Trojaner-Board - Win32.Trojan.Downloader entfernen

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Win32.Trojan.Downloader entfernen (https://www.trojaner-board.de/32360-win32-trojan-downloader-entfernen.html)

Win32.Trojan.Downloader entfernen

Code:

Win32.Trojan.Downloader Object Recognized!

    Type               : Regkey

    Data               : 

    TAC Rating         : 10

    Category           : Malware

    Comment            : 

    Rootkey            : HKEY_USERS

    Object             : S-1-5-21-73586283-1614895754-839522115-1003\software\microsoft\active setup\installed components\{9b71d88c-c598-4935-c5d1-43aa4db90836}
 

 Win32.Trojan.Downloader Object Recognized!

    Type               : Regkey

    Data               : 

    TAC Rating         : 10

    Category           : Malware

    Comment            : 

    Rootkey            : HKEY_LOCAL_MACHINE

    Object             : software\microsoft\active setup\installed components\{9b71d88c-c598-4935-c5d1-43aa4db90836}
 

Win32.Trojan.Downloader Object Recognized!

    Type               : Regkey

    Data               : 

    TAC Rating         : 10

    Category           : Malware

    Comment            : 

    Rootkey            : HKEY_CURRENT_USER

    Object             : software\wget
 

 Win32.Trojan.Downloader Object Recognized!

    Type               : RegValue

    Data               : 

    TAC Rating         : 10

    Category           : Malware

    Comment            : 

    Rootkey            : HKEY_CURRENT_USER

    Object             : software\wget

    Value              : plg1
 

 Win32.Trojan.Downloader Object Recognized!

    Type               : Regkey

    Data               : 

    TAC Rating         : 10

    Category           : Malware

    Comment            : 

    Rootkey            : HKEY_LOCAL_MACHINE

    Object             : software\wget

Hab nicht auf mein ungutess Gefühl gehört und eine Software zum Downloaden von Shareware runtergeladen. Schlechte Entscheidung. Habs zwar nach 5 min wieder deinstalliert, aber adaware findet Win32.Trojan.Downloader . Es findet aber nur die Registry Keys und nicht den Virus selber. Wenn ich die Keys lösche und neu starte sind sie wieder da. Welches Programm kann diesen Virus aufspüren und beseitigen?

Danke schon mal im Voraus!

MfG Kwinz

0 Antworten!
Was soll das Leute? Irgendwer muss sich auskennen!

MfG

Hallo,
wohlmöglich antwortet dir keiner ,weil du "code" benutzt....den Leuten wird schwindlig von der Hin,-und Herschieberei...:rolleyes:
Vielleicht liegt es auch an der Art wie du fragst ?:rolleyes:
Sowas :

Zitat:

Was soll das Leute? Irgendwer muss sich auskennen!

erhöht nicht die Bereitschaft sich unentgeltlich und in der Freizeit mit deiner Kiste zu beschäftigen...:koch:
Vielleicht ließt du auch hier nochmal nach,was relevant ist zu wissen :http://www.trojaner-board.de/extra/impressum.html#NUB

Den Editier-Button solltest du finden können..:rolleyes:
Irrlicht

Zitat:

Zitat von irrlicht

Hallo,
wohlmöglich antwortet dir keiner ,weil du "code" benutzt....den Leuten wird schwindlig von der Hin,-und Herschieberei...:rolleyes:

Ich krieg einen Lachkrampf! :D
Du bist der allererste, den ich kenn, der sich über CODE - Tags aufregt! Normalerweise heißts immer:
"Könntest du nicht CODE benutzen das ist viel übersichtlicher, danke!"

Zitat:

Zitat von irrlicht

Vielleicht liegt es auch an der Art wie du fragst ?:rolleyes:
erhöht nicht die Bereitschaft sich unentgeltlich und in der Freizeit mit deiner Kiste zu beschäftigen...:koch:

btw wie soll ich denn fragen eure Hoheit? Ich war sachlich und höflich. Was erwartest du? Ich meine hab ich dich irgendwie beleidigt oder warum spielst du dich hier so auf? Wenn du sachliche Tipps geben kannst, wie ich den Schädling wieder entfernen kann, dann kannst du dich ja wieder melden!

Zitat:

Zitat von irrlicht

Den Editier-Button solltest du finden können..:rolleyes:
Irrlicht

Wenn sogar Leute wie du den Zitat-Button finden, dann werde ich das auch können.

Falls das ganze nur ein Missverständnis war, nimms mir nicht übel, will nur dieses Ding von meiner Kiste runterbringen. Wenn jemand zusätzliche Infos oder Logs von der infizierten Kiste braucht poste ich die noch.

