Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: tmpf00.exe und ein hartnäckiger trojaner

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 05.01.2005, 15:07   #1
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



hallo alle,
musste mich hier anmelden, weil ich seit 3 tagen einen hijacker
oder trojaner auf meinem W2000 system habe.

zur analyse benutze ich filemonitor;antiVir;spyBot;adaware;spywareBlaster ...

es läuft: avg Free (virus gard) ; zoneAlarm; antiVirus.

grund: abschaltung von zonealarm und ausführen eines js :-( bin selber schuld.
was passiert:
im taskm. steht ab und an eine datei mit dem namen tmpf00.exe oder
tmpf01.exe d.h die zahl hinten zählt hoch.

im WINNT folder eine datei tmpf00.exe anzulegen und diese schreibzuschützen bringt nix. er macht dann eben eine tmpf01.exe

ist die tmpfnm.exe aktiv zeigt der filemonitor zugriffe von dort auf verschiedenste dateien an. auch dll dateien.

weiterhin sind scheinbar beteiligt:
EPLRR3.DLL und wtwirl.dll

inzwischen ist glaube ich auch mein guter mozilla infiziert :-(

verschiedene anti-trojaner/virus/hicjacker programme zeigen
verschiedene probleme an und BEHEBEN SIE JEDESMAL !
die ursache allen übes wird scheinbar nicht gefunden :-(
daher ist er noch auf meinem system.

auch das starten der antiprogramme im abgesicherten modus hat nix gebracht.

bitte helft mir,
sonst mache ich C: platt und muss die software alle neu installieren.

viele grüsse,
elo

Alt 05.01.2005, 15:12   #2
cacatoa
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Hi,
poste bitte mal ein HiJackThis Logfile.
Dann sehen wir weiter.
cacatoa
__________________

__________________

Alt 05.01.2005, 15:17   #3
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



hi cacatoa, hier die daten:

:::::::::::::::::::::::::::::::::::::::::::::::::::.
Logfile of HijackThis v1.99.0
Scan saved at 15:18:53, on 05.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
E:\anwender\VIRUS_~1\avgamsvr.exe
E:\anwender\VIRUS_~1\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\devldr32.exe
E:\anwender\VIRUS_~1\avgcc.exe
E:\anwender\antivirus\AVGNT.EXE
E:\anwender\zoneAlarm\zapro.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
E:\anwender\filemonitor_gut\Filemon.exe
E:\anwender\firefox\firefox\firefox.exe
D:\burnAnwender_29_12_03\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
O1 - Hosts: auto.search.msn.com 127.0.0.1
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AVG7_CC] E:\anwender\VIRUS_~1\avgcc.exe /STARTUP
O4 - Global Startup: AntiVir Guard.lnk = E:\anwender\antivirus\AVGNT.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = E:\anwender\zoneAlarm\zapro.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{8478D3D0-26FF-4589-8242-04BB58C94445}: NameServer = 217.237.150.33 217.237.151.161
O21 - SSODL: eplrr - {339D47A0-EF23-4CAB-9DCB-5C58087DA725} - C:\WINNT\system32\eplrr3.dll
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgupsvc.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
::::::::::::::::::::::::::::::::::::::::::.

vielen dank,
elo
__________________

Alt 05.01.2005, 15:22   #4
cacatoa
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Hallo,
folgende im abgesicherten Modus mit HijackThis fixen:
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
O1 - Hosts: auto.search.msn.com 127.0.0.1

Dann normal booten.
Diese Datei:
C:\WINNT\system32\eplrr3.dll bitte mal online bei Jotti scannen lassen.
Bitte berichte über das Ergebnis und poste ein neues Logfile.
cacatoa
__________________
Der Mensch sollte eine Hundeseele haben

Alt 05.01.2005, 16:06   #5
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



hallo ,

der im abgesichtern M. durchgeführte scan:
::::::::::::::::::::::::::::
Logfile of HijackThis v1.99.0
Scan saved at 15:53:49, on 05.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\devldr32.exe
D:\burnAnwender_29_12_03\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nowfind.net/011/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.nowfind.net/011/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.nowfind.net/011/index.html
O1 - Hosts: auto.search.msn.com 127.0.0.1
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AVG7_CC] E:\anwender\VIRUS_~1\avgcc.exe /STARTUP
O4 - Global Startup: AntiVir Guard.lnk = E:\anwender\antivirus\AVGNT.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = E:\anwender\zoneAlarm\zapro.exe
O21 - SSODL: eplrr - {339D47A0-EF23-4CAB-9DCB-5C58087DA725} - C:\WINNT\system32\eplrr3.dll
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgupsvc.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
:::::::::::::::::::::::

(die dll datei konnte erst nicht hochgeladen werden.
filemonitor sagt "FILE_LOCK_Conflict"
habe die datei nach c: kopiert und dann von dort hochgeladen!
jotti ergebniss:

*******************************

File: eplrr3.dll
Status:
INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected:
None

AntiVir
TR/Proxy.Small.AH.1 (0.14 seconds taken)
Avast
No viruses found (1.51 seconds taken)
BitDefender
Trojan.Proxy.Small.AH (0.65 seconds taken)
ClamAV
No viruses found (0.83 seconds taken)
Dr.Web
Trojan.Proxy.164 (1.05 seconds taken)
F-Prot Antivirus
No viruses found (0.11 seconds taken)
Kaspersky Anti-Virus
Trojan-Proxy.Win32.Small.ah (0.73 seconds taken)
mks_vir
Trojan.Proxy.Small.Ah.Gen (0.72 seconds taken)
NOD32
No viruses found (1.07 seconds taken)
Norman Virus Control
No viruses found (0.46 seconds taken)

Statistics
Last piece of malware found was Win32/Padodor.NAQ in x.chm, detected by:

Scanner Malware name Time taken
AntiVir X 0.14 seconds
Avast X 1.51 seconds
BitDefender Exploit.Html.Codebase.Exec.Gen 0.32 seconds
ClamAV Exploit.CodeBaseExec 0.35 seconds
Dr.Web X 0.52 seconds
F-Prot Antivirus X 0.06 seconds
Kaspersky Anti-Virus Trojan-Downloader.Win32.WinShow.aq 0.66 seconds
mks_vir X 0.20 seconds
NOD32 Win32/Padodor.NAQ 0.42 seconds
Norman Virus Control X 0.13 seconds
*********************


danke ,
daniel


Alt 05.01.2005, 16:09   #6
cacatoa
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Also;
im abgesicherten Modus sollst Du die von mir genannten Dateien fixen, nicht nochmal scannen.
Außerdem die bei Jotti gesacannte auch fixen und manuell (ebenfalls noch im abgesicherten Modus) löschen.
Dann neues Logfile im normalen Modus erstellen und posten.
Bin jezt mal zwei Stunden weg; aber die anderen helfen dir sicher auch gleich weiter.
cacatoa
__________________
--> tmpf00.exe und ein hartnäckiger trojaner

Alt 05.01.2005, 16:09   #7
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



diese eplrr3.dll,

wurde von meinen programmen schon erkannt und des öfteren gelöscht.
irrgendwann taucht sie dann wieder auf :-(

mfg,
daniel

Alt 05.01.2005, 16:13   #8
Haui45
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Wechsle in den abgesicherten Modus, fixe die von cacatoa genannten Einträge (mit HjT scannen, Häkchen setzen und "fix checked" klicken), lösche die besagte Datei manuell. Dann im normalen Modus neues Logfile erstellen. Falls keine Besserung eintritt, das ganze im abgesicherten Modus bei deaktivierter Systemwiederherstellung wiederholen.

Alt 05.01.2005, 16:31   #9
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



im AG modus waren die scanne wie zuletzt im normal modus:

:::::::::::::.
Logfile of HijackThis v1.99.0
Scan saved at 16:30:49, on 05.01.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
E:\anwender\VIRUS_~1\avgamsvr.exe
E:\anwender\VIRUS_~1\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\devldr32.exe
E:\anwender\VIRUS_~1\avgcc.exe
E:\anwender\antivirus\AVGNT.EXE
E:\anwender\zoneAlarm\zapro.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
E:\anwender\filemonitor_gut\Filemon.exe
D:\burnAnwender_29_12_03\HijackThis.exe

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AVG7_CC] E:\anwender\VIRUS_~1\avgcc.exe /STARTUP
O4 - Global Startup: AntiVir Guard.lnk = E:\anwender\antivirus\AVGNT.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = E:\anwender\zoneAlarm\zapro.exe
O21 - SSODL: eplrr - {339D47A0-EF23-4CAB-9DCB-5C58087DA725} - C:\WINNT\system32\eplrr3.dll (file missing)
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - E:\anwender\VIRUS_~1\avgupsvc.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe

:::::::::::::::::::::

es fehlen also die gefixten einträge.
zapro.exe
und hijack This.exe
wollen gleich nach systemstart auf die eplrr3.dll zugreifen
aber es kommt FILE_NOT_FOUND.

der taskM. ist sauber.
ich habe noch angst vor der mozilla.exe die analys. ich nochmal.
wenn nicht wird mozilla neu installiert.

so, mal sehen ob der trojaner sich nochmal zeigt.

vorerst vielen vielen dank !,
daniel

Alt 05.01.2005, 16:49   #10
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



ok, da ist er wieder !!!!

mozilla hatte ich deinstalliert und komlpettes verzeichniss gelöscht !!

danach 1.7.5 installiert

warum waren da auf einmal alle bookmarks drin ?
hat der die irrgendwo noch gefunden (aus firefox vielleicht)

oder gibt es irgendwo einen folder, wo daten des
mozillas gespeichert werden und vielleicht auch der trojaner ?

filemonitor sagt:

mozilla.exe irp_mj_create ....system32/tmpf00.exe
usw.
tmpf00 greift auf verzeichniss zu von mozilla.
auf:

system32/inst.exe
mozilla_175/inst.exe
system32/Wbem/inst.exe
system32/mtwcnl.dll
system32/nthsc32.dll
system32/mtwirl.dll
system32/icnfe.dll
auf die dectop.ini
jscript.dll

und etliche mehr.

ich wiederhole nun erstmal den vorgang von vorhin!
melde mich gleich,
daniel

Alt 05.01.2005, 17:40   #11
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



also, nun ...
nach start im AG. modus konnte das hijack programm nichts mehr finden.
auch läufe von antivirus u.ä ergaben nichts.

die eprr.dll konnte ich wieder von hand löschen
habe mal die regestrie durchsucht:
:::::::::::::::::::::::


HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}

dort stehen sie alle drin: tmpf...;eprr*.dll usw.

habe ich gelöscht !

HKEY_USERS\S-1-5-21-725345543-963894560-839522115-500\Software\Classes\CLSID\{DABB03E9-AC0D-3740-E3E5-4B37C80837E5}\InProcServer32
und
HKEY_USERS\S-1-5-21-725345543-963894560-839522115-500_Classes\CLSID\{DABB03E9-AC0D-3740-E3E5-4B37C80837E5}\InProcServer32

da steht die datei ...mtwirl.dll

:::::::::::
warum gab es von ad aware keinen anschlag wegen der regestrie.
kann es sein, das dieser trojaner das komplette system , sprich alle
anti-trojaner-programme verändert.

habe mozilla nochmal gelöscht.
wo um alles in der welt kann man firefox deinstallierne.
unter "software" stand kein eitrag drin.

daher habe ich den folder gelöscht
und unter C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten
den folder mozilla.

wo könnte der trojaner sich den noch verstecken ?

viele grüsse,
daniel

Alt 05.01.2005, 17:55   #12
Cidre
Administrator, a.D.
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Um etwas Licht ins Dunkel zu bringen ->
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.
__________________
Gruß, Cidre


Alt 05.01.2005, 19:21   #13
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



so hier die ergebnisse:
::::::::::::::::::::::.

File C:\WINNT\system32\fxwgZ.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\B0Cwg.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\fxwgZ.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\gE0Cw.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\vbsys2.dll infected by "Trojan-Clicker.Win32.Agent.ac" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\xAsBf.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\RECYCLER\S-1-5-21-725345543-963894560-839522115-500\Dc2.exe infected by "Trojan-Proxy.Win32.Small.ah" Virus. Action Taken: No Action Taken.
File C:\RECYCLER\S-1-5-21-725345543-963894560-839522115-500\Dc5.dll infected by "Trojan-Proxy.Win32.Small.ah" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\B0Cwg.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\fxwgZ.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\gE0Cw.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\vbsys2.dll infected by "Trojan-Clicker.Win32.Agent.ac" Virus. Action Taken: No Action Taken.
File C:\WINNT\system32\xAsBf.dll infected by "Backdoor.Win32.Haxdoor.ay" Virus. Action Taken: No Action Taken.
File D:\burnAnwender_29_12_03\2004_11_20_babylon_translator\Babylon Pro 5.0 Translator Corporate tagged as not-a-virus:Tool.Win32.TPE.a. No Action Taken.
::::::::::::::::::::::

was soll ich machen ?

grüsse,
daniel

Alt 05.01.2005, 19:57   #14
cacatoa
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



Danke an cidre!
Jetzt schauts schon anders aus.
Hier die Beschreibung zu Deinem Backdoor-Troj
Dann hast Dunoch den da drauf und den:
Troj/Banker-Y/"TrojanProxy.Win32.Small.ah" ist ein Trojaner, der versucht, ausführbare Dateien herunterzuladen und auszuführen. Außerdem versucht er, vertrauliche Daten , auch Bankdaten aufzuspüren und diese an einen remoten Speicherort zu senden.
Die Hauptkomponente von Troj/Banker-Y ist eine DLL namens lsd_f3.dll, die im Windows-Systemordner installiert wird.
lsd_f3.dll exportiert Code, um Text zu speichern, der in Fenster eingegeben wird, deren Namen folgende Zeichenfolgen enthalten:
'Welcome to Citi', 'Ameritrade', 'E*TRADE', 'e-gold Account Access', 'PayPal', 'Chase.com', 'NETeller.com', 'e-Bullion', 'Evocash', 'INT Gold',
'pecunix', 'moneybookers.com'.
Die gespeicherten Daten werden via HTTP an einen remoten Speicherort gesendet.
lsd_f3.dll exportiert außerdem Code, um ausführbare Dateien als filtmp?.exe (wobei ? für ein Zeichen von 0 bis 9 steht) von einem remoten Speicherort in den Systemordner herunterzuladen und zu starten.
Eine DLL namens eplrr.dll kann in den Windows-Systemordner heruntergeladen und installiert werden. Außerdem werden folgende Registrierungseinträge erstellt:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
ShellServiceObjectDelayLoad\eplrr =
<HKCR\CLSID\<CLSID>\InprocServer32 = %SYSTEM%\eplrr.dll
(wobei <CLSID> variabel ist.)
Wenn eplrr.dll geladen wird, versucht sie, Konfigurationsdaten von einem remoten Speicherort herunterzuladen und kann - abhängig von den Konfigurationsdaten - Programme herunterladen und starten oder die Einstellungen im Microsoft Internet Explorer verändern, indem sie folgende Registrierungseinträge ändert:

HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\Search Page
usw.
eplrr.dll lädt Programme mit dem Namen tmpf??.exe (wobei ?? für eine zweistellige Zahl steht) in den Systemordner herunter.
Typischerweise wird eine Datei mit dem Namen timestamp.sys im Systemordner erstellt und eine Datei namens iesprt kann ebenfalls erstellt werden.
Diese Erklärung kommt von board.protecus.de
Deshalb rate ich Dir nun, das System neu aufzusetzen.
halte dich an alle Anweisungen im Link.
Sorry
cacatoa
__________________
Der Mensch sollte eine Hundeseele haben

