|
Wie geht das: TR/Dldr.IstBar.BM entfernen? Hallo Freunde, ich habe mir TR/Dldr.IstBar.BM eingefangen. Wer kann mir helfen diesen Trojaner zu entfernen? Er kommt immer wieder wenn ich ihn mit antivir lösche. Ich kann das Logfile nicht selbstständig auswerten.:headbang: Bitte helft mir!!! Logfile of HijackThis v1.99.1 Scan saved at 09:50:42, on 06.04.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\ibmpmsvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\S24EvMon.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\FRITZ!DSL\IGDCTRL.EXE C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe C:\WINDOWS\System32\QCONSVC.EXE C:\WINDOWS\system32\RegSrvc.exe C:\WINDOWS\System32\TPHDEXLG.EXE C:\WINDOWS\system32\TpKmpSVC.exe C:\WINDOWS\Explorer.EXE C:\Programme\Synaptics\SynTP\SynTPLpr.exe C:\Programme\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\system32\igfxtray.exe C:\WINDOWS\system32\hkcmd.exe C:\WINDOWS\system32\TpShocks.exe C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe C:\Programme\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exe C:\Programme\ThinkPad\PkgMgr\HOTKEY_1\TpScrex.exe C:\WINDOWS\system32\dla\tfswctrl.exe C:\Programme\IBM\Messages By IBM\ibmmessages.exe C:\IBMTOOLS\UTILS\ibmprc.exe C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE C:\WINDOWS\system32\rundll32.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\CTHELPER.EXE C:\Programme\iTunes\iTunesHelper.exe C:\Programme\QuickTime\qttask.exe C:\Programme\SyncroSoft\Pos\H2O\cledx.exe C:\PROGRA~1\Nokia\NOKIAP~2\LAUNCH~1.EXE C:\WINDOWS\system32\ctfmon.exe C:\Programme\Skype\Phone\Skype.exe C:\Programme\iPod\bin\iPodService.exe C:\Programme\Gadwin Systems\PrintScreen\PrintScreen.exe C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe C:\Program Files\Digital Line Detect\DLG.exe C:\Programme\WinZip\WZQKPICK.EXE C:\Programme\FRITZ!DSL\FwebProt.exe C:\Programme\OpenOffice.org 2.0\program\soffice.exe C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe C:\Programme\OpenOffice.org 2.0\program\soffice.BIN C:\Programme\FRITZ!DSL\StCenter.EXE C:\Programme\Creative Professional\E-MU PatchMix DSP\EmuPatchMixDSP.exe C:\WINDOWS\system32\wuauclt.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Internet Explorer\iexplore.exe C:\Programme\Mor\MoreMotion Web Express 3.3\mmwe.exe C:\WINDOWS\system32\notepad.exe C:\Dokumente und Einstellungen\***\Eigene Dateien\documents\software\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://de.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*http://de.search.yahoo.com R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn0\yt.dll O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn0\yt.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {48713F35-7CE1-4839-B85C-EE9E8FEF646D} - C:\WINDOWS\system32\aaaamond.dll O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn0\yt.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe O4 - HKLM\..\Run: [TPKMAPHELPER] C:\Programme\ThinkPad\Utilities\TpKmapAp.exe -helper O4 - HKLM\..\Run: [TpShocks] TpShocks.exe O4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe O4 - HKLM\..\Run: [TP4EX] tp4ex.exe O4 - HKLM\..\Run: [EZEJMNAP] C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe O4 - HKLM\..\Run: [UC_Start] C:\Programme\IBM\Updater\\ucstartup.exe O4 - HKLM\..\Run: [UpdateManager] "C:\Programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe" /r O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe O4 - HKLM\..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\\ibmmessages.exe O4 - HKLM\..\Run: [IBMPRC] C:\IBMTOOLS\UTILS\ibmprc.exe O4 - HKLM\..\Run: [QCWLICON] C:\Programme\ThinkPad\ConnectUtilities\QCWLICON.EXE O4 - HKLM\..\Run: [PWRMGRTR] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [H2O] C:\Programme\SyncroSoft\Pos\H2O\cledx.exe O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~2\LAUNCH~1.EXE -startup O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [ibmmessages] C:\Programme\IBM\Messages By IBM\ibmmessages.exe O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [Gadwin PrintScreen 3.1] C:\Programme\Gadwin Systems\PrintScreen\PrintScreen.exe /nosplash O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe O4 - Startup: FRITZ!DSL Protect.lnk = C:\Programme\FRITZ!DSL\FwebProt.exe O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe O4 - Global Startup: Digital Line Detect.lnk = ? O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\IBM\Java142\jre\bin\NPJPI142.dll O9 - Extra 'Tools' menuitem: IBM Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\IBM\Java142\jre\bin\NPJPI142.dll O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll O10 - Unknown file in Winsock LSP: c:\programme\fritz!dsl\sarah.dll O11 - Options group: [JAVA_IBM] Java (IBM) O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O17 - HKLM\System\CCS\Services\Tcpip\..