Trojaner-Board - Durch MSN einen trojana namens ghost.exe gefangen!

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Durch MSