Bräuchte Hilfe wegen Viren...
 

Hallo zusammen :)

Ich habe mir gestern einen Trojaner eingefangen und werde ihn nicht mehr los.
Nach dem mein Avira den Trojaner gemeldet hat, machte mein PC nach einiger Zeit eigenständig einen Neustart, dabei kam beim Hochfahren die Meldung: "Trend ChipAwayVirus has detected a boot virus on your hard disk".

Ich habe danach mein Avira scannen lassen, drei Trojaner gefunden und gelöscht. Danach habe ich Ad-Aware, Spybot und TuneUp scannen lassen und alle gefundenen Probleme beseitigt und ich habe auch nichts weiter gefunden. Doch bei jedem Neustart erscheint noch diese Meldung, also gehe ich davon aus, dass mein PC noch nicht sauber ist.
Ich hoffe nicht formatieren zu müssen... ich hoffe jemand kann mir helfen, vielen Dank im Voraus :)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:56:16, on 17.07.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\system32\atwtusb.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\VM_STI.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\Windows Live\Messenger\MsnMsgr.Exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Adobe\Acrobat 7.0\Acrobat\Acrobat.exe
C:\DOKUME~1\***\LOKALE~1\Temp\Adobelm_Cleanup.0001
C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
C:\DOKUME~1\***\LOKALE~1\Temp\Adobelm_Cleanup.0001
C:\Dokumente und Einstellungen\***\Eigene Dateien\Downloads\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=22028
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programme\FlashFXP\IEFlash.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE Philips SPC 200NC PC Camera
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: TrayMin200.exe.lnk = ?
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/DE-DE/a-UNO1/GAME_UNO1.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O20 - Winlogon Notify: Fly - C:\WINDOWS\SYSTEM32\smart.dll
O20 - Winlogon Notify: Love - LoveFly.dll (file missing)
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUpUtilities2006\WinStylerThemeSvc.exe

--
End of file - 9300 bytes

Hallo,

1.) Logfile von AntiVir posten.
2.) Die Datei C:\WINDOWS\SYSTEM32\smart.dll bei Virustotal.com auswerten und Ergebnisse posten.
3.) Logfiles mit DSS erstellen und posten (mit Codetags!!)
4.) Dieses MBR-Tool ausführen und die Ausgabe posten.

1.)

Ich hoffe, es ist das richtige... es sind 2 Suchläufe gewesen, da ich einmal abbrechen musste..

_________________________________________________


2.)

Hier das Ergebnis der Analyse

Virustotal. MD5: 46cbccb4a5e952aedbc55af1213ebe30 a variant of Win32/PSW.WOW.NDJ HEUR/Crypted PSW.Generic6.RBZ

3.)

__________________________
4.)

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x951a104 size 0x1fd !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

Sry, war im Urlaub. Erstell bitte die Logfiles erneut für einen aktuellen Stand.

Kein Problem :)


Smart.dll hat Avira mittlerweile als Trojaner gemeldet und ich konnte die Datei im abgesicherten Modus mit einem Neustart löschen.
Ein Weilchen später meldete mir Avira den selben Trojaner unter einem anderen Namen als A0021717.dll, konnte ich ebenfalls löschen. Seitdem keine Meldungen mehr. Es handelte sich dabei um den Trojaner TR/Gendal.36864.5

DSS:

MBR:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x951a104 size 0x1fd !
copy of MBR has been found in sector 62 !

Du hast nur 256 MB RAM - ist schon ein bißchen wenig für Windows XP. Du solltest Dir mal einen Zusatzriegel besorgen für bessere Systemperformance.

Diese Einträge mit Hijackthis bitte fixen.

Das MBR-Tool hat schädlichen Code gefunden! Es gibt mehrere Methoden, den MBR zu reapieren. Probieren wir es mit dem mbr-Tool:

1. Die mbr.exe der Einfachheit halber nach C:\Windows\System32 kopieren
2. Die Konsole aufrufen über Start, Ausführen, cmd eintippen => ok
3. In die Kommandozeile folgendes eintippen und mit Enter ausführen:

Laß danach noch bitte Malwarebytes Antimalware durchlaufen und gefundene Schädlinge löschen - poste das Logfile mit Codetags!
Mach außerdem noch einen Durchlauf mit Blacklight (siehe Signatur) und poste auch davon das Logfile. Dann sehen wir weiter.

Hab was vergessen. Bitte deaktiviere die Systemwiederherstellung, denn wahrscheinlich wurden noch weitere schädliche Dateien mit in den Wiederherstellungspunkten mitgesichert und sind daher nun unbrauchbar.

Reiche bitte auch das Extra-Log von DSS nach.

Daran werde ich denken :)
Systemwiederherstellung habe ich deaktiviert.

Hab ich gefixt.
Nun ist da ein Ordner mit dem Namen Backups aufgetaucht, er enthällt 2 Datein, hat das was mit dem Fixen zu tun?

Das hab ich getan, wie du es gesagt hast, ob da nun etwas passiert weiß ich nicht.

Die anderen zwei Logfiles folgen sogleich :)

Logile vom Malewarebytes...

Blacklight hat nichts gefunden. Es gab auch keine Option ein Logfile dazu zuerstellen.