Danke im Voraus! Gruß Kwinz

ich meine zu glauben das irrlicht dir den Link zur NUB gegeben hat, oder ? ;)
Da steht alles drinnen, wie man sich hier verhalten sollte. Also handel danach dann wird Dir auch geholfen.

Gruß Matten

Hallo,

@kwiz: Du hast diesen auf dem Rechner. Daher lies diese Anleitung und setze sie um.

Gruß :)

Schrulli

Danke!

Ich finde leider keine system.exe in %windir%
Warscheinlich habe ich eine modifizierte Variante?

MfG Kwinz

Hallo,

Zitat:

Zitat von Kwinz

Danke!
Ich finde leider keine system.exe in %windir%
Warscheinlich habe ich eine modifizierte Variante?

das macht Dein System aber auch nicht vertrauenswürdiger.

Gruß :)

Schrulli

OK, ich glaube dir, dass wenn ein System einmal infiziert wurde,
es nicht mehr 100%-ig sicher desinfiziert werden kann.
Ich würde trotzdem gern wissen was mich infiziert hat und
welche .exe Datei das nun ist.

MfG Kwinz

Zitat:

Zitat von Schrulli

Hallo,

@kwiz: Du hast diesen auf dem Rechner. Daher lies diese Anleitung und setze sie um.

Gruß :)

Schrulli

Schrulli, irgendwie hab ich Tomaten auffe Augen. Woran erkennst Du, dass es dieser Schädling ist? :confused:

Hallo,

Zitat:

Zitat von Sophos

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\(9B71D88C-C598-4935-C5D1-43AA4DB90836)
stubpath
<Windows>\system.exe s

Zitat:

Zitat von Kwinz

software\microsoft\active setup\installed components\{9b71d88c-c598-4935-c5d1-43aa4db90836}

Zitat:

Zitat von sophos

Wenn er erstmals gestartet wird, kopiert sich Troj/Bifrose-D nach <Windows>\system.exe und erstellt die Datei <Windows>\plugin1.dat, die gelöscht werden kann.

Zitat:

Zitat von kwiz

Object : software\wget
Value : plg1

Gruß :)

Schrulli

Mal eine Frage.....
Das man Trojaner und Viren unter Windows durch Virenscanner im eigenem System nur schwer oder gar nicht los bekommt ist mir relativ klar. Was aber ist,wenn man die Sache mit Knoppicillin oder mit Knoppix und einem Onlinescanner angeht? Es wird ja dann ein anderes Betriebssystem gestartet, welches das Windowssystem so gar nicht tangiert. Der eingesetzte Scanner erkennt aber die Viren auf der Festplatte und kann alle Dateien scannen. Dabei kann eine Windowsvire sich nicht aktiv wehren. Klar zerschießt er unter Umständen auch Windows - Systemdateien bei der Reinigung aber das sollte meistens mit einer Reparaturinstallation behoben werden können. Wenn nicht muss man halt Format C: machen. Aber ein Versuch ist es doch wert?

MfG BT

[edit]
link entfernt
GUA
[/edit]

Ich glaube ich habe mich hier infiziert. Vielleicht lässt sich ja rauskriegen wo es sich einnistet. Beziehungsweise vielleicht kann man de Datei (Downloadmanager) einem Antivirenhersteller zur Analyse schicken?

MfG Kwinz

Zitat:

Zitat von Kwinz

[edit]
link entfernt
GUA
[/edit]

Ich glaube ich habe mich hier infiziert. Vielleicht lässt sich ja rauskriegen wo es sich einnistet. Beziehungsweise vielleicht kann man de Datei (Downloadmanager) einem Antivirenhersteller zur Analyse schicken?

MfG Kwinz

Aber nümmer wenn du SP2 hast...oder doch:rolleyes:

Zitat:

Zitat von Nada01

Aber nümmer wenn du SP2 hast...oder doch:rolleyes:

Was hat das mit SP2 zu tun? :D

Lad mal die Datei runter, du kommst nicht direkt auf den Ultra-ISO-Installer sondern wirst zum Downloadmanager verlinkt.

MfG Kwinz

Hallo,

ich kann Die Datei nicht beurteilen, aber wenn sie zu Schädlingen führt, entferne bitte den Link schnellstmöglich.
Und über Nada01 brauchst Du Dich nicht wundern, bei der klemmt die Tastatur bei den Buchstaben "S", "P" und der "2" irgendwie. ;)

Gruß

Schrulli

Blöde Tastas ;)

Kann den Post nicht mehr editieren.
Ich hab die exe ja auch nicht direkt verlinkt. :D

Also was jetzt?

