Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: BDS/Poison.ktr

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 09.10.2008, 18:49   #1
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



Hey Leute,
Ich habe ein Problem mit dem Virus "BDS/Poison.ktr". Dieses Ding hat laut Avira AntiVir den Pfad: "C:WINDOWS/WindowsUpdate.exe" befallen.
Ich habe einen EeePC mit dem Windows XP Home Edition Service Pack 3..
Wortgetreu sagte Avira:"In der Datei 'C:\WINDOWS\WindowsUpdate.exe'
wurde ein Virus oder unerwünschtes Programm 'BDS/Poison.ktr' [backdoor] gefunden."
Ich bitte um Hilfe...

MfG
Kühninio

Alt 10.10.2008, 17:59   #2
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



Hallo und

Acker diese Punkte für weitere Analysen ab:

1.) Poste ein (neues) Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:
[code] Hier das Logfile rein! [/code]
7.) Mach auch ein Filelisting mit diesem script:
  • Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
  • Doppelklick auf listing8.cmd auf dem Desktop
  • nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.
__________________

__________________

Alt 11.10.2008, 11:03   #3
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



Hijackthis Logfile

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:00:56, on 11.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\EeePC\ACPI\AsAcpiSvr.exe
C:\Programme\EeePC\ACPI\AsEPCMon.exe
C:\Programme\EeePC\ACPI\AsTray.exe
C:\Programme\Elantech\ETDCtrl.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Asus\EeePC\Super Hybrid Engine\SuperHybridEngine.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Dokumente und Einstellungen\F*****K****\Desktop\qlketzd.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://eeepc.asus.com/global
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [AsusACPIServer] C:\Programme\EeePC\ACPI\AsAcpiSvr.exe
O4 - HKLM\..\Run: [AsusEPCMonitor] C:\Programme\EeePC\ACPI\AsEPCMon.exe
O4 - HKLM\..\Run: [AsusTray] C:\Programme\EeePC\ACPI\AsTray.exe
O4 - HKLM\..\Run: [ETDWare] C:\Programme\Elantech\ETDCtrl.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: SuperHybridEngine.lnk = ?
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1222440403828
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 7188 bytes
__________________

Alt 11.10.2008, 11:06   #4
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



MBR Logfile

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Alt 11.10.2008, 11:16   #5
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



fsbl Logfile
Code:
ATTFilter
10/11/08 11:08:07 [Info]: BlackLight Engine 2.2.1092 initialized
10/11/08 11:08:07 [Info]: OS: 5.1 build 2600 (Service Pack 3)
10/11/08 11:08:07 [Note]: 7019 4
10/11/08 11:08:07 [Note]: 7005 0
10/11/08 11:08:13 [Note]: 7006 0
10/11/08 11:08:13 [Note]: 7011 1932
10/11/08 11:08:13 [Note]: 7035 0
10/11/08 11:08:14 [Note]: 7026 0
10/11/08 11:08:14 [Note]: 7026 0
10/11/08 11:08:19 [Note]: FSRAW library version 1.7.1024
10/11/08 11:10:37 [Note]: 2000 1012
10/11/08 11:14:48 [Note]: 7007 0
         


Geändert von Kühninio (11.10.2008 um 12:15 Uhr)

Alt 11.10.2008, 11:58   #6
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



Silentrunners Silentrunner

File-Upload.net - Startup-Programs--LAPTOP_K-HNINIO--2008-10-11-11.50.29.txt

Alt 11.10.2008, 12:15   #7
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



MBAM Logfile

Code:
ATTFilter
Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1253
Windows 5.1.2600 Service Pack 3

11.10.2008 12:13:53
mbam-log-2008-10-11 (12-13-53).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 101283
Laufzeit: 53 minute(s), 59 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

Alt 11.10.2008, 12:27   #8
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



Combo Fix

Code:
ATTFilter
ComboFix 08-10-10.09 - Fabian Kühne 2008-10-11 12:22:10.1 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.1.1031.18.635 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\F*****K****\Desktop\ComboFix.exe
 * Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\admintxt.txt

.
(((((((((((((((((((((((   Dateien erstellt von 2008-09-11 bis 2008-10-11  ))))))))))))))))))))))))))))))
.

