Hallo alle zusammen!

Ich bräuchte mal Euren Rat/Eure Hilfe...

AntiVir berichtete mir heute folgendes:

22.08.2006,10:20:09 [WARNUNG] Ist das Trojanische Pferd TR/Virtl.Wpakill.AK!
K:\System Volume Information\_restore{C1F104FC-A29B-42BC-AF07-FD86792ABAF7}\RP4\A0001742.exe
[INFO] Die Datei wird in das Quarantäneverzeichnis verschoben!


Hier mein Hijackthis-Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 16:26:07, on 22.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5450.0004)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\sicherheit\AntiVir PersonalEdition Classic\sched.exe
D:\sicherheit\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
D:\sicherheit\AntiVir PersonalEdition Classic\avgnt.exe
D:\grafik_layout\acrobat\Distillr\Acrotray.exe
C:\WINDOWS\system32\ctfmon.exe
D:\internet\firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
K:\download\sicherheit\hijackthis\1.99.1\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\grafik_layout\acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "D:\sicherheit\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\grafik_layout\acrobat\Distillr\Acrotray.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\GRAFIK~1\office\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\GRAFIK~1\office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\internet\icq\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\internet\icq\ICQLite\ICQLite.exe
O11 - Options group: [INTERNATIONAL] International*
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\sicherheit\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - D:\sicherheit\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - D:\tools\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\system\TuneUp2006\WinStylerThemeSvc.exe



Wie genau sollte ich jetzt weiter vorgehen? Scannen im abgesicherten Modus mit MWAV-Scan (Systemwiederherstellung deaktivieren) und die betroffenen Dateien einfach löschen?
Rechner neu aufsetzen?
Letzteres habe ich nämlich grade gestern erst getan... *seufz* Wollte extra noch ein extra Surf-Benutzerkonto einrichten, aber irgendwie war der schneller...Vielleicht ist der auch schon länger auf dem Volume, weil ich es bei der Neuinstallation nicht formatiert habe (enthält nur Daten)..

Danke im Vorraus für Eure Mühen..


Grüße
Toe

Hallo,

du hast mit großer Wahrscheinlichkeit dein System nicht richtig formatiert, sondern nur "drübergebügelt"!!! Daher sind immer noch Reste zu verzeichnen.
Arbeite folgende Anleitung ab:

1.) Systemwiederherstellung Deaktivieren, danach den Rechner neu starten, STW kann wieder aktiviert werden!

2.) Fixe mit HijackThis folgenden Eintrag:

O11 - Options group: [INTERNATIONAL] International*

Poste im Anschluß bitte ein neues Hijacklog und warte ab ob Antivir immer noch den o.g. Trojaner meldet..

Gruß
Sunny

Hey Sunny...

das nenn ich mal FLOTT!
Danke für deine prompte Hilfe...

Zitat von [Gc]Sunny

Hallo,

du hast mit großer Wahrscheinlichkeit dein System nicht richtig formatiert, sondern nur "drübergebügelt"!!!

Naja...also was heißt "drübergebügelt"? Ich hab bei der Neuinstallation die komplette Festplatte auf der das Betriebssystem war formatiert....Also ich hab Windows nicht "repariert" oder so.
Das besagte Volume befindet sich auf einer zweiten Festplatte, die ich nicht formatiert habe, weil sie nur Daten enthält....

Mal ne Blöde Frage....Kannst du mir sagen auf was sich diese "System Volume Information" überhaupt bezieht? Weil da im Ordnernamen ja auch was mit "Restore" vorkommt. Würde gerne nachvollziehen wo er sich da eingenisstet hat.


Hab jetzt alle Schritte der Anleitung ausgehführt.
Hier der neue Logfile:

___


Logfile of HijackThis v1.99.1
Scan saved at 16:59:45, on 22.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5450.0004)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\sicherheit\AntiVir PersonalEdition Classic\avgnt.exe
D:\grafik_layout\acrobat\Distillr\Acrotray.exe
C:\WINDOWS\system32\ctfmon.exe
D:\sicherheit\AntiVir PersonalEdition Classic\sched.exe
D:\sicherheit\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\internet\firefox\firefox.exe
K:\download\sicherheit\hijackthis\1.99.1\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\grafik_layout\acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "D:\sicherheit\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\grafik_layout\acrobat\Distillr\Acrotray.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\GRAFIK~1\office\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://D:\grafik_layout\acrobat\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\GRAFIK~1\office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\internet\icq\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\internet\icq\ICQLite\ICQLite.exe
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\sicherheit\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - D:\sicherheit\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - D:\tools\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\system\TuneUp2006\WinStylerThemeSvc.exe

Zitat von toe

Mal ne Blöde Frage....Kannst du mir sagen auf was sich diese "System Volume Information" überhaupt bezieht? Weil da im Ordnernamen ja auch was mit "Restore" vorkommt. Würde gerne nachvollziehen wo er sich da eingenisstet hat.

Das würde jetzt zu lange dauern bis ich das alles zusammengetragen hätte, daher gibts einen Link von mir -> System Volume Ordner

Dein Logfile sieht clean aus, bekommst du denn von Antivir immer noch die Warn-Meldungen???

Gruß

Zitat von [Gc]Sunny

Das würde jetzt zu lange dauern bis ich das alles zusammengetragen hätte, daher gibts einen Link von mir -> System Volume Ordner

Dein Logfile sieht clean aus, bekommst du denn von Antivir immer noch die Warn-Meldungen???

Gruß

Danke für den Link....weiß jetzt (denke ich) bescheid! :aplaus:
Das ganze hat also irgendwie in der "Systemwiederherstellung" dieses Volumes "überwintert", richtig!?

AntiVir hat jetzt, nachdem ich den von dir genannten Eintrag gefixt habe, nichts mehr gemeldet.

Noch eine Frage......Bietet eigentlich Ad-Aware (Ad-Watch) einen einigermaßen effektiven Schutz gegen solche Schädlinge!? Also im Prinzip muss doch so gut wie jeder Schädling irgendwo Registrierungänderungen vornehmen, oder!? Dann wäre Ad-Aware ja schon sinnvoll?!

Zitat von toe

Danke für den Link....weiß jetzt (denke ich) bescheid! :aplaus:
Das ganze hat also irgendwie in der "Systemwiederherstellung" dieses Volumes "überwintert", richtig!?

AntiVir hat jetzt, nachdem ich den von dir genannten Eintrag gefixt habe, nichts mehr gemeldet.

Noch eine Frage......Bietet eigentlich Ad-Aware (Ad-Watch) einen einigermaßen effektiven Schutz gegen solche Schädlinge!? Also im Prinzip muss doch so gut wie jeder Schädling irgendwo Registrierungänderungen vornehmen, oder!? Dann wäre Ad-Aware ja schon sinnvoll?!

Entweder Ad-Aware oder was ich auch empfehle ist Spybot S&D.
Bei Spybot gibt es die Funktion des "immunisierens", also kurz gesagt ein Wächter der die Registrierung im "Auge behält"!
(was dich aber nicht zu 100% schützen kann/wird!)

Gruß
Sunny