| |
| |||||||
Log-Analyse und Auswertung: Problem mit TR/Vundo.Gen und TR/Agent323168Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
04.12.2007, 21:28
| #1 |
 |  Problem mit TR/Vundo.Gen und TR/Agent323168 Habe schon vieles probiert, was schon hier im forum steht, funktioniert aber nicht so wie ich es will hier mein hijackthis Logfile of HijackThis v1.99.1 Scan saved at 16:19:21, on 04.12.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16544) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe d:\Programme\Ahead\InCD\InCDsrv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE D:\Programme\Ahead\InCD\InCD.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe E:\Tobit ClipInc\Player\ClipIncTray.exe C:\WINDOWS\system32\ctfmon.exe D:\Programme\CPU-Control\CPU_Control.exe D:\Programme\Spybot - Search & Destroy\TeaTimer.exe D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe D:\Programme\WinTV\Ir.exe E:\Tobit ClipInc\Server\ClipInc-Server.exe C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE D:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\wuauclt.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe D:\Programme\WinRAR\WinRAR.exe C:\DOKUME~1\*\LOKALE~1\Temp\Rar$EX00.172\HijackThi s.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://w*w.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 O1 - Hosts: 85.176.228.255 l2authd.lineage2.com O1 - Hosts: 85.176.228.255 l2testauthd.lineage2.com O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {3A2224A0-B114-4491-9305-FD0E4B55FA1E} - C:\WINDOWS\system32\hggdcdb.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] d:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [ClipIncSrvTray] "E:\Tobit ClipInc\Player\ClipIncTray.exe" O4 - HKLM\..\Run: [WinCast] H:\SETUP.EXE -ldeu O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [CPU_Control] D:\Programme\CPU-Control\CPU_Control.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - Startup: AutoStart IR.lnk = D:\Programme\WinTV\Ir.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing) O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing) O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe (file missing) O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe (file missing) O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O11 - Options group: [INTERNATIONAL] International* O15 - Trusted Zone: *.amaena.com O15 - Trusted Zone: *.avsystemcare.com O15 - Trusted Zone: *.gomyhit.com O15 - Trusted Zone: *.imageservr.com O15 - Trusted Zone: *.imagesrvr.com O15 - Trusted Zone: *.onerateld.com O15 - Trusted Zone: *.trustedantivirus.com O15 - Trusted Zone: *.virusschlacht.com O15 - Trusted Zone: *.amaena.com (HKLM) O15 - Trusted Zone: *.avsystemcare.com (HKLM) O15 - Trusted Zone: *.gomyhit.com (HKLM) O15 - Trusted Zone: *.imageservr.com (HKLM) O15 - Trusted Zone: *.imagesrvr.com (HKLM) O15 - Trusted Zone: *.onerateld.com (HKLM) O15 - Trusted Zone: *.trustedantivirus.com (HKLM) O15 - Trusted Zone: *.virusschlacht.com (HKLM) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1178353327687 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{A72BEF9D-C89B-4B86-B6A4-FA720249C637}: NameServer = 217.237.151.205,217.237.150.205 O20 - Winlogon Notify: hggdcdb - C:\WINDOWS\SYSTEM32\hggdcdb.dll O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe O23 - Service: ClipInc 002 (ClipInc002) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: InCD Helper (InCDsrv) - Nero AG - d:\Programme\Ahead\InCD\InCDsrv.exe mein problem ist folgendes die warnung von antivir kommt so ca. 10 mal am tag in verschiedenen dateien des systems 32 C:\Windows\system32\gebcc.dll C:\Windows\system32\ddcca.dll C:\Windows\system32\jkklm.dll C:\Windows\system32\mllml.dll C:\Windows\system32\mlllmm.dll C:\Windows\system32\usw...... diese meldung scheint sich auf weitere verschiedene dateien zu erweitern und sozusagen zu verbreiten es sind immer wieder andere dateien betroffen vundofix sagt, dass kein bedrohtes objekt gefunden wurde CCleaner hab ich auch schon mehrmals durchlaufen lassen ich hoffe dies genügt. auch antivir hab ich schon öfter durchlaufen lassen doch er findet keine weiteren bedrohten dateien bin am verzweifeln was ich noch tun kann ich hoffe, dass es nun mit informationen genügt, trifft es nicht zu, bitte nochmal um antwort schonmal danke im voraus |
|
05.12.2007, 23:23
| #2 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Kann mir niemand helfen?
__________________also ich schilder nochmal, ccleaner schon öfters durchlaufen lassen, vundofix findet keine bedrohung, antivir auch schon öfters durchfahren lassen findet auch keine bedrohung, combofix und avenger weiß ich nicht genau wie und was ich machen muss, bei avenger weiß ich nicht welchen text ich eingeben muss. und abgesicherter modus auch keine ahnung noch nicht gemacht auch aufgrund dessen, dass die meldungen bei verschiedenen dateien erscheint |
|
07.12.2007, 17:06
| #3 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Dies ist schon mein 3. Thema zu der sacht, habe 2 mal eine nachricht wegen verstoß von einer regel bekommen und nun will bzw. kann mir niemand helfen?
__________________hab mich extra aufgrund des fehlers hier angemeldet und bekomme keine hilfe.... naja ich hab nichts mehr zu sagen, andere bekommen 10 minuten nach ihrem post eine antwort und ich bekomme nach 4 tagen nichtmal eine.... starkes stück danke für diese hilfe, bin etwas enttäuscht  |
|
08.12.2007, 20:16
| #4 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 immernoch neimend der mir helfen kann? |
|
09.12.2007, 00:22
| #5 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Gut also mein letzter versuch hier, bin enttäuscht, seht dies ihm wurde schon nach 9 minuten geholfen ich habe nach 5 tagen nicht nichts an hilfe bekommen, und bei dem link ist nicht einmal so eine fehlerbeschreibung wie bei mir vorhanden, ich verstehe es nicht... weiß nochts mehr dazu zusagen HTML-Code: http://www.trojaner-board.de/46754-hier-meine-hjt-log-ich-befuerchte-ein-trojaner-zu-haben.html Geändert von FrAsE (09.12.2007 um 00:42 Uhr) |
|
09.12.2007, 07:15
| #6 | ||
  | Problem mit TR/Vundo.Gen und TR/Agent323168 Hallo mach bitte alle versteckten Dateien und Ordner sichtbar. Dann deaktiviere bitte den Teatimer von Spybot S&D wie folgt : Zitat:
-Lade dir das Tool hier herunter -> KLICK -Starte nun die combofix.exe, bestätige mit (Y)es, lass die Bereinigung durchlaufen und kopiere nun den Text ab, und füge ihn in deinen Beitrag im Board ein! Räumen wir erstmal ein wenig auf  Starte HijackThis mit der Option - do a system scan only - und hake diese Einträge an (wenn noch vorhanden) Zitat:
Anleitung Avenger: 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein: Code:
ATTFilter Files to delete:
C:\WINDOWS\system32\hggdcdb.dll
 4.) Danach das System unverzüglich neu starten lassen 5.) Lass HijackThis nochmal laufen, benenne aber vorher die Hijackthis.exe um in z.B. ABC.exe poste dann ein neues Logfile. Poste ausserdem den Inhalt der C:\avenger.txt Datei. MFG Geändert von nochdigger (09.12.2007 um 07:32 Uhr) |
|
09.12.2007, 23:04
| #7 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 hier mein combofix log ComboFix 07-11-19.4C - Administrator 2007-12-09 22:58:25.3 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1574 [GMT 1:00] ausgeführt von:: C:\Dokumente und Einstellungen\Administrator\Desktop\ComboFix.exe . ((((((((((((((((((((((( Dateien erstellt von 2007-11-09 bis 2007-12-09 )))))))))))))))))))))))))))))) . 2007-12-03 18:51 <DIR> d-------- C:\Programme\vtplus 2007-12-03 18:51 69,632 --a------ C:\WINDOWS\system32\hcwChan.deu 2007-12-03 18:47 140,440 --a------ C:\WINDOWS\system32\drivers\HCW848NT.sys 2007-12-03 18:47 118,784 --a------ C:\WINDOWS\system32\O100vc.dll 2007-12-03 18:47 40,960 --a------ C:\WINDOWS\system32\o100ext.dll 2007-12-03 18:47 28,672 --a------ C:\WINDOWS\system32\BT848WST.dll 2007-11-27 15:26 <DIR> d-------- C:\VundoFix Backups 2007-11-23 15:22 37,376 --a------ C:\WINDOWS\system32\nnnolii.dll 2007-11-23 15:16 37,376 --a------ C:\WINDOWS\system32\nnnopqn.dll 2007-11-23 15:15 37,376 --a------ C:\WINDOWS\system32\hggdcdb.dll . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2007-11-27 14:10 --------- d-----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment 2007-11-23 15:07 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\teamspeak2 2007-11-23 14:21 37,376 ----a-w C:\WINDOWS\system32\wvustuv.dll 2007-11-23 14:21 37,376 ----a-w C:\WINDOWS\system32\fccdbbb.dll 2007-11-07 17:48 --------- d-----w C:\Programme\ICQToolbar 2007-11-07 17:45 --------- d-----w C:\Programme\SlySoft 2007-11-07 17:23 --------- d--h--r C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\SecuROM 2007-11-02 12:15 278,728 ----a-w C:\WINDOWS\system32\drivers\atksgt.sys 2007-11-02 12:15 25,416 ----a-w C:\WINDOWS\system32\drivers\lirsgt.sys 2007-10-30 11:47 --------- d-----w C:\Programme\Gemeinsame Dateien\xing shared 2007-10-30 11:47 --------- d-----w C:\Programme\Gemeinsame Dateien\Real 2007-10-29 21:39 --------- d-----w C:\Programme\Gemeinsame Dateien\Tobit 2007-10-29 21:39 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Tobit 2007-10-28 08:17 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ICQ Toolbar 2007-10-28 07:18 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ICQ 2007-10-28 07:15 --------- d--h--w C:\Programme\InstallShield Installation Information 2007-10-28 07:12 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\InstallShield 2007-10-26 12:30 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FlashFXP 2007-10-25 10:11 1,549,576 ----a-w C:\WINDOWS\CISUnins.exe 2007-10-25 10:11 1,549,576 ----a-w C:\WINDOWS\CICUnins.exe 2007-10-23 11:30 11,973 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys 2007-10-19 23:17 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Xfire 2007-10-11 12:33 33,792 ----a-w C:\WINDOWS\system32\drivers\maplom.sys . ((((((((((((((((((((((((((((( snapshot@2007-11-30_16.47.22,67 ))))))))))))))))))))))))))))))))))))))))) . + 2000-06-29 11:33:42 16,384 ----a-w C:\WINDOWS\system32\Bt848_32.dll + 2000-06-09 16:11:12 28,672 ----a-w C:\WINDOWS\system32\BTGPIO32.dll - 2007-03-15 16:16:40 236,928 -c----w C:\WINDOWS\system32\dllcache\WgaLogon.dll + 2007-04-10 13:04:14 236,928 -c----w C:\WINDOWS\system32\dllcache\WgaLogon.dll - 2007-03-15 16:17:30 337,280 -c----w C:\WINDOWS\system32\dllcache\WgaTray.exe + 2007-04-10 13:01:46 337,280 -c----w C:\WINDOWS\system32\dllcache\WgaTray.exe + 2000-06-09 16:32:30 102,038 ----a-w C:\WINDOWS\system32\HCW848UN.EXE + 2001-06-01 17:14:06 113,664 ----a-w C:\WINDOWS\system32\hcwAud32.dll + 2001-04-05 23:21:50 135,168 ----a-w C:\WINDOWS\system32\hcwAV.dll + 2000-05-23 16:19:38 184,832 ----a-w C:\WINDOWS\system32\hcwChan.dll + 2000-06-09 17:09:06 32,768 ----a-w C:\WINDOWS\system32\hcwhook.dll + 2000-06-09 16:18:30 45,056 ----a-w C:\WINDOWS\system32\hcwi2c32.dll + 2001-05-08 09:47:04 155,648 ----a-w C:\WINDOWS\system32\hcwpnp32.dll + 2000-06-09 16:19:04 36,864 ----a-w C:\WINDOWS\system32\hcwps32.dll + 2001-07-19 13:44:06 393,216 ----a-r C:\WINDOWS\system32\HCWsnbd9.dll + 2001-07-17 12:49:28 48,128 ----a-w C:\WINDOWS\system32\hcwtuner.dll + 2001-03-29 22:23:34 89,600 ----a-w C:\WINDOWS\system32\hcwTVDlg.dll + 2001-07-24 14:35:04 96,768 ----a-w C:\WINDOWS\system32\hcwTVWnd.dll + 2001-02-15 15:25:22 36,864 ----a-w C:\WINDOWS\system32\Hcwutl32.dll - 2007-03-15 16:19:28 1,476,992 ----a-w C:\WINDOWS\system32\LegitCheckControl.dll + 2007-04-10 13:02:50 1,476,992 ----a-w C:\WINDOWS\system32\LegitCheckControl.dll - 2006-09-25 15:58:48 14,640 ------w C:\WINDOWS\system32\spmsg.dll + 2006-12-10 13:10:02 16,176 ------w C:\WINDOWS\system32\spmsg.dll - 2007-03-15 16:16:40 236,928 ------w C:\WINDOWS\system32\WgaLogon.dll + 2007-04-10 13:04:14 236,928 ----a-w C:\WINDOWS\system32\WgaLogon.dll - 2007-03-15 16:17:30 337,280 ------w C:\WINDOWS\system32\WgaTray.exe + 2007-04-10 13:01:46 337,280 ------w C:\WINDOWS\system32\WgaTray.exe . (((((((((((((((((((((((((((( Autostart Punkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt. [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{3A2224A0-B114-4491-9305-FD0E4B55FA1E}] 2007-11-23 15:15 37376 --a------ C:\WINDOWS\system32\hggdcdb.dll [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-03 23:57] "CPU_Control"="D:\Programme\CPU-Control\CPU_Control.exe" [2007-04-22 21:26] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "RTHDCPL"="RTHDCPL.EXE" [2006-07-26 00:03 C:\WINDOWS\RTHDCPL.exe] "SkyTel"="SkyTel.EXE" [2006-07-26 00:03 C:\WINDOWS\SkyTel.exe] "NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 09:50] "InCD"="d:\Programme\Ahead\InCD\InCD.exe" [2005-07-25 11:01] "TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2007-10-30 12:47] "avgnt"="D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2007-10-11 21:48] "ClipIncSrvTray"="E:\Tobit ClipInc\Player\ClipIncTray.exe" [2007-10-24 16:05] "WinCast"="H:\SETUP.exe" [] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 23:57] [hklm\software\microsoft\windows\currentversion\explorer\shellexecutehooks] "{3A2224A0-B114-4491-9305-FD0E4B55FA1E}"= C:\WINDOWS\system32\hggdcdb.dll [2007-11-23 15:15 37376] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\hggdcdb] hggdcdb.dll 2007-11-23 15:15 37376 C:\WINDOWS\system32\hggdcdb.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ClipIncSrvTray] 2007-10-24 16:05 425984 --a------ E:\Tobit ClipInc\Player\ClipIncTray.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033] D:\Programme\D-Tools\daemon.exe -lang 1033 [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ] D:\Programme\ICQ6\ICQ.exe silent R2 ClipInc002;ClipInc 002;E:\Tobit ClipInc\Server\ClipInc-Server.exe 002 R2 ClipInc003;ClipInc 003;E:\Tobit ClipInc\Server\ClipInc-Server.exe 003 R3 HCW848NT;Hauppauge Win/TV;C:\WINDOWS\system32\DRIVERS\hcw848nt.sys S2 ClipInc001;ClipInc 001;E:\Tobit ClipInc\Server\ClipInc-Server.exe 001 S3 Maplom;Maplom;C:\WINDOWS\system32\drivers\Maplom.sys . ************************************************************************** catchme 0.3.1262 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-12-09 22:59:24 Windows 5.1.2600 Service Pack 2 NTFS Scanne versteckte Prozesse... Scanne versteckte Autostart Einträge... Scanne versteckte Dateien... Scan erfolgreich abgeschlossen versteckte Dateien: 0 ************************************************************************** . Zeit der Fertigstellung: 2007-12-09 22:59:53 C:\ComboFix2.txt ... 