Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 07.08.2004, 19:47   #1
meebo
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Icon16

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Hi Trojaner-Board-Team

ich hoffe, dass dieser Post angesichts der Probleme anderer User nicht unnötig ist, ich als absolut unerfahrener User im Ungang mit Trojanern komme aber einfach nicht weiter. Wie viele andere auch habe ich das Problem mit der HomeSearch Seite (URL:res://mdvgt.dll/index.html#37794), die sich als Startseite nicht entfernen lässt sowie mit den ständigen Pop-Ups.

Ich habe viele Foreneinträge gelesen (in verschiedenen), habe einiges ausprobiert (z.B. den Tipp mit dem Download von http://oz.msie.tv/uninstall.exe bzw. dem hochschrauben aller AntiVirGuard Einstellungen, habe mit eScan im abgesicherten Modus gescannt (... nichts gefunden) und habe mit der automatischen HijackThis Analyse die als böse eingestuften Einträge gefixt ... gebracht hat's alles nichts, bei jedem I-Explorerstart (ich schwöre, dass ich Browser wechseln werde, wenn das Problem hier gelöst ist ...) und Win-Explorer Start kommt folgende Meldung:

"C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02"

Löschen lässt sie sich natürlich nicht ...

Also hier ist mein (im abgesicherten Modus erstelltes) HiJackThis-Log:

Logfile of HijackThis v1.98.1
Scan saved at 20:36:15, on 07.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Wenn mir jemand detailliert beschreiben könnte, was zutun ist (wie gesagt, ich habe KEINERLEI Erfahrung im Umgang mit Trojanern bzw. Editieren der Registry etc.) wäre ich ihm zu höchstem Dank verpflichtet ... ich weiß nichtmehr weiter :(

Mit freundlichen Grüßen und Dank im Vorraus
Michael Bovet

Alt 07.08.2004, 20:10   #2
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



C:\WINDOWS\nted.dll
C:\WINDOWS\QMMQE.DAT

Überprüfe die Dateien mal hier: http://www.kaspersky.com/de/scanforvirus
Zumindest die erste müsste doch erkannt werden. Ich kann somit auch nicht verstehen, warum dies nicht von eScan gefunden wurde.
Ergebnis?

Dann solltest du REGELMÄSSIG auf www.windowsupdate.com vorbeischauen und alle Updates und Patches installieren. Mach dies mal gleich ...
__________________


Alt 07.08.2004, 20:40   #3
meebo
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



C:\WINDOWS\nted.dll -> nted.dll Infiziert: TrojanDownloader.Win32.Agent.bq
C:\WINDOWS\QMMQE.DAT -> warum auch immer, die datei ist nicht im Windows Ordner vorhanden ?!

Warum eScan sie nicht erkannte ist mir auch nicht klar, ich sollte die neuste Version haben ... und nun ? Die neusten Patches&Updates sind geladen.
__________________

Alt 07.08.2004, 20:57   #4
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Dies fixen:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://mdvgt.dll/index.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://mdvgt.dll/index.html#37794
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mdvgt.dll/sp.html#37794
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {BD7AC764-39AD-B491-94D2-499FBED9C3C7} - C:\WINDOWS\nted.dll
O4 - HKLM\..\Run: [sysyh.exe] C:\WINDOWS\system32\sysyh.exe

Danach diese Datei C:\WINDOWS\nted.dll manuell löschen! Am besten im abgesicherten Modus!

Schützen kannst du dich durch einen anderen Browser: www.firefox-browser.de ist schnell, sicher und kostenlos.

Wegen der QMMQE.DAT: Die versteckten Dateien lässt du dir ja scheinbar anzeigen -> Explorer -> Ansicht -> Optionen -> versteckte Dateien anzeigen

Alt 07.08.2004, 22:06   #5
meebo
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Hi Christian
erstmal vielen Dank bis zu diesem Punkt, meine Startseite habe ich wieder (auch wenn ich C:\WINDOWS\nted.dll nichtmehr löschen könnte, da sie eim Neustart im abgesicherten Modus nichtmehr vorhanden war?!)

Nichtsdestotrotz meldet AntiVirGuard immernoch, dass der Trojaner auf der Festplatte sei, jedoch in einer anderen Datei steckt (ich reiche sie später nach)

Vielmehr beunruhigt mich, dass AntiV.G. nun einen weiteren Trojaner in Sekunde - bis Minutenabständen meldet, und zwar TR/Spy.Tofger.BI.2, jedoch JEDESMAL in einer anderen Datei (z.B. C:\WINDOWS\SDKTK32.EXE oder C:\WINDOWS\SYSTEM32\D3WT32.EXE), so dass er sich wiederum nicht löschen lässt. Hilfe?!

