wA6mruD6.exe öffnet sich dauernd im Hintergund

Angel21 · 18.05.2010, 15:19

ESET Online Scanner
- Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
- Button "ESET Online Scanner" drücken.
- Firefox-User müssen ein zusätzliches Addon (esetsmartinstaller_enu.exe) installieren.
- Das Firefox-Addon auf dem Desktop speichern und dann installieren.
- IE-User müssen das Installieren eines ActiveX Elements erlauben.
- Einen Haken bei "Remove found threads" und "Scan archives" machen.
- Start drücken.
- Der Scan beginnt automatisch.
- Finish drücken.
- Browser schließen.
- Explorer öffnen.
- C:\Programme\Eset\EsetOnlineScanner\log.txt suchen und mit Deinem Editor öffnen.
- Logfile hier posten.
- Deinstallation: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
- Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset
- IE-User zusätzlich: mit HJT folgenden Eintrag fixen:
- O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control)

Tror · 18.05.2010, 17:04

Ich hoffe das der scan heute noch fertig wird, so dass du ihn dir noch angucken kannst^^ immerhin ist erschonmal bei 70%
die gefundenen Bedrohungen in Spieleordnern auf meiner zweiten Platte kannste glaub ich aber so ziemlich alle ausser acht lassen, da das Trainer sind, die von vertrauenswürdigen Seiten stammen, zumindest hatte ich mit denen die letzten fast 10 Jahre noch nie Probleme...aber wer weiß...wollt ich nur vorweg schonmal sagen, da Eset ja auch meine andere Festplatte mitscannt auf der fast alles bis auf das Betriebssystem und ein paar Kleinigkeiten drauf is

Angel21 · 18.05.2010, 17:21

Vertrauenswürdige Trojaner? Diese zwei Begriffe sind mir in diesem Zusammenhang unbekannt

Tror · 18.05.2010, 17:40

ja irgendwie schon^^ aber ach keine Ahnung, wenn sie besser weg sollen kommen sie halt weg, aber nen Trainer der nich hinterrücks ins System eingreift besteht ja nu auch noch nich oder gibts da neue Erkenntnisse?

so 99% sinds mitlerweile nach 2 Stunden...ich hoffe also dir gleich nen log anbieten zu können.

Angel21 · 18.05.2010, 17:42

Okay. Poste das Ergebnis hier. Also bei Trojanern wäre ich immer sehr vorsichtig.

Tror · 18.05.2010, 22:25

sollte man dann doch sein, ist richtig.

Also soweit ich das sehe ist der Combofixquarantäne-ordner immer noch da/voll, da das jetzt das dritte mal ist, das etwas daraus identifiziert wurde.
Jetzt bei dem scan mit Eset hat Eset auch wieder nen Quarantäneordner mit infizierten Dateien angelegt. Kriegen wir die ganzen verschiedenen Quarantäneordner der Programme nachher auch noch weg ohne was zu vergessen?
hier jetzt das log nach siebenstündigem Scan -.- leider wirste dir das wohl vor morgen nicht mehr angucken...

Code:

ATTFilter

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=ad9753407e6ee846bf633eefcec4a5e8
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-05-18 09:18:20
# local_time=2010-05-18 11:18:20 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 281055 281055 0 0
# compatibility_mode=1797 16775125 100 100 401580 49085805 104582 0
# compatibility_mode=8192 67108863 100 0 138 138 0 0
# scanned=264174
# found=16
# cleaned=16
# scan_time=24659
C:\Qoobox\Quarantine\C\WINDOWS\system32\opaqcx.dll.vir	a variant of Win32/Kryptik.EJQ trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
C:\System Volume Information\_restore{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP59\A0012290.exe	Win32/TrojanClicker.Agent.NEB trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
C:\System Volume Information\_restore{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP59\A0014290.exe	Win32/TrojanClicker.Agent.NEB trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
C:\System Volume Information\_restore{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0015308.exe	Win32/TrojanClicker.Agent.NEB trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
C:\System Volume Information\_restore{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017369.exe	Win32/TrojanClicker.Agent.NEB trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
C:\System Volume Information\_restore{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP62\A0018405.dll	a variant of Win32/Kryptik.EJQ trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
D:\Games\dvnd2trn.zip	Win32/Keylogger.HotKeysHook.A virus (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\MERCENARIES.2.WIF.V1.0.ALL.RELOADED.NOCD.ZIP	a variant of Win32/TrojanDropper.Delf.NLU trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Far Cry 2\dvt-fc2.rar	probably a variant of Win32/Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Lego Star Wars 2\unl-ls2trn.rar	probably a variant of Win32/Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Mafia\Mafia.rar	probably a variant of Win32/Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Rayman Raving Rabbids\rayman_raving_rabbids_plus_5_trainer.zip	probably a variant of Win32/Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Sid Meier's Pirates!\SMPT10.zip	probably a variant of Win32/Spy.Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Total Overdose\pdtod7t.rar	probably a variant of Win32/Agent trojan (deleted - quarantined)	00000000000000000000000000000000	C
D:\Games\Total Overdose\pztrain.exe	probably a variant of Win32/Agent trojan (cleaned by deleting - quarantined)	00000000000000000000000000000000	C
D:\Images\vty-tdu.iso	probably a variant of Win32/Genetik trojan (deleted - quarantined)	00000000000000000000000000000000	C

