Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: iddC.tmp.exe Trojaner

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 19.11.2006, 14:53   #1
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Tach,

also ich hoff ihr könnt mir helfen, bei mir kommt nach paar min nach nem Systemstart immer eine Warnung:

Von iddC.tmp

NON HO TRAVATO NESSUN MODEM PER LA CONNESSIONE


Keine Ahnung was das für ne sprache is

Und nach diesem Zeitpunkt startet sich der Prozess iddC.tem.exe!


Ich hoffe ihr könnt mir helfen ihn wieder loszukriegen!


Danke schon mal im Vorraus!


Code:
ATTFilter
Logfile of HijackThis v1.99.1
Scan saved at 15:47:56, on 19.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\{DC7CE98C-08A3-1031-0703-060802060031}\Update.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Xfire\Xfire.exe
D:\Programme\Teamspeak2_RC2\TeamSpeak.exe
C:\WINDOWS\TEMP\win79.tmp.exe
C:\WINDOWS\TEMP\iddC.tmp.exe
C:\WINDOWS\system32\taskmgr.exe
C:\DOKUME~1\Lennix!\LOKALE~1\Temp\Rar$EX00.578\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box
O4 - HKLM\..\Run: [ICQ Lite] "d:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programme\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
         

Geändert von Lennix (19.11.2006 um 15:49 Uhr)

Alt 19.11.2006, 16:19   #2
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



UPDATE


Logfile of HijackThis v1.99.1
Scan saved at 17:18:07, on 19.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\Explorer.EXE
D:\Programme\ICQLite\ICQLite.exe
C:\Programme\Gemeinsame Dateien\{DC7CE98C-08A3-1031-0703-060802060031}\Update.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Teamspeak2_RC2\TeamSpeak.exe
D:\Programme\Xfire\Xfire.exe
C:\WINDOWS\TEMP\win79.tmp.exe
D:\Programme\GUILD WARS\Gw.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Lennix!\LOKALE~1\Temp\Rar$EX00.094\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fritz.box
O4 - HKLM\..\Run: [ICQ Lite] "d:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programme\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite 2007.SP1\Win32\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Programme\SiSoftware\SiSoftware Sandra Lite 2007.SP1\RpcSandraSrv.exe
__________________


Alt 19.11.2006, 16:44   #3
Njall
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Hi

Also die Sprache ist Italienisch und das heisst:
"Es wurde kein Modem für die Verbindung gefunden"..

Das deutet für mich auf einen Dialer hin.

Check mal die Files bei Virustotal.com

C:\WINDOWS\TEMP\win79.tmp.exe

(Schmeiss eventuell mal alles aus deinem Temp Verz. raus, sollte an sich nix passieren dabei, eventuell ändert der den Namen bei jedem Start).

C:\Programme\Gemeinsame Dateien\{DC7CE98C-08A3-1031-0703-060802
060031}\Update.exe

C:\WINDOWS\system32\CTsvcCDA.exe
C:\WINDOWS\system32\MsPMSPSv.exe

Lg
__________________

Alt 19.11.2006, 17:37   #4
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Also ich hab die Datein hochgeladen und wurden gescannt!

Haben aber nirgends einen Virus gefunden!


Aber dieses Fenster kommt immer noch *grrr*

Und im temp verzeichniss kann ich nicht alle datein löschen!

Alt 19.11.2006, 18:41   #5
Njall
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Hi

packed die Datei

C:\WINDOWS\TEMP\win79.tmp.exe

in ein RAR oder Zip und stell sie mir irgendwo rauf wo ich sie mir runterladen kann, ich schau mir die dann genauer an und sage dir was Sache ist

lg

Welche Files im Temp Verz. kannst du nicht löschen ?
(Welche Programme rennen gerade ? )


Alt 19.11.2006, 18:56   #6
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Also die Win79.tmp datei gibts nicht mehr!