Neue HiJackThisLogDatei:

Logfile of HijackThis v1.98.1
Scan saved at 23:03:49, on 07.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\system32\sdkit.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Darüberhinaus sind in meinem Windowsordner Dutzende Unterordner mit Namen wie $NtUninstallKB823182$ oder $NtUninstallKB823182$, die Anwendungen mit dem Namen "spuninst" enthalten - gibt es da einen Zusammenhang?!

Weiterhin hilfesuchend und dankend
Michael Bovet


Alt 07.08.2004, 22:59   #6
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Löschen:
C:\WINDOWS\system32\sdkit.exe
C:\WINDOWS\system32\sdkyo32.dll (dieser Agent variert bei jedem Neustart)

Dies dann fixen:
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {51210ACC-D1ED-AB86-D910-0A930B850A8C} - C:\WINDOWS\system32\sdkyo32.dll
O4 - HKLM\..\Run: [sdkit.exe] C:\WINDOWS\system32\sdkit.exe

Versuch die Datei nun zu löschen ohne Neustart durchzuführen bzw. ohne abg. Modus.!

Danach lass nochmal AntiVir bzw. e-Scan im abgesicherten Modus laufen.

Alt 07.08.2004, 23:17   #7
meebo
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Okay .. alles soweit gemacht ... und es scheint zu funktionieren -> endgültiges HiJack-Log:

Logfile of HijackThis v1.98.1
Scan saved at 00:13:49, on 08.08.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\PROGRA~1\ICQ\ICQ.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\eMule\emule.exe
C:\Dokumente und Einstellungen\michael\Desktop\HijackThis1981.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm


Sieht gut aus - oder ? Wenn denn alles wirklich die nächsten Tage fehlerfrei laufen sollte, dann von mir ein Riesendankeschön an dich - der Service ist super - und das er kostenfrei ist, sowieso unglaublich .

Ich werde mir gleich FireFox holen, um weitere Infektionen zu vermeiden - eine kurze Frage aber noch: Wie habe ich mich infiziert, ist es denn möglich, ohne etwas gedownloaded zu haben ?!

Nochmals vielen Dank und Grüße
Michael Bovet (ich hoffe, ich werde hier lange nichtmehr posten müssen

Alt 07.08.2004, 23:25   #8
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Wer sagt, dass das hier kostenfrei ist??
Schmarrn ....

Ja, das Log schaut nun gut aus.
Du solltest aber noch ALLE Updates und Patches von www.windowsupdate.com installieren.

Schon alleine die Nutzung (eines veralteten) IE kann zu einer ungewollten Infektion ausreichen.

Alt 09.08.2004, 19:41   #9
mc23
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Icon21

TR/Spy.Tofger.BI.**



...das Trojanische Pferd TR/Spy.Tofger.BI.5 bzw. TR/Spy.Tofger.BI.2
und der gute alte TR/Dldr.WinSh.AC.02...

Hallo erstmal, Ich weiß ja nicht ob Sie's wussten,...
aber im Prinzip hab ich dasselbe Problem...
und mit der u.g. Vorgehensweise komm ich nicht zurecht...

ich hab jetzt etwa 7 Stunden Nonstop-Versuche hinter mir mit Foren und X Tools... und da isser wieder..

Tja... ich bin dermaßen demotiviert... und häng hoffnungsvoll mal das Log an:

Logfile of HijackThis v1.98.2
Scan saved at 20:17:28, on 09.07.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\oodag.exe
C:\ibmtools\aptezbtn\aptezbp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\addmz32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\ibmtools\aptezbtn\rakusb.exe
C:\WINDOWS\System32\AccessPS.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.com/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.123.254/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir...r=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.com/keyword/%s
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe
O4 - HKLM\..\RunOnce: [addbw.exe] C:\WINDOWS\addbw.exe
O4 - HKLM\..\RunOnce: [sysuy32.exe] C:\WINDOWS\system32\sysuy32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253
O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll


Antivir poppt im Minutentakt auf und meldet o.g. Trojaner in den unterschiedlichsten Dateien... die dann aber nicht zu finden sind ...
bzw. weder auf Rep. noch Del. reagieren
schnelle Hilfe vor sinnlosem wäre suuuper

MC23

Alt 09.08.2004, 22:14   #10
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Lass mal dies im abgesicherten Modus laufen: http://www.trojaner-board.de/showthread.php?t=6083

Danach poste ein neues HijackThis-Log!

Alt 10.08.2004, 21:00   #11
mc23
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Zitat:
Zitat von *Christian*
Lass mal dies im abgesicherten Modus laufen: http://www.trojaner-board.de/showthread.php?t=6083

Danach poste ein neues HijackThis-Log!
Hellow...
aha, Abgesichert ...mach ich...
ich hatte vor diesem (ug) Log bereits einen eScan Durchlauf der mir 18 erkannte und 14 gelöschte malware meldete...
aber nicht "Abgesichert"...

log kommt...

hier........ (am Ende noch eScan-Log)

Logfile of HijackThis v1.98.2
Scan saved at 18:09:09, on 11.07.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\ibmtools\aptezbtn\aptezbp.exe
C:\WINDOWS\system32\addmz32.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\oodag.exe
C:\WINDOWS\System32\svchost.exe
C:\ibmtools\aptezbtn\rakusb.exe
C:\WINDOWS\sysnv.exe
W:\Shared Docs\Download\Virus\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\eifky.dll/sp.html#37680
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\eifky.dll/sp.html#37680
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.123.254/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://C:\WINDOWS\eifky.dll/index.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\eifky.dll/sp.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\eifky.dll/sp.html#37680
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\eifky.dll/sp.html#37680
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\eifky.dll/index.html#37680
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\eifky.dll/sp.html#37680
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O17 - HKLM\System\CCS\Services\Tcpip\..\{8475F376-56E4-46A9-A50E-BAF7BBD6AA1E}: NameServer = 192.168.120.252,192.168.120.253
O18 - Protocol: cetihpz - {CF184AD3-CDCB-4168-A3F7-8E447D129300} - C:\Programme\HP\hpcoretech\comp\hpuiprot.dll



_______________________________________eScan_____________________

File C:\WINDOWS\msao.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\WINDOWS\appsk32.exe infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\WINDOWS\igeqgs.dat infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\WINDOWS\uimzxd.dat infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\WINDOWS\System32\addgf.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\WINDOWS\System32\sdkgz32.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\Programme\BoxProgs\XBINS\XBINS-TIRC.rar tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File C:\Programme\BoxProgs\XBINS\Xbins.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP27\A0002939.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003970.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003976.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0003985.DLL infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004000.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004007.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004008.exe infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004009.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{44967F03-5755-4CA7-9486-7CAAF9D0C669}\RP28\A0004010.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File W:\Shared Docs\Download\Virus\HijackThis\backups\backup-20040709-201700-806.dll infected by "TrojanDownloader.Win32.Agent.bq" Virus. Action Taken: File Deleted.
File X:\Extra\System Volume Information\_restore{21BE8355-E0C9-49B6-9AE2-DBF7CDB7C79E}\RP29\A0006767.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File Y:\Xbox\FlashFXP_2\FlashFXP_2_Setup.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.


Sun Jul 11 18:04:23 2004 => ***** Scanning complete. *****

Sun Jul 11 18:04:23 2004 => Total Number of Files Scanned: 39921
Sun Jul 11 18:04:23 2004 => Total Number of Virus(es) Found: 20
Sun Jul 11 18:04:23 2004 => Total Number of Disinfected Files: 0
Sun Jul 11 18:04:23 2004 => Total Number of Files Renamed: 0
Sun Jul 11 18:04:23 2004 => Total Number of Deleted Files: 16
Sun Jul 11 18:04:23 2004 => Total Number of Errors: 1
Sun Jul 11 18:04:23 2004 => Time Elapsed: 00:30:38
Sun Jul 11 18:04:23 2004 => Virus Database Date: 2004/08/09
Sun Jul 11 18:04:23 2004 => Virus Database Count: 100135

Geändert von mc23 (11.08.2004 um 17:13 Uhr) Grund: Nachtrag

Alt 11.08.2004, 17:15   #12
mc23
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Gebracht hat's aber (noch) nix...!

sehr komisch ist auch dass ich seit dem letzten eScan lediglich noch auf diesem Board war und wieder sooo viele V's gefunden wurden ...
wie geht denn das ?...*verzweifel*

MC23

Alt 11.08.2004, 18:20   #13
MountainKing
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Fixe mit Hijackthis:

C:\WINDOWS\system32\addmz32.exe
C:\WINDOWS\sysnv.exe
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll
O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe


Die dlls danach löschen, falls sie noch da sind.

