Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: TR.ZAPCHAST kommt immer wieder !?!?!

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 01.12.2004, 21:22   #1
regnizo
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hallo!

Also irgendwie weiß ich nicht mehr wirklich weiter.

Main "AntiVir" hat den Trojaner "TR.ZAPCHAST" im System 32 entdeckt (VRFYVBMQ.SYS) und gelöscht .... doch jedes mal nach dem Hochfahren ist er wieder da!?!!?

Wo versteckt sich da noch etwas .... und .... WIE kann ich das entfernen ?!?!?

Allerherzlichsten Dank für jede Hilfe :-)))

Alt 01.12.2004, 21:25   #2
cacatoa
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hi,
stell mal ein HiJackThis Logfile rein.
Logfile erstellen und per copy & paste hier einfügen.
__________________

__________________

Alt 02.12.2004, 16:35   #3
regnizo
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hallo und "DANKE" vorerst mal f.d. schnelle Reaktion, anbei jedenfalls das Ergebnis von "HiJack This" .....



Logfile of HijackThis v1.98.2
Scan saved at 17:32:18, on 02.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Anvshell.exe
C:\WINDOWS\System32\sstray.exe
C:\WINDOWS\System32\taskswitch.exe
C:\Programme\Antivir\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Programme\Antivir\AVGUARD.EXE
C:\Programme\Antivir\AVWUPSRV.EXE
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\eMule\emule.exe
C:\Programme\Tools\Atguard\iamapp.exe
C:\Programme\Tools\Atguard\iamserv.exe
C:\Programme\Tools\totalcmd\TOTALCMD.EXE
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\iexplore.exe
D:\PROGRAMME\Virenkampfprogramme\HiJack This\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://aifind.inf/?id=54
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchwww.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchwww.com/bar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [Anvshell] C:\WINDOWS\Anvshell.exe
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.EXE -off
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [iamapp] C:\PROGRA~1\Tools\Atguard\iamapp.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Tools\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [WinUpdate] winupd.exe
O4 - HKLM\..\Run: [Printing Storage] C:\WINDOWS\System32\print.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\Antivir\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [Norton Service Process] Navapvc.exe
O4 - HKLM\..\RunServices: [WinUpdate] winupd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [InstantTray] C:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {086A694F-91FB-4068-B44C-124FB69BF05D} - http://www.searchwww.com/search.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache...tup1.0.0.8.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/07c12429...p/RdxIE601.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1094367044875
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab


LG
regnizo
__________________

Alt 02.12.2004, 19:35   #4
*Christian*
Gast
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Scanne hiermit im abg. Modus: http://www.trojaner-board.de/42731-escan-anleitung.html

Entferne anschl. im abg. Modus die gefundene Malware.



Danach fixe mit HijackThis dies:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://aifind.inf/?id=54
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchwww.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\secure.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchwww.com/bar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O4 - HKLM\..\Run: [WinUpdate] winupd.exe
O4 - HKLM\..\RunServices: [Norton Service Process] Navapvc.exe
O4 - HKLM\..\RunServices: [WinUpdate] winupd.exe
O16 - DPF: {086A694F-91FB-4068-B44C-124FB69BF05D} - http://www.searchwww.com/search.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocach...etup1.0.0.8.cab

Alt 04.12.2004, 07:58   #5
regnizo
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hi .... und danke wieder mal f.d. schnelle Hilfe.

Ich werde alles "so" machen ..... nur bitte ..... was ist "FIXEN" ????

Sollen die angeführten (...zu "fixenden" Dateien) entfernt oder belassen werden ?!?!!?

Danke
regnizo


Alt 04.12.2004, 15:16   #6
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hallo an alle Helfenden,

ich habe das gleiche Problem mit diesem Trojaner *schnief*
nur bin ich net ganz so fit in Sachen PC!!!
Habe aber auch mal das mit diesem HijackThis gemacht und folgendes Ergebnis bekommen:


Logfile of HijackThis v1.98.2
Scan saved at 16:09:53, on 04.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\soundman.exe
C:\Programme\Teledat 320\Awatch.exe
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\Microsoft Hardware\Mouse\point32.exe
C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe
C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\Bin\HPOstr05.exe
C:\Programme\Teledat\IWatch.exe
C:\Programme\Sierra Imaging\Image Expert\IXApplet.exe
C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\bin\HPOVDX05.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\crauto.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\hpoipm07.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Teledat 320\Td320web.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\YServer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\unzipped\hijackthis1982\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.swr3.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aol.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von AOL
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {4B7BB386-C0C1-4F7C-B070-3F7DB2264AEE} - C:\WINDOWS\System32\eojj.dll (file missing)
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [soundmanager] soundman.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [AWatch] "C:\Programme\Teledat 320\Awatch.exe"
O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - HKLM\..\Run: [Internal] 1
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Printing Storage] C:\WINDOWS\System32\print.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [Encrypted Disk Auto Mount] rundll32.exe edshell.dll,MountAll
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\RunOnce: [WMC_RebootCheck] C:\WINDOWS\inf\unregmp2.exe /FixUps
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\RunOnce: [MPlayer2_FixUp] C:\WINDOWS\inf\unregmp2.exe /Fixups
O4 - Startup: Camio Viewer.lnk = C:\Programme\Sierra Imaging\Image Expert\IXApplet.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: HP OfficeJet Series 600-Start.lnk = C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\Bin\HPOstr05.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\Teledat\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: Yahoo! Dictionary - file:///C:\Programme\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! Search - file:///C:\Programme\Yahoo!\Common/ycsrch.htm
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0411.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0411.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: AOL 7.0 - {19454A3D-27E1-4803-A857-B76F21B1680B} - C:\Programme\AOL 7.0\aol.exe (file missing) (HKCU)
O9 - Extra button: MedionShop - {811DDDB7-933B-4717-8A6B-4F86A67E0F9F} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de
O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\nosuch.mht!http://2awm.com/pop/chm/obulksp.chm::/on-line.exe
O16 - DPF: {8714912E-380D-11D5-B8AA-00D0B78F3D48} (Yahoo! Webcam Upload Wrapper) - http://chat.yahoo.com/cab/yuplapp.cab
O16 - DPF: {A17E30C4-A9BA-11D4-8673-60DB54C10000} (YahooYMailTo Class) - http://us.dl1.yimg.com/download.yaho...ymmapi_416.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{5705FEE3-722B-42E9-A266-4E8DCC198FF2}: NameServer = 192.168.121.252,192.168.121.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{863996B9-5F05-4E63-84B1-4E31F677F346}: NameServer = 192.168.123.252,192.168.123.253
O18 - Filter: text/html - {911D800D-C84E-4C0F-A8F6-788E59C13C8B} - C:\WINDOWS\System32\eojj.dll
O18 - Filter: text/plain - {911D800D-C84E-4C0F-A8F6-788E59C13C8B} - C:\WINDOWS\System32\eojj.dll
O21 - SSODL: System - {BAA4EBF8-463E-429A-91DE-260D759059AE} - C:\WINDOWS\system32\system32.dll

kann mir da auch jemand weiterhelfen??????
Kenne das auch nichts so mit dem abgesicherten Modus, hab das zwar schon im i-net gefunden, war aber noch nie in diesem Modus und weiß nichts darüber :-(
aber versuchen muss ich es ja irgendwie,grins...

Was richtet dieser Trojaner eigentlich so an??????

Auch die Begriffe wie "fix" im abgesicherten Modus und so....bitte für ganz blöde (also mir,lach) erklären.....

Habt vielen Dank erstmal...

Alt 04.12.2004, 20:34   #7
*Christian*
Gast
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Lösche dies im abg. Modus:

C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
C:\Programme\Gemeinsame Dateien\CMEI
C:\WINDOWS\system32\system32.dll

Fixe dies mit HijackThis (vor den genannten Einträgen ein Häckchen setzen und auf FIX CHECKED klicken:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOKUME~1\STEPHA~1\LOKALE~1\Temp\sp.html
O2 - BHO: (no name) - {4B7BB386-C0C1-4F7C-B070-3F7DB2264AEE} - C:\WINDOWS\System32\eojj.dll (file missing)
O4 - HKLM\..\Run: [CMESys] "C:\Programme\Gemeinsame Dateien\CMEII\CMESys.exe"
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra button: AOL 7.0 - {19454A3D-27E1-4803-A857-B76F21B1680B} - C:\Programme\AOL 7.0\aol.exe (file missing) (HKCU)
O9 - Extra button: MedionShop - {811DDDB7-933B-4717-8A6B-4F86A67E0F9F} - http://www.medionshop.de/ (file missing) (HKCU)
O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\nosuch.mht!http://2awm.com/pop/chm/obulksp.chm::/on-line. exe
O18 - Filter: text/html - {911D800D-C84E-4C0F-A8F6-788E59C13C8B} - C:\WINDOWS\System32\eojj.dll
O18 - Filter: text/plain - {911D800D-C84E-4C0F-A8F6-788E59C13C8B} - C:\WINDOWS\System32\eojj.dll
O21 - SSODL: System - {BAA4EBF8-463E-429A-91DE-260D759059AE} - C:\WINDOWS\system32\system32.dl

Scanne anschl. mit eScan im abg. Modus: http://www.trojaner-board.de/42731-escan-anleitung.html

Wo wird was gefunden?

