Trojaner-Board - Trojaner mit spoolsv.exe? Kann jemand helfen?

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojaner mit spoolsv.exe? Kann jemand helfen? (https://www.trojaner-board.de/25338-trojaner-spoolsv-exe-jemand-helfen.html)

Trojaner mit spoolsv.exe? Kann jemand helfen?

Hallo,

ich bin ganz neu hier im Forum, weil ich vermutlich einen Trojaner an Board unseres Computers habe.
Die Datei "spoolsv.exe" nutzt permanent über 90% meist 96/97% meiner CPU und legt alles lahm. Ist ganz neu seit heute morgen nach Druckerstart.

Nach dem ,was ich bisher gelesen habe, sieht das nach einem Trojaner aus.

Wer kann mir helfen? Obwohl ich viel am PC arbeite, habe ich von diesen Dingen wenig Ahnung und habe bisher nie selbst solch ein Problem gelöst.

Vielen Dank im Voraus für jegliche Hilfe.

Hier mein Log-File:

Logfile of HijackThis v1.99.1
Scan saved at 13:19:38, on 04.01.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\HPZipm12.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINNT\system32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
C:\WINNT\twain_32\CIS600X\WATCH.exe
C:\WINNT\system32\wuauclt.exe
C:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
C:\WINNT\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\Programme\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.web.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [Tweak UI 1.33 deutsch] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "C:\WINNT\system32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - Startup: Watch.lnk = C:\WINNT\twain_32\CIS600X\WATCH.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Photo Express Calendar Checker SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122496002688
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe

@Rodolfo
Im Log kann ich nichts Schlimmes entdecken. Versuche mal noch mit eScan (Anleitung s. Link in meiner Sig). Bevor aber bitte PC säubern (www.clearprog.de)

Hallo, Rene-gad,

erst mal vielen Dank für die prompte Hilfe.

Und es fällt mir ein Stein vom Herzen, dass es möglicherweise kein Trojaner ist.
Wenn ich das jetzt gemäß einer Vorschläge noch mal teste, muss ich vor Installtion von eScan Antivirus erst meine Antivirus-Programm AVG Anti-Virus Freee Edition löschen? Damit arbeite ich nämlich bisher, das ist mir von einem Freund installiert worden.

Liebe Grüße
Rodolfo

@Rodolfo

Zitat:

Und es fällt mir ein Stein vom Herzen, dass es möglicherweise kein Trojaner ist.

Das kann ich weder bestätigen noch widersprechen.

Zitat:

Wenn ich das jetzt gemäß einer Vorschläge noch mal teste, muss ich vor Installtion von eScan Antivirus erst meine Antivirus-Programm AVG Anti-Virus Freee Edition löschen?

Nein, musst du nicht. Lese mal doch bitte die Anleitung ;).

Hallo, Rene-gad,

ich wollte mich noch mal melden und mich abschließend bedanken.

Es war kein Trojaner. Ich habe parallel über Google andere Infos zu Problemen mit der "spoolsv.exe" durchsucht, und bin fündig geworden. Ich hatte noch einen Drucker installiert, den ich nicht mehr brauchte, und der hat offensichtlich noch seinen Einfluss geltend gemacht. Seitdem der deinstalliert ist, läuft alles sauber.

Liebe Grüße
Rodolfo

Hallo an alle!

Ich fürchte, dasselbe Problem mit meinem Rechner zu haben! Bitte helft einem blutigen Anfänger, der lernwillig ist, aus der Patsche.
Folgendes:

1.) Die CPU-Auslastung laut Taskmanager läuft konstant auf 100%, 99-100 davon braucht eine gewisse spoolsv.exe

2.) Meine Bitdefender meldete mir heute eine infizierte Datei animalss.exe (oder so ähnlich. Den Namen habe ich leider nicht genau notiert, ich war froh, als ich es endlich schaffte, sie zu löschen). Die Datei war 117kb groß (lt. Explorer-Anzeige). SIE WAR INFIZIERT MIT " backdoor.agobot.aks ".

Wiegesagt, ich konnte die Datei löschen (sie war im Ordner C:\Dokumente und E***tellungen\All Users\Dokumente , wobei der Ordner freigegeben war). (Ich weiß natürlich, daß das mit Sicherheit weder eine Befreiungsaktion für mein System war, noch, daß das Löschen der Datei überhaupt etwas bedeuten muß).

