Trojaner-Board - bitte helfen! Trojaner & Droppers

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - bitte helfen! Trojaner & Droppers (https://www.trojaner-board.de/18626-bitte-helfen-trojaner-droppers.html)

Also Folgendes!
So viel versteh ich ja auch noch, was bringt es wenn ich irgendwelche cookies lösche oder der gleichen, wenn ganz andre Dateien betroffen sind, Ich hab dir doch die ganzen Pfadangaben gemacht und du siehst doch dass da Dateien von einem Trojanischen Pferd befallen sind oder diese Dateien sind das Trojanische Pferd. Ich bin dabei noch einmal zu scannen und habe jetzt in den ersten 5 minutem die selben Funde und infizierten dateien wie eben auch. Ich dachte du kannst mir sagen wie ich diese trojaner wegbekomm. Was bringt es dabei cookies zu löschen und temoräre i. dateien?

huber

Zitat:

C:\Dokumente und Einstellungen\Schmitty\Lokale Einstellungen\Temporary Internet Files
C:\Dokumente und Einstellungen\Schmitty\Lokale Einstellungen\Temp

Das sind eben temporäre Dateien. Du kannst die Ordner auch einfach mal leeren...

also kann ich diese beiden orner einfach komplett leeren ohne das mein system dabei geschadet wird
wenn ja, dann hätte man das mir doch eher sagen könnenich wusste ja nicht ob man die dateien einfach so löschen kann ohne das was passiert
aber danke das du mir das sagst, ich hätte ja noch 10 mal en virenprogramm laufen lassen können denk ich

huber

uups sorry an dieser stelle, ich denke das hab ich überlesen dass ich die ordner manuell löschen oder leeren soll, ich dachte es reicht aus wenn ich auf extras gehen und so weiter wie es mir gesagt wurde

huber

Zitat:

wenn ja, dann hätte man das mir doch eher sagen können

Hat er doch getan.
->

Zitat:

Zitat von cacatoa

So, jetzt lädst Du dir erst mal clearprog 1.4.1 final runter.
Dann alle Haken setzen bei: Internet-explorer und Windows.

Ich leere diese Ordner reglmäßig, bis auf den TIF-Ordner, da ist so gut wie nie was drin, weil ich Firefox verwende. Solltest du auch machen.

@ huber:
Also noch mehr verklamüsern, wie man tifs und temps löscht, kann ich nicht mehr. Kann mich aber auch nicht erinnern, daß ich je einen thread hatte, wo man dafür 20 posts braucht...
Und Deine Pfade führen halt mal zu diesen temporären Ordnern.
cacatoa

Sorry Jungs ich wollt euch wirklich nicht nerven oder so, es ist halt so, dass ich mich halt nich ganz so gut mit pc's auskenne, da fragt man schon mal öffter nach und ich hatte mich halt nur gewundert, dass ich die selben Meldungen wieder hatte nachdem ich Clear Prog habe laufen lassen. Scheinbar wurde da noch nicht alles entfernt, obwohl ich alle Häkchen richtig gesetzt hatte. Habe aber jetzt dei beiden Ordner so gelöscht bzw. geleert und scheinbar ist jetzt alles wieder in Ordnung. Ansonsten danke schön an dieser Stelle

mfg huber

Ist o.k., aber in Ordnung ist noch lang nicht alles. Wir müssen noch ein paar Sachen aus Deinem Logfile klären.
Ich kann aber leider erst morgen wieder, sorry.
cacatoa

Is ok, bin morgen (oder wenn das liest müsst ich heute sagen) erst um vier am rechner, kannst ja aber schon ma reinposten was noch nich in Ordnung is
cu

huber

Guten Morgen,
bitte folgendes mit HJT fixen:

R3 - Default URLSearchHook is missing
O3 - Toolbar: (no name) - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - (no file)
O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZRfox000

Dann lade Dir LSPFix runter und lasse es laufen. Dieses Prog repariert evtl. beschädigte Winsocks, was durch diesen Eintrag:

O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_38.dll' missing

verursacht werden kann.

Kennst/willst du das:
O15 - Trusted Zone: *.adorons.com
O16 - DPF: {88D758A3-D33B-45FD-91E3-67749B4057FA} (Sinstaller Class) - http://dm.screensavers.com/dm/installers/si/1/sinstaller.cab
O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} (CInstall Class) - http://www.spywarestormer.com/files2/Install.cab
Wenn nicht, dann ebenfalls fixen.
Den spywarestormer würde ich von Haus aus erst mal deinstallieren (Systemsteuereung/Software) und dann fixen.
Anschließend neues Logfile posten.
cacatoa
_____________
Anm.
Aktive Links editiert! ;)

LG Cidre
S-Mod TB

Hi @, so da bin ich
hab alles soweit gemacht

Logfile of HijackThis v1.99.1
Scan saved at 16:29:52, on 06.06.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Zone Alarm\zlclient.exe
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\Programme\VVSN\VVSN.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\ICQLite\ICQLite.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Dokumente und Einstellungen\Schmitty.SEBASTIAN\Eigene Dateien\Nützliches & Verschiedenes\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.klamm.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://search.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Acrobat Reader 7\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Alarm\zlclient.exe
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VVSN] C:\Programme\VVSN\VVSN.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102603186304
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - h**p://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DE14C9F-5EE6-46DE-ADF1-F0FEB8184052}: NameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{98AE784A-1963-44B5-A707-42B69203EA44}: NameServer = 192.168.1.1
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

huber

@ huber:
Na, wo waren wir wieder im Netz unterwegs?
Die folgenden Einträge waren vorher nicht da, deshalb jetzt im abgesicherten Modus mit HJT fixen:
C:\Programme\VVSN\VVSN.exe
O4 - HKLM\..\Run: [VVSN] C:\Programme\VVSN\VVSN.exe
Dann die Datei:
C:\Programme\VVSN\VVSN.exe
manuell löschen und neues Logfile posten. Sollte dann sauber sein.
cacatoa

Hi, ja mmmhhh, hab im abgesicherten Modus und im ganz normale HJT laufen lassen, die beiden Punkte sind aber plötzlich wieder aus dem logfile verschwunden. Keine Ahnung was das war, auf jeden Fall habe ich die Datei manuell gelöscht und das logfile sieht jetzt so aus

Logfile of HijackThis v1.99.1
Scan saved at 20:45:08, on 06.06.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Zone Alarm\zlclient.exe
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Dokumente und Einstellungen\Schmitty.SEBASTIAN\Eigene Dateien\Nützliches & Verschiedenes\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.klamm.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://search.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Acrobat Reader 7\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [D-Link Air USB Utility] C:\Programme\D-Link\Air USB Utility\AirCFG.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Alarm\zlclient.exe
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.freenet.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1102603186304
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - h**p://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DE14C9F-5EE6-46DE-ADF1-F0FEB8184052}: NameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{98AE784A-1963-44B5-A707-42B69203EA44}: NameServer = 192.168.1.1
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

huber

ach noch was,
bist du echt der Meinung, dass ich das SP2 wieder installieren sollte? Ist es nicht wahrscheinlich, dass ich dann die Probleme mit Router und Scanner wieder habe wie vorher als ich es drauf hatte?

huber

Guten Morgen!
Das Logfile ist jetzt sauber.
Ich vermisse allerdings Deinen Antivir im Log.
SP2 hat bei mir noch nie Probs gemacht. Probiers doch nochmal. Runterladen, installieren und dann mit dingens.org konfigurieren, firewalls (die dann unnötig sind) abschalten und fertig.
cacatoa