| |
| |||||||
Log-Analyse und Auswertung: TR/Crypt.XPack.Gen und TR/Agent.AG.1267Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
04.11.2009, 10:13
| #1 |
| |  TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Hallo bitte helft mir. Seit geraumer Zeit ist mein PC sehr langsam geworden, bzw blockt Internetseiten ganz. Jetzt habe ich mal Antivir komplett drüber laufen lassen und folgendes ist aufgetreten: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Dienstag, 3. November 2009 09:32 Es wird nach 1858596 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : MEIXNER Versionsinformationen: BUILD.DAT : 9.0.0.410 18074 Bytes 25.09.2009 11:51:00 AVSCAN.EXE : 9.0.3.7 466689 Bytes 05.08.2009 18:06:50 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 10:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 09:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 08:41:59 ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 10:30:36 ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 24.06.2009 14:41:57 ANTIVIR2.VDF : 7.1.6.160 5413376 Bytes 28.10.2009 21:16:20 ANTIVIR3.VDF : 7.1.6.180 162816 Bytes 02.11.2009 19:06:09 Engineversion : 8.2.1.53 AEVDF.DLL : 8.1.1.2 106867 Bytes 16.09.2009 07:13:44 AESCRIPT.DLL : 8.1.2.43 528764 Bytes 30.10.2009 21:17:30 AESCN.DLL : 8.1.2.5 127346 Bytes 04.09.2009 19:01:47 AERDL.DLL : 8.1.3.2 479604 Bytes 03.10.2009 09:08:30 AEPACK.DLL : 8.2.0.2 422263 Bytes 23.10.2009 16:37:13 AEOFFICE.DLL : 8.1.0.38 196987 Bytes 18.06.2009 06:59:48 AEHEUR.DLL : 8.1.0.173 2064760 Bytes 30.10.2009 21:17:18 AEHELP.DLL : 8.1.7.0 237940 Bytes 04.09.2009 19:01:43 AEGEN.DLL : 8.1.1.70 364917 Bytes 30.10.2009 21:16:32 AEEMU.DLL : 8.1.1.0 393587 Bytes 03.10.2009 09:07:37 AECORE.DLL : 8.1.8.1 184693 Bytes 16.09.2009 07:13:42 AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 12:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 06:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 08.09.2009 18:15:56 AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 12:34:28 AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 13:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 21.05.2009 14:29:10 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 08:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 13:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 06:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 13:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 10.06.2009 04:45:53 RCTEXT.DLL : 9.0.37.0 87809 Bytes 21.05.2009 14:29:10 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: löschen Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, D:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Abweichende Gefahrenkategorien........: +GAME, Beginn des Suchlaufs: Dienstag, 3. November 2009 09:32 Der Suchlauf nach versteckten Objekten wird begonnen. Eine Instanz der ARK Library läuft bereits. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'b.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nSvcIp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Apache.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MDM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Apache.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CSHelper.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'schedul2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msb.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KHALMNPR.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NMBgMonitor.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MOM.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'schedhlp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TimounterMonitor.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TrueImageMonitor.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '53' Prozesse mit '53' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '71' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\Dokumente und Einstellungen\Gabi\Lokale Einstellungen\Temp\e.exe [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen [HINWEIS] Die Datei wurde gelöscht. C:\System Volume Information\_restore{EAD12758-2D27-4B33-97B3-096227D56C82}\RP296\A0031313.dll [FUND] Ist das Trojanische Pferd TR/Agent.AG.1267 [HINWEIS] Die Datei wurde gelöscht. Beginne mit der Suche in 'D:\' <SICHERUNG> Ende des Suchlaufs: Dienstag, 3. November 2009 10:41 Benötigte Zeit: 1:09:06 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 8471 Verzeichnisse wurden überprüft 258634 Dateien wurden geprüft 2 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 2 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 1 Dateien konnten nicht durchsucht werden 258631 Dateien ohne Befall 1210 Archive wurden durchsucht 1 Warnungen 3 Hinweise Ich hoffe, ihr könnt was damit anfangen, denn mir sagt das nichts. Gleich auch schon mal das HJT-Log mit dabei. Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:05:42, on 04.11.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Avira\AntiVir Desktop\sched.exe C:\DOKUME~1\Gabi\LOKALE~1\Temp\b.exe C:\Programme\CyberLink\PowerDVD\PDVDServ.exe C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe C:\Programme\Java\jre6\bin\jusched.exe C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Logitech\SetPoint\SetPoint.exe C:\WINDOWS\msb.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe C:\Programme\Avira\AntiVir Desktop\avguard.exe C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE C:\WINDOWS\system32\CSHelper.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\WINDOWS\system32\svchost.exe C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe C:\Dokumente und Einstellungen\Gabi\Eigene Dateien\TomTom HOME 2\TomTomHOMEService.exe C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Internet Explorer\iexplore.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Java\jre6\bin\jucheck.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Gemeinsame Dateien\Ahead\lib\NMIndexStoreSvr.exe C:\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\DOKUME~1\Gabi\LOKALE~1\Temp\msxml71.dll (file missing) O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.3.4501.1418\swg.dll O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_B7C5AC242193BB3E.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [EPSON Stylus DX7400 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICDE.EXE /FU "C:\WINDOWS\TEMP\E_SCE.tmp" /EF "HKCU" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Dokumente und Einstellungen\Gabi\Eigene Dateien\TomTom HOME 2\TomTomHOMERunner.exe" O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [PopRock] C:\DOKUME~1\Gabi\LOKALE~1\Temp\b.exe O4 - HKCU\..\RunOnce: [Shockwave Updater] C:\WINDOWS\system32\Adobe\Shockwave 11\SwHelper_1150596.exe -Update -1150596 -"Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)" -"http://cash.games.web.de/play.jsp?challengeId=29092529" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200 O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game02.zylom.com/activex/zylomgamesplayer.cab O16 - DPF: {CAC677B6-4963-4305-9066-0BD135CD9233} (IPSUploader4 Control) - http://as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader4.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: CopySafe Helper Service (CSHelper) - Unknown owner - C:\WINDOWS\system32\CSHelper.exe O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTServ.exe O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TomTomHOMEService - TomTom - C:\Dokumente und Einstellungen\Gabi\Eigene Dateien\TomTom HOME 2\TomTomHOMEService.exe -- End of file - 9799 bytes Kriege ich die Trojaner von alleine weg, oder muss ich den computer weg bringen, da ich ein totaler Laie bin ? Vielen dank schon mal im vorraus für eure Hilfe |
|
04.11.2009, 12:29
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Hallo und
__________________ Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!! Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.
__________________ |
|
04.11.2009, 18:14
| #3 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 So bin die Anleitung durchgegangen, aber die Trojaner und Viren werden immer wieder aufs neue festgestellt. Kriege ich die denn überhaupt noch weg ohne formatieren? Habe mal alle logs die ich von AV, HJT etc gefunden habe zusammen gepackt und unten angehangen, vielleicht könnt ihr ja was damit anfangen und mir bei meinem Problem helfen.
