Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Vundo-Befall evtl. schon selbst bereinigt?

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 11.02.2008, 17:53   #1
AndyW
 
Vundo-Befall evtl. schon selbst bereinigt? - Standard

Vundo-Befall evtl. schon selbst bereinigt?



Hallo ihr tüchtigen Helfer!

Nachdem ich es eigentlich besser wissen sollte, habe ich eine aus nicht sicherer Quelle stammende exe ausgeführt :aplaus:.
Daraufhin verschwand die Datei selbst, es wurden die beiden gefälschten Microsoft-Links auf dem Desktop erstellt, C:\ und "Eigene Dateien" wurden mit tmp-Dateien überhäuft, es entstanden auffällige, schreibgeschützte dlls im Systemordner und gefälschte Fehlermeldungen erschienen.
Außerdem war die Systemperformance völlig am Hund und einige bekannte Prozesse liefen ständig bei 20-30% Last.

Nachdem ich im Internet gesucht und (vorbildlich ) mehrere Threads in diesem super Forum studiert habe (bin wirklich begeistert von der Leistung hier), legte ich erstmal selbst Hand an.

Hier mal stichpunktartig das Geschehen:

1.- zum Zeitpunkt des Befalls hatte ich Ashampoo AntiVirus installiert (aus mehreren Gründen sehr enttäuscht und wieder zu Avira gewechselt)
2.- tmp-Dateien und gefälschte Desktop-Links manuell gelöscht
3.- Systemscan mit Ashampoo AV mit mäßigem Erfolg
4.- Spybot und Ad-Aware laufen und fixen lassen
5.- Säuberung mit VundoFix v6.7.8 (ca. 10 Dateien entfernt, urqqpoo.dll erst nach zweitem Neustart)
6.- System vermeintlich sauber, doch dann hat sich Vundo sofort wieder komplett reproduziert
7.- Ashampoo durch Avira AntiVir ersetzt, anschließend kompletter Systemscan mit sehr vielen Funden
8.- Registry- und Datei-Säuberung mit CCleaner
9.- Säuberung mit VundoFix v6.7.8 (ca. 10 Dateien entfernt, urqqpoo.dll wieder erst nach zweitem Neustart)
10.- Rundll-Meldung "Fehler beim Laden von C:\Windows\System32\pvldhpst.dll"
11.- Registry- und Datei-Säuberung mit CCleaner
12.- seitdem habe ich Ruhe, zumindest aus meiner Sicht

Da Eure oft empfohlene Verwendung von Avenger und/oder ComboFix imho immer spezifisch abläuft, wäre ich Euch dankbar, wenn Ihr bitte mal mein HJT-Log anschauen könntet, ob da noch was zu machen ist.

Ich werde Windows neu installieren, doch ist es wirklich so, dass auch von anderen Partitionen (z.B. Eigene Dateien) noch eine Gefahr ausgeht?
Könnten eigentlich auch Keylogger Bestandteil solcher Trojaner sein?

Vielen Dank im Voraus!!!

Andy

Alt 11.02.2008, 17:54   #2
AndyW
 
Vundo-Befall evtl. schon selbst bereinigt? - Standard

Vundo-Befall evtl. schon selbst bereinigt?



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:47:42, on 11.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\nVidia\nTune\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programme\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
C:\WINDOWS\CTHELPER.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\Rundll32.exe
D:\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\DrvMon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avnotify.exe
C:\WINDOWS\system32\rundll32.exe
D:\Mozilla Firefox\firefox.exe
D:\HJT\Franz.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.nefkom.info/StillAnotherPlace/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {350EB50C-9753-41CE-A57E-0721234425A1} - (no file)
O2 - BHO: {77ea91e9-447b-0de9-dff4-29281e9dae55} - {55ead9e1-8292-4ffd-9ed0-b7449e19ae77} - (no file)
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)
O2 - BHO: (no name) - {9A123C16-4EA6-4DFE-955B-D3E93452D612} - (no file)
O2 - BHO: (no name) - {9C571119-5B1D-4D1E-A7E7-7D7549E9E0A4} - (no file)
O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController
O4 - HKLM\..\Run: [USBToolTip] "C:\Programme\Pinnacle\Shared Files\\Programs\USBTip\USBTip.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [amd_dc_opt] "D:\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CTSysVol] D:\Creative\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "D:\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [IncrediMail] D:\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DrvMon.exe] C:\WINDOWS\system32\DrvMon.exe
O4 - HKCU\..\Run: [NVIDIA nTune] "D:\nVidia\nTune\nTune\nTuneCmd.exe" clear
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'Default user')
O4 - Startup: NaturalColorLoad.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = D:\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - h**p://www.creative.com/su/ocx/15026/CTSUEng.cab
O16 - DPF: {2AF5BD25-90C5-4EEC-88C5-B44DC2905D8B} (Steuerung des DownloadManager ) - h**p://dlmanager.akamaitools.com.edgesuite.net/dlmanager/versions/activex/dlm-activex-2.0.5.1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1179417989937
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - h**p://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - h**p://www.creative.com/su2/CTL_V02002/ocx/15031/CTPID.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - D:\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NMIndexingService - Unknown owner - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe (file missing)
O23 - Service: nTune Service (nTuneService) - NVIDIA - D:\nVidia\nTune\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 7352 bytes
__________________


Alt 11.02.2008, 18:19   #3
undoreal
/// AVZ-Toolkit Guru
 
Vundo-Befall evtl. schon selbst bereinigt? - Standard

Vundo-Befall evtl. schon selbst bereinigt?



