Hallo nochdigger,

habe die Anleitung in deinem Posting an "alterschwede" abgearbeitet ... *smile*

Die versteckten Dateien sind sichtbar.

hier der Bericht von Vundofix

VundoFix V6.5.9

Checking Java version...

Sun Java not detected
Scan started at 14:11:17 07.10.2007

Listing files found while scanning....

C:\WINDOWS\system32\ddcddca.dll
C:\WINDOWS\system32\jmllm.bak1
C:\WINDOWS\system32\jmllm.bak2
C:\WINDOWS\system32\jmllm.ini
C:\WINDOWS\system32\mllmj.dll

Beginning removal...

 Attempting to delete C:\WINDOWS\system32\ddcddca.dll
C:\WINDOWS\system32\ddcddca.dll Could not be deleted.

 Attempting to delete C:\WINDOWS\system32\jmllm.bak1
C:\WINDOWS\system32\jmllm.bak1 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\jmllm.bak2
C:\WINDOWS\system32\jmllm.bak2 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\jmllm.ini
C:\WINDOWS\system32\jmllm.ini Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

 Attempting to delete C:\WINDOWS\system32\ddcddca.dll
C:\WINDOWS\system32\ddcddca.dll Has been deleted!

Performing Repairs to the registry.
Done!
         

und das Ergebnis der pacaprri.ini - Überprüfung

Datei pacaprri.ini empfangen 2007.10.07 18:55:19 (CET)

Ergebnis: 0/32 (0%)
  

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.10.6.0 2007.10.05 - 
AntiVir 7.6.0.20 2007.10.05 - 
Authentium 4.93.8 2007.10.05 - 
Avast 4.7.1051.0 2007.10.06 - 
AVG 7.5.0.488 2007.10.07 - 
BitDefender 7.2 2007.10.07 - 
CAT-QuickHeal 9.00 2007.10.06 - 
ClamAV 0.91.2 2007.10.07 - 
DrWeb 4.44.0.09170 2007.10.07 - 
eSafe 7.0.15.0 2007.10.07 - 
eTrust-Vet 31.2.5190 2007.10.06 - 
Ewido 4.0 2007.10.07 - 
FileAdvisor 1 2007.10.07 - 
Fortinet 3.11.0.0 2007.10.07 - 
F-Prot 4.3.2.48 2007.10.06 - 
F-Secure 6.70.13030.0 2007.10.06 - 
Ikarus T3.1.1.12 2007.10.07 - 
Kaspersky 7.0.0.125 2007.10.07 - 
McAfee 5135 2007.10.05 - 
Microsoft 1.2908 2007.10.07 - 
NOD32v2 2576 2007.10.07 - 
Norman 5.80.02 2007.10.05 - 
Panda 9.0.0.4 2007.10.07 - 
Prevx1 V2 2007.10.07 - 
Rising 19.43.60.00 2007.10.07 - 
Sophos 4.22.0 2007.10.07 - 
Sunbelt 2.2.907.0 2007.10.06 - 
Symantec 10 2007.10.07 - 
TheHacker 6.2.6.079 2007.10.07 - 
VBA32 3.12.2.4 2007.10.07 - 
VirusBuster 4.3.26:9 2007.10.06 - 
Webwasher-Gateway 6.0.1 2007.10.05 - 
weitere Informationen 
File size: 693592 bytes 
MD5: a6a519dad2c40625975f1c46efb4fe82
         

Der Rest folgt gleich.

MFG Andrea

hier die beiden anderen

Datei mwbefrlk.ini empfangen 2007.10.07 18:52:17 (CET)

Ergebnis: 0/31 (0%)


Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.10.6.0 2007.10.05 - 
AntiVir 7.6.0.20 2007.10.05 - 
Authentium 4.93.8 2007.10.05 - 
Avast 4.7.1051.0 2007.10.06 - 
AVG 7.5.0.488 2007.10.07 - 
BitDefender 7.2 2007.10.07 - 
CAT-QuickHeal 9.00 2007.10.06 - 
ClamAV 0.91.2 2007.10.07 - 
DrWeb 4.44.0.09170 2007.10.07 - 
eSafe 7.0.15.0 2007.10.07 - 
eTrust-Vet 31.2.5190 2007.10.06 - 
Ewido 4.0 2007.10.07 - 
FileAdvisor 1 2007.10.07 - 
Fortinet 3.11.0.0 2007.10.07 - 
F-Prot 4.3.2.48 2007.10.06 - 
F-Secure 6.70.13030.0 2007.10.06 - 
Ikarus T3.1.1.12 2007.10.07 - 
Kaspersky 7.0.0.125 2007.10.07 - 
McAfee 5135 2007.10.05 - 
Microsoft 1.2908 2007.10.07 - 
NOD32v2 2576 2007.10.07 - 
Norman 5.80.02 2007.10.05 - 
Panda 9.0.0.4 2007.10.07 - 
Rising 19.43.60.00 2007.10.07 - 
Sophos 4.22.0 2007.10.07 - 
Sunbelt 2.2.907.0 2007.10.06 - 
Symantec 10 2007.10.07 - 
TheHacker 6.2.6.079 2007.10.07 - 
VBA32 3.12.2.4 2007.10.07 - 
VirusBuster 4.3.26:9 2007.10.06 - 
Webwasher-Gateway 6.0.1 2007.10.05 - 
weitere Informationen 
File size: 693661 bytes 
MD5: 135cc6da63bb7c5d19c0036363bcd1b4 
SHA1: 788d364701a710c868848d02d85edbda42e120a7
         

und

Datei akfnfoqe.ini empfangen 2007.10.07 18:54:14 (CET)

Ergebnis: 0/32 (0%)


Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.10.6.0 2007.10.05 - 
AntiVir 7.6.0.20 2007.10.05 - 
Authentium 4.93.8 2007.10.05 - 
Avast 4.7.1051.0 2007.10.06 - 
AVG 7.5.0.488 2007.10.07 - 
BitDefender 7.2 2007.10.07 - 
CAT-QuickHeal 9.00 2007.10.06 - 
ClamAV 0.91.2 2007.10.07 - 
DrWeb 4.44.0.09170 2007.10.07 - 
eSafe 7.0.15.0 2007.10.07 - 
eTrust-Vet 31.2.5190 2007.10.06 - 
Ewido 4.0 2007.10.07 - 
FileAdvisor 1 2007.10.07 - 
Fortinet 3.11.0.0 2007.10.07 - 
F-Prot 4.3.2.48 2007.10.06 - 
F-Secure 6.70.13030.0 2007.10.06 - 
Ikarus T3.1.1.12 2007.10.07 - 
Kaspersky 7.0.0.125 2007.10.07 - 
McAfee 5135 2007.10.05 - 
Microsoft 1.2908 2007.10.07 - 
NOD32v2 2576 2007.10.07 - 
Norman 5.80.02 2007.10.05 - 
Panda 9.0.0.4 2007.10.07 - 
Prevx1 V2 2007.10.07 - 
Rising 19.43.60.00 2007.10.07 - 
Sophos 4.22.0 2007.10.07 - 
Sunbelt 2.2.907.0 2007.10.06 - 
Symantec 10 2007.10.07 - 
TheHacker 6.2.6.079 2007.10.07 - 
VBA32 3.12.2.4 2007.10.07 - 
VirusBuster 4.3.26:9 2007.10.06 - 
Webwasher-Gateway 6.0.1 2007.10.05 - 
weitere Informationen 
File size: 693781 bytes 
MD5: 9c151d1ef4a01693b720788cbf2740a3 
SHA1: 9b727cb0f17234fcbfdfa3565787ca97d251101e
         

Hallo

Führe bitte im normalen Modus ein Update deines AntiVir durch.

Die Dateien sind laut google völlig unbekannt, darum würde ich sagen wechsel in den abgesicherten Modus (beim start F8 drücken) und benenne die Dateien erstmal um (hänge enfach ein ".vir" hinten dran) dann lass Antivir einen Fullscan durchführen.
Wechsel zurüch in den normalen Modus schau ob alles weiterhin einwandfrei funktioniert und berichte nochmal.

MFG

Sorry, welche Dateien meinst du genau?

Ich nahm mal an du hast die ***.ini Dateien gemeint ...

Hab alles erledigt und es sind bisher keine Auffälligkeiten im normalen Modus aufgetreten.

Antivir findet auch keinen der Trojaner mehr. Wie kann ich feststellen, ob sie nun weg sind und sich nicht nur "verstecken"?

