Üblen Trojaner eingefangen
 

ich weiss zwar noch nicht so genau WIE ich mir den örger eingehadelt hab - und das beunruhigt mich eigentlich am meisten - aber ich weiss auf alle fälle schonmal dass das ding nicht so leicht loszuwerden ist, darum wende ich mich mal an euch, in der hoffnung auf hilfe ;-)

hier erstmal was nach diversen ad-aware, spybot s&d und antivir durchläufen noch übrig ist:

CoolWebSearch Object Recognized!
Type : Regkey
Data :
TAC Rating : 10
Category : Malware
Comment :
Rootkey : HKEY_LOCAL_MACHINE
Object : software\microsoft\downloadmanager

CoolWebSearch Object Recognized!
Type : File
Data : wbemess.log
TAC Rating : 10
Category : Malware
Comment :
Object : C:\WINDOWS\system32\wbem\logs\

CoolWebSearch Object Recognized!
Type : Process
Data : guard.tmp
TAC Rating : 10
Category : Malware
Comment : (CSI MATCH)
Object : C:\WINDOWS\system32\


Warning! CoolWebSearch Object found in memory(C:\WINDOWS\system32\guard.tmp)


die dinger krieg ich natürlich nicht so leicht weg....

und hier noch das aktuelle hijackthis logfile:

Logfile of HijackThis v1.99.1
Scan saved at 17:07:22, on 13.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5296.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\SolidConverterPDF\SCPDF\SolidPdfService.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\Explorer.EXE
D:\Logitech\iTouch\iTouch.exe
D:\Thrustmapper\TMTMTSR.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
D:\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\CTHELPER.EXE
d:\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\system32\WinSys.exe
D:\MessengerPlus! 3\MsgPlus.exe
C:\Programme\Saitek\Software\SaiSmart.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\PROGRA~1\ICQ\ICQ.exe
D:\TrueImage\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
D:\DAEMON Tools\daemon.exe
D:\iTunes\iTunesHelper.exe
C:\WINDOWS\smss.exe
C:\WINDOWS\ieredir.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\iPod\bin\iPodService.exe
D:\Globe Software\StatBar\StatBar.exe
D:\Creative\MediaSource\RemoteControl\RCMan.EXE
C:\WINDOWS\system32\ctfmon.exe
D:\Skype\Phone\Skype.exe
C:\winstall.exe
D:\MSI\Core Center\CoreCenter.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
D:\FIREFOX\FIREFOX.EXE
C:\DOKUME~1\SW\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\ICQToolbar\toolbaru.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - D:\ICQToolbar\toolbaru.dll
O3 - Toolbar: Solid Converter PDF - {259F616C-A300-44F5-B04A-ED001A26C85C} - D:\SolidConverterPDF\SCPDF\ExploreExtPDF.dll
O4 - HKLM\..\Run: [zBrowser Launcher] d:\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [ThrustTSR] d:\Thrustmapper\TMTMTSR.exe
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [CTSysVol] d:\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] d:\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [LogitechVideoRepair] D:\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [NVCLOCK] rundll32 nvclock.dll,fnNvclock
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [WinSys] C:\WINDOWS\system32\WinSys.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [MessengerPlus3] "d:\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Profiler] C:\Programme\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [SaiSmart] C:\Programme\Saitek\Software\SaiSmart.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TrueImageMonitor.exe] D:\TrueImage\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "d:\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [iTunesHelper] "D:\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [keyboard] C:\\keyboard1.exe
O4 - HKLM\..\Run: [mousepad] C:\\mousepad1.exe
O4 - HKLM\..\Run: [gimmysmileys] C:\\gimmysmileys1.exe
O4 - HKLM\..\Run: [Microsoft Windows Session Manager Subsystem] C:\WINDOWS\smss.exe
O4 - HKLM\..\Run: [IE Redir] C:\WINDOWS\ieredir.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Microsoft Windows Logon Process] C:\WINDOWS\winlogon.exe
O4 - HKCU\..\Run: [StatBar] D:\Globe Software\StatBar\StatBar.exe
O4 - HKCU\..\Run: [SB Audigy 2 Startup Menu] "d:\Creative\SBAudigy2ZS\Program\Startup Menu\ChkColor.EXE"
O4 - HKCU\..\Run: [RemoteCenter] d:\Creative\MediaSource\RemoteControl\RCMan.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [MessengerPlus3] "d:\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Skype] "D:\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Shell] "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00001.exe"
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: CoreCenter.lnk = D:\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = D:\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Download with &DAP - D:\DAP\dapextie.htm
O8 - Extra context menu item: &ICQ Toolbar Search - res://D:\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Download &all with DAP - D:\DAP\dapextie2.htm
O8 - Extra context menu item: Download using Download &Express - file://C:\WINDOWS\System32\MetaProducts\Add_Url.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - d:\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_98.dll' missing
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {F1154108-FB75-47EB-9A7E-4DD28DBDAF34} - http://www.threedegrees.com/td_netd.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Protocol: vskype - (no CLSID) - (no file)
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O20 - Winlogon Notify: SMDEn - C:\WINDOWS\system32\o4840elqehqe0.dll
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Windows Logon Process Service (MSWinLogonProcService) - Unknown owner - C:\WINDOWS\winlogon.exe" -service (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SolidPDFConverterReadSpool (ScReadSpool) - VoyagerSoft, LLC - D:\SolidConverterPDF\SCPDF\SolidPdfService.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

Hallo,
sorry, aber das System ist so zugemüllt, da macht meiner Meinung nach nur ein Neuaufsetzen Sinn, mal der ausschnitt aus der Malware die da ist (erfahrungsgemäß wird von dem betreffenden trojaner auch noch deutlich mehr abgelegt):
O4 - HKLM\..\Run: [WinSys] C:\WINDOWS\system32\WinSys.exe
O4 - HKLM\..\Run: [keyboard] C:\\keyboard1.exe
O4 - HKLM\..\Run: [keyboard] C:\\keyboard1.exe
O4 - HKLM\..\Run: [mousepad] C:\\mousepad1.exe
O4 - HKLM\..\Run: [gimmysmileys] C:\\gimmysmileys1.exe
O4 - HKLM\..\Run: [Microsoft Windows Session Manager Subsystem] C:\WINDOWS\smss.exe
O4 - HKLM\..\Run: [IE Redir] C:\WINDOWS\ieredir.exe
O4 - HKLM\..\Run: [Microsoft Windows Logon Process] C:\WINDOWS\winlogon.exe
O4 - HKCU\..\Run: [Shell] "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00001.exe"
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O10 - Broken Internet access because of LSP provider 'c:\programme\newdotnet\newdotnet6_98.dll' missing
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O20 - Winlogon Notify: SMDEn - C:\WINDOWS\system32\o4840elqehqe0.dll
O23 - Service: Windows Logon Process Service (MSWinLogonProcService) - Unknown owner - C:\WINDOWS\winlogon.exe" -service (file missing)

Wenn das hier:
O4 - HKLM\..\Run: [TrueImageMonitor.exe] D:\TrueImage\TrueImageMonitor.exe

nicht zum Spass installiert ist kannst du auch ein sauberes Image wieder einspielen, ansonsten hilft nur Neuaufsetzen und anschließendes absichern wie hier beschrieben.



Grüße Wildone

zum spass war trueimage natürlich nicht, nur dass die kopierte platte sicherheitshalber tot ist :headbang:

naja, mal schauen was ich so alles tot machen kann, ich steh nicht so auf neuinstallationen.....

hab die ganzen einträge mal gelöscht, und zumindest einige symptome - zb eine art "windows security center" das sich immer fleissig in die systemtray gesetzt hat sind weg. adawre findet allerdings immer noch 4 einträge, wenn auch jetzt andere....

jedenfalls bin ich noch nicht so motiviert den rechner wieder ans netz zu lassen - lohnt sichs mal knoppix zu booten und da einen viren/spyware/malware-scan laufen zu lassen?

nochmal edit: die 12 punkte fürs sichere system sind eigentlich alle erfüllt - zusätzlich sitz ich hinter einder hardware-firewall und hab eigentlich immer adaware/spybot laufen. das beunruhigt mich ja eigentlich am meisten dass ich nicht wirklich weiss wie ich das ding eingefangen hab - nur dass es wohl gestern um 22:47 war

Hallo,
sorry wenn ich das so klar sage, aber mit einer manuellen Reinigung wirst du gnadenlos überfordert sein, ich empfehle das ja nicht zum Spass. Außerdem bin ich mir ziemlich sicher das eine Neuinstallation bedeutend schneller ginge, aber natürlich steht es dir frei es zu versuchen, aber sei dir bewußt das du ev. gerade andere ansteckst.
Übrigens wäre mein Haupttipp wie du dir das eingefangen haben könntest, ein Crack oder eine Seite die soetwas anbietet.
Mit so einem System Onlinebanking oder Ebay zu betreiben halte ich übrigens auch für schwer fahrläßig, also wenn dein account für Betrügereien oder ähnliches genutzt werden will ich keine Klagen hören.



Grüße Wildone

ich sitz hier nicht am betroffenen rechner - der steht neben mir und ist offline. das netzwerkkabel rausziehen war das erste das ich gemacht hab ;)

tja, wen ich gestern auf bösen seiten unterwegs gewesen wär wär ich auch nicht überrascht - hab aber eigentlich nicht wirklich was derartiges gemacht - naja, scheisse passiert eben :D

und doch, ich würd gern dran rumbasteln, hab grad nix zu tun und ich steh nicht so auf dtenverlust - und wenn ichs verhau geht neuinstallieren ja sowieso immer noch

Hallo,
ein Problem könnte halt sein das du gar nicht merkst das du es verhauen hast, Trojaner sind mittlerweile nicht mehr so dafür ausgelegt möglichst viel Radau zu machen, die meisten wollen einfach nur im Hintergrund mitlaufen und in der entscheiden Stelle den Keylogger aktivieren.



Grüße Wildone

Hallo Diamondback,
ab wann glaubst du, mit Sicherheit sagen zu können,das dein System sauber ist ?
Dies hier gibt mir die Sicherheit zu sagen ,das schaffst du nie !
Wer nämlich mit dem Sicherheitscenter schon so Probleme hat,der wird und muß an viel komplexeren Sachen wie Trojanerentfernung scheitern.
Irrlicht

naja, grad das bin ich ja zumindest schon mal los. klar kann ich das NIE sagen - wenn ichs drauf anlege und ein blankes xp installier knn ich mit sicherheit davon ausgehn dass ich mir schon was eingefangen hab bis ich auch nur alle sicherheitsupdates installiert hab.

aber ZUFRIEDEN bin ich eigentlich zu dem zeitpunkt an dem ich den pc ohne einschränkungen benutzen kann und nix von bösen sachen bemerke - für sensible sachen verwend ich den eigentlich nicht

edit: das ding war eben nicht das windoof-teil - schaut nur ähnlich aus und installiert einen "virenscanner" der 30$ dafür will das gefundene zeug zu löschen. zumindest ein BISSL ahnung von pcs hab ich dann doch auch

Er will es einfach nicht begreifen......
Du nicht ! Aber Andere verwenden ihn dafür !!
Du hast damit nur insofern zu tun ,als das dein Name als der Verursacher druntersteht.
Noch ein kleiner Tipp am Rande für die Merkbefreiten :
Bücke dich nicht nach einem "zufällig" heruntergefallenem Stück Seife,beim Gemeinschaftsduschen in der U-Haft !
Irrlicht

Hallo,
also SP2 sollte man ja wissen, wo man sich das laden und dann auch sichern/brennen kann.
Alles was dannach kommt hast Du hier

Aber wer nicht will, hat wohl schon und Du hast einiges ;)

Gruß

Schrulli

ja, eine xp-cd mit sp2 drauf liegt ja auch schon rum - und wir sich wohl auch kaum vermeiden lassen. nur wollt ich halt nicht gleich neu installieren wenn sich noch was machen lassen würde - aber ich denk mal die meinung hier ist recht eindeutig

und mag ja format c:/ echt gern - wenns nicht grad bei mir ist :headbang: