|
Help pls! (About:blank.....) Hallo! ich hab seid einigen Tagen einige Probleme mit div Trojanern.... angefangen hat alles so: 1. AV Programm findet einen Trjaner den es als "TROJ_AGENT.AAP" bezeichnet ====> about:blank als unveränderliche Startseite (Homesearch) 2. darauf folgte "TROJ_AGENT.ABQ" ====> Hoher Ping (Spiele etc.) träges Internet "on-screen popups" div. Seiten konnten nicht mehr geöffnet werden. 3. ADW_NAVISEARCH.B ====> ? bisher sind mir noch keine folgen aufgefallen Zuerst habe ich mit div. Programmen versuch die Probleme zu beheben, was auch zu einer kurzzeitigen Verbesserung geführt hat. Nachdem ich jedoch denn IE startete ging alles wieder von vorn los (zuerst Agent.aap dann .abq usw). Falls es hilft hier ein Hijackthislog: Logfile of HijackThis v1.99.0 Scan saved at 11:59:05, on 24.12.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe C:\Programme\Trend Micro\Internet Security\Tmntsrv.exe C:\Programme\Trend Micro\Internet Security\tmproxy.exe C:\Programme\Trend Micro\Internet Security\PccPfw.exe C:\WINDOWS\Explorer.EXE C:\Programme\Java\j2re1.4.2_02\bin\jusched.exe C:\WINDOWS\System32\CTHELPER.EXE C:\Programme\Trend Micro\Internet Security\pccguide.exe C:\Programme\Trend Micro\Internet Security\PCClient.exe C:\Programme\Trend Micro\Internet Security\TMOAgent.exe D:\Programme\Maus\MouseWare\system\em_exec.exe D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe D:\Programme\Tastatur\MagicKey.exe D:\Programme\Mousometer\mousometer.exe D:\Programme\Tastatur\OSD.EXE D:\Programme\ICQ\ICQ.exe C:\WINDOWS\System32\mdm.exe C:\Programme\AntiSpy\SpywareGuard\sgmain.exe C:\Programme\AntiSpy\SpywareGuard\sgbhp.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\Programme\Windows NT\Zubehör\wordpad.exe C:\Dokumente und Einstellungen\JAN\Desktop\Downloads\Spywareprotetion\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll O2 - BHO: (no name) - {F6CAF395-C955-F696-02FD-372CDFEFF452} - C:\WINDOWS\d3tv.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_02\bin\jusched.exe O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe O4 - HKLM\..\Run: [pccguide.exe] "C:\Programme\Trend Micro\Internet Security\pccguide.exe" O4 - HKLM\..\Run: [PCClient.exe] "C:\Programme\Trend Micro\Internet Security\PCClient.exe" O4 - HKLM\..\Run: [TM Outbreak Agent] "C:\Programme\Trend Micro\Internet Security\TMOAgent.exe" /run O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Mirabilis ICQ] D:\Programme\ICQ\ICQNet.exe O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programme\D-Tools\daemon.exe" -lang 1033 O4 - HKCU\..\RunOnce: [ICQ] D:\Programme\ICQ\ICQ.exe -trayboot O4 - Startup: Mousometer.lnk = D:\Programme\Mousometer\mousometer.exe O4 - Startup: SpywareGuard.lnk = C:\Programme\AntiSpy\SpywareGuard\sgmain.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE O4 - Global Startup: InterVideo WinCinema Manager.lnk = D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe O4 - Global Startup: Slim Multimedia Keyboard.lnk = D:\Programme\Tastatur\MagicKey.exe O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: Backward &Links - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: Si&milar Pages - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe O15 - Trusted Zone: *.awmdabest.com O15 - Trusted Zone: *.awmdabest.com (HKLM) O15 - Trusted IP range: 206.161.125.149 O15 - Trusted IP range: (HKLM) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1103731737375 O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab O23 - Service: EPSON Printer Status Agent2 - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe O23 - Service: Trend Micro Personal Firewall - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\PccPfw.exe O23 - Service: Trend NT Realtime Service - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\Tmntsrv.exe O23 - Service: Trend Micro Proxy Service - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\tmproxy.exe Ich hoffe mir kann noch geholfen werden :( MfG Xy |
@Xychor gebe als erstes HJT einen eigenen ordner hast du dein virenscanner schon mal in den abgesicherten modus laufen lassen? wenn nicht, dann hole es sofort nach, trendmicro erkennt diese malware. nach den scan mir HJT (in den abgeischerten modus) fixen R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ujuho.dll/sp.html#28129 R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {F6CAF395-C955-F696-02FD-372CDFEFF452} - C:\WINDOWS\d3tv.dll O15 - Trusted Zone: *.awmdabest.com O15 - Trusted Zone: *.awmdabest.com (HKLM) O15 - Trusted IP range: 206.161.125.149 O15 - Trusted IP range: (HKLM) danach manuell löschen C:\WINDOWS\d3tv.dll neu starten chaosman |
