Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Habe Trojaner Riern-E, bitte helfen

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 21.09.2009, 16:27   #1
blueraketa
 
Habe Trojaner Riern-E, bitte helfen - Standard

Habe Trojaner Riern-E, bitte helfen



Hallo zusammen,

wir haben irgendwo aus dem Netz den Trojaner Riern-E gezogen. Er hat sich unter Dokumente und Einstellungen / Macromedia /Common eingenistet.
Er erstellt immer wieder dort eine winzige Datei, die sich löschen lässt , jedoch bei der nächsten Funktionsausführung wieder kommt.
Diese ist in dem unten aufgeführten Logfile zu sehen :
O4 - HKCU\..\Run: [WAB] C:\Dokumente und Einstellungen\tb\Anwendungsdaten\Macromedia\Common\e0f2c00619.exe

Ich habe den Rechner mit Avast gecheckt. Er meldet, dass nun die Datei hiberfil.sys, die meines Wissens für den Ruhezusatnd verantwortlich ist, mit diesem Trojaner befallen ist. Löschen, reparieren oder In Container schieben ist nicht möglich.

Was kann ich noch tun? Anbei das Logfile von HijackThis v1.99.1
Scan saved at 17:14:41, on 21.09.2009

Platform: Windows XP SP2

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Alwil Software1\Avast4\aswUpdSv.exe
D:\Programme\Alwil Software1\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\SLEE81.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Alwil Software1\Avast4\ashMaiSv.exe
D:\Programme\Alwil Software1\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\Explorer.EXE
D:\PROGRA~1\ALWILS~2\Avast4\ashDisp.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\frnDSL\frnDSL.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\explorer.exe
G:\downloads\Antiviren\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.web.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer von freenet.de
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_B7C5AC242193BB3E.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~2\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [Microsoft Works Update Detection] ???\WkDetect.exe
O4 - HKCU\..\Run: [AntivirusDoktorNET] G:\downloads\Antiviren\Antivurus Doktor 2009\Antivirus Doktor 4.1\AntivirusDoktor.exe
O4 - HKCU\..\Run: [WAB] C:\Dokumente und Einstellungen\tb\Anwendungsdaten\Macromedia\Common\e0f2c00619.exe
O4 - Startup: gwlinks.lnk = C:\Programme\gwlinks\gwlinks.exe
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://wwwimages.adobe.com/www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7FF96EBE-99F4-49CD-BC9B-5C431C3C0DF6}: NameServer = 194.97.173.117 194.97.173.116
O17 - HKLM\System\CCS\Services\Tcpip\..\{F02E20DC-141A-495F-911E-3ADF1765EB92}: NameServer = 62.104.191.241
O20 - Winlogon Notify: klogon - C:\WINDOWS\
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Programme\Alwil Software1\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - D:\Programme\Alwil Software1\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - D:\Programme\Alwil Software1\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - D:\Programme\Alwil Software1\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Steganos Live Encryption Engine 8.1 [Service] (SLEE_81_SERVICE) - Unknown owner - C:\WINDOWS\system32\SLEE81.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe


Danke im Voraus für Hilfe
Blueraketa

Alt 21.09.2009, 20:23   #2
kira
/// Helfer-Team
 
Habe Trojaner Riern-E, bitte helfen - Standard

Habe Trojaner Riern-E, bitte helfen



Hallo und Herzlich Willkommen!

- Trojan.Silentbanker:
Es handelt es sich um eine vergleichsweise neue Art der *Malware*, mit Backdoor - *Hintertür* und [url=http://de.wikipedia.org/wiki/Rootkit]*Rootkit* Rootkitfunktionalität. Malware, die versucht die Anmeldedaten für das Online-Banking zu stehlen. Zudem ist eine Erkennung & Entfernung schwierig, weil der Quelldateinamen ändert sich ständig (willkürlich aufgebautes Muster `random tiling`,Buchstaben und Zahlen, also Macrome dia\Common\`Random`.dll).
Die Schäden am System die er hinterlässt, am Anfang noch nicht absehbar, daher lautet die Empfehlung, ist das besser, das System komplett neu aufzusetzen, um wieder mit einem vertrauenswürdigen System zu arbeiten können. Aber weil ist das auch mit sehr viel Arbeit zu verbunden, macht nicht jeder gerne
Machst du onlinebanking?
Ändere deine Passworte und Zugangsdaten überall! - auf deinem Computer auch, aber um sicher gehen, von einem sauberen System aus!
Falls Du dein System reinigen möchtest:

- Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe:
Code:
ATTFilter
**Spybot Tea Timer bitte abstellen! Falls "Tea Timer" auch aktiviert:
Modus-->Erweiterte Modus-->Ja-->Werkzeuge-->Resident--> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) > exit.
         
1.
Es fehlt der Kopf des HijackThis-LogFiles mit den Informationen zur Aktualität des Systems.
Zitat:
Logfile of ....
Scan saved at ..........
Platform: ...................
MSIE: Internet Explorer ..............
Boot mode: Normal
Erstelle und poste ein neues Logfile!

