| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Cryp_Upack - erkannt aber nicht löschbarWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
05.08.2008, 07:44
| #1 | ||
| |  Cryp_Upack - erkannt aber nicht löschbar Hallo, ich habe seit gestern einen "Virus" auf meinem Rechner den ich nicht weg bekomme. Hab schon mit meinem "Standart" Antivieren Programm (Trend Micro OfficeScan) alles was möglich ist versucht ohne erfolg. Bemerkbar macht sich der "Virus" duch ein Rotes "x" In der Systemleiste neben der Uhr. Alle paar sekunden Zeigt dieses ein Popup mit dem Inhalt: Zitat:
Anhand der Logfileauswertung von "http://www.hijackthis.de" habe ich auch schon HijackThis arbeiten lassen aber dies bewirkte keinerlei Änderung. Außerdem habe ich bereits anhand von ähnlichen Beiträgen versucht mit Ad-Aware das Problem in den Griff zubekommen aber leider auch hier keine Auswirkungen. SpyBot - S&D lässt sich nicht starten. Hier mal mein Logfile von HijackThis: Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 08:23:25, on 05.08.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe C:\Programme\Trend Micro\OfficeScan Client\OfcPfwSvc.exe C:\WINDOWS\TEMP\NF5E27.EXE C:\WINDOWS\Explorer.EXE C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\Microsoft IntelliPoint\ipoint.exe C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe C:\Programme\Microsoft IntelliType Pro\itype.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Microsoft IntelliPoint\dpupdchk.exe C:\Dokumente und Einstellungen\*...*\Desktop\lol.com |
|
05.08.2008, 08:41
| #2 | |
  |  Cryp_Upack - erkannt aber nicht löschbar Hi,
__________________Bitte folgende Files prüfen: Zitat:
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen Poste die Ergebnisse mit Filename! Achtung: Alle Programme zuerst runterladen, MAM installieren & updaten, dann offline gehen und das nachfolgende Abarbeiten (sonst laden sich die Viecher nach), eventuell Anweisung ausdrucken! Avenger, combofix und MAM downloaden...! Also: Anleitung Avenger (by swandog46) 1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:  2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here") Code:
ATTFilter
registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqrjbqga
Registry values to replace with dummy:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs
Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|BM0b06cab7
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|0835f92b
Files to delete:
C:\WINDOWS\system32\drivers\services.exe
C:\WINDOWS\SYSTEM32\rqRJBQGA.dll
C:\WINDOWS\system32\egoajwds.dll
C:\WINDOWS\system32\xmvlki.dll
C:\WINDOWS\system32\rqRJBQGA.dll
C:\WINDOWS\system32\rqRICRiF.dll
3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet. 4.) Um den Avenger zu starten klicke auf -> Execute Dann bestätigen mit "Yes" das der Rechner neu startet! 5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board. Hijackthis, fixen: öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten Beim fixen müssen alle Programme geschlossen sein! Code:
ATTFilter O23 - Service: Taskplaner (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\services.exe (file missing)
O20 - AppInit_DLLs: karina.dat
O20 - Winlogon Notify: rqrjbqga - C:\WINDOWS\SYSTEM32\rqRJBQGA.dll
O4 - HKLM\..\Run: [BM0b06cab7] Rundll32.exe "C:\WINDOWS\system32\vkhsjhnt.dll",s
O4 - HKLM\..\Run: [0835f92b] rundll32.exe "C:\WINDOWS\system32\egoajwds.dll",b
O2 - BHO: {93d2afef-a5e4-f0eb-3d44-895f1b419091} - {190914b1-f598-44d3-be0f-4e5afefa2d39} - C:\WINDOWS\system32\xmvlki.dll
O2 - BHO: (no name) - {a23ca8a9-47d8-4db1-ae46-0aa018cc576e} - C:\WINDOWS\system32\rqRJBQGA.dll
O2 - BHO: (no name) - {fae1b125-656c-40ce-b4f4-b1eb001cf854} - C:\WINDOWS\system32\rqRICRiF.dll
C:\Dokumente und Einstellungen\*...*\Desktop\lol.com
Combofix Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen. Weitere Anleitung unter:http://www.bleepingcomputer.com/combofix/de/wie-combofix-benutzt-wird MAM Anleitung hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html Nutze aber bitte diesen Downloadlink http://filepony.de/download-malwarebytes_anti_malware/. Poste die Logs und ein neues HJ-Log; Chris
__________________ Geändert von Chris4You (05.08.2008 um 08:55 Uhr) |
|
05.08.2008, 09:42
| #3 | |||
| | Cryp_Upack - erkannt aber nicht löschbar Danke für die schnelle Antwort hier ersteinmal die Analysen der Dateien
__________________Zitat:
 Sobald ich alles habe schreib ich die logs --- Zitat:
kein symbol mehr! Code:
ATTFilter ComboFix 08-08-04.01 - sebastian.groemcke 2008-08-05 11:13:59.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.2549 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Desktop\ooo.exe
* Neuer Wiederherstellungspunkt wurde erstellt
Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.
