Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Trojanerbefall: werde Vundo und Monder nicht los

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML

Antwort
Alt 16.12.2008, 15:01   #1
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Hallo Trojaner-Boarder und -Boarderinnen!

habe seit ein paar Tagen ziemliche Probleme mit Trojanern. Soweit ich mich erinnere, fing es an, als ich eine Bedienungsanleitung von der Sony-Website runtergeladen hatte. Nehme aber an, dass die Trojaner doch eher von woanders kommen.
Wahrscheinlich hängen folgende Symptome mit dem Trojaner-Befall zusammen: Ab und zu öffnet sich der Internet Explorer von alleine (nutze eigentlich nur Firefox) und versucht, mich auf obskure "Trojaner-Sicherheits-Checks" einzulassen. Habe leider vergessen, mir die Website aufzuschreiben. Außderdem meldet Windows (noch das gute alte XP) beim Starten eine fehlende dll, die mir auch sehr verdächtig erscheint (poste die gleich noch mal nach, wenn ich neu gestartet habe).
AntiVir meldet beim Suchlauf immer mal wieder Funde, dann wieder scheint alles ok zu sein (eine Frage am Rande: Falls ich eine verdächtige Datei checken lassen wollte: Habe nicht herausfinden können, wo das sogenannte Quarantäne-Verzeichnis von AntiVir eigentlich ist, in das die Dateien verschoben werden).

Vielen Dank schon mal im Voraus für etwaige Hilfsversuche.

Gruß, maddox


Hier sind ein logfile von AntiVir (noch ohne Win32-Dateiheuristik beim Scannen bei der Win32-Dateiheuristik) und das von HiJackThis, ich poste gleich noch ein 2. logfile von AntiVir hinterher, in dem dann die Einstellung für die Win32-Dateiheuristik auf "Erkennungsstufe hoch" stand):
  1. AntiVir 1, vom 15.12., ohne Win32-Dateiheuristik:
    Code:
    ATTFilter
    Avira AntiVir Personal
    Erstellungsdatum der Reportdatei: Montag, 15. Dezember 2008  15:20
    
    Es wird nach 1087356 Virenstämmen gesucht.
    
    Lizenznehmer:     Avira AntiVir PersonalEdition Classic
    Seriennummer:     0000149996-ADJIE-0001
    Plattform:        Windows XP
    Windowsversion:   (Service Pack 2)  [5.1.2600]
    Boot Modus:       Normal gebootet
    Benutzername:     SYSTEM
    Computername:     SAPHIRA0106
    
    Versionsinformationen:
    BUILD.DAT     : 8.2.0.337      16934 Bytes  18.11.2008 13:01:00
    AVSCAN.EXE    : 8.1.4.10      315649 Bytes  25.11.2008 16:28:10
    AVSCAN.DLL    : 8.1.4.0        48897 Bytes  18.07.2008 07:30:02
    LUKE.DLL      : 8.1.4.5       164097 Bytes  18.07.2008 07:30:04
    LUKERES.DLL   : 8.1.4.0        12545 Bytes  18.07.2008 07:30:04
    ANTIVIR0.VDF  : 7.1.0.0     15603712 Bytes  27.10.2008 19:02:28
    ANTIVIR1.VDF  : 7.1.0.197    1170432 Bytes  07.12.2008 08:30:46
    ANTIVIR2.VDF  : 7.1.0.230     156160 Bytes  14.12.2008 09:52:02
    ANTIVIR3.VDF  : 7.1.0.233      12800 Bytes  15.12.2008 09:52:02
    Engineversion : 8.2.0.45  
    AEVDF.DLL     : 8.1.0.6       102772 Bytes  15.10.2008 17:40:04
    AESCRIPT.DLL  : 8.1.1.19      336252 Bytes  11.12.2008 18:36:24
    AESCN.DLL     : 8.1.1.5       123251 Bytes  08.11.2008 10:04:40
    AERDL.DLL     : 8.1.1.3       438645 Bytes  06.11.2008 07:10:50
    AEPACK.DLL    : 8.1.3.4       393591 Bytes  12.11.2008 07:25:00
    AEOFFICE.DLL  : 8.1.0.33      196987 Bytes  11.12.2008 18:36:22
    AEHEUR.DLL    : 8.1.0.75     1524087 Bytes  11.12.2008 18:36:20
    AEHELP.DLL    : 8.1.2.0       119159 Bytes  21.11.2008 15:43:04
    AEGEN.DLL     : 8.1.1.8       323956 Bytes  11.12.2008 18:36:16
    AEEMU.DLL     : 8.1.0.9       393588 Bytes  15.10.2008 17:39:58
    AECORE.DLL    : 8.1.5.2       172405 Bytes  29.11.2008 08:07:02
    AEBB.DLL      : 8.1.0.3        53618 Bytes  15.10.2008 17:39:56
    AVWINLL.DLL   : 1.0.0.12       15105 Bytes  18.07.2008 07:30:02
    AVPREF.DLL    : 8.0.2.0        38657 Bytes  18.07.2008 07:30:02
    AVREP.DLL     : 8.0.0.2        98344 Bytes  03.08.2008 15:35:26
    AVREG.DLL     : 8.0.0.1        33537 Bytes  18.07.2008 07:30:02
    AVARKT.DLL    : 1.0.0.23      307457 Bytes  21.04.2008 14:56:14
    AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  18.07.2008 07:30:02
    SQLITE3.DLL   : 3.3.17.1      339968 Bytes  21.04.2008 14:56:14
    SMTPLIB.DLL   : 1.2.0.23       28929 Bytes  18.07.2008 07:30:04
    NETNT.DLL     : 8.0.0.1         7937 Bytes  21.04.2008 14:56:14
    RCIMAGE.DLL   : 8.0.0.51     2371841 Bytes  18.07.2008 07:30:00
    RCTEXT.DLL    : 8.0.52.0       86273 Bytes  18.07.2008 07:30:00
    
