|
Trojaner Generic17.CNOG gefunden Hallo liebe Board User, ich habe mir leider einen Trojaner eingefangen (für euch ja nix neues :D ) Ich vermute mal das es von dem nervigen ICQ Bilder geschicke gekommen ist weil ich ansonsten eigentlich immer genau darauf achte was mir auf die Festplatte kommt. Als Antivirus Programm benutze ich AVG und halte es auch immer aktuell. Nun findet besagtes AVG ständig den Trojaner Generic17.CNOG zu dem ich bei google nicht viel finden konnte (andere generic17 arten ja aber es gibt da anscheindend viele verschiedene und meiner war leider nicht dabei :dummguck: ) hab mich also für "andere" generic17 trojaner bisl schlau gemacht und hab jetzt ma HijackThis durchlaufen lassen und bevor ich mir nun alles verstelle (wovor ja gewarnt wird wenn man so wie ich keine Ahnung davon hat) wollte ich den log nun hier posten und hoffe auf eure Hilfe. Hoffentlich hab ich soweit alles beachtet wegen Post zensieren und so :dummguck: HiJackthis Logfile: Code: Logfile of Trend Micro HijackThis v2.0.4Gruß euer Chicken :D |
ootl: Systemscan mit OTL download otl: http://filepony.de/download-otl/ Doppelklick auf die OTL.exe (user von Windows 7 und Vista: Rechtsklick als Administrator ausführen) 1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output 2. Hake an "scan all users" 3. Unter "Extra Registry wähle: "Use Safelist" "LOP Check" "Purity Check" 4. Kopiere in die Textbox: netsvcs msconfig safebootminimal safebootnetwork activex drivers32 %ALLUSERSPROFILE%\Application Data\*. %ALLUSERSPROFILE%\Application Data\*.exe /s %APPDATA%\*. %APPDATA%\*.exe /s %SYSTEMDRIVE%\*.exe /md5start userinit.exe eventlog.dll scecli.dll netlogon.dll cngaudit.dll ws2ifsl.sys sceclt.dll ntelogon.dll logevent.dll iaStor.sys nvstor.sys atapi.sys IdeChnDr.sys viasraid.sys AGP440.sys vaxscsi.sys nvatabus.sys viamraid.sys nvata.sys nvgts.sys iastorv.sys ViPrt.sys eNetHook.dll ahcix86.sys KR10N.sys nvstor32.sys ahcix86s.sys /md5stop %systemroot%\system32\drivers\*.sys /lockedfiles %systemroot%\System32\config\*.sav %systemroot%\*. /mp /s %systemroot%\system32\*.dll /lockedfiles CREATERESTOREPOINT 5. Klicke "run Scan" 6. 2 reporte werden erstellt: OTL.Txt Extras.Txt poste bitte beide, eventuell musst du die aufteilen. |
otl.txt: OTL Logfile: Code: OTL logfile created on: 10.06.2010 23:02:23 - Run 1 |
Trojaner Generic17.CNOG gefunden muss die extras txt leider aufteilen anscheinend OTL Extras logfile created on: 10.06.2010 23:02:23 - Run 1 OTL by OldTimer - Version 3.2.6.0 Folder = C:\Dokumente und Einstellungen\dominik\Desktop Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 2,00 Gb Total Physical Memory | 1,00 Gb Available Physical Memory | 54,00% Memory free 4,00 Gb Paging File | 3,00 Gb Available in Paging File | 76,00% Paging File free Paging file location(s): C:\pagefile.sys 2046 4092 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 30,00 Gb Total Space | 7,10 Gb Free Space | 23,68% Space Free | Partition Type: NTFS Drive D: | 100,00 Gb Total Space | 24,82 Gb Free Space | 24,82% Space Free | Partition Type: NTFS Drive E: | 103,76 Gb Total Space | 14,53 Gb Free Space | 14,00% Space Free | Partition Type: NTFS F: Drive not present or media not loaded G: Drive not present or media not loaded H: Drive not present or media not loaded Drive I: | 931,28 Gb Total Space | 597,19 Gb Free Space | 64,13% Space Free | Partition Type: FAT32 Computer Name: *** Current User Name: *** Logged in as Administrator. Current Boot Mode: Normal Scan Mode: All users Company Name Whitelist: Off Skip Microsoft Files: Off File Age = 30 Days Output = Minimal ========== Extra Registry (SafeList) ========== ========== File Associations ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>] [HKEY_USERS\S-1-5-21-436374069-1547161642-839522115-1004\SOFTWARE\Classes\<extension>] .html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation) ========== Shell Spawning ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command] batfile [open] -- "%1" %* cmdfile [open] -- "%1" %* comfile [open] -- "%1" %* exefile [open] -- "%1" %* htmlfile [edit] -- Reg Error: Key error. piffile [open] -- "%1" %* regfile [merge] -- Reg Error: Key error. scrfile [config] -- "%1" scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l (Microsoft Corporation) scrfile [open] -- "%1" /S txtfile [edit] -- Reg Error: Key error. Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1 Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation) Directory [Winamp.Bookmark] -- "D:\Programme\Winamp\winamp.exe" /BOOKMARK "%1" (Nullsoft) Directory [Winamp.Enqueue] -- "D:\Programme\Winamp\winamp.exe" /ADD "%1" (Nullsoft) Directory [Winamp.Play] -- "D:\Programme\Winamp\winamp.exe" "%1" (Nullsoft) Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation) Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation) Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation) ========== Security Center Settings ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] "FirstRunDisabled" = 1 "AntiVirusDisableNotify" = 0 "FirewallDisableNotify" = 0 "UpdatesDisableNotify" = 0 "AntiVirusOverride" = 0 "FirewallOverride" = 0 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus] "DisableMonitoring" = 0 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall] "DisableMonitoring" = 0 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List] "139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] "EnableFirewall" = 0 "DisableNotifications" = 0 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List] "139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004 "445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005 "137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001 "138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002 "1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007 "2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008 "3724:TCP" = 3724:TCP:*:Enabled:Blizzard Downloader: 3724 ========== Authorized Applications List ========== [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] "C:\WINDOWS\system32\ftp.exe" = C:\WINDOWS\system32\ftp.exe:*:Enabled:Programm zur Dateiübertragung -- (Microsoft Corporation) "C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe" = C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe:*:Enabled:Kerio Personal Firewall 4 - GUI -- (Kerio Technologies) "D:\Programme\QIP\qip.exe" = D:\Programme\QIP\qip.exe:*:Enabled:Quiet Internet Pager -- (The Author of QIP) "D:\Programme\World of Warcraft\BackgroundDownloader.exe" = D:\Programme\World of Warcraft\BackgroundDownloader.exe:*:Enabled:Blizzard Downloader -- (Blizzard Entertainment) "D:\Programme\ICQLite\ICQLite.exe" = D:\Programme\ICQLite\ICQLite.exe:*:Enabled:ICQ Lite -- File not found "D:\Programme\ICQ6\ICQ.exe" = D:\Programme\ICQ6\ICQ.exe:*:Enabled:ICQ6 -- File not found "C:\Programme\AVG\AVG8\avgemc.exe" = C:\Programme\AVG\AVG8\avgemc.exe:*:Enabled:avgemc.exe -- (AVG Technologies CZ, s.r.o.) "C:\Programme\AVG\AVG8\avgupd.exe" = C:\Programme\AVG\AVG8\avgupd.exe:*:Enabled:avgupd.exe -- (AVG Technologies CZ, s.r.o.) "C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Blizzard Launcher Temporary - 2381f618\Launcher.exe" = C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\Blizzard Launcher Temporary - 2381f618\Launcher.exe:*:Enabled:Blizzard Launcher -- File not found "D:\Programme\uTorrent\uTorrent.exe" = D:\Programme\uTorrent\uTorrent.exe:*:Enabled:µTorrent -- (BitTorrent, Inc.) "D:\Programme\ICQ6.5\ICQ.exe" = D:\Programme\ICQ6.5\ICQ.exe:*:Enabled:ICQ6 -- (ICQ, LLC.) "E:\Programme\LAN CoD 4\Setup\Data\iw3mp.exe" = E:\Programme\LAN CoD 4\Setup\Data\iw3mp.exe:*:Enabled:Call of Duty(R) 4 - Modern Warfare(TM) -- () "C:\WINDOWS\TEMP\iuyy.tmp\svchost.exe" = C:\WINDOWS\TEMP\iuyy.tmp\svchost.exe:*:Enabled:svchost -- File not found "C:\WINDOWS\TEMP\bxhj.tmp\svchost.exe" = C:\WINDOWS\TEMP\bxhj.tmp\svchost.exe:*:Enabled:svchost -- () ========== HKEY_LOCAL_MACHINE Uninstall List ========== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall] "{02EBDBB9-4600-41D3-B566-40CB861511D2}" = World of Warcraft FREE Trial "{055EE59D-217B-43A7-ABFF-507B966405D8}" = ATI Catalyst Control Center "{09CF6AF5-9206-4FD7-9B08-BA6819FB47E3}" = Anno 1404 "{0D80391C-0A72-43BB-9BC2-143F63CC111D}" = Nokia PC Connectivity Solution "{13F3917B56CD4C25848BDC69916971BB}" = DivX Converter "{18D10072035C4515918F7E37EAFAACFC}" = AutoUpdate "{1A655D51-1423-48A3-B748-8F5A0BE294C8}" = Microsoft Visual J# .NET Redistributable Package 1.1 "{20071984-5EB1-4881-8EDB-082532ACEC6D}" = Heroes of Might and Magic V "{26A24AE4-039D-4CA4-87B4-2F83216011FF}" = Java(TM) 6 Update 11 "{295C31E5-3F91-498E-9623-DA24D2FA2B6A}" = T-Online WLAN-Access Finder "{296D8550-CB06-48E4-9A8B-E5034FB64715}" = Command & Conquer™ Alarmstufe Rot 3 "{2987EE84-C4EE-4FF5-8160-32DE00D6ABC6}" = GTA2 "{29B3C64A-0F93-47CD-9C54-72C0C5578487}" = Samsung PC Studio "{3248F0A8-6813-11D6-A77B-00B0D0150090}" = J2SE Runtime Environment 5.0 Update 9 "{3248F0A8-6813-11D6-A77B-00B0D0160000}" = Java(TM) SE Runtime Environment 6 "{3248F0A8-6813-11D6-A77B-00B0D0160010}" = Java(TM) SE Runtime Environment 6 Update 1 "{3248F0A8-6813-11D6-A77B-00B0D0160020}" = Java(TM) 6 Update 2 "{333BECA0-DED8-4139-A516-8D9E44E22669}" = Kerio Personal Firewall "{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP "{35CB6715-41F8-4F99-8881-6FC75BF054B0}" = Oblivion "{394DC0BC-5476-4260-B52C-BDE1BDEFA958}" = Unreal Tournament 2004 "{3BD633E0-4BF8-4499-9149-88F0767D449C}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.4 Patch "{3D9CF3CA-3AB0-4A82-9853-D7C43FD1D775}" = ANNO 1404 "{3FC7CBBC4C1E11DCA1A752EA55D89593}" = DivX Version Checker "{4324BC93-C82F-ED16-BA86-5E34B9E05303}" = ccc-core-static "{4ED118EE-785C-CC18-5D2E-D5CA4BAA03F0}" = Catalyst Control Center Graphics Full New "{539475B7-44B7-8B0A-134C-F01B9C8B7569}" = ccc-core-preinstall "{5AC7AE54-55DF-1126-076C-623F008D40B6}" = Catalyst Control Center Graphics Full Existing "{5EE7D259-D137-4438-9A5F-42F432EC0421}" = VC80CRTRedist - 8.0.50727.4053 "{60DE4033-9503-48D1-A483-7846BD217CA9}" = ICQ6.5 "{629F65FB-7F3C-4D66-A1C0-20722744B7B6}" = Star Wars(tm) Knights of the Old Republic(tm) II: The Sith Lords(tm) "{6351D217-3EE3-1967-29BE-6A77635FE485}" = Skins "{66FF4C48-0083-4E60-8556-B883AB200091}" = Heroes of Might & Magic V: Hammers of Fate "{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}" = PowerDVD "{6972FD5E-01D0-4742-8EB0-A0D351CF28FF}" = Governor of Poker "{6AB9CD3A-F91F-233B-923B-6C59BA63524D}" = Catalyst Control Center HydraVision Full "{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable "{77A1C7DD-E4F6-4057-92FC-710219215987}" = Logitech G11 Keyboard Software 1.03 "{7B9CC60A-9B81-46A3-A953-76B6BF9EEC97}" = Age of Empires III "{82696435-8572-4D8B-A230-D1AA567D0F0F}" = Command & Conquer™ 4 Tiberian Twilight "{8503C901-85D7-4262-88D2-8D8B2A7B08B8}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.5 Patch "{85A91C22-C369-FCFB-5F1F-D59EB21AD0E1}" = CCC Help English "{8A15B7D9-908A-4EF9-BA84-5AEDE61743EE}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.6 Patch "{8D9D8304-5241-41EB-BC97-D78E094323B7}_is1" = CDBurnerXP "{8FB1A5EA-7DA8-4D57-80FB-BD923CCCC852}" = OpenOffice.org 2.1 "{931C37FC-594D-43A9-B10F-A2F2B1F03498}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.7 Patch "{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 "{9BD3BC83-C14A-4C54-A5FB-F43D93D5E4EF}" = Nokia Connectivity Cable Driver "{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2 "{A6D0140F-E62F-9D1E-2408-9CFF91FF6FC8}" = ccc-utility "{AC76BA86-7AD7-1031-7B44-A81000000003}" = Adobe Reader 8.1.0 - Deutsch "{B0C30E93-D3D9-4F04-A2AC-54749B573275}" = Command & Conquer 3 "{B1275E23-717A-4D52-997A-1AD1E24BC7F3}" = T-Online 6.0 "{B13A7C41581B411290FBC0395694E2A9}" = DivX Converter "{B7050CBDB2504B34BC2A9CA0A692CC29}" = DivX Web Player "{B7A0CE06-068E-11D6-97FD-0050BACBF861}" = PowerProducer Express "{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2 "{C44A7422-E380-44BE-79FE-1C032D8A03A7}" = Catalyst Control Center Core Implementation "{C4A4722E-79F9-417C-BD72-8D359A090C97}" = Samsung PC Studio "{CB099890-1D5F-11D5-9EA9-0050BAE317E1}" = PowerDirector "{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1 "{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1 "{D36DD326-7280-11D8-97C8-000129760CBE}" = PhotoNow! 1.0 "{D3B1C799-CB73-42DE-BA0F-2344793A095C}" = Catalyst Control Center - Branding "{E1B34BF3-6333-47DC-AD85-D89A95829478}" = Nokia PC Suite "{E5D24929-91A4-B0A1-DE00-AFC453921EF7}" = Catalyst Control Center Graphics Light "{E6C09BFB-BA75-15C7-5B18-A2CE31C4F42B}" = Catalyst Control Center Graphics Previews Common "{E78BFA60-5393-4C38-82AB-E8019E464EB4}" = Microsoft .NET Framework 1.1 German Language Pack "{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver "Adobe Flash Player ActiveX" = Adobe Flash Player ActiveX "Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin "All ATI Software" = ATI - Software Uninstall Utility "ApexDC++" = ApexDC++ 1.1.0 "ATI Display Driver" = ATI Display Driver "AVG8Uninstall" = AVG Free 8.5 "AVMWLANCLI" = AVM FRITZ!WLAN "BearFlix" = BearFlix "C988931A08278BCA99C447BBDEEA229CC8656E50" = Windows Driver Package - Nokia Modem (07/24/2006 6.81.0.23) "CCleaner" = CCleaner "Clonk Planet" = Clonk Planet "Clonk Rage" = Clonk Rage "Defraggler" = Defraggler (remove only) "DivX Content Uploader" = DivX Content Uploader "DivX Plus DirectShow Filters" = DivX Plus DirectShow Filters "DivX Setup.divx.com" = DivX-Setup "Dynomite Deluxe 2.71" = Dynomite Deluxe 2.71 "Free Audio CD Burner_is1" = Free Audio CD Burner version 1.3 "Free YouTube to MP3 Converter_is1" = Free YouTube to MP3 Converter version 3.5 "FreePDF_XP" = FreePDF XP (Remove only) "GPL Ghostscript 8.54" = GPL Ghostscript 8.54 "GPL Ghostscript Fonts" = GPL Ghostscript Fonts "Grand Theft Auto" = Grand Theft Auto "Half-Life" = Half-Life "Heroes of Might and Magic® III" = Heroes of Might and Magic® III Complete "Hitman: Contracts" = Hitman: Contracts "HLSW_is1" = HLSW v1.3.2.1 "IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs "ie7" = Windows Internet Explorer 7 "ie8" = Windows Internet Explorer 8 "InstallShield_{3BD633E0-4BF8-4499-9149-88F0767D449C}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.4 Patch "InstallShield_{7B9CC60A-9B81-46A3-A953-76B6BF9EEC97}" = Age of Empires III "InstallShield_{8503C901-85D7-4262-88D2-8D8B2A7B08B8}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.5 Multiplayer Patch "InstallShield_{8A15B7D9-908A-4EF9-BA84-5AEDE61743EE}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.6 Patch "InstallShield_{931C37FC-594D-43A9-B10F-A2F2B1F03498}" = Call of Duty(R) 4 - Modern Warfare(TM) 1.7 Patch "IrfanView" = IrfanView (remove only) "KLiteCodecPack_is1" = K-Lite Codec Pack 2.77 Full "LimeWire" = LimeWire 4.12.11 "Microsoft .NET Framework 1.1 (1033)" = Microsoft .NET Framework 1.1 "Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1 "MobMap_is1" = MobMap 3.02 "Mozilla Firefox (3.0.19)" = Mozilla Firefox (3.0.19) "MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP "net" = Advertisement Service "NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs "POD-Bot 2.5" = POD-Bot 2.5 "PSPad editor_is1" = PSPad editor "QIP2005" = QIP 2005 Uninstall "Redirection Port Monitor" = RedMon - Redirection Port Monitor "SAMSUNG CDMA Modem" = SAMSUNG CDMA Modem Driver Set "SAMSUNG Mobile Composite Device" = SAMSUNG Mobile Composite Device Software "Samsung Mobile phone USB driver" = Samsung Mobile phone USB driver Software "SAMSUNG Mobile USB Modem" = SAMSUNG Mobile USB Modem Software "SAMSUNG Mobile USB Modem 1.0" = SAMSUNG Mobile USB Modem 1.0 Software "Sierra Utilities" = Sierra Utilities "Strike Force 180" = Strike Force 180 "Teamspeak 2 RC2_is1" = TeamSpeak 2 RC2 "TeamSpeak 3 Client" = TeamSpeak 3 Client "ToolbarICQToolbar.ICQToolbarObjectIEToolbar" = ICQ Toolbar "Tumble Bugs_is1" = Tumble Bugs "Uninstall_is1" = Uninstall 1.0.0.1 "VLC media player" = VideoLAN VLC media player 0.8.6b "Winamp" = Winamp "Windows Media Format Runtime" = Windows Media Format 11 runtime "Windows Media Player" = Windows Media Player 11 "Windows XP Service Pack" = Windows XP Service Pack 3 "WinRAR archiver" = WinRAR Archivierer "WMFDist11" = Windows Media Format 11 runtime "wmp11" = Windows Media Player 11 "World of Warcraft" = World of Warcraft "Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0 "Zuma Deluxe 1.0" = Zuma Deluxe 1.0 den letzten rest kann ich aus undefinierbaren gründen net posten da schmiert mir jedes mal die serververbindung ab |
Fixen mit OTL • Starte bitte die OTL.exe. Vista-User mit Rechtsklick "als Administrator starten" • Kopiere nun das Folgende in die Textbox. :OTL PRC - C:\WINDOWS\Temp\bxhj.tmp\svchost.exe () O20 - Winlogon\Notify\fgpipe: DllName - fgpipe.dll - C:\WINDOWS\System32\fgpipe.dll () O20 - Winlogon\Notify\fnpipe: DllName - fnpipe.dll - File not found :Files C:\WINDOWS\Temp\bxhj.tmp\svchost.exe C:\WINDOWS\System32\fgpipe.dll :Commands [purity] [EMPTYFLASH] [emptytemp] [start explorer] [Reboot] • Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Run Fix Button. • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument dieses posten |
Soderle hab ich nun gemacht hier das TXT Dokument All processes killed ========== OTL ========== Process svchost.exe killed successfully! Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fgpipe\ deleted successfully. C:\WINDOWS\system32\fgpipe.dll moved successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fnpipe\ deleted successfully. ========== FILES ========== C:\WINDOWS\Temp\bxhj.tmp\svchost.exe moved successfully. File\Folder C:\WINDOWS\System32\fgpipe.dll not found. ========== COMMANDS ========== [EMPTYFLASH] User: All Users User: Default User User: *** ->Flash cache emptied: 1536061 bytes User: LocalService User: NetworkService ->Flash cache emptied: 3032 bytes Total Flash Files Cleaned = 1,00 mb [EMPTYTEMP] User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: *** ->Temp folder emptied: 446932 bytes ->Temporary Internet Files folder emptied: 1245213 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 38290519 bytes ->Flash cache emptied: 0 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 539778 bytes ->Flash cache emptied: 0 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 2802592 bytes %systemroot%\System32 .tmp files removed: 1262983 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 664 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 43,00 mb OTL by OldTimer - Version 3.2.6.0 log created on 06112010_124216 Files\Folders moved on Reboot... File\Folder C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\[Torrentsworld.net] - ***.torrent not found! Registry entries deleted on Reboot... |