Ein Extra Logfile vom DSS?
Ich hab nicht ganz verstanden, was du damit meinst...

Lösch diese Datei.

Was ist aus dem MBR geworden? Mach bitte einen neuen normalen Durchlauf mit der mbr.exe und poste den Output.

DSS erstellt zwei Logfiles, eine main.log und eine extra.log. Die extra.lo ist zwar nicht soo wichtig, aber doch interessant. Ist doch alles genau beschrieben im Artikel, den Du über meinen DSS-Link erreichst. :rolleyes:

Falls sich noch weitere "krumme" Dateien im System befinden, können wir die evtl. so aufspüren:

Über ein filelisting mit diesem script:

- Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
- Doppelklick auf listing8.cmd auf dem Desktop
- nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei file-upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Ist gelöscht :)

Das mit dem MBR hab ich gar nicht verstanden, ich habe getan was du sagtest und nun kam das selbe dabei heraus wie vorher auch schon...

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x951a104 size 0x1fd !
copy of MBR has been found in sector 62 !

Das stand auch in der Konsole, als ich es dort ausführte so wie du es mir sagtest. Ich muss irgendetwas falsch gemacht haben :(

Ich hab nachgelesen, wo ich extra.log finde und habe nach dem Scannen dort nachgesehen. Er hat jedoch keinen extra.log erstellt, nur main.log. Es gibt nur einen extra.log vom 17.7.08. Für alle anderen Scanns gibt es keine... :(

Wenigstens das hat geklappt...

http://www.file-upload.net/download-1004494/listing.txt.html

Ok, dann machen wir das mit dem MBR eben anders. Hast Du deine Windows-CD da?

Ja, die habe ich da. Ein Freund hatte sie auch benutzt um das bei MBR zu beseitigen, die Virusmeldung beim Hochfahren war damit auch weg, aber wenn du sagst, dass da noch etws ist dann muss ich da wohl nochmal ran :)

Das ist schonmal gut, daß Du die CD zur Hand hast. Boote den PC mal davon (dauert ne Zeit lang bis das Auswahlmenü zur Verfügung steht) und starte die Wiederherstellungskonsole. Dort führst Du diesen Befehl aus:

Danach sollte der MBR wieder einwandfrei sein. Jedenfalls wenn er nicht wieder manipuliert wird. mit dem Befehl exit startest beendest Du die Konsole und startest den PC neu. Führe im normalen Windows nochmal die mbr.exe aus und poste zur Überprüfung erneut die Ausgabe.

Ich hab MBR gefixt... aber der "böswillige Code" ist wieder da... :(
Das passiert wohl beim Hochfahren...

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x951a104 size 0x1fd !
copy of MBR has been found in sector 62 !

Mach mal bitte ein Logfile mit silentrunners (Signatur) und poste das Logfile mit Codetags umschlossen.

Getan :)

Hm ich seh dort nichts was in Frage kommen könnte. Entweder das Reparieren schlug fehl oder da ist was sehr gut verstecktes (rootkit o.ä.) am Werkeln. Wagen wir mal einen Durchlauf mit Combofix, wende es so an wie es z.B. in diesem Posting erklärt wird.

Also ComboFix fand ich irgendwie unheimlich :)

Hm auch dort sehe ich nichts ungewöhnliches. :balla:
Navigiere mal zum Ordner C:\deckard - da sollten zwei logs drin sein, die extra.log interessiert (solltest Du eigentlich schon gepostet haben) :rolleyes:

Darum hattest du mich ja schonmal gebeten, nur ist dort ehrlich kein Extra.log. Für jeden Scan wurde ein Ordner angelegt und in jedem Ordner ist nur main.log zu finden... :(
Ich kann dir auch einen Screen machen, damit du mir glaubst...

DSS erstellt aber immer zwei Logfiles. Wenn Du es aufgeführt hast, zeigt er Dir dienacheinander an und sie sind eigentlich auch in c:\deckard gespeichert.

Gibts bei Dir diesen Ordner: C:\Deckard\System Scanner ??

Ja den gibt es. Darin befindet sich für jeden Scan einen extra Ordner und in denen befindet sich wirklich nur main.log...
Ich habe eben extra nocheinmal gescannt und wieder gab es nur main.log...

Ok. Habs eben selber getestet. Anscheinend wurde DSS etwas überarbeitet und erstellt nur noch die main.log. Ob das so gewollt ist, weiß ich nicht.

Mir gings deswegen um das extra.log, weil dort auch die Plattenanzahl und -konfig gelistet sind. Aber vllt kannst Du mir das auch sagen, hast Du mehr als eine Platte am PC angeschlossen?

Ich habe nur eine Festplatte angeschlossen.

Ok. Dann gibts logischerweise auch nur einen MBR. Ich würde vorschlagen, Du wiederholst die Prozedur mit dem fixmbr und führst danach erneut einen Check mit der mbr.exe aus - sollte er dann immer noch befallen sein, kann ich nur von einem versteckten Schädling ausgehen, den ich nat. nicht sehe. Dann müsstest Du das System neuaufsetzen sicherheitshalber.:rolleyes:

Ich werde es versuchen...

Vielen lieben Dank für deine Hilfe :) :)