FiveSec.Spam.Agent.vx - svchost.exe Trojaner lässt sich nicht entfernen
Hallo zusammen,
ich habe seit ca. 2 Tagen massive Probleme mit einem Trojaner, der mein System infiziert hat (Windows XP).
Es handelt sich dabei laut Lavasoft's Ad-Aware (free) um einen "FiveSec.Spam.Agent.vx". Die Datei hat sich als svchost.exe getarnt, ist in C:\Windows\Temp lokalisiert und wird bei jedem Neustart mitgeladen. Laut Internet verschickt der Trojaner damit über meinen Rechner Spammails.
Ich habe mal nach dem besagten Trojanertypus gegooglet und konnte lediglich Einen in der Variante "spoolsvv.exe" finden, der zusammen mit einer dll, die sich in windows\system32 versteckt sein Unheil treibt. Nun habe ich aber weder diese .dll Datei, noch kann ich laut Process Explorer (die Freewarevariante nicht den Internen von XP) eine derartige dll finden, die von der svchost verwendet wird. Nun habe ich mehrmals die svchost.exe manuell gelöscht (einen Ladeeintrag konnte ich unter msconfig nicht finden), als auch die Datei in Quarantäne verschoben mit Ad-Aware. Dummerweise taucht sie bei fast jedem Neustart trotzdem wieder auf. Alle anderen Programme (Spybot, AVG free, avast! Antivirus free, Malwarebytes' Antimalware, CCleaner) haben den Trojaner gar nicht erst gefunden. Mittlerweile bin ich mit meinem Latein am Ende und weiss nicht mehr, was ich noch tun kann, da ich gerne darauf verzichten würde das System neuzuinstallieren. Ausserdem sollte ich erwähnen, dass ich die Systemwiederherstellung von Windows deaktiviert habe. Folglich steht mir diese Möglichkeit auch nicht zur Verfügung.
Was eventuell noch eine Rolle spielen könnte und vielleicht mit dem Trojaner zusammenhängt ist, dass nun seit kürzerer Zeit mein Firefox (6.0.2) sehr langsam und instabil ist. Das Programm braucht fast eine Minute um eine Webseite zu öffnen und reagiert auch währenddessen nicht auf Anweisungen, als wäre es überlastet. Ab und zu bekomme ich eine Fehlermeldung, die mich darauf verweist, dass das Skript Resources://components/nsLoginManager:280 (ich glaub der Pfad stimmt nicht ganz aber ich musste ihn aus dem Kopf aufschreiben) nicht mehr reagiert. Chrome hingegen läuft ohne Probleme. Ich habe auch Firefox mehrmals neuinstalliert, ohne die Einstellungen zu übernehmen. Hat aber auch nichts geholfen. Ich hänge mal die HiJackthis-logfile mit an, auch wenn ich da nichts übermässig Irritierendes drin finden kann. Ich hoffe jemand kann mir helfen oder mich an jemanden weiterverweisen, der es kann.
HiJackthis Logfile: Code:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 02:52:57, on 11.09.2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\Programme\Avast\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\Avast\avastUI.exe
C:\Programme\ATI Tray Tools\atitray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\ProcessExplorer\procexp.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Virtual CD v10\System\VC10SecS.exe
C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
D:\Install\HiJackThis204.exe
C:\Programme\Google\Chrome\Application\chrome.exe
C:\Programme\Google\Chrome\Application\chrome.exe
C:\Programme\Google\Chrome\Application\chrome.exe
C:\Programme\Google\Chrome\Application\chrome.exe
C:\Programme\Google\Chrome\Application\chrome.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\Avast\aswWebRepIE.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\Avast\aswWebRepIE.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [avast] "C:\Programme\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [Daemon Tools] "C:\Programme\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [AtiTrayTools] "C:\Programme\ATI Tray Tools\atitray.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Programme\Avast\AvastSvc.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update-Dienst (gupdatem) (gupdatem) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft Limited - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - StarWind Software - C:\Programme\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
O23 - Service: Virtual CD v10 Management Service (VC10SecS) - H+H Software GmbH - C:\Programme\Virtual CD v10\System\VC10SecS.exe
--
End of file - 4521 bytes
--- --- ---
P.S.: Ich habe die HiJackThis-Logdatei trotzdem mal mit angehängt, da ich mir dachte, dass mehr Infos besser sind als Wenige. ;) | 