MFG Andrea

Edit: Die umgenannten Dateien hab ich nicht wieder geändert

Moment mal, die ini-Dateien sind doch Textdateien. Wenn du sie mit dem Editor öfnest, steht dann da nur wilder Zeichenbrei oder richtiger Text bzw. irgendwelche Programmcodes?
Vllt. könntest du die ini-Dateien mal mit winrar packen und mir per Mail senden.
Wenn du schonmal dabei bist: Lad dir dieses script (Rechtsklick, speichern auf Desktop) und führ es aus. Es erzeugt eine "listing.txt" auf dem Desktop, pack diese ebenfalls und sende mir es auch per e-Mail. (listing.txt ist zu groß für einen Beitrag im Board.)

Hallo cosinus

Ich bin im moment unterwegs, werde dir am WE die Nachricht zukommen lassen.

liebe Grüße Andrea

So, hab nun auch endlich etwas Zeit wieder gefunden und kann mir nunmal dein ausführliches filelist mal anschaun.

In den ini-Dateien steht (für mich jedenfalls) irgendwelcher nicht entzifferbare Code drin. Virenscanner springen bei diesen Dateien auch nicht an.

Anhand des listing.txt konnte ich ein paar Dateien erkennen, die ich löschen würde, geh dazu so vor:

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:
2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:

files to delete:
C:\WINDOWS\system32\akfnfoqe.ini
C:\WINDOWS\system32\nscompat.tlb
C:\WINDOWS\system32\mwbefrlk.ini
C:\WINDOWS\system32\pacaprri.ini
         

3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.
4.) Danach das System unverzüglich neu starten lassen
5.) Poste ausserdem den Inhalt der C:\avenger.txt Datei.
6.) das System mit eScan (MWAV) prüfen lassen (siehe Link in meiner Signatur)

Dann ist mir noch dieser Ordner aufgefallen:

C:\WINDOWS\system32\LogFiles

Weißt du zufällig wo der her kommt und den angelegt haben könnte? Schau dort mal rein, ob sich dort nur einfache Logfiles drin befinden oder doch verdächtige Dateien.

Hallo cosinus,

*busy week* deswegen kam ich leider auch erst heute dazu...

hier die Ergebnisse der Scans bzw. von Avenger

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
Header 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~  
find.bat Version 2007.06.16.01 

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NETWORK 
    
eScan Version: 9.4.9 
Sprache: German 
Virus-Datenbank Datum: 10/20/2007  
 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
Infektionsmeldungen 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 System found infected with maxsearch Adware ({c4069e3a-68f1-403e-b40e-20066696354b})! Action taken: Keine Aktion vorgenommen. 
 System found infected with video activex access Trojan ({7e853d72-626a-48ec-a868-ba8d5e23e045})! Action taken: Keine Aktion vorgenommen. 
 System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (swsc.exe)! Action taken: Keine Aktion vorgenommen. 
 System found infected with trojan-downloader.bat.ftp.ab Trojan-Downloader (swreg.exe)! Action taken: Keine Aktion vorgenommen. 
 
 
~~~~~~~~~~~ 
Dateien 
~~~~~~~~~~~ 
~~~~ Infected files 
~~~~~~~~~~~ 
~~~~~~~~~~~ 
~~~~ Tagged files 
~~~~~~~~~~~ 
 File C:\System Volume Information\_restore{3DEA2D57-7765-4B6A-BDDE-F50A7E3CAB58}\RP88\A0016467.RBF markiert als "not-a-virus:FraudTool.Win32.RegistrySmart.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. 
 File C:\System Volume Information\_restore{3DEA2D57-7765-4B6A-BDDE-F50A7E3CAB58}\RP88\A0016517.DLL markiert als "not-a-virus:AdWare.Win32.Virtumonde.wv". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. 
 File C:\VundoFix Backups\ddcddca.dll.bad markiert als "not-a-virus:AdWare.Win32.Virtumonde.wv". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. 
~~~~~~~~~~~ 
~~~~ Offending files 
~~~~~~~~~~~ 
 Offending file found: C:\WINDOWS\system32\swsc.exe 
 Offending file found: C:\WINDOWS\system32\swreg.exe 
~~~~~~~~~~~ 
Ordner 
~~~~~~~~~~~ 
~~~~~~~~~~~ 
Registry 
~~~~~~~~~~~ 
 