    Konfiguration für den aktuellen Suchlauf:
    Job Name.........................: Vollständige Systemprüfung
    Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp
    Protokollierung..................: niedrig
    Primäre Aktion...................: interaktiv
    Sekundäre Aktion.................: ignorieren
    Durchsuche Masterbootsektoren....: ein
    Durchsuche Bootsektoren..........: ein
    Bootsektoren.....................: C:, D:, 
    Durchsuche aktive Programme......: ein
    Durchsuche Registrierung.........: ein
    Suche nach Rootkits..............: aus
    Datei Suchmodus..................: Alle Dateien
    Durchsuche Archive...............: ein
    Rekursionstiefe einschränken.....: 20
    Archiv Smart Extensions..........: ein
    Makrovirenheuristik..............: ein
    Dateiheuristik...................: aus
    
    Beginn des Suchlaufs: Montag, 15. Dezember 2008  15:20
    
    Der Suchlauf über gestartete Prozesse wird begonnen:
    Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'WMIPRVSE.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SOFFICE.BIN' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SOFFICE.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'OLFSNT40.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'ATKOSD.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'ALG.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'CTFMON.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'BatteryLife.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'TotRecSched.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'AVGNT.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'EOUWiz.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'iFrmewrk.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'WCOURIER.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'ALU.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'HControl.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess '1XConfig.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'EXPLORER.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'ZCfgSvc.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SPMGR.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'OProtSvc.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'NVSVC32.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'IGDCTRL.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'AVGUARD.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SCHED.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SPOOLSV.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'LSASS.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SERVICES.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'WINLOGON.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'CSRSS.EXE' - '1' Modul(e) wurden durchsucht
    Durchsuche Prozess 'SMSS.EXE' - '1' Modul(e) wurden durchsucht
    Es wurden '52' Prozesse mit '52' Modulen durchsucht
    
    Der Suchlauf über die Masterbootsektoren wird begonnen:
    Masterbootsektor HD0
        [INFO]      Es wurde kein Virus gefunden!
    
    Der Suchlauf über die Bootsektoren wird begonnen:
    Bootsektor 'C:\'
        [INFO]      Es wurde kein Virus gefunden!
    Bootsektor 'D:\'
        [INFO]      Es wurde kein Virus gefunden!
    
    Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
    C:\WINDOWS\system32\kpcelquc.dll
        [FUND]      Ist das Trojanische Pferd TR/Monder.acfd
        [WARNUNG]   Die Datei konnte nicht gelöscht werden!
        [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK lib durchzuführen.
        [HINWEIS]   Die Datei wurde gelöscht.
    
    Die Registry wurde durchsucht ( '69' Dateien ).
    
    
    Der Suchlauf über die ausgewählten Dateien wird begonnen:
    
    Beginne mit der Suche in 'C:\'
    C:\ARK51.tmp
        [FUND]      Ist das Trojanische Pferd TR/Monder.acfd
        [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003
        [WARNUNG]   Die Datei konnte nicht gelöscht werden!
        [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK lib durchzuführen.
        [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bcf2586.qua' verschoben!
    C:\pagefile.sys
        [WARNUNG]   Die Datei konnte nicht geöffnet werden!
    C:\hiberfil.sys
        [WARNUNG]   Die Datei konnte nicht geöffnet werden!
    C:\WINDOWS\system32\qpsjuviu.dll
        [FUND]      Ist das Trojanische Pferd TR/Monder.abwh
        [HINWEIS]   Die Datei wurde gelöscht.
    C:\WINDOWS\system32\pxfmmmpe.dll
        [FUND]      Ist das Trojanische Pferd TR/Monder.abwi
        [HINWEIS]   Die Datei wurde gelöscht.
    C:\WINDOWS\system32\imeqmrbe.dll
        [FUND]      Ist das Trojanische Pferd TR/Monder.acfd
        [HINWEIS]   Die Datei wurde gelöscht.
    C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\bbzvqp.dll
        [FUND]      Ist das Trojanische Pferd TR/Monder.abwh
        [HINWEIS]   Die Datei wurde gelöscht.
    C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OHIJWXYN\zc113432[1]
        [FUND]      Ist das Trojanische Pferd TR/Monder.acfd
        [HINWEIS]   Die Datei wurde gelöscht.
    Beginne mit der Suche in 'D:\'
    
