| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR/Agent 37673Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
18.04.2007, 20:34
| #1 |
| |  TR/Agent 37673 Hallo, ich als große Niete in Bezug auf Trojaner hab ein Problem... über mein AntiVir wird mir mitgeteilt, dass sich der TR/Agent 37673 bei mir eingenistet hat :-( wenn ich das Programm laufen lasse, wird der Trojaner mir aber nicht angezeigt :-( Zwischendurch startet mein PC im übrigen immer wieder mal neu, was ziemlich nervig mittlerweile ist ;-) Hier ist mein Report durch AntiVir: AntiVir PersonalEdition Classic Erstellungsdatum der Reportdatei: Mittwoch, 18. April 2007 20:12 Es wird nach 743603 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: 0000149996-ADJIE-0001 Plattform: Windows XP Windowsversion: (Service Pack 2) [5.1.2600] Benutzername: xxx Computername: xxx Versionsinformationen: BUILD.DAT : 217 12749 Bytes 05.12.2006 16:57:00 AVSCAN.EXE : 7.0.3.5 208936 Bytes 17.01.2007 19:03:50 AVSCAN.DLL : 7.0.3.0 35880 Bytes 18.12.2006 17:23:16 LUKE.DLL : 7.0.3.2 143400 Bytes 18.12.2006 17:23:25 LUKERES.DLL : 7.0.2.0 9256 Bytes 18.12.2006 17:23:25 ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 10:21:48 ANTIVIR1.VDF : 6.37.1.151 4303360 Bytes 23.02.2007 05:40:07 ANTIVIR2.VDF : 6.38.1.1 798720 Bytes 17.04.2007 18:04:10 ANTIVIR3.VDF : 6.38.1.8 22528 Bytes 18.04.2007 18:04:10 AVEWIN32.DLL : 7.3.1.53 2404864 Bytes 18.04.2007 18:04:10 AVPREF.DLL : 7.0.2.0 23592 Bytes 18.12.2006 17:23:15 AVREP.DLL : 6.38.0.210 1232936 Bytes 15.04.2007 16:25:44 AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 30.03.2006 08:43:10 AVPACK32.DLL : 7.3.0.8 360488 Bytes 04.04.2007 21:02:35 AVREG.DLL : 7.0.1.2 30760 Bytes 17.01.2007 19:03:50 NETNT.DLL : 6.32.0.0 6696 Bytes 27.09.2005 07:56:47 RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 18.12.2006 17:22:58 RCTEXT.DLL : 7.0.12.0 77864 Bytes 18.12.2006 17:22:58 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Lokale Laufwerke Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldrives.avp Protokollierung..................: niedrig Primäre Aktion...................: interaktiv Sekundäre Aktion.................: ignorieren Durchsuche Masterbootsektoren....: aus Durchsuche Bootsektoren..........: ein Bootsektoren.....................: F:, Durchsuche Speicher..............: ein Durchsuche Laufende Programme....: ein Durchsuche Registrierung.........: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: 20 Archiv Smart Extensions..........: ein Makrovirenheuristik..............: ein Dateiheuristik...................: mittel Erweiterte Sucheinstellungen.....: 0x00007000 Beginn des Suchlaufs: Mittwoch, 18. April 2007 20:12 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'StCenter.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'ccEvtMgr.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'ccSetMgr.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'IGDCTRL.EXE' - '1' Module wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'ANIWZCSdS.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'LEXPPS.EXE' - '1' Module wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'LEXBCES.EXE' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Module wurden durchsucht Es wurden '28' Prozesse mit '28' Modulen durchsucht Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [HINWEIS] Es wurde kein Virus gefunden! Bootsektor 'D:\' [HINWEIS] Es wurde kein Virus gefunden! Bootsektor 'A:\' [HINWEIS] Im Laufwerk 'A:\' ist kein Datenträger eingelegt! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. Die Registry wurde durchsucht ( 14 Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <Lokaler Datenträger> Beginne mit der Suche in 'D:\' <Volume> D:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Beginne mit der Suche in 'A:\' Der zu durchsuchende Pfad A:\ konnte nicht gefunden werden! Das Gerät ist nicht bereit. Beginne mit der Suche in 'E:\' Der zu durchsuchende Pfad E:\ konnte nicht gefunden werden! Das Gerät ist nicht bereit. Beginne mit der Suche in 'F:\' Der zu durchsuchende Pfad F:\ konnte nicht gefunden werden! Das Gerät ist nicht bereit. Ende des Suchlaufs: Mittwoch, 18. April 2007 21:08 Benötigte Zeit: 56:13 min Der Suchlauf wurde vollständig durchgeführt. 