ich deinstallier Eset dann jetzt nach deiner Anweisung wieder

Edit: ich hab im Admin-benutzerkonto auch gleich noch den Qoobox-ordner gelöscht, nachdem ich mir so einige Benutzerhinweise zu Combofix durchgelesen hab.
Ich hoffe da hab ich jetzt nix falsches gemacht

Angel21 · 19.05.2010, 01:27

Zitat:

Edit: ich hab im Admin-benutzerkonto auch gleich noch den Qoobox-ordner gelöscht, nachdem ich mir so einige Benutzerhinweise zu Combofix durchgelesen hab.

Du sollst nichts tun, wenn ich dich dazu nicht auffordere.

Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

Tror · 19.05.2010, 07:54

hier der log:

Code:

ATTFilter

;***********************************************************************************************************************************************************************************
ANALYSIS: 2010-05-19 08:56:59
PROTECTIONS: 1
MALWARE: 8
SUSPECTS: 9
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                       Active    Updated
;===================================================================================================================================================================================
AntiVir Desktop                              10.0.1.44                     Yes       Yes
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00055560  Exploit/LoadImage                  HackTools           No        0         Yes            No           d:\games\race driver grid\audio\speech\en\08_accidents\team9term_2.raw
00055560  Exploit/LoadImage                  HackTools           No        0         Yes            No           d:\games\race driver grid\audio\speech\it\names_player\man\man_wd_n_42.raw
00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           c:\dokumente und einstellungen\admin\cookies\admin@atdmt[1].txt
00145457  Cookie/FastClick                   TrackingCookie      No        0         Yes            No           c:\dokumente und einstellungen\admin\cookies\admin@fastclick[1].txt
00145738  Cookie/Mediaplex                   TrackingCookie      No        0         Yes            No           c:\dokumente und einstellungen\tror\cookies\tror@mediaplex[2].txt
00168056  Cookie/YieldManager                TrackingCookie      No        0         Yes            No           c:\dokumente und einstellungen\admin\cookies\admin@ad.yieldmanager[2].txt
00168061  Cookie/Apmebf                      TrackingCookie      No        0         Yes            No           c:\dokumente und einstellungen\tror\cookies\tror@apmebf[1].txt
03074964  Trj/CI.A                           Virus/Trojan        No        0         No             No           d:\games\far cry 2\brew-fc2.rar[brew-fc2.exe]
03074964  Trj/CI.A                           Virus/Trojan        No        0         Yes            No           d:\games\far cry 2\brew-fc2.exe
03074964  Trj/CI.A                           Virus/Trojan        No        0         No             No           d:\games\borderlands\bws-0458.rar[brew-bl.exe]
03074964  Trj/CI.A                           Virus/Trojan        No        0         Yes            No           d:\games\borderlands\gearbox software\borderlands\binaries\brew-bl.exe
03422903  W32/Gaobot.OXI.worm                Virus/Worm          No        1         Yes            No           d:\system volume information\_restore{25bab432-4d2e-4b5d-b714-e7702a93d5af}\rp64\a0018702.exe
;===================================================================================================================================================================================
SUSPECTS
Sent      Location
;===================================================================================================================================================================================
No        d:\games\fifa 10\fifa.rar[fifa 10 v1.0 + 3 trainer.exe]
No        d:\games\race driver grid\race_driver_grid_trainer+3.zip[gridht.exe]
No        d:\games\rayman raving rabbids\flt-rrr.rar[jade_enr.exe]
No        d:\system volume information\_restore{25bab432-4d2e-4b5d-b714-e7702a93d5af}\rp64\a0018697.exe
No        d:\system volume information\_restore{d154f351-c720-404e-83e7-a96aa09366db}\rp62\a0022031.exe
No        d:\system volume information\_restore{d154f351-c720-404e-83e7-a96aa09366db}\rp62\a0022032.exe
No        d:\system volume information\_restore{d154f351-c720-404e-83e7-a96aa09366db}\rp62\a0022450.exe
No        d:\system volume information\_restore{d154f351-c720-404e-83e7-a96aa09366db}\rp62\a0022452.exe
No        d:\tools\dtpro4100215free.exe
;===================================================================================================================================================================================
VULNERABILITIES
Id        Severity       Description
;===================================================================================================================================================================================
;===================================================================================================================================================================================

Angel21 · 19.05.2010, 09:38

Alle Funde bitte beseitigen.