bitte erstelle und poste ein combofix log. Ein Leitfaden und Tutorium zur Nutzung von ComboFix |
So nun die Combofix.txt Combofix Logfile: Code: ComboFix 10-06-10.04 - *** 11.06.2010 13:36:26.1.2 - x86 |
öffne den arbeitsplatz, c: dort siehst du nen ordner _otl den packe mit winzip oder rar, rechtsklick und zu _otl.rar hinzufügen. das selbe mache mit qoobox. dann hier hochladen, wie unter punkt2 http://www.trojaner-board.de/54791-a...ner-board.html dann gib mal bescheid, wie der pc läuft. |
Also ich hab die Dateien gepackt und hochgeladen. Vielleicht täuscht mich das ganze auch aber ich hab das Gefühl als würde mein Rechner schneller laufen, agiler wenn man so will. Bis jetzt auch noch kein neues Pop Up von AVG wegen dem Trojaner. |
kannst du mal die avg homepage besuchen und erst mal auf avg 9 upgraden, scanne dan und poste mir eventuelle funde, wir müssen noch weiter prüfen. |
Bin grad dabei aber bei meiner bescheidenen Leitung wirds wohl en bischen dauern :D |
jo, aber man muss schon aktuell bleiben :-) so hätte die infektion vllt verhindert werden können. |
So auf AVG 9 aktualisiert und siehe da , weitere Treffer *grml* und ich dachte solange ich die software aktualisiere wäre ich geschützt Naja hier ma der Log vom Scan "Scan ""Geplanter Scan"" wurde beendet." "Infektionen";"5";"5";"0" "Informationen";"2" "Für den Scanvorgang ausgewählte Ordner:";"Gesamten Computer scannen" "Start des Scans:";"Freitag, 11. Juni 2010, 15:27:35" "Scan beendet:";"Freitag, 11. Juni 2010, 16:39:36 (1 Stunde(n) 12 Minute(n) )" "Gesamtanzahl gescannter Objekte:";"376650" "Benutzer, der den Scan gestartet hat:";"SYSTEM" "Infektionen" "Datei";"Infektion";"Ergebnis" "C:\System Volume Information\_restore{6456E1C6-C26D-47B9-ABDB-A7D3D4B2014D}\RP583\A0138624.sys";"Virus identifiziert: Win32/Patched.DY";"In Virenquarantäne verschoben" "C:\System Volume Information\_restore{6456E1C6-C26D-47B9-ABDB-A7D3D4B2014D}\RP583\A0138514.exe";"Trojaner: SHeur3.ZOV";"In Virenquarantäne verschoben" "C:\Qoobox\Quarantine\C\WINDOWS\system32\net.net.vir";"Trojaner: Clicker.AFJE";"In Virenquarantäne verschoben" "C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\isapnp.sys.vir";"Virus identifiziert: Win32/Patched.DY";"In Virenquarantäne verschoben" "C:\_OTL\MovedFiles\06112010_124216\C_WINDOWS\Temp\bxhj.tmp\svchost.exe";"Trojaner: SHeur3.ADNA";"In Virenquarantäne verschoben" "Informationen" "Datei";"Informationen";"Ergebnis" "C:\service\sp\Office2003SP2-KB887616-FullFile-DEU.exe";"Die Datei wurde von einer beschädigten digitalen Signatur signiert, die von Microsoft Corporation ausgestellt wurde.";"" "C:\service\sp\Office2003SP1-kb842532-fullfile-deu.exe";"Die Datei wurde von einer beschädigten digitalen Signatur signiert, die von Microsoft Corporation ausgestellt wurde.";"" |
ok, das sind funde in der systemwiederherstellung + im qoobox bzw otl folder, das ist ok erst mal. erstelle und poste ein gmer report: http://www.trojaner-board.de/74908-a...t-scanner.html |
