Mail-t-online mit Trojaner
 

Hallihallo,

ich bin verzeifelt ... habe ein Mail von t-online bekommen mit dem Hinweis auf meine Handyrechnung über 257,- Euro und natürlich den Link angeklick... jetzt habe ich den Trojaner - trojan-dropper.win32.agent.dw auf meinem rechner :kloppen:
Wer kann mir helfen - wie werde ich den Trojaner wieder los?
Was macht dieser Trojaner?
Bin für jeden Rat dankbar - bitte, bitte

Hallo,
wo wurde der Dropper von welchem AV gefunden?
Poste auch mal ein HijackThis Logfile:
kurze Beschreibung
ausführliche Beschreibung

Logfile of HijackThis v1.99.0
Scan saved at 20:18:47, on 17.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\AVPersonal\AVSched32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ebay.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1105297299527
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\Gigaset\talk&surf 5.1\xControlCOM.exe

Ich hoffe das ist was Du brauchst... wir wissen nur aus dem web das wir den Trojaner haben und weil ein mail an alle Memner des Adressbuch ging !

1.) Logfile schaut sauber aus, du solltest dich jedoch für einen AV entscheiden, entweder AntiVir oder Norton.
2.) Wo wurde die Datei gefunden??? Ich schätze mal in einer temporären Datei-> leere deine Temp und Temporary Inernet Files mit www.clearprog.de

Danke - Clearprogramm habe ich durchgeführt ... also ich weis nicht so recht was Du mit wo wurde die Datei gefunden meinst ... soll ich Dir die Mail senden .... aber nicht den Link ausführen !
Weder Norten noch AntiVir hat den Trojaner entdeckt.... ich wurde gestern angerufen das ich ein sinnloses Mail an alle meine Freunde verschickt haben soll... was ich aber nicht habe !
Und im Web wird heute auch vor diesem Mail gewarnt !
Habe jetzt Angst vor online Banking und soweiter !!

Ich möchte wissen wo dein Virenscanner die Datei gefunden hat. Programme können in verschiedenen Ordnern laufen, das weiß du, oder?
Wenn ja, dann nenn mir bitte den Ordner!

Hallo, also ich weis nix... sorry... aber ich weis auch meine Virenscanner Norten und Antivir haben den Trojaner
n i c h t

gefunden !

Woher weißt du dann bitte, dass du den besagten Schädling auf dem PC hast :confused:

Sorry weil das verdammte Mail gestern an alle Mitglieder meines Adressbuch raus ging ... und wenn Du heute bei Goggle den Trojaner eingibst wird genau vor dem Mail gewarnt.
Deshalb vermute ich das ich den Trojaner drauf habe !
Wissen tu ich mit Computer sehr wenig ! Oder fast nix !

Dann mach mal folgendes, wenn du nicht sicher bist:
Scanne dein System mit eScan im abgesicherten Modus (Anleitung genau befolgen!)
und poste was gefunden wird. Am einfachsten machst du das so:
Direkt nach dem Scan, den Inhalt des Fensters "Virus Log Information" kopieren (Strg+A alles markieren; Strg+C kopieren)
und dann in einer Textdatei abspeichern (z.B. mit Wordpad o.ä.). Dazu den Inhalt mit Strg+V in das
Textverarbeitungsprogramm einfügen und das Dokument dann abspeichern. Nach dem Neustart kannst du die Infos aus der Datei
dann einfach ins Forum kopieren.

Danke-mach ich gleich ..soll ich alle Files scannen oder nur Programm Files ?

HALLO - FERTIG mit Programm Files - NIX DRINN IN DEM FELD ??
und nun ??

So jetzt hat der Scanner was gefunden .... kommt gleich !
So das sagt der Viren Scanner

FilFile C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunderbird\Profiles\ogc7tz8d.default\Mail\pop3.netcologne.de\Inbox infected by "I-Worm.Sober.c" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunderbird\Profiles\ogc7tz8d.default\Mail\pop3.netcologne.de\Junk tagged as not-a-virus:Tool.Win32.TPE.a. No Action Taken.

e C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunderbird\Profiles\ogc7tz8d.default\Mail\pop3.netcologne.de\Inbox infected by "I-Worm.Sober.c" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunderbird\Profiles\ogc7tz8d.default\Mail\pop3.netcologne.de\Junk tagged as not-a-virus:Tool.Win32.TPE.a. No Action Taken.

Guten Morgen,

hat den niemand einen Rat ... jetzt wo ich den Mistkerl gefunden habe - siehe oben !
Und hat sonst keiner das Problem :dummguck:

Hallihallo,

hat denn niemand einen Tipp / Rat was ich jetzt tun kann.... habe gestern 3 Stunden gesucht und diese Meldung gefunden !

FilFile C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunde rbird\Profiles\ogc7tz8d.default\Mail\pop3.netcolog ne.de\Inbox infected by "I-Worm.Sober.c" Virus. Action Taken: No Action Taken.
File C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Thunde rbird\Profiles\ogc7tz8d.default\Mail\pop3.netcolog ne.de\Junk tagged as not-a-virus:Tool.Win32.TPE.a. No Action Taken.

oder kann ich das einfach irgendwie löschen !!

Das sind Mails mit Attachement, die in den Ordnern "Inbox" und "Junk" im Thunderbird-Mailprogramm liegen.

Gehe wie folgt vor:
Finde die Mails im Thunderbird, lösche die Mails, leere den Papierkorb, komprimiere die Ordner. Wenn Du die Mails nicht findest, machst Du nur den letzten Schritt.

Schaden kann Malware, die in Mailordnern gefunden wird, nicht anrichten (wenn man sie nicht ausführt).

Gruß :daumenhoc
Yopie

Vielen Herzlichen Dank ist schon erledigt ... werde jetzt aber wachsamer sein :dummguck: