Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Rbot.ag und Rbot.gen

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 28.08.2004, 19:21   #1
Wolly
 
Rbot.ag und Rbot.gen - Standard

Rbot.ag und Rbot.gen



Nach einem Check mit HijackThis und fanden sich bei der Onlineauswertung auf dem Rechner eines Freundes mehrere als bösartig eingestufte Programme.
Wir sind gerade dabei eScan im abgesicherten Modus drüberlaufen zu lassen.
Erste "Treffer" ist der Rbot.ag, Rbot.gen, das komplette Log von eScan folgt (ist ne ganze Menge^^)

Kann jemand schon die Stärke des Befalls und die damit verbundenen Folgen einschätzen? Danke schon mal

Hier der Log:

Logfile of HijackThis v1.98.2
Scan saved at 19:53:53, on 28.08.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Apache Group\Apache\Apache.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\mysql-4.0.20d-win-noinstall\bin\mysqld-nt.exe
C:\Programme\Apache Group\Apache\Apache.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://exit.hotusa.org/
O4 - HKLM\..\Run: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\Run: [WindowsRegKey update] winsys.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Microsoft Update] msconfg.exe
O4 - HKLM\..\Run: [Microsoft Update Time] wuam.exe
O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\RunServices: [Microsofts Updates] wuamgrd.exe
O4 - HKLM\..\RunServices: [WindowsRegKey update] winsys.exe
O4 - HKLM\..\RunServices: [Microsoft Update] msconfg.exe
O4 - HKLM\..\RunServices: [Microsoft Update Time] wuam.exe
O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Update] msconfg.exe
O4 - HKCU\..\Run: [Microsoft Update Time] wuam.exe
O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

Will nur mal wieder das "Go" für ne komplette Neuinstallation haben

Geändert von Wolly (28.08.2004 um 19:28 Uhr)

Alt 28.08.2004, 20:05   #2
Wolly
 
Rbot.ag und Rbot.gen - Standard

Rbot.ag und Rbot.gen



gut, hier der eScan-Log:

File C:\WINDOWS\system32\TFTP1184 infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0DQZE3I7\murd3rz[1].exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\8TWXO1KF\newx[1].exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\Dokumente und Einstellungen\Administrator\murd3rz.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\16winupdate32.VIR infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\MSCONFG.EXE.VIR infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\msconfg.VIR infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\msconfg.VIR00 infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSCHED.EXE.VIR infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSched.VIR infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\PDSched.VIR00 infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\winsys.VIR infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuam.VIR infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuam.VIR00 infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\wuamgrd.VIR infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\Programme\AVPersonal\INFECTED\XMAIN.VIR infected by "Worm.Win32.Randon" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004423.exe infected by "Backdoor.Spyboter.cf" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004433.exe infected by "Backdoor.SdBot.jg" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004434.exe infected by "Backdoor.SdBot.jt" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP3\A0004438.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009438.exe infected by "Backdoor.Rbot.ag" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009439.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009440.exe infected by "Backdoor.Rbot.gen" Virus. Action Taken: File Renamed.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009467.exe tagged as not-a-virus:RiskWare.FTP.ServU.5100. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009472.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009478.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009496.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\System Volume Information\_restore{A76CEA59-34F6-4DDD-BEF4-F2734684BD15}\RP31\A0009498.exe tagged as not-a-virus:RiskWare.FTP.PremierServer.b. No Action Taken.
File C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CVQZ8RO1\MediaTicketsInstaller[1].cab infected by "not-a-virus:AdvWare.MediaTickets.c" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\qwaszxf\calcu.exe tagged as not-a-virus:RiskWare.Tool.PrcView.3725. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\dirote.exe tagged as not-a-virus:RiskWare.mIRC.6.03. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\kolder.exe tagged as not-a-virus:RiskWare.Tool.HideWindows. No Action Taken.
File C:\WINDOWS\system32\qwaszxf\ppi.exe infected by "Backdoor.MotivFTP.12" Virus. Action Taken: File Renamed.
File C:\WINDOWS\system32\qwaszxf\wexp.exe infected by "Exploit.Win32.RPCLsa.01.d" Virus. Action Taken: File Renamed.


Da hilft wohl nichts mehr.
Rechner wird geplättet!
__________________


Alt 28.08.2004, 20:11   #3
*Christian*
Gast
 
Rbot.ag und Rbot.gen - Standard

Rbot.ag und Rbot.gen



1.) Neu formatieren und installieren
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen und alle Updates installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera oder firefox umsteigen
7.) Browser und emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail) sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Active-Scripting, Active-X)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vorher überprüfen, ob sie Spyware oder Adware enthalten können
9) ein Antivirenprogramm schadet auch nichts (Antivir ist kostenlos und halbwegs brauchbar), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen
10) Nicht gleich alle Programme, die früher installiert waren, sofort erneut aufs System lassen, sondern zuerst informieren, ob sie Spy/Adware enthalten

by Mountainking.
__________________

Antwort

Themen zu Rbot.ag und Rbot.gen
abgesicherten modus, administrator, button, check, danke, desktop, einstellungen, escan, explorer, folge, hijack, hijackthis, internet, internet explorer, log, mehrere, messenger, microsoft, neuinstallation, rechner, software, sp2, system, system32, tools, updates, windows, windows messenger, windows xp



Ähnliche Themen: Rbot.ag und Rbot.gen


  1. Befallen mit Backdoor Win32.Rbot.fcu/Win32.Rbot.fcw
    Plagegeister aller Art und deren Bekämpfung - 03.12.2007 (6)
  2. W32/Rbot-IQ
    Plagegeister aller Art und deren Bekämpfung - 19.08.2007 (27)
  3. W32/Rbot-DID
    Plagegeister aller Art und deren Bekämpfung - 25.05.2006 (5)
  4. Rbot.118441
    Plagegeister aller Art und deren Bekämpfung - 14.05.2006 (2)
  5. Backdoor.rbot.gen
    Plagegeister aller Art und deren Bekämpfung - 02.02.2006 (1)
  6. Rbot/BAT
    Plagegeister aller Art und deren Bekämpfung - 12.01.2006 (1)
  7. Worm/Rbot-AEu & Worm/Rbot-AFC Hilfe
    Mülltonne - 12.10.2005 (1)
  8. RBot.AB00A57D
    Log-Analyse und Auswertung - 03.10.2005 (1)
  9. W32/Rbot-NN Entfernung
    Plagegeister aller Art und deren Bekämpfung - 16.09.2005 (1)
  10. Backdoor.RBOT.Gen
    Plagegeister aller Art und deren Bekämpfung - 16.05.2005 (1)
  11. backdoor.rbot.reg
    Log-Analyse und Auswertung - 12.01.2005 (4)
  12. Worm RBot AGD
    Plagegeister aller Art und deren Bekämpfung - 23.12.2004 (8)
  13. Worm.Rbot.LN/RT
    Plagegeister aller Art und deren Bekämpfung - 12.12.2004 (1)
  14. Rbot.gen
    Plagegeister aller Art und deren Bekämpfung - 01.12.2004 (5)
  15. habe Rbot.su / ln / kt
    Plagegeister aller Art und deren Bekämpfung - 08.11.2004 (3)
  16. Worm/Rbot.TS
    Plagegeister aller Art und deren Bekämpfung - 06.11.2004 (2)
  17. Win32.Rbot.gen
    Log-Analyse und Auswertung - 01.11.2004 (1)

Zum Thema Rbot.ag und Rbot.gen - Nach einem Check mit HijackThis und fanden sich bei der Onlineauswertung auf dem Rechner eines Freundes mehrere als bösartig eingestufte Programme. Wir sind gerade dabei eScan im abgesicherten Modus drüberlaufen - Rbot.ag und Rbot.gen...
Archiv
Du betrachtest: Rbot.ag und Rbot.gen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.