Ungebetener Gast: Midnight Oil Spyware/Adware bzw. BDS/Prorat.crh ?
Hallo.
Vorweg: Ich benutze Windows XP (SP2), Firefox 3.0.5 und AntiVir.
Ich habe mir einen Trojaner gefangen, indem ich eine fragwürdige .exe-Datei aus dem Netz gezogen habe und darauf gesetzt habe, dass AntiVir die Datei nichts machen lässt, wenn sie etwas versuchen sollte, das ich nicht will. Leider war das eine Fehlentscheidung.
Zwar habe ich eine Meldung von AntiVir erhalten, dass die Datei den Trojaner BDS/Prorat.crh enthält, aber direkt nachdem sie vollständig geladen war, ist die Datei verschwunden. In der Quarantäne von AntiVir ist nichts und im Zielordner ebenfalls nicht.
Die Logfileauswertung von HijackThis blieb ergebnislos: Code:
Logfile of HijackThis v1.99.1
Scan saved at 16:10:15, on 09.01.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\Imgtask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Sinus 154 stick\Wifiusb.exe
C:\WINDOWS\system32\wuauclt.exe
D:\Programme\HijackThis\HijackThis.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ImgTask] C:\WINDOWS\Imgtask.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Sinus 154 stick WLAN Manager.lnk = ?
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O15 - Trusted Zone: *.rapidshare.com
O15 - Trusted Zone: *.rapidshare.de
O15 - Trusted Zone: *.utorrent.com
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
In einem anderen Thread hier wurde bei einem BDS/Prorat Trojaner eScan empfohlen.
Anschließend habe ich also im Abgesicherten Modus eScan über mein System laufen lassen, das "Midnight Oil Spyware/Adware" gefunden hat: Code:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2008.03.07
Microsoft Windows XP [Version 5.1.2600]
Bootmodus: Normal
eScan Version: 10.0.60
Sprache: German
C:\DOKUME~1\MeinUserName\LOKALE~1\Temp\MWAV.LOG
~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei D:\System Volume Information\_restore{27FF9E07-D66C-4E36-9AF9-1FBF3AFC1587}\RP295\A0041206.exe infiziert durch den Virus "NULL.Corrupted"! Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Datei D:\System Volume Information\_restore{27FF9E07-D66C-4E36-9AF9-1FBF3AFC1587}\RP295\A0041247.exe markiert als "not-a-virus:AdWare.Win32.Gator.3202". Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
~~~~~~~~~~~
~~~~ Spyware (Vorsicht: Oft Fehlalarm!)
~~~~~~~~~~~
Scannen Spyware: Aktiviert
***** Registrierungsdatenbank und Dateisystem werden auf Schnüffelprogramme (Spyware) und werbefinanzierte Software (Adware) geprüft *****
Indexed Spyware Databases Successfully Created...
Objekt "Midnight Oil Spyware/Adware" im Dateisystem gefunden! Maßnahme ergriffen: Keine Maßnahme ergriffen.
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Offending Key found: HKCU\Software\Midnight Oil !!!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
laufende Prozesse - commandline
~~~~~~~~~~~~~~~~~~~~~~
System Idle Process -
System -
smss.exe - \SystemRoot\System32\smss.exe
csrss.exe -
winlogon.exe - winlogon.exe
services.exe - C:\WINDOWS\system32\services.exe
lsass.exe - C:\WINDOWS\system32\lsass.exe
svchost.exe - C:\WINDOWS\system32\svchost -k DcomLaunch
svchost.exe -
svchost.exe - C:\WINDOWS\system32\svchost.exe -k netsvcs
explorer.exe - C:\WINDOWS\Explorer.EXE
mexe.com - "C:\DOKUME~1\MeinUserName\LOKALE~1\Temp\mexe.com"
ScanningProcess.exe -
cmd.exe - cmd /c ""D:\find.bat" "
cscript.exe - cscript C:\escan\prclst.vbs //nologo
wmiprvse.exe -
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
ERROR!!! Invalid Entry %SystemRoot%\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe in HKLM\SYSTEM\CurrentControlSet\Services\aspnet_state. Action Taken: No Action Taken.
ERROR!!! Invalid Entry \??\E:\INSTALL\GMSIPCI.SYS in HKLM\SYSTEM\CurrentControlSet\Services\GMSIPCI. Action Taken: No Action Taken.