 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
Diverses 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
~~~~~~~~~~~~~~~~~~~~~~ 
Prozesse und Module 
~~~~~~~~~~~~~~~~~~~~~~ 
~~~~~~~~~~~~~~~~~~~~~~ 
Scanfehler 
~~~~~~~~~~~~~~~~~~~~~~ 
 C:\Programme\Nero\Nero 7\Nero Mobile\SetupNeroMobile.exe nicht gescannt. Wahrscheinlich durch Passwort geschützt... 
~~~~~~~~~~~~~~~~~~~~~~ 
Hosts-Datei 
~~~~~~~~~~~~~~~~~~~~~~ 
DataBasePath: %SystemRoot%\System32\drivers\etc 
Zeilen die nicht dem Standard entsprechen: 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
Statistiken: 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 Gescannte Dateien: 115270 
 Gefundene Viren: 7 
 Anzahl der desinfizierten Dateien: 0 
 Umbenannte Dateien: 0 
 Anzahl der gelöschten Dateien: 0 
 Anzahl Fehler: 24 
 Dauer des Scans bisher: 00:49:58 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
Scan-Optionen 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~   
 Specherüberprüfung: Aktiviert 
 Registry Überprüfung: Aktiviert 
 System-Ordner Überprüfung: Aktiviert 
 Überprüfung der Systembereiche: Deaktiviert 
 Überprüfung der Dienste: Aktiviert 
 Überprüfung der Festplatten: Deaktiviert 
 Überprüfung aller Festplatten :Aktiviert 
 
Batchstart:  3:11:29,50 
Batchende:  3:11:33,31
         

und

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\yslelrh^

*******************

Script file located at: \??\C:\eqpaytnf.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\akfnfoqe.ini deleted successfully.
File C:\WINDOWS\system32\nscompat.tlb deleted successfully.
File C:\WINDOWS\system32\mwbefrlk.ini deleted successfully.
File C:\WINDOWS\system32\pacaprri.ini deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
         

Liebe Grüße, Andrea

Da sich leider nicht nochmal jmd gemeldet hat, hab ich die Dateien mal bei virustotal prüfen lassen.

Hier die Ergebnisse...

Datei swsc.exe empfangen 2007.10.27 18:14:24 (CET)

Ergebnis: 1/32 (3.13%)
 

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.10.27.0 2007.10.26 - 
AntiVir 7.6.0.30 2007.10.26 - 
Authentium 4.93.8 2007.10.26 - 
Avast 4.7.1074.0 2007.10.27 - 
AVG 7.5.0.503 2007.10.27 - 
BitDefender 7.2 2007.10.27 - 
CAT-QuickHeal 9.00 2007.10.26 - 
ClamAV 0.91.2 2007.10.27 - 
DrWeb 4.44.0.09170 2007.10.27 - 
eSafe 7.0.15.0 2007.10.22 - 
eTrust-Vet 31.2.5244 2007.10.26 - 
Ewido 4.0 2007.10.27 - 
FileAdvisor 1 2007.10.27 - 
Fortinet 3.11.0.0 2007.10.19 - 
F-Prot 4.3.2.48 2007.10.26 - 
F-Secure 6.70.13030.0 2007.10.26 - 
Ikarus T3.1.1.12 2007.10.27 - 
Kaspersky 7.0.0.125 2007.10.27 - 
McAfee 5150 2007.10.26 - 
Microsoft 1.2908 2007.10.27 - 
NOD32v2 2620 2007.10.27 - 
Norman 5.80.02 2007.10.26 - 
Panda 9.0.0.4 2007.10.27 - 
Prevx1 V2 2007.10.27 - 
Rising 19.46.51.00 2007.10.27 - 
Sophos 4.23.0 2007.10.27 - 
Sunbelt 2.2.907.0 2007.10.27 - 
Symantec 10 2007.10.27 - 
TheHacker 6.2.9.110 2007.10.27 - 
VBA32 3.12.2.4 2007.10.26 - 
VirusBuster 4.3.26:9 2007.10.27 - 
Webwasher-Gateway 6.6.1 2007.10.27 Virus.Win32.FileInfector.gen!90 (suspicious) 
weitere Informationen 
File size: 370688 bytes 
MD5: af52196cf5593c13f8c2f00a55fe132b 
SHA1: 8b6628f141f4cb889121d7c903c8f97b8a85fbae
         

und

Datei swreg.exe empfangen 2007.10.27 18:13:30 (CET)

Ergebnis: 1/32 (3.13%)
 

