| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exeWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
26.11.2009, 21:42
| #1 |
 |  TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe hallo leute ! vor etwa 30 min bekam ich von meinem antivir die meldung, ich hätte diesen trojaner: TR/Buzus.clsq in einer *.exe datei. bin jetzt auf der suche nach lösungen wie ich das weg bekomme, weil ich ja gelesen habe,dass das ding nicht ungefährlich ist. bin jetzt nach der anleitung auf dieser seite wie folgt vorgegangen. ccleaner durchgeführt. am ende bleibt eine registrydatei übrig, die sich auch nicht manuell in der registry löschen lässt. bin im moment bei schritt 2, nämlich Malwarebytes....der läuft jetzt noch. Hier schonmal meine Hijackthis-log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:02:54, on 26.11.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe G:\Programme\Comodo\Firewall\cmdagent.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe G:\DigitalPersonaPasswordManager 1.0.1\Bin\DPWinLct.exe C:\WINDOWS\system32\spoolsv.exe G:\Programme\Avira\Avira\AntiVir Desktop\sched.exe G:\Programme\Avira\Avira\AntiVir Desktop\avguard.exe C:\WINDOWS\system32\CTsvcCDA.EXE G:\DigitalPersonaPasswordManager 1.0.1\Bin\DpHost.exe C:\WINDOWS\system32\libusbd-nt.exe G:\Programme\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe C:\WINDOWS\system32\HPZipm12.exe C:\Programme\CyberLink\Shared Files\RichVideo.exe G:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe C:\WINDOWS\system32\svchost.exe G:\DigitalPersonaPasswordManager 1.0.1\Bin\DPFUSMgr.exe G:\Programme\Pinnacle\Shared Files\Programs\MediaServer\PMSHost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\Explorer.EXE C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe G:\DigitalPersonaPasswordManager 1.0.1\Bin\DPAgnt.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\SYSTEM32\CTXFISPI.EXE G:\Programme\Comodo\Firewall\cfp.exe G:\Programme\Avira\Avira\AntiVir Desktop\avgnt.exe G:\Programme\Winamp\winampa.exe G:\Programme\DAEMON Tools\daemon.exe C:\Programme\Mozilla Firefox\firefox.exe g:\programme\avira\avira\antivir desktop\avcenter.exe G:\Programme\Avira\Avira\AntiVir Desktop\avscan.exe G:\Programme\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - G:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - G:\Programme\Canon\Easy-WebPrint\Toolband.dll O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programme\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll" O4 - HKLM\..\Run: [DPAgnt] G:\DigitalPersonaPasswordManager 1.0.1\Bin\DPAgnt.exe O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\Run: [COMODO Firewall Pro] "G:\Programme\Comodo\Firewall\cfp.exe" -h O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "G:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [COMODO Internet Security] "G:\Programme\Comodo\Firewall\cfp.exe" -h O4 - HKLM\..\Run: [avgnt] "G:\Programme\Avira\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [WinampAgent] G:\Programme\Winamp\winampa.exe O4 - HKCU\..\Run: [DAEMON Tools] "G:\Programme\DAEMON Tools\daemon.exe" -lang 1033 O4 - HKCU\..\Run: [AlcoholAutomount] "G:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount O4 - HKCU\..\Run: [Yodm3D] G:\Programme\YodM3D\Yodm3D.exe O4 - HKCU\..\Run: [ICQ] "G:\Programme\ICQ6.5\ICQ.exe" silent O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: Easy-WebPrint - Drucken - res://G:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://G:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://G:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://G:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://G:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://G:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra button: Wecker-Alarm - {7B499570-29C5-4a80-9F57-94A420D140CE} - C:\WINDOWS\system32\shdocvw.dll O9 - Extra 'Tools' menuitem: Nach Wecker für Windows exportieren - {7B499570-29C5-4a80-9F57-94A420D140CE} - C:\WINDOWS\system32\shdocvw.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - G:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - G:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: winrkbdc.dll C:\WINDOWS\system32\guard32.dll O20 - Winlogon Notify: autoplus - C:\WINDOWS\ O20 - Winlogon Notify: DPWLN - C:\WINDOWS\system32\DPWLEvHd.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - G:\Programme\Avira\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - G:\Programme\Avira\Avira\AntiVir Desktop\avguard.