Bitte nicht schon wieder neu aufsetzen...

champpain · 06.10.2008, 11:27

Hallo.
Ich bin mir keiner Schuld bewusst. Seit den letzten Infektionen, habe ich äußerst penibel darauf geachtet, was ich so an dateien öffne & installiere, aber seit heute früh poppen im IE ständig Werbefenster auf.

Ist mal einer so nett und schaut über meine logfile?

Vielen Dank...

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:15:13, on 06.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\IFXTCS.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Common Files\AAV\aavus.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\bmwebcfg.exe
C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\gtdetectsc.exe
C:\Program Files\Common Files\GtFlashSwitch\GtFlashSwitch.exe
C:\WINDOWS\system32\IFXSPMGT.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\WINDOWS\D-Link NetDefend\ncprwsnt.exe
C:\WINDOWS\D-Link NetDefend\ncpsec.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\ProtectTools\Embedded Security Software\PSDsrvc.EXE
C:\WINDOWS\system32\PnkBstrA.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Novadigm\ManagementAgent\nvdkit.exe
C:\WINDOWS\D-Link NetDefend\rwsrsu.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\mqsvc.exe
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ProtectTools\Embedded Security Software\PSDrt.exe
C:\Program Files\ProtectTools\Embedded Security Software\SpTna.exe
C:\Program Files\HPQ\HP ProtectTools Security Manager\PTServs.exe
C:\WINDOWS\system32\AccelerometerSt.exe
C:\Program Files\HPQ\HP ProtectTools Security Manager\PTHOSTTR.EXE
C:\WINDOWS\System32\DLA\DLACTRLW.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
C:\WINDOWS\SMINST\Scheduler.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Microsoft ActiveSync\Wcescomm.exe
C:\PROGRA~1\hpq\Shared\HPQTOA~1.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\DAEMON Tools Pro\DTProAgent.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.hp.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = h**p=localhost:8118;h**ps=localhost:8118
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [AccelerometerSysTrayApplet] C:\WINDOWS\system32\AccelerometerSt.exe
O4 - HKLM\..\Run: [PTHOSTTR] C:\Program Files\HPQ\HP ProtectTools Security Manager\PTHOSTTR.EXE /Start
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\Sminst\Recguard.exe
O4 - HKLM\..\Run: [Scheduler] C:\WINDOWS\SMINST\Scheduler.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CognizanceTS] rundll32.exe C:\PROGRA~1\HPQ\IAM\Bin\AsTsVcc.dll,RegisterModule
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [SoundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Copperhead] C:\Program Files\Razer\Copperhead\razerhid.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [prunnet] "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe"
O4 - HKLM\..\Run: [23fc883e] rundll32.exe "C:\WINDOWS\system32\ioyrkveu.dll",b
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "C:\Program Files\DAEMON Tools Pro\DTProAgent.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [prunnet] "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe"
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe" /NoDialog (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Bluetooth.lnk = ?
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: PDFill PDF Editor - {FB858B22-55E2-413f-87F5-30ADC5552151} - C:\Program Files\PlotSoft\PDFill\DownloadPDF.exe
O10 - Unknown file in Winsock LSP: bmnet.dll
O10 - Unknown file in Winsock LSP: bmnet.dll
O10 - Unknown file in Winsock LSP: bmnet.dll
O14 - IERESET.INF: START_PAGE_URL=h**p://www.hp.com
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - h**p://a1540.g.akamai.net/7/1540/52/20070501/qtinstall.info.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {1F831FA3-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - file:///C:/Program%20Files/AutoCAD%202002%20Deu/InstFred.ocx
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - h**p://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1208630403562
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday-Steuerung) - file:///C:/Program%20Files/AutoCAD%202002%20Deu/AcDcToday.ocx
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) - h**p://javadl-esd.sun.com/update/1.4.2/jinstall-1_4_2-windows-i586.cab
O16 - DPF: {AE563724-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file:///C:/Program%20Files/AutoCAD%202002%20Deu/InstBanr.ocx
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DAF94F73-2AA6-44D8-A562-A28831820D34} (Pixum EasyUploadX Control) - h**p://www.pixum.de/int/EasyUpload/ImgUploader.cab
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview-Steuerung) - file:///C:/Program%20Files/AutoCAD%202002%20Deu/AcPreview.ocx
O20 - AppInit_DLLs: rqmhve.dll
O23 - Service: AAV UpdateService - Unknown owner - C:\Program Files\Common Files\AAV\aavus.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Bytemobile Web Configurator (bmwebcfg) - Bytemobile, Inc. - C:\WINDOWS\system32\bmwebcfg.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: GtDetectSc Service (gtdetectsc) - OptionNV - C:\WINDOWS\system32\gtdetectsc.exe
O23 - Service: GtFlashSwitch - OptionNV - C:\Program Files\Common Files\GtFlashSwitch\GtFlashSwitch.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Security Platform Management Service (IFXSpMgtSrv) - Infineon Technologies AG - C:\WINDOWS\system32\IFXSPMGT.exe
O23 - Service: Trusted Platform Core Service (IFXTCS) - Infineon Technologies AG - C:\WINDOWS\system32\IFXTCS.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: ncprwsnt - Unknown owner - C:\WINDOWS\D-Link NetDefend\ncprwsnt.exe
O23 - Service: NcpSec - Unknown owner - C:\WINDOWS\D-Link NetDefend\ncpsec.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Angel (PCA) - Unknown owner - C:\WINDOWS\TEMP\UPDATE\SMINST\PCAngel.exe (file missing)
O23 - Service: Personal Secure Drive Service (PersonalSecureDriveService) - Infineon Technologies AG - C:\Program Files\ProtectTools\Embedded Security Software\PSDsrvc.EXE
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Radia Management Agent (rma) - Unknown owner - C:/Novadigm/ManagementAgent/nvdkit.exe
O23 - Service: RwsRsu (rwsrsu) - Unknown owner - C:\WINDOWS\D-Link NetDefend\rwsrsu.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 14059 bytes