Sind nur noch:

idd1D.tmp
idd2B.tmp
idd2C.tmp
idd19.tmp
idd20.tmp
win1C.tmp
win1F.tmp
win2A.tmp
win18.tmp
22 -29 jeweils win**.tmp

Drin! Ich glaub die win79.tmp hab ich gelöscht!




Und löschen kann ich davon die "win1C.tmp" datei nicht!
Soll ich dir die Datei mal packen?


Auch wenn ich keine Programme mehr offen hab!


gruß

Alt 19.11.2006, 18:58   #7
Njall
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Hi

Ja pack die mal und stell die wo rauf, ich schau mir die morgen genauer an

Du kannst die nat. auch bei Virustotal raufladen, und schauen was rauskommt dabei

lg

Alt 19.11.2006, 18:59   #8
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Ok also jetzt konnt ich alle Datein im "temp" verzeichniss löschen!


Ich starte eben mein pc neu und schreib ein neues HijackThis Log file rein!

Alt 19.11.2006, 19:00   #9
Sunny
Administrator
> Competence Manager
 

iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Zitat:
Zitat von Lennix Beitrag anzeigen
Also ich hab die Datein hochgeladen und wurden gescannt!

Haben aber nirgends einen Virus gefunden!
Das mag wohl im ersten Moment richtig sein, hast du denn mal die Größe der Datei kontrolliert?! Diese lag sicherlich bei der Auswertung bei 0Kb, das ist ein Selbstschutz des Trojaners bzw. Schädlings.

Versuch daher mal folgendes, benenne die Datei win79.tmp.exe um, in z.B. Virus.exe, lass diese dann nochmals auswerten und poste das Ergebnis. (alles kopieren und hier einfügen in deinen Beitrag!)

Gruß
Sunny
__________________
Anfragen per Email, Profil- oder privater Nachricht werden ignoriert!
Hilfe gibts NUR im Forum!


Stulti est se ipsum sapientem putare.

Alt 19.11.2006, 19:09   #10
Njall
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Hi

Ja gute Idee, ich hoffe nur nicht das der seinen Namen ändert, aber auch dann finden wir ihn

PM Sunny

Alt 19.11.2006, 19:17   #11
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Also ich hab nen restart gemacht, und alles war weg!

Gut, aber nach 10min kam dieses Italienische fenster wieder und es waren wieder 2 Prozesse offen und 2 Datein im Temp ordner!

Dateinamen:

idd4.tmp
win3.tmp


Beide bei Totalvirus.com hochgeladen und diesmal haben sie ne menge gefunden!



Werden gerade noch gescannt! Werd sie gleich posten!

Alt 19.11.2006, 19:22   #12
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



So es gibt arbeit


Complete scanning result of "idd4.tmp.exe", received in VirusTotal at 11.19.2006, 20:12:45 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.39 11.19.2006 TR/PCK.Klone.G.69.A

Authentium 4.93.8 11.17.2006 Possibly a new variant of W32/Dialer.TCS-behavior!Maximus

Avast 4.7.892.0 11.18.2006 no virus found

AVG 386 11.18.2006 Potentially harmful program Dialer.DCH

BitDefender 7.2 11.19.2006 Dialer.Zicapli.A

CAT-QuickHeal 8.00 11.18.2006 no virus found

ClamAV devel-20060426 11.19.2006 Dialer-747

DrWeb 4.33 11.19.2006 no virus found

eSafe 7.0.14.0 11.19.2006 suspicious Trojan/Worm

eTrust-InoculateIT 23.73.59 11.18.2006 no virus found

eTrust-Vet 30.3.3197 11.17.2006 no virus found

Ewido 4.0 11.19.2006 Dialer.Small

Fortinet 2.82.0.0 11.19.2006 Dial/TDial

F-Prot 3.16f 11.17.2006 Possibly a new variant of
W32/Dialer.TCS-behavior!Maximus