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\QuickTime 7.2.0.240\QuickTime.msi
Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WinSdBotaad.zip: Scanning Failure!!!
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WinSdBotaad.zip
Result: ERROR!!! File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WinSdBotaad1.zip: Scanning Failure!!!
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\WinSdBotaad1.zip
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\MeinUserName\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\MeinUserName\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\MeinUserName\NTUSER.DAT
ERROR(3)!!! ScanFile fails for C:\Dokumente und Einstellungen\MeinUserName\ntuser.dat.LOG
ERROR(3)!!! ScanFile fails for C:\pagefile.sys
ERROR(3)!!! ScanFile fails for C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\1031\OWCVBA10.CHM
ERROR(3)!!! ScanFile fails for C:\Programme\Java\jre1.6.0_02\lib\rt.jar
ERROR(3)!!! ScanFile fails for C:\Programme\Microsoft Office\Office10\1031\ACMAIN10.CHM
ERROR(3)!!! ScanFile fails for C:\Programme\Microsoft Office\Office10\1031\VBAAC10.CHM
ERROR(3)!!! ScanFile fails for C:\Programme\Microsoft Office\Office10\1031\VBAWD10.CHM
ERROR(3)!!! ScanFile fails for C:\Programme\Microsoft Office\Office10\1031\VBAXL10.CHM
ERROR(3)!!! ScanFile fails for C:\Programme\MSECache\PPTViewer\ppviewer.cab
ERROR(3)!!! ScanFile fails for C:\WINDOWS\$NtServicePackUninstall$\embxnfj7.zip
ERROR(3)!!! ScanFile fails for C:\WINDOWS\$NtServicePackUninstall$\h75rv575.zip
ERROR(3)!!! ScanFile fails for C:\WINDOWS\Driver Cache\i386\driver.cab
ERROR(3)!!! ScanFile fails for C:\WINDOWS\Driver Cache\i386\sp2.cab
ERROR(3)!!! ScanFile fails for C:\WINDOWS\ServicePackFiles\i386\sp2.cab
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\default
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\default.LOG
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\SAM
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\SAM.LOG
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\SECURITY
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\SECURITY.LOG
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\software
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\software.LOG
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\system
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\config\system.LOG
ERROR(3)!!! ScanFile fails for C:\WINDOWS\system32\dllcache\tourW.exe
ERROR(3)!!! ScanFile fails for D:\mwav.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{27FF9E07-D66C-4E36-9AF9-1FBF3AFC1587}\RP295\A0041244.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{27FF9E07-D66C-4E36-9AF9-1FBF3AFC1587}\RP295\A0041245.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{27FF9E07-D66C-4E36-9AF9-1FBF3AFC1587}\RP295\A0041246.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{B5161474-1564-4673-97F0-17BD929FAE40}\RP468\A0313156.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{B5161474-1564-4673-97F0-17BD929FAE40}\RP485\A0324107.exe
ERROR(3)!!! ScanFile fails for D:\System Volume Information\_restore{D2E1E55E-1F90-4528-9D4A-481314B341FD}\RP158\A0033239.exe
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts:
C:\WINDOWS\System32\drivers\etc\hosts:127.0.0.1 localhost
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Zahl der gescannten Objekte: 465191
Zahl der kritischen Objekte: 11
Zahl der desinfizierten Objekte: 0
Zahl der umbenannten Objekte: 0
Zahl der gelöschten Objekte: 0
Zeit verstrichen: 05:25:11
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Speicherüberprüfung: Aktiviert
Überprüfung der Registrierungsdatenbank: Aktiviert
Überprüfung des Startordners: Aktiviert
Überprüfung des Systemordners: Aktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Laufwerke: Deaktiviert
Überprüfung aller Laufwerke:Aktiviert
Die Überprüfung der Ordner: Deaktiviert
Batchstart: 15:53:37,28
Batchende: 15:54:44,81
Habe ich jetzt
A) beide Schädlinge,
B) ist beides der selbe Schädling oder
C) hat AntiVir "BDS/Prorat.crh" nebenbei entfernt und ich habe "Midnight Oil Spyware/Adware" nur zufällig entdeckt?
Seit der Fehlermeldung habe ich mich außer auf meinem PC und diesem Forum nirgendwo mehr eingeloggt. Das System neu aufzusetzen möchte ich erst als letzte aller Möglichkeiten in betracht ziehen...
Wie gehe ich jetzt weiter vor?
Vielen Dank im Vorraus. | 