Chris4You · 06.10.2008, 12:16

Hi,

Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe
C:\WINDOWS\system32\ioyrkveu.dll
C:\WINDOWS\system32\rqmhve.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Falls alles erkannt wurde, hier weitermachen...
Also:
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:

ATTFilter

Registry values to replace with dummy: 
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs 

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|prunnet
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|23fc883e
 
Files to delete:
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe
C:\WINDOWS\system32\ioyrkveu.dll
C:\WINDOWS\system32\rqmhve.dll

Folders to delete:
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Beim fixen müssen alle Programme geschlossen sein!

Code:

ATTFilter

O4 - HKLM\..\Run: [prunnet] "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe"
O4 - HKLM\..\Run: [23fc883e] rundll32.exe "C:\WINDOWS\system32\ioyrkveu.dll",b
O4 - HKCU\..\Run: [prunnet] "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe"

Danach bitte noch MAM mit Fullscan und alles bereinigen lassen, poste das Log ovn MAM und
ein neues HJ-LOG!

Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html

Chris

champpain · 06.10.2008, 13:11

Ok.

prun.exe

Code:

ATTFilter

AhnLab-V3 2008.10.3.2 2008.10.06 - 
AntiVir 7.8.1.34 2008.10.06 - 
Authentium 5.1.0.4 2008.10.05 - 
Avast 4.8.1248.0 2008.10.05 - 
AVG 8.0.0.161 2008.10.05 - 
BitDefender 7.2 2008.10.06 Generic.Malware.SYd.3D473CFC 
CAT-QuickHeal 9.50 2008.10.06 (Suspicious) - DNAScan 
ClamAV 0.93.1 2008.10.06 - 
DrWeb 4.44.0.09170 2008.10.06 - 
eSafe 7.0.17.0 2008.10.05 Suspicious File 
eTrust-Vet 31.6.6131 2008.10.06 - 
Ewido 4.0 2008.10.05 - 
F-Prot 4.4.4.56 2008.10.05 - 
F-Secure 8.0.14332.0 2008.10.06 - 
Fortinet 3.113.0.0 2008.10.06 - 
GData 19 2008.10.06 Generic.Malware.SYd.3D473CFC 
Ikarus T3.1.1.34.0 2008.10.06 Trojan.Delf.Inject.BB 
K7AntiVirus 7.10.484 2008.10.04 - 
Kaspersky 7.0.0.125 2008.10.06 - 
McAfee 5398 2008.10.04 - 
Microsoft 1.4005 2008.10.06 - 
NOD32 3496 2008.10.06 probably unknown NewHeur_PE 
Norman 5.80.02 2008.10.03 - 
Panda 9.0.0.4 2008.10.05 - 
PCTools 4.4.2.0 2008.10.05 - 
Prevx1 V2 2008.10.06 Suspicious 
Rising 20.65.01.00 2008.10.06 - 
SecureWeb-Gateway 6.7.6 2008.10.06 - 
Sophos 4.34.0 2008.10.06 - 
Sunbelt 3.1.1704.1 2008.10.05 - 
Symantec 10 2008.10.06 - 
TheHacker 6.3.1.0.101 2008.10.04 - 
TrendMicro 8.700.0.1004 2008.10.06 - 
VBA32 3.12.8.6 2008.10.05 - 
ViRobot 2008.10.6.1408 2008.10.06 - 
VirusBuster 4.5.11.0 2008.10.05 - 
weitere Informationen 
File size: 33280 bytes 
MD5...: 1ada7e09592e50b27dc395a96418857c 
SHA1..: 1f6021b969e1dc7d8d272969487dddb8ebdd2de6 
SHA256: 67f9e1c763a3ce88412aca8ec074610cce70e5f78b520bcf72d5b65347d22c7d 
SHA512: 2c44fe8a6dd6fedf9831a315f9800d81a66eb1be6924400deb502ac27a930ae7
59bfd7ca0d6bd778683fc8ef3e414a13938f9c4c1018d16c30184ed408cb6270 
PEiD..: PECompact 2.xx --> BitSum Technologies 
TrID..: File type identification
Win32 EXE PECompact compressed (v2.x) (52.1%)
Win32 EXE PECompact compressed (generic) (36.7%)
Win32 Executable Generic (7.5%)
Generic Win/DOS Executable (1.7%)
DOS Executable Generic (1.7%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4010e0
timedatestamp.....: 0x48e91771 (Sun Oct 05 19:37:21 2008)
machinetype.......: 0x14c (I386)

( 2 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xf000 0x3000 7.89 8f5c00c8396bb3e1ac26b52077130226
.rsrc 0x10000 0x5000 0x5000 4.75 8b1aa156945d4e0e9779ba0fbfef1e56

( 2 imports ) 
> kernel32.dll: LoadLibraryA, GetProcAddress, VirtualAlloc, VirtualFree
> MSVBVM60.DLL: MethCallEngine

( 0 exports ) 
 
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=9109508600D4452882CE007F64C016006A89188C 
packers (Kaspersky): PE_Patch.PECompact, PecBundle, PECompact 
packers (F-Prot): PecBundle, PECompact

ioyrkveu.dll wird als eine andere, bereits gescannte datei erkannt (vvsndfvb.dl_)

Code:

ATTFilter

AhnLab-V3 2008.10.3.2 2008.10.03 - 
AntiVir 7.8.1.34 2008.10.04 - 
Authentium 5.1.0.4 2008.10.05 - 
Avast 4.8.1248.0 2008.10.05 - 
AVG 8.0.0.161 2008.10.05 - 
BitDefender 7.2 2008.10.06 Trojan.Vundo.FNR 
CAT-QuickHeal 9.50 2008.10.04 - 
ClamAV 0.93.1 2008.10.05 - 
DrWeb 4.44.0.09170 2008.10.05 - 
eSafe 7.0.17.0 2008.10.05 Suspicious File 
eTrust-Vet 31.6.6129 2008.10.04 Win32/VundoCryptorT!generic 
Ewido 4.0 2008.10.05 - 
F-Prot 4.4.4.56 2008.10.05 - 
F-Secure 8.0.14332.0 2008.10.06 Trojan.Win32.Monder.rhy 
Fortinet 3.113.0.0 2008.10.04 - 
GData 19 2008.10.06 Trojan.Vundo.FNR 
Ikarus T3.1.1.34.0 2008.10.06 Trojan.Win32.Vundo.IG 
K7AntiVirus 7.10.484 2008.10.04 - 
Kaspersky 7.0.0.125 2008.10.06 Trojan.Win32.Monder.rhy 
McAfee 5398 2008.10.04 Vundo.gen.k 
Microsoft 1.4005 2008.10.06 Trojan:Win32/Vundo.gen!R 
NOD32 3495 2008.10.04 - 
Norman 5.80.02 2008.10.03 - 
Panda 9.0.0.4 2008.10.05 - 
PCTools 4.4.2.0 2008.10.05 - 
Prevx1 V2 2008.10.06 Fraudulent Security Program 
Rising 20.63.62.00 2008.09.28 Packer.Win32.Agent.v 
SecureWeb-Gateway 6.7.6 2008.10.05 Win32.Malware.gen (suspicious) 
Sophos 4.34.0 2008.10.05 Troj/Virtum-Gen 
Sunbelt 3.1.1704.1 2008.10.05 - 
Symantec 10 2008.10.06 - 
TheHacker 6.3.1.0.101 2008.10.04 - 
TrendMicro 8.700.0.1004 2008.10.03 Possible_Vundo-5 
VBA32 3.12.8.6 2008.10.05 - 
ViRobot 2008.10.4.1406 2008.10.04 - 
VirusBuster 4.5.11.0 2008.10.05 Trojan.Monder.Gen!Pac 
weitere Informationen 
File size: 75264 bytes 
MD5...: 3fd58e5d6a5710bc6e8265ae2e145139 
SHA1..: 0339dff62e0d2f3e5315ed38a8fcfb14925dbdee 
SHA256: c2c0878fd67b48f382218fdbbc1c841a650a7d8be7b2a7ed713d6bba61902b7d 
SHA512: a63d4383ce040e09fdb387a7fa1adb741f7bda70455dfabc5593efc9900ee184
c12b1002e5fb349f27ae10f1cea56fc83618be42be542187383dfd9869957264 
PEiD..: - 
TrID..: File type identification
Win32 Executable Generic (38.4%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001000
timedatestamp.....: 0x0 (Thu Jan 01 00:00:00 1970)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x7000 0x6a00 7.96 994442fbfa1e822be2a04506595a572f
.data 0x8000 0x1000 0x400 4.64 d494c95c58506926c4f5d820a32d88e7
.rdata 0x9000 0x1c000 0xb400 7.94 38b110d9cc0583e5853f82626ad97bad

( 3 imports ) 
> USER32.dll: OemToCharBuffA, MessageBoxA, MessageBeep, LoadCursorFromFileA, LoadCursorA, EndPaint, EndDialog, EmptyClipboard, DrawTextA, DestroyCursor, CreateIconFromResourceEx, CreateDesktopA, CopyRect, CharToOemBuffA, CharNextA, ActivateKeyboardLayout
> KERNEL32.dll: lstrcmpiA, ReadFile, MapViewOfFile, InitializeCriticalSection, GetVersionExA, GetSystemTimeAsFileTime, GetStartupInfoA, GetModuleHandleA, ExitProcess, EnumResourceTypesA, EnumResourceLanguagesA, CloseHandle
> ADVAPI32.dll: RegQueryValueA, RegOpenKeyExA, RegCloseKey

( 0 exports ) 
 
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=3A4A5DF10047EA3B26D501EEA65370003B52A8D9

genauso rqmhve.dll (rkpjcgcn.dll)

Code:

ATTFilter

AhnLab-V3 2008.10.3.2 2008.10.06 - 
AntiVir 7.8.1.34 2008.10.04 - 
Authentium 5.1.0.4 2008.10.05 - 
Avast 4.8.1248.0 2008.10.05 - 
AVG 8.0.0.161 2008.10.05 - 
BitDefender 7.2 2008.10.06 - 
CAT-QuickHeal 9.50 2008.10.06 - 
ClamAV 0.93.1 2008.10.06 - 
DrWeb 4.44.0.09170 2008.10.05 - 
eSafe 7.0.17.0 2008.10.05 Suspicious File 
eTrust-Vet 31.6.6129 2008.10.04 Win32/VundoCryptorT!generic 
Ewido 4.0 2008.10.05 - 
F-Prot 4.4.4.56 2008.10.05 - 
F-Secure 8.0.14332.0 2008.10.06 - 
Fortinet 3.113.0.0 2008.10.06 - 
GData 19 2008.10.06 - 
Ikarus T3.1.1.34.0 2008.10.06 Trojan.Win32.Vundo.IG 
K7AntiVirus 7.10.484 2008.10.04 - 
Kaspersky 7.0.0.125 2008.10.06 - 
McAfee 5398 2008.10.04 - 
Microsoft 1.4005 2008.10.06 Trojan:Win32/Vundo.gen!R 
NOD32 3495 2008.10.04 - 
Norman 5.80.02 2008.10.03 - 
Panda 9.0.0.4 2008.10.05 - 
PCTools 4.4.2.0 2008.10.05 - 
Prevx1 V2 2008.10.06 - 
Rising 20.65.00.00 2008.10.06 Packer.Win32.Agent.v 
SecureWeb-Gateway 6.7.6 2008.10.06 Ad-Spyware.LooksLike.Virtumonde.alei 
Sophos 4.34.0 2008.10.06 Troj/Virtum-Gen 
Sunbelt 3.1.1704.1 2008.10.05 - 
Symantec 10 2008.10.06 - 
TheHacker 6.3.1.0.101 2008.10.04 - 
TrendMicro 8.700.0.1004 2008.10.06 Possible_Vundo-5 
VBA32 3.12.8.6 2008.10.05 - 
ViRobot 2008.10.6.1407 2008.10.06 - 
VirusBuster 4.5.11.0 2008.10.05 Trojan.Monder.Gen!Pac 
weitere Informationen 
File size: 111616 bytes 
MD5...: 707f24ca3271267d3fef7915bf44e5ed 
SHA1..: d2fdc2a504f55a021a70f8104d189d1ec5fbd58d 
SHA256: 66f2e244a4c8683f2287870a29e8cce524b965539ddcfe08c3ffda7efb2c34d4 
SHA512: ddfee04fe12fed5752b91e372076d542be60df510d4ff8a783758e7e490adda8
77cd78339fdf0cfaccb8f8095c237b872ad1896fb71e37f6fbb488b9df202142 
PEiD..: - 
TrID..: File type identification
Win32 Executable Generic (38.4%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001000
timedatestamp.....: 0x0 (Thu Jan 01 00:00:00 1970)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x16000 0x16000 7.99 151381b5cceccdf2818cd959dc668863
.data 0x17000 0x1000 0x400 4.75 66c59ab03ab7e5421e05893deb5c7628
.rdata 0x18000 0x27000 0x4c00 7.81 cd9324f635ea74f13cf3ca093613ee3b

( 3 imports ) 
> USER32.dll: OemToCharBuffA, MessageBoxA, MessageBeep, LoadCursorFromFileA, LoadCursorA, EndPaint, EndDialog, EmptyClipboard, DrawTextA, DestroyCursor, CreateIconFromResourceEx, CreateDesktopA, CopyRect, CharToOemBuffA, CharNextA, ActivateKeyboardLayout
> KERNEL32.dll: lstrcmpiA, ReadFile, MapViewOfFile, InitializeCriticalSection, GetVersionExA, GetSystemTimeAsFileTime, GetStartupInfoA, GetModuleHandleA, ExitProcess, EnumResourceTypesA, EnumResourceLanguagesA, CloseHandle
> ADVAPI32.dll: RegQueryValueA, RegOpenKeyExA, RegCloseKey

( 0 exports )

Jetzt gleich den avenger starten?

Grüße

Chris4You · 06.10.2008, 13:54

Hi,

ja, danach MAM und noch folgendes:

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris

champpain · 06.10.2008, 14:00

Ok,
avenger meldet folgendes:

Zitat:

Logfile of The Avenger Version 2.0, (c) by Swandog46
Swandog46's Public Anti-Malware Tools

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\prun.exe" deleted successfully.
File "C:\WINDOWS\system32\ioyrkveu.dll" deleted successfully.
File "C:\WINDOWS\system32\rqmhve.dll" deleted successfully.
Folder "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp" deleted successfully.
Registry value "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs" replaced with dummy successfully.
Registry value "HKLM\Software\Microsoft\Windows\CurrentVersion\Run|prunnet" deleted successfully.
Registry value "HKLM\Software\Microsoft\Windows\CurrentVersion\Run|23fc883e" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Geht gleich weiter...

Grüße

champpain · 08.10.2008, 18:46

Hallo.

MAM meldete folgendes:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1233
Windows 5.1.2600 Service Pack 3

08.10.2008 18:07:38
mbam-log-2008-10-08 (18-07-31).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 137741
Laufzeit: 44 minute(s), 28 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Leider shafft er es nicht diesen Vundo.RS wirklich zu löschen.
Nach einem reboot ist er wieder da.

