| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Heur/MalwareWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
29.12.2006, 17:39
| #1 |
 |  Heur/Malware Versuch doch mal, die erwähnten Dateien mit der "Killbox" zu löschen...das ist ein sehr machtvolles Tool, welches Du Dir aus dem Netz laden kannst... |
|
29.12.2006, 17:41
| #2 | |
| | Heur/MalwareZitat:
Danke für den ersten Hinweis, werde es versuchen... |
|
29.12.2006, 18:06
| #3 | |
| | Heur/MalwareZitat:
Mache ich da was falsch? |
|
29.12.2006, 18:26
| #4 |
  | Heur/Malware mOIn lade die von dir genannten Dateien mal hier Virustotal oder hier Jotti hoch (kann bisschen dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, auch wenn nichts gefunden wurde. Du könntest bitte mal ein HijackThis log erstellen -->HijackThis editiere alle Links (z.B. http -> hxxp) und personlichen Einträge. MFG |
|
29.12.2006, 18:34
| #5 |
| Gast | Heur/Malware Moin, wenn AntiVir einen heuristischen Treffer meldet, dann würde ich diesen doch zu allererst an Avira senden.  Sende die entsprechende(n) Datei(en) an heuristik2@avira.com. Gebe eine kurze Beschreibung der Situation und bitte um Rückantwort. |
|
30.12.2006, 19:03
| #6 | |
| | Heur/MalwareZitat:
Bin ich natürlich auch schon drauf gekommen - aber unter Antivir klappt das senden dieser Dateien nicht... wenn du noch einen Tipp hast, wie ich die als normale E-mail versenden kann... |
|
30.12.2006, 19:28
| #7 |
| Gast | Heur/Malware Ähhh... ich habe Dir die Emailadresse gegeben. Bitte an diese die Files paßwortgeschützt hinsenden. Sorry mehr kann ich wirklich nicht tun. |
|
30.12.2006, 18:46
| #8 | |
| | Heur/MalwareZitat:
Habe bei Virustotal die einzig auffindbare Datei (die auch am häufigsten von Antivir gemeldet wird) geladen...gefunden wurde nichts. (Leider habe ich den oberen Teil nicht festgehalten, wenn nötig kann ich nochmal laden) heraus kam: File size: 0 bytes MD5: d41d8cd98f00b204e9800998ecf8427e SHA1: da39a3ee5e6b4b0d3255bfef95601890afd80709 mit Hijack This log setze ich mich gleich mal auseinander.... Neuerdings sind 2 Dateien mit Endung .dll hinzu gekommen, aber am häufigsten meldet sich weiterhin die oben erwähnte. Und nach einiger Zeit im Internet reagiert der Browser nicht mehr, nach Neustart vom Rechner wieder normal. Geändert von Jazzyjazz (30.12.2006 um 19:02 Uhr) |
|
30.12.2006, 19:34
| #9 | |
| | Heur/MalwareZitat:
Logfile of HijackThis v1.99.1 Scan saved at 19:13:25, on 30.12.2006 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\AGRSMMSG.exe C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE C:\WINDOWS\System32\ctfmon.exe C:\Programme\Spyware Doctor\swdoctor.exe C:\WINDOWS\System32\alg.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\system32\vcmon.exe C:\Programme\Spyware Doctor\sdhelp.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\HiJack This\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://glob**.ac**.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://glob**.ac**.com R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://glob**.ac**.com/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: (no name) - {499E2510-82A5-40A2-BF5E-4D375A4B48B1} - C:\WINDOWS\System32\byxxxyy.dll O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [LaunchApp] Alaunch O4 - HKLM\..\Run: [VTTimer] VTTimer.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [EPSON Stylus Photo RX500] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P24 "EPSON Stylus Photo RX500" /O6 "USB001" /M "Stylus Photo RX500" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [Spyware Doctor] "C:\Programme\Spyware Doctor\swdoctor.exe" /Q O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O17 - HKLM\System\CCS\Services\Tcpip\..\{4D80B77B-6705-44E0-B761-0C8062426F2E}: NameServer = 213.191.92.86 213.191.74.18 O20 - Winlogon Notify: byxxxyy - C:\WINDOWS\SYSTEM32\byxxxyy.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Remote Windows Services - Unknown owner - C:\WINDOWS\system32\vcmon.exe O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programme\Spyware Doctor\sdhelp.exe |
|
30.12.2006, 19:40
| #10 |
| Gast | Heur/Malware Moin, suche diese Datei hier im angegebenen Pfad --> C:\WINDOWS\System32\byxxxyy.dll <-- und packe diese in ein Archiv (WinZip, WinRar etc.). Versehe dies natürlich mit einem Paßwort und schicke es an --> heuristik2@avira.com <-- (einfach draufklicken) und warte ab. |
|
30.12.2006, 22:03
| #11 | |
| | Heur/MalwareZitat:
Werde ich so wegschicken und abwarten... |
|
31.12.2006, 07:11
| #12 | |
| | Heur/Malware mOIn @Jazzyjazz leider hast du neben Vundo (vmtl. da typische Einträge O2 und O20 im Log vorhanden) noch einen anderen sehr viel schlimmeren Gast im Haus und den wird man nicht einfach so los --> W32/Tilebot-HX auch ist dein Betriebssystem nicht mehr aktuell Zitat:
Nach der Neuinstallation des Rechners solltest du auch alle Passwörter ändern und bis dahin kein Ebay und Onlinebanking. MFG |
|
31.12.2006, 13:21
| #13 | |
| | Heur/MalwareZitat:
Vielen Dank auch nochmal an alle anderen und die zahlreichen Tipps und Ratschläge!!! Ich wünsche allen einen Guten Rutsch in ein (hoffentlich) virenfreies, neues Jahr  |
|
| Themen zu Heur/Malware |
| antivir, betriebssystem, browser, c:\windows, code, folge, folgende, handel, hartnäckigen, helfen, heur/malware, melden, meldung, mozilla, natürlich, neu, probleme, quara, quarantäne, schnell, spyware, spyware doctor, system32, trojaner, verdächtige, verschieben, windows, windows xp, zugriff |
Hybrid-Darstellung