Zusätzlich alle r0 und R1-Einträge fixen.

Alt 11.08.2004, 21:46   #14
mc23
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Zitat:
Zitat von MountainKing
Fixe mit Hijackthis:

C:\WINDOWS\system32\addmz32.exe
C:\WINDOWS\sysnv.exe
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {D006F3DF-6883-5152-C428-17EFD3009EF0} - C:\WINDOWS\system32\apimm32.dll
O4 - HKLM\..\Run: [addmz32.exe] C:\WINDOWS\system32\addmz32.exe
Die dlls danach löschen, falls sie noch da sind.
Zusätzlich alle r0 und R1-Einträge fixen.
Hm, tja... alles gemacht (glaub ich)... aber die Meldung mit Freund Tofger kommt noch immer ??

Alt 11.08.2004, 22:28   #15
*Christian*
Gast
 
C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Standard

C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02



Hast du diese Dateien gelöscht?
C:\WINDOWS\system32\addmz32.exe
C:\WINDOWS\sysnv.exe

Wenn nein, dann mach mal.

Antwort

Themen zu C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02
abgesicherten modus, als startseite, avgnt.exe, bho, browser, button, desktop, download, einstellungen, entfernen, escan, excel, hijack, hijackthis, icq, install.exe, internet, internet explorer, microsoft, programme, registry, rundll, rundll32, seite, software, system, system32, träge, urlsearchhook, windows, windows xp



Ähnliche Themen: C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02


  1. was ist das Trojanische Pferd TR/Dldr.VB.dey?
    Plagegeister aller Art und deren Bekämpfung - 15.07.2008 (22)
  2. was ist das Trojanische Pferd TR/Dldr.VB.dey?
    Mülltonne - 13.07.2008 (0)
  3. Trojanische Pferd TR/Dldr.Baido____
    Log-Analyse und Auswertung - 15.02.2007 (16)
  4. Trojanische Pferd TR/Dldr.Dyfuca.DB
    Plagegeister aller Art und deren Bekämpfung - 26.11.2006 (9)
  5. Trojanische Pferd TR/Dldr.Agent.td.52
    Plagegeister aller Art und deren Bekämpfung - 23.12.2005 (2)
  6. Trojanische Pferd TR/Dldr.PassAlert.E
    Plagegeister aller Art und deren Bekämpfung - 21.12.2005 (4)
  7. Trojanische Pferd TR/Dldr.69632.I
    Plagegeister aller Art und deren Bekämpfung - 21.08.2005 (3)
  8. Trojanische Pferd TR/Dldr.Small.bat.1
    Plagegeister aller Art und deren Bekämpfung - 31.07.2005 (2)
  9. Trojanische Pferd TR/Dldr.Epylvor.A was tun?
    Plagegeister aller Art und deren Bekämpfung - 17.06.2005 (2)
  10. das Trojanische Pferd TR/Dldr.Agent.EX!
    Plagegeister aller Art und deren Bekämpfung - 08.04.2005 (7)
  11. Trojanische Pferd TR/Dldr.Dyfuca.DB
    Log-Analyse und Auswertung - 06.03.2005 (3)
  12. Trojanische Pferd TR/Dldr.IstBar.A!
    Log-Analyse und Auswertung - 16.02.2005 (3)
  13. Trojanische Pferd TR/Dldr.Agent.hm
    Plagegeister aller Art und deren Bekämpfung - 26.01.2005 (4)
  14. das Trojanische Pferd TR/Dldr.Rameh.F
    Log-Analyse und Auswertung - 28.12.2004 (2)
  15. Trojanische Pferd TR/Dldr.Small.aaq.2
    Log-Analyse und Auswertung - 18.12.2004 (2)
  16. Trojanische Pferd TR/Dldr.Ist.CA !!! NEU help
    Plagegeister aller Art und deren Bekämpfung - 20.11.2004 (1)
  17. Trojanische Pferd TR/Dldr.WinSh.AC.02
    Plagegeister aller Art und deren Bekämpfung - 19.06.2004 (6)

Zum Thema C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 - Hi Trojaner-Board-Team ich hoffe, dass dieser Post angesichts der Probleme anderer User nicht unnötig ist, ich als absolut unerfahrener User im Ungang mit Trojanern komme aber einfach nicht weiter. Wie - C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02...
Archiv
Du betrachtest: C:\WINDOWS\QMMQE.DAT - Ist das Trojanische Pferd TR/Dldr.WinSh.AC.02 auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.