Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Win32.Agent.pz bzw. TR/Spy.ZBot.R

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 04.10.2007, 14:24   #1
pstyles
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hi,

hab ein Problem mit dem Trojaner Win32.Agent.pz bzw. TR/Spy.ZBot.R.

Spybot und Adaware erkennen den Trojaner/Virus, die Beseitigung bringt aber bei beiden Programmen nix.

(SPybot Results:

Win32.Agent.pz: [SBI $F94D3B3A] Einstellungen (Registrierungsdatenbank-Wert, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit=...C:\WINDOWS\system32\ntos.exe,...

Win32.Agent.pz: [SBI $B74832EE] Programm-Verzeichnis (Verzeichnis, nothing done)
C:\WINDOWS\system32\wsnpoem\

Win32.Agent.pz: [SBI $64B76CA0] Bibliothek (Datei, nothing done)
C:\WINDOWS\system32\wsnpoem\audio.dll

Win32.Agent.pz: [SBI $D372DFBA] Bibliothek (Datei, nothing done)
C:\WINDOWS\system32\wsnpoem\video.dll)


Auch mit HijackThis hab ich schon versucht, den Übeltäter (scheinbar ist es die ntos.exe - Zeile F2) zu entfernen. Is aber immer sofort wieder da.

Hier das Hijack-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:50:00, on 04.10.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Canon\CAL\CALMAIN.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\goober\goober.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=56626&homepage=http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [Windows Defender] C:\Programme\Windows Defender\MSASCui.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Append to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/12b59a1dbbc2c6658a05/netzip/RdxIE601_de.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097566082250
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = tbh.fh-konstanz.de
O17 - HKLM\Software\..\Telephony: DomainName = tbh.fh-konstanz.de
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = tbh.fh-konstanz.de
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 8253 bytes


Hat jemand ne Idee? Bin für jede Hilfe dankbar!

Gruss

Alt 04.10.2007, 14:33   #2
Cleriker
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hallo und Herzlich Willkommen im Trojaner-Board

bei dir steckt Troj/Dloadr-AWQ im System.

* Anleitung Avenger
1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:
2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:
Zitat:
Files to delete

C:\WINDOWS\ system32\ntos.exe
C:\WINDOWS\system32\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\video.dll
3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.
4.) Danach das System unverzüglich neu starten lassen
5.) Poste ausserdem den Inhalt der C:\avenger.txt
6.) Lösche den gesamten Ordner
Zitat:
C:\WINDOWS\system32\wsnpoem\
* CCleaner
- Lade dir den CCleaner runter
- Setze bei der Ausführung die Häkchen mindestens bei Cookies und Internet Files
- optional kannst du die gelöschten Einträge aus dem Fenster abkopieren und posten

mfg Cleriker
__________________


Alt 04.10.2007, 14:41   #3
pstyles
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hi Cleriker,

wenn ich avenger entpacke, krieg ich ne Virusmeldung von AntiVir.

SPR/Avenger oder so ähnlich.

Is mir nich so wohl bei!
__________________

Alt 04.10.2007, 14:43   #4
nochdigger
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hallo

deaktiviere den Guard von Antivir im Augenblick, ist i.O.

MFG

Alt 04.10.2007, 14:59   #5
pstyles
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hi nochdigger,

fühle mich nicht wohl dabei ein Programm mit Virensignatur bewußt auszuführen.

Hört sich nich so gut an, Feuer mit Feuer zu bekämpfen.

Werd mich wohl wo anders schlau machen.


Alt 04.10.2007, 15:14   #6
nochdigger
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hallo

<ironie>
wir bekämpfen hier das Feuer mit Benzin.
</ironie>

Avenger hat aus deiner Position betrachtet natürlich einen faden Beigeschmack, verstehen wir alle, aber es ist nur ein mächtiges Tool um sicher Dateien zu löschen, es gibt keinen Grund zu Beunruhigung.
Schau dich auf anderen Boards um z.B. Hijackthis.de oder board.protecus.de dort wir ebenfalls mit diesem Tool gearbeitet, aber es bleibt natürlich deine Entscheidung.
(Es will dir niemand was unterjubeln)

MFG

EDIT Gruß zurück

Geändert von nochdigger (04.10.2007 um 15:32 Uhr) Grund: zurückgrüßt

Alt 04.10.2007, 15:23   #7
myrtille
/// TB-Ausbilder
 
Win32.Agent.pz bzw. TR/Spy.ZBot.R - Standard

Win32.Agent.pz bzw. TR/Spy.ZBot.R



Hi,

Die Erkennung "SPR" von Antivir ist eine Erkennung von gutartigen Programmen, die ähnliche Funktionen ausführen, wie Malware.
In der Hinsicht sagt dir Antivir sogar, dass das Programm gutartig ist.

Grüße an den nochdigger

lg myrtille

Antwort

Themen zu Win32.Agent.pz bzw. TR/Spy.ZBot.R
ad-aware, antivir, avira, beseitigung, bho, computer, defender, einstellungen, excel, helper, hijack, hijackthis, hkus\s-1-5-18, homepage, internet, internet explorer, monitor, problem, rundll, s-1-5-18, software, system, trend micro, trojaner, trojaner/virus, userinit.exe, win32.agent.pz, windows, windows defender, windows xp



Ähnliche Themen: Win32.Agent.pz bzw. TR/Spy.ZBot.R


  1. Nach PWS:WIN32/Zbot.gen!Am jetzt PWS:WIN32/Zbot.AJB - wie werde ich diesen los
    Log-Analyse und Auswertung - 16.08.2013 (10)
  2. Win32.ZBot (und...?)
    Log-Analyse und Auswertung - 31.05.2013 (15)
  3. Sparkassen Onlin Banking Virus (Zbot.HEEP, Agent.MIXC, Zbot, Agent.ED)
    Plagegeister aller Art und deren Bekämpfung - 18.05.2013 (21)
  4. Sauber nach Bereinigung mit MSSE (Win32/Zbot.gen!AJ) & AVG (Agent.7.BC)
    Plagegeister aller Art und deren Bekämpfung - 27.04.2013 (13)
  5. Problem mit Trojaner Win32:Zbot-QGP + Java:Agent-CDZ + Java:Malware-gen
    Log-Analyse und Auswertung - 29.03.2013 (9)
  6. PWS:Win32/Zbot malware : Trojan.Phex.TGen (File) und Trojan.Agent.IET (Registry Value und File)
    Log-Analyse und Auswertung - 16.01.2013 (15)
  7. Win32/Zbot.gen!Y
    Plagegeister aller Art und deren Bekämpfung - 27.06.2011 (19)
  8. pc friert ein- malware (TR/Spy.Zbot, TR/Agent.282624.k , BDS.Hupigon, JS/Agent.30510, )
    Plagegeister aller Art und deren Bekämpfung - 07.03.2011 (3)
  9. MSPAPING.DLL + win32/zbot.gen!Y + Win32/Skintrim.c
    Plagegeister aller Art und deren Bekämpfung - 16.11.2010 (23)
  10. Probleme mit Scareware (Win32/Cryptor) und Trojanern (Win32/ZBot)
    Plagegeister aller Art und deren Bekämpfung - 15.08.2010 (3)
  11. nach spybot durchlauf... Win32.Agent.ieu, Win32.FraudLoad, Win32.PornPopup
    Log-Analyse und Auswertung - 08.08.2010 (3)
  12. Win32\Zbot.A
    Plagegeister aller Art und deren Bekämpfung - 05.08.2010 (9)
  13. Trojan.Win32.Agent.delx ; Trojan-Downloader.Win32.Agent.bvst; HackTool.Win32.Kiser.fb
    Plagegeister aller Art und deren Bekämpfung - 05.01.2010 (3)
  14. Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK
    Plagegeister aller Art und deren Bekämpfung - 03.12.2009 (5)
  15. Trojaner: Win32.KeyLogger, Win32.GreenScreen,Win32.Agent, Win32Tiny, HTML.Bankfraud
    Log-Analyse und Auswertung - 29.09.2008 (1)
  16. Trojaner TR/Spy.Zbot.MU und Win32.Agent.pz
    Plagegeister aller Art und deren Bekämpfung - 15.01.2008 (8)
  17. HackTool.Win32.Hidd.c / TrojanSpy.Win32.Agent.w / Trojan-Downloader.Win32.Agent.fy
    Plagegeister aller Art und deren Bekämpfung - 21.12.2004 (3)

Zum Thema Win32.Agent.pz bzw. TR/Spy.ZBot.R - Hi, hab ein Problem mit dem Trojaner Win32.Agent.pz bzw. TR/Spy.ZBot.R. Spybot und Adaware erkennen den Trojaner/Virus, die Beseitigung bringt aber bei beiden Programmen nix. (SPybot Results: Win32.Agent.pz: [SBI $F94D3B3A] Einstellungen - Win32.Agent.pz bzw. TR/Spy.ZBot.R...
Archiv
Du betrachtest: Win32.Agent.pz bzw. TR/Spy.ZBot.R auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.