Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: update.exe durch GAOBOT.AO Worm

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 07.12.2004, 16:42   #1
hiwiba
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



Hallo Leute!

Nachdem ich mir in den letzten Tagen auf 3 Rechnern das Tool AdAware.SE und hijackthis runtergeladen habe, und mit einem Rechner auf keinen anderen Internetseite war! habe ich auf allen 3 Rechnern diese o.g. update.exe, die aber nur beim Systemstart läuft und danach nicht mehr aktiv und zu erkennen ist!

Logfile of HijackThis v1.98.2
Scan saved at 15:11:08, on 07.12.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Logitech\iTouch\iTouch.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\FreePDF\FreePDFA.exe
C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Norton AntiVirus\OPScan.exe
C:\WINDOWS\SoftwareDistribution\Download\S-1-5-18\93b9023ce74cc2dad700644c5dc522ef\update\update.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Dokumente und Einstellungen\User\Eigene Dateien\Barny\temporär\Trojanerboard\HijackThis.exe
C:\WINDOWS\System32\taskmgr.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: T3ToolbarHelper Class - {164E93C4-09BF-4647-9E0B-D5FBB1D35E63} - C:\PROGRA~1\DASÖRT~1\DASOER~1.DLL
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: DasÖrtliche Such-Leiste - {6E5B18CB-0EB6-4461-88B8-33B4683613D5} - C:\PROGRA~1\DASÖRT~1\DASOER~1.DLL
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - http://www.symantec.com/techsupp/act...a/SymAData.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - http://www.symantec.com/techsupp/act...ActiveData.cab

*********************************************************
Die automatische Auswertung ergab:

HIER NUR EIN TEIL, DA POST SONST ZU LANG!



C:\WINDOWS\SoftwareDistribution\Download\S-1-5-18\93b9023ce74cc2dad700644c5dc522 ef\update\update.exe
Böse Laufender Prozess. (update.exe)
Added as a result of the GAOBOT.AO WORM! Dies ist ein Böser Prozess! Den Prozess sollten Sie fixen und manuell löschen!





Dieses Logfile wurde automatisch ausgewertet!
Werten auch Sie Ihr Logfile automatisch auf www.hijackthis.de aus!

********************************************************


Wie bekomme ich das wieder weg?
Norton Antivir 2004 erkennt´s nicht (es kam zwar eine Meldung von Norton, aber dieses Fenster ging schnell wieder zu und in den Berichten steht nix drin)

Auch ist das entsprechende Directory jetzt nicht mehr zu finden.

Die Rechnerauslastung lag bei Ausführung der update.exe bei ca. 30 - 40 %.

Was ist da überhaupt passiert?

Gruß hiwiba

Alt 07.12.2004, 16:54   #2
chaosman
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



@hiwiba
da du nur ein teil gepostet hast, kann man nicht viel sagen.
dieser worm, hier ein paar infos
http://www.sophos.de/virusinfo/analy...2agobotao.html
hat wohl backdoorqualitäten.

dein system ist nicht auf den neuesten stand, deswegen hast du wahrscheinlich das problem. seit fast 1 jahr ist dieser worm bekannt(laut sophos)
wechsle in den abgesicherten modus und lasse mal dein virenscanner laufen.
der norton müßte es eigentlich finden.

danach solltest du schleunigst updaten, anders bist du hier bald stammkunde.
HJT braucht übrigens einen eigenen ordner.

chaosman
__________________

__________________

Alt 07.12.2004, 17:19   #3
hiwiba
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



Hi,

vielen Dank für die schnelle Antwort!

Aber:

- Bis auf SP2 sind alle verfügbaren updates für XP installiert!
- Norton ist aktuell, eben noch mal laufen lassen, hat nix erkannt!
- AdAware stellt auch nix fest.

Das Logfile von HJT habe ich doch ganz gepostet!? Nur die Auswertung ging nicht ganz drauf (Post war dann zu lang)

Wie gesagt, Norton öffnete ein Fenster mit ungefähr folgendem Text:

Norton wartet auf die Prüfung von ???????

Ging dann aber sofort wieder zu und ich konnte den Dateinamen nicht aufschreiben.

Fixen mit HJT ging auch nicht, bis ich die betreffende Zeile gefunden hatte, war der Prozess schon zu Ende!

