TR/Drop.Agent.ams
 

Guten Morgen
Beim Laptop meiner Frau wurde heute morgen von Antivir beim routinemäßigen Prüfauftrag der o.a. Trojaner festgestellt. und zwar mit folgendem Pfad:
C:\Dokumente und Einstellungen\...\viviplay.exe
(Ich hab keine Ahnung, was die Dame da wieder angestellt hat, angeblich "nix gemacht")
Bei Google finde ich nur die Avira-Seite mit der Liste der z.Zt. gültigen Virusdefinitionen und in der Boardsuche findet sich ein Trojaner mit einer ähnlichen Bezeichnung, allerding mit einer anderen Dateierweiterung.
So wie es aussieht, wenn der "Halunke" der gleiche oder eine Abart ist, werde ich wohl um ein Neuaufsetzen nicht herumkommen.
Wie genau funzt das, es ist nämlich ein Gericom Laptop mit dieser Recover-Pro Geschichte, also ohne CD fürs Betriebssystem?

Ich habe mal noch ein HijackThis-log angefügt, weil das in einem anderen Thread auch verlangt wurde:

Logfile of HijackThis v1.99.1
Scan saved at 08:29:08, on 04.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Phoenix Technologies Ltd\RecoverPro_XP\VBPTASK.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\avscan.exe
C:\Dokumente und Einstellungen\Marita Fries\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://w*w.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://w*w.gericom.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Programme\Outlook Express\msimn.exe"
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [RestoreIT!] "C:\Programme\Phoenix Technologies Ltd\RecoverPro_XP\VBPTASK.EXE" VBStart
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.gericom.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - [u**h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1098104987456[/url]
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Das Problem hängt ja wahrscheinlich mit dieser msmsgs.exe zusammen, das wurde in verschiedenen Threads schon öfter als Problemkind erwähnt.

So, ich hoffe, das waren ausreichend Informationen und ich wünsche trotzdem noch einen schönen Sonntag

Gruß
Jörg

PS: Ich wollt die betroffene Datei mal in die Quarantäne verschieben, aber dann kommt eine Meldung, dass der Zugriff verweigert wurde weil nötige Rechte fehlen oder die Datei gesperrt ist. (JaJa, sie surft als Admin durchs Netz). Ich nehme jetzt die Option "gesperrte Datei nach Neustart löschen" und schau mal, was dann passiert.

Jörg

HI,
ich gehe mal nicht von einem Trojaner aus. Stell mal die Frage, ob Deine Holde gerne mit dem PC fernsehen wollte. Und dann informiere dich über TVKoo.
Sollte sich um ein false positive des Virenscanners handeln. Und hier noch was zur msmsgs.exe.
Grüße
cacatoa

Moin Cacatoa
Danke für die Antwort.
Fernsehen wollte sie definitiv nicht, kann höchstens sein, das sie sich irgend ´nen Videostream angucken wollte. Sie ist jetzt nicht greifbar da ausser Haus, also kann ich sie nicht direkt fragen. Ich habe die Datei durch Antivir löschen lassen und im Moment läuft jetzt grade ein erneuter Scan. Kann es sein, das sie mit einem blauen Auge davon gekommen ist, da die gemeldete Exe-Datei nicht ausgeführt wurde?
Danke auch für den Link zu msmsgs.exe. Der Messenger ist allerdings gar nicht installiert .

Auf jeden Fall leg´ich ihr jetzt mal ein eingeschränktes Konto zum Surfen an, dagegen hat sie sich bis jetzt immer gesträubt, von wegen umständlich.

Viele Grüße
Jörg

Hi
Also der erneute Prüflauf bracht keinen Fund, ich denke mal, dass die Angelegenheit damit erledigt ist.
Nochmals vielen Dank für die Hilfe

Schöne Pfingsten noch

Jörg

Ja, denke auch, daß sie irgend einen Videostream nutzen wollte.
ist o.k.; auch wenn nicht genutzt. Kannst du ja fixen.
Schönen Tag noch:
cacatoa

Hallo

Nochmals Danke :daumenhoc und Dir auch ´nen schönen Tag

Gruß
Jörg