(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\WINDOWS\system32\dllcache\beep.sys
C:\WINDOWS\system32\drivers\beep.sys
C:\Dokumente und Einstellungen\admin\Startmenü\Programme\Autostart\userinit.exe
C:\Dokumente und Einstellungen\admin\svchost.exe
C:\Dokumente und Einstellungen\LocalService\svchost.exe
C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Antivirus 2009.lnk
C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\svchost.exe
C:\WINDOWS\BM0b06cab7.txt
C:\WINDOWS\BM0b06cab7.xml
C:\WINDOWS\buritos.exe
C:\WINDOWS\cookies.ini
C:\WINDOWS\karina.dat
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\5.tmp
C:\WINDOWS\system32\6.tmp
C:\WINDOWS\system32\7.tmp
C:\WINDOWS\system32\awtTliFY.dll
C:\WINDOWS\system32\braviax.exe
C:\WINDOWS\system32\buritos.exe
C:\WINDOWS\system32\ciphewwi.dll
C:\WINDOWS\system32\dfgzpy.dll
C:\WINDOWS\system32\dflgh8jkd2q8.exe
C:\WINDOWS\system32\euuoqfwd.dll
C:\WINDOWS\system32\exuovxck.dll
C:\WINDOWS\system32\FiRCIRqr.ini
C:\WINDOWS\system32\FiRCIRqr.ini2
C:\WINDOWS\system32\fkrbpsrf.ini
C:\WINDOWS\system32\frspbrkf.dll
C:\WINDOWS\system32\ftqkzt.dll
C:\WINDOWS\system32\juhyes.dll
C:\WINDOWS\system32\karina.dat
C:\WINDOWS\system32\kcuojn.dll
C:\WINDOWS\system32\kcxvouxe.ini
C:\WINDOWS\system32\kgilodff.dll
C:\WINDOWS\system32\kvnoyeiv.dll
C:\WINDOWS\system32\lphcaptj0ea45.exe
C:\WINDOWS\system32\lsivhads.dll
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\odqcdwqs.dll
C:\WINDOWS\system32\oflsjf.dll
C:\WINDOWS\system32\ompmhyla.ini
C:\WINDOWS\system32\phcaptj0ea45.bmp
C:\WINDOWS\system32\pphcaptj0ea45.exe
C:\WINDOWS\system32\qegvexms.dll
C:\WINDOWS\system32\qoMgdDTn.dll
C:\WINDOWS\system32\sdahvisl.ini
C:\WINDOWS\system32\sdwjaoge.ini
C:\WINDOWS\system32\vx.tll
C:\WINDOWS\system32\WEMmWvut.ini
C:\WINDOWS\system32\WEMmWvut.ini2
C:\WINDOWS\system32\winds32.exe
C:\WINDOWS\system32\wymobxmo.dll
C:\WINDOWS\system32\xiysljhs.dll
C:\WINDOWS\system32\YFilTtwa.ini
C:\WINDOWS\system32\YFilTtwa.ini2
.
((((((((((((((((((((((( Dateien erstellt von 2008-07-05 bis 2008-08-05 ))))))))))))))))))))))))))))))
.
