Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   protector.exe (https://www.trojaner-board.de/34943-protector-exe.html)

Black Sliver 04.01.2007 03:19
protector.exe
 
Hi!

Also... ich hab laut Kerio Personal Firewall einen Prozess, der extrem viele Connections herstellt / herstellen will. (siehe Screenshot)
Wie man dem Screenshot entnehmen kann liegt die exe angäblich in C:\Windows\System32, dort is sie aber laut explorer und total commander nicht.

AntiVir und Spybot finden auch nix dazu und im hijackthis log find ich auch irgendwie nix, was darauf hinweisen könnte.. ich bin echt schon am verzweifeln :heulen:


Screenshot:
http://bws.tbt.at/users/blacksliver/...tor_screen.png

hijackthis.log
Code:
Logfile of HijackThis v1.99.1
Scan saved at 02:58:46, on 04.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Programme\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Skype\Plugin Manager\SkypePM.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Mozilla Thunderbird\thunderbird.exe
C:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = IE
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: (no name) - {E5A1691B-D188-4419-AD02-90002030B8EE} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163862715543
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1163863935171
O17 - HKLM\System\CCS\Services\Tcpip\..\{D1A292B8-6647-48B0-87AE-EC0488035FE3}: NameServer = 192.168.2.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Skype\Plugin Manager\Skype4COM.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: FileZilla Server FTP server (FileZilla Server) - FileZilla Project - C:\Programme\FileZilla Server\FileZilla Server.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Programme\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Black Sliver 04.01.2007 05:02
Hi!

Scheinbar hat sich mein Problem von selbst gelöst ^^
Also:
Ich hab mir mal Bit Defender gesaugt um zu schaun, ob der vielleich was findet..
Nach dem Setup muss man ja bekanntlich neustarten.
Hab das gemacht, hab mich eingeloggt und schwupp kam AntiVir damit, dass es einen Trojaner gefunden hat "protector.exe". Ich hab 3x auf Löschen geklickt; es hatte den Anschein als würde der Dreck nicht löschen gehn. Plötzlich taucht ein Fenster auf "Windows muss beendet werden blablabla irgendeine Systemdatei blablabla". Nach einem weiteren Neustart war der Eintrag in der Firewall weg Oo.

Mich würd eigentlich trotzdem interessieren, (1.) was dieser Trojan/Virus jetzt eigentlich war und (2.) was da fürn sch*** abgegangen is nach dem 1. Neustart ^^


EDIT: Hab da noch ne generelle Frage: Warum kann man den ersten Post in nem Topic nich editieren ?!

Minifutzi 11.01.2007 12:23
Also ich hab auch diesen Protector und werde ihn leider nicht los. Antivir findet ihn nicht und da wo er angeblich sein sollte steht er nicht.

Konnte mir bei sowas bisher immer ganz gut mit dem Security Task Manager helfen aber selbst der kann den Prozess nicht beenden.

Hilfe erwünscht.

ezak 11.01.2007 13:19
Hallo Minifutzi,

hast du schon versucht, die exe Datei mit dem Security Task Manager im abgesicherten Modus von Windows zu löschen ?

Solltest du die Datei nicht finden, deaktivier unter dem Explorer -> Extras -> Ordneroption -> Ansicht -> Geschützte Systemdateien ausblenden, Erweiterung bei bekannten Datentypen ausblenden und aktivier Inhalte von Systemordner anzeigen und Alle Dateien und Ordner anzeigen.

Aber auch das Programm Blacklight RootKit Eliminator kann helfen, da dieses Programm verstecke Prozesse anzeigen kann. Solltest du eine exe nicht benden können, die du aber gefunden hast, hilft das Tool KillBox.exe, welches auch im laufenden Prozess Dateien benden kann.

Nette Grüße
David

MightyMarc 11.01.2007 14:24
Zitat:
Zitat von Minifutzi (Beitrag 248263)
Also ich hab auch diesen Protector und werde ihn leider nicht los. Antivir findet ihn nicht und da wo er angeblich sein sollte steht er nicht.
Erstelle bitte einen eigenen Thread für Dein Problem. Danke.


Alle Zeitangaben in WEZ +1. Es ist jetzt 02:26 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55