4748 Verzeichnisse wurden überprüft 216523 Dateien wurden geprüft 0 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 1 Dateien konnten nicht durchsucht werden 216523 Dateien ohne Befall 1515 Archive wurden durchsucht 1 Warnungen 0 Hinweise ******* und hier ist mein hijackthis.log Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 21:30:10, on 18.04.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\LEXBCES.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\LEXPPS.EXE C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\FRITZ!DSL\IGDCTRL.EXE C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\RunDll32.exe C:\Programme\FRITZ!DSL\StCenter.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Microsoft Office\Office10\WINWORD.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Internet Explorer\IEXPLORE.EXE C:\DOKUME~1\xxx\LOKALE~1\Temp\Temporary Internet Files\Content.IE5\GTABG1IV\HiJackThis_v2[1].exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://google.icq.com/search/search_frame.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.xxx.info/ O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user') O4 - Startup: BirthCheck.lnk = D:\programme\birthcheck\birthcheck.exe O4 - Startup: Reboot.exe O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: &Search - http://ku.bar.need2find.com/KU/menusearch.html?p=KU O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: *.adgate.info O15 - Trusted Zone: *.dollarrevenue.com O15 - Trusted Zone: *.elitemediagroup.net O15 - Trusted Zone: *.errorsafe.com O15 - Trusted Zone: *.imagesrvr.com O15 - Trusted Zone: *.matcash.com O15 - Trusted Zone: *.media-motor.com O15 - Trusted Zone: *.media-motor.net O15 - Trusted Zone: *.mediatickets.net O15 - Trusted Zone: *.mt-download.com O15 - Trusted Zone: *.snipernet.biz O15 - Trusted Zone: *.snipernet.us O15 - Trusted Zone: *.systemdoctor.com O15 - Trusted Zone: *.winantivirus.com O15 - Trusted Zone: *.winfixer.com O15 - Trusted Zone: *.adgate.info (HKLM) O15 - Trusted Zone: *.dollarrevenue.com (HKLM) O15 - Trusted Zone: *.elitemediagroup.net (HKLM) O15 - Trusted Zone: *.errorsafe.com (HKLM) O15 - Trusted Zone: *.imagesrvr.com (HKLM) O15 - Trusted Zone: *.matcash.com (HKLM) O15 - Trusted Zone: *.media-motor.com (HKLM) O15 - Trusted Zone: *.media-motor.net (HKLM) O15 - Trusted Zone: *.mediatickets.net (HKLM) O15 - Trusted Zone: *.mt-download.com (HKLM) O15 - Trusted Zone: *.snipernet.biz (HKLM) O15 - Trusted Zone: *.snipernet.us (HKLM) O15 - Trusted Zone: *.systemdoctor.com (HKLM) O15 - Trusted Zone: *.winantivirus.com (HKLM) O15 - Trusted Zone: *.winfixer.com (HKLM) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1154280576407 O16 - DPF: {88D758A3-D33B-45FD-91E3-67749B4057FA} - h**p://dm.screensavers.com/dm/installers/si/1/sinstaller.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/MsnMessengerSetupDownloader.cab O16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} - h**p://ax.phobos.apple.com.edgesuite.net/detection/ITDetector.cab O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IPSUploader Control) - http://as.photoprintit.de/ips-opdata/layout/default01/activex/IPSUploader.cab O18 - Protocol: haufereader - {39198710-62F7-42CD-9458-069843FA5D32} - (no file) O20 - AppInit_DLLs: O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe O23 - Service: AntiVir Update Temp (TmpUpSrv) - Unknown owner - C:\DOKUME~1\xxx\LOKALE~1\TEMP\_VWUPSRV.EXE (file missing) O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe -- End of file - 7637 bytes Kann mir einer helfen und sich das einmal ansehen?!? Wie gesagt, bin völlig planlos und extrem verzweifelt was das alles angeht :-( Gruß Billy |
|
18.04.2007, 20:56
| #2 |
 | TR/Agent 37673 Mit folgenden Einträgen in deinem HJT würde ich mich mal beschäftigen:
__________________R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.xxx.info/ O4 - Startup: Reboot.exe O8 - Extra context menu item: &Search - http://ku.bar.need2find.com/KU/menusearch.html?p=KU O15 - Trusted Zone: *.adgate.info O15 - Trusted Zone: *.dollarrevenue.com O15 - Trusted Zone: *.elitemediagroup.net O15 - Trusted Zone: *.errorsafe.com O15 - Trusted Zone: *.imagesrvr.com O15 - Trusted Zone: *.matcash.com O15 - Trusted Zone: *.media-motor.com O15 - Trusted Zone: *.media-motor.net O15 - Trusted Zone: *.mediatickets.net O15 - Trusted Zone: *.mt-download.com O15 - Trusted Zone: *.snipernet.biz O15 - Trusted Zone: *.snipernet.us O15 - Trusted Zone: *.systemdoctor.com O15 - Trusted Zone: *.winantivirus.com O15 - Trusted Zone: *.winfixer.com O15 - Trusted Zone: *.adgate.info (HKLM) O15 - Trusted Zone: *.dollarrevenue.com (HKLM) O15 - Trusted Zone: *.elitemediagroup.net (HKLM) O15 - Trusted Zone: *.errorsafe.com (HKLM) O15 - Trusted Zone: *.imagesrvr.com (HKLM) O15 - Trusted Zone: *.matcash.com (HKLM) O15 - Trusted Zone: *.media-motor.com (HKLM) O15 - Trusted Zone: *.media-motor.net (HKLM) O15 - Trusted Zone: *.mediatickets.net (HKLM) O15 - Trusted Zone: *.mt-download.com (HKLM) O15 - Trusted Zone: *.snipernet.biz (HKLM) O15 - Trusted Zone: *.snipernet.us (HKLM) O15 - Trusted Zone: *.systemdoctor.com (HKLM) O15 - Trusted Zone: *.winantivirus.com (HKLM) O15 - Trusted Zone: *.winfixer.com (HKLM) O16 - DPF: {88D758A3-D33B-45FD-91E3-67749B4057FA} - h**p://dm.screensavers.com/dm/installers/si/1/sinstaller.cab O20 - AppInit_DLLs: O23 - Service: AntiVir Update Temp (TmpUpSrv) - Unknown owner - C:\DOKUME~1\xxx\LOKALE~1\TEMP\_VWUPSRV.EXE (file missing) Also ich muß sagen, daß ich das Logfile ganz schön krass finde. Letzter Eintrag verweist ins Leere. Vor allem alles was unter "Trusted Zone" steht... Dem sollte lieber nicht "vertraut" werden. Also fixen. Der Reboot-Befehl unter O4 ist sicher für die Neustarts verantwortlich. Und die Seite ***.xxx(dot)info - ist die gut? Verpasse ich da was?  Also auch rausnehmen. |
|
18.04.2007, 21:00
| #3 | |
| | TR/Agent 37673Zitat:
Danke schon mal.... dein Satz "daß ich das Logfile ganz schön krass finde" macht mir allerdings schon etwas Angst :-( und ich weiß noch nicht wie ich das so finden soll ;-) Die Seite ".xxx(dot).info ist meine private Website und das einzige ansonsten dem ich wirklich vertraue, dass die "gut" ist ;-) Ich probier dann mal mein Glück......... |
|
18.04.2007, 21:03
| #4 |
| | TR/Agent 37673 Also ich muß sagen, daß ich das Logfile ganz schön krass finde. Letzter Eintrag verweist ins Leere. Vor allem alles was unter "Trusted Zone" steht... Dem sollte lieber nicht "vertraut" werden. Also fixen. Der Reboot-Befehl unter O4 ist sicher für die Neustarts verantwortlich. Und die Seite ***.xxx(dot)info - ist die gut? Verpasse ich da was? Also auch rausnehmen.[/QUOTE]so, hab' s jetzt gefixt... nun sollte ein Neustart erfolgen, und dann noch etwas weiteres??? Sorry für die wohl blöden Fragen  Gruß Billy |
|
18.04.2007, 21:03
| #5 |
| | TR/Agent 37673 Jepp. Laß bei Gelegenheit hören, ob's besser geworden ist. |
|
18.04.2007, 21:04
| #6 | |
| | TR/Agent 37673Zitat:
|
|
| Themen zu TR/Agent 37673 |
| 0 bytes, adobe, antivir, appinit_dlls, avg, avgnt.exe, avira, bho, browseui preloader, content.ie5, ctfmon.exe, dsl, excel, helfen, hijack, hkus\s-1-5-18, igdctrl.exe, immer wieder, internet, internet explorer, logon.exe, nicht angezeigt, nicht gefunden, nt.dll, programm, prozesse, quara, registry, rundll, s-1-5-18, sched.exe, server, services.exe, software, suchlauf, svchost.exe, symantec, system, temp, trend micro, trojaner, verweise, virus, virus gefunden, warnung, windows |
