Hi! Ich hab diesen Virus auf meinem PC (Antivir zeigt das bei jedem Hochfahren an...)
Ich hab nun einen Virenscan gemacht, doch AntiVir hat nichts gefunden..
Vielleicht kann mir ja jemand von euch helfen!
Danke im Voraus,
Max

Hallo,

wo findet AntiVir den TR/Dldr.Agent.JN.2?

Erstelle zusätzlich mit Hilfe dieser bebilderten Anleitung ein HiJackThis Log-File und poste es.

Beachte die Hinweise!

HijackThis Log:Logfile of HijackThis v1.99.1
Scan saved at 20:50:23, on 02.06.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Programme\Hewlett-Packard\hp business inkjet 1100 series\Toolbox\mpm.exe
C:\Programme\Creative\Shared Files\CAMTRAY.EXE
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\Internet\ICQLite\ICQLite.exe
C:\Programme\Internet\QuickTime\qttask.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Graphik\Picasa\PicasaMediaDetector.exe
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programme\Sound\Winamp\winampa.exe
C:\Programme\Audio\iTunes\iTunesHelper.exe
C:\Programme\System\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\p2pnetworking.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\System\AVPersonal\AVGUARD.EXE
C:\Programme\System\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\System\AVPersonal\AVWIN.EXE
C:\Programme\Sound\Winamp\winamp.exe
C:\Programme\Internet\Firefox\firefox.exe
C:\Dokumente und Einstellungen\mAx\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\Internet\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\Internet\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [HPWH myPrintMileage Agent] C:\Programme\Hewlett-Packard\hp business inkjet 1100 series\Toolbox\mpm.exe
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Programme\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\Internet\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Internet\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Programme\Graphik\Picasa\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Sound\Winamp\winampa.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\Audio\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\System\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [winupdate] C:\Programme\winupdate\winupdate.exe /auto
O4 - HKLM\..\Run: [p2pnetworking] p2pnetworking.exe
O4 - HKLM\..\RunServices: [p2pnetworking] p2pnetworking.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\Internet\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\Internet\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZN
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: 50 FREE MP3s! - {686C970F-1D7D-4469-85D1-4B35763B56CC} - http://www.emusic.com?fref=149133 (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\Internet\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\Internet\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {53B8B406-42E4-4DD3-96E7-9DEC8CEB3DD8} (ICQVideoControl Class) - http://xtraz.icq.com/xtraz/activex/ICQVideoControl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} - http://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F42C8A6A-99E6-4E17-82A6-017631FB7F83}: NameServer = 192.168.1.1
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\System\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\System\AVPersonal\AVWUPSRV.EXE
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe

DANKE!

Beende den Prozess C:\WINDOWS\system32\p2pnetworking.exe und scanne die Datei dann online bei http://virusscan.jotti.org/de
Poste das Ergebnis.

BTW: C:\Programme\winupdate\winupdate.exe kannst du auch mal überprüfen lassen.

Datei: p2pnetworking.exe
Status:
INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme:
-

AntiVir
Worm/RBot.352112 gefunden
Avast
Keine Viren gefunden
AVG Antivirus
Keine Viren gefunden
BitDefender
Keine Viren gefunden
ClamAV
Trojan.Spybot-123 gefunden
Dr.Web
Win32.HLLW.MyBot gefunden
F-Prot Antivirus
Keine Viren gefunden
Fortinet
W32/RBot.RC-bdr gefunden
Kaspersky Anti-Virus
Backdoor.Win32.Rbot.rc gefunden
mks_vir
Keine Viren gefunden
NOD32
Keine Viren gefunden
Norman Virus Control
Keine Viren gefunden
VBA32
Backdoor.Win32.Rbot.rc gefunden


Datei: winupdate.exe
Status:
INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme:
-

AntiVir
Keine Viren gefunden
Avast
Keine Viren gefunden
AVG Antivirus
Keine Viren gefunden
BitDefender
Keine Viren gefunden
ClamAV
Keine Viren gefunden
Dr.Web
Keine Viren gefunden
F-Prot Antivirus
Keine Viren gefunden
Fortinet
Keine Viren gefunden
Kaspersky Anti-Virus
Trojan.Win32.Crypt.e gefunden
mks_vir
Trojan.Winupd gefunden
NOD32
probably unknown NewHeur_PE gefunden (mögliche Variante)
Norman Virus Control
Keine Viren gefunden
VBA32
Keine Viren gefunden


danke, ist echt nett von euch!

Aufgrund des erheblichen Schadpotentials des aktiven Rbot-RC ist dein System als kompromittiert anzusehen und sollte neu aufgesetzt werden.

Hey!
Muss das denn unbedingt sein?
Weil ich das eigentlich nicht so gut kann und mich auch nicht so gut mit Computern auskenne...
Gibt es da nicht auch noch eine andere Lösung als zu formatieren?!

Zitat von magszags

Gibt es da nicht auch noch eine andere Lösung als zu formatieren?!

Lies den Link zum formatieren, da steht die Antwort auf deine Frage.

Was ist eigentlich mit der Systemwiederherstellung? Habe auch besagten Wurm. Antivir hat den auch immer gefunden. Nun stellte ich mein System auf die Zeit vor der Infizierung her und der Wurm meldet sich nicht mehr.
Aber ein wenig Angst hab ich jetzt immer noch, da in euren Links drinsteht, dass der Wurm auf solche Veränderungen im System vorbereitet sein kann.
Naja, mal schaun, was ich jetzt mache.
Ist es nicht auch so, dass der Wurm keine Chance hat, mit seinem Autor zu kommunizieren, da meine Routerfirewall entsprechende Ports garnicht geöffnet hält?

Neuaufsetzen wäre kein Problem, da habt ihr ja ne gute Anleitung...

Hi! Ich hab glaub ich mal das gleiche Problem wie magszags.
Bei mir zeigt der AntiVir Guard bei jedem Systemstart Worm/Rbot.352112 in C:\XZ.EXE an, aber alle anderen Suchläufe von Antivir bringen nichts. Ich habs auch schon mit anderen Scannern probiert, aber von denen hat's auch keiner erkannt. Kann mir jemand von euch nen Tip geben???

@Marduk55
lasse die datei C:\XZ.EXE
doch mal hier
oder hier
überprüfen und poste das ergebnis

chaosman

Antwort von virusscan.jotti.org:

Datei: XZ.EXE.VIR
Status:
INFIZIERT/MALWARE (Anmerkung: diese Datei wurde bereits vorher gescannt. Die Scanergebnisse werden daher nicht in der Datenbank gespeichert.)
Entdeckte Packprogramme:
-

AntiVir
Worm/RBot.352112 gefunden
ArcaVir
Trojan.Rbot.Rc gefunden
Avast
Keine Viren gefunden
AVG Antivirus
Keine Viren gefunden
BitDefender
Backdoor.SDBot.W gefunden
ClamAV
Trojan.Spybot-123 gefunden
Dr.Web
Win32.HLLW.MyBot gefunden
F-Prot Antivirus
Keine Viren gefunden
Fortinet
W32/RBot.RC-bdr gefunden
Kaspersky Anti-Virus
Backdoor.Win32.Rbot.rc gefunden
NOD32
Keine Viren gefunden
Norman Virus Control
Keine Viren gefunden
VBA32
Backdoor.Win32.Rbot.rc gefunden


Hab die Datei von Antivir ins Quarantäneverzeichnis verschieben lassen, hab sie vorher einfach nicht finden können!

danke

Hey!
Ich bins mal wieder...
Hab immernoch nicht formatiert +schäm+ (brauch windows CD und die ist bei meinem Bruder..)
Immer wenn ich neu starte zeigt AntiVir ca. 17 mal hintereinander an, dass ich einen Virus habe!
Naja, ich hoffe, dass das nach dem Formatieren wieder alles okay ist...
Naja, danke für alle Hilfe,
magszags

Zitat von magszags

Hey!
Ich bins mal wieder...
Hab immernoch nicht formatiert +schäm+ (brauch windows CD und die ist bei meinem Bruder..)

Ich hoffe mal, du bist nicht mit dem verseuchten System ins Netz gegangen...
Falls doch -->

Ich hoffe ich mach das jetzt richtig...
Also ich hab auch den TR/Dldr.Agent.JN.2.
Er ist auch schon mehrfach entfernt worden von Antivir, taucht aber immer wieder auf.