Tror · 19.05.2010, 14:49

hab ich gemacht, aber der Ordner D:\System Volume Information\ lässt sich nicht öffnen also konnte ich den Fund und die suspekten Dateien dort nicht löschen
Die Dateien dort tauchen auch immer wieder mal bei Antivir auf, und das trotz löschen/in Quarantäne verschieben immer wieder

Angel21 · 19.05.2010, 15:20

Den Ordner leeren wir auch nach der ganzen Prozedur.....Bitte nichts weiter anfassen.

Wie geht es deinem PC so um mal zwischenzeitlich zu fragen?
Noch größere Probleme?

Tror · 19.05.2010, 15:31

so wirklich große Sachen, dass er unnutzbar war gabs ja zum Glück nicht, nur sehr sehr penetrante und nervige und natürlich gefährliche Sachen...
Aber jetzt geht wie gesagt seit geraumer Zeit windows update wieder problemlos, es öffnen sich soweit ich gemerkt habe keine Browserfenster mehr random.
Genauso keine hintergrundprogramme, soweit ich aufmerksam genug war, mehr.
Das einzige was noch über ist aber nicht mehr so stark ist Antivir mit so einigen Dauermeldungen.

Also ich würd sagen meinem Rechner gehts bedeutend besser als vorher

also schonmal herzlichen Dank bis hierhin.
Muss auch mal gesagt werden

Angel21 · 19.05.2010, 15:34

Okay, starte wie nach Anleitung SUPERAntiSpyware und poste das Log wie in der Anleitung beschrieben.

Mal sehn, ob der noch etwas findet

Tror · 19.05.2010, 19:36

so hier der log. anders als in der Anleitung aufgeführt sollte ich nach scan-beendigung erst neustarten was ich auch gemacht hab.
Ich hoffe das war in Ordnung so.

Code:

ATTFilter

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 05/19/2010 at 08:31 PM

Application Version : 4.37.1000

Core Rules Database Version : 4955
Trace Rules Database Version: 2767

Scan type       : Complete Scan
Total Scan Time : 03:37:17

Memory items scanned      : 469
Memory threats detected   : 0
Registry items scanned    : 4035
Registry threats detected : 0
File items scanned        : 283079
File threats detected     : 19

Adware.Tracking Cookie
	C:\Dokumente und Einstellungen\Admin\Cookies\admin@atdmt[1].txt
	C:\Dokumente und Einstellungen\Admin\Cookies\admin@interclick[1].txt
	C:\Dokumente und Einstellungen\Admin\Cookies\admin@fastclick[1].txt
	C:\Dokumente und Einstellungen\Admin\Cookies\admin@ad.yieldmanager[2].txt

Trojan.Agent/Gen-Virut
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017373.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017370.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017371.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017372.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017374.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017375.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017376.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017377.EXE
	C:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017378.EXE
	D:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017380.EXE
	D:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017382.EXE
	D:\SYSTEM VOLUME INFORMATION\_RESTORE{25BAB432-4D2E-4B5D-B714-E7702A93D5AF}\RP60\A0017383.EXE

Trojan.Unclassified/Packed-Win
	D:\GAMES\CALL OF JUAREZ - BOUND IN BLOOD\TRAINER.EXE

Adware.MyWebSearch
	D:\SYSTEM VOLUME INFORMATION\_RESTORE{6D908B63-4E87-4AD4-897A-CFEC7AA2C4AF}\RP40\A0008618.EXE

Trojan.Agent/Gen-Nullo[Short]
	D:\SYSTEM VOLUME INFORMATION\_RESTORE{D154F351-C720-404E-83E7-A96AA09366DB}\RP87\A0024848.DLL

Angel21 · 19.05.2010, 19:52

Hallo. Na da hat SUPERAntiSpyware doch noch etwas gefunden.

Okay, da ich noch keine Entwarnung geben möchte, setzen wir unsere Reise fort

http://www.trojaner-board.de/59299-a...eb-cureit.html

Nach anleitung ausführen. Log hier her.

wA6mruD6.exe öffnet sich dauernd im Hintergund

Plagegeister aller Art und deren Bekämpfung: wA6mruD6.exe öffnet sich dauernd im Hintergund