Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 20.01.2009, 03:09   #1
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Hallo!

Pünktlich zum Start der Grippewelle habe wohl nicht nur Ich mich infiziert, sondern mein werter Rechner auch.

Hatte schon seit Jahren keine Bug-Probleme oder konnte mir zumindest immer selbst helfen. Doch diesmal bin ich Ratlos. Ich denke, dass ich mir einen Trojaner über USB eingefangen habe, da dieser bei mir in der Uni auch derzeit kursiert.

Verdächtig erscheint mir der Task SVCHOST.EXE, der im Taskmanager bei mir in Großbuchstaben steht und scheinbar in Verbindung mit der - unter WINDOWS befindlichen Applikation MDM.EXE steht.
Ich weiß was diese .exes normalerweise bedeuten, doch nach 2 Tagen Rumforscherei, bin ich mir sicher, dass mit beiden was nicht stimmt.
Habe die MDM.EXE gelöscht, Prozesse beendet, Registry-Einträge gelöscht, aus dem Autostart entfernt, Prefetches gelöscht; nix hat geholfen.

Wie gesagt, kann mir selbst nicht mehr helfen.
Dass was nicht stimmt habe ich gemerkt, als die Verknüpfungen ZU MEINEN FESTPLATTEN in der Quick-Launch-Leiste nicht mehr funktionierten. Sämtliche anderen Verknüpfungen funzen einwandfrei.


Hier das Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:57:20, on 20.01.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\ZoneLabs\vsmon.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\system32\spoolsv.exe
F:\Programme\Bonjour\mDNSResponder.exe
F:\WINDOWS\system32\nvsvc32.exe
F:\WINDOWS\system32\svchost.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
F:\WINDOWS\system32\RUNDLL32.EXE
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe
C:\Winamp\winamp.exe
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Trillian\trillian.exe
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
F:\Dokumente und Einstellungen\Richman\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
F:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - F:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Veoh\Plugins\reg\VeohToolbar.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Adobe\/Adobe Contribute CS4/contributeieplugin.dll
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SVCHOST] F:\WINDOWS\MDM.EXE
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe (file missing)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - F:\Programme\Gemeinsame Dateien\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - F:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - F:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - F:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - F:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 6275 bytes



So: Falls noch was fehlt, kann ich spezifisches noch gern nachforschen. Hoffe, dass Ihr mir hier helfen könnt!

Besten Dank im vorraus,
Rich

Alt 20.01.2009, 12:28   #2
Mr.Vain
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe





Könntest du evtl. den genauen Standort der Datei uns sagen ?
__________________


Alt 20.01.2009, 15:54   #3
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Steht im Log...

O4 - HKLM\..\Run: [SVCHOST] F:\WINDOWS\MDM.EXE

besten Gruß!
__________________

Alt 20.01.2009, 16:07   #4
Mr.Vain
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Dass die Datei im system32 Ordner liegt ist gut

Die Datei ist ein Script Debugger für/von .Net Framework 3.1

Falls du noch sicherer sein willst, lade die Datei bei VirusTotal - Free Online Virus and Malware Scan hoch und lass sie auswerten

Alt 20.01.2009, 18:10   #5
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



ääähm, danke aber das weiß ich wohl. die Datei liegt eben NICHT im sys32!


Alt 20.01.2009, 18:10   #6
Crusader
/// Helfer-Team
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Hallo,

Zitat:
Dass die Datei im system32 Ordner liegt ist gut
Hmm, da wäre ich mir nicht so sicher:

Microsoft Malware Protection Center - Search : F:\WINDOWS\MDM.EXE
__________________
--> Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe

Alt 20.01.2009, 19:11   #7
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Es ist eben NICHT der System32 Ordner. Die Datei ist im Windows-Ordner!

Laut Virustotal.com ist es definitiv nen Bug. Da sind wir schonmal einen Schritt weiter, dank geht an Mr. Vain.

@Crusader, sorry. Kann mit dem Link grad nicht viel anfangen. Bitte um Erläuterung.


besten Gruß und Dank

Geändert von RichMän (20.01.2009 um 19:19 Uhr)

Alt 20.01.2009, 20:51   #8
KarlKarl
/// Helfer-Team
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Hi,

kein Script Debugger, sondern das sieht sehr nach dem hier aus:
Zitat:
W32/LCJump-A also creates a backdoor, enabling a remote user control over the infected computer.
Gruß, Karl

Alt 20.01.2009, 21:01   #9
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



Besten Dank Karl. Das ist er auch!


