Hallo
ich habe mir den folgenden virus oder trojaner eingefangen.
BDS/Prorat.19.i.2
wenn ich mein System normal hochfahre hängt sich der pc auf so bald der avgard gestartet wird.
Der bringt 50 vierenmeldungenb unter anderem in der reginv.ddl.
Hab schon versucht im abgesicherten modus einen viren scan laufen zu lassen.
Der virus BDS/Prorat.19.i.2 wurde 7 mal auf c (windows installations verzeichniss ) gefunden.
Hab alles versucht zu löschen ging aber nicht es kam meistens die meldung das es nicht gelöscht werden kann und dass es nach dem nächsten Neustart gelöscht wird.
Wenn ich nun einen Neustart mache und erneut im abgesicherten modus starte und erneut scan bekomme ich wieder 7 virus meldungen .
Hab schon versucht die dateien von hand zu löschen reinv.dll ging aber auch nicht es kam die meldung das die datei nicht gelöscht werden kann

Was soll ich nun tun
Ich bedanke mich mal schon vorab
eine schnelle antwort wäre sehr angebracht da ich an meinem PC noch sachen für die Schule zu machen hab

Hallo und im Trojaner Board!



Erstellung eines Hijacklog

Poste als erstes ein Hijacklog, wie es erstellt wird findest du im Anleitungsforum.
ACHTUNG:
Bitte durchsuche das Log-File nach persönlichen Informationen, wie z.B. deinen Realname, und editiere diese, bevor Du es postest.
Alle Links im Log-File sollten wie folgt editiert werden -> z.B. h**p://trojaner-board.de. Einfach, damit niemand auf die Idee kommt, auf die Links zu klicken.


Arbeiten mit MWAV (eScan)

* Lies dir folgende Anleitung genau durch und arbeite sie ab:
-> Anleitung eScan
* Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der “find.bat”.
(steht alles ganz genau in der Anleitung.)


Sunny

okay ich werde gleich mal die ergebnisse von escann und HijackThis posten thx fur die suuper schnelle antwort:aplaus: :aplaus:

so hir mal das hijackthos log file
hab es im abgesicherten modus gemacht da es anders ja nicht geht hoffe das macht keinen unterschied
Logfile of HijackThis v1.99.1
Scan saved at 16:24:47, on 21.04.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\Explorer.exe
C:\windows\services.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Dokumente und Einstellungen\Kevin.K\Desktop\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ycomp/defaults/sb/*http://www.yahoo.com/search/ie.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ycomp/defaults/sp/*http://www.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ycomp/defaults/su/*http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = file://C:\Programme\WinSweep\ws.js
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F0 - system.ini: Shell=Explorer.exe c:\windows\system32\msiexec16.exe
F1 - win.ini: run=c:\windows\system32\msiexec16.exe
F2 - REG:system.ini: Shell=Explorer.exe C:\windows\system32\fservice.exe
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch5 Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {E795B0BD-B6E0-4948-893E-280B06A70022} - C:\windows\system32\FileSysuem_Steam.dll (file missing)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ChinFindLiesBin] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Inside Mags Chin Find\AmenBin.exe
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\Logitech\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LVCOMSX] "C:\Programme\Gemeinsame Dateien\Logitech\LComMgr\LVComSX.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [startkey] C:\windows\system32\server.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [PSPVideo9] C:\Programme\pspvideo9\pspVideo9.exe -t
O4 - HKLM\..\Run: [msconfig.exe] c:\windows\system32\msiexec16.exe
O4 - HKLM\..\RunServices: [msconfig.exe] c:\windows\system32\msiexec16.exe
O4 - HKCU\..\Run: [WINSWEEP] C:\Programme\WinSweep\WINSWEEP.Exe /AUTO
O4 - HKCU\..\Run: [wavechin] C:\DOKUME~1\Kevin.K\ANWEND~1\UPRDRW~1\IDLE WAY.exe
O4 - HKCU\..\Run: [Steganos3] C:\Programme\Steganos 3\Steganos3.exe /booting
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [CMS_RSChecker] "C:\DOKUME~1\Kevin.K\LOKALE~1\Temp\Rar$EX00.814\Rapidshare Free Account Notifier v1.0\RS_FAN_1.0\RSFAN.exe" -m
O4 - HKCU\..\Run: [startkey] C:\windows\system32\server.exe
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cab
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\windows\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Programme\Gemeinsame Dateien\BOONTY Shared\Service\Boonty.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe

Das wird echt schwirig, da der Prorat ziemlich hartnäckig ist!
Aber ein Versuch ist es mir wert.

Es würde mit Sicherheit viel schneller gehen wenn du das System neu aufsetzt!

Besteht diese Möglichkeit?