Die Reportdatei von Antivir sagt:

22.07.2005,13:15:43 ---------------------------------------------------------
22.07.2005,13:15:43 [INIT] Der AVGuard Service wird gestarted.
22.07.2005,13:15:51 [INIT] Lizenzdatei enthält eine gültige Lizenz. Der AVGuard Dienst läuft als uneingeschränkte Vollversion!
22.07.2005,13:16:00 [INFO] Start Filter Device.
22.07.2005,13:16:00 [INIT] AntiVirService Version: 6.31.00.01 AVE Version 6.31.0.9 VDF Version: 6.31.0.223
22.07.2005,13:16:00 [INIT] Der AVGuard Dienst wurde erfolgreich gestartet!
22.07.2005,13:16:10 [LOGON] Verbindung zu Remote-Computer. Sicherer Kommunikationskanal wird hergestellt.
22.07.2005,13:16:10 [LOGON] Verbindung zu Computer 127.0.0.1 erfolgreich hergestellt. Session ID = 0xaaab14c6.
22.07.2005,13:17:22 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Agent.JN.2!
C:\DOKUMENTE UND EINSTELLUNGEN\CHEFFE\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\5QN1ZEP5\CLEARLOGS[1].RAR
22.07.2005,13:17:24 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Agent.JN.2!
C:\CLEARLOGS.EXE
22.07.2005,14:33:33 [INFO] Stop Filter Device.
22.07.2005,14:33:34 [EXIT] Der AVGuard Dienst wurde beendet!
22.07.2005,16:50:16 ---------------------------------------------------------
22.07.2005,16:50:16 [INIT] Der AVGuard Service wird gestarted.
22.07.2005,16:50:17 [INIT] Lizenzdatei enthält eine gültige Lizenz. Der AVGuard Dienst läuft als uneingeschränkte Vollversion!
22.07.2005,16:50:17 [LOGON] Verbindung zu Remote-Computer. Sicherer Kommunikationskanal wird hergestellt.
22.07.2005,16:50:18 [LOGON] Verbindung zu Computer 127.0.0.1 erfolgreich hergestellt. Session ID = 0xaaabf42b.
22.07.2005,16:50:30 [INFO] Start Filter Device.
22.07.2005,16:50:30 [INIT] AntiVirService Version: 6.31.00.01 AVE Version 6.31.0.9 VDF Version: 6.31.0.223
22.07.2005,16:50:30 [INIT] Der AVGuard Dienst wurde erfolgreich gestartet!
22.07.2005,17:12:42 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Agent.JN.2!
C:\DOKUMENTE UND EINSTELLUNGEN\CHEFFE\LOKALE EINSTELLUNGEN\TEMPORARY INTERNET FILES\CONTENT.IE5\75HGYVI1\CLEARLOGS[1].RAR
22.07.2005,17:12:51 [WARNUNG] Ist das Trojanische Pferd TR/Dldr.Agent.JN.2!
C:\CLEARLOGS.EXE

Ich hoffe das ist hilfreich. Dann hab ich auch noch den HijackThis logfile erstellen lassen und hoffe das ist so richtig:

Logfile of HijackThis v1.99.1
Scan saved at 18:04:07, on 22.07.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\psecure.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\spss_lmd.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\System32\inetsrv\DavCData.exe
C:\Programme\New Folder\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Provan Security] psecure.exe
O4 - HKLM\..\RunServices: [Provan Security] psecure.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{A5E72093-74B8-4F9E-AB15-F53A071475FA}: NameServer = 145.253.2.196 195.50.140.250
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
O23 - Service: Spss License Manager (SpssLM) - Unknown owner - C:\WINDOWS\System32\spss_lmd.exe

Es wäre toll, wenn Ihr mir bei meinem Problem helfen könntet, da ich gerade dabei bin meine Diplomarbeit zu schreiben und eh schon ne Menge Zeit durch diesen blöden Trojaner verloren habe. Meinen PC plattzumachen kann ich eigentlich im Moment nicht gebrauchen...

Schon mal ein GROSSES DANKE!!!