3.) Ich habe in diesem Thread gelesen, daß der Fehler mit dem Drucker zusammenhängen könnte und tatsächlich waren je 2 Druckaufträge zu je 117 kb (!) in der Warteschlange meines Offlinedruckers sowie im Microsoft Document Image writer. (Löschte ich ebenfalls). Ihr Name war: Druckerdatendatei von Remotesystem

4.) Danach sank die Prozessorleistung kurz ab, jetzt aber braucht die bdss. exe 98% der CPU-Leistung.

5.) Ich weiß, daß mein System nach einem Backdoor-Angriff neu aufgesetzt werden muß, aber ich brauche noch, um die wichtigsten Daten zu sichern bzw. im Word eine Arbeit zu schreiben.

6.) Der Trojaner "backdoor.agobot.aks" war lustigerweise weder in der Symantec- Datenbank (h**p://securityresponse.symantec.com/avcenter/venc/auto/index/indexB.html) , noch online bei Bitdefender unter diesem Namen zu finden.

7.) HILFE!!!!
(Wenn ihr mein Logfile braucht, bitte sagt mir, wo ich das finde, damit ichs hereinstellen kann).

Weiß jemand ein Removal-tool als Zwischenlösung, bis ich den PC wieder neu aufgesetzt habe? während er läuft, werde ich versuchen, offline zu bleiben, um weitere Infektionen oder Zombie-Aktivitäten zu unterbinden.

Gibt es einen Virenscan, dem ihr mehr vertrauen würdet, als Bitdefender? Wenn ja, bitte sagen! Mit Norton war ich bisher auch nicht zufrieden.

:balla:

Danke, Obernussi

Aja, ich habs geschafft, ein Hijack logfile zu erstellen:

Logfile of HijackThis v1.99.1
Scan saved at 23:47:24, on 28.02.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programme\HP\hpcoretech\hpcmpmgr.exe
C:\Programme\Apoint2K\Apoint.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Apoint2K\Apntex.exe
C:\Programme\HPQ\Quick Launch Buttons\EabServr.exe
C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Java\j2re1.4.2_03\bin\jucheck.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Softwin\BitDefender9\bdnagent.exe
C:\Programme\HP-Drucker\HP Software Update\HPWuSchd2.exe
C:\Programme\Softwin\BitDefender9\bdoesrv.exe
C:\programme\softwin\bitdefender9\bdswitch.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\HP-Drucker\Digital Imaging\bin\hpqtra08.exe
C:\Programme\Logitech\SetPoint\kem.exe
C:\Programme\Logitech\SetPoint\KHALMNPR.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\HP\hpcoretech\comp\hptskmgr.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender9\vsserv.exe
c:\programme\softwin\bitdefender9\bdmcon.exe
c:\programme\softwin\bitdefender9\bdlite.exe
C:\Programme\Nero\Nero\nero.exe
D:\Virenhilfe\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uni-graz.at/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: HP-Ansicht - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - C:\Programme\HP-Drucker\Digital Imaging\bin\hpdtlk02.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [MMTray] C:\Programme\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cpqset] C:\Programme\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [eabconfg.cpl] C:\Programme\HPQ\Quick Launch Buttons\EabServr.exe /Start
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP-Drucker\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [BDMCon] c:\progra~1\softwin\bitdef~2\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "C:\Programme\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "c:\programme\softwin\bitdefender9\bdnagent.exe"
O4 - HKLM\..\Run: [BDSwitchAgent] "c:\programme\softwin\bitdefender9\bdswitch.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [BackupNotify] C:\Programme\HP-Drucker\Digital Imaging\bin\backupnotify.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Skype.exe" /nosplash /minimized
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP-Drucker\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Logitech SetPoint.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\programme\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{53276CD5-A365-4D0A-A796-BC1C4E9C5201}: NameServer = 195.3.96.67 195.3.96.68
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Gear Security Service (GEARSecurity) - GEAR Software - C:\WINDOWS\System32\gearsec.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programme\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

E scan hat folgende Viren gefunden:

Backdoor.Win32.Robobot.au

Backdoor.Win32.Robobot.au

Ich konnte sie weder mit der Killbox, noch mit dem Commander entfernen.

HILFE!!!!!

@Obernussi
a) Beachte bitte die Board - Regeln und poste nicht einem laufenden Thread, wenn du keine Lösung des Problems postest.
b) bei einem nachgewiesenen Backoor bleibt als einzig Mögliche nur das Neuaufsetzen des Systems.Beachte bitte die verlinkte in meiner Signatur Anleitung.