Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   TR/Vundo.gen, TR/Spy.VB.ajb und TR/crypt.ULPM.gen (https://www.trojaner-board.de/54888-tr-vundo-gen-tr-spy-vb-ajb-tr-crypt-ulpm-gen.html)

Veitstaenzer 28.06.2008 08:16
TR/Vundo.gen, TR/Spy.VB.ajb und TR/crypt.ULPM.gen
 
Auf ein neues, diesmal hoffentlich ohne Links ;-)

Hallo zusammen,

ein guter Freund hat mich gebeten seinen Rechner mal anzuschaun, weil er ein Virusproblem hat.
Ich hab mich im vorraus über den von AntiVir gemeldeten Virus (Vundo) informiert und mich gefreut, dass die Sache mit VundoFix wohl ein Spaziergang werden würde.

Leider hat VundoFix beim scannen nichts gefunden, auch nicht die von Antivir als infiziert gemeldeten Dateien.
Als ich VundoFix manuell erzählt hab, dass die Dateien infiziert sind und dann den Rechner neu gestartet habe, ließ sich eine der als infiziert gemeldeten Dateien scheinbar fixen (urqNFVlk.dll), die andere aber nicht (khfEVpno.dll).
In einer Anleitung Vundo zu erledigen stand, dass Java deinstalliert werden soll, schlagt mich bitte nicht aber: wie geht das? In der XP Softwareliste stand kein Java und die Win-Suchfunktion hat bei "JAVA" nix ausgespuckt.

Ich hab dann ein HJTlog gemacht (folgt unten) und HJT mal gesagt, dass es die Dateien fixen soll, nu scheint die zweite auch gelöscht zu sein, aber AntiVir meldet eine Infizierung mit TR/Spy.VB.ajb. Das stand auch in einem AntiVir log was mein Freund mir gezeigt hat, da stand auch noch TR/crypt.ULPM.gen, aber die Beiden wurden bei späteren Scans nicht gefunden, Vundo hingegen schon.

Nun mache ich mir keine Illusionen, dass das manuelle löschen via HJT Vundo schon den garaus gemacht hat, und die Infizierung mit dem anderen wär noch zu erledigen, deswegen wäre ich für Hilfe äußerst dankbar ;-)

Lieben Gruß,
Veits

HJT Log:

Code:
Logfile of Trend Micro HiJackThis v2.0.2
Scan saved at 15:12, on 2008-06-27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
D:\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLService.exe
C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
D:\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
C:\WINDOWS\Mixer.exe
C:\Programme\Iomega\DriveIcons\ImgIcon.exe
D:\Home Cinema\PowerDVD\PDVDServ.exe
D:\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Programme\Iomega\AutoDisk\AD2KClient.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\COMMON~2\X10\Common\x10nets.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleTo olbarNotifier.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.ex e
C:\Programme\TechniSat DVB\bin\Server4PC.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN*com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live*Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live* Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN*com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5216BC01-B8DD-4E48-B96E-77710E54016B} - C:\WINDOWS\system32\khfEVpno.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301. 7164\swg.dll
O2 - BHO: (no name) - {F4A88DFE-1E27-4451-A227-7CE8D0B18E07} - C:\WINDOWS\system32\urqNFVlk.dll (file missing)
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Iomega Startup Options] C:\Programme\Iomega\Common\ImgStart.exe
O4 - HKLM\..\Run: [Iomega Drive Icons] C:\Programme\Iomega\DriveIcons\ImgIcon.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "D:\Home Cinema\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [PCMService] "D:\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [BMa35158a7] Rundll32.exe "C:\WINDOWS\system32\dwkqdbjb.dll",s
O4 - HKCU\..\Run: [Iomega Active Disk] C:\Programme\Iomega\AutoDisk\AD2KClient.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleTo olbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.ex e
O4 - Global Startup: Server4PC.lnk = C:\Programme\TechniSat DVB\bin\Server4PC.exe
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {FB7C19EE-F934-44AC-9AFC-EB60504D3B9E} - h**p://www.medionshop.de (file missing) (HKCU)
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O14 - IERESET.INF: START_PAGE_URL=h**p://www.aldi.com
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} (WebInstall) - h**p://dot-sunny.cc-635041.namezero....webinstall.cab
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - D:\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - D:\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Iomega Activity Disk2 - Iomega Corporation - C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~2\X10\Common\x10nets.exe

--
End of file - 7504 bytes

schrauber 28.06.2008 09:54
hi,

Zitat:
C:\WINDOWS\system32\khfEVpno.dll
C:\WINDOWS\system32\dwkqdbjb.dll
diese dateien bitte bei virustotal
überprüfen lassen,ergebnisse hier posten.