2008-08-05 10:53 . 2008-08-05 10:53 135,168 --a------ C:\zip.exe
2008-08-05 10:53 . 2008-08-05 10:53 19,286 --a------ C:\cleanup.exe
2008-08-05 10:53 . 2008-08-05 10:53 2,021 --a------ C:\backup.reg
2008-08-05 10:53 . 2008-08-05 10:53 574 --a------ C:\cleanup.bat
2008-08-05 10:52 . 2008-08-05 10:52 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-08-05 10:52 . 2008-08-05 10:52 <DIR> d-------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Anwendungsdaten\Malwarebytes
2008-08-05 10:52 . 2008-08-05 10:52 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-05 10:52 . 2008-07-30 20:07 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-05 10:52 . 2008-07-30 20:07 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-08-05 10:02 . 2008-08-05 10:02 <DIR> d-------- C:\savwsa
2008-08-05 09:59 . 2008-08-05 10:00 <DIR> d-------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Anwendungsdaten\U3
2008-08-05 09:58 . 2008-08-05 09:58 2,048 --a------ C:\WINDOWS\system32\dcexdjel.exe
2008-08-05 08:07 . 2008-08-05 08:07 102,400 --------- C:\WINDOWS\system32\fqifplag.mro
2008-08-05 08:01 . 2008-08-05 08:01 82,944 --------- C:\WINDOWS\system32\eoctknas.bej
2008-08-05 07:59 . 2008-08-05 07:59 92,672 --------- C:\WINDOWS\system32\lijqcaia.xpq
2008-08-05 07:58 . 2008-08-05 07:58 282,624 --------- C:\WINDOWS\system32\vmbsewim.mim
2008-08-04 16:32 . 2008-08-04 16:32 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab
2008-08-04 16:32 . 2008-08-04 16:32 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab
2008-08-04 14:27 . 2008-08-04 14:29 <DIR> dr------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Eigene Dateien
2008-08-04 14:24 . 2007-09-27 13:12 <DIR> d--h----- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Vorlagen
2008-08-04 14:24 . 2008-08-05 08:54 <DIR> dr------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Startmen
2008-08-04 14:24 . 2007-09-27 14:03 <DIR> d--h----- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Netzwerkumgebung
2008-08-04 14:24 . 2007-09-27 14:03 <DIR> d--h----- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Lokale Einstellungen
2008-08-04 14:24 . 2008-08-04 14:29 <DIR> dr------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Favoriten
2008-08-04 14:24 . 2007-09-27 14:03 <DIR> d--h----- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Druckumgebung
2008-08-04 14:24 . 2008-08-05 10:04 <DIR> dr-h----- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Anwendungsdaten
2008-08-04 14:24 . 2008-08-05 11:16 <DIR> d-------- C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM
2008-08-04 13:57 . 2008-08-04 13:59 <DIR> d-------- C:\LOL
2008-08-04 13:16 . 2008-08-04 13:46 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-08-04 13:16 . 2008-08-04 13:46 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-08-04 13:15 . 2008-08-04 13:15 <DIR> d-------- C:\Programme\Lavasoft
2008-08-04 13:15 . 2008-08-04 13:17 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-08-04 13:13 . 2008-08-04 13:13 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-08-04 13:07 . 2008-08-04 13:11 <DIR> d-------- C:\Programme\ClearProg
2008-08-04 12:48 . 2008-08-04 12:42 102,664 --a------ C:\WINDOWS\system32\drivers\tmcomm.sys
2008-08-04 12:46 . 2008-08-04 12:46 49 --a------ C:\OfcDebug.ini
2008-08-04 11:51 . 2008-08-04 11:51 283,136 --------- C:\WINDOWS\system32\wzyvxtdy.alt
2008-08-04 11:46 . 2008-08-04 11:46 <DIR> d-------- C:\Dokumente und Einstellungen\admin\Startmen
2008-08-04 11:46 . 2008-08-04 11:58 <DIR> d--h----- C:\Dokumente und Einstellungen\admin\Lokale Einstellungen
2008-08-04 11:46 . 2008-08-04 11:46 <DIR> dr------- C:\Dokumente und Einstellungen\admin\Favoriten
2008-08-04 11:46 . 2008-08-04 11:46 <DIR> dr------- C:\Dokumente und Einstellungen\admin\Eigene Dateien
2008-08-04 11:46 . 2008-08-04 12:30 <DIR> d-------- C:\Dokumente und Einstellungen\admin\Anwendungsdaten
2008-08-04 11:10 . 2008-08-05 11:21 111,216 --a------ C:\WINDOWS\system32\drivers\b0b42932.sys
2008-08-04 08:02 . 2003-07-12 12:35 16,104 --a------ C:\WINDOWS\system32\mapisvc.inf.bak
2008-08-04 07:30 . 2008-08-04 08:48 16,104 --a------ C:\WINDOWS\system32\mapisvc.inf
2008-08-04 07:29 . 2008-08-04 07:29 <DIR> d-------- C:\Programme\Ontrack
2008-08-01 08:54 . 2008-08-01 17:42 <DIR> d-------- C:\Programme\mIRC
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-04 12:04 --------- d-----w C:\Programme\Trend Micro
2008-08-04 05:30 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-08-01 14:36 --------- d-----w C:\Programme\Mozilla Thunderbird
2008-07-31 05:59 --------- d-----w C:\Programme\Trillian
2008-06-20 10:45 360,320 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 10:44 138,368 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 09:52 225,920 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-06-17 20:50 --------- d-----w C:\Programme\TIKOS
2008-06-14 17:57 273,024 ------w C:\WINDOWS\system32\drivers\bthport.sys
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:57 15360]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2002-12-09 17:06 1511696]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-02-24 01:32 5537792]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2005-02-24 01:32 86016]
"IntelliPoint"="C:\Programme\Microsoft IntelliPoint\ipoint.exe" [2007-08-31 13:01 1037736]
"OfficeScanNT Monitor"="C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe" [2006-04-03 15:05 356352]
"itype"="C:\Programme\Microsoft IntelliType Pro\itype.exe" [2006-11-21 17:08 813912]
"RTHDCPL"="RTHDCPL.EXE" [2005-04-26 08:16 14370816 C:\WINDOWS\RTHDCPL.EXE]
"nwiz"="nwiz.exe" [2005-02-24 01:32 1495040 C:\WINDOWS\system32\nwiz.exe]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:57 15360]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.yv12"= yv12vfw.dll
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\TrendFirewall]
"DisableMonitoring"=dword:00000001
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"\\\\s11socom\\mitarbeiter\\Hilt\\prgSS.exe"=
"C:\\Programme\\TIKOS\\TIKOS.EXE"=
"C:\\Programme\\Trillian\\trillian.exe"=
"C:\\Programme\\TIKOS\\Rechtest.exe"=
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009
R3 SSLDrv;Virtual Passage SSLDrv Adapter;C:\WINDOWS\system32\DRIVERS\SSLDrv.sys [2007-06-08 16:11]
S3 camvid20;Philips ToUcam Camera; Video;C:\WINDOWS\system32\DRIVERS\camdrv21.sys []
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e9763b67-b498-11dc-97d0-0015f2515f63}]
\shell\autorun\command - F:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners
2008-08-01 C:\WINDOWS\Tasks\prgSS.job
- L:\Hilt\prgSS.exe []
2008-08-01 C:\WINDOWS\Tasks\TimeStamp.job
- B:\Zeiterfassung\TimeStamp.exe []
.
- - - - Entfernte verwaiste Registrierungseintr„ge - - - -
HKLM-Run-BM0b06cab7 - C:\WINDOWS\system32\wymobxmo.dll
ShellExecuteHooks-{A23CA8A9-47D8-4DB1-AE46-0AA018CC576E} - C:\WINDOWS\system32\rqRJBQGA.dll
Notify-WgaLogon - (no file)
.
------- Zus„tzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Anwendungsdaten\Mozilla\Firefox\Profiles\ljev7b67.default\
FF -: plugin - C:\Programme\Microsoft Silverlight\npctrl.1.0.20926.0.dll
FF -: plugin - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-05 11:20:31
Windows 5.1.2600 Service Pack 2 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostart Eintr„ge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\Programme\Trend Micro\OfficeScan Client\NTRtScan.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Programme\Trend Micro\OfficeScan Client\TmListen.exe
C:\Programme\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
C:\WINDOWS\temp\FU3062.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Microsoft IntelliPoint\dpupdchk.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-08-05 11:23:03 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-08-05 09:22:57
Pre-Run: 9 Verzeichnis(se), 52,181,463,040 Bytes frei
Post-Run: 11 Verzeichnis(se), 52,096,139,264 Bytes frei
215 --- E O F --- 2008-07-09 05:35:10
Danke Geändert von Smeagol45 (05.08.2008 um 10:27 Uhr) |
|
05.08.2008, 10:14
| #4 |
| | Cryp_Upack - erkannt aber nicht löschbar Hi, mist, die Viecher haben Avenger erkannt uns versuchen die Bereinigung zu blokieren... Da hoffen wir mal auf Combofix und MAM... Unbedingt bei der Bereinigung Offline bleiben... chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
05.08.2008, 11:54
| #5 | |
| | Cryp_Upack - erkannt aber nicht löschbar DANKE Alles läuft wieder super und jetzt endlich auch wieder schnell hab alles noch durchlaufen lassen d.h. MAM durchlaufen lassen der hat nix mehr gefunden *freu* Zitat:
Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 12:50, on 2008-08-05 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe C:\Programme\Trend Micro\OfficeScan Client\OfcPfwSvc.exe C:\WINDOWS\TEMP\FU3062.EXE C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\WINDOWS\explorer.exe C:\Programme\Mozilla Firefox\firefox.exe C:\WINDOWS\system32\msiexec.exe C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Desktop\lol.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005 O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\npjpi160_05.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\npjpi160_05.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE O9 - Extra button: (no name) - cmdmapping - (no file) (HKCU) O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://s10socom/officescan/console/ClientInstall/WinNTChk.cab O16 - DPF: {08D75BB0-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupINICtrl Class) - https://s10socom/officescan/console/ClientInstall/setupini.cab O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://s10socom/officescan/console/ClientInstall/setup.cab O16 - DPF: {35C3D91E-401A-4E45-88A5-F3B32CD72DF4} (Encrypt Class) - https://s10socom/officescan/console/html/AtxEnc.cab O16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - https://s10socom/officescan/console/ClientInstall/RemoveCtrl.cab O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = socom.local O17 - HKLM\Software\..\Telephony: DomainName = socom.local O17 - HKLM\System\CCS\Services\Tcpip\..\{0C45DBBA-C3D1-4136-9258-97F4036F3F55}: NameServer = 192.168.0.100,192.168.0.253 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = socom.local O17 - HKLM\System\CS1\Services\Tcpip\..\{0C45DBBA-C3D1-4136-9258-97F4036F3F55}: NameServer = 192.168.0.100,192.168.0.253 O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Unknown owner - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe (file missing) O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Programme\Trend Micro\OfficeScan Client\OfcPfwSvc.exe O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe -- End of file - 5098 bytes DANKE |
|
05.08.2008, 12:04
| #6 |
| | Cryp_Upack - erkannt aber nicht löschbar Hi, HALT noch ist der Krieg nicht gewonnen, ComboFix zeigt da noch was an (HJ auch): Diese Files sind suspekt: Code:
ATTFilter C:\WINDOWS\system32\dcexdjel.exe
C:\WINDOWS\system32\fqifplag.mro
C:\WINDOWS\system32\eoctknas.bej
C:\WINDOWS\system32\lijqcaia.xpq
C:\WINDOWS\system32\vmbsewim.mim
C:\WINDOWS\system32\drivers\b0b42932.sys
C:\Dokumente und Einstellungen\sebastian.groemcke.SOCOM\Desktop\lol.com
Poste das Ergebnis mit Filename ggf. müssen wir sie "killen"... chris
__________________ --> Cryp_Upack - erkannt aber nicht löschbar |
|
| Themen zu Cryp_Upack - erkannt aber nicht löschbar |
| 192.168.0.2, ad-aware, bho, computer, desktop, detected spyware infection!, drivers, einstellungen, encrypt, excel, firefox, hkus\s-1-5-18, internet, internet explorer, monitor, mozilla, mozilla firefox, object, officescan, popup, problem, programm, quara, rundll, sekunden, server, software, spyware, temp, userinit.exe, virus, windows, windows has detected spyware infection!, windows xp, windows\system32\drivers, windows\temp |
Hybrid-Darstellung