2010-07-10 20:30 . 2008-10-11 10:43	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2010-07-10 20:05 . 2010-07-10 20:05	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\WLInstaller
2008-10-11 11:17 . 2008-10-11 11:17	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Malwarebytes
2008-10-11 11:17 . 2008-10-11 11:17	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-10-11 10:44 . 2008-10-11 10:44	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\skypePM
2008-10-11 10:43 . 2008-10-11 11:05	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Skype
2008-10-09 18:06 . 2008-10-09 18:06	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Lavasoft
2008-10-06 17:20 . 2008-10-06 17:20	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\InterVideo
2008-10-05 17:45 . 2008-10-05 17:46	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\vlc
2008-10-03 12:53 . 2008-10-03 12:53	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
2008-09-30 23:28 . 2008-09-30 23:28	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Windows Live Writer
2008-09-29 13:33 . 2008-09-29 13:36	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\ICQ
2008-09-28 22:33 . 2008-09-28 22:33	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Template
2008-09-28 22:33 . 2008-09-29 16:37	760	--a------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\wklnhst.dat
2008-09-28 13:52 . 2008-09-29 06:45	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-09-26 20:47 . 2010-07-10 19:49	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Vorlagen
2008-09-26 20:47 . 2010-07-10 19:49	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Vorlagen
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Startmenü
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Startmenü
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Netzwerkumgebung
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Netzwerkumgebung
2008-09-26 20:47 . 2008-10-11 12:23	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Lokale Einstellungen
2008-09-26 20:47 . 2008-10-11 12:23	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Lokale Einstellungen
2008-09-26 20:47 . 2008-10-02 15:55	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Favoriten
2008-09-26 20:47 . 2008-10-02 15:55	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Favoriten
2008-09-26 20:47 . 2008-10-06 16:14	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Eigene Dateien
2008-09-26 20:47 . 2008-10-06 16:14	<DIR>	dr-------	C:\Dokumente und Einstellungen\FK\Eigene Dateien
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Druckumgebung
2008-09-26 20:47 . 2010-07-10 20:45	<DIR>	d--h-----	C:\Dokumente und Einstellungen\FK\Druckumgebung
2008-09-26 20:47 . 2010-07-10 20:16	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Bluetooth Software
2008-09-26 20:47 . 2010-07-10 20:16	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Bluetooth Software
2008-09-26 20:47 . 2010-07-10 20:12	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\InstallShield
2008-09-26 20:47 . 008-10-11 11:17	<DIR>	dr-h-----	C:\Dokumente und Einstellungen\FK\Anwendungsdaten
2008-09-26 20:47 . 2008-10-11 11:17	<DIR>	dr-h-----	C:\Dokumente und Einstellungen\FK\Anwendungsdaten
2008-09-26 19:41 . 2008-09-26 19:41	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\TuneUp Software
2008-09-26 19:40 . 2008-09-26 19:40	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TuneUp Software
2008-09-26 16:46 . 2008-09-26 16:46	<DIR>	d--hs----	C:\Dokumente und Einstellungen\FK\UserData
2008-09-26 16:46 . 2008-09-26 16:46	<DIR>	d--hs----	C:\Dokumente und Einstellungen\FK\UserData
2008-09-26 16:22 . 2008-09-29 23:43	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\StarOffice8
2008-09-26 16:14 . 2008-09-26 16:14	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Messenger Plus!
2008-09-26 16:13 . 2008-10-05 17:36	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Apple Computer
2008-09-26 16:11 . 2008-09-26 16:12	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer
2008-09-26 16:10 . 2008-09-26 16:10	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple
2008-09-26 16:08 . 2008-09-26 16:10	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ECAP
2008-09-26 15:59 . 2008-09-26 15:59	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Thunderbird
2008-09-26 15:59 . 2008-09-26 15:59	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Anwendungsdaten\Talkback
2008-09-26 15:19 . 2008-09-28 14:51	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Contacts
2008-09-26 15:19 . 2008-09-28 14:51	<DIR>	d--------	C:\Dokumente und Einstellungen\FK\Contacts
2008-09-26 15:11 . 2008-09-26 15:11	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-07-10 18:28	---------	d-----w	C:\Programme\InterVideo
2010-07-10 18:27	---------	d-----w	C:\Programme\Gemeinsame Dateien\InterVideo
2010-07-10 18:24	---------	d-----w	C:\Programme\Sun
2010-07-10 18:23	---------	d-----w	C:\Programme\Java
2010-07-10 18:23	---------	d-----w	C:\Programme\Gemeinsame Dateien\Java
2010-07-10 18:17	---------	d-----w	C:\Programme\Asus
2010-07-10 18:14	---------	d-----w	C:\Programme\WIDCOMM
2010-07-10 18:14	---------	d-----w	C:\Programme\RALINK
2010-07-10 18:13	---------	d-----w	C:\Programme\EeePC
2010-07-10 18:11	---------	d-----w	C:\Programme\Intel
2010-07-10 18:10	315,392	----a-w	C:\WINDOWS\HideWin.exe
2010-07-10 18:07	---------	dcsh--w	C:\Programme\Gemeinsame Dateien\WindowsLiveInstaller
2010-07-10 18:04	---------	d-----w	C:\Programme\Microsoft SQL Server Compact Edition
2010-07-10 17:53	---------	d-----w	C:\Programme\microsoft frontpage
2010-07-10 17:51	---------	d-----w	C:\Programme\Online-Dienste
2010-07-10 17:51	---------	d-----w	C:\Programme\Gemeinsame Dateien\Dienste
2008-10-11 10:18	---------	d-----w	C:\Programme\CCleaner
2008-10-11 09:19	---------	d-----w	C:\Programme\Malwarebytes' Anti-Malware
2008-10-11 08:43	---------	d-----w	C:\Programme\Skype
2008-10-11 08:43	---------	d-----w	C:\Programme\Gemeinsame Dateien\Skype
2008-10-10 23:07	---------	d-----w	C:\Programme\Mozilla Thunderbird
2008-10-09 16:09	---------	d-----w	C:\Programme\Lavasoft
2008-10-09 16:09	---------	d-----w	C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-10-05 15:43	---------	d-----w	C:\Programme\VideoLAN
2008-10-03 10:53	---------	d-----w	C:\Programme\iTunes
2008-10-03 10:53	---------	d-----w	C:\Programme\iPod
2008-09-30 21:28	---------	d-----w	C:\Programme\Windows Live Toolbar
2008-09-29 13:25	---------	d-----w	C:\Programme\Gemeinsame Dateien\Adobe
2008-09-29 11:36	---------	d-----w	C:\Programme\ICQ6
2008-09-29 11:35	---------	d--h--w	C:\Programme\InstallShield Installation Information
2008-09-28 11:58	---------	d-----w	C:\Programme\Microsoft Works
2008-09-28 11:57	---------	d-----w	C:\Programme\MSBuild
2008-09-28 11:56	---------	d-----w	C:\Programme\Microsoft.NET
2008-09-28 11:44	685,816	----a-w	C:\WINDOWS\system32\drivers\sptd.sys
2008-09-26 19:02	---------	d-----w	C:\Programme\Windows Media Connect 2
2008-09-26 17:41	361,728	----a-w	C:\WINDOWS\system32\TuneUpDefragService.exe
2008-09-26 17:41	---------	d-----w	C:\Programme\TuneUp Utilities 2008
2008-09-26 14:12	---------	d-----w	C:\Programme\QuickTime
2008-09-26 14:11	---------	d-----w	C:\Programme\Gemeinsame Dateien\Apple
2008-09-26 14:11	---------	d-----w	C:\Programme\Apple Software Update
2008-09-26 13:25	---------	d-----w	C:\Programme\Messenger Plus! Live
2008-09-26 13:11	---------	d-----w	C:\Programme\Avira
2008-09-26 12:59	---------	d-----w	C:\Programme\Windows Live
2008-09-09 22:04	38,528	----a-w	C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-09 22:03	17,200	----a-w	C:\WINDOWS\system32\drivers\mbam.sys
2008-07-18 20:10	94,920	----a-w	C:\WINDOWS\system32\cdm.dll
2008-07-18 20:10	53,448	----a-w	C:\WINDOWS\system32\wuauclt.exe
2008-07-18 20:10	45,768	----a-w	C:\WINDOWS\system32\wups2.dll
2008-07-18 20:10	36,552	----a-w	C:\WINDOWS\system32\wups.dll
2008-07-18 20:09	563,912	----a-w	C:\WINDOWS\system32\wuapi.dll
2008-07-18 20:09	325,832	----a-w	C:\WINDOWS\system32\wucltui.dll
2008-07-18 20:09	205,000	----a-w	C:\WINDOWS\system32\wuweb.dll
2008-07-18 20:09	1,811,656	----a-w	C:\WINDOWS\system32\wuaueng.dll
2008-07-18 20:07	270,880	----a-w	C:\WINDOWS\system32\mucltui.dll
2008-07-18 20:07	210,976	----a-w	C:\WINDOWS\system32\muweb.dll
2008-07-18 13:05	28,416	----a-w	C:\WINDOWS\system32\uxtuneup.dll
2008-07-16 11:14	16,806,400	----a-w	C:\WINDOWS\RTHDCPL.exe
2008-07-15 05:47	1,196,032	----a-w	C:\WINDOWS\RtlUpd.exe
2008-05-07 14:34	15,523,560	----a-w	C:\Programme\U1 Setup.exe
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="C:\Programme\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
"AsusACPIServer"="C:\Programme\EeePC\ACPI\AsAcpiSvr.exe" [2008-06-03 479232]
"AsusEPCMonitor"="C:\Programme\EeePC\ACPI\AsEPCMon.exe" [2008-05-21 94208]
"AsusTray"="C:\Programme\EeePC\ACPI\AsTray.exe" [2008-06-03 98304]
"ETDWare"="C:\Programme\Elantech\ETDCtrl.exe" [2008-07-23 335872]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-09-06 413696]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2008-10-01 289576]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 15360]