UNd das entsprechende Directory C:\windows\****\update.exe gibt´s ja auch nicht mehr!

Vielleicht ist ja auch die automatische Überprüfung auf dem Holzweg und es ist eine ´neue´ Sache!?

Was meinst Du mit: HJT braucht einen eigenen Ordner?

Gruß hiwiba
__________________

Alt 07.12.2004, 17:24   #4
Cidre
Administrator, a.D.
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



Zitat:
Was meinst Du mit: HJT braucht einen eigenen Ordner?
Wenn du HijackThis in einem eigenen Ordner entpackst, dann kannst du auf die Funktion "Backup" zurückgreifen, falls du mal etwas falsches fixed. Dies ist beim temporären entpacken nicht möglich.

Lade und scanne mit eScan AntiVirus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.
__________________
Gruß, Cidre


Alt 07.12.2004, 22:25   #5
hiwiba
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



Hi,

habe escan antivirus jetzt hier auf meinem Heimcompi geladen. Wenn ich mwav.exe aber doppelklicke (rechte Maustaste geht nicht, da ich kein winzip bei XP drauf habe) entzipt mir der WinZip Self extractor die ganzen Dateien immer in C:\Doku***etc****\temp

Kann ich die ganzen Dateien dann einfach nach c:\bases rüberkopieren? Der temp Ordner wurde natürlich vorher geleert!

Ich scanne auf meinem Firmenrechner dann morgen und poste das Ergebnis hier!

Gruß hiwiba

PS.: Mir ist da eben noch was aufgefallen!

Ich habe meine versteckten Dateien ´ sichtbar´ gemacht.
Bin dann auf den Ordner RECYCLER gestossen

Die darin enthaltenen Dateien heißen so wie der ´böse´ Prozess!

C:\WINDOWS\SoftwareDistribution\Download\S-1-5-18\93b9023ce74cc2dad700644c5dc522ef\update\update.exe


Ich hatte in der Firma einen Virus (muß morgen in der Nortonquarantaine nachschauen, wie der hieß, ich glaube update:class, er verstellte die Internetstartseite.

Hatte eine Systemwiederherstellung gemacht, dann war das Prob weg.

Vielleicht wurde da ja was gestartet !?


Geändert von hiwiba (07.12.2004 um 23:20 Uhr)

Alt 08.12.2004, 10:27   #6
hiwiba
 
update.exe durch GAOBOT.AO Worm - Standard

update.exe durch GAOBOT.AO Worm



Hi, so hier jetzt die Ergebnisse von escan:

Wed Dec 08 09:48:18 2004 => File C:\System Volume Information\_restore{13020D08-F645-4FB4-9C61-0B4456A5F533}\RP196\A0014825.dll infected by "not-a-virus:AdWare.ToolBar.STIEBar.a" Virus. Action Taken: No Action Taken.
Wed Dec 08 09:48:18 2004 => File C:\System Volume Information\_restore{13020D08-F645-4FB4-9C61-0B4456A5F533}\RP196\A0014821.exe infected by "TrojanDownloader.Win32.Small.vq" Virus. Action Taken: No Action Taken.

Wed Dec 08 09:48:18 2004 => File C:\System Volume Information\_restore{13020D08-F645-4FB4-9C61-0B4456A5F533}\RP196\A0014820.exe infected by "not-a-virus:AdWare.ToolBar.STIEBar.a" Virus. Action Taken: No Action Taken.
Wed Dec 08 09:48:14 2004 => File C:\System Volume Information\_restore{13020D08-F645-4FB4-9C61-0B4456A5F533}\RP193\A0014742.DLL infected by "Trojan.Win32.Agent.q" Virus. Action Taken: No Action Taken.

Wed Dec 08 09:46:29 2004 => Scanning File C:\Programme\Norton AntiVirus\Quarantine\45527CC3
Wed Dec 08 09:46:29 2004 => File C:\Programme\Norton AntiVirus\Quarantine\45527CC3 infected by "I-Worm.Sober.i" Virus. Action Taken: No Action Taken.
Wed Dec 08 09:46:29 2004 => Scanning File C:\Programme\Norton AntiVirus\Quarantine\6E93613B
Wed Dec 08 09:46:29 2004 => File C:\Programme\Norton AntiVirus\Quarantine\6E93613B infected by "TrojanDownloader.Win32.Agent.z" Virus. Action Taken: No Action Taken

Wed Dec 08 09:46:29 2004 => File C:\Programme\Norton AntiVirus\Quarantine\3933108F infected by "TrojanDownloader.Win32.Agent.z" Virus. Action Taken: No Action Taken.

