Hi,

ich bin sehr verunsichert.
AntiVir findet bei mir einen Virus bzw. Trojaner.

Meldung:
C:\RECYCLER\S-1-5-21-1547161642-963894560-1801674531-1004
Dc1126.dat
ArchiveType: RAR
--> Rechnung0545-2199.pdf.exe
[FUND!] Ist das Trojanische Pferd TR/PSW.LdPinch.jm1
Fehler beim Wechsel in das Verzeichnis System Volume Information

Bisher dachte ich immer Recycler steht für den Papierkorb.
Antivir löscht die Datei nicht, da sie in einem Archiv steht.
Selber möchte ich sie löschen, finde Sie jedoch nicht.
Ich kann mich daran erinnern, das die Datei in einer Mail stand.
Ich bin mir ebenfalls sicher Sie nicht geöffnet, sondern gelöscht zu haben.

Damit Ihr besser beurteilen könnt, ob sich jemand eingenistet hat,
mein HijackThis-Ergebnis von gestern.
Logfile of HijackThis v1.99.1
Scan saved at 00:21:05, on 31.03.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\ibmtools\aptezbtn\aptezbp.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spyware Doctor\swdoctor.exe
C:\ibmtools\aptezbtn\rakusb.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\DOKUME~1\STEFAN~1.BLA\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O4 - HKLM\..\Run: [LiveMonitor] C:\Programme\MSI\Live Update 3\LMonitor.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Programme\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Programme\Spyware Doctor\swdoctor.exe" /Q
O4 - Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Photo Loader resident.lnk = C:\Programme\CASIO\Photo Loader\Plauto.exe
O4 - Global Startup: ScanButton 3.0.lnk = C:\Programme\ScanButton 3.0\ScanButton.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .wav: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{29941263-0F12-44F1-9E2A-08CC008B52F9}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CS1\Services\Tcpip\..\{29941263-0F12-44F1-9E2A-08CC008B52F9}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CS2\Services\Tcpip\..\{29941263-0F12-44F1-9E2A-08CC008B52F9}: NameServer = 192.168.120.252,192.168.120.253
O17 - HKLM\System\CS3\Services\Tcpip\..\{29941263-0F12-44F1-9E2A-08CC008B52F9}: NameServer = 192.168.120.252,192.168.120.253
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Die Sprachservices werde ich fixen.
Ctfmon, Daemontools und Zonelabs sind wie ich bisher dachte nicht kritisch.

Freue mich über jeden Hinweis, der etwas Licht in mein Dunkel bringt.
Ach vor lauter Verunsicherung habe ich gestern "Spyware doctor" gekauft und getestet. Der findet nichts an meinem System, außer das er bei einem von 10 Starts meines Email Programms "incredi mail" angeblich einen
Keyboard-logger gesehen haben will, nichts.

Danke,
Stefan

Hallo,

dein Log-File sieht sauber aus.

C:\RECYCLER\S-1-5-21-1547161642-963894560-1801674531-1004
Dc1126.dat

Dies löscht du wie folgt:

Lade den Total Commander und nimm folgende Einstellung vor:
Total Commander öffnen -> Konfigurieren -> Einstellungen -> Ansicht -> Haken setzen bei "Versteckte und Systemdateien anzeigen (nur für Experten)" -> OK

Navigiere im linken Fenster zum Ordner C:\RECYCLER\S-1-5-21-1547161642-963894560-1801674531-1004 und lösche (markieren -> F8 -> JA) das beanstandete Archiv.

@ Cidre,

vielen Dank, das werde ich heute abend probieren.

Ciao,
StefanG

Oh Oh

Das mit dem Total Comander funktioniert,
aber ....
Wenn ich die Datei lösche DC181.dat,
wird sofort eine DC182.dat angelegt.
Ratet mal was passiert wenn ich die lösche.
Genau DC183.dat.
Habe die Datei an mailupload.com gesand,
bin mir aber sicher, das hierbei ein Trojaner herauskommt.
Wie kann ich den dazugehörigen Prozeß
herausbekommen?

Danke,
Stefan

Jotti.org gibt folgendes Ergebnis:
Service load:
0% 100%
File: Dc193.dat
Status:
INFECTED/MALWARE
Packers detected:
-

AntiVir TR/PSW.LdPinch.jm1
Avast Win32:Agent-B
AVG Antivirus Dropper.Agent.2.BJ
BitDefender Trojan.Dropper.Agent.DW
ClamAV Trojan.LdPinch.JM1-rar
Dr.Web BackDoor.Haxdoor
F-Prot Antivirus dropper for W32/Haxdoor.AA@bd
Fortinet W32/Haxdoor.N-tr
Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.dw
mks_vir Trojan.Dropper.Agent.Dw
NOD32 Win32/TrojanDropper.Microjoin.J
Norman Virus Control No viruses found
VBA32 Trojan-Dropper.Win32.Agent.dw

Hi,

habe verschiedene Prozeße gekillt, um zu testen,
ob die Dateien dann nicht mehr kopiert werden -> ohne Erfolg.

Mußte die Datei auf eine andere Partition kopieren um Sie
für Jotti.org uploaden zu können.
Diese habe ich danach gelöscht und im Papierkorb gleich
nochmal gelöscht.
Aktuell sind gleichzeitig die beiden Kopien unter Receycler
verschwunden.
Werde jetzt immer mal sporadisch schauen, ob Sie wieder auftauchen.
Befürchtze das aber fast.

Welche Meinung habt Ihr dazu (ich hab schon gelesen bei Zweifeln ->
neu aufsetzen -> seufz)

Ciao,
Stefan

Das ist ja ne schwierige Geburt.