starte hijackthis,klicke do a system scan only, und setze vor folgende lästchen einen haken:

Code:
O2 - BHO: (no name) - {5216BC01-B8DD-4E48-B96E-77710E54016B} - C:\WINDOWS\system32\khfEVpno.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {F4A88DFE-1E27-4451-A227-7CE8D0B18E07} - C:\WINDOWS\system32\urqNFVlk.dll (file missing)
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O4 - HKLM\..\Run: [BMa35158a7] Rundll32.exe "C:\WINDOWS\system32\dwkqdbjb.dll",s
O9 - Extra button: MedionShop - {FB7C19EE-F934-44AC-9AFC-EB60504D3B9E} - h**p://www.medionshop.de (file missing) (HKCU)
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} (WebInstall) - h**p://dot-sunny.cc-635041.namezero....webinstall.cab
schliesse den webbrower und klicke auf fix checked.

scanne dein system mit Malwarebytes Anti-Malware und poste das log.


gruß

schrauber

Veitstaenzer 03.07.2008 17:11
Moin Moin!

Vielen Dank schonmal für Deine Hilfe ;-)

Ich hab HJT rüberlaufen lassen und die Stellen die Du genannt hast gefixt,
die C:\WINDOWS\system32\khfEVpno.dll ist weg und als ich die
C:\WINDOWS\system32\dwkqdbjb.dll bei Virustotal hochladen wollte, kam ein 'server nicht erreichbar' - auf die Hauptseite bin ich aber noch gekommen.

Malwarebytes sagt:

Code:
Malwarebytes' Anti-Malware 1.19
Datenbank Version: 918
Windows 5.1.2600 Service Pack 2

17:43:14 2008-07-03
mblog.txt

Scan Art: Schnell Scan
Objekte gescannt: 41004
Scan Dauer: 6 minute(s), 53 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 2
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 3

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{5216bc01-b8dd-4e48-b96e-77710e54016b} (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BMa35158a7 (Trojan.Agent) -> No action taken.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
C:\WINDOWS\system32\modtrux18 (Trojan.Agent) -> No action taken.

Infizierte Dateien:
C:\WINDOWS\system32\modtrux18\modtrux182328.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\dwkqdbjb.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\clkcnt.txt (Trojan.Vundo) -> No action taken.
und HJT sagt inzwischen folgendes:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:01, on 2008-07-03
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
D:\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLService.exe
C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
D:\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\Programme\Iomega\DriveIcons\ImgIcon.exe
D:\Home Cinema\PowerDVD\PDVDServ.exe
D:\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Iomega\AutoDisk\AD2KClient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\COMMON~2\X10\Common\x10nets.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\TechniSat DVB\bin\Server4PC.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Programme\Malwarebytes' Anti-Malware\mbam.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\internet explorer\iexplore.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft*com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft*com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft*com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft*com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Iomega Startup Options] C:\Programme\Iomega\Common\ImgStart.exe
O4 - HKLM\..\Run: [Iomega Drive Icons] C:\Programme\Iomega\DriveIcons\ImgIcon.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "D:\Home Cinema\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [PCMService] "D:\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [LSA Shellu] C:\Dokumente und Einstellungen\*USER*\lsass.exe
O4 - HKLM\..\Run: [BMa35158a7] Rundll32.exe "C:\WINDOWS\system32\dwkqdbjb.dll",s
O4 - HKCU\..\Run: [Iomega Active Disk] C:\Programme\Iomega\AutoDisk\AD2KClient.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Server4PC.lnk = C:\Programme\TechniSat DVB\bin\Server4PC.exe
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: Real*com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O14 - IERESET.INF: START_PAGE_URL=h**p://www.aldi*com
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - D:\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - D:\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Iomega Activity Disk2 - Iomega Corporation - C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~2\X10\Common\x10nets.exe

--
End of file - 6949 bytes
Lieben Gruß,
Veits

EDIT:
Ich hab die eine Datei dann via Mail an Virustotal geschickt, das ist der Bericht der grad kam:

Code:
Complete scanning result of "dwkqdbjb.dll", processed in VirusTotal at 07/03/2008 17:59:47 (CET).

[ file data ]
* name..: dwkqdbjb.dll
* size..: 131584
* md5...: 41c0a59420b035f15dda19bba8b45c15
* sha1..: ad0a49828ee1cc0acb402b41d1d8114a6f226b76
* peid..: -

[ scan result ]
AhnLab-V3 2008.7.3.2/20080703 found nothing
AntiVir 7.8.0.64/20080703 found [TR/Vundo.EWU]
Authentium 5.1.0.4/20080702 found nothing
Avast 4.8.1195.0/20080703 found nothing
AVG 7.5.0.516/20080703 found nothing
BitDefender 7.2/20080703 found [Trojan.Vundo.EWU]
CAT-QuickHeal 9.50/20080703 found nothing
ClamAV 0.93.1/20080703 found nothing
DrWeb 4.44.0.09170/20080703 found [Trojan.Virtumod.based.18]
eSafe 7.0.15.0/20080623 found nothing
eTrust-Vet 31.6.5922/20080702 found nothing
Ewido 4.0/20080703 found nothing
F-Prot 4.4.4.56/20080702 found nothing
F-Secure 7.60.13501.0/20080703 found nothing
Fortinet 3.14.0.0/20080703 found [PossibleThreat]
GData 2.0.7306.1023/20080703 found [Trojan.Win32.Mondera.gen]
Ikarus T3.1.1.26/20080703 found [Trojan.Vundo.EWU]
Kaspersky 7.0.0.125/20080703 found [Trojan.Win32.Mondera.gen]
McAfee 5330/20080702 found nothing
Microsoft 1.3704/20080703 found [Trojan:Win32/Vundo.gen!O]
NOD32v2 3239/20080703 found [Win32/Adware.AdMedia]
Norman 5.80.02/20080703 found [W32/Virtumonde.XUQ]
Panda 9.0.0.4/20080702 found nothing
Prevx1 V2/20080703 found [Fraudulent Security Program]
Rising 20.51.32.00/20080703 found nothing
Sophos 4.30.0/20080703 found [Troj/Virtum-Gen]
Sunbelt 3.1.1509.1/20080703 found nothing
Symantec 10/20080703 found nothing
TheHacker 6.2.96.369/20080703 found nothing
VBA32 3.12.6.8/20080703 found [Trojan.Virtumod.based.18]
VirusBuster 4.5.11.0/20080623 found nothing
Webwasher-Gateway 6.6.2/20080703 found [Trojan.Vundo.EWU]

[ notes ]
Prevx info: h**p://info.prevx*com/aboutprogramtext.asp?PX5=A5B10D3100D6168802E10262A0693700BF20417F

schrauber 03.07.2008 17:17
hi,

lass malwarebytes nochmal laufen, du hast die funde nicht löschen lassen,

danach lasse superantispyware laufen, funde löschen lassen und poste das log.


gruß

schrauber

schrauber 03.07.2008 17:24
Ich seh grad was in deinem neuen hjt-log, dass die obige anleitung überflüssig macht.

Zitat:
O4 - HKLM\..\Run: [LSA Shellu] C:\Dokumente und Einstellungen\*USER*\lsass.exe
zwischen deinem ersten post hier und deiner antwort heute liegen fünf tage, in denen dein "harmloser" vundo-befall zeit hatte, andere malware aus dem netz nachzuladen.

wie zum beispiel oben genannte datei, ein wurm mit backdooreigenschaften.

dafür gibt es nur ein mittel, damit dein pc wieder absolut sauber und vertrauenswürdig wird.

du musst deinen rechner vom netz trennen und neuaufsetzen. anleitung dazu findest du in meiner signatur.



gruß

schrauber

Veitstaenzer 03.07.2008 17:30
*GRML*

Der Rechner war die ganze Zeit offline - nur EIN Mal war er on, um AntiVir upzudaten. So ein M*ST.

Trotzdem danke für Deine Hilfe.

Gruß,
Veits

schrauber 03.07.2008 17:34
ich kann dir nur sagen dass die datei in deinem ersten hjt-log nicht auftaucht, sorry.


gruß

schrauber

Veitstaenzer 03.07.2008 18:28
*seufz*
Ich wollte ja auch nur sagen, dass wir eigentlich recht vorsichtig waren und den Rechner vom Netz getrennt haben.
Ärgerlich ist das ganze, weil mein Freund keine TreiberCD hat - und google (und andere Suchmaschinen) schon nicht mehr funktioniert, was es schwierig macht an die Treiber zu kommen - das erschwert das neu aufsetzen enorm.

Ich danke Dir auf jeden Fall für Deine Hilfe, auch wenns inzwischen zu spät ist, ich finds super was ihr hier macht!

Lieben Gruß,
Veits


Alle Zeitangaben in WEZ +1. Es ist jetzt 11:18 Uhr.

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28