    
    Ende des Suchlaufs: Montag, 15. Dezember 2008  16:03
    Benötigte Zeit: 42:19 Minute(n)
    
    Der Suchlauf wurde vollständig durchgeführt.
    
       8197 Verzeichnisse wurden überprüft
     349133 Dateien wurden geprüft
          7 Viren bzw. unerwünschte Programme wurden gefunden
          0 Dateien wurden als verdächtig eingestuft
          6 Dateien wurden gelöscht
          0 Viren bzw. unerwünschte Programme wurden repariert
          1 Dateien wurden in die Quarantäne verschoben
          0 Dateien wurden umbenannt
          2 Dateien konnten nicht durchsucht werden
     349124 Dateien ohne Befall
       7971 Archive wurden durchsucht
          4 Warnungen
          7 Hinweise
             
  2. HiJackThis:
    Code:
    ATTFilter
    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 14:02:22, on 16.12.2008
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v7.00 (7.00.6000.16762)
    Boot mode: Normal
    
    Running processes:
    C:\Programme\Intel\Wireless\Bin\ZcfgSvc.exe
    C:\WINDOWS\Explorer.EXE
    C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
    C:\WINDOWS\ATK0100\HControl.exe
    C:\WINDOWS\RTHDCPL.EXE
    C:\Programme\ASUS\ASUS Live Update\ALU.exe
    C:\Programme\ASUS\Wireless Console\wcourier.exe
    C:\Programme\Synaptics\SynTP\SynTPLpr.exe
    C:\Programme\Synaptics\SynTP\SynTPEnh.exe
    C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
    C:\Programme\Intel\Wireless\Bin\EOUWiz.exe
    C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
    C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
    C:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
    C:\Programme\QuickTime\qttask.exe
    C:\Programme\ASUS\Power4 Gear\BatteryLife.exe
    C:\WINDOWS\system32\ctfmon.exe
    C:\WINDOWS\ATK0100\ATKOSD.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\Programme\Microsoft Office 2000\Office\1031\OLFSNT40.EXE
    C:\Programme\OpenOffice.org 2.0\program\soffice.exe
    C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
    C:\Programme\Mozilla Firefox\firefox.exe
    C:\Programme\Trend Micro\HijackThis\HijackThis.exe
    
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.asus.com
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
    R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.asus.com/
    O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
    O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
    O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
    O4 - HKLM\..\Run: [ASUS Live Update] C:\Programme\ASUS\ASUS Live Update\ALU.exe
    O4 - HKLM\..\Run: [Wireless Console] C:\Programme\ASUS\Wireless Console\wcourier.exe
    O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
    O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [IntelZeroConfig] C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
    O4 - HKLM\..\Run: [IntelWireless] C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless
    O4 - HKLM\..\Run: [EOUApp] C:\Programme\Intel\Wireless\Bin\EOUWiz.exe
    O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
    O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
    O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
    O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
    O4 - HKLM\..\Run: [TotalRecorderScheduler] "C:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe"
    O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM\..\Run: [Power_Gear] C:\Programme\ASUS\Power4 Gear\BatteryLife.exe 1
    O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
    O4 - HKLM\..\Run: [c4641d4e] rundll32.exe "C:\WINDOWS\system32\wfdkbdxo.dll",b
    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
    O4 - HKCU\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
    O4 - HKCU\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVDtray.exe
    O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\byXPJApQ.dll,#1
    O4 - HKCU\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"
    O4 - HKCU\..\Run: [cmds] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\cbXPiFYo.dll,c
    O4 - HKCU\..\Run: [gadcom] "C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\gadcom\gadcom.exe" 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
    O4 - HKCU\..\Run: [MS Juan] rundll32 "C:\DOKUME~1\XXX\LOKALE~1\Temp\odssfl.dll",run
    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
    O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
    O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office 2000\Office\OSA9.EXE
    O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office 2000\Office\1031\OLFSNT40.EXE
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
    O14 - IERESET.INF: START_PAGE_URL=h**p://www.asus.com
    O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
    O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
    O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
    O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
    O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
    O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe
    O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
    O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
    O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
    O23 - Service: OwnershipProtocol - Intel Corporation - C:\Programme\Intel\Wireless\Bin\OProtSvc.exe
    O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
    O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
    O23 - Service: spmgr - Unknown owner - C:\Programme\ASUS\NB Probe\SPM\spmgr.exe
    
