|
Hilfe bei HiJackThis Log-Auswertung Hallo zusammen, vielleicht kann mir jemand von euch helfen. Ich hab eine Plage auf meinem Rechner, die bei aktiver Internetverbindung als erstes mxs.mail.ru kontaktiert and anschließend fleißig SPAM versendet. Der AntiVir Guard schlägt ca. zeitgleich Alarm und meldet: "In der Datei 'C:\WINDOWS\system32\drivers\Winch73.sys' wurde ein Virus oder unerwünschtes Programm 'TR/Dropper.Gen' [trojan] gefunden. Ausgeführte Aktion: Datei in Quarantäne verschieben" Winch73.sys hat immer verschiedene Namen nach folgendem Muster: beliebiger Name, zwei Zahlen und Endung sys. (Bisherige Namen: Winjo40.sys, Winaf73.sys, Winmq51.sys Winaf15.sys, Winty51.sys, Winot50.sys', Winns16.sys, Winvb51.sys, Winch73.sys) Ich habe AntiVir mehrmals ausgeführt, im abgesicherten Modus, via Knoppicilin , verschiedene Scanner. Aber nach einem Neustart hatte ich immer wieder das selbe Problem. D.h. nachdem die Internetverbindung aktiviert wird, schlägt der AntiVir Guard an und meldet wieder einen "xyz00.sys"-Fund nach obigem Muster. Unter den Funden waren außerdem noch: SPR/Fake.axf.2 TR/Dldr.Mutant.ado.7 TR/Drop.Agent.leb Bitte helft mir! Masus Das HiJackThis Log ist wie folgt: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 23:45:45, on 16.06.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16674) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\brsvc01a.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\brss01a.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Program Files\FRITZ!DSL\IGDCTRL.EXE C:\Program Files\avmwlanstick\WlanNetService.exe C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe C:\PROGRA~1\Dantz\RETROS~1\retrorun.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Program Files\TortoiseSVN\bin\TSVNCache.exe C:\Program Files\ScanSoft\OmniPagePro12.0\Opware12.exe C:\WINDOWS\system32\atiptaxx.exe C:\WINDOWS\system32\PL15Co2K.exe C:\WINDOWS\MXOALDR.EXE C:\Program Files\avmwlanstick\wlangui.exe C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe C:\WINDOWS\system32\LVCOMSX.EXE C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\mozilla.org\Mozilla\Mozilla.exe C:\Program Files\Microsoft ActiveSync\Wcescomm.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe C:\Program Files\iPod\bin\iPodService.exe C:\PROGRA~1\MICROS~3\rapimgr.exe C:\Program Files\FRITZ!DSL\StCenter.exe C:\Program Files\WinZip\WZQKPICK.EXE D:\Program Files\Wireshark\wireshark.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\System32\svchost.exe D:\Program Files\Wireshark\dumpcap.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://rd.yahoo.com/customize/ymsgr/defaults/sb/*http://www.yahoo.com/ext/search/search.html R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*http://www.yahoo.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\PROGRA~1\FRESHD~1\FRESHD~1\FDCatch.dll O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file) O3 - Toolbar: (no name) - {95188727-288F-4581-A48D-EAB3BD027314} - (no file) O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll O4 - HKLM\..\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName O4 - HKLM\..\Run: [Opware12] "C:\Program Files\ScanSoft\OmniPagePro12.0\Opware12.exe" O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe O4 - HKLM\..\Run: [HI-SPEED USB DEVICE Coinstaller] PL15Co2K.exe O4 - HKLM\..\Run: [MXOBG] C:\WINDOWS\MXOALDR.EXE O4 - HKLM\..\Run: [AVMWlanClient] C:\Program Files\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe" O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Program Files\mozilla.org\Mozilla\Mozilla.exe" -turbo O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\Wcescomm.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: AutorunsDisabled O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Program Files\FRITZ!DSL\StCenter.exe O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE O8 - Extra context menu item: Download &All by FD - file://C:\Program Files\FreshDevices\FreshDownload\fdiectx2.htm O8 - Extra context menu item: Download with &FD - file://C:\Program Files\FreshDevices\FreshDownload\fdiectx.htm O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - AutorunsDisabled - (no file) O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20021205/qtinstall.info.apple.com/borris/us/win/QuickTimeInstaller.exe O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://bin.mcafee.com/molbin/shared/mcinsctl/de/4,0,0,5/mcinsctl.cab O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.johannrain-softwareentwicklung.de/DE/scan8/oscan8.