2007-12-09 22:46 C:\ComboFix3.txt ... 2007-11-30 16:47 . --- E O F --- Hier avenger log ////////////////////////////////////////// Avenger Pre-Processor log ////////////////////////////////////////// Error: selected file does not appear to be a valid script. Error code: 0 und zu guter letzt HijackThis nochmal Logfile of HijackThis v1.99.1 Scan saved at 23:03:37, on 09.12.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16544) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe d:\Programme\Ahead\InCD\InCDsrv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\RTHDCPL.EXE D:\Programme\Ahead\InCD\InCD.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe E:\Tobit ClipInc\Player\ClipIncTray.exe C:\WINDOWS\system32\ctfmon.exe D:\Programme\CPU-Control\CPU_Control.exe D:\Programme\WinTV\Ir.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe E:\Tobit ClipInc\Server\ClipInc-Server.exe E:\Tobit ClipInc\Server\ClipInc-Server.exe C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE D:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\explorer.exe C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Rar$EX00.438\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {3A2224A0-B114-4491-9305-FD0E4B55FA1E} - C:\WINDOWS\system32\hggdcdb.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] d:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [ClipIncSrvTray] "E:\Tobit ClipInc\Player\ClipIncTray.exe" O4 - HKLM\..\Run: [WinCast] H:\SETUP.EXE -ldeu O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [CPU_Control] D:\Programme\CPU-Control\CPU_Control.exe O4 - Startup: AutoStart IR.lnk = D:\Programme\WinTV\Ir.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O11 - Options group: [INTERNATIONAL] International* O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1178353327687 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{A72BEF9D-C89B-4B86-B6A4-FA720249C637}: NameServer = 217.237.151.205,217.237.150.205 O20 - Winlogon Notify: hggdcdb - C:\WINDOWS\SYSTEM32\hggdcdb.dll O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe O23 - Service: ClipInc 002 (ClipInc002) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe O23 - Service: ClipInc 003 (ClipInc003) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: InCD Helper (InCDsrv) - Nero AG - d:\Programme\Ahead\InCD\InCDsrv.exe danke für hilfe  |
|
09.12.2007, 23:25
| #8 | |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Hallo lass bitte mal diese Dateien Zitat:
hier VirSCAN.org - The Multi-Engine Virus Scanner v1.00 Beta,Support 36 AntiVirus Engine, Last Update(071109) oder hier Jotti überprüfen (kann einige Minuten dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, bitte auch wenn nichts gefunden wurde. MFG |
|
09.12.2007, 23:37
| #9 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 wow sehr schnelle antwort^^ ok wird getan ich hoffe dies genügt hier Überprüfung von C:\WINDOWS\CISUnins.exe Datei CISUnins.exe empfangen 2007.12.09 23:26:45 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 1/32 (3.13%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: 3. Geschätzte Startzeit is zwischen 44 und 63 Sekunden. Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Filter Drucken der Ergebnisse Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.12.8.0 2007.12.07 - AntiVir 7.6.0.40 2007.12.07 - Authentium 4.93.8 2007.12.08 - Avast 4.7.1098.0 2007.12.09 - AVG 7.5.0.503 2007.12.09 - BitDefender 7.2 2007.12.09 - CAT-QuickHeal 9.00 2007.12.08 - ClamAV 0.91.2 2007.12.09 - DrWeb 4.44.0.09170 2007.12.09 - eSafe 7.0.15.0 2007.12.09 - eTrust-Vet 31.3.5361 2007.12.08 - Ewido 4.0 2007.12.09 - FileAdvisor 1 2007.12.09 - Fortinet 3.14.0.0 2007.12.09 - F-Prot 4.4.2.54 2007.12.08 - F-Secure 6.70.13030.0 2007.12.09 - Ikarus T3.1.1.12 2007.12.09 - Kaspersky 7.0.0.125 2007.12.09 - McAfee 5181 2007.12.08 - Microsoft 1.3007 2007.12.09 - NOD32v2 2712 2007.12.09 - Norman 5.80.02 2007.12.07 - Panda 9.0.0.4 2007.12.09 - Prevx1 V2 2007.12.09 Heuristic: Suspicious File With Outbound Communications Rising 20.21.42.00 2007.12.07 - Sophos 4.24.0 2007.12.09 - Sunbelt 2.2.907.0 2007.12.07 - Symantec 10 2007.12.09 - TheHacker 6.2.9.154 2007.12.09 - VBA32 3.12.2.5 2007.12.07 - VirusBuster 4.3.26:9 2007.12.09 - Webwasher-Gateway 6.6.2 2007.12.08 - weitere Informationen File size: 1549576 bytes MD5: 4fa0e60f772b6754f995b9b38cb1f449 SHA1: a058f7db19e69c02cc1f7dcca647fc157d6671a8 PEiD: - Prevx info: Prevx Information und überprüfung von C:\WINDOWS\system32\drivers\maplom.sys Datei maplom.sys empfangen 2007.12.09 23:28:41 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 1/31 (3.23%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: 2. Geschätzte Startzeit is zwischen 41 und 59 Sekunden. Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Filter Drucken der Ergebnisse Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.12.8.0 2007.12.07 - AntiVir 7.6.0.40 2007.12.07 - Authentium 4.93.8 2007.12.08 - Avast 4.7.1098.0 2007.12.09 - AVG 7.5.0.503 2007.12.09 - BitDefender 7.2 2007.12.09 - CAT-QuickHeal 9.00 2007.12.08 - ClamAV 0.91.2 2007.12.09 - DrWeb 4.44.0.09170 2007.12.09 - eSafe 7.0.15.0 2007.12.09 - eTrust-Vet 31.3.5361 2007.12.08 - Ewido 4.0 2007.12.09 - FileAdvisor 1 2007.12.09 - Fortinet 3.14.0.0 2007.12.09 - F-Prot 4.4.2.54 2007.12.08 - Ikarus T3.1.1.12 2007.12.09 - Kaspersky 7.0.0.125 2007.12.09 - McAfee 5181 2007.12.08 - Microsoft 1.3007 2007.12.09 - NOD32v2 2712 2007.12.09 - Norman 5.80.02 2007.12.07 - Panda 9.0.0.4 2007.12.09 - Prevx1 V2 2007.12.09 Heuristic: Suspicious Self Modifying File Rising 20.21.42.00 2007.12.07 - Sophos 4.24.0 2007.12.09 - Sunbelt 2.2.907.0 2007.12.07 - Symantec 10 2007.12.09 - TheHacker 6.2.9.154 2007.12.09 - VBA32 3.12.2.5 2007.12.07 - VirusBuster 4.3.26:9 2007.12.09 - Webwasher-Gateway 6.6.2 2007.12.08 - weitere Informationen File size: 33792 bytes MD5: d9f5ce33ed6d2b0fba1e1756c7dcecd5 SHA1: 9a4fa238c21e5ecf656be2a06e3fc94f831f31cf PEiD: - Prevx info: MAPLOM.SYS, Prevx |
|
10.12.2007, 22:58
| #10 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 ist noch nicht verschwunden, Nachrichten von antivir von dem trojaner kommen immernoch |
|
11.12.2007, 05:52
| #11 | |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Hallo Zitat:
, starte bitte HijackThis --> wähle "Open the Misc Tools section" --> "Misc Tools" anwählen --> Delete a file on reboot --> wähle die zu löschende Datei --> die Frage zum Neustart mit "Nein" beantworten --> die Frage des Neustarts erst mit "Ja" beantworten wenn alle Dateien ausgewählt wurden. Wähle folgende Datei(en) : C:\WINDOWS\system32\hggdcdb.dll beende HijackThis und starte den Rechner neu. MFG |
|
11.12.2007, 13:25
| #12 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 okay es wurde alles erledigt, was passiert denn jetzt weiter? war es das schon? also quarantäne hat sich von antivir leicht verändert (der meldungstext) dort steht: Ist das Trojanische Pferd TR/Agent.323168 Ist das Trojanische Pferd TR/Vundo.Gen Enthält verdächtigen Code HEUR/Malware Enthält verdächtigen Code GEN/PwdZIP alles öfter als einmal das mit "Enthält verdächtigen Code" ist neu war vorher nicht da ich habe von einem anderen forum erfahren, ich solle mein system formatieren, anders würde ich es nicht hinbekommen soll ich euch den link zukommen lassen, damit ihr euch deren meinung anschaut? Geändert von FrAsE (11.12.2007 um 13:55 Uhr) |
|
11.12.2007, 16:35
| #13 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 es kommen immernoch nachrichten von antivir. über diese heur/malware |
|
11.12.2007, 18:16
| #14 | |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 Hallo Zitat:
Ok wenn die Datei gelöscht werden konnte liegt sie jetzt im Ordner...? äh du hast HijackThis aus dem Entpackprogramm heraus laufen lassen und nun ist eine Auswertung der Datei eigentlich unmöglich. Lege bitte einen Ordner an C:\Hijackthis und entpacke das Programm dort hinein, anschließend benenne die Hijackthis.exe um in z.B. ABC.exe und erstelle ein neues HijackThis Log. Lass eScan dein System überprüfen und poste das Ergebnis mittels der Find.bat (rechtsklick -> ziel speichern unter). MFG |
|
11.12.2007, 21:05
| #15 |
| | Problem mit TR/Vundo.Gen und TR/Agent323168 oha soll ich die jetzigen quarantäne pfade schreiben........ eig. wären dass noch viel mehr verschiedene aber ok bisher HEUR/Malware C:\WINDOWS\system32\mllml.dll C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XYB...\css4[1] C:\WINDOWS\system32\jkklj.dll C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\IW...\css4[2] TR/Vundo.Gen C:\WINDOWS\system32\vtsqn.dll C:\WINDOWS\system32\jkhfd.dll C:\WINDOWS\system32\jkhhe.dll C:\WINDOWS\system32\mllmm.dll C:\WINDOWS\system32\mllml.dll C:\WINDOWS\system32\gebcc.dll C:\WINDOWS\system32\jkklm.dll C:\WINDOWS\system32\ddcca.dll C:\WINDOWS\system32\ssqrp.dll C:\System Volume Information\_restore}{69E1A27B-D044-4D2BBC54-B241231A0C36}\RP128\A0025720.dll Enthält verdächtigen Code GEN/PwdZIP C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\Yazzle.zip Aber die Nachrichten die kommen, enthalten immer andere Dateien, also ob sich der Trojaner ausbreiten würde auf weitere dateien |
|
| Themen zu Problem mit TR/Vundo.Gen und TR/Agent323168 |
| adobe, antivir, avira, bho, excel, explorer, firefox, google, hijack, immer wieder, internet, internet explorer, microsoft, mozilla, mozilla firefox, object, pdf, problem, programme, server, shockwave, software, system, temp, tr/vundo.gen, warnung, windows, windows xp |
