| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: "Vundo" und "TR/Crypt.XPACK.Gen"Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
23.09.2008, 00:11
| #1 |
| |  "Vundo" und "TR/Crypt.XPACK.Gen" Hallo, bin zum ersten Mal hier  Und ich komm gleich zur Sache: Hatte jetzt einige Stunden Spaß mit den beiden Trojanern "Vundo" und "TR/Crypt.XPACK.Gen". Nach mehreren Such- und Säuberungsdurchläufen mit AntiVir und Malewarebytes' Anti Maleware scheint auch alles wieder in Ordnung zu sein - beide Programme melden keine Infektionen mehr, der Windows Defender auch nicht. Habe alle Temp-Ordner gelöscht und noch einmal explizit nach Dateien und Ordnern gesucht, deren Erstellungsdatum mit dem der Viren-exe (weiß leider nicht mehr, wie sie genau hieß) übereinstimmte, und auch diese gelöscht, soweit es ging. Dann CCleaner und XP Anti Spy benutzt sowie den Advanced Registry Doctor (hoffe, das war sinnvoll), und die Systemwiederherstellung deaktiviert - diesen Tip habe ich bei meiner Suche nach Infos in einem englischen Board gefunden, außerdem hat AntiVir den XPACK.Gen auch im restore-Ordner gefunden. Neustart, nochmal diverse Virenscans - ohne Funde, bis auf einige "Warnung - Datei konnte nicht geöffnet werden" beim AntiVir-Suchlauf. Ich habe mir auch in anderen Foren Rat eingeholt, doch die Antworten erstrecken sich inzwischen auf "wieder alles ok" bishin zu "unbedingt format c:, Alter!". Was sagt Ihr zu diesem HJT-Log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 01:08:19, on 23.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe D:\Windows Defender\MsMpEng.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe D:\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE D:\Windows Defender\MSASCui.exe D:\AntiVir PersonalEdition Classic\sched.exe D:\Mozilla Firefox\firefox.exe D:\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = h**p://go.microsoft.com/fwlink/?LinkId=54843 O2 - BHO: (no name) - {40BEA856-3AA1-4EDE-9ECA-FC4F1F64DFD3} - (no file) O4 - HKLM\..\Run: [Windows Defender] "D:\Windows Defender\MSASCui.exe" -hide O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O15 - Trusted Zone: w*w.arcor.de O15 - Trusted Zone: h**p://dl3.avgate.net O15 - Trusted Zone: w*w.chip.de O15 - Trusted Zone: w*w.google.de O15 - Trusted Zone: h**p://www.the-underdogs.info O15 - Trusted Zone: h**p://freemail.web.de O15 - Trusted Zone: h**p://download.windowsupdate.com O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - O20 - Winlogon Notify: xxyvuSLB - xxyvuSLB.dll (file missing) O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe -- End of file - 2967 bytes Danke und Gruß Hansi |
|
23.09.2008, 00:40
| #2 |
| /// TB-Ausbilder     | "Vundo" und "TR/Crypt.XPACK.Gen" Hi,
__________________ Du hast schon nichts auf deinem Rechner installiert, kann das sein? Ich persönlich halte nicht viel von registrytweakern. Aber jeder wie er will, solange sie das System nicht zerstören, kann man sie meinetwegen benutzen.  Poste bitte die Logs von Malwarebytes, Antivir und Erstelle bitte ein Log mit RSIT. Es werden 2 Dateien erstellt (log.txt und info.txt). Poste den Inhalt beider Dateien hier. lg myrtille
__________________ |
|
23.09.2008, 07:26
| #3 |
| | "Vundo" und "TR/Crypt.XPACK.Gen" Moin.