C:\Dokumente und Einstellungen\All Users\Startmen\Programme\Autostart\
SuperHybridEngine.lnk - C:\Programme\Asus\EeePC\Super Hybrid Engine\SuperHybridEngine.exe [2010-07-10 303104]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" -atboottime
"HotKeysCmds"=C:\WINDOWS\system32\hkcmd.exe
"IgfxTray"=C:\WINDOWS\system32\igfxtray.exe
"ISUSPM Startup"=C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
"ISUSScheduler"="C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
"Persistence"=C:\WINDOWS\system32\igfxpers.exe
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe"
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
"RTHDCPL"=RTHDCPL.EXE
"Alcmtr"=ALCMTR.EXE
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
"GrooveMonitor"="C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"C:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2008-04-14 14336]
R3 AsusACPI;ASUS ACPI Driver;C:\WINDOWS\system32\DRIVERS\ASUSACPI.sys [2007-07-26 11264]
R3 Ktp;Elantech Smart-Pad;C:\WINDOWS\system32\DRIVERS\ETD.sys [2008-07-14 25088]
R3 L1e;Miniport Driver for Atheros AR8121/AR8113/AR8114 PCI-E Ethernet Controller;C:\WINDOWS\system32\DRIVERS\l1e51x86.sys [2008-03-11 36864]
R3 RT80x86;Ralink 802.11n Wireless Driver;C:\WINDOWS\system32\DRIVERS\RT2860.sys [2008-03-28 625024]
S3 EverestDriver;Lavalys EVEREST Kernel Driver;C:\Programme\Lavalys\EVEREST Ultimate Edition\kerneld.wnt [ ]
S3 TuneUp.Defrag;TuneUp Drive Defrag-Dienst;C:\WINDOWS\System32\TuneUpDefragService.exe [2008-09-26 361728]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp

*Newly Created Service* - MBR
*Newly Created Service* - PROCEXP90
.
Inhalt des "geplante Tasks" Ordners

2008-10-11 C:\WINDOWS\Tasks\1-Klick-Wartung.job
- C:\Programme\TuneUp Utilities 2008\OneClickStarter.exe [2008-08-21 18:47]

2008-09-26 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job
- C:\Programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-Adobe Reader Speed Launcher - C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
MSConfigStartUp-MsnMsgr - C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe


.
------- Zusätzlicher Suchlauf -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\Fabian Kühne\Anwendungsdaten\Mozilla\Firefox\Profiles\pn6euv96.default\
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.de/ig?hl=de&source=iglk
FF -: plugin - C:\Programme\iTunes\Mozilla Plugins\npitunes.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-11 12:23:49
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EverestDriver]
"ImagePath"="\??\C:\Programme\Lavalys\EVEREST Ultimate Edition\kerneld.wnt"
.
Zeit der Fertigstellung: 2008-10-11 12:24:58
ComboFix-quarantined-files.txt  2008-10-11 10:24:54

Vor Suchlauf: 8 Verzeichnis(se), 72.735.113.216 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 72,726,351,872 Bytes frei

213	--- E O F ---	2008-09-29 04:45:09
         

Geändert von Kühninio (11.10.2008 um 12:34 Uhr)

Alt 11.10.2008, 12:37   #9
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



7.

Script

Alt 11.10.2008, 15:01   #10
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BDS/Poison.ktr - Icon32

BDS/Poison.ktr



Zitat:
Zitat von Kühninio Beitrag anzeigen
Das war nix. Versuch es so: Geh in Arbeitsplatz / Extras / Ordneroptionen / Ansicht - dort den Haken rausnehmen bei "Erweiterungen bei bekannten Dateitypen ausblenden", fortan werden Dir bei (fast) allen Dateien auch die Endungen angezeigt.

Stell dann sicher, dass mein CMD-Scrript auch tatsächlich dann die Endung .CMD hat und kein .TXT oder so. Sie sollte dann dieses Symbol haben



Danach sollte durch ein Doppelklick das Script auch ausgeführt werden.