__________________ |
|
04.11.2009, 20:29
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 MalwareBytes hat da ne ganze Menge weggekloppt aber leider erwähnst Du nicht, wo was erneut gefunden wird. Bitte Combofix ausführen, Anleitung genau beachten und befolgen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
05.11.2009, 09:51
| #5 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 So, habe durchgeführt, was sie mir gesagt haben. Beim CC Cleaner ist das einzige was ich nicht wegbekomme folgendes: Ungenutzte Datei-Endungen {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} Und bei Cofi ist folgendes rausgekommen : ComboFix 09-11-04.04 - Gabi 05.11.2009 9:31.1.1 - NTFSx86 Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.1791.1292 [GMT 1:00] ausgeführt von:: c:\downloads\cofi.exe AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7} FW: ActiveArmor Firewall *disabled* {EDC10449-64D1-46c7-A59A-EC20D662F26D} . ((((((((((((((((((((((( Dateien erstellt von 2009-10-05 bis 2009-11-05 )))))))))))))))))))))))))))))) . 2009-11-04 17:06 . 2009-11-04 09:05 396288 ----a-w- C:\Gabi.exe 2009-11-04 17:06 . 2009-11-04 17:06 -------- d-----w- C:\rsit 2009-11-04 12:41 . 2009-11-04 12:41 -------- d-----w- c:\dokumente und einstellungen\Gabi\Anwendungsdaten\Malwarebytes 2009-11-04 12:40 . 2009-09-10 13:54 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2009-11-04 12:40 . 2009-11-04 12:40 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes 2009-11-04 12:40 . 2009-09-10 13:53 19160 ----a-w- c:\windows\system32\drivers\mbam.sys 2009-11-04 12:17 . 2009-11-05 08:28 -------- d-----w- C:\Downloads 2009-11-04 10:52 . 2009-11-04 10:52 -------- d-sh--w- c:\dokumente und einstellungen\LocalService\IETldCache 2009-11-04 09:05 . 2009-11-04 09:05 396288 ----a-w- C:\HijackThis.exe 2009-11-03 09:44 . 2009-11-03 09:44 -------- d-----r- c:\dokumente und einstellungen\LocalService\Favoriten 2009-11-03 09:44 . 2009-11-05 08:24 -------- d-----w- C:\AntiVir-Logfiles 2009-10-27 14:24 . 2009-10-27 14:24 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\McAfee 2009-10-27 14:17 . 2009-10-27 14:17 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\McAfee Security Scan 2009-10-23 10:16 . 2009-10-23 11:30 43520 ----a-w- c:\windows\system32\CmdLineExt03.dll 2009-10-23 10:16 . 2009-10-23 10:16 -------- d-----w- c:\programme\directx 2009-10-21 09:31 . 2009-10-21 09:31 -------- d-sh--w- c:\windows\ftpcache 2009-10-18 15:38 . 2009-10-18 15:37 286720 ----a-w- c:\windows\iun506.exe 2009-10-10 09:34 . 2001-08-18 02:54 5632 ----a-w- c:\windows\system32\ptpusb.dll 2009-10-10 09:34 . 2008-04-14 05:52 159232 ----a-w- c:\windows\system32\ptpusd.dll . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2009-10-28 00:00 . 2009-01-18 08:06 -------- d-----w- c:\programme\Google 2009-10-25 07:11 . 2006-02-28 12:00 81126 ----a-w- c:\windows\system32\perfc007.dat 2009-10-25 07:11 . 2006-02-28 12:00 452300 ----a-w- c:\windows\system32\perfh007.dat 2009-10-23 11:32 . 2007-02-20 15:12 -------- d--h--w- c:\programme\InstallShield Installation Information 2009-09-11 14:17 . 2006-02-28 12:00 136192 ----a-w- c:\windows\system32\msv1_0.dll 2009-09-10 14:34 . 2009-09-10 14:34 49152 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\zylom\dreamchronicles3\de-DE\ZylomAdapter.dll 2009-09-10 14:34 . 2009-09-10 14:34 2138112 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\zylom\dreamchronicles3\de-DE\dreamchronicles3.exe 2009-09-04 21:03 . 2006-02-28 12:00 58880 ----a-w- c:\windows\system32\msasn1.dll 2009-08-29 07:54 . 2006-02-28 12:00 916480 ----a-w- c:\windows\system32\wininet.dll 2009-08-26 08:00 . 2006-02-28 12:00 247326 ----a-w- c:\windows\system32\strmdll.dll 2009-08-23 11:30 . 2009-08-23 11:30 152576 ----a-w- c:\dokumente und einstellungen\Gabi\Anwendungsdaten\Sun\Java\jre1.6.0_15\lzma.dll 2009-08-09 05:38 . 