Habe ich eine Alternative zu Format-C?

bG

Alt 23.01.2009, 19:59   #10
RichMän
 
Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Standard

Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe



TACH!

Heute habe ich C formatiert und Windows neuinstalliert. PUSTEKUCHEN, der Trojaner war immer noch drauf. Anscheinend hatte sich das Mistvieh auch auf meine anderen Partitionen ausgebreitet.

Des Rätsels Lösung war jedoch so unsagbar einfach. Nachdem ich Windows neuinstalliert habe und gesehen habe, dass die MDM.EXE (IM WINDOWS-ORDNER) immer noch drauf war und der Prozess SVCHOST.EXE nach wie vor lief, war ich ratlos und zog mir - mit dem Gedanken, alle Platten formatieren zu müssen - AntiVir von Avira runter. Und - wer hätte das gedacht?
PROBLEM GELÖST!

Keine Autostart-Einträge, keine laufenden Prozesse, keine Registry-Einträge und die Festplattenverknüpfungen funzen wieder.


26 Trojaner hatten sich auf dem fruchtbaren Boden meiner Festplatten verbreitet.
Die Übeltäter:

TR/Agent.Abt.3
TR/Dldr.BZW
TR/Agent.Abt.34
TR/Crypt.XPACK.Gen


Das hat Nerven gekostet.

Danke euch nochmal.
besten virenfreien Gruß

Antwort

Themen zu Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe
applikation, bho, bonjour, browser, computer, einstellungen, festplatte, google, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, konvertieren, monitor, object, pdf-datei, prozesse, rundll, server, software, svchost.exe, system, taskmanager, trojaner, usb, windows, windows xp



Ähnliche Themen: Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe


  1. Trojaner als GTA IV-Mod getarnt!
    Log-Analyse und Auswertung - 02.02.2015 (2)
  2. Trojaner als zip-Datei getarnt?
    Plagegeister aller Art und deren Bekämpfung - 24.02.2014 (8)
  3. Trojaner als Flash Player (32 bit) getarnt
    Antiviren-, Firewall- und andere Schutzprogramme - 17.12.2013 (5)
  4. Facebook-Trojaner (?) als JPEG getarnt - Verknüpfungen statt Ordnerinhalt
    Log-Analyse und Auswertung - 20.11.2011 (13)
  5. Scanner.exe, Virus getarnt als AntiVir Prog, Trojaner/Malware auf dem Rechner, Bitte um Hilfe!
    Plagegeister aller Art und deren Bekämpfung - 28.12.2010 (19)
  6. Trojaner TR/Agent.843776.22 als treiber dnjfrx.sys getarnt...wie löschen?
    Plagegeister aller Art und deren Bekämpfung - 06.11.2010 (22)
  7. vermute Trojaner der schritte abarbeitet Hilfe
    Plagegeister aller Art und deren Bekämpfung - 22.08.2009 (2)
  8. exe datei geöffnet vermute trojaner? HILFE
    Log-Analyse und Auswertung - 01.08.2009 (9)
  9. Vermute Trojaner
    Plagegeister aller Art und deren Bekämpfung - 15.07.2009 (1)
  10. Hilfe: Vermute Virus, Internet Explorer funktioniert nicht
    Mülltonne - 03.11.2007 (0)
  11. Bitte um Logfile Analyse - vermute
    Log-Analyse und Auswertung - 07.09.2007 (1)
  12. Trojaner getarnt als Anti virus Prgramm
    Plagegeister aller Art und deren Bekämpfung - 22.06.2007 (1)
  13. Trojaner getarnt als Anti virus System
    Mülltonne - 22.06.2007 (0)
  14. Bitte meinen Log abchecken ich vermute böses ^^
    Mülltonne - 19.02.2007 (0)
  15. Trojaner getarnt als wuauclt.exe?
    Plagegeister aller Art und deren Bekämpfung - 17.10.2004 (5)
  16. Trojaner gut getarnt!
    Plagegeister aller Art und deren Bekämpfung - 20.03.2004 (5)
  17. Trojaner als Office-konfiguration getarnt?
    Archiv - 21.01.2003 (2)

Zum Thema Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe - Hallo! Pünktlich zum Start der Grippewelle habe wohl nicht nur Ich mich infiziert, sondern mein werter Rechner auch. Hatte schon seit Jahren keine Bug-Probleme oder konnte mir zumindest immer selbst - Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe...
Archiv
Du betrachtest: Vermute Trojaner getarnt als MDM.EXE.Bitte um Hilfe auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.