Alt 04.12.2004, 23:45   #8
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Hallo Christian,
danke für die schnelle Reaktion und Antwort!!

habe die ersten beiden Schritte auch gemacht, also im abgesicherten Modus die ersten drei Sachen gelöscht (vor dem abgesicherten Modus auch die autom. Systemwiederherstellung abgestellt,hab ich irgendwo gelesen)...

danach mit highjack im abges. Modus nochmal gescannt, und die von Dir genannten Einträge "fixiert"

Aber wie geht das mit Deinem Link??? :
http://www.trojaner-board.de/42731-escan-anleitung.html

Da bin ich vor dem abgesicherten Modus draufgegangen und hab mir da was runtergeladen zum scannen (anscheinend) war ne Zip datei oder so....
nur wo klicke ich im abgesicherten Modus drauf um das zu starten??? Wenn ich die Datei entpacke, dann hab ich viele einzelne Dateien
hihi..

Nämlich: nachdem ich den PC neu gestartet habe im normalen Modus, die autom. Systemwiederherstellung eingeschaltet habe, und wieder neu gestartet habe, habe ich nen erneuten Check mit AntiVir gemacht und da wurde wieder die gleiche Datei mit dem Trojaner Zapchast gefunden *heul*

hab ich irgendwas falsch gemacht oder vergessen???

Gruß Stephan

Alt 05.12.2004, 10:54   #9
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Sooo, habe nochmal nen HijackThis check gemacht...das kam dabei raus:

Logfile of HijackThis v1.98.2
Scan saved at 11:49:34, on 05.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\soundman.exe
C:\Programme\Teledat 320\Awatch.exe
C:\Programme\Microsoft Hardware\Keyboard\type32.exe
C:\Programme\Microsoft Hardware\Mouse\point32.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe
C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\Bin\HPOstr05.exe
C:\Programme\Teledat\IWatch.exe
C:\Programme\Sierra Imaging\Image Expert\IXApplet.exe
C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\bin\HPOVDX05.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\crauto.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\tpng.exe
C:\WINDOWS\System32\hpoipm07.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Teledat 320\Td320web.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\YServer.exe
C:\Dokumente und Einstellungen\Stephan Schmidt\Eigene Dateien\Virenscanner\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.swr3.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aol.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von AOL
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Common\ycomp5_1_5_0.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [soundmanager] soundman.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [AWatch] "C:\Programme\Teledat 320\Awatch.exe"
O4 - HKLM\..\Run: [IntelliType] "C:\Programme\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [Internal] 1
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Printing Storage] C:\WINDOWS\System32\print.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [Encrypted Disk Auto Mount] rundll32.exe edshell.dll,MountAll
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Camio Viewer.lnk = C:\Programme\Sierra Imaging\Image Expert\IXApplet.exe
O4 - Global Startup: HP OfficeJet Series 600-Start.lnk = C:\Programme\Hewlett-Packard\HP OfficeJet Series 600\Bin\HPOstr05.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\Teledat\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: ZoneAlarm.lnk = C:\Programme\Zone Labs\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: Yahoo! Dictionary - file:///C:\Programme\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! Search - file:///C:\Programme\Yahoo!\Common/ycsrch.htm
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0411.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0411.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.aol.de
O16 - DPF: {8714912E-380D-11D5-B8AA-00D0B78F3D48} (Yahoo! Webcam Upload Wrapper) - http://chat.yahoo.com/cab/yuplapp.cab
O16 - DPF: {A17E30C4-A9BA-11D4-8673-60DB54C10000} (YahooYMailTo Class) - http://us.dl1.yimg.com/download.yaho...ymmapi_416.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{5705FEE3-722B-42E9-A266-4E8DCC198FF2}: NameServer = 192.168.121.252,192.168.121.253
O17 - HKLM\System\CCS\Services\Tcpip\..\{863996B9-5F05-4E63-84B1-4E31F677F346}: NameServer = 192.168.123.252,192.168.123.253

was meintest du mit: "Wo wird was gefunden?"

Also die Meldung über AntiVir mit dem Trojaner TR/Zapchast zeigt den Pfad an: C:\Windows\System32\drivers\bootrep.sys

Gruß Stephan

Alt 05.12.2004, 13:55   #10
*Christian*
Gast
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Es steht doch alles in dem Link: http://www.trojaner-board.de/42731-escan-anleitung.html

Nach dem Scan:

Öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und in die Windows Suche übertragen -> löschen!

Alt 05.12.2004, 14:44   #11
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



hallo christian,
hmm grad warst du noch online...
naja, danke nochmal für die antwort....
jetzt hat escan den virus gefunden und meinte ich solle mit escan kaufen damit das gelöscht werden kann....lohnt sich das???? also löscht escan das dann richtig oder nur so wie antivir????

danke nochmal...

Alt 05.12.2004, 14:56   #12
Cidre
Administrator, a.D.
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Poste doch zuerst einmal die Funde und dann sehen wir weiter.

btw:
Kaufen brauchst du eScan nicht, die Dateien kannst du auch manuell löschen.
__________________
Gruß, Cidre


Alt 05.12.2004, 15:09   #13
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



ich bin nicht ganz so fit in sachen pc :-(
habe grad eben mal escan laufen lassen..er hat einiges gefunden, dabei aber auch joke dateien die ich kenne,grins...

aber ich kann die aus dem kleinen fenster von escan nicht kopieren...
ist irgendwo unter system32 nen backdoorprogramm.snart.gen

allerdings ists halt doof, der eine den ich halt suche, diesen trojaner der sich immer wieder aufs neue aufbaut, den kann ich nicht dauerhaft löschen....

Alt 05.12.2004, 15:10   #14
dolphin
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



ich kann nachher höchstens nochmal mit HijackThis suchen und das ergebnis kann ich hier reinsetzten...

Alt 05.12.2004, 15:18   #15
Cidre
Administrator, a.D.
 
TR.ZAPCHAST kommt immer wieder !?!?! - Standard

TR.ZAPCHAST kommt immer wieder !?!?!



Die Virus Log Information von eScan AntiVirus posten:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen -> löschen!
__________________
Gruß, Cidre


Antwort

Themen zu TR.ZAPCHAST kommt immer wieder !?!?!
antivir, entdeck, entdeckt, entferne, entfernen, gelöscht, hilfe, hochfahren, immer wieder, kommt immer wieder, nicht mehr, system, system 32, troja, trojaner, versteckt, versteckt sich, wirklich



Ähnliche Themen: TR.ZAPCHAST kommt immer wieder !?!?!


  1. DownloadProdekt kommt immer wieder!
    Plagegeister aller Art und deren Bekämpfung - 03.11.2014 (21)
  2. GVU, Polizei, BKA Trojaner kommt immer und immer wieder
    Plagegeister aller Art und deren Bekämpfung - 06.11.2012 (3)
  3. TR/Atraps.Gen kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 19.07.2012 (3)
  4. TR/ATRAPS.Gen kommt immer wieder!
    Plagegeister aller Art und deren Bekämpfung - 13.07.2012 (5)
  5. Es erstellt sich immer ein Ordner und er kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 14.04.2011 (1)
  6. JS.Redirector.455 kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 07.11.2009 (1)
  7. JS/Redirector.455 kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 26.10.2009 (3)
  8. Trojaner kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 02.06.2009 (1)
  9. Antivir findet immer wieder BAT/REG.Zapchast
    Log-Analyse und Auswertung - 29.04.2009 (2)
  10. Altnet kommt immer wieder
    Log-Analyse und Auswertung - 28.01.2009 (0)
  11. Virus kommt immer wieder !
    Plagegeister aller Art und deren Bekämpfung - 18.01.2009 (1)
  12. Trojaner, kommt immer wieder...!
    Plagegeister aller Art und deren Bekämpfung - 14.01.2007 (3)
  13. Fehler kommt immer wieder ...
    Antiviren-, Firewall- und andere Schutzprogramme - 22.12.2006 (2)
  14. coolwwwsearch kommt immer wieder
    Plagegeister aller Art und deren Bekämpfung - 03.01.2006 (4)
  15. Dialer kommt immer wieder...
    Log-Analyse und Auswertung - 22.02.2005 (5)
  16. Startseite kommt immer wieder
    Log-Analyse und Auswertung - 12.08.2004 (2)

Zum Thema TR.ZAPCHAST kommt immer wieder !?!?! - Hallo! Also irgendwie weiß ich nicht mehr wirklich weiter. Main "AntiVir" hat den Trojaner "TR.ZAPCHAST" im System 32 entdeckt (VRFYVBMQ.SYS) und gelöscht .... doch jedes mal nach dem Hochfahren ist - TR.ZAPCHAST kommt immer wieder !?!?!...
Archiv
Du betrachtest: TR.ZAPCHAST kommt immer wieder !?!?! auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.