2008-11-14 05:49 64376 -c--a-w- c:\dokumente und einstellungen\Gabi\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT . (((((((((((((((((((((((((((( Autostartpunkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-10-28 94208] "TomTomHOME.exe"="c:\dokumente und einstellungen\Gabi\Eigene Dateien\TomTom HOME 2\TomTomHOMERunner.exe" [2009-04-08 251240] "swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-02-05 68856] "MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] "Shockwave Updater"="c:\windows\system32\Adobe\Shockwave 11\SwHelper_1150596.exe" [2009-04-29 468408] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-08-16 7630848] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-08-16 86016] "NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648] "RemoteControl"="c:\programme\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 32768] "TrueImageMonitor.exe"="c:\programme\Acronis\TrueImageHome\TrueImageMonitor.exe" [2006-10-18 1189920] "AcronisTimounterMonitor"="c:\programme\Acronis\TrueImageHome\TimounterMonitor.exe" [2006-10-18 1962896] "Acronis Scheduler2 Service"="c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" [2006-10-17 87584] "Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672] "QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-01-05 413696] "StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440] "avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153] "SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-07-25 149280] " Malwarebytes Anti-Malware (reboot)"="c:\downloads\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080] "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2006-08-16 1617920] "RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2008-01-29 16859648] "Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" - c:\windows\KHALMNPR.Exe [2007-09-21 55824] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\ Logitech SetPoint.lnk - c:\programme\Logitech\SetPoint\SetPoint.exe [2009-7-13 784912] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn] 2007-11-15 08:10 72208 ----a-w- c:\programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTWLgn.dll [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup] @="" [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Programme\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"= R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [21.05.2009 15:24 108289] R2 TomTomHOMEService;TomTomHOMEService;c:\dokumente und einstellungen\Gabi\Eigene Dateien\TomTom HOME 2\TomTomHOMEService.exe [08.04.2009 11:38 92008] S2 CSHelper;CopySafe Helper Service;c:\windows\system32\CSHelper.exe [30.01.2009 09:42 266240] S3 o1394bul;o1394bul;\??\c:\dokume~1\Gabi\LOKALE~1\Temp\o1394bul.sys --> c:\dokume~1\Gabi\LOKALE~1\Temp\o1394bul.sys [?] S3 SetupNTGLM7X;SetupNTGLM7X;\??\e:\ntglm7x.sys --> e:\NTGLM7X.sys [?] --- Andere Dienste/Treiber im Speicher --- *NewlyCreated* - MBR *NewlyCreated* - PROCEXP113 *Deregistered* - mbr *Deregistered* - PROCEXP113 . Inhalt des "geplante Tasks" Ordners 2009-11-02 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34] . . ------- Zusätzlicher Suchlauf ------- . uStart Page = hxxp://www.web.de/ uDefault_Search_URL = hxxp://www.google.com/ie uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200 IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} - hxxp://game02.zylom.com/activex/zylomgamesplayer.cab . ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2009-11-05 09:40 Windows 5.1.2600 Service Pack 3 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . --------------------- Durch laufende Prozesse gestartete DLLs --------------------- - - - - - - - > 'winlogon.exe'(808) c:\windows\system32\Ati2evxx.dll c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTWlgn.dll c:\programme\gemeinsame dateien\logishrd\bluetooth\LBTServ.dll - - - - - - - > 'lsass.exe'(864) c:\windows\system32\relog_ap.dll - - - - - - - > 'explorer.exe'(17972) c:\programme\Logitech\SetPoint\GameHook.dll c:\programme\Logitech\SetPoint\lgscroll.dll c:\windows\system32\webcheck.dll . Zeit der Fertigstellung: 2009-11-05 9:42 ComboFix-quarantined-files.txt 2009-11-05 08:42 Vor Suchlauf: 8 Verzeichnis(se), 26.094.764.032 Bytes frei Nach Suchlauf: 10 Verzeichnis(se), 26.099.412.992 Bytes frei WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect /usepmtimer |
|
05.11.2009, 11:49
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Bitte mal den Avenger anwenden Vorbereitungen: a) Deaktiviere den Hintergrundwächter vom Virenscanner. b) Stöpsele alle externen Datenträger vom Rechner ab. Danach: 1.) Lade Dir von hier Avenger als gehweg.exe => File-Upload.net - gehweg.exe auf den Desktop 2.) Doppelklick die Datei "gehweg.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:  3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld: Code:
ATTFilter drivers to delete:
o1394bul
files to delete:
c:\dokume~1\Gabi\LOKALE~1\Temp\o1394bul.sys
5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein. 6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso. 7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.
