Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: TR/Reboot95.A

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 10.05.2007, 20:55   #1
karstenm1
 
TR/Reboot95.A - Standard

TR/Reboot95.A



Hallo,nach installation einer testversion eines spieles findet antivir den trojaner TR/Reboot95.A im verzeichniss C:\koelndemo\keulen.dll.

ich habe das testprogramm von einer absolut seriösen quelle runtergeladen.anbei mein logfile....

beim onlinescann von jotti fand nur antivir diesen trojaner,alle anderen scanner blieben friedlich...

kann ich von einem fehlalarm ausgehen?

Logfile of HijackThis v1.99.1
Scan saved at 20:50:04, on 10.05.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Lexmark X6100 Series\lxbfbmgr.exe
C:\Programme\Lexmark X6100 Series\lxbfbmon.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\Programme\ArcorOnline\Arcor.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Sicherheitstools\HJT1991.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = ***
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Lexmark X6100 Series] "C:\Programme\Lexmark X6100 Series\lxbfbmgr.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http:/*****.de/scan_de/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.**crosoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1177881553272
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com/update/1.6.0/jinstall-6u1-windows-i586-jc.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB768440-3FAF-48AE-B84C-7A970B5A27F8}: NameServer = 195.50.140.178 195.50.140.114
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

Alt 10.05.2007, 20:59   #2
MightyMarc
 
TR/Reboot95.A - Standard

TR/Reboot95.A



Lade die beanstandete Datei bei virustotal.com hoch und lasse sie prüfen.
__________________

__________________

Alt 10.05.2007, 21:02   #3
karstenm1
 
TR/Reboot95.A - Standard

TR/Reboot95.A



Bin grad dabei mal schaun...das logfile müsste aber ok sein...hab unter google nur einen einzigen eintrag finden können...

danke schonmal
__________________

Alt 10.05.2007, 21:18   #4
karstenm1
 
TR/Reboot95.A - Standard

TR/Reboot95.A



so der scan ist jetzt auch fertig,dasselbe ergebniss wie bei jotti,alle finden nichts,ausser der antivir findet den....mhhh

Alt 11.05.2007, 12:39   #5
MightyMarc
 
TR/Reboot95.A - Standard

TR/Reboot95.A



Zitat:
Zitat von karstenm1 Beitrag anzeigen
so der scan ist jetzt auch fertig,dasselbe ergebniss wie bei jotti,alle finden nichts,ausser der antivir findet den....mhhh

Geh mal davon aus, das es sich dabei um einen Fehlalarm handelt. Es kommt hin und wieder vor, dass ein Virenscanner falsch-positive Meldungen bringt, welche aber besser als falsch-negative sind.

__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Alt 11.05.2007, 19:45   #6
karstenm1
 
TR/Reboot95.A - Standard

TR/Reboot95.A



hab jetzt nochmal nen escan gemacht...der meckert auch über diese datei keulen.dll,als unbekanntes virus....

sehr seltsam,hier das log,rootkitscanner fanden 2 stück nichts.


find.bat Version 2007.05.01.01

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NORMAL

eScan Version: 9.1.9
Sprache: German

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~


~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei C:\RECYCLER\S-1-5-21-1547161642-57989841-682003330-1004\Dc127\KEULEN.DLL infiziert von "BkCln.Unknown" Virus. Aktion vorgenommen: Datei umbenannt.
Datei C:\RECYCLER\S-1-5-21-1547161642-57989841-682003330-1004\Dc130\KEULEN.DLL infiziert von "BkCln.Unknown" Virus. Aktion vorgenommen: Datei umbenannt.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Prozesse und Module
~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
C:\Dokumente und Einstellungen\karsten\Lokale Einstellungen\Temporary Internet Files\Content.IE5\412BKFOJ\aawsepersonal106[1].exe nicht gescannt. Wahrscheinlich durch Passwort geschützt...

~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Gescannte Dateien: 213338
Gefundene Viren: 2
Anzahl der desinfizierten Dateien: 0
Umbenannte Dateien: 2
Anzahl der gelöschten Dateien: 4
Anzahl Fehler: 10
Dauer des Scans bisher: 04:43:44
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Specherüberprüfung: Aktiviert
Registry Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung aller Festplatten :Aktiviert

Batchstart: 19:38:46,25
Batchende: 19:42:19,90

Alt 12.05.2007, 15:55   #7
MightyMarc
 
TR/Reboot95.A - Standard

TR/Reboot95.A



Um auf Nummer sicher zu gehen, kannst du diese datei an einen AV-Softwarehersteller Deiner Wahl senden (AntiVir wäre wohl sinnvoll), das Problem kurz! beschreiben und um eine Analyse bitten.
__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Antwort

Themen zu TR/Reboot95.A
adobe, alert, antivir, ausgehen, avira, bho, defender, e-mail, escan, explorer, fehlalarm, firewall, hijack, hijackthis, installation, internet, internet explorer, pdf, programm, programme, software, superantispyware, system, trojaner, windows, windows defender, windows xp



Zum Thema TR/Reboot95.A - Hallo,nach installation einer testversion eines spieles findet antivir den trojaner TR/Reboot95.A im verzeichniss C:\koelndemo\keulen.dll. ich habe das testprogramm von einer absolut seriösen quelle runtergeladen.anbei mein logfile.... beim onlinescann von jotti - TR/Reboot95.A...
Archiv
Du betrachtest: TR/Reboot95.A auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.