hallo helfer und virus befallene,

erstmal vielen dank für dieses forum und diese großartige hilfe :aplaus:

ich habe folgendes problem :

mein medion xp laptop läuft neuerdings sehr langsam und oftmals bleibt er einfach hengen und ich seh nur noch das desktop bild mit maus (bewegbar). ab und zu schaltet sich mein browser auch einfach aus. (bei mozilla steht dann unten "angehalten" - obwohl verbindung steht und der IE wird dann total langsam oder hengt sich auf) . in so eine fall starte ich den task manager und starte neu. beim start bekomme ich auch öfter folgende standard fehlermeldungen (mit nicht senden oder senden) wie :

- sched.exe
- igdctrl.exe
- logwatnt.exe

habe den CCleaner schon mehrmals durchlaufen lassen und mit antivir habe ich auch schon mehrere trojaner entdeckt und beseitigt. trotzdem ist der laptop noch sehr lahm und es kommen die fehlermeldungen. der security taskmanager zeigt folgende potentiell gefährliche dateien an :

1. kzlxvvuquvewjaszq.dll
2. 9129837.exe

die erste lässt sich nicht löschen. die zweite lässt sich löschen, ist aber nach jedem neustart wieder da.

hijackthis sagt folgendes :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:26:48, on 14.07.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\drivers\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\9129837.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Dokumente und Einstellungen\*****\Eigene Dateien\*****\newHijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://alice-dsl.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\svchost.exe,C:\WINDOWS\system32\win32x.exe,
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programme\ICQToolbar\tbu2561\toolbaru.dll
O2 - BHO: du-little browser enhancer - {2FD6E336-0C2C-E0CB-066D-B2591AC05BC1} - C:\WINDOWS\system32\kzlxvvuquvewjaszq.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {6F305D23-F8CE-C2F7-7B1F-D71D6542CEC2} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.15642\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [dzsemdicqobiioswh] C:\WINDOWS\System32\regsvr32.exe /s "C:\WINDOWS\system32\kzlxvvuquvewjaszq.dll"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ttool] C:\WINDOWS\9129837.exe
O4 - HKCU\..\Run: [WAB] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Common\a246001419.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {7288F092-0E1C-48D7-852C-D5718D4EC435} - h**p://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=h**p://www.aldi.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1099254598359
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Programme\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: Kaspersky Security Suite CBE (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Security Suite CBE\avp.exe (file missing)
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe (file missing)
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Unknown owner - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 8355 bytes
         

welche weiteren schritte würdet ihr jetzt empfehlen, zumal ich zu "kzlxvvuquvewjaszq.dll" nirgends etwas finden kann ?

Hallo,

fixen mit HJT - Öffne das Programm Hijackthis ->Do a system scan only -> Markiere (Haken setzen) vor folgenden Einträgen:

O4 - HKLM\..\Run: [dzsemdicqobiioswh] C:\WINDOWS\System32\regsvr32.exe /s "C:\WINDOWS\system32\kzlxvvuquvewjaszq.dll"
O4 - HKCU\..\Run: [ttool] C:\WINDOWS\9129837.exe
O4 - HKCU\..\Run: [WAB] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Common\a246001419.exe

Fix checked.

Neustart des Rechners...

Als erstes versteckte Dateien Anleitung - Vernüntige Ordneransicht anzeigen lassen! (nur Punkt 1 durchführen!)

Danach folgende Datein bitte an uns gemäß dieser Anleitung http://www.trojaner-board.de/54791-a...ner-board.html an uns schicken.

Diese Einträge wären:

C:\WINDOWS\9129837.exe
C:\WINDOWS\system32\drivers\svchost.exe
C:\WINDOWS\system32\win32x.exe
C:\WINDOWS\system32\kzlxvvuquvewjaszq.dll
C:\WINDOWS\System32\regsvr32.exe
C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Common\a246001419.exe

Bitte uploaden.

ich habe jetzt alles so ausgeführt wie angeordnet. jedoch konnte ich die die datei "C:\WINDOWS\system32\win32x.exe" nicht finden (auch nicht mit suchfunktion) und somit auch nicht uploaden. die anderen wurden soeben alle hochgeladen.

Hallo,

Virustotal. MD5: 0ccde66f294a8c97344d06e7cf42490b Heuristic.LooksLike.Trojan.Backdoor.HareBot.H Backdoor.Win32.HareBot.ee TrojanSpy:Win32/Ursnif.gen!G

Virustotal. MD5: 5c74fd5af6830a6d3026c2d467941a7b Smalltroj.PMXO Suspicious file

Virustotal. MD5: 425b140eb3c0f71c55f9e1bc4b2ca0bd Heuristic.BehavesLike.Win32.Trojan.I probably a variant of Win32/Adware.GooochiBiz Trojan-Downloader!IK

Virustotal. MD5: 92ae0c5b8ab98c91a9c1a70e3978cb6a Trojan Horse Heuristic.LooksLike.Trojan.Inject.B Trojan-Spy.Win32.Agent.axdk

dein System ist sehr sehr verseucht.

O4 - HKCU\..\Run: [WAB] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Macromedia\Common\a246001419.exe

Das ist Silentbanker: Silent Banker: Online-Bankraub in aller Stille - PC-WELT

Um auch all diese Infektionen zu bereinigen würde ich dir Neuaufsetzen des Betriebssystems empfehlen.
Denn auch wenn alles bereinigt wurde weiß man nie ob noch ein Rest übrig bleibt von der Schadware/Malware.

Ändere nach dem Neuaufsetzen alle Pass- und Kennwörter.
Sie wurden bereits durch den Backdoor ausgespäht und durch Silentbanker.

alles klar werd ich wohl machen müssen, habe das noch nie vorher gemacht und wird auch mal zeit das zu erlernen.

eine frage noch :

wird beim Neuaufsetzen vorher die festplatte formatiert oder soll es einfach aufs infizierte system drauf installiert werden?

Beim Neuaufsetzen wird die Festplatte NEU beschrieben