__________________ --> TR/Crypt.XPack.Gen und TR/Agent.AG.1267 |
|
05.11.2009, 12:20
| #7 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! Driver "o1394bul" deleted successfully. Error: file "c:\dokume~1\Gabi\LOKALE~1\Temp\o1394bul.sys" not found! Deletion of file "c:\dokume~1\Gabi\LOKALE~1\Temp\o1394bul.sys" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Completed script processing. ******************* Finished! Terminate. Mir wurde beim ersten neustart ein Problem angezeigt, jedoch so kurz, das ist nicht lesen konnte, was es war. Ein automatischer zweiter Neustart wurde durchgeführt. Hoffe, das ist richtig so. |
|
05.11.2009, 12:29
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Wie ist es nun um Deinen PC bestellt? Noch langsam, noch Meldungen bzgl. Schädlingen? Bitte ein Kontrollscan durchführen: Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
05.11.2009, 12:41
| #9 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Kann ich dir noch nicht sagen, dafür muss der PC erst nen paar Stunden laufen. So ca. nach 3-4 Stunden fängt das ganze dann an, das der PC langsam wird, Internet Seiten dann kaum mehr zu öffnen sind bzw, alles stehen bleibt. Ich werde es beobachten und sobald noch was passiert, werd ich mich auf jeden Fall hier melden. Vielen Vielen Dank für die super schnelle Hilfe |
|
05.11.2009, 14:23
| #10 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Leider ist nicht alles behoben worden, der nächste Trojaner hat sich angemeldet. Und zwar In der Datei 'C:\System Volume Information\_restore{EAD12758-2D27-4B33-97B3-096227D56C82}\RP303\A0031869.exe' wurde ein Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan] gefunden. Ausgeführte Aktion: Zugriff verweigern Was kann ich dagegen tun, das jetzt nicht ständig neue auftauchen ohne alles neu installieren zu müssen? |
|
05.11.2009, 14:35
| #11 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | TR/Crypt.XPack.Gen und TR/Agent.AG.1267Zitat:
Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
05.11.2009, 19:21
| #12 |
| | TR/Crypt.XPack.Gen und TR/Agent.AG.1267 Bisher jetzt keine Probleme mehr, keine Trojaner Meldungen, der PC läuft wie vorher. Vielen Vielen Dank für die super klasse Hilfe.  |
|
| Themen zu TR/Crypt.XPack.Gen und TR/Agent.AG.1267 |
| 0 bytes, adobe, antivir, antivir guard, avgnt.exe, bho, c:\windows\temp, ccc.exe, desktop, einstellungen, excel, google, hijack, hijackthis, hkus\s-1-5-18, iexplore.exe, internet explorer, jusched.exe, langsam, logon.exe, mom.exe, nt.dll, object, plug-in, prozesse, registry, rthdcpl.exe, rundll, sched.exe, sehr langsam, services.exe, software, suchlauf, svchost.exe, tr/crypt.xpack.ge, tr/crypt.xpack.gen, trojaner, verweise, virus gefunden, warnung, windows, windows\temp |