    --
    End of file - 7466 bytes
             

Alt 16.12.2008, 15:15   #2
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



So, folgende 3 (!) dlls wurden beim Start moniert:
  • odssfl.dll
  • byXPJApQ.dll
  • wfdkbdxo.dll
Jeweils mit folgender Meldung, wobei die drei Fragezeichen für die jeweilige dll stehen:
Code:
ATTFilter
Fehler beim Laden von C:\DOKUME~1\XXX\LOKALE~1\Temp\???
Das angegebene Modul wurde nicht gefunden.
         
Hier noch das 2. logfile von AntiVir, mit hoher Erkennungsstufe für die Win32-Dateiheuristik:
Code:
ATTFilter
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 16. Dezember 2008  14:20

Es wird nach 1088754 Virenstämmen gesucht.

Lizenznehmer:     Avira AntiVir PersonalEdition Classic
Seriennummer:     0000149996-ADJIE-0001
Plattform:        Windows XP
Windowsversion:   (Service Pack 2)  [5.1.2600]
Boot Modus:       Normal gebootet
Benutzername:     SYSTEM
Computername:     SAPHIRA0106

Versionsinformationen:
BUILD.DAT     : 8.2.0.337      16934 Bytes  18.11.2008 13:01:00
AVSCAN.EXE    : 8.1.4.10      315649 Bytes  25.11.2008 16:28:10
AVSCAN.DLL    : 8.1.4.0        48897 Bytes  18.07.2008 07:30:02
LUKE.DLL      : 8.1.4.5       164097 Bytes  18.07.2008 07:30:04
LUKERES.DLL   : 8.1.4.0        12545 Bytes  18.07.2008 07:30:04
ANTIVIR0.VDF  : 7.1.0.0     15603712 Bytes  27.10.2008 19:02:28
ANTIVIR1.VDF  : 7.1.0.197    1170432 Bytes  07.12.2008 08:30:46
ANTIVIR2.VDF  : 7.1.0.230     156160 Bytes  14.12.2008 09:52:02
ANTIVIR3.VDF  : 7.1.0.238      36352 Bytes  16.12.2008 08:28:10
Engineversion : 8.2.0.45  
AEVDF.DLL     : 8.1.0.6       102772 Bytes  15.10.2008 17:40:04
AESCRIPT.DLL  : 8.1.1.19      336252 Bytes  11.12.2008 18:36:24
AESCN.DLL     : 8.1.1.5       123251 Bytes  08.11.2008 10:04:40
AERDL.DLL     : 8.1.1.3       438645 Bytes  06.11.2008 07:10:50
AEPACK.DLL    : 8.1.3.4       393591 Bytes  12.11.2008 07:25:00
AEOFFICE.DLL  : 8.1.0.33      196987 Bytes  11.12.2008 18:36:22
AEHEUR.DLL    : 8.1.0.75     1524087 Bytes  11.12.2008 18:36:20
AEHELP.DLL    : 8.1.2.0       119159 Bytes  21.11.2008 15:43:04
AEGEN.DLL     : 8.1.1.8       323956 Bytes  11.12.2008 18:36:16
AEEMU.DLL     : 8.1.0.9       393588 Bytes  15.10.2008 17:39:58
AECORE.DLL    : 8.1.5.2       172405 Bytes  29.11.2008 08:07:02
AEBB.DLL      : 8.1.0.3        53618 Bytes  15.10.2008 17:39:56
AVWINLL.DLL   : 1.0.0.12       15105 Bytes  18.07.2008 07:30:02
AVPREF.DLL    : 8.0.2.0        38657 Bytes  18.07.2008 07:30:02
AVREP.DLL     : 8.0.0.2        98344 Bytes  03.08.2008 15:35:26
AVREG.DLL     : 8.0.0.1        33537 Bytes  18.07.2008 07:30:02
AVARKT.DLL    : 1.0.0.23      307457 Bytes  21.04.2008 14:56:14
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  18.07.2008 07:30:02
SQLITE3.DLL   : 3.3.17.1      339968 Bytes  21.04.2008 14:56:14
SMTPLIB.DLL   : 1.2.0.23       28929 Bytes  18.07.2008 07:30:04
NETNT.DLL     : 8.0.0.1         7937 Bytes  21.04.2008 14:56:14
RCIMAGE.DLL   : 8.0.0.51     2371841 Bytes  18.07.2008 07:30:00
RCTEXT.DLL    : 8.0.52.0       86273 Bytes  18.07.2008 07:30:00

