| |
| |||||||
Log-Analyse und Auswertung: Wiederkehrender TR/Spy.GenWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
01.12.2008, 02:11
| #1 |
| |  Wiederkehrender TR/Spy.Gen Hallo erst mal, ich hoffe, das ist das richtige Sub-Forum. Ich sitze hier an einem IBM Thinkpad mit Windows XP. Das begann vor einigen Wochen, langsamer zu werden und mit Flash zu zicken. Als Pessimist habe ich dann mal den Avira Virenscanner, Spybot und HijackThis drüber laufen lassen. Neben einigen Kleinigkeiten fand sich leider auch besagter TR/Spy.Gen darunter. Ich habe ihm dann entweder den Zugriff verweigert oder gelöscht, je nach dem, wo er sich befand. Der PC war nach der ganzen Säuberungsaktion auch erfreulich schneller. Nur leider kriege ich die Meldung bezüglich des TR immer mal wieder, selbst wenn ich ihn schon löschen lies. Er setzt sich leider primär im system Ordner in DLL Dateien ab, und ich weiß nicht wirklich, ob ich die alle löschen sollte. Zudem hatte ich auch schon nach Systemscans 0 gefundene Viren und am nächsten Tag schlug der Scanner auf einmal wieder aus. Aber aus dem nichts kann der Virus ja kaum kommen?! Zwischenfrage zudem: Kann ich solche DLLs dann einfach löschen lassen, oder wäre das eher unklug? Vorhin bekam ich auch drei mal direkt nacheinander die Meldung - nachdem ich die Remote Unterstützung starten wollte zweimal, und nachdem ich Irfan View starten wollte direkt noch mal. Wieder im System Ordner. Hijackthis Log im Anschluss (habe auch schon mit umbenanntem HijackThis gescannt). Laut hijackthis.de befindet sich nichts verdächtiges darunter, aber irgendwas MUSS ja sein. Verdächtiges meldete die Site übrigens auch zu dem Zeitpunkt, an dem ich noch nichts mit Avira löschen / verhindern lies, noch nicht. Nun denn... was habe ich zu befürchten, und was sollte ich tun? Randbemerkung: Mein PC hat auch gelegentlich Probleme, "raus" zu kommen, sprich Programme direkt mit dem Internet zu verbinden, was sich vor allem bei Updates oder Programmen, die Sachen bei der Installation erst laden, als ärgerlich erweist - Windows schließt die dann teilweise auch einfach mit einer Fehlermeldung. Kann das damit zusammenhängen? Dass eine Neuinstallation letztlich ratsam wäre, ist mir auch klar, nur würde ich das gerne bis in die Weihnachtsferien verschieben und unter Umständen vorher wenigstens den PC Störfaktorenfrei machen und meine Passwörter "anonym" wieder ändern, damit keiner sie missbrauchen kann oder sonst was. Ich bin bezüglich der Gefahren und Möglichkeiten dessen, was mir droht eher paranoid als informiert. Allerdings ging ich ja auch fälschlicherweise davon aus, dass das nicht-Herunterladen von Warez und sonst was und das Surfen mit "denken bevor man klickt" mich vor Viren schützen würde. Ein "Ableger" des Virus fand sich übrigens auch im UltraStar Ordner (wieder in einer DLL), und das hatte ich entweder von chip.de oder von der offiziellen Seite, also könnte ich mir das uU da gefangen haben, ansonsten habe ich keine Ahnung. Ich wüsste halt auch gerne, was ich da zukünftig tun kann, um eine Wiederholung zu vermeiden. EDIT: Ich sehe gerade, sogar in "System Volume Information" ist der Trojaner drin, dabei habe ich nie gesichert... kann er daher stammen? Ich habe den PC gebraucht gekauft und Win automatisch aufsetzen lassen. Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 01:56:50, on 01.12.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16735) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\ibmpmsvc.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Lavasoft\Ad-Aware\aawservice.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\system32\TpShocks.exe C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe C:\Programme\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe C:\WINDOWS\system32\dla\tfswctrl.exe C:\WINDOWS\system32\spoolsv.exe C:\IBMTOOLS\UTILS\ibmprc.exe C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE C:\WINDOWS\system32\rundll32.exe C:\Programme\Java\jre1.6.0_07\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\IBM\Messages By IBM\ibmmessages.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe C:\WINDOWS\System32\QCONSVC.EXE C:\Programme\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\TPHDEXLG.EXE C:\WINDOWS\system32\TpKmpSVC.exe C:\Programme\Miranda IM\miranda32.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avnotify.exe C:\Programme\IrfanView\i_view32.exe C:\Programme\Trend Micro\HijackThis\HiJackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper O4 - HKLM\..\Run: [TpShocks] TpShocks.exe O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe O4 - HKLM\..\Run: [TP4EX] tp4ex.exe O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe O4 - HKLM\..\Run: [SoundMAX] C:\Programme\Analog Devices\SoundMAX\Smax4.exe /tray O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe O4 - HKLM\..\Run: [IBMPRC] C:\IBMTOOLS\UTILS\ibmprc.exe O4 - HKLM\..\Run: [QCWLICON] C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor O4 - HKLM\..\Run: [BLOG] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\ibmmessages.exe O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm O11 - Options group: [JAVA_IBM] Java (IBM) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1208985441156 O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1208985807609 O17 - HKLM\System\CCS\Services\Tcpip\..\{0BAA3D7D-E348-446F-ABBA-642AE7C075C7}: NameServer = 195.50.140.252 195.50.140.114 O20 - Winlogon Notify: acpiz - acpiz.dll (file missing) O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe O23 - Service: ACU Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation - C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: IBM Rapid Restore Ultra Service - Unknown owner - C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\system32\ibmpmsvc.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: IBM PSA Access Driver Control (PsaSrv) - Unknown owner - C:\WINDOWS\system32\PsaSrv.exe (file missing) O23 - Service: QCONSVC - IBM Corp. - C:\WINDOWS\System32\QCONSVC.EXE O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe O23 - Service: IBM HDD APS Logging Service (TPHDEXLGSVC) - IBM Corporation - C:\WINDOWS\System32\TPHDEXLG.EXE O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe -- End of file - 7286 bytes Geändert von Alphavictim (01.12.2008 um 02:42 Uhr) Grund: Logile leslicher gemacht |
| Themen zu Wiederkehrender TR/Spy.Gen |
| ad-aware, antivir, antivirus, auf einmal, avira, chip.de, dll dateien, firefox, frage, gebraucht, hijack, hijackthis, hkus\s-1-5-18, hängen, installation, internet, internet explorer, mozilla, rundll, scan, senden, software, starten, system, trojaner, updates, virus, wiederholung, windows, windows xp sp3, windows xp., xp sp3, zugriff verweigert, ändern |
Baum-Darstellung