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2007.10.27.0 2007.10.26 - 
AntiVir 7.6.0.30 2007.10.26 - 
Authentium 4.93.8 2007.10.26 - 
Avast 4.7.1074.0 2007.10.27 - 
AVG 7.5.0.503 2007.10.27 - 
BitDefender 7.2 2007.10.27 - 
CAT-QuickHeal 9.00 2007.10.26 - 
ClamAV 0.91.2 2007.10.27 - 
DrWeb 4.44.0.09170 2007.10.27 - 
eSafe 7.0.15.0 2007.10.22 suspicious Trojan/Worm 
eTrust-Vet 31.2.5244 2007.10.26 - 
Ewido 4.0 2007.10.27 - 
FileAdvisor 1 2007.10.27 - 
Fortinet 3.11.0.0 2007.10.19 - 
F-Prot 4.3.2.48 2007.10.26 - 
F-Secure 6.70.13030.0 2007.10.26 - 
Ikarus T3.1.1.12 2007.10.27 - 
Kaspersky 7.0.0.125 2007.10.27 - 
McAfee 5150 2007.10.26 - 
Microsoft 1.2908 2007.10.27 - 
NOD32v2 2620 2007.10.27 - 
Norman 5.80.02 2007.10.26 - 
Panda 9.0.0.4 2007.10.27 - 
Prevx1 V2 2007.10.27 - 
Rising 19.46.51.00 2007.10.27 - 
Sophos 4.23.0 2007.10.27 - 
Sunbelt 2.2.907.0 2007.10.27 - 
Symantec 10 2007.10.27 - 
TheHacker 6.2.9.110 2007.10.27 - 
VBA32 3.12.2.4 2007.10.26 - 
VirusBuster 4.3.26:9 2007.10.27 - 
Webwasher-Gateway 6.6.1 2007.10.27 - 
weitere Informationen 
File size: 279552 bytes 
MD5: 5dbee2a187ff4ba477c1c8b08682a585 
SHA1: 5697e3c37b81f5e97da0b38227b408ee6a4112a5 
packers: UPX 
packers: UPX 
packers: UPX
         

Wie stark ist die Gefahr für mich und was kann bzw muss ich tun, um dem Trojaner auf die Spur zu kommen und ihn zu erledigen?

Liebe Grüße, Andrea

Sry, dein Posting ist bei mir irgendwie untergegegangen....

Die mwav/escan Funde unter Infektionsmeldungen lassen sich idR vernachlässigen, da das Programm sehr häufig zu Fehlalarmen neigt. Dann sind noch diese Einträge da:

File C:\System Volume Information\_restore{3DEA2D57-7765-4B6A-BDDE-F50A7E3CAB58}\RP88\A0016467.RBF markiert als "not-a-virus:FraudTool.Win32.RegistrySmart.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. 
File C:\System Volume Information\_restore{3DEA2D57-7765-4B6A-BDDE-F50A7E3CAB58}\RP88\A0016517.DLL markiert als "not-a-virus:AdWare.Win32.Virtumonde.wv". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen. 
File C:\VundoFix Backups\ddcddca.dll.bad markiert als "not-a-virus:AdWare.Win32.Virtumonde.wv". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
         

Die Einträge aus dem Ordner C:\System Volume Information bekommst du nur vernünftig und einfach über das Deaktivieren der Systemwiederherstellung weg.
Den Ordner C:\VundoFix Backups solltest du problemlos löschen können, darin verschiebt der vundofix die Schädlingsdateien, die er erkannt hat.

Die Dateien die du ausgewertet hast sind ungefährlich; sie stammen vom smitfraudfix und werden leider immer vom mwav/escan angemeckert.

Wie stark ist die Gefahr für mich und was kann bzw muss ich tun, um dem Trojaner auf die Spur zu kommen und ihn zu erledigen?

ich würde sie nach den letzten Logfiles, die ich zu Gesicht bekommen habe, als rel. gering einstufen. Ist das Problem denn bei dir mittlerweile behoben oder hakt es jetzt gar an anderen Stellen? Werbeeinblendungen noch da?

Hallo Arne...

Danke für die Rückmeldung!

Der Rechner verhält sich nicht mehr auffällig und ich hoffe, das bleibt auch dabei

Die Deaktivierung der Systemwiederherstellung werde ich noch machen.

Danke nochmal für die Geduld und Unterstützung!

Liebe Grüße und schönes We, Andrea

hallo Cosinus,

da du ja ziemlich Durchblick zu haben scheinst...könntest du mir vielleicht auch kurz mit deinem Rat zur Seite stehn?? Habe ähnliche >Problematik und bin echt am Vverzweifenl (
Habe wie es verlangt wird dazu einen eigenen threat aufgemacht:
"TR\ Vundo.gen will einfach nicht gehn!"

würd mich über ein bissl Hilfe eicht freuen....