| |
| |||||||
Log-Analyse und Auswertung: Bitte einmal Logfile checkenWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML |
 |
05.08.2009, 23:20
| #31 | |
 |  Bitte einmal Logfile checkenZitat:
 Die ist in dem Ordner auch nirgends zu sehen. |
|
05.08.2009, 23:29
| #32 |
| /// Selecta Jahrusso   | Bitte einmal Logfile checken Okay, die wurde auch von MBAM gelöscht bzw in Quaratäne verschoben.
__________________Lassen wir sie in der Zwischenzeit auch dort Lets see what Kaspersky says
__________________ |
|
05.08.2009, 23:34
| #33 | |
| | Bitte einmal Logfile checkenZitat:
Jetzt brauch ich erst mal eine Runde Schönheitsschlaf.  Poste das Ergebnis dann morgen hier. |
|
06.08.2009, 17:13
| #34 |
| | Bitte einmal Logfile checken 2 Viren gefunden und 3 infizierte Objekte. Hier der Log: Code:
ATTFilter -------------------------------------------------------------------------------
PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Donnerstag, 6. August 2009 18:12:57
Betriebssystem: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.98.2
Letztes Update der Antiviren-Datenbanken: 6/08/2009
Anzahl der Einträge in den Antiviren-Datenbanken: 2344933
-------------------------------------------------------------------------------
Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Standard
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja
Untersuchungsobjekt - Arbeitsplatz:
A:\
C:\
D:\
E:\
F:\
G:\
H:\
Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 208287
Viren gefunden: 2
Infizierte Objekte gefunden: 3
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 05:12:14
Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\avguard.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\ICQ\317749001\Messages.mdb Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\ICQ\317749001\Owner.mdb Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\ICQ\Application.mdb Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\cert8.db Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\content-prefs.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\cookies.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\downloads.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\formhistory.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\key3.db Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\parent.lock Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\permissions.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\places.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\places.sqlite-journal Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\search.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Feeds\{5588ACFD-6436-411B-A5CE-666AE6A92D3D}~\WebSlices~\Vorgeschlagene Sites~.feed-ms Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Feeds\{5588ACFD-6436-411B-A5CE-666AE6A92D3D}~\WebSlices~\Web Slice-Katalog~.feed-ms Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Feeds Cache\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Internet Explorer\Recovery\Active\RecoveryStore.{D5B4702E-8264-11DE-8093-0017316C2C50}.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Internet Explorer\Recovery\Active\{1415A8C7-8278-11DE-8093-0017316C2C50}.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Internet Explorer\Recovery\Active\{D5B4702F-8264-11DE-8093-0017316C2C50}.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\Cache\_CACHE_001_ Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\Cache\_CACHE_002_ Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\Cache\_CACHE_003_ Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\Cache\_CACHE_MAP_ Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x96leipf.default\urlclassifier3.sqlite Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\etilqs_2z9h2yaUiMUI0p5zsE9A Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF396C.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF397E.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF3A1F.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF3A32.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF3B42.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF3B54.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DF6FC0.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DFB94C.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DFBAF.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temp\~DFCB96.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\Lokale Einstellungen\Verlauf\History.IE5\MSHist012009080620090807\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\DavidG\PrivacIE\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\IETldCache\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Programme\FRITZ!DSL\access\access.lock Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\BWDocMap.pht Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\BWInfopakMap.pht Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\chandir.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\chandir.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\chn.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\chn.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\D0000000.FCS Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\inuse.txt Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\L0000044.FCS Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\main.log Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_die.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_die.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_dnd.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_dnd.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_ext.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_ext.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_rcv.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\prs_rcv.idx Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\storydb.dat Das Objekt ist gesperrt übersprungen
C:\Programme\Logitech\Desktop Messenger\8876480\Users\DavidG\Data\storydb.idx Das Objekt ist gesperrt übersprungen
C:\Programme\uusee\in_psp.dll Infizierte Objekte: Trojan.Win32.Genome.bzu übersprungen
C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
C:\System Volume Information\_restore{E0D1AC59-FB5F-4E8C-BF35-46283E696A1B}\RP322\A0065313.exe Infizierte Objekte: HackTool.Win32.ICQPass.at übersprungen
C:\System Volume Information\_restore{E0D1AC59-FB5F-4E8C-BF35-46283E696A1B}\RP345\A0072470.exe Infizierte Objekte: HackTool.Win32.ICQPass.at übersprungen
C:\System Volume Information\_restore{E0D1AC59-FB5F-4E8C-BF35-46283E696A1B}\RP356\change.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SchedLgU.Txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\CatRoot2\edb.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\CatRoot2\tmp.edb Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\Internet.evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\ODiag.evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\OSession.evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\sptd.sys Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Temp\Perflib_Perfdata_140.dat Das Objekt ist gesperrt übersprungen
C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen
Die Untersuchung wurde abgeschlossen.
|
|
06.08.2009, 19:18
| #35 |
| /// Selecta Jahrusso | Bitte einmal Logfile checken schritt 1 Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen Code:
ATTFilter C:\Programme\uusee\in_psp.dll
schritt 2
schritt 3 Manuelle Bereinigung Reinige den Cache und die Cookies im IE:
Reinige den Cache und die Cookies in Firefox: (wenn dieser installiert ist)
Andere Temporäre Dateien und den Papierkorb leeren:
schritt 4 Besuche die Secunia Update Seite. Lass Deinen PC nach Update scannen und installiere diese. schritt 5 Besuche bitte die Microsoft-Update-Seite und lade Dir alle Updates unter Benutzerdefiniert herunter Mache das so lange bis du nichts mehr angeboten bekommst Du musst dafür mit den Internet Explorer ins Netz gehen Wenn du dies mit FireFox durchführen willst musst Du vorher das Addon IE View installieren schritt 6 Desinfizierung/Absicherung externer Medien Lade Dir den Flash Disinfector von sUBs und speichere Flash_Disinfector.exe auf Deinem Desktop ab. Gehe nun wie folgt vor:
Flash Disinfector desinfiziert all Deine Laufwerke von Autoruninfektionen und erstellt einen versteckten Ordner mit demselben Namen, so dass dein Datenträger in Zukunft vor dieser Infektion geschützt ist. Während dem Scan wird Dein Desktop kurzfristig verschwinden und dann wiederkommen. Das ist normal. schritt 7 Poste eine frische HJT Logfile. Berichte wie der Rechner läuft.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
|
06.08.2009, 19:35
| #36 | |
| | Bitte einmal Logfile checkenZitat:
Code:
ATTFilter Datei in_psp.dll empfangen 2009.08.06 18:35:27 (UTC)
Status: Beendet
Ergebnis: 13/41 (31.71%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.24 2009.08.06 Trojan.Win32.Genome!IK
AhnLab-V3 5.0.0.2 2009.08.06 -
AntiVir 7.9.0.240 2009.08.06 -
Antiy-AVL 2.0.3.7 2009.08.05 -
Authentium 5.1.2.4 2009.08.06 -
Avast 4.8.1335.0 2009.08.06 Win32:Trojan-gen {Other}
AVG 8.5.0.406 2009.08.06 -
BitDefender 7.2 2009.08.06 Trojan.Generic.717309
CAT-QuickHeal 10.00 2009.08.06 -
ClamAV 0.94.1 2009.08.06 -
Comodo 1888 2009.08.06 TrojWare.Win32.Genome.bzu
DrWeb 5.0.0.12182 2009.08.06 Trojan.PWS.Banker.12240
eSafe 7.0.17.0 2009.08.06 -
eTrust-Vet 31.6.6662 2009.08.06 -
F-Prot 4.4.4.56 2009.08.06 -
F-Secure 8.0.14470.0 2009.08.06 Trojan.Win32.Genome.bzu
Fortinet 3.120.0.0 2009.08.06 -
GData 19 2009.08.06 Trojan.Generic.717309
Ikarus T3.1.1.64.0 2009.08.06 Trojan.Win32.Genome
Jiangmin 11.0.800 2009.08.06 -
K7AntiVirus 7.10.812 2009.08.06 -
Kaspersky 7.0.0.125 2009.08.06 Trojan.Win32.Genome.bzu
McAfee 5700 2009.08.06 -
McAfee+Artemis 5699 2009.08.05 -
McAfee-GW-Edition 6.8.5 2009.08.06 -
Microsoft 1.4903 2009.08.06 -
NOD32 4312 2009.08.06 probably a variant of Win32/Agent
Norman 6.01.09 2009.08.06 -
nProtect 2009.1.8.0 2009.08.06 Trojan-Spy/W32.Banker.319488
Panda 10.0.0.14 2009.08.06 Trj/Hmir.F
PCTools 4.4.2.0 2009.08.06 -
Prevx 3.0 2009.08.06 -
Rising 21.41.34.00 2009.08.06 -
Sophos 4.44.0 2009.08.06 -
Sunbelt 3.2.1858.2 2009.08.06 -
Symantec 1.4.4.12 2009.08.06 -
TheHacker 6.3.4.3.377 2009.08.05 -
TrendMicro 8.950.0.1094 2009.08.06 -
VBA32 3.12.10.9 2009.08.06 Trojan.PWS.Banker.12240
ViRobot 2009.8.6.1871 2009.08.06 -
VirusBuster 4.6.5.0 2009.08.06 -
weitere Informationen
File size: 319488 bytes
MD5 : 001907b1d2db000796223e12cb6cb333
SHA1 : 78b3229164e1c196e7c0003fe549abd3c788161d
SHA256: 234d437b319af7591503a4fbe0682bba3666a2eb50dbc72de863d4f6989d9c7e
PEInfo: PE Structure information
( base data )
entrypointaddress.: 0xD1001
timedatestamp.....: 0x2A425E19 (Sat Jun 20 00:22:17 1992)
machinetype.......: 0x14C (Intel I386)
( 10 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xA3000 0x3DC00 8.00 9c1d3ab11311bfce371ffe193426917e
.itext 0xA4000 0x1000 0xA00 7.12 233f6a094358b5c84586419800faf293
.data 0xA5000 0x5000 0x1C00 7.91 07fac15e68e6503146a169dacc70594f
.bss 0xAA000 0x6000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.idata 0xB0000 0x4000 0x1000 7.79 8204382673f65435ee9267497f0954a7
.edata 0xB4000 0x1000 0x200 1.66 8c6767370dc8153d4d514b848181405c
.reloc 0xB5000 0xC000 0x6400 7.98 05888fdc19042c28d97658ed9c4092b5
.rsrc 0xC1000 0x10000 0x4A00 7.50 99414ad80df231d3a819d5895c64ef52
.aspack 0xD1000 0x2000 0x1A00 5.64 9d7a6adb6ad89d2d72907e868e64a568
.adata 0xD3000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
( 11 imports )
> advapi32.dll: RegQueryValueExA, RegSetValueExA
> comctl32.dll: _TrackMouseEvent
> gdi32.dll: UnrealizeObject
> iphlpapi.dll: GetIpAddrTable, GetBestInterface
> kernel32.dll: GetProcAddress, GetModuleHandleA, LoadLibraryA
> ole32.dll: CLSIDFromString, CreateStreamOnHGlobal
> oleaut32.dll: SysFreeString, CreateErrorInfo, SafeArrayPtrOfIndex
> user32.dll: GetKeyboardType, CreateWindowExA
> version.dll: VerQueryValueA
> ws2_32.dll: WSAAccept
> wsock32.dll: __WSAFDIsSet
( 1 exports )
> uuseePSPmodlePlugin, uuseePSPmodlePlugin2, uuseePSPmodlePlugin3
TrID : File type identification
58.3% (.EXE) Win32 Executable Generic (8527/13/3)
14.1% (.EXE) Win16/32 Executable Delphi generic (2072/23)
13.7% (.EXE) Generic Win/DOS Executable (2002/3)
13.6% (.EXE) DOS Executable Generic (2000/1)
0.0% (.CEL) Autodesk FLIC Image File (extensions: flc, fli, cel) (7/3)
ssdeep: 6144:xuhYnJ4fELqsJSun00XWbIN6P/g2cZtmFteRpQb7mv7Z4OfCw:xuK4sLtJSun0pINfXvmjevEivN4
PEiD : ASPack v2.12
packers (F-Prot): Aspack
CWSandbox: http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=001907b1d2db000796223e12cb6cb333
RDS : NSRL Reference Data Set
-
|
|
06.08.2009, 20:06
| #37 | |
| | Bitte einmal Logfile checken Hier der Bericht vom Regsearch: Code:
ATTFilter Windows Registry Editor Version 5.00
; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.6.0
; Results at 06.08.2009 21:04:55 for strings:
; 'in_psp'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS
[HKEY_USERS\S-1-5-21-515967899-1454471165-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*]
"f"="C:\\Programme\\uusee\\in_psp.dll"
[HKEY_USERS\S-1-5-21-515967899-1454471165-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\dll]
"a"="C:\\Programme\\uusee\\in_psp.dll"
; End Of The Log...
Eine Frage habe ich noch: Zitat:
Weil dann wird mir nur gezeigt welche Anwendungen "unsicher (insecure)" sind. Da wird z.B. Winamp, Adobe Flash Player 9.x und noch nen paar andere angezeigt. |
|
06.08.2009, 20:27
| #38 |
| /// Selecta Jahrusso | Bitte einmal Logfile checken ja genau. lass damit scannen und updaten. danach bitte folgendes schritt 1a Registry mit ERUNT sichern Da wir in der Registry Änderungen vornehmen müssen, wirst Du die Registry vorher wie folgt sichern: Lade das Tool ERUNT von Lars Hederer herunter und installiere es. Starte die erunt.exe und erstelle damit eine Backup der Registry in den vorgegebenen Ordner. Unter Sicherungsoptionen bitte alle drei Möglichkeiten anhaken. Das Programm nicht in den Systemstart aufnehmen. schritt 2a Registry Einträge ändern, löschen oder erstellen Start--> ausführen--> notepad (reinschreiben)--> ok Kopiere nun bitte folgenden Text aus der Code-Box in das leere Textdokument Code:
ATTFilter Windows Registry Editor Version 5.00
[HKEY_USERS\S-1-5-21-515967899-1454471165-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*]
"f"="-
[HKEY_USERS\S-1-5-21-515967899-1454471165-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\dll]
"a"="-
schritt 3a start --> ausführen --> notepad (reinschreiben) Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code:
ATTFilter cd \
dir C:\Programme\uusee>files.txt
notepad files.txt
del file.bat
Wähle bei Dateityp alle Dateien aus. Doppelklich auf die file.bat, poste mir den Inhalt des Textdokuments.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie Geändert von Larusso (06.08.2009 um 20:46 Uhr) |
|
06.08.2009, 20:40
| #39 |
| | Bitte einmal Logfile checken Hilfe! Mein Antivir meldete mir heute beim Hochfahren einen Trojaner. (Fundort: 'C:\Windows\System32\fsvk.exe.exe', Name: 'TR/Dldr.Client.kiu' [trojan]) Habe ihn gelöscht und dann unter Suche nach Neustart den Namen gesucht - nichts gefunden. Vorhin meldete er dann nochmal sechs Trojaner. 4x folgender: C:\Users\XXX\Downloads\antivirusdoktor_v08.exe' Name: 'TR/Drop.fra.2168720'. Und zweimal folgender: Ort: 'C:\Users\XXX\AppData\Local\Mozilla\Firefox\Profil es\dje8qizr.default\Cache\5558608Cd01', Name: TR/Drop.fra.2168720' Nun habe ich unter HijackThis eine logfile erstellen lassen. Kann mir die bitte jemand auswerten? Wie bekomme ich die Trojaner entgültig los? Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:12:28, on 06.08.2009 Platform: Windows Vista SP1 (WinNT 6.00.1905) MSIE: Internet Explorer v8.00 (8.00.6001.18813) Boot mode: Normal Running processes: C:\Windows\system32\taskeng.exe C:\Windows\system32\Dwm.exe C:\Windows\Explorer.EXE C:\Program Files\Windows Defender\MSASCui.exe C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe C:\Windows\System32\rundll32.exe C:\Program Files\Apoint2K\Apoint.exe C:\Program Files\Light Sensor Utility\Sensor.exe C:\Program Files\Power Manager\PM.exe C:\Program Files\Avira\AntiVir Desktop\avgnt.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\Windows Sidebar\sidebar.exe C:\Program Files\Windows Live\Messenger\msnmsgr.exe C:\Windows\ehome\ehtray.exe C:\Program Files\FRITZ!DSL\StCenter.exe C:\Windows\ehome\ehmsas.exe C:\Program Files\Apoint2K\Apntex.exe C:\Program Files\Windows Live\Contacts\wlcomm.exe C:\Windows\system32\wuauclt.exe C:\Program Files\Windows Mail\WinMail.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\Microsoft Office\Office12\EXCEL.EXE C:\Program Files\Microsoft Office\Office12\WINWORD.EXE C:\Users\Laura\Downloads\HiJackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O1 - Hosts: ::1 localhost O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe O4 - HKLM\..\Run: [Skytel] C:\Program Files\Realtek\Audio\HDA\Skytel.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe O4 - HKLM\..\Run: [Silent Mode] C:\Program Files\Light Sensor Utility\Sensor.exe O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe" O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe O4 - Global Startup: FRITZ!DSL Startcenter.lnk = ? O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll O13 - Gopher Prefix: O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA ~1\KASPER~1\KASPER~1\mzvkbd3.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe O23 - Service: AVM IGD CTRL Service (IGDCTRL) - AVM Berlin - C:\Program Files\FRITZ!DSL\IGDCTRL.EXE O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe -- End of file - 5977 bytes |
|
06.08.2009, 20:44
| #40 |
| /// Selecta Jahrusso | Bitte einmal Logfile checken isidor bitte eröffne einen eigenen Thread. Dieser gehört DavidG. Klick einfach, im entsprechenden Forum auf  Arbeite vorher diese Anleitung ab http://www.trojaner-board.de/95173-b...es-posten.html es wird sich so bald als möglich jemand um Dich kümmern. 