Führe deshalb mal dies:
Lade und scanne mit eScan AntiVirus im abgesicherten Modus wie beschrieben.
Poste anschliessend die Virus Log Information von eScan AntiVirus:
Öffne die mwav.log im Ordner C:\bases -> Bearbeiten -> Suchen -> infected oder tagged eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen.

Hi Cidre?

so, habe den scan gemacht, hier are the results:

Fri Apr 01 16:19:02 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.
Fri Apr 01 16:19:02 2005 => File System Found infected by "180Solutions Spyware/Adware" Virus. Action Taken: No Action Taken.
Fri Apr 01 16:19:02 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.
Fri Apr 01 16:19:02 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.
Fri Apr 01 16:38:37 2005 => File C:\Programme\AVPersonal\INFECTED\A0009196.EXE.VIR infected by "Trojan-Downloader.Win32.INService.l" Virus. Action Taken: No Action Taken.
Fri Apr 01 18:24:13 2005 => File E:\RECYCLER\S-1-5-21-1202660629-2111687655-725345543-1004\De5.dat infected by "Trojan-Downloader.Win32.Agent.dw" Virus. Action Taken: No Action Taken.
Fri Apr 01 16:32:41 2005 => Scanning File C:\MAGIX\Media_Manager_2004\Icons\Tagged Image File Format.ico
Fri Apr 01 16:52:34 2005 => File C:\Programme\Pinnacle\Studio 9\OEM\hfx55StudioPatch.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 16:52:54 2005 => File C:\Programme\Pinnacle\Studio 9\OEM\hfx55StudioSilent.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 17:32:04 2005 => File C:\System Volume Information\_restore{0F12D27F-ED15-4F33-BC0A-0F8555D44212}\RP3\A0006828.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 17:37:40 2005 => File C:\System Volume Information\_restore{0F12D27F-ED15-4F33-BC0A-0F8555D44212}\RP3\A0008790.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:16:19 2005 => File E:\DivXPro503GAINBundle.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:17:50 2005 => File E:\finale2003\Finale 2003\SETUP.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:19:53 2005 => File E:\Guitar2k3WinDemo.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:19:54 2005 => File E:\hfxpack0-extrafx.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:22:52 2005 => File E:\notepad2003.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.
Fri Apr 01 18:26:32 2005 => File E:\System Volume Information\_restore{26618B62-60F7-4CA8-B45C-22D87ED0FB72}\RP69\A0134733.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

nachdem ich gesehen habe, daß jetzt die Dat Datei bei E:\Recyclers ist,
hebe ich gleich versucht, diese im abgesicherten Modus zu eliminieren.
Aber aus x3.dat wird x4.dat usw.

Wie kann denn ein Filesystem verseucht werden?
Und kann man das auch wieder entwanzen?

Ciao,
Stefan

Schieb hoch,
Danke für Eure Unterstützung,
Stefan

Nochmal Schieb,
Bitte um Hilfe.

Ciao,
Stefan

Wechsle in den abgesicherten Modus bei deaktivierter Systemwiederherstellung:

http://www.systemwiederherstellung-d...indows-xp.html

Lösche den Inhalt folgenden Ordners:
C:\Programme\AVPersonal\INFECTED\

Diese Dateien würd ich nochmal bei jotti prüfen:
E:\finale2003\Finale 2003\SETUP.exe
E:\Guitar2k3WinDemo.exe
E:\hfxpack0-extrafx.exe
E:\notepad2003.exe

Lösche:E:\RECYCLER\S-1-5-21-1202660629-2111687655-725345543-1004\De5.dat

Lass ausserdem mal Spybot und Adaware laufen:

Spybot: http://www.safer-networking.org/de/download/index.html
Adaware:http://www.lavasoftusa.com/german/software/adaware/

Neustart-Systemwiederherstellung wieder aktivieren.
Dann neuen HijackthisLog erstellen

Hi,

die Datei in infected habe ich gelöscht.
die De5.dat hat sich im abgesicherten Modus
genauso wie nach dem Neustart beim Löschen
immer wieder selber angelegt.

Adaware hat nichts gefunden (habe ich heute morgen gemacht),
Spybot werde ich morgen früh laufen lassen.

Dann muß die Virulenz ja in den Systemdateien sein, oder?

Ciao,
Stefan

P.S.: Die anderen Dateien teste ich am Montag bei Jotti (sind recht groß).

Hi,
Spybot hat folgendes gefunden:

--- Search result list ---
DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\S-1-5-21-1202660629-2111687655-725345543-1005\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

Ciao,
Stefan

Hi,

gibt es eine Möglichkeit mit dem "Prozessexplorer" die DLL/.exe die
die .dat Datei handhabt herauszubekommen?

Habe das Teil ausprobiert.
Entweder mache ich
a) etwas falsch
b) das Ding kann nich in Receclers "gucken"
c) da war jemand schlauer

Morgen poste ich die Jotti Ergebnisse.

Ciao,
Stefan

Hi,

hier das Jotti Ergebnis:

>15MB konnte nicht getestet werden
Guitar2k3WinDemo 18,8 MB (19.726.336 Bytes)
SETUP 41,7 MB (43.730.884 Bytes)

Dreimal hochgeladen, keine Anzeige von Ergebnissen
notepad2003 5,02 MB (5.267.456 Bytes)

File: hfxpack0-extrafx.exe
Status: INFECTED/MALWARE (Note: only non-destructive malware has been found. Considering the non-destructive nature of samples like these - although they can be a pain -, results will not be stored in the database.)
Packers detected: VISEMAN
Scanner results
AntiVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found not-a-virus:Tool.Win32.Reboot
mks_vir Found nothing
NOD32 Found nothing
Norman Virus Control Found nothing
VBA32 Found nothing

Wer kannmir helfen den Prozeß/die .exe zur Datei Dat5.dat zu finden?

Ciao,
Stefan