| |
| |||||||
Log-Analyse und Auswertung: TR/Patched.DY.1Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
19.03.2009, 17:08
| #1 |
| |  TR/Patched.DY.1 Hallo, Ich hab schon oft auß dem Forum Hilfe lesen können, aber dieses Mal bin ich mir nicht 100%ig sicher und brauch Rat von Profis. Vorgestern hab ich mir auf dem FamilienPC den TR/Patched.DY.1 eingefangen. Je nach Zeit habe ich mich gestern und heute morgen dabei gemacht den Rechner wieder zu säubern. Dabei fand ich den hier: http://www.trojaner-board.de/70874-patched-dy-1-c-dokumente-und-einstellungen-lokale-einstellungen-temp-tmpf.html beschriebenen Ablauf am effektivsten. Dank Malwarebytes' Anti-Malware, ComboFix und CCleaner Systembereinigung scheint der Rechner, zumindest meiner Meinung, wieder zu funzen. Da bei diesem Mistviech oft zum kompletten Neuaufsetzen geraten wird, hab ich noch einen HijackThis Scan laufen lassen, Logfile am Ende. Meine Frage ist einfach: XP einstampfen ja/nein. Die verursachende EXE Datei hab ich "gerettet" und eingekerkert. Code:
ATTFilter Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 15:23:27, on 19.03.2009 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16791) Boot mode: Normal Running processes: D:\WINDOWS\System32\smss.exe D:\WINDOWS\system32\winlogon.exe D:\WINDOWS\system32\services.exe D:\WINDOWS\system32\lsass.exe D:\WINDOWS\system32\svchost.exe D:\WINDOWS\System32\svchost.exe D:\WINDOWS\system32\spoolsv.exe D:\WINDOWS\Explorer.EXE D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe D:\Programme\Java\jre6\bin\jqs.exe D:\Programme\Sandboxie\SbieSvc.exe D:\Programme\Java\jre6\bin\jusched.exe D:\Programme\NetMeter\NetMeter.exe D:\Programme\DeskClock\DeskClock.exe D:\WINDOWS\system32\ctfmon.exe D:\Programme\Logitech\SetPoint\SetPoint.exe D:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE D:\WINDOWS\System32\wbem\wmiapsrv.exe D:\WINDOWS\system32\taskmgr.exe D:\Programme\Mobile Partner\Mobile Partner.exe D:\Programme\Mozilla Firefox\firefox.exe D:\Dokumente und Einstellungen\Besitzer\Desktop\Tcpview.exe D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe D:\HJT\HiJackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: (no name) - AutorunsDisabled - (no file) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Programme\Java\jre6\bin\ssv.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\Java\jre6\bin\jp2ssv.dll O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [StormCodec_Helper] "D:\Programme\Ringz Studio\Storm Codec\StormSet.exe" /S /opti O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre6\bin\jusched.exe" O4 - HKCU\..\Run: [D:\Programme\NetMeter\NetMeter.exe] D:\Programme\NetMeter\NetMeter.exe O4 - HKCU\..\Run: [Uhr] D:\Programme\DeskClock\DeskClock.exe O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Logitech SetPoint.lnk = D:\Programme\Logitech\SetPoint\SetPoint.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre6\bin\jp2iexp.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\jre6\bin\jp2iexp.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: d:\windows\system32\nwprovau.dll O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - h**p://catalog.update.microsoft.com/v7/site/ClientControl/en/x86/MuCatalogWebControl.cab?1234191752015 O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1232132702029 O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1234190033546 O17 - HKLM\System\CCS\Services\Tcpip\..\{55424744-3ED0-4D61-B5EE-1E6AAAC15ED5}: NameServer = 193.254.160.130 193.254.160.1 O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - D:\Programme\a-squared Free\a2service.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - D:\Programme\Bonjour\mDNSResponder.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\Java\jre6\bin\jqs.exe O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - D:\Programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTServ.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe O23 - Service: O&O Defrag - O&O Software GmbH - D:\WINDOWS\System32\oodag.exe O23 - Service: Sandboxie Service (SbieSvc) - tzuk - D:\Programme\Sandboxie\SbieSvc.exe O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - D:\WINDOWS\System32\TuneUpDefragService.exe O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - D:\WINDOWS\System32\TUProgSt.exe O24 - Desktop Component 0: (no name) - (no file) -- End of file - 5716 bytes |
|
19.03.2009, 20:47
| #2 |
| | TR/Patched.DY.1 Ich würde neu aufsetzen empfehlen.
__________________Sind Programme dabei die ggf. auch Trojaner sein könnten bzw sich dort reingeschrieben haben. Wenn du nicht neu aufsetzen magst überwache mal die Systemleistung im systemmonitor ohne am Computer zu arbeiten und kontrolliere deine Internetverbindungen mit einem Programm wie cFos. Wenn es weder Ausschläge in der Systemleistung gibt noch cFos Verbindungen feststellt könnte das System sauber sein. Wenn doch... Wobei auch wenn nicht, dein System verändert ist und damit nur auf ein Kommando eines Angreifers wartet bzw... ein Datum. |
|
19.03.2009, 22:14
| #3 |
| | TR/Patched.DY.1 TCPView und Taskmanager läuft sowieso ständig, Indexdienst und Defragger sind angehalten, ist auch nicht grad leicht bei XP alle Vorgänge mitzubekommen. Treiber hab ich alle auf DVD, nur sämtliche Windowsupdates nicht. Original-CD mit SPII, kann ich die Updates von einem sauberen Rechner sichern und den neu Aufgesetzten damit updaten? Ich frag mich wer solche beschissenen trojanischen Ackergäuler schreibt. Wenn ich Daten ausspähen wollte, würd ich das so unauffällig wie möglich tun und nicht den Rechner ins Chaos stürzen. Anfangs fand ich XP super, aber jetzt find ichs zu undurchsichtig. Ich lass die Kiste erstmal weiterlaufen bis es suspekt wird oder ich ein angenehmeres OS für mich gefunden habe. Es sind zwar recht viele Programme installiert, aber keine empfindlichen Daten, er ist eben die Internet- Video- und Musikhure, sämtliche höchst geheimen Nachrichtentransport mach ich mit meinen ArbeitsLaptop.
__________________Ich würde mir eben gern die Zeit sparen, weil ich von eben dieser meist nicht genug habe, Aber Trotz alledem, danke für Dein Statement. |
|
21.03.2009, 21:40
| #4 |
| | TR/Patched.DY.1 Hab das Ding mal zu Virustotal gesendet, hier das Ergebnis: Code:
ATTFilter
VirusTotal-Scan Geändert von Mir0 (21.03.2009 um 21:48 Uhr) |
|
| Themen zu TR/Patched.DY.1 |
| ablauf, antivir, antivirus, avira, besitzer, bho, combofix, desktop, exe, exe datei, explorer, firefox, frage, hijack, hijackthis, internet, internet explorer, logfile, malwarebytes' anti-malware, microsoft, mozilla, nvidia, object, plug-in, programme, scan, software, studio, tuneup.defrag, windows, windows xp |
Linear-Darstellung