F-Prot4 4.2.1.29 11.17.2006 W32/Dialer.TCS-behavior!Maximus

Ikarus 0.2.65.0 11.19.2006 no virus found

Kaspersky 4.0.2.24 11.19.2006 Trojan.Win32.Dialer.qn

McAfee 4899 11.18.2006 potentially unwanted program Dialer-gen

Microsoft 1.1609 11.19.2006 no virus found

NOD32v2 1871 11.19.2006 no virus found

Norman 5.80.02 11.17.2006 W32/Dialer.AYTX

Panda 9.0.0.4 11.19.2006 Dialer.IBW

Prevx1 V2 11.19.2006 no virus found

Sophos 4.11.0 11.16.2006 Dial/TDial-B

TheHacker 6.0.3.122 11.18.2006 Dialer/Generico

UNA 1.83 11.17.2006 no virus found

VBA32 3.11.1 11.19.2006 Trojan.Win32.Dialer.qn

VirusBuster 4.3.15:9 11.19.2006 no virus found

Aditional Information
File size: 13080 bytes
MD5: a80d258e26de139372e95e42767878f1
SHA1: 9e482dec29d6c71a2871db6af907c1940e0436a6
packers: UPX
packers: UPX
packers: UPX

Alt 19.11.2006, 19:24   #13
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



So und die andere Datei scannt noch, aber hängt anscheinend!

File "win3.tmp.exe" received on 11.19.2006 at 20:13:21 (CET) is being scanned by VirusTotal in this moment. Results will be shown as they're generated.

Antivirus Version Update Result

AntiVir 7.2.0.39 11.19.2006 TR/PCK.Klone.G.69

Authentium 4.93.8 11.17.2006 no virus found

Avast 4.7.892.0 11.18.2006 Win32:Pakes-EO

AVG 386 11.18.2006 Generic2.EZZ

Aditional Information
File size: 33280 bytes
MD5: 8dd9eb58bef7d41eb9f37b832c83d1f5
SHA1: d0675e5e1e6fa0910aea014a9c71d255f17f45aa

Alt 19.11.2006, 19:43   #14
Lennix
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Also wenn ich mein TEMP ordner lösche is alles weg, also leer!
Wenn ich neustart mach is er auch noch leer, aber wenn dann das fenster wieder kommt! Siehts so aus:



Dann nach 5-10min kommt wieder so ein ITL. Fenster und dann siehts so aus!





ich glaub die vermehren sich

Helft mir doch!

Alt 19.11.2006, 19:54   #15
felix1
/// Helfer-Team
 
iddC.tmp.exe Trojaner - Standard

iddC.tmp.exe Trojaner



Ehe Njall Deinem PC noch ernsthaften Schaden zu zufügen kann:
Prüfe das System mit F-Secure Blacklight und poste danach das Logfile.

Prüfe Dein System mit Ewido ewido - anti-spyware and anti-malware solutions Lasse alles löschen, was vorgeschlagen wird. Poste das Ergebnis, aber bitte lösche vorher aus dem Log alles was mit Cookies zu tun hat.
__________________
LG

Der Felix

Keine Hilfe per PN und E-Mail

Antwort

Themen zu iddC.tmp.exe Trojaner
button, cdrom, dateien, excel, explorer, hijack, hijackthis, hotkey, internet, internet explorer, logfile, messenger, microsoft, office, programme, prozess, software, system32, systemstart, teamspeak, temp, trojane, trojaner, warnung, windows, windows xp, windows\temp



Zum Thema iddC.tmp.exe Trojaner - Tach, also ich hoff ihr könnt mir helfen, bei mir kommt nach paar min nach nem Systemstart immer eine Warnung: Von iddC.tmp NON HO TRAVATO NESSUN MODEM PER LA CONNESSIONE - iddC.tmp.exe Trojaner...
Archiv
Du betrachtest: iddC.tmp.exe Trojaner auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.