2.
  • lade F-Secure Blacklight in einen neuen Ordner C:\programme\blacklight.
  • schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
  • nichts am Pc machen während der Scan läuft![/b]
  • starte in diesem Ordner fsbl.exe
  • klicke auf "I accept the agreement" → "next" → "Scan"
  • wenn der Scan beendet ist, wähle Close.
  • der Bericht ist fsbl-XXX.log und befindet sich im Blacklight Verzeichnis. (anstelle der XXX stehen Zahlen, die Datum und Uhrzeit enthalten). Den Inhalt dieser Datei bitte posten.
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

3.
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :
Achtung!::
gleich beim Download/speichern, musst Du die Installdatei also gmer.exe umbenennen! Wähle eine beliebige Dateiname, die Endung soll *.com sein!
  • - also lade Dir Gmer herunter
    - entpacke es auf deinen Desktop
    - [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
    - Starte gmer.exe<-hier "umbenannt.com".
    - Achte darauf, dass "Show all" soll nicht angehakt sein! - dann klicke auf "Scan", um das Tool zu starten
    - bitte nichts am Pc machen während der Scan läuft!
    - wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
    - mit "Ok" wird GMER beendet.
    - das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

4.
ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen::
→ Klicke unter Start auf Arbeitsplatz.
→ Klicke im Menü Extras auf Ordneroptionen.
→ Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen
→ Geschützte und Systemdateien ausblenden → Haken entfernen
→ Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen.
→ Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein.

5.
Für XP und Win2000 (ansonsten auslassen)
→ lade Dir das filelist.zip auf deinen Desktop herunter
→ entpacke die Zip-Datei auf deinen Desktop
→ starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
→ kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread
** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen!

6.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool CCleaner herunter
installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

Zitat:
Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du:[code]
hier kommt dein Logfile rein
→ dahinter:[/code]
** Kannst auch, die einzelnen Ergebnisse in Textdatei speichern und hier anhängen (auf "Erweitert" klicken)
** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
Coverflow
__________________


Antwort

Themen zu Habe Trojaner Riern-E, bitte helfen
adobe, avast, avast!, bho, dateien, dsl, einstellungen, excel, google, hiberfil.sys, hijack, hijackthis, immer wieder, internet, internet explorer, logfile, löschen, messenger, microsoft, nvidia, programme, rundll, software, solution, system, system32, trojaner, windows, windows xp



Ähnliche Themen: Habe Trojaner Riern-E, bitte helfen


  1. Meldung über verschiedenen Trojaner binnen kurzer Zeit: 'TR/Riern.B.287' + 'TR/Drop.A
    Plagegeister aller Art und deren Bekämpfung - 06.02.2010 (1)
  2. Kann jemand mir helfen ich habe ein Trojaner auf meinen Rechner.
    Mülltonne - 15.12.2008 (0)
  3. Habe Trojaner bitte helfen!!!
    Mülltonne - 28.08.2008 (0)
  4. SOS habe mir was eingefangen Bitte helfen
    Plagegeister aller Art und deren Bekämpfung - 26.06.2008 (43)
  5. Wer kann mir helfen, habe einen Trojaner
    Mülltonne - 10.01.2008 (0)
  6. Trojaner????? Bitte Helfen
    Mülltonne - 10.08.2007 (4)
  7. bitte helfen! Trojaner & Droppers
    Log-Analyse und Auswertung - 28.12.2006 (31)
  8. Bitte Helfen;habe Keine Ahnung!!!
    Plagegeister aller Art und deren Bekämpfung - 13.12.2006 (11)
  9. Trojaner? Bitte helfen :)
    Log-Analyse und Auswertung - 24.05.2006 (1)
  10. Habe Was Bemerckt bitte helfen
    Netzwerk und Hardware - 06.04.2006 (4)
  11. hallo ihr ich habe auch das problem dem trojaner kann mir jemand helfen !
    Log-Analyse und Auswertung - 30.03.2006 (1)
  12. Bitte helfen ! Habe viele Viren auf PC
    Mülltonne - 22.02.2006 (5)
  13. Habe ein Problem, bitte helfen!!!
    Plagegeister aller Art und deren Bekämpfung - 07.01.2005 (93)
  14. trojaner, bitte helfen
    Plagegeister aller Art und deren Bekämpfung - 22.12.2004 (5)
  15. wer kann helfen habe probleme mit trojaner
    Log-Analyse und Auswertung - 14.12.2004 (3)
  16. Virus/Trojaner: Bitte Helfen
    Plagegeister aller Art und deren Bekämpfung - 12.10.2004 (8)
  17. Hilfe,Hilfe,habe Probleme mit Norton Antivirus bitte helfen!!
    Plagegeister aller Art und deren Bekämpfung - 02.03.2004 (1)

Zum Thema Habe Trojaner Riern-E, bitte helfen - Hallo zusammen, wir haben irgendwo aus dem Netz den Trojaner Riern-E gezogen. Er hat sich unter Dokumente und Einstellungen / Macromedia /Common eingenistet. Er erstellt immer wieder dort eine winzige - Habe Trojaner Riern-E, bitte helfen...
Archiv
Du betrachtest: Habe Trojaner Riern-E, bitte helfen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.