Die Viren in der Quarantäne von Norton sind ja erkannt und auch gelöscht!

Nur hängen die scheinbar auch noch in den restore-files, also in den Wiederherstellungspunkten drin!?

Wenn ich dann die Wiederherstellungspunkte lösche, müßten die dann doch weg sein, oder?

Gruß hiwiba

Antwort

Themen zu update.exe durch GAOBOT.AO Worm
adobe, antivirus, antivirus scan, auswertung, bho, dateien, dll, download, einstellungen, explorer, hijack, hijackthis, home, internet explorer, logfile, löschen, messenger, microsoft, nvcpl.dll, programme, registry, rundll, s-1-5-18, security, security center, symantec, temporär, wieder weg, windows, windows xp, worm, zu lang



Ähnliche Themen: update.exe durch GAOBOT.AO Worm


  1. MSE & Win Update funktioniert nicht mehr, Funde: Trojan; Worm u.a
    Plagegeister aller Art und deren Bekämpfung - 15.12.2013 (20)
  2. WORM/Dorkbot.A.893 auf dem Notebook durch Anschluss von externer Festplatte
    Log-Analyse und Auswertung - 10.10.2012 (24)
  3. "WORM/Conficker.AK" & "WORM/Kido.IH.40" nach USB-Stick-Anschluss durch AVIRA gefunden
    Plagegeister aller Art und deren Bekämpfung - 25.01.2011 (28)
  4. Win32/RBot.3eu, W32/Gaobot.worm.gen.u, win32/renos.n, win32/renos.jt
    Plagegeister aller Art und deren Bekämpfung - 01.10.2009 (17)
  5. VirusW32/Gaobot.worm.gen.u
    Plagegeister aller Art und deren Bekämpfung - 13.07.2009 (3)
  6. netsta.exe -> WORM/IRCBot.1195026 bzw. Worm.Gaobot
    Plagegeister aller Art und deren Bekämpfung - 21.01.2008 (5)
  7. Firewall - Windows Update - Worm - Virus?
    Log-Analyse und Auswertung - 29.10.2007 (27)
  8. W32/Agobot-TG oder W32/Gaobot.worm.gen.u
    Plagegeister aller Art und deren Bekämpfung - 17.02.2006 (7)
  9. 99% auslastung durch update.exe
    Alles rund um Windows - 18.01.2006 (2)
  10. Gaobot
    Log-Analyse und Auswertung - 15.04.2005 (4)
  11. HILFE Gaobot eingefangen!
    Plagegeister aller Art und deren Bekämpfung - 21.12.2004 (18)
  12. Virus W32/Gaobot.CR
    Plagegeister aller Art und deren Bekämpfung - 15.10.2004 (4)
  13. W32.HLLW.Gaobot.gen
    Plagegeister aller Art und deren Bekämpfung - 03.10.2004 (1)
  14. Hilfe zu Virus W32.HLLW.Gaobot.gen
    Plagegeister aller Art und deren Bekämpfung - 31.05.2004 (3)
  15. Wurm W.HLLW.GAOBOT.GEN
    Plagegeister aller Art und deren Bekämpfung - 20.05.2004 (2)
  16. W32.HLLW.Gaobot.gen
    Plagegeister aller Art und deren Bekämpfung - 06.05.2004 (1)
  17. Agobot / Gaobot - wer kann helfen???
    Plagegeister aller Art und deren Bekämpfung - 13.11.2003 (3)

Zum Thema update.exe durch GAOBOT.AO Worm - Hallo Leute! Nachdem ich mir in den letzten Tagen auf 3 Rechnern das Tool AdAware.SE und hijackthis runtergeladen habe, und mit einem Rechner auf keinen anderen Internetseite war! habe ich - update.exe durch GAOBOT.AO Worm...
Archiv
Du betrachtest: update.exe durch GAOBOT.AO Worm auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.