Virustotal sagt:

Code:

ATTFilter

Antivirus Version letzte aktualisierung Ergebnis 
AhnLab-V3 2008.10.3.2 2008.10.07 - 
AntiVir 7.8.1.34 2008.10.07 - 
Authentium 5.1.0.4 2008.10.07 - 
Avast 4.8.1248.0 2008.10.06 - 
AVG 8.0.0.161 2008.10.06 - 
BitDefender 7.2 2008.10.07 - 
CAT-QuickHeal 9.50 2008.10.07 - 
ClamAV 0.93.1 2008.10.07 - 
DrWeb 4.44.0.09170 2008.10.07 - 
eSafe 7.0.17.0 2008.10.07 Suspicious File 
eTrust-Vet 31.6.6133 2008.10.07 Win32/VundoCryptorT!generic 
Ewido 4.0 2008.10.06 - 
F-Prot 4.4.4.56 2008.10.06 - 
F-Secure 8.0.14332.0 2008.10.07 - 
Fortinet 3.113.0.0 2008.10.07 - 
GData 19 2008.10.07 - 
Ikarus T3.1.1.34.0 2008.10.07 Trojan.Win32.Vundo.AY 
K7AntiVirus 7.10.486 2008.10.06 - 
Kaspersky 7.0.0.125 2008.10.07 - 
McAfee 5399 2008.10.07 - 
Microsoft 1.4005 2008.10.07 - 
NOD32 3500 2008.10.07 - 
Norman 5.80.02 2008.10.06 - 
Panda 9.0.0.4 2008.10.07 - 
PCTools 4.4.2.0 2008.10.06 - 
Prevx1 V2 2008.10.07 Fraudulent Security Program 
Rising 20.65.12.00 2008.10.07 Packer.Win32.Agent.v 
SecureWeb-Gateway 6.7.6 2008.10.07 Win32.Malware.gen (suspicious) 
Sophos 4.34.0 2008.10.07 Troj/Virtum-Gen 
Sunbelt 3.1.1707.1 2008.10.07 - 
Symantec 10 2008.10.07 - 
TheHacker 6.3.1.0.102 2008.10.07 - 
TrendMicro 8.700.0.1004 2008.10.07 Possible_Vundo-5 
VBA32 3.12.8.6 2008.10.07 - 
ViRobot 2008.10.7.1410 2008.10.07 - 
VirusBuster 4.5.11.0 2008.10.06 - 
weitere Informationen 
File size: 110592 bytes 
MD5...: ebc0b691d73250479b591369d60a453d 
SHA1..: 9df098f3023397ffbc949fe38dd34d3d9a9f6d70 
SHA256: 5b8aca757d9bd9da9e5f151806488cd5bf013db593312ffedf6b812d6c92d2ae 
SHA512: 714a9360cc38e50136f33ff09b2d230374c13c2fc38cd75f8875f314b0ec5779
14a8c86894092c3ffd912168b15a02167a6e62864b0a61e46ee81e9d1363ad04 
PEiD..: - 
TrID..: File type identification
Win32 Executable Generic (38.4%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001000
timedatestamp.....: 0x0 (Thu Jan 01 00:00:00 1970)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x16000 0x15400 7.99 cf6a0c6dc6df63cab6edad301f9ed19a
.data 0x17000 0x1000 0x400 4.75 66c59ab03ab7e5421e05893deb5c7628
.rdata 0x18000 0x27000 0x5400 7.79 df6a626d9c5c3ffcd3a471d39b131434

( 3 imports ) 
> USER32.dll: OemToCharBuffA, MessageBoxA, MessageBeep, LoadCursorFromFileA, LoadCursorA, EndPaint, EndDialog, EmptyClipboard, DrawTextA, DestroyCursor, CreateIconFromResourceEx, CreateDesktopA, CopyRect, CharToOemBuffA, CharNextA, ActivateKeyboardLayout
> KERNEL32.dll: lstrcmpiA, ReadFile, MapViewOfFile, InitializeCriticalSection, GetVersionExA, GetSystemTimeAsFileTime, GetStartupInfoA, GetModuleHandleA, ExitProcess, EnumResourceTypesA, EnumResourceLanguagesA, CloseHandle
> ADVAPI32.dll: RegQueryValueA, RegOpenKeyExA, RegCloseKey

( 0 exports ) 
 
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=0437B6B000811DD5B02201EDFC290700851D39BC

Kann ich den auch mit avenger killen?

Grüße

Bitte nicht schon wieder neu aufsetzen...

Log-Analyse und Auswertung: Bitte nicht schon wieder neu aufsetzen...