Also ich hab GMER durchlaufen lassen allerdings mit allen Partitionen und nach ner Weile kam dann ne Fehlermeldung und es brach den Scan ab. Hab jetzt nur den Quickscan- Log hoffe der reicht. GMER 1.0.15.15281 - hxxp://www.g**r.net Rootkit quick scan 2010-06-11 17:45:33 Windows 5.1.2600 Service Pack 3 Running: 7219g12m.exe; Driver: C:\DOKUME~1\***\LOKALE~1\Temp\uwlyypoc.sys ---- Devices - GMER 1.0.15 ---- AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) AttachedDevice \Driver\Tcpip \Device\Ip fwdrv.sys (Kerio Technologies) AttachedDevice \Driver\Tcpip \Device\Ip ntkrnlpa.exe (NT-Kernel und -System/Microsoft Corporation) AttachedDevice \Driver\Tcpip \Device\Ip avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\Tcpip \Device\Tcp fwdrv.sys (Kerio Technologies) AttachedDevice \Driver\Tcpip \Device\Tcp ntkrnlpa.exe (NT-Kernel und -System/Microsoft Corporation) AttachedDevice \Driver\Tcpip \Device\Tcp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\Tcpip \Device\Udp fwdrv.sys (Kerio Technologies) AttachedDevice \Driver\Tcpip \Device\Udp ntkrnlpa.exe (NT-Kernel und -System/Microsoft Corporation) AttachedDevice \Driver\Tcpip \Device\Udp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) AttachedDevice \Driver\Tcpip \Device\RawIp fwdrv.sys (Kerio Technologies) AttachedDevice \Driver\Tcpip \Device\RawIp ntkrnlpa.exe (NT-Kernel und -System/Microsoft Corporation) AttachedDevice \Driver\Tcpip \Device\RawIp avgtdix.sys (AVG Network connection watcher/AVG Technologies CZ, s.r.o.) ---- EOF - GMER 1.0.15 ---- |
bitte lass gmer noch mal durchlaufen, diesmal nur partition c: auswählen. |
Trojaner Generic17.CNOG gefunden So nun hatte ich übers Wochenende kaum Zeit aber bin nun endlich ma zum GMER gekommen hier die Log Datei (musste sie Splitten da zuviele Zeichen) GMER Logfile: Code: GMER 1.0.15.15281 - hxxp://www.gmer.net |
download malwarebytes: Malwarebytes instalieren, öffnen, registerkarte aktualisierung, updaten. registerkarte scanner, komplett scan, funde löschen, log posten. |
So hier nun die Log datei von Malewarebytes Malwarebytes' Anti-Malware 1.46 Malwarebytes Datenbank Version: 4196 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 14.06.2010 13:58:14 mbam-log-2010-06-14 (13-58-14).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|I:\|) Durchsuchte Objekte: 275924 Laufzeit: 1 Stunde(n), 3 Minute(n), 36 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\_OTL\MovedFiles\06112010_124216\C_WINDOWS\system32\fgpipe.dll (Trojan.Agent) -> No action taken. E:\Programme\LAN CoD 4\***\rzr-cd4f\rzr-cod4.exe (Trojan.Agent.CK) -> No action taken. C:\WINDOWS\system32\h@tkeysh@@k.dll (Trojan.Agent) -> No action taken. soweit so gut aber kann ich die dll ausm Windows Ordner bedenkenlos löschen?? |
ja, kannst sie löschen. |
wars das nun? :applaus: oder soll ich sonst noch was durchlaufen lassen? AVG meldet sich auch nicht mehr. dann möchte ich mich nochmals bedanken für die schnelle und kompetente Hilfe hier. Wirklich ein großes Lob ohne die Hilfe hier wäre ich wirklich aufgeschmissen gewesen:dankeschoen::dankeschoen::dankeschoen: |
reinige mit otcleanit: http://oldtimer.geekstogo.com/OTM.exe Klicke cleanup! dein pc wird evtl. neu starten programm löscht sich selbst, + die verwendeten tools die Systemwiederherstellung de- und reaktivieren: Windows XP - Die Systemwiederherstellung komplett abschalten um deine software aktuell zu halten, solltest du secunia nutzen: http://www.trojaner-board.de/83959-s...ector-psi.html abschließend noch den eset online scanner ausführen: Free ESET Online Antivirus Scanner funde löschen, log posten. außer deine internetverbindung ist wirklich zu langsam dafür weis ja nicht genau, welche anbindung du hast. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:57 Uhr. |
Copyright ©2000-2024, Trojaner-Board