MfG Kwinz

Zitat:

Zitat von Kwinz

...Ich hab die exe ja auch nicht direkt verlinkt... :D

Zitat:

Zitat von NUB

Die Adresse des Links muss anstelle von http://www.seite.de auf h**p://www.seite.de verändert werden, sodass dadurch kein direktes Anklicken dieses potentiell gefährlichen Links möglich ist.

gegen die regeln verstoßen ist schlimm genug:pfui:
aber wer die sache dann noch ins lächerliche zieht, dem wünschen wir "alles gute" auf der reise in den virtuellen raum...

GUA

hallo allerseits,

also ich habe w32.myzor.fk@yf auf meinen rechner :balla:
ich weiß für einge hier das ewig-leidige thema, aber ich hab wirklich keine ahnung und normalerweise formatiere ich bei jedem virus die festplatte..

könnte das jemand mir analysieren und mir dann erklären was zu tun ist?:)
DANKEE

Logfile of HijackThis v1.99.1
Scan saved at 11:09:00, on 28.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\WinAntiVirus Pro 2006\FWSvc.exe
C:\Programme\Norton Internet Security\ISSVC.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\WinMediaCodec\isamonitor.exe
C:\Programme\WinMediaCodec\pmsngr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Athan\Athan.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\vb\vb.exe
C:\Programme\WinMediaCodec\pmmon.exe
C:\Programme\WinMediaCodec\isamini.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\WinAntiVirus Pro 2006\winav.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\Programme\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Versatel\Versatel.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopDisplay.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktopOE.exe
C:\Programme\Symantec\LiveUpdate\AUpdate.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\DIECAT~1\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://link0777.com/tracker/dtracker.asp?provider=1&version=19&redir=http://www.mazika.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1E9D26CE-15EB-44C2-8E17-985691884E06} - C:\WINDOWS\system32\fontextd.dll (file missing)
O2 - BHO: (no name) - {202a961f-23ae-42b1-9505-ffe3c818d717} - C:\Programme\WinMediaCodec\isaddon.dll
O2 - BHO: CIEIntegrator Object - {2178F3FB-2560-458F-BDEE-631E2FE0DFE4} - C:\Programme\WinAntiVirus Pro 2006\winpgi.dll
O2 - BHO: RXResultTracker Class - {59879FA4-4790-461c-A1CC-4EC4DE4CA483} - C:\Programme\RXToolBar\sfcont.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: IEFW Object - {B5141620-C2B2-4D95-9F0F-134D99C87AB0} - C:\Programme\WinAntiVirus Pro 2006\IEFWBHO.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\de\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: Protection Bar - {479fd0cf-5be9-4c63-8cda-b6d371c67bd5} - C:\Programme\WinMediaCodec\iesplugin.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [InstaFinderK] C:\Programme\INSTAFINK\InstaFinderK_inst.exe
O4 - HKLM\..\Run: [SemanticInsight] C:\Programme\RXToolBar\Semantic Insight\SemanticInsight.exe
O4 - HKLM\..\Run: [Athan] C:\Programme\Athan\Athan.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [vb] C:\Programme\vb\vb.exe /h
O4 - HKLM\..\Run: [Spy-Heal] C:\Programme\Spy-Heal\Spy-Heal.exe /h
O4 - HKLM\..\Run: [WinAntiVirusPro2006] C:\Programme\WinAntiVirus Pro 2006\winav.exe /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZN
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://link0777.com/tracker/dtracker.asp?provider=1&version=19&redir=http://www.mazika.com
O16 - DPF: {9B17FE0E-51F2-4692-8B32-8EFB805FC0E7} (HPObjectInstaller Class) - http://h30155.www3.hp.com/ediags/dd/install/guidedsolutions.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A8E3C8AB-3BE2-419A-B05E-D15C497FF717}: NameServer = 62.220.18.8 62.72.64.241
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - C:\Programme\RXToolBar\sfcont.dll
O21 - SSODL: eeler - {1559e6c1-7e5e-4461-9457-6a2dea85eb9f} - C:\WINDOWS\system32\titiau.dll
O23 - Service: Boonty Games - BOONTY - C:\Programme\Gemeinsame Dateien\BOONTY Shared\Service\Boonty.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Firewall service (FWSvc) - WinSoftware, Ltd. - C:\Programme\WinAntiVirus Pro 2006\FWSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Programme\Norton Internet Security\ISSVC.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe