopyInd, VariantCopy, VariantClear, VariantInit

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 14:01

C:\WINDOWS\System32\reader_s.exe

a-squared 4.0.0.101 2009.04.01 Trojan-PWS.Papras!IK
AhnLab-V3 5.0.0.2 2009.04.01 Win-Trojan/Agent.37376.OQ
AntiVir 7.9.0.129 2009.04.01 TR/PSW.Papras.N
Antiy-AVL 2.0.3.1 2009.04.01 Trojan/Win32.Agent2
Authentium 5.1.2.4 2009.03.31 -
Avast 4.8.1335.0 2009.03.31 Win32:Vupa
AVG 8.5.0.285 2009.04.01 SHeur2.WNC
BitDefender 7.2 2009.04.01 Trojan.PWS.Papras.N
CAT-QuickHeal 10.00 2009.04.01 Trojan.Agent2.fsa
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
eSafe 7.0.17.0 2009.04.01 Suspicious File
eTrust-Vet 31.6.6429 2009.04.01 -
F-Prot 4.4.4.56 2009.03.31 -
F-Secure 8.0.14470.0 2009.04.01 Trojan.Win32.Agent2.fsa
Fortinet 3.117.0.0 2009.04.01 PossibleThreat
GData 19 2009.04.01 Trojan.PWS.Papras.N
Ikarus T3.1.1.49.0 2009.04.01 Trojan-PWS.Papras
K7AntiVirus 7.10.687 2009.03.31 Trojan.Win32.Agent2.fsa
Kaspersky 7.0.0.125 2009.04.01 Trojan.Win32.Agent2.fsa
McAfee 5570 2009.03.31 Generic.dx
McAfee+Artemis 5570 2009.03.31 Generic.dx
McAfee-GW-Edition 6.7.6 2009.04.01 Trojan.PSW.Papras.N
Microsoft 1.4502 2009.04.01 -
NOD32 3980 2009.04.01 Win32/Wigon
Norman 6.00.06 2009.03.31 W32/Agent.MEXE
nProtect 2009.1.8.0 2009.04.01 Trojan/W32.Agent2.37376.C
Panda 10.0.0.14 2009.03.31 Trj/Papras.I
PCTools 4.4.2.0 2009.04.01 Trojan.Agent2!sd6
Prevx1 V2 2009.04.01 Medium Risk Malware
Rising 21.23.22.00 2009.04.01 Trojan.Win32.Nodef.gno
Sophos 4.40.0 2009.04.01 Mal/EncPk-HJ
Sunbelt 3.2.1858.2 2009.04.01 Trojan.Win32.Agent2.fsa
Symantec 1.4.4.12 2009.04.01 Trojan Horse
TheHacker 6.3.4.0.298 2009.04.01 Trojan/Agent2.fsa
TrendMicro 8.700.0.1004 2009.04.01 TROJ_AGENT.CHB
VBA32 3.12.10.1 2009.03.31 Trojan.Win32.Agent2.fsa
ViRobot 2009.4.1.1671 2009.04.01 Trojan.Win32.Agent.37376.AH
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 37376 bytes
MD5...: b21c88a7add7afac981011013cc37bba
SHA1..: 8d6fd06d1bff66c83271dfd3b639dcd751f5da66
SHA256: 31816e9aca3b477b7052b32d5d8f483eaffeb08ce468a1107e1b6df08799ee2c
SHA512: 5f91217c0f191cc6449fb25d633ff967a17b99d34c7ca86ab866a77c27114daf
e5fa6f5f8fcb71b3901bdf6611bf0e5273b71efa8ca88a19bbb8f8c8e20e9381
ssdeep: 768:kmv6IAFOHWsBY7Yj39EiRsUdhqW+VtsFOBENu8cNiudNXD/g:kY6IAFIYExR
lhqhUUyNuLNDdNXc
PEiD..: -
TrID..: File type identification
Win64 Executable Generic (88.0%)
Win32 Dynamic Link Library (generic) (7.8%)
Generic Win/DOS Executable (2.0%)
DOS Executable Generic (2.0%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x75a0
timedatestamp.....: 0x47d0f256 (Fri Mar 07 07:44:22 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x8000 0x7400 7.83 e27fb063f102ee6377d932465615f945
.rdata 0x9000 0x1000 0xc00 3.94 bbeb986149b060bd8aa9e7c4f2a6a66c
.data 0xa000 0x1000 0x800 5.47 34cc17082de2ff21c92622f0a41b7dda
.rsrc 0xb000 0x3f0 0x400 3.43 a1141a0b74c163a7bd5eba40e80f4450
_win 0xc000 0x200 0x200 0.00 bf619eac0cdf3f68d496ea9344137e8b

( 4 imports )
> MSVCRT.dll: __p__fmode, strtol, strcpy, strcspn, _XcptFilter, memcpy, _strtime, exit, _wfullpath, _controlfp
> GDI32.dll: CreateDIBSection, StartDocW, CreateRectRgn, CreateSolidBrush, DeleteDC, EndDoc, RestoreDC, GetDeviceCaps, StartPage, Polyline, RectInRegion
> KERNEL32.dll: EnumSystemCodePagesA, GetVolumeInformationW, FindNextChangeNotification, ConsoleMenuControl, MoveFileWithProgressA, SetFilePointerEx, WaitNamedPipeA, FreeLibrary, SetVDMCurrentDirectories, GetWriteWatch
> ulib.dll: _Initialize@TIMEINFO_ARGUMENT@@QAEEPAD@Z, _Resize@DSTRING@@UAEEK@Z, _Construct@WSTRING@@IAEXXZ, __1MESSAGE@@UAE@XZ, _QueryTimeOut@COMM_DEVICE@@QBEEXZ, _DisableBreakHandling@KEYBOARD@@SGEXZ, __0LONG_ARGUMENT@@QAE@XZ, __1PROGRAM@@UAE@XZ, _Initialize@TIMEINFO@@QAEEPAU_FILETIME@@@Z

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 14:02

C:\WINDOWS\system32\mstd.exe

a-squared 4.0.0.101 2009.04.01 -
AhnLab-V3 5.0.0.2 2009.04.01 -
AntiVir 7.9.0.129 2009.04.01 W32/Virut.Gen
Antiy-AVL 2.0.3.1 2009.04.01 -
Authentium 5.1.2.4 2009.03.31 W32/Virut.AI!Generic
Avast 4.8.1335.0 2009.03.31 Win32:Vitro
AVG 8.5.0.285 2009.04.01 -
BitDefender 7.2 2009.04.01 -
CAT-QuickHeal 10.00 2009.04.01 W32.Virut.G
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
DrWeb 4.44.0.09170 2009.04.01 -
eSafe 7.0.17.0 2009.04.01 -
eTrust-Vet 31.6.6429 2009.04.01 Win32/Virut.17408
F-Prot 4.4.4.56 2009.03.31 W32/Virut.AI!Generic
F-Secure 8.0.14470.0 2009.04.01 Virus.Win32.Virut.ce
Fortinet 3.117.0.0 2009.04.01 -
GData 19 2009.04.01 Win32:Vitro
Ikarus T3.1.1.49.0 2009.04.01 -
K7AntiVirus 7.10.687 2009.03.31 -
Kaspersky 7.0.0.125 2009.04.01 Virus.Win32.Virut.ce
McAfee 5570 2009.03.31 W32/Virut.n.gen
McAfee+Artemis 5570 2009.03.31 W32/Virut.n.gen
McAfee-GW-Edition 6.7.6 2009.04.01 Win32.Virut.Gen
Microsoft 1.4502 2009.04.01 Virus:Win32/Virut.gen!E
NOD32 3980 2009.04.01 -
Norman 6.00.06 2009.03.31 -
nProtect 2009.1.8.0 2009.04.01 -
Panda 10.0.0.14 2009.03.31 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.01 -
Rising 21.23.22.00 2009.04.01 -
Sophos 4.40.0 2009.04.01 -
Sunbelt 3.2.1858.2 2009.04.01 -
Symantec 1.4.4.12 2009.04.01 -
TheHacker 6.3.4.0.298 2009.04.01 W32/Virut.gen2
TrendMicro 8.700.0.1004 2009.04.01 Cryp_Virux
VBA32 3.12.10.1 2009.03.31 -
ViRobot 2009.4.1.1671 2009.04.01 -
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 45056 bytes
MD5...: 3ceaadaecd73d5bc21726982fefd99dc
SHA1..: cc3f4d76edcbcad6fd108acbdc3cc2647aab7e02
SHA256: 96f7be9fb6cb5aacb47e8738b6790e559801740fb85790740c22856ebf5769c3
SHA512: 317524271e33e31308f36097da6e4be71cfd65778a4de5d4209413d5b3868f31
2fc7a3f3674902788727d85e3a30a5c87efc0d83ac39c13d73c7770cb4af83d5
ssdeep: 768:lsrvmRn1l8kpfk1vQxux4QUEGPRygZCETkAVUT:lsv+X8Efk1sQUEGJB2M
PEiD..: Armadillo v1.71
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x2486
timedatestamp.....: 0x49d08a1d (Mon Mar 30 09:00:13 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x2000 0x2000 6.02 034aa6e8e1b16da1796e8a8d20a5e18e
.rdata 0x3000 0xbc4 0x1000 4.07 49967bc6d1755758469b40865032609d
.data 0x4000 0x4e0 0x1000 1.49 6fc5d63c3bf15619f40da04085ca4321
.rsrc 0x5000 0x7000 0x6000 5.73 5e875eb3e2d369d727ee0b2e02b8c53f

( 7 imports )
> MFC42.DLL: -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -
> MSVCRT.dll: _adjust_fdiv, __p__commode, malloc, _exit, _XcptFilter, __getmainargs, __CxxFrameHandler, _mbscmp, atoi, memset, __setusermatherr, _acmdln, free, _initterm, memcpy, __p__fmode, __set_app_type, _controlfp, _except_handler3, __1type_info@@UAE@XZ, exit
> KERNEL32.dll: GetCommandLineA, WriteFile, GetStartupInfoA, GetModuleHandleA, GetCurrentThread, GetCurrentProcess, GetLastError, GetModuleFileNameA, GetSystemDefaultLangID, CreateProcessA, CloseHandle, lstrlenA, CreateFileA, FindClose, FindFirstFileA, GetTempPathA, GetWindowsDirectoryA, GetSystemDirectoryA, GetCurrentThreadId, lstrcmpiA
> USER32.dll: GetMessageA, DispatchMessageA, PostThreadMessageA, SetTimer, LoadStringA, CharNextA
> ADVAPI32.dll: StartServiceCtrlDispatcherA, ControlService, CloseServiceHandle, OpenServiceA, OpenSCManagerA, GetTokenInformation, OpenThreadToken, OpenProcessToken, SetSecurityDescriptorGroup, SetSecurityDescriptorOwner, GetLengthSid, CopySid, InitializeSecurityDescriptor, SetSecurityDescriptorDacl, RegOpenKeyExA, RegisterServiceCtrlHandlerA, ChangeServiceConfig2A, DeleteService, CreateServiceA, QueryServiceStatus, StartServiceA, LockServiceDatabase, UnlockServiceDatabase, RegDeleteValueA, RegSetValueExA, RegCloseKey, RegQueryValueExA, SetServiceStatus
> ATL.DLL: -, -, -, -, -, -
> ole32.dll: CoInitializeSecurity, CoUninitialize, CoInitialize

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 14:03

C:\WINDOWS\system32\3361\svchost.exe

a-squared 4.0.0.101 2009.04.01 Trojan-Dropper.Agent!IK
AhnLab-V3 5.0.0.2 2009.04.01 -
AntiVir 7.9.0.129 2009.04.01 W32/Virut.Gen
Antiy-AVL 2.0.3.1 2009.04.01 -
Authentium 5.1.2.4 2009.03.31 W32/Virut.AI!Generic
Avast 4.8.1335.0 2009.03.31 Win32:Vitro
AVG 8.5.0.285 2009.04.01 -
BitDefender 7.2 2009.04.01 -
CAT-QuickHeal 10.00 2009.04.01 W32.Virut.G
ClamAV 0.94.1 2009.04.01 -
Comodo 1092 2009.03.31 -
DrWeb 4.44.0.09170 2009.04.01 -
eSafe 7.0.17.0 2009.04.01 -
eTrust-Vet 31.6.6429 2009.04.01 Win32/Virut.17408
F-Prot 4.4.4.56 2009.03.31 W32/Virut.AI!Generic
F-Secure 8.0.14470.0 2009.04.01 Virus.Win32.Virut.ce
Fortinet 3.117.0.0 2009.04.01 -
GData 19 2009.04.01 Win32:Vitro
Ikarus T3.1.1.49.0 2009.04.01 Trojan-Dropper.Agent
K7AntiVirus 7.10.687 2009.03.31 -
Kaspersky 7.0.0.125 2009.04.01 Virus.Win32.Virut.ce
McAfee 5570 2009.03.31 W32/Virut.n.gen
McAfee+Artemis 5570 2009.03.31 W32/Virut.n.gen
McAfee-GW-Edition 6.7.6 2009.04.01 Win32.Virut.Gen
Microsoft 1.4502 2009.04.01 Virus:Win32/Virut.gen!E
NOD32 3980 2009.04.01 -
Norman 6.00.06 2009.03.31 -
nProtect 2009.1.8.0 2009.04.01 -
Panda 10.0.0.14 2009.03.31 -
PCTools 4.4.2.0 2009.04.01 -
Prevx1 V2 2009.04.01 -
Rising 21.23.22.00 2009.04.01 -
Sophos 4.40.0 2009.04.01 -
Sunbelt 3.2.1858.2 2009.04.01 -
Symantec 1.4.4.12 2009.04.01 -
TheHacker 6.3.4.0.298 2009.04.01 W32/Virut.gen2
TrendMicro 8.700.0.1004 2009.04.01 Cryp_Virux
ViRobot 2009.4.1.1671 2009.04.01 -
VirusBuster 4.6.5.0 2009.03.31 -
weitere Informationen
File size: 86016 bytes
MD5...: a365078cadf0fdbb488549b235aa06b6
SHA1..: ba310d59a29196936babded0f859c23d0084f44e
SHA256: 864c253db828ae1d9df7681cee5a80b86a2d61c4b49c1cf15b6e274b984515e9
SHA512: cc372ceb725f20cc17bfd4f45233f16043ead44301b298e1eacffac025e1a8f8
337e8e6f8f9179471647ac366bd51692384cfb94ebc741eb9b4b201170dc8f9e
ssdeep: 1536:ji7ipp/XKZjSblkihee2yqUnyLyh561ww32KBp2pQyu:j4ip9KdSblxke2h
LyH6V2KB8Gh
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xe503
timedatestamp.....: 0x49ce8d4c (Sat Mar 28 20:49:16 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xe000 0xe000 5.14 0341472428d6b594df0715c598b960aa
.data 0xf000 0x11cc 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x11000 0x7000 0x6000 5.70 10c0f8d4d5201e051e7ef8ea820a0cda

( 1 imports )
> MSVBVM60.DLL: MethCallEngine, -, -, -, -, -, -, -, -, -, -, -, -, -, -, -, EVENT_SINK_AddRef, -, DllFunctionCall, -, EVENT_SINK_Release, -, EVENT_SINK_QueryInterface, __vbaExceptHandler, -, -, -, -, -, -, -, -, ProcCallEngine, -, -, -, -, -, -, -, -, -, -, -, -

( 0 exports )
RDS...: NSRL Reference Data Set

Sbasti87 · 01.04.2009, 14:04

C:\WINDOWS\system32\tpszxyd.sys

wollte er nicht anzeigen

john.doe · 01.04.2009, 14:20

Eine davon hätte ausgereicht. Ich habe mich mit Myrtille (die hat hier mit weitem Abstand am meisten Ahnung) beraten. Du hast da eine Kombination von Backdoors, die fleissig nach Hause telefonieren, Passwordstealer und dateizerstörenden Trojaner. Virut kann man bereinigen, allerdings hast du wahrscheinlich die neue, noch agressivere Variante, bei der selbst die englischen Boards aufgeben.

Deshalb gibt es wirklich nur eine Lösung: http://www.trojaner-board.de/51262-a...sicherung.html

Du musst alles plattmachen, wirklich alles. Nach Neuinstallation alle Kennwörter ändern. Falls du Onlinebanking machst, lass temporär dein Konto sperren.

1.) Eins wäre noch sehr wichtig zu klären: Weißt du, wie du den bekommen hast? Falls du ein Downloadlink hast, dann schicke ihn mir bitte als PN.

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

Falls du Versuchskaninchen spielen möchtest, dann lasse bitte noch GMER und ComboFix laufen, nur um sicher zu gehen, dass es tatsächlich die neue Variante ist. Ansonsten Internetverbindung trennen (Stecker ziehen) und sofort Neuaufsetzen.

3.) GMER - Rootkit Detection

Lade Tralala von File-Upload.net - Tralala.exe
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Tralala.exe
Der Reiter Rootkit oben ist schon angewählt

Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

4.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

Sbasti87 · 01.04.2009, 14:37

OK Danke erstmal hab ich irgendwie schon befürchtet!!!! Also nur alles komplett platt machen

Problem mit svchost.exe

Log-Analyse und Auswertung: Problem mit svchost.exe