Halli hallo Andy.

Schön, dass du die Boardregeln so vorbildlich befolgst und dir selber viel Mühe gibst!

Fixe bitte mit HijackThis alle .....(no file) und ....(file missing) Einträge.

Danach führe dises Tool im abgesicherten Modus aus und poste anschließen das log.

Wenn der auch nichts findet sollte es das gewesen sein...

Wenn du ganz sicher gehen möchtest könntest du nochmal combofix laufen lassen.. das ist aber mit einem gewissen Risiko behaftet. Musst du selbst entscheiden..

Das ein Keylogger oder sonstiges mitgeladen wurde ist eher unwahrscheinlich.
__________________
__________________

Antwort

Themen zu Vundo-Befall evtl. schon selbst bereinigt?
ad-aware, antivirus, avira, avira antivir, c:\windows, combofix, datei, dateien, desktop, dll-meldung, erstellt, exe, fehlermeldungen, forum, hjt-log, internet, keylogger, laden, mehrere, neustart, prozesse, sicherer, spybot, super, system32, trojaner, vundofix, windows



Ähnliche Themen: Vundo-Befall evtl. schon selbst bereinigt?


  1. Windows 7, Evtl. Malware-Befall, FileOpenerSetup.exe
    Plagegeister aller Art und deren Bekämpfung - 23.01.2015 (23)
  2. Windows 7: Evtl. TR/Injector.fxq.2 Befall
    Log-Analyse und Auswertung - 23.10.2014 (2)
  3. HEUR:Exploit.Script.Generic durch Kaspersky entdeckt - ist der Befall wirklich bereinigt?
    Log-Analyse und Auswertung - 07.09.2014 (3)
  4. PC kürzlich bereinigt und schon wieder Malware
    Plagegeister aller Art und deren Bekämpfung - 31.03.2014 (7)
  5. Malwarebytes zeigt Pup.dealio.tb... evtl. auch anderer Befall?
    Plagegeister aller Art und deren Bekämpfung - 01.07.2013 (9)
  6. System blockiert durch GVU-Trojaner, Windows 7, schon viel selbst versucht
    Plagegeister aller Art und deren Bekämpfung - 26.03.2013 (6)
  7. evtl. virus befall?
    Plagegeister aller Art und deren Bekämpfung - 28.09.2011 (14)
  8. Evtl Trojaner Befall / Rootkit / a1vcwtl4.exe
    Log-Analyse und Auswertung - 09.01.2011 (2)
  9. Trojaner Vundo.Gen und evtl. Gozi auf rechner - Was Tun?
    Log-Analyse und Auswertung - 27.11.2010 (4)
  10. pc läuft nicht mehr richtig, friert ein, booted auch schon mal selbst .logfile
    Log-Analyse und Auswertung - 14.05.2010 (35)
  11. Befall von TR/VUNDO.HJ
    Plagegeister aller Art und deren Bekämpfung - 06.06.2008 (3)
  12. TR/Vundo.gen Befall
    Plagegeister aller Art und deren Bekämpfung - 29.05.2008 (6)
  13. Trojaner (evtl w32.agent) befall auf Vista
    Log-Analyse und Auswertung - 20.02.2008 (5)
  14. TR/Vundo.Gen Befall
    Plagegeister aller Art und deren Bekämpfung - 27.11.2007 (28)
  15. TR/Vundo.Gen-Befall...schon wieder einer!
    Mülltonne - 22.11.2007 (0)
  16. Befall von TR Vundo.Gen
    Plagegeister aller Art und deren Bekämpfung - 06.05.2007 (9)
  17. Evtl. Bifrose Befall
    Log-Analyse und Auswertung - 22.04.2007 (11)

Zum Thema Vundo-Befall evtl. schon selbst bereinigt? - Hallo ihr tüchtigen Helfer! Nachdem ich es eigentlich besser wissen sollte, habe ich eine aus nicht sicherer Quelle stammende exe ausgeführt :aplaus:. Daraufhin verschwand die Datei selbst, es wurden die - Vundo-Befall evtl. schon selbst bereinigt?...
Archiv
Du betrachtest: Vundo-Befall evtl. schon selbst bereinigt? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.