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
|
06.08.2009, 20:51
| #41 |
| | Bitte einmal Logfile checken @ Larusso Ok, mache ich.  Sorry, dachte das sei allgemein zur Auswertung von logfiles... |
|
06.08.2009, 20:59
| #42 | ||
| | Bitte einmal Logfile checkenZitat:
Falls du dann nicht mehr da sein solltest (weil du ja auch übers WE weg bist): Das jetzt zitierte machen und danach noch den Rest von weiter oben fertig machen, richtig? Also das hier: Zitat:
|
|
06.08.2009, 21:08
| #43 |
| /// Selecta Jahrusso | Bitte einmal Logfile checken mach erstmal die a Schritte wenn ich heute (bis 24 uhr) nicht mehr antworte, kannste fortfahren 
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
|
06.08.2009, 22:03
| #44 | |
| | Bitte einmal Logfile checkenZitat:
Code:
ATTFilter Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 8042-0F67
Verzeichnis von C:\Programme\uusee
29.09.2008 18:39 <DIR> .
29.09.2008 18:39 <DIR> ..
16.05.2009 15:29 <DIR> AD
12.12.2006 12:30 590.336 ARMP.ocx
27.12.2006 17:59 319.488 in_psp.dll
08.10.2006 15:31 151.552 MultiVMR9.dll
25.01.2007 19:01 82.944 out_mmshttp.dll
24.08.2006 19:12 14.848 patch_cmd.exe
13.06.2006 22:12 94.208 u264Dec.ax
11.12.2006 18:37 147.456 UFDeMux.ax
13.09.2008 14:52 3.593 unins000.dat
13.09.2008 14:52 657.677 unins000.exe
27.12.2006 11:27 34.304 updateC2.ocx
25.12.2006 11:09 110.080 UUPlayer.dll
05.06.2006 21:12 32.768 UUPlayer.ocx
07.11.2006 18:40 112.640 UUPlayer.skn
20.11.2006 23:06 265.728 UURecorder.exe
13.09.2008 14:52 46 UUSee.url
13.03.2006 19:55 307.200 UUSEEAudioDec.ax
05.01.2007 17:14 317.952 UUSeePlayer.exe
14.04.2006 19:29 479.232 uusee_video.dll
16.05.2009 15:30 99.029 UUTV.xml
16.05.2009 15:29 267 UUTV_MY.xml
25.01.2007 19:01 1.883 vermini.ini
25.01.2007 19:01 929 vermini_x.ini
25.01.2007 19:01 1.719 vermini_x1.ini
23 Datei(en) 3.825.879 Bytes
3 Verzeichnis(se), 51.391.488.000 Bytes frei
|
|
06.08.2009, 22:21
| #45 |
| /// Selecta Jahrusso | Bitte einmal Logfile checken Hy Bitte lösche in diesem Ordner die in_psp.dll Ich würde Dir generell von solch Software abraten. P2P-Filesharing P2P-Programme sind an sich saubere Programme, jedoch weißt Du niemals was Du von wo herunterlädst. Programme aus Filesharing-Börsen stammen meist aus unsicheren Quellen und da sie häufig verseucht sind, rate ich Dir auch in Zukunft davon ab. Außerdem kann es Dich zu eventuell illegalen Handlungen verleiten, z. B. die Nutzung von Raubkopien. Fahre danach mit den restlichen Punkten fort.
__________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie |
|
| Themen zu Bitte einmal Logfile checken |
| ad-aware, antivir, antivir guard, ask toolbar, askbar, auf einmal, avira, bho, bonjour, browser, canon, desktop, dsl, excel, firefox, gainward, google update, gupdate, helper, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, launch, logfile, mozilla, prozessor, rundll, senden, shortcut, software, solution, system, tuneup.defrag, windows, windows xp |
auf Deinem Desktop erscheinen
Linear-Darstellung