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:, 
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch

Beginn des Suchlaufs: Dienstag, 16. Dezember 2008  14:20

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HijackThis.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'FIREFOX.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOFFICE.BIN' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOFFICE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OLFSNT40.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ATKOSD.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTFMON.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BatteryLife.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TotRecSched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AVGNT.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EOUWiz.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iFrmewrk.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WCOURIER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ALU.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HControl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess '1XConfig.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EXPLORER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ZCfgSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WMIPRVSE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ALG.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SPMGR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OProtSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NVSVC32.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IGDCTRL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AVGUARD.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SCHED.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SPOOLSV.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SVCHOST.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LSASS.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SERVICES.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WINLOGON.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CSRSS.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SMSS.EXE' - '1' Modul(e) wurden durchsucht
Es wurden '54' Prozesse mit '54' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '68' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\hiberfil.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
C:\ARK3.tmp
    [FUND]      Ist das Trojanische Pferd TR/Vundo.NU
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4992ab80.qua erstellt ( QUARANTÄNE )
    [WARNUNG]   Die Datei konnte nicht gelöscht werden!
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK lib durchzuführen.
    [HINWEIS]   Die Datei wurde gelöscht.
C:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\'


Ende des Suchlaufs: Dienstag, 16. Dezember 2008  14:53
Benötigte Zeit: 33:04 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

   8349 Verzeichnisse wurden überprüft
 349592 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      1 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      2 Dateien konnten nicht durchsucht werden
 349589 Dateien ohne Befall
   7979 Archive wurden durchsucht
      3 Warnungen
      1 Hinweise
         
Gruß, maddox
__________________


Alt 16.12.2008, 16:39   #3
Argus
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei

O4 - HKLM\..\Run: [c4641d4e] rundll32.exe "C:\WINDOWS\system32\wfdkbdxo.dll",b
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\byXPJApQ.dll,#1
O4 - HKCU\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\cbXPiFYo.dll,c
O4 - HKCU\..\Run: [gadcom] "C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\gadcom\gadcom.exe" 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
O4 - HKCU\..\Run: [MS Juan] rundll32 "C:\DOKUME~1\XXX\LOKALE~1\Temp\odssfl.dll",run

klicke: Fix checked

Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

Benutze malwarebytes-anti-malware
http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html
Note: Wähle bei Reiter:
“Scanner”> "Quickscan durchfuehren".
“Update “> klicke “Suche nache Aktualisierungen“
“Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“
Scan laufen lassen
Und poste das Log
__________________

Alt 16.12.2008, 18:34   #4
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Danke für die schnelle Antwort!

Hier das logfile von malewarebytes:
Code:
ATTFilter
Malwarebytes' Anti-Malware 1.31
Database version: 1506
Windows 5.1.2600 Service Pack 2

16.12.2008 18:32:25
mbam-log-2008-12-16 (18-32-13).txt

Scan type: Quick Scan
Objects scanned: 59103
Time elapsed: 4 minute(s), 28 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 1
Registry Keys Infected: 7
Registry Values Infected: 1
Registry Data Items Infected: 0
Folders Infected: 2
Files Infected: 2

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> No action taken.

Registry Keys Infected:
HKEY_CURRENT_USER\SOFTWARE\{5222008a-dd62-49c7-a735-7bd18ecc7350} (Rogue.VirusRemover) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\virusremover2008 (Rogue.VirusRemove) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\MS Juan (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cmds (Trojan.Vundo) -> No action taken.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
C:\Programme\Network Monitor (Trojan.DNSChanger) -> No action taken.
C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\gadcom (Trojan.Agent) -> No action taken.

Files Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> No action taken.
C:\Programme\Network Monitor\netmon.exe (Trojan.DNSChanger) -> No action taken.
         
Gruß, maddox

Alt 16.12.2008, 18:57   #5
john.doe
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Hast du beim mbam auch Löschen lassen, wie es in der Anleitung steht?
http://www.trojaner-board.de/51187-a...i-malware.html

Poste bitte ein aktuelles HJT-Log. Kopiere diesmal alles mit und vergiss nicht die Links zu deaktivieren.

Ich werde mal übernehmen. root24, Argus

ciao, andreas


Alt 16.12.2008, 19:52   #6
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Sorry, war wohl nicht ganz aufmerksam beim Lesen der Anleitung. Hier also der log vom kompletten scan durch malwarbytes:
Code:
ATTFilter
Malwarebytes' Anti-Malware 1.31
Database version: 1506
Windows 5.1.2600 Service Pack 2

16.12.2008 19:48:42
mbam-log-2008-12-16 (19-48-42).txt

Scan type: Full Scan (C:\|D:\|)
Objects scanned: 122085
Time elapsed: 33 minute(s), 53 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 1
Registry Keys Infected: 0
Registry Values Infected: 1
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 2

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> Delete on reboot.

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cmds (Trojan.Vundo) -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\QWRtaW4\asappsrv.dll (Adware.CommAd) -> Quarantined and deleted successfully.
         
Mach jetzt den reboot, den das Programm fordert und poste dann den HiJackThis-log.

Gruß, maddox

Alt 16.12.2008, 20:03   #7
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



So, hier der aktuelle HJT-Report:
Code:
ATTFilter
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:56:46, on 16.12.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\Programme\Intel\Wireless\Bin\ZcfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\HControl.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ASUS\ASUS Live Update\ALU.exe
C:\Programme\ASUS\Wireless Console\wcourier.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\Intel\Wireless\Bin\EOUWiz.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe
C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ASUS\Power4 Gear\BatteryLife.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Microsoft Office 2000\Office\1031\OLFSNT40.EXE
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.asus.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.asus.com/
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ASUS Live Update] C:\Programme\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [Wireless Console] C:\Programme\ASUS\Wireless Console\wcourier.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IntelZeroConfig] C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
O4 - HKLM\..\Run: [IntelWireless] C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] C:\Programme\Intel\Wireless\Bin\EOUWiz.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] "C:\Programme\HighCriteria\TotalRecorder\TotRecSched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Power_Gear] C:\Programme\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVDtray.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\cbXPiFYo.dll,c
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office 2000\Office\OSA9.EXE
O4 - Global Startup: Symantec Fax Starter Edition-Anschluss.lnk = C:\Programme\Microsoft Office 2000\Office\1031\OLFSNT40.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=h**p://www.asus.com
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: OwnershipProtocol - Intel Corporation - C:\Programme\Intel\Wireless\Bin\OProtSvc.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: spmgr - Unknown owner - C:\Programme\ASUS\NB Probe\SPM\spmgr.exe

--
End of file - 7027 bytes
         
Mir fällt natürlich auf, dass der folgende Eintrag immer noch da steht, obwohl er doch schon mal gelöscht worden war oder zumindest gelöscht werden sollte:
Code:
ATTFilter
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\DOKUME~1\XXX\LOKALE~1\Temp\cbXPiFYo.dll,c
         
Gruß, maddox

Alt 16.12.2008, 20:37   #8
john.doe
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Code:
ATTFilter
C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Lokale Einstellungen\Temp\cbXPiFYo.dll
         
Solltest du die Datei nicht finden, so lasse alle Dateien mit der Endung .dll aus dem Ordner
C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Lokale Einstellungen\Temp\ auswerten.

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

HTML-Code:
[code] Hier das Logfile rein! [/code]
7.) Mach auch ein Filelisting mit diesem script:
  • Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
  • Doppelklick auf listing8.cmd auf dem Desktop
  • nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Alt 16.12.2008, 21:53   #9
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



So, dann wollen wir mal:

Als 1. die VirusTotal-Auswertung von cbXPiFYo.dll:
Code:
ATTFilter
Datei cbXPiFYo.dll empfangen 2008.12.16 21:42:29 (CET)
Ergebnis: 5/38 (13.16%)
	