Eine Bereinigung würde mehrere Stunden bzw. Tage dauern bis wir wirklich alles wieder raus haben!
Außerdem ist das System dann immer noch nicht in einem optimalen Vertrauenszustand.

Sunny

diese möglichkeit besteh
ich weiß wie windows installiert wird und service pack 2 und sasser und blaster teile da
es wäre mir jedochwichtiger wenn ich das so wegbekommen würde
bitte um eine schnelle auswerteung des logfiles und um hilfe muss noch schulsachen machen pls

Zitat von mufflon12

diese möglichkeit besteh
ich weiß wie windows installiert wird und service pack 2 und sasser und blaster teile da
es wäre mir jedochwichtiger wenn ich das so wegbekommen würde
bitte um eine schnelle auswerteung des logfiles und um hilfe muss noch schulsachen machen pls

Das ist nicht mal eben in 1 Stunde von der Platte geschmissen, da sitzt du wahrscheinlich morgen noch dran!

Wie hast du den Trojaner eigentlich bekommen, es sieht mir nämlich danach aus als hättest du selbst damit herumgewerkelt.

Zumal da noch einiges mehr auf dem System ist, Swizzor.A, Reste die aktiv sind vom Optix-Pro usw!

also ich habe damit ncht selber rumgewerkelt hab ihn vermutlich über icq bekommen

ich denke ich werde das system neu aufsetzen. wenn dass so lange braucht
edit was ist Optix-Pro

also ich ahbe damit ncht selber rumgewerkelt hab ihn vermutlich über icq bekommen

Sorry, das glaube ich dir nur zur Hälfte, über ICQ das glaube ich dir aber den Rest...

Zwei Anfänger-Backdoor-Trojaner auf einmal??? Und auch noch installiert?

Ok, arbeite das hier ab, garantieren kann ich aber für garnichts.
Weder das das System danach noch läuft, noch das danach alles beseitigt ist!


Entfernung Swizzor.A

* Als erstes folgende Anleitung gut durchlesen und Schritt für Schritt abarbeiten
-> Anleitung Swizzor.A

* Dann die entsprechenden Einträge fixen, relevant sind bei dir folgende:

O4 - HKLM\..\Run: [ChinFindLiesBin] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Inside Mags Chin Find\AmenBin.exe
O4 - HKCU\..\Run: [wavechin] C:\DOKUME~1\Kevin.K\ANWEND~1\UPRDRW~1\IDLE WAY.exe

Fixen mit HijackThis

öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

F1 - win.ini: run=c:\windows\system32\msiexec16.exe
F2 - REG:system.ini: Shell=Explorer.exe C:\windows\system32\fservice.exe
O2 - BHO: (no name) - {E795B0BD-B6E0-4948-893E-280B06A70022} - C:\windows\system32\FileSysuem_Steam.dll (file missing)
O4 - HKLM\..\Run: [startkey] C:\windows\system32\server.exe
O4 - HKLM\..\Run: [msconfig.exe] c:\windows\system32\msiexec16.exe
O4 - HKLM\..\RunServices: [msconfig.exe] c:\windows\system32\msiexec16.exe
O4 - HKCU\..\Run: [startkey] C:\windows\system32\server.exe

Anleitung Avenger:

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:


2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:

Files to delete:
C:\windows\system32\fservice.exe
c:\windows\system32\msiexec16.exe
C:\windows\system32\server.exe

3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.

4.) Danach das System unverzüglich neu starten lassen
5.) Lass HijackThis nochmal laufen, erstelle und poste ein neues HijackThis Logfile.
Poste ausserdem den Inhalt der C:\avenger.txt Datei.


Sunny

okay thx ich werde es testen nachdem escann gelaufen ist
und zu de dass ich damit selber rumgebastel habe ich bin 13 jahre alt und hab kein plan wie so was geht also bitte

Zitat von mufflon12

und zu de dass ich damit selber rumgebastel habe ich bin 13 jahre alt und hab kein plan wie so was geht also bitte

Ich will dir ja nichts unterstellen, es kommt mir nur merkwürdig vor!

Abgesehen davon, selbst 12-13jährige haben teilweise auf diesem Gebiet des hackens & crackens mehr Erfahrung als manch studierter Informatiker.

Warum gibt es denn soviel Malware im Netz, und selbst Microsoft hat es nie richtig geschafft dieser "Herr" zu werden?

Versuch dein Glück mit der Bereinigung...

Sunny

xd mehr erfahrung
ich hab den pc nur um schulsachen zu machen und zum spielen

so leute hab grad mal nach meinem systembekup gesucht und es gefunden es war glücklicherweiße in einem guten zustandt ich setze es gerade auf
hoffe dann ist der virus oder trojaner weg