Hi! Leider bin ich erst jetzt dazu gekommen zu antworten... also ich bin vorgegangen wie du es gesag hast jedoch läuft mein Virenscanner im Abgesicherten Modus nicht, daher habe ich alternative Scanner benutzt (damage Cleaner oder so) ansonsten die angegebenen strings gefixed und die .dll gelöscht jedoch führte das zu keiner Lösung! Im Gegenteil es ist noch ein Troj_Agent.All dazugekommen und hideprocs. a-c mein log sieht jetzt so aus: Logfile of HijackThis v1.99.0 Scan saved at 13:15:49, on 01.01.2005 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Java\j2re1.4.2_02\bin\jusched.exe C:\WINDOWS\System32\CTHELPER.EXE C:\Programme\Trend Micro\Internet Security\pccguide.exe C:\Programme\Trend Micro\Internet Security\PCClient.exe C:\Programme\Trend Micro\Internet Security\TMOAgent.exe C:\WINDOWS\atlct32.exe D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe D:\Programme\Maus\MouseWare\system\em_exec.exe D:\Programme\Tastatur\MagicKey.exe D:\Programme\Mousometer\mousometer.exe D:\Programme\ICQ\ICQ.exe D:\Programme\Tastatur\OSD.EXE C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe C:\Programme\Trend Micro\Internet Security\Tmntsrv.exe C:\Programme\Trend Micro\Internet Security\tmproxy.exe C:\WINDOWS\system32\windr32.exe C:\Programme\Trend Micro\Internet Security\PccPfw.exe D:\Programme\Winamp\winamp.exe D:\Programme\mIRC\mirc.exe C:\WINDOWS\System32\msiexec.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Dokumente und Einstellungen\JAN\Desktop\Downloads\HiJacjThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\xkejy.dll/sp.html#28129 R3 - Default URLSearchHook is missing O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {5E65334F-4A8E-5584-E1F6-0343F53BC932} - C:\WINDOWS\system32\apizf.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe O4 - HKLM\..\Run: [pccguide.exe] "C:\Programme\Trend Micro\Internet Security\pccguide.exe" O4 - HKLM\..\Run: [PCClient.exe] "C:\Programme\Trend Micro\Internet Security\PCClient.exe" O4 - HKLM\..\Run: [TM Outbreak Agent] "C:\Programme\Trend Micro\Internet Security\TMOAgent.exe" /run O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe O4 - HKLM\..\Run: [Mirabilis ICQ] D:\Programme\ICQ\ICQNet.exe O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [apiwf.exe] C:\WINDOWS\system32\apiwf.exe O4 - HKLM\..\Run: [atlct32.exe] C:\WINDOWS\atlct32.exe O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe O4 - HKCU\..\Run: [ccleaner] "C:\Programme\AntiSpy\CCleaner\ccleaner.exe" /AUTO O4 - HKCU\..\RunOnce: [ICQ] D:\Programme\ICQ\ICQ.exe -trayboot O4 - Startup: Mousometer.lnk = D:\Programme\Mousometer\mousometer.exe O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE O4 - Global Startup: InterVideo WinCinema Manager.lnk = D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe O4 - Global Startup: Slim Multimedia Keyboard.lnk = D:\Programme\Tastatur\MagicKey.exe O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1103731737375 O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.de/scan/Msie/bitdefender.cab O23 - Service: EPSON Printer Status Agent2 - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe O23 - Service: Trend Micro Personal Firewall - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\PccPfw.exe O23 - Service: Trend NT Realtime Service - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\Tmntsrv.exe O23 - Service: Trend Micro Proxy Service - Trend Micro Incorporated. - C:\Programme\Trend Micro\Internet Security\tmproxy.exe O23 - Service: Workstation NetLogon Service - Unknown - C:\WINDOWS\system32\windr32.exe hier noch ein Virenlog: Protokoll-Liste "Zeit","Art der Virensuche","Quelltyp","Virenname","Infizierte Datei","Erste Aktion","Zweite Aktion" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_AGENT.ALL","C:\WINDOWS\SYSTEM32\WINDR32.EXE","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.C","C:\WINDOWS\ATLCT32.EXE","Säubern fehlgeschlagen","Quarantäne fehlgeschlagen" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_AGENT.ALL","C:\WINDOWS\SYSTEM32\WINDR32.EXE","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.C","C:\WINDOWS\ATLCT32.EXE","Säubern fehlgeschlagen","Quarantäne fehlgeschlagen" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_AGENT.ALL","C:\WINDOWS\system32\windr32.exe","Quarantäne fehlgeschlagen","" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.C","C:\WINDOWS\atlct32.exe","Säubern fehlgeschlagen","Quarantäne fehlgeschlagen" "13:10","Echtzeitsuche","Datei","TROJ_HIDEPROC.B","C:\DOKUME~1\JAN\LOKALE~1\Temp\2.tmp","Quarantäne fehlgeschlagen","" :( MfG Xy |
@Xychor hast du schon mal versucht die dateien in den abgesicherten modus manuell zu löschen? chaosman |
Zitat:
.tmp steht ja soweit ich weiss immer für temporäre Dateien, also müsste ich doch eigentlich zuerst die Dateien löschen die die .tmps erstellen oder? oO |
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 03:17 Uhr. |
Copyright ©2000-2025, Trojaner-Board