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1201045489050 O16 - DPF: {7E3E5294-350D-4DE2-93BC-635BF12FE39D} (WEEditor Class) - http://www.webedition.de/Control.CAB O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\ O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Apache - Unknown owner - c:\eZpublish\apache\apache.exe (file missing) O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Program Files\FRITZ!DSL\IGDCTRL.EXE O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Program Files\avmwlanstick\WlanNetService.exe O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Program Files\Common Files\AVM\de_serv.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe O23 - Service: Retrospect Express HD Restore Helper (RetroExp Helper) - Dantz Development Corporation - C:\PROGRA~1\Dantz\RETROS~1\rthlpsvc.exe O23 - Service: Retrospect Express HD Launcher (RetroExpLauncher) - Dantz Development Corporation - C:\PROGRA~1\Dantz\RETROS~1\retrorun.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe -- End of file - 14169 bytes |
Hi musst du leider warten, bis dir die 'großen' hier mit diversen Programm-vorschlägen antworten.. du kannst aber mal die Datei: Zitat:
mfg |
Zitat:
Code: File PL15Co2K.exe received on 06.17.2008 00:43:28 (CET) |
Hm ok, sonst scheint der Log sauber zu sein, muss aber nichts heißen.. |
Ich würds ja mal mit folgender Datei bei Virustotal versuchen: Zitat:
|
Für Winch73.sys erhielt ich folgendes Ergebnis (ich glaub schon vorletztes Wochende. Das Ergebnis von virustotal hab ich dann ignoriert, weil alle Treffer iins Leere zu führen schienen. Das vergaß ich vorhin zu erwähnen) Code: Antivirus Version Last Update Result |
Hallo myrtille, sehe ich auch so - das log ist nicht sauber. WinCtrl32.dll hatte ich schon mal entfernt ist jetzt aber wieder da. Hier das Ergebnis von virustotal. Scheint so, dass die Datei auch erst seit diesem Wochende bekannt ist. Und wenn die Scanner was erkennen, dann scheinen sie sich nicht einig zu sein... :-( Code: File WinCtrl32.dll received on 06.16.2008 17:48:48 (CET) |
Hi, das dort unterschiedliche Namen ist vollkommen egal. Jede Firma gibt neuentdeckten Viren einen Namen, oft kommt erst später raus, dass derselbe Virus bei einer anderern Firma anders heißt... dann ändert keiner mehr den Namen. Daher haben viele, bzw eigentlich alle Firmen unterschiedliche Namen für denselben Virus. :D Das die Erkennungsraten für die DLL so schlecht sind, ist jedoch enttäuschend. Arbeite bitte folgendes ab:
Erstelle danach im normalen Modus ein Log mit DSS:
lg myrtille |
Hallo myrtille, ich hab RunThis.bat im SaveMode gestartet und über die Nacht laufen lassen. Heute morgen war der Lauf immer noch nicht beendet. Ich gehe davon aus, dass dies nicht der Normalfall ist und sich die Anwendung aufgehängt hat. Nach einem Neustart habe ich festgestellt, dass während dem Ausführen von SDFix noch eine weitere Anwendung gestartet wird: "HLVDD Hardlock Virtual Device". SDFix scheint aber auch diesmal wieder zu hängen :-( Masus |
Wie weit kam SDFix denn? Hast du Y drücken können? lg myrtille |
Ja, 'y' konnte ich noch drücken. Die Icons auf dem Desktop verschwanden noch und in der Konsole wurde der Hinweis angezeigt, dass jetzt mit dem Aufräumen begonnen würde. Danke für deine Hilfe. |
Ok, dumme Fehler meinerseits: Du bist im abgesicherten Modus schon mit Adminrechten eingeloggt, oder? Wenn nicht, das bitte mal versuchen. :) Entpacke den Ordner bitte auhc mal nach C:\ und starte RunThis.bat aus dem Ordner. Schick mir bitte mal ein Hijackthislog, damit ich sehen kann was da noch an Prozessen läuft, die SDFix behindern können. Gibt es denn eine Fehlermeldung von dem "HLVDD Hardlock Virtual Device"? Ich hab bisher von keinen Problemen gehört gehabt. SDFix sollte nicht länger als 10 Minuten, in schlimmen Fällen evtl länger brauchen. Wenn es nach 10 Minuten keine Fortschritte gab, bitte abbrechen. lg myrtille |
Danke myrtille für deine weitere Hilfe Zitat:
Zitat:
Zitat:
Code: Logfile of Trend Micro HijackThis v2.0.2Code: Logfile of Trend Micro HijackThis v2.0.2 |
Zitat:
"HLVDD.DLL an installable virtual device driver failed dll initialization" Und der Vollständigkeit halber: Hijackthislog Normalmode ohne Internetverbindung Code: Logfile of Trend Micro HijackThis v2.0.2Hijackthislog Normalmode mit Internetverbindung Code: Logfile of Trend Micro HijackThis v2.0.2 |
Versuche Combofix laufen zu lassen. ComboFix
Wichtige Hinweise:
Ergänzend lies Dir diese Anleitung durch, drucke sie ggf. aus. Ein Leitfaden und Tutorium zur Nutzung von ComboFix |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:41 Uhr. |
Copyright ©2000-2025, Trojaner-Board