\{5C369EB4-807C-423C-B315-9474CDBAF557}: NameServer = 192.168.122.252,192.168.122.253 O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll O20 - Winlogon Notify: QConGina - C:\WINDOWS\SYSTEM32\QConGina.dll O20 - Winlogon Notify: tphotkey - C:\WINDOWS\SYSTEM32\tphklock.dll O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: IBM Rapid Restore Ultra Service - Unknown owner - C:\Programme\IBM\IBM Rapid Restore Ultra\rrpcsb.exe O23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\system32\ibmpmsvc.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: IBM PSA Access Driver Control (PsaSrv) - Unknown owner - C:\WINDOWS\system32\PsaSrv.exe (file missing) O23 - Service: QCONSVC - IBM Corp. - C:\WINDOWS\System32\QCONSVC.EXE O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\system32\RegSrvc.exe O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe O23 - Service: IBM HDD APS Logging Service (TPHDEXLGSVC) - IBM Corporation - C:\WINDOWS\System32\TPHDEXLG.EXE O23 - Service: IBM KCU Service (TpKmpSVC) - Unknown owner - C:\WINDOWS\system32\TpKmpSVC.exe |
Hallo eine Frage vorweg, ist dein System ein Privatrechner oder ein Arbeitsrechner? Du solltest eventuell erwähnen, wo (Pfad/Dateiname) Antivir den Fund gemacht hat denn die Glaskugeln sind gerade aus. Lass auch diese Datei C:\WINDOWS\system32\aaaamond.dll hier Virustotal oder hier Jotti überprüfen (kann bisschen dauern), poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, auch wenn nichts gefunden wurde. MFG |
virustotal ergebnis Tausend Dank für die schnelle Hilfe!:daumenhoc Mein System ist ein Privatrechner, und das Pferd wurde von antivir heute hier gefunden: C:\System Volume Information\_restore{017226FB-C5FE-4999-80EB-E41B3BDA380B}\RP140\A0088584.ocx:snyper: [FUND] Ist das Trojanische Pferd TR/Dldr.IstBar.BM im gestrigen Suchlauf wurde Antivir hier fündig: C:\WINDOWS\system32\actskn45.ocx [FUND] Ist das Trojanische Pferd TR/Dldr.IstBar.BM ich habe nun virustotal ausgeführt: STATUS: FINISHEDComplete scanning result of "aaaamond.dll", received in VirusTotal at 04.06.2007, 12:11:50 (CET). Antivirus Version Update Result AhnLab-V3 2007.4.5.0 04.06.2007 no virus found AntiVir 7.3.1.48 04.06.2007 ADSPY/Stud.A.29 Authentium 4.93.8 04.06.2007 no virus found Avast 4.7.936.0 04.05.2007 Win32:Trojano-3384 AVG 7.5.0.447 04.05.2007 Adware Generic.RSB BitDefender 7.2 04.06.2007 Adware.Stud.A CAT-QuickHeal 9.00 04.05.2007 no virus found ClamAV devel-20070312 04.06.2007 Adware.BHO-12 DrWeb 4.33 04.06.2007 Trojan.DownLoader.6588 eSafe 7.0.15.0 04.06.2007 no virus found eTrust-Vet 30.7.3546 04.06.2007 no virus found Ewido 4.0 04.06.2007 Downloader.Small.cgu FileAdvisor 1 04.06.2007 no virus found Fortinet 2.85.0.0 04.06.2007 no virus found F-Prot 4.3.1.45 04.04.2007 W32/Adware.ENL F-Secure 6.70.13030.0 04.06.2007 no virus found Ikarus T3.1.1.3 04.06.2007 not-a-virus:AdWare.Win32.Stud.a Kaspersky 4.0.2.24 04.06.2007 not-a-virus:AdWare.Win32.Stud.a McAfee 5002 04.05.2007 no virus found Microsoft 1.2405 04.06.2007 no virus found NOD32v2 2170 04.05.2007 a variant of Win32/Adware.BHO.AA Norman 5.80.02 04.05.2007 W32/Stud.R Panda 9.0.0.4 04.06.2007 Adware/KeenValue Prevx1 V2 04.06.2007 no virus found Sophos 4.16.0 04.06.2007 no virus found Sunbelt 2.2.907.0 04.03.2007 no virus found Symantec 10 04.06.2007 Adware.Webprefix TheHacker 6.1.6.085 04.04.2007 Adware/Stud.a VBA32 3.11.3 04.04.2007 suspected of Trojan-Downloader.Agent.49 VirusBuster 4.3.7:9 04.05.2007 no virus found Webwasher-Gateway 6.0.1 04.06.2007 Ad-Spyware.Stud.A.29 Aditional Information File size: 23944 bytes MD5: 34b347651a777048b94c7e297ff9f7cb SHA1: fa0d4f301a1d3017d3a871a22a9d2e9cb6abdbca packers: UPX packers: UPX packers: UPX packers: UPX :schmoll: wie sollte ich am besten weiter vorgehen? Lieben Gruss |
Hallo lade dir ClearProg runter, deaktiviere dann bitte die Systemwiederherstellung und anschließend arbeite dies hier ab --> Wechsel nun in den abgesicherten Modus (beim start F8 drücken) und fixe (starte Hijackthis - do a system scan only - hake den Eintrag an und klicke - fix checked - ) diesen Eintrag mit Hijackthis : C:\WINDOWS\system32\aaaamond.dll und lösche nun die Datei : aaaamond.dll starte Clearprog hake an - alles löschen - klicke auf löschen. Starte dein System in den normalen Modus, aktiviere die Systemwiederherstellung wieder, Starte Hijackthis und klicke - do a system scan only - dann auf - config... - dann weiter auf - Backups - und lösche den Eintrag anschließend poste ein neues Hijackthis log und berichte ob es noch Probleme gibt. MFG |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 19:49 Uhr. |
Copyright ©2000-2024, Trojaner-Board