Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 03.12.2009, 07:43   #1
shaolin84
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Ausrufezeichen

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Hallo!

Ich habe folgendes Problem:

Habe meinen Rechner eigentlich anständig konfiguriert und aufgesetzt:

-Windows-Konten konfiguriert, -Dienste, -Rechte, -Updates usw. Dazu Antivir 9.0, Comodo, Anti-Spy, Routerfirewall alles ist immer Up-to-Date.

Gestern abend wurde ich ein wenig stützig, weil mein Rechner ein wenig lahmte, habe daraufhin Antivir durchlaufen lassen, kein Fund!
Daraufhin habe ich Avast installiert und siehe da, ein Fund nach dem anderen:

Meldung:
- Virus im Arbeitsspeicher gefunden
- Sowie 2 verseuchte Dateien mit WIN32.delf -MGZ & Win32.zbot -MKK

Habe neu gestartet und scan vor der Windowsanmeldung laufen lassen, leider hat der Scan mittendrin bei ca 20% abgebrochen:

Auszug aswBoot log:
Anzahl infizierter Dateien: 99

- Datei C:\Programme\Adobe\Adobe Device Central CS3\Required\Opera\spellcheck.dll ist infiziert von Win32:Zbot-MKK [Trj], Gelöscht

- Datei C:\Programme\Spybot - Search & Destroy\SpybotSD.exe ist infiziert von Win32elf-MZG [Trj], Gelöscht

Auszug GMER Reglog:

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 -562859523
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 -326921269
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 C:\Programme\DAEMON Tools\
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x44 0x8D 0x18 0xE1 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x12 0xA8 0x0D 0x9F ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0xC7 0x6E 0xA3 0xB2 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0 C:\Programme\DAEMON Tools\
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0 0
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh 0x44 0x8D 0x18 0xE1 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh 0x12 0xA8 0x0D 0x9F ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh 0xC7 0x6E 0xA3 0xB2


Hijackthis log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:11:19, on 03.12.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\COMODO\COMODO Internet Security\cmdagent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\TUProgSt.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\COMODO\COMODO Internet Security\cfp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Philips\SA32xx Device Manager\SA32xx_DeviceManager.exe
C:\Programme\DVBT\DTV_Stick\RC.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Avira\AntiVir Desktop\setup.exe
C:\Dokumente und Einstellungen\Patryk\Eigene Dateien\Downloads\gmer.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://notifier.avira.com/stats.php?id_not=114&url=https%3A%2F%2Favira.cleverbridge.com%2F30%2Fcookie%3Fx%2Dorigin%3Dnotifier%26x%2Dnotifier%3DREVER_DE%26expiry%3D28%26redirect to%3Dhttps%253a%252f%252favira.cleverbridge.com%252f30%252f%253fscope%253dcheckout%2526cart%253ds360%2526enablecoupon%253dfalse%2526recommendation%253 dAS%252cbcd%2526x%2Dorigin%253dnotifier%2526x%2Dnotifier%253dREVER_DE
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O1 - Hosts: 127.0.0.2 magento.pb
O1 - Hosts: 127.0.0.3 patryk.pb
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Programme\COMODO\COMODO Internet Security\cfp.exe" -h
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [1&1_1&1 SoftPhone] "C:\Programme\1&1\1&1 SoftPhone\IPPHONEUI.EXE" /hide
O4 - Startup: RC.lnk = C:\Programme\DVBT\DTV_Stick\RC.exe
O4 - Global Startup: Philips SA32XX Device Manager.lnk = ?
O8 - Extra context menu item: &Download by Arles Download Manager - C:\Dokumente und Einstellungen\Patryk\Lokale Einstellungen\Anwendungsdaten\Ariel Download Manager\DownloadManager.htm
O8 - Extra context menu item: In 1&&1 SoftPhone wählen - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\1&1\1&1 SoftPhone\ContextMenuHandler.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O23 - Service: Apache2.2 - Apache Software Foundation - c:\xampp\apache\bin\apache.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Programme\COMODO\COMODO Internet Security\cmdagent.exe
O23 - Service: Dragon Age: Origins - Content Updater (DAUpdaterSvc) - BioWare - D:\Games\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LogMeIn Hamachi 2.0 Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - C:\Programme\LogMeIn Hamachi\hamachi-2.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: mysql - Unknown owner - C:\xampp\mysql\bin\mysqld.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--
End of file - 7652 bytes

Wie kann es sein, dass mein Antivir nicht davon mitbekommen hat?
Was sollte ich als nächstes tun, der Avastscan läuft einfach nicht durch?

Danke euch im Voraus!

Alt 03.12.2009, 08:06   #2
raman
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Standard

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Aktualisiere bitte ersteinmal dein Avast, dann stelle die DAteien, die du geloescht hast wieder her und wiederhole den scan mit Acast. Comodo solltest du vorher deaktivieren.
Dein Windows ist nicht auf dem neusten Stand!
__________________

__________________

Geändert von raman (03.12.2009 um 08:23 Uhr)

Alt 03.12.2009, 08:25   #3
shaolin84
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Standard

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Danke für die schnelle Antwort. Das ist ja echt kurios, hab wegen dem Mist kein Auge zu bekommen die Nacht...
Die 99 Dateien, die gelöscht wurden, sind wohl futsch. Hab die direkt löschen lassen von Avast. Da gibts wohl auch keine Wiederherstellmöglichkeit oder?
__________________

Alt 03.12.2009, 08:28   #4
raman
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Standard

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Nein, wenn weg, dann weg!
Darum sollte man immer die Moeglichkeit nutzen, (angeblich) infizierte Dateien in Quarantaene zu stecken....
__________________
MfG Ralf

Alt 03.12.2009, 12:27   #5
shaolin84
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Standard

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Ich hab nochmal zur Sicherheit gmer, nach Anleitung, komplett durchlaufen lassen, da sind irgendwie super viele Einträge, die so aussehen und mit comodo zu tun haben:

IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter] [F743D6E0] inspect.sys (COMODO Internet Security Firewall Driver/COMODO)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter] [F743D7B0] inspect.sys (COMODO Internet Security Firewall Driver/COMODO)

Ist das Normal? Hab mir ein paar posts von gmerlogs im Internet angeschaut, da ist sowas in der Art nie drin zu finden.

PS: Die logDatei ist 400kb gross... :S


Alt 03.12.2009, 12:39   #6
raman
 
Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Standard

Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK



Zitat:
Ist das Normal? Hab mir ein paar posts von gmerlogs im Internet angeschaut, da ist sowas in der Art nie drin zu finden.

Suche GMER Reporte von Rechnern, bei denen Comodo installiert ist und sie werden gleich aussehen. comodo graebt sich recht tief ins System....

NAchtrag: Genauso wie die Deamontools.
__________________
--> Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK

Antwort

Themen zu Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK
antivir, avast!, avira, central, desktop, einstellungen, firefox, hijack, hijackthis, hijackthis log, infiziert, internet, internet explorer, internet security, kein fund, mozilla, registry, required, security, software, stick, trojaner, virus, win32.delf, win32.delf-mgz, win32.zbot, win32.zbot -mkk, win32.zbot-mkk, win32:delf-mzg, windows xp



Ähnliche Themen: Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK


  1. Nach PWS:WIN32/Zbot.gen!Am jetzt PWS:WIN32/Zbot.AJB - wie werde ich diesen los
    Log-Analyse und Auswertung - 16.08.2013 (10)
  2. Probleme mit GVU Trjoaner und Win32\Zbot
    Plagegeister aller Art und deren Bekämpfung - 14.08.2013 (3)
  3. PWS:Win32/Zbot.gen!AJ Trojaner?
    Log-Analyse und Auswertung - 17.05.2013 (9)
  4. Probleme mit PWS:Win32/Zbot.gen!AJ - Trojaner
    Log-Analyse und Auswertung - 14.05.2013 (7)
  5. GVU Trojaner und Win32/Spy.Zbot.AAO
    Plagegeister aller Art und deren Bekämpfung - 02.05.2013 (1)
  6. Variante des Win32/Spy.Zbot.ZR Trojaner
    Plagegeister aller Art und deren Bekämpfung - 13.12.2012 (43)
  7. Win32/Spy.Zbot.AAO Trojaner
    Log-Analyse und Auswertung - 01.09.2012 (1)
  8. Trojaner Win32/Spy.Zbot.ZR im Arbeitsspeicher
    Log-Analyse und Auswertung - 09.04.2012 (1)
  9. Win32.Agent.tdd / Win32.Delf.uv Trojaner
    Log-Analyse und Auswertung - 15.06.2011 (3)
  10. MSPAPING.DLL + win32/zbot.gen!Y + Win32/Skintrim.c
    Plagegeister aller Art und deren Bekämpfung - 16.11.2010 (23)
  11. Win32/Provis!rts, Win32/Ragterneb.A, Win32/Meredrop, Win32/VB.RC, TrojanDropper:Win32/Bamital.C
    Plagegeister aller Art und deren Bekämpfung - 30.08.2010 (7)
  12. Probleme mit Scareware (Win32/Cryptor) und Trojanern (Win32/ZBot)
    Plagegeister aller Art und deren Bekämpfung - 15.08.2010 (3)
  13. Virus.Win32.Protector.f & Trojan-Dropper.Win32.delf.eu
    Log-Analyse und Auswertung - 19.05.2010 (13)
  14. Alle 10 min. http://212.227.253.139:80/verchk/usb496.dat Win32/Delf.NKL Trojaner
    Plagegeister aller Art und deren Bekämpfung - 11.11.2009 (11)
  15. Win32.delf.uc Trojaner eingefangen
    Plagegeister aller Art und deren Bekämpfung - 20.07.2009 (19)
  16. eventuell noch trojaner? Trojan-PSW.Win32.Delf.cqp, Backdoor.Win32.Poison.jmo
    Log-Analyse und Auswertung - 21.11.2008 (0)
  17. Trojaner Win32:Delf-IWD
    Log-Analyse und Auswertung - 14.04.2008 (0)

Zum Thema Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK - Hallo! Ich habe folgendes Problem: Habe meinen Rechner eigentlich anständig konfiguriert und aufgesetzt: -Windows-Konten konfiguriert, -Dienste, -Rechte, -Updates usw. Dazu Antivir 9.0, Comodo, Anti-Spy, Routerfirewall alles ist immer Up-to-Date. Gestern - Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK...
Archiv
Du betrachtest: Probleme mit Trojaner WIN32.delf -MGZ & Win32.zbot -MKK auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.