Antivirus 	Version 	        letzte aktualisierung 	Ergebnis
AhnLab-V3	2008.12.17.0	2008.12.16	                -
AntiVir	7.9.0.45	        2008.12.16	                -
Authentium	5.1.0.4	        2008.12.16	                -
Avast	        4.8.1281.0	        2008.12.16	                -
AVG	        8.0.0.199	        2008.12.16	                Vundo.CE
BitDefender	7.2	                2008.12.16	                -
CAT-QuickHeal 10.00	        2008.12.16	                -
ClamAV	0.94.1	        2008.12.16	                -
Comodo	764	                2008.12.16	                -
DrWeb	4.44.0.09170	2008.12.16	                Trojan.Virtumod.855
eSafe	        7.0.17.0	        2008.12.16	                -
eTrust-Vet	31.6.6263	        2008.12.16	                -
Ewido       	4.0	                2008.12.16	                -
F-Prot	4.4.4.56	        2008.12.16	                -
F-Secure	8.0.14332.0	        2008.12.16	                -
Fortinet	3.117.0.0	        2008.12.16	                -
GData	19	                2008.12.16	                -
Ikarus	T3.1.1.45.0	        2008.12.16	                -
K7AntiVirus	7.10.555	        2008.12.16	                -
Kaspersky	7.0.0.125	        2008.12.16	                -
McAfee	5465	                2008.12.15	                -
McAfee+Artemis	5466	        2008.12.16	                -
Microsoft	1.4205	        2008.12.16	                Trojan:Win32/Vundo.D
NOD32	3696	                2008.12.16	                -
Norman	5.80.02	        2008.12.16	                -
Panda	9.0.0.4	        2008.12.15	                -
PCTools	4.4.2.0	        2008.12.16	                -
Prevx1	V2	                2008.12.16	                -
Rising 	21.08.12.00	        2008.12.16	                AdWare.Win32.Undef.drs
SecureWeb-Gateway 6.7.6	2008.12.16	                -
Sophos	4.36.0	        2008.12.16	                Troj/Virtum-Gen
Sunbelt	3.2.1801.2	        2008.12.11	                -
Symantec	10	                2008.12.16	                -
TheHacker	6.3.1.4.189	        2008.12.16	                -
TrendMicro	8.700.0.1004	2008.12.16	                -
VBA32	3.12.8.10	        2008.12.16	                -
ViRobot	2008.12.16.1521	2008.12.16	                -
VirusBuster	4.5.11.0	        2008.12.16	                -
weitere Informationen
File size: 302592 bytes
MD5...: bede091ea1f175b9a4051fc07867154e
SHA1..: f2d6874176b03f09a74260913c3491ccc1bef46e
SHA256: 9177f08589d200d9c4678a00dc6fe7e89b589ff012fa37614615f68acc0f1cf3
SHA512: 46538ff2e99e80fc2484f000c52ef9ac18b2943cdbe0d5da432c7a83fc85ec00
41ea2c55ceadbb1c3828f25ab2f73ae3383e72693e2ffbe3623e7650723f0288
ssdeep: 6144:86zFj6lI7uKDANzUnr2+D0xP34iU+4/hgOCcB+v+oaLABK+HW:1zF2+7uKD
moZDhiU//eJMoaLAK
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.5%)
Win32 Dynamic Link Library (generic) (34.2%)
Clipper DOS Executable (9.1%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1009f022
timedatestamp.....: 0x48236402 (Thu May 08 20:35:14 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1000 0x200 7.51 b1095254c42170f4dbc355f10186b625
.rdata 0x2000 0x1000 0x200 7.59 47806500e89126ffb996790b4ecd4c40
.data 0x3000 0x9b000 0x46a00 8.00 502b160cd84b5220f8d5a30ede33ed91
.data 0x9e000 0x1000 0x400 2.27 8cdd8b3b89cab926b208664db64230b9
.pdata 0x9f000 0x3000 0x2800 4.89 4056ae8224c42028e960272717fad943

( 4 imports )
> USER32.dll: SystemParametersInfoA, GetSystemMetrics
> KERNEL32.dll: ExitProcess, GetSystemInfo, CreateFileA
> GDI32.dll: CreateHalftonePalette
> comdlg32.dll: PrintDlgExW

( 0 exports )
         

Alt 16.12.2008, 22:04   #10
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



So, Systemwiederherstellung ist deaktiviert.

mbr.log hört sich für mich Laien nicht so gut an, oder muss ich das als Admin machen? Probier ich gleich auch noch mal aus.
Code:
ATTFilter
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR 
kernel: error reading MBR
         
Lasse gerade Malwarebytes laufen. Logfile kommt sofort, wenn der scan abgeschlossen ist.

Gruß, maddox

Alt 16.12.2008, 22:50   #11
john.doe
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Versuche mbr noch einmal im abgesicherten Modus zu starten.

Alt 16.12.2008, 22:51   #12
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Malwarebytes' Anti-Malware:
Code:
ATTFilter
Malwarebytes' Anti-Malware 1.31
Database version: 1508
Windows 5.1.2600 Service Pack 2

16.12.2008 22:45:50
mbam-log-2008-12-16 (22-45-50).txt

Scan type: Full Scan (C:\|D:\|)
Objects scanned: 122215
Time elapsed: 42 minute(s), 39 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 1
Registry Keys Infected: 4
Registry Values Infected: 3
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 3

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> Delete on reboot.

Registry Keys Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\MS Juan (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cmds (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\c4641d4e (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MS Juan (Trojan.Agent) -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\pjijgxbf.dll (Trojan.Agent) -> Delete on reboot.
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\jrorbh.dll (Trojan.Agent) -> Delete on reboot.
         
Mache gleich den reboot und mach mich an die anderen Punkte.

Alt 16.12.2008, 23:20   #13
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Weiß nicht, wie ich BlackLight ein log-file entlocken soll. Jedenfalls liefert der scan keine "hidden items".

Habe gerade bemerkt, dass ich den Viren-Wächter beim letzten Anti-Malware-Scan nicht deaktiviert hatte, seufz. Also noch mal das Ganze.

Alt 16.12.2008, 23:23   #14
john.doe
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Kann passieren.

Das Logfile findest du im selben Ordner, in dem sich fsbl.exe befindet.
Es hat den Namen: fsbl-<date-and-time>.log

Geändert von john.doe (16.12.2008 um 23:39 Uhr)

Alt 16.12.2008, 23:58   #15
maddox
 
Trojanerbefall: werde Vundo und Monder nicht los - Standard

Trojanerbefall: werde Vundo und Monder nicht los



Also hier noch mal Anti-Malware bei deaktiviertem Virenwächter:
Code:
ATTFilter
Malwarebytes' Anti-Malware 1.31
Datenbank Version: 1508
Windows 5.1.2600 Service Pack 2

16.12.2008 23:50:11
mbam-log-2008-12-16 (23-50-11).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 122840
Laufzeit: 37 minute(s), 1 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\pjijgxbf.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\fbxgjijp.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temp\cbXPiFYo.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\XXX\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OLYNO5AB\zc113432[1] (Trojan.Vundo.H) -> Quarantined and deleted successfully.
         
Probier als nächstes die mbr-Geschichte im abgesicherten Modus.

Antwort

Themen zu Trojanerbefall: werde Vundo und Monder nicht los
0 bytes, avgnt.exe, canon, content.ie5, dsl, einstellung, ellung, fehler, firefox, frage, hijack, hijackthis, hkus\s-1-5-18, hängen, igdctrl.exe, internet, internet explorer, jusched.exe, logfile, logon.exe, monder, mozilla, net.exe, nt.dll, registry, rthdcpl.exe, rundll, scan, software, starten, suchlauf, svchost.exe, symantec, verweise, virus, virus gefunden, vundo, warnung, windows



Ähnliche Themen: Trojanerbefall: werde Vundo und Monder nicht los


  1. TR/Monder.bbwm und TR/Vundo.Gen im System32 Ordner
    Plagegeister aller Art und deren Bekämpfung - 23.02.2009 (29)
  2. Monder & Vundo
    Plagegeister aller Art und deren Bekämpfung - 26.01.2009 (0)
  3. Vundo und Monder Trojaner!
    Log-Analyse und Auswertung - 08.01.2009 (0)
  4. TR/Monder.aanv und TR/Vundo.Gen'
    Mülltonne - 15.12.2008 (0)
  5. TR/Monder.tzt + TR/Vundo.Gen
    Mülltonne - 24.10.2008 (0)
  6. Werde Reg-Einträge des Trojan.Vundo.H nicht los
    Plagegeister aller Art und deren Bekämpfung - 04.09.2008 (3)
  7. monder/ crypt/ vundo/ hilfe
    Plagegeister aller Art und deren Bekämpfung - 25.08.2008 (12)
  8. Trojaner gefunden TR/Monder und TR/Vundo.gen
    Log-Analyse und Auswertung - 26.07.2008 (11)
  9. Benötige Hilfe beim Bekämpfen von TR/Monder.alx, TR/Vundo.Gen, TR/Crypt.XPACK.Gen!!!
    Plagegeister aller Art und deren Bekämpfung - 19.07.2008 (13)
  10. TR Monder 97792.1 / 91136.10 und Vundo.Gen hartnäckig! Bitte Hilfe!
    Log-Analyse und Auswertung - 28.06.2008 (10)
  11. TR/Monder.XP und TR/Vundo.Gen Eingefangen
    Plagegeister aller Art und deren Bekämpfung - 23.06.2008 (10)
  12. Kriege Vundo/Monder Trojaner nicht entfernt
    Plagegeister aller Art und deren Bekämpfung - 20.06.2008 (8)
  13. TR Vundo und TR monder: Hilfe bei Logfileauswertung gesucht
    Log-Analyse und Auswertung - 15.06.2008 (1)
  14. TR/Vundo, TR/Monder
    Plagegeister aller Art und deren Bekämpfung - 15.06.2008 (4)
  15. Bitte Hilfe bei Löschen von zwei Trojanern: TR/PCK.Monder.45056.4 und TR/Vundo.Gen
    Log-Analyse und Auswertung - 22.05.2008 (1)
  16. Trojan.Vundo.DLY - Hilfe ! Werde ihn nicht los !
    Log-Analyse und Auswertung - 19.06.2007 (3)
  17. Werde Trojan.Vundo.DLY nicht los - bitte um Hilfe !!!
    Mülltonne - 15.06.2007 (1)

Zum Thema Trojanerbefall: werde Vundo und Monder nicht los - Hallo Trojaner-Boarder und -Boarderinnen! habe seit ein paar Tagen ziemliche Probleme mit Trojanern. Soweit ich mich erinnere, fing es an, als ich eine Bedienungsanleitung von der Sony-Website runtergeladen hatte. Nehme - Trojanerbefall: werde Vundo und Monder nicht los...
Archiv
Du betrachtest: Trojanerbefall: werde Vundo und Monder nicht los auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.