Die anderen Logs schau ich mir noch an.
__________________
"Die Wahrheit ist normalerweise nur eine Entschuldigung für einen Mangel an Fantasie." (Elim Garak)

Das Trojaner-Board unterstützen
Warum Linux besser als Windows ist!

Alt 11.10.2008, 16:47   #11
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BDS/Poison.ktr - Cool

BDS/Poison.ktr



Also die Logfile sind okay, aber überprüf mal Deine Systemzeit. Ich hab da Dateien gesehen, die aus dem Jahre 2010 stammen!
__________________
"Die Wahrheit ist normalerweise nur eine Entschuldigung für einen Mangel an Fantasie." (Elim Garak)

Das Trojaner-Board unterstützen
Warum Linux besser als Windows ist!

Alt 11.10.2008, 20:39   #12
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



jetz aber 7.
danke für sie schnelle antwort...


File-Upload.net - listing.txt

Alt 12.10.2008, 02:48   #13
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



wie meinst du das mit der systemzeit.....erklär mal bitte genauer was du meinst und wie ich vorgehen soll....das wäre sehr lieb...du merkst, dass ich nich wirklich nen plan von der materie habe...

MfG
Kühninio

Alt 12.10.2008, 20:32   #14
Kühninio
 
BDS/Poison.ktr - Standard

BDS/Poison.ktr



hey....kann mir da jetz jmd helfen???

Alt 12.10.2008, 21:34   #15
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BDS/Poison.ktr - Icon32

BDS/Poison.ktr



Sagt Dir Systemzeit nichts?
Mach einen Doppelklick auf die Uhr in Windows und überprüf ob Datum und Uhrzeit richtig sind...
__________________
"Die Wahrheit ist normalerweise nur eine Entschuldigung für einen Mangel an Fantasie." (Elim Garak)

Das Trojaner-Board unterstützen
Warum Linux besser als Windows ist!

Antwort

Themen zu BDS/Poison.ktr
antivir, avira, avira antivir, backdoor, c:\windows, datei, edition, eeepc, gefunde, home, leute, problem, programm, service, unerwünschtes, unerwünschtes programm, virus, windows xp, xp home



Ähnliche Themen: BDS/Poison.ktr


  1. Poison Ivy als Fernwartungstool geeignet?
    Überwachung, Datenschutz und Spam - 26.12.2015 (6)
  2. Backdoor:Win32/poison.E
    Plagegeister aller Art und deren Bekämpfung - 03.01.2015 (10)
  3. TNS Poison: Oracle-Anwender fordern Patch statt Workaround
    Nachrichten - 07.05.2012 (0)
  4. MagGlass.exe Poison.1011(185) + andere von Tojaner-hunter gefunden - FP?
    Log-Analyse und Auswertung - 30.10.2011 (11)
  5. Probleme mit BDS/Poison.bppb
    Diskussionsforum - 01.08.2010 (1)
  6. informationen zum trojaner poison ivy
    Plagegeister aller Art und deren Bekämpfung - 08.07.2010 (3)
  7. Backdoor via Antivir entdeckt: BDS.Poison.ifn
    Log-Analyse und Auswertung - 31.05.2010 (19)
  8. verseuchte .exe ausgeführt (poison.backdoor)
    Log-Analyse und Auswertung - 10.03.2010 (5)
  9. BDS/Poison.awur
    Plagegeister aller Art und deren Bekämpfung - 07.12.2009 (0)
  10. Backdoor.Win32.Poison.ajns
    Plagegeister aller Art und deren Bekämpfung - 28.07.2009 (1)
  11. 077exe pds/poison png rancid
    Log-Analyse und Auswertung - 21.01.2009 (0)
  12. eventuell noch trojaner? Trojan-PSW.Win32.Delf.cqp, Backdoor.Win32.Poison.jmo
    Log-Analyse und Auswertung - 21.11.2008 (0)
  13. BDS/Poison.ktr
    Mülltonne - 09.10.2008 (0)
  14. Poison Ivy befallen
    Mülltonne - 18.07.2008 (1)

Zum Thema BDS/Poison.ktr - Hey Leute, Ich habe ein Problem mit dem Virus "BDS/Poison.ktr". Dieses Ding hat laut Avira AntiVir den Pfad: "C:WINDOWS/WindowsUpdate.exe" befallen. Ich habe einen EeePC mit dem Windows XP Home Edition - BDS/Poison.ktr...
Archiv
Du betrachtest: BDS/Poison.ktr auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.