Alt 05.01.2005, 20:10   #15
elohim
 
tmpf00.exe und ein hartnäckiger trojaner - Standard

tmpf00.exe und ein hartnäckiger trojaner



ich frage nochmal nach:

1) was heisst system?
es geht sicher um meine c partition.

ok, kann ich machen, ist halt arbeit alle programm neu zu installieren :-(
warum gibt es hierzu keine lösung.

wieso gibt es keinen virenscanner der das kann.
was ist mit escan 2003, der hat den virus schlieslich gefunden?

grüsse,
daniel

Antwort

Themen zu tmpf00.exe und ein hartnäckiger trojaner
.dll, .exe, 1.exe, abgesicherten modus, adaware, aktiv, anmelden, antivir, avg, avg free, datei, dateien, dll, free, hijacker, infiziert, m.exe, mozilla, namen, neu, nicht gefunden, probleme, programme, software, spybot, starten, system, trojane, trojaner, virus, win, zonealarm




Ähnliche Themen: tmpf00.exe und ein hartnäckiger trojaner


  1. Hartnäckiger GVU-Trojaner
    Plagegeister aller Art und deren Bekämpfung - 25.06.2013 (11)
  2. Hartnäckiger Trojaner
    Log-Analyse und Auswertung - 15.08.2012 (1)
  3. Hartnäckiger Trojaner/Virus
    Plagegeister aller Art und deren Bekämpfung - 29.06.2012 (1)
  4. hartnäckiger Trojaner TR/ATRAPS.Gen
    Log-Analyse und Auswertung - 07.10.2011 (29)
  5. Trojaner werden immer hartnäckiger
    Plagegeister aller Art und deren Bekämpfung - 20.08.2010 (1)
  6. Hartnäckiger Trojaner
    Log-Analyse und Auswertung - 29.03.2010 (13)
  7. Extrem hartnäckiger trojaner.
    Plagegeister aller Art und deren Bekämpfung - 14.01.2010 (9)
  8. hartnäckiger Trojaner (TR/BHO.Agent.UA)
    Log-Analyse und Auswertung - 16.07.2009 (0)
  9. hartnäckiger Trojaner
    Plagegeister aller Art und deren Bekämpfung - 29.05.2009 (3)
  10. hartnäckiger Trojaner
    Log-Analyse und Auswertung - 04.03.2009 (4)
  11. Hartnäckiger Trojaner
    Log-Analyse und Auswertung - 12.01.2009 (5)
  12. Trojaner ZLOB Hartnäckiger als sonst was...
    Plagegeister aller Art und deren Bekämpfung - 23.09.2008 (15)
  13. hartnäckiger Trojaner TR/PSW.Sinowal.AY.2
    Log-Analyse und Auswertung - 13.01.2007 (5)
  14. Hartnäckiger Trojaner
    Plagegeister aller Art und deren Bekämpfung - 07.11.2006 (1)
  15. Hartnäckiger Trojaner, aber welcher und wo ?
    Plagegeister aller Art und deren Bekämpfung - 10.06.2006 (9)
  16. Hartnäckiger Trojaner
    Plagegeister aller Art und deren Bekämpfung - 09.11.2004 (4)
  17. HILFE! Hartnäckiger hijacker, hartnäckiger Trojaner!
    Log-Analyse und Auswertung - 07.09.2004 (3)

Zum Thema tmpf00.exe und ein hartnäckiger trojaner - hallo alle, musste mich hier anmelden, weil ich seit 3 tagen einen hijacker oder trojaner auf meinem W2000 system habe. zur analyse benutze ich filemonitor;antiVir;spyBot;adaware;spywareBlaster ... es läuft: avg Free - tmpf00.exe und ein hartnäckiger trojaner...
Archiv
Du betrachtest: tmpf00.exe und ein hartnäckiger trojaner auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.