__________________was meinst Du mit "nichts installiert"? Ist ein älterer Computer, deshalb versuche ich immer, so viel Ballast wie möglich abzuwerfen... Ich benutze den RegDoctor seit gut einem Jahr und kenne die Vorbehalte gegen diese Art von Programmen. Hab allerdings keine schlechten Erfahrungen damit gemacht, das liegt vielleicht auch daran, daß mein Programmbestand...recht übersichtlich ist Hier das Log von Malewarebytes: Malwarebytes' Anti-Malware 1.28 Datenbank Version: 1190 Windows 5.1.2600 Service Pack 3 22.09.2008 23:27:15 mbam-log-2008-09-22 (23-27-15).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\) Durchsuchte Objekte: 57446 Laufzeit: 17 minute(s), 22 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) Und das Log von Antivir: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Dienstag, 23. September 2008 07:47 Es wird nach 1628080 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: 0000149996-ADJIE-0001 Plattform: Windows XP Windowsversion: (Service Pack 3) [5.1.2600] Boot Modus: Normal gebootet Benutzername: xxxxxx Computername: xxxxxxx Versionsinformationen: BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00 AVSCAN.EXE : 8.1.4.7 315649 Bytes 18.07.2008 08:28:51 AVSCAN.DLL : 8.1.4.0 48897 Bytes 18.07.2008 08:28:51 LUKE.DLL : 8.1.4.5 164097 Bytes 18.07.2008 08:28:51 LUKERES.DLL : 8.1.4.0 12545 Bytes 18.07.2008 08:28:51 ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 20:54:40 ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 05:07:36 ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 22:04:05 ANTIVIR3.VDF : 7.0.6.192 234496 Bytes 22.09.2008 14:45:57 Engineversion : 8.1.1.34 AEVDF.DLL : 8.1.0.5 102772 Bytes 22.04.2008 10:36:27 AESCRIPT.DLL : 8.1.0.76 319867 Bytes 19.09.2008 11:28:08 AESCN.DLL : 8.1.0.23 119156 Bytes 15.07.2008 19:58:45 AERDL.DLL : 8.1.1.2 438644 Bytes 19.09.2008 11:28:08 AEPACK.DLL : 8.1.2.1 364917 Bytes 15.07.2008 19:58:45 AEOFFICE.DLL : 8.1.0.25 196986 Bytes 19.09.2008 11:28:07 AEHEUR.DLL : 8.1.0.59 1438071 Bytes 19.09.2008 11:28:01 AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 12:03:46 AEGEN.DLL : 8.1.0.36 315764 Bytes 19.08.2008 11:20:43 AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 21:52:24 AECORE.DLL : 8.1.1.11 172406 Bytes 10.09.2008 21:57:14 AEBB.DLL : 8.1.0.1 53617 Bytes 18.07.2008 08:28:51 AVWINLL.DLL : 1.0.0.12 15105 Bytes 18.07.2008 08:28:51 AVPREF.DLL : 8.0.2.0 38657 Bytes 18.07.2008 08:28:51 AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 21:52:18 AVREG.DLL : 8.0.0.1 33537 Bytes 18.07.2008 08:28:51 AVARKT.DLL : 1.0.0.23 307457 Bytes 22.04.2008 10:36:26 AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 18.07.2008 08:28:51 SQLITE3.DLL : 3.3.17.1 339968 Bytes 22.04.2008 10:36:26 SMTPLIB.DLL : 1.2.0.23 28929 Bytes 18.07.2008 08:28:51 NETNT.DLL : 8.0.0.1 7937 Bytes 22.04.2008 10:36:26 RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 18.07.2008 08:28:49 RCTEXT.DLL : 8.0.52.0 86273 Bytes 18.07.2008 08:28:49 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Manuelle Auswahl Konfigurationsdatei..............: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\PROFILES\folder.avp Protokollierung..................: mittel Primäre Aktion...................: interaktiv Sekundäre Aktion.................: quarantäne Durchsuche Masterbootsektoren....: ein Durchsuche Bootsektoren..........: ein Bootsektoren.....................: A:, C:, D:, E:, Durchsuche aktive Programme......: ein Durchsuche Registrierung.........: ein Suche nach Rootkits..............: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: 20 Archiv Smart Extensions..........: ein Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, Makrovirenheuristik..............: ein Dateiheuristik...................: mittel Abweichende Gefahrenkategorien...: +APPL,+JOKE,+PCK,+SPR, Beginn des Suchlaufs: Dienstag, 23. September 2008 07:47 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '13461' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mbam.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'locator.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MSASCui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MsMpEng.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '24' Prozesse mit '24' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD1 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'A:\' [INFO] Im Laufwerk 'A:\' ist kein Datenträger eingelegt! Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'E:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\inf\ C:\WINDOWS\ C:\WINDOWS\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\inf\ C:\WINDOWS\inf\ C:\WINDOWS\inf\ C:\WINDOWS\inf\ C:\WINDOWS\system32\ C:\WINDOWS\inf\ C:\WINDOWS\inf\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\ C:\WINDOWS\system32\ C:\WINDOWS\system32\ C:\Dokumente und Einstellungen\xxxxxxxxxx\Startmenü\Programme\Autostart\ C:\WINDOWS\system32\config\systemprofile\Startmenü\Programme\Autostart\ Die Registry wurde durchsucht ( '42' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'A:\' Der zu durchsuchende Pfad A:\ konnte nicht geöffnet werden! Systemfehler [21]: Das Gerät ist nicht bereit. Beginne mit der Suche in 'C:\' <WINDOWS> C:\ C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\Administrator\ [WARNUNG] Systemfehler [5]: Zugriff verweigert C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxx\NTUSER.DAT [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxx\NTUSER.DAT.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxx\Anwendungsdaten\Mozilla\Firefox\Profiles\frkmlkl2.default\parent.lock [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxxx\Anwendungsdaten\Mozilla\Firefox\Profiles\frkmlkl2.default\places.sqlite-journal [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxxx\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxxx\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxxx\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows Defender\FileTracker\{40278D20-C941-4942-BB34-C4FD14A079A3} [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\xxxxxxxxx\Lokale Einstellungen\Temp\etilqs_0r8bRUiQPwlLG7pZGmUN [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\System Volume Information\ [WARNUNG] Systemfehler [5]: Zugriff verweigert C:\WINDOWS\system32\CatRoot2\edb.log [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\CatRoot2\tmp.edb [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\default [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\default.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\SAM [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\SAM.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\SECURITY [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\SECURITY.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\software [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\software.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\system [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\config\system.LOG [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\system32\drivers\sptd.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\WINDOWS\Temp\TMP00000018D47BA790E968D96E [WARNUNG] Die Datei konnte nicht geöffnet werden! D:\System Volume Information\ [WARNUNG] Systemfehler [5]: Zugriff verweigert E:\System Volume Information\ [WARNUNG] Systemfehler [5]: Zugriff verweigert Ende des Suchlaufs: Dienstag, 23. September 2008 08:03 Benötigte Zeit: 16:25 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 2550 Verzeichnisse wurden überprüft 78242 Dateien wurden geprüft 0 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 31 Dateien konnten nicht durchsucht werden 78211 Dateien ohne Befall 1160 Archive wurden durchsucht 35 Warnungen 0 Hinweise 13461 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden |
|
23.09.2008, 07:28
| #4 |
| | "Vundo" und "TR/Crypt.XPACK.Gen" Logfile of random's system information tool 1.02 (written by random/random) Run by xxxxx at 2008-09-23 08:12:52 Microsoft Windows XP Home Edition Service Pack 3 System drive C: has 15 GB (75%) free of 20 GB Total RAM: 511 MB (38% free) Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 08:13:08, on 23.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe D:\Windows Defender\MsMpEng.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe D:\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE D:\Windows Defender\MSASCui.exe D:\AntiVir PersonalEdition Classic\sched.exe D:\Mozilla Firefox\firefox.exe D:\RSIT.exe D:\HijackThis\xxxxxxx.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w*w.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = h**p://go.microsoft.com/fwlink/?LinkId=54843 O2 - BHO: (no name) - {40BEA856-3AA1-4EDE-9ECA-FC4F1F64DFD3} - (no file) O4 - HKLM\..\Run: [Windows Defender] "D:\Windows Defender\MSASCui.exe" -hide O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O15 - Trusted Zone: w*w.arcor.de O15 - Trusted Zone: h**p://dl3.avgate.net O15 - Trusted Zone: w*w.chip.de O15 - Trusted Zone: w*w.google.de O15 - Trusted Zone: h**p://www.the-underdogs.info O15 - Trusted Zone: h**p://freemail.web.de O15 - Trusted Zone: h**p://download.windowsupdate.com O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - O20 - Winlogon Notify: xxyvuSLB - xxyvuSLB.dll (file missing) O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe -- End of file - 2992 bytes ======Scheduled tasks folder====== C:\WINDOWS\tasks\MP Scheduled Scan.job ======Registry dump====== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{40BEA856-3AA1-4EDE-9ECA-FC4F1F64DFD3}] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] "Windows Defender"=D:\Windows Defender\MSASCui.exe [2006-11-03 866584] [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe [2008-09-19 23552] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyvuSLB] xxyvuSLB.dll [] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632] UPnPMonitor - {e57ce738-33e8-4c51-8354-bb4de9d215d1} - C:\WINDOWS\system32\upnpui.dll [2008-04-14 239616] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] "{091EB208-39DD-417D-A5DD-7E2C2D8FB9CB}"=D:\Windows Defender\MpShHook.dll [2006-11-03 83224] "{6928C803-AA5D-4B3A-9943-3C3F784A02BD}"=C:\WINDOWS\system32\ [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] "authentication packages"=msv1_0 C:\WINDOWS\system32\ssqPHWOH [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\WinDefend] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] "dontdisplaylastusername"=0 "legalnoticecaption"= "legalnoticetext"= "shutdownwithoutlogon"=1 "undockwithoutlogon"=1 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] "NoDriveTypeAutoRun"=B1000000 "NoResolveTrack"=1 "NoResolveSearch"=1 "NoInstrumentation"=1 [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] "C:\WINDOWS\system32\sessmgr.exe"="C:\WINDOWS\system32\sessmgr.exe:*  isabled:@xpsp2res.dll,-22019""D:\Winamp\winamp.exe"="D:\Winamp\winamp.exe:*:Enabled:winamp.exe" "C:\WINDOWS\Network Diagnostic\xpnetdiag.exe"="C:\WINDOWS\Network Diagnostic\xpnetdiag.exe:LocalSubNet:Enabled:@xpsp3res.dll,-20000" "%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000" ======List of files/folders created in the last 1 months====== 2008-09-23 08:12:52 ----D---- C:\rsit 2008-09-23 01:39:04 ----A---- C:\WINDOWS\ntbtlog.txt 2008-09-22 20:37:29 ----D---- C:\Dokumente und Einstellungen\xxxxxx\Anwendungsdaten\Sun 2008-09-22 14:02:31 ----D---- C:\Dokumente und Einstellungen\xxxxxxx\Anwendungsdaten\Malwarebytes 2008-09-22 14:02:21 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes 2008-09-18 15:09:48 ----SH---- C:\WINDOWS\system32\frsusifg.ini 2008-09-17 15:08:15 ----SH---- C:\WINDOWS\system32\yhxauxpp.ini 2008-09-17 09:06:23 ----SH---- C:\WINDOWS\system32\smyfptmp.ini 2008-09-17 09:05:42 ----A---- C:\WINDOWS\system32\f7688287-.txt 2008-09-17 09:05:07 ----ASH---- C:\WINDOWS\system32\HOWHPqss.ini2 2008-09-17 09:05:07 ----ASH---- C:\WINDOWS\system32\HOWHPqss.ini 2008-09-12 00:51:50 ----D---- C:\WINDOWS\Downloaded Installations 2008-09-11 22:24:38 ----D---- C:\WINDOWS\system32\de 2008-09-11 22:24:38 ----D---- C:\WINDOWS\l2schemas 2008-09-11 22:24:37 ----D---- C:\WINDOWS\system32\bits 2008-09-11 21:37:55 ----N---- C:\WINDOWS\system32\wmphoto.dll 2008-09-11 21:37:52 ----N---- C:\WINDOWS\system32\wlanapi.dll 2008-09-11 21:37:47 ----N---- C:\WINDOWS\system32\windowscodecsext.dll 2008-09-11 21:37:46 ----N---- C:\WINDOWS\system32\windowscodecs.dll 2008-09-11 21:37:32 ----N---- C:\WINDOWS\system32\tspkg.dll 2008-09-11 21:37:32 ----N---- C:\WINDOWS\system32\tsgqec.dll 2008-09-11 21:37:11 ----N---- C:\WINDOWS\system32\setupn.exe 2008-09-11 21:37:06 ----N---- C:\WINDOWS\system32\rhttpaa.dll 2008-09-11 21:37:04 ----N---- C:\WINDOWS\system32\rasqec.dll 2008-09-11 21:37:03 ----N---- C:\WINDOWS\system32\qutil.dll 2008-09-11 21:37:00 ----N---- C:\WINDOWS\system32\qcliprov.dll 2008-09-11 21:37:00 ----N---- C:\WINDOWS\system32\qagentrt.dll 2008-09-11 21:37:00 ----N---- C:\WINDOWS\system32\qagent.dll 2008-09-11 21:36:57 ----N---- C:\WINDOWS\system32\photometadatahandler.dll 2008-09-11 21:36:53 ----N---- C:\WINDOWS\system32\onex.dll 2008-09-11 21:36:34 ----N---- C:\WINDOWS\system32\napstat.exe 2008-09-11 21:36:34 ----N---- C:\WINDOWS\system32\napmontr.dll 2008-09-11 21:36:34 ----N---- C:\WINDOWS\system32\napipsec.dll 2008-09-11 21:36:32 ----N---- C:\WINDOWS\system32\msxml6r.dll 2008-09-11 21:36:32 ----N---- C:\WINDOWS\system32\msxml6.dll 2008-09-11 21:36:28 ----N---- C:\WINDOWS\system32\msshavmsg.dll 2008-09-11 21:36:28 ----N---- C:\WINDOWS\system32\mssha.dll 2008-09-11 21:36:02 ----N---- C:\WINDOWS\system32\mmcperf.exe 2008-09-11 21:36:01 ----N---- C:\WINDOWS\system32\mmcfxcommon.dll 2008-09-11 21:36:01 ----N---- C:\WINDOWS\system32\mmcex.dll 2008-09-11 21:36:01 ----N---- C:\WINDOWS\system32\microsoft.managementconsole.dll 2008-09-11 21:35:41 ----N---- C:\WINDOWS\system32\l2gpstore.dll 2008-09-11 21:35:40 ----N---- C:\WINDOWS\system32\kmsvc.dll 2008-09-11 21:35:39 ----N---- C:\WINDOWS\system32\kbdpash.dll 2008-09-11 21:35:39 ----N---- C:\WINDOWS\system32\kbdnepr.dll 2008-09-11 21:35:39 ----N---- C:\WINDOWS\system32\kbdiultn.dll 2008-09-11 21:35:38 ----N---- C:\WINDOWS\system32\kbdbhc.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eapsvc.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eapqec.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eappprxy.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eapphost.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eappgnui.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eappcfg.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eapp3hst.dll 2008-09-11 21:35:12 ----N---- C:\WINDOWS\system32\eapolqec.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3ui.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3svc.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3msm.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3gpclnt.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3dlg.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3cfg.dll 2008-09-11 21:35:06 ----N---- C:\WINDOWS\system32\dot3api.dll 2008-09-11 21:35:02 ----N---- C:\WINDOWS\system32\dimsroam.dll 2008-09-11 21:35:02 ----N---- C:\WINDOWS\system32\dimsntfy.dll 2008-09-11 21:35:01 ----N---- C:\WINDOWS\system32\dhcpqec.dll 2008-09-11 21:34:56 ----N---- C:\WINDOWS\system32\credssp.dll 2008-09-11 21:34:46 ----N---- C:\WINDOWS\system32\bitsprx4.dll 2008-09-11 21:34:45 ----N---- C:\WINDOWS\system32\azroles.dll 2008-09-11 21:34:29 ----N---- C:\WINDOWS\system32\aaclient.dll ======List of files/folders modified in the last 1 months====== 2008-09-23 07:56:57 ----D---- C:\WINDOWS\Temp 2008-09-23 07:40:03 ----D---- C:\WINDOWS\system32\CatRoot2 2008-09-23 07:39:50 ----SD---- C:\WINDOWS\Tasks 2008-09-23 07:37:22 ----D---- C:\WINDOWS 2008-09-23 01:51:34 ----D---- C:\Dokumente und Einstellungen\xxxxxx\Anwendungsdaten\uTorrent 2008-09-22 22:58:05 ----D---- C:\WINDOWS\system32\Restore 2008-09-22 21:57:11 ----D---- C:\WINDOWS\system32 2008-09-22 21:43:21 ----SHD---- C:\WINDOWS\Installer 2008-09-22 21:01:36 ----D---- C:\Programme\Gemeinsame Dateien 2008-09-22 16:45:40 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic 2008-09-22 14:03:02 ----D---- C:\WINDOWS\system32\drivers 2008-09-21 21:47:48 ----A---- C:\WINDOWS\NeroDigital.ini 2008-09-19 16:32:32 ----D---- C:\Programme 2008-09-19 15:08:56 ----RSHDC---- C:\WINDOWS\system32\dllcache 2008-09-19 15:08:56 ----A---- C:\WINDOWS\system32\ctfmon.exe 2008-09-19 14:59:56 ----SHD---- C:\RECYCLER 2008-09-18 16:06:07 ----D---- C:\Dokumente und Einstellungen\xxxxxx\Anwendungsdaten\Ashampoo Photo Commander 4 2008-09-16 08:36:53 ----D---- C:\WINDOWS\inf 2008-09-16 08:36:53 ----D---- C:\WINDOWS\Help 2008-09-13 01:41:16 ----D---- C:\WINDOWS\$hf_mig$ 2008-09-11 22:51:19 ----D---- C:\WINDOWS\Debug 2008-09-11 22:39:17 ----D---- C:\WINDOWS\system32\CatRoot 2008-09-11 22:34:07 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI 2008-09-11 22:32:40 ----A---- C:\WINDOWS\win.ini 2008-09-11 22:31:15 ----D---- C:\WINDOWS\system32\wbem 2008-09-11 22:31:15 ----D---- C:\WINDOWS\system32\Setup 2008-09-11 22:31:15 ----D---- C:\WINDOWS\AppPatch 2008-09-11 22:31:14 ----RSD---- C:\WINDOWS\Fonts 2008-09-11 22:29:30 ----D---- C:\WINDOWS\security 2008-09-11 22:25:17 ----D---- C:\WINDOWS\WinSxS 2008-09-11 22:25:11 ----D---- C:\WINDOWS\ServicePackFiles 2008-09-11 22:25:08 ----D---- C:\WINDOWS\network diagnostic 2008-09-11 22:25:07 ----D---- C:\WINDOWS\ime 2008-09-11 22:24:43 ----D---- C:\WINDOWS\system32\usmt 2008-09-11 22:24:43 ----D---- C:\WINDOWS\system32\de-de 2008-09-11 22:24:37 ----D---- C:\WINDOWS\peernet 2008-09-11 22:24:37 ----D---- C:\Programme\Movie Maker 2008-09-11 22:19:13 ----D---- C:\WINDOWS\system32\npp 2008-09-11 22:19:12 ----D---- C:\WINDOWS\msagent 2008-09-11 22:19:10 ----D---- C:\WINDOWS\srchasst 2008-09-11 22:19:09 ----D---- C:\Programme\NetMeeting 2008-09-11 22:19:07 ----D---- C:\WINDOWS\system32\Com 2008-09-11 22:19:04 ----D---- C:\Programme\Windows Media Player 2008-09-11 22:19:03 ----D---- C:\Programme\Windows NT 2008-09-11 22:19:01 ----D---- C:\Programme\Gemeinsame Dateien\System 2008-09-11 22:18:38 ----D---- C:\WINDOWS\system32\oobe 2008-09-11 22:18:33 ----D---- C:\WINDOWS\system 2008-09-11 22:15:02 ----D---- C:\WINDOWS\system32\ReinstallBackups 2008-09-11 22:09:01 ----D---- C:\WINDOWS\EHome 2008-08-26 23:09:40 ----SD---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft 2008-08-26 22:28:12 ----A---- C:\WINDOWS\system32\MRT.exe ======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R1 AmdK7;AMD K7-Prozessortreiber; C:\WINDOWS\System32\DRIVERS\amdk7.sys [2008-04-14 41856] R1 avgio;avgio; \??\D:\AntiVir PersonalEdition Classic\avgio.sys [] R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2008-07-18 75072] R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2008-04-22 21248] R3 avgntflt;avgntflt; \??\D:\AntiVir PersonalEdition Classic\avgntflt.sys [] R3 es1371;Creative AudioPCI (ES1371,ES1373) (WDM); C:\WINDOWS\system32\drivers\es1371mp.sys [2001-08-17 40704] R3 ms_mpu401;Microsoft MPU-401 MIDI UART-Treiber; C:\WINDOWS\system32\drivers\msmpu401.sys [2001-08-17 2944] R3 nv;nv; C:\WINDOWS\system32\DRIVERS\nv4_mini.sys [2003-07-28 1341339] R3 rtl8139;NT-Treiber für Realtek RTL8139(A/B/C)-basierten PCI-Fast Ethernet-Adapter; C:\WINDOWS\System32\DRIVERS\RTL8139.SYS [2004-08-03 20992] R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbehci.sys [2008-04-13 30208] R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\System32\DRIVERS\usbhub.sys [2008-04-13 59520] R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbuhci.sys [2008-04-13 20608] S3 amlo1q1p;amlo1q1p; C:\WINDOWS\system32\drivers\amlo1q1p.sys [] S3 mcdbus;Driver for MagicISO SCSI Host Controller; C:\WINDOWS\system32\DRIVERS\mcdbus.sys [] S3 usbprint;Microsoft USB-Druckerklasse; C:\WINDOWS\system32\DRIVERS\usbprint.sys [2008-04-13 25856] S3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368] S3 WpdUsb;WpdUsb; C:\WINDOWS\system32\DRIVERS\wpdusb.sys [2006-10-18 38528] S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; C:\WINDOWS\system32\DRIVERS\wudfrd.sys [2006-09-28 82944] S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys [] S4 sr;Filtertreiber für Systemwiederherstellung; C:\WINDOWS\System32\DRIVERS\sr.sys [2008-04-14 73472] ======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)====== R2 AntiVirScheduler;AntiVir PersonalEdition Classic Planer; D:\AntiVir PersonalEdition Classic\sched.exe [2008-07-18 68865] R2 AntiVirService;AntiVir PersonalEdition Classic Guard; D:\AntiVir PersonalEdition Classic\avguard.exe [2008-08-15 149761] R2 WinDefend;Windows Defender; D:\Windows Defender\MsMpEng.exe [2006-11-03 13592] R2 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336] S3 aspnet_state;ASP.NET State Service; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2007-10-24 33800] S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2007-10-24 70144] S3 WMPNetworkSvc;Windows Media Player-Netzwerkfreigabedienst; C:\Programme\Windows Media Player\WMPNetwk.exe [2006-10-24 920576] -----------------EOF----------------- und: info.txt logfile of random's system information tool 1.02 2008-09-23 08:13:10 ======Uninstall list====== -->D:\Ahead\nero\uninstall\UNNERO.exe /UNINSTALL -->D:\DivX\DivXConverterUninstall.exe /CONVERTER -->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf µTorrent-->"d:\uTorrent\uninstall.exe" 7-Zip 4.42-->"D:\7-Zip\Uninstall.exe" Adobe Reader 8 - Deutsch-->MsiExec.exe /I{AC76BA86-7AD7-1031-7B44-A80000000002} Advanced Registry Doctor-->D:\Advanced Registry Doctor\Advanced Registry Doctor deinstallieren.exe Ashampoo Photo Commander 4-->"D:\Ashampoo Photo Commander 4\Uninstall\APHC_Uninstall.EXE" AusLogics Disk Defrag-->"D:\AusLogics Disk Defrag\unins000.exe" Avira AntiVir Personal - Free Antivirus-->D:\AntiVir PersonalEdition Classic\SETUP.EXE /REMOVE CCleaner (remove only)-->"D:\CrapCleaner\uninst.exe" Deutsche Sprachdatei für Winamp 5.02 v14 -->D:\Winamp\WA502DeUnInst.exe DivX Codec-->D:\DivX\DivXCodecUninstall.exe /CODEC DivX Converter-->D:\DivX\DivXConverterUninstall.exe /CONVERTER DivX Player-->D:\DivX\DivXPlayerUninstall.exe /PLAYER DropMyRights-->MsiExec.exe /I{E5B72007-07C9-4E67-B29E-696073F45704} Google Earth-->MsiExec.exe /I{97C0EA4A-1A0B-4C53-ACEB-49984DA79C90} Hex-Editor MX-->"D:\Hex-Editor MX\unins000.exe" HijackThis 2.0.2-->"D:\HijackThis\HijackThis.exe" /uninstall Hotfix für Windows Internet Explorer 7 (KB947864)-->"C:\WINDOWS\ie7updates\KB947864-IE7\spuninst\spuninst.exe" K-Lite Mega Codec Pack 2.01-->"D:\K-Lite Mega Codec Pack\unins000.exe" Malwarebytes' Anti-Malware-->"D:\ Malwarebytes Anti-Malware \unins000.exe" Microsoft .NET Framework 1.1 Hotfix (KB928366)-->"C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\Updates\hotfix.exe" "C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\Updates\M928366\M928366Uninstall.msp" Microsoft .NET Framework 1.1-->msiexec.exe /X {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} Microsoft .NET Framework 1.1-->MsiExec.exe /X{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} Microsoft .NET Framework 2.0 Service Pack 1-->MsiExec.exe /I{B508B3F1-A24A-32C0-B310-85786919EF28} Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{7299052b-02a4-4627-81f2-1818da5d550d} Microsoft Works 6.0-->MsiExec.exe /I{D0AC6844-79D4-11D4-AFEE-00C04F443448} Mozilla Thunderbird (2.0.0.16)-->D:\Mozilla Thunderbird\uninstall\helper.exe Nero Suite-->C:\Programme\Gemeinsame Dateien\Nero\Uninstall\setupx.exe /uninstall ExtraUninstallID="" Network Addon Mod Version April 2008-->D:\CrapCleaner\uninst.exe NVIDIA Windows 2000/XP Display Drivers-->rundll32.exe C:\WINDOWS\system32\nvinstnt.dll,NvUninstallNT4 nv4_disp.inf Reason 4.0-->"d:\Reason\Uninstall Reason\unins000.exe" ScummVM 0.9.1-->"D:\ScummVM\unins000.exe" ShellExView-->C:\WINDOWS\zipinst.exe /uninst "D:\ShellExView\uninst1~.nsu" SimCity 4 Deluxe-->e:\SimCity4 Deluxe\EAUninstall.exe Temp Cleaner-->D:\Temp Cleaner\UNWISE.EXE D:\Temp Cleaner\INSTALL.LOG VDMSound 2.0.4-->MsiExec.exe /I{8ECBE643-8230-11D5-9D6B-00A024112F81} Winamp (remove only)-->"D:\Winamp\UninstWA.exe" Windows Defender-->MsiExec.exe /I{A06275F4-324B-4E85-95E6-87B2CD729401} Windows Media Format 11 runtime-->"C:\Programme\Windows Media Player\wmsetsdk.exe" /UninstallAll Windows Media Player 11-->"C:\Programme\Windows Media Player\Setup_wm.exe" /Uninstall Windows XP Service Pack 3-->C:\WINDOWS\$hf_mig$\KB932823-v3\spuninst.exe YouTube Video Converter-->MsiExec.exe /I{52E1698D-8B87-4B79-B609-77C763C3E6D9} ======Hosts File====== 127.0.0.1 w*w.007guard.com 127.0.0.1 007guard.com 127.0.0.1 008i.com 127.0.0.1 w*w.008k.com 127.0.0.1 008k.com 127.0.0.1 w*w.00hq.com 127.0.0.1 00hq.com 127.0.0.1 010402.com 127.0.0.1 w*w.032439.com 127.0.0.1 032439.com ======Security center information====== AV: Avira AntiVir PersonalEdition ======Environment variables====== "ComSpec"=%SystemRoot%\system32\cmd.exe "Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%VDMSPath% "windir"=%SystemRoot% "OS"=Windows_NT "PROCESSOR_ARCHITECTURE"=x86 "PROCESSOR_LEVEL"=6 "PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD "PROCESSOR_REVISION"=0801 "NUMBER_OF_PROCESSORS"=1 "PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH "TEMP"=%SystemRoot%\TEMP "TMP"=%SystemRoot%\TEMP "FP_NO_HOST_CHECK"=NO "DEVMGR_SHOW_NONPRESENT_DEVICES"=1 "VDMSPath"=D:\VDMSound\ -----------------EOF----------------- Bidde und Danke |
|
23.09.2008, 11:32
| #5 |
| /// TB-Ausbilder | "Vundo" und "TR/Crypt.XPACK.Gen" Hi, da sind noch einige Kleinigkeiten, aber nichts was die Malware am Leben hält. Bitte arbeite folgendes ab: Anleitung Avenger (by swandog46) Lade dir das Tool Avenger und speichere es auf dem Desktop:
Code:
ATTFilter
files to delete:
C:\WINDOWS\system32\frsusifg.ini
C:\WINDOWS\system32\yhxauxpp.ini
C:\WINDOWS\system32\smyfptmp.ini
C:\WINDOWS\system32\f7688287-.txt
C:\WINDOWS\system32\HOWHPqss.ini2
C:\WINDOWS\system32\HOWHPqss.ini
registry values to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks|"{6928C803-AA5D-4B3A-9943-3C3F784A02BD}"
registry keys to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyvuSLB
Poste danach ein neues HIjackthislog lg myrtille
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM Spelling mistakes? Never, but keybaord malfunctions constantly! |
|
23.09.2008, 11:55
| #6 |
| | "Vundo" und "TR/Crypt.XPACK.Gen" Eine Frage vorher noch: RSIT findet den Schlüssel "ssqPHWOH". Ist das nicht auch ein Bestandteil der Malware, der ins Avenger-Script müßte? solong Hansi |
|
23.09.2008, 12:24
| #7 |
| /// TB-Ausbilder | "Vundo" und "TR/Crypt.XPACK.Gen" Jein. Der Schlüssel ist bösartig. ABER Avenger kann nur Einträge löschen, nicht verändern. Wenn ich dir aber den AuthenticationPackages-Schlüssel lösche wirst du es mir nicht danken. Da kannst du dein System auch gleich neuaufsetzen. Ich hätte den Eintrag gelassen wie er ist, aber ich kann dir auch gleich noch nen reg-fix für den Eintrag hochladen. Die entsprechenden Datei gehört zu der *.ini und *.ini2-Datei und ist zeitgleich mit denen erstellt worden. Ist aber offensichtlich bereits gelöscht worden. Daher ist der Eintrag eigentlich auch nicht mehr in der Lage Schaden anzurichten. lg myrtille
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM Spelling mistakes? Never, but keybaord malfunctions constantly! |
|
23.09.2008, 13:20
| #8 |
| | "Vundo" und "TR/Crypt.XPACK.Gen" http://www.trojaner-board.de/images/smilies/aplaus.gif Logfile of The Avenger Version 2.0, (c) by Swandog46 h**p://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. No rootkits found! File "C:\WINDOWS\system32\frsusifg.ini" deleted successfully. File "C:\WINDOWS\system32\yhxauxpp.ini" deleted successfully. File "C:\WINDOWS\system32\smyfptmp.ini" deleted successfully. File "C:\WINDOWS\system32\f7688287-.txt" deleted successfully. File "C:\WINDOWS\system32\HOWHPqss.ini2" deleted successfully. File "C:\WINDOWS\system32\HOWHPqss.ini" deleted successfully. Error: could not delete registry value "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks|"{6928C803-AA5D-4B3A-9943-3C3F784A02BD}"" Deletion of registry value "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks|"{6928C803-AA5D-4B3A-9943-3C3F784A02BD}"" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\xxyvuSLB" deleted successfully. Completed script processing. ******************* Finished! Terminate. Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:20:24, on 23.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe D:\Windows Defender\MsMpEng.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe D:\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE D:\Windows Defender\MSASCui.exe D:\AntiVir PersonalEdition Classic\sched.exe D:\Mozilla Firefox\firefox.exe D:\HijackThis\HijackThis.exe C:\WINDOWS\system32\wuauclt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = h**p://go.microsoft.com/fwlink/?LinkId=54843 O2 - BHO: (no name) - {40BEA856-3AA1-4EDE-9ECA-FC4F1F64DFD3} - (no file) O4 - HKLM\..\Run: [Windows Defender] "D:\Windows Defender\MSASCui.exe" -hide O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O15 - Trusted Zone: w*w.arcor.de O15 - Trusted Zone: h**p://dl3.avgate.net O15 - Trusted Zone: w*w.chip.de O15 - Trusted Zone: w*w.google.de O15 - Trusted Zone: h**p://www.the-underdogs.info O15 - Trusted Zone: h**p://freemail.web.de O15 - Trusted Zone: h**p://download.windowsupdate.com O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe -- End of file - 2937 bytes Ist "O2 - BHO: (no name) - {40BEA856-3AA1-4EDE-9ECA-FC4F1F64DFD3} - (no file)" nicht noch was Unerfreuliches? http://www.trojaner-board.de/images/icons/icon5.gif |
|
24.09.2008, 05:45
| #9 |
| | "Vundo" und "TR/Crypt.XPACK.Gen" Moin, myrtille Ich frag nochmal nach, damit der Thread nach oben rutscht: Ist wieder alles ok mit meinem PC? (Ich kann jedenfalls nix Auffälliges beobachten, wenn ich mit dem Rechner arbeite.) Vielen Dank für Deine schnelle Hilfe, oh ADAC-Engel der Datenautobahnen Ich werd das Board empfehlen. Gruß Hansi |
|
24.09.2008, 10:44
| #10 | |
| /// TB-Ausbilder | "Vundo" und "TR/Crypt.XPACK.Gen" Hi, der Eintrag ist vor allem "nutzlos". Du kannst ihn und folgenden Eintrag einfach fixen: Zitat:
lg myrtille
__________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM Spelling mistakes? Never, but keybaord malfunctions constantly! |
|
| Themen zu "Vundo" und "TR/Crypt.XPACK.Gen" |
| anti maleware, antivir, avira, bho, ctfmon.exe, defender, explorer, firefox, format, hijack, hijackthis, hkus\s-1-5-18, home, internet, internet explorer, mehrere, microsoft, mozilla, object, programme, registry, software, suche, temp-ordner, tr/crypt.xpack.ge, tr/crypt.xpack.gen, trojaner, vundo, warnung, windows, windows defender, windows xp, windows xp sp3, xp sp3 |
Linear-Darstellung