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - G:\Programme\Comodo\Firewall\cmdagent.exe O23 - Service: CPUCooLServer Service (CPUCooLServer) - Unknown owner - G:\CPUCooL\CooLSrv.exe (file missing) O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE O23 - Service: Windows XP FUS Manager (DPFUSMgr) - DigitalPersona, Inc. - G:\DigitalPersonaPasswordManager 1.0.1\Bin\DPFUSMgr.exe O23 - Service: Biometric Authentication Service (DpHost) - DigitalPersona, Inc. - G:\DigitalPersonaPasswordManager 1.0.1\Bin\DpHost.exe O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - G:\Programme\MAGIX\Common\Database\bin\fbserver.exe O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe O23 - Service: LibUsb-Win32 - Daemon, Version 0.1.10.1 (libusbd) - http://libusb-win32.sourceforge.net - C:\WINDOWS\system32\libusbd-nt.exe O23 - Service: NBService - Nero AG - G:\Programme\Nero 7\Nero BackItUp\NBService.exe O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - G:\Programme\Pinnacle\Shared Files\Programs\MediaServer\PMSHost.exe O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - Unknown owner - G:\SiSoftware Sandra Lite XI.SP1\Win32\RpcDataSrv.exe (file missing) O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - Unknown owner - G:\SiSoftware Sandra Lite XI.SP1\RpcSandraSrv.exe (file missing) O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - G:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe -- End of file - 9255 bytes ist es wirklich so gefährlich ? muss ich mir kummer machen ??? AAAANGGST :-) vielen dank an euch schonmal. gruß halfar |
|
26.11.2009, 21:52
| #2 | |
| /// AVZ-Toolkit Guru   | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe Halli hallo.
__________________Dein System stammt aus dem Mittelalter. Service Pack 3 ist Pflicht! Bitte installiere das nachdem wir mit der Bereinigung fertig sind. Poste jetzt erstmal zwei AVZ logs und hänge sie an deinen nächsten Post an. Poste außerdem folgende GMER logs: GMER - Rootkit Detection
Master Boot Record überprüfen: Lade dir die mbr.exe von GMER auf den Desktop und führe die Datei mit Administrator-Rechten aus. Poste das log! Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck Zitat:
Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop. Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig. Dann führe die mbr.bat. durch einen Doppelklick aus. Dabei muss sich die mbr.exe von GMER ebenfalls auf dem Desktop befinden! Der MBR wird bereinigt und es erscheint ein log. Poste auch diese log!
__________________ |
|
26.11.2009, 22:00
| #3 |
| | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe okay...hört sich sehr kompliziert an. aber wenn du mir damit helfen kannst dann werd ich wohl das durcjmachen müssen. schonmal danke!!
__________________soll ich Malwarebytes abbrechen oder trotzdem das ganze durchmachen? |
|
26.11.2009, 22:02
| #4 |
| /// AVZ-Toolkit Guru | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe Ist nicht kompliziert. MBMA kannst du ruhig weiterlaufen lassen und dann den Bericht hier posten. Lies dir für die anderen Sachen einfach in Ruhe die Anleitungen durch und arbeite sie Schritt für Schritt ab dann ist das garnicht wild.
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
26.11.2009, 22:43
| #6 |
| | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe mit der gmer.exe lässt sich nichts nafangen. wenn ich das programm starte kommt die windows fehlermeldung "...hat ein Problem festgestellt..." was tun? |
|
27.11.2009, 15:15
| #7 |
| | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe bei der zweiten skripteingabe (erstellen der quarantine.zip) kommt bei check synthax: Error:Undeclared Identifier: CreateQuarantineArchive at position 2:24 |
|
27.11.2009, 17:21
| #8 |
| /// AVZ-Toolkit Guru | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe Neues Skript: Code:
ATTFilter begin
CreateQurantineArchive('C:\quarantine.zip');
end.
__________________ - Sämtliche Hilfestellungen im Forum werden ohne Gewährleistung oder Haftung gegeben - |
|
27.11.2009, 22:49
| #10 |
| | TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe im weiteren schritt die mbr Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully user & kernel MBR OK ist das ok ? soll ich den nächsten schritt machen? |
|
| Themen zu TR/Buzus.clsq gefunden in G:\Programme\RS Downloader\RSD 0.537Cu_sym\RSD.exe |
| adobe, antivir, antivir guard, avira, bho, canon, desktop, downloader, excel, explorer, firefox, firewall, gefährlich ?, gupdate, hkus\s-1-5-18, internet, internet explorer, internet security, löschen, magix, mozilla, mssql, programme, rundll, security, software, system, tr/buzus.clsq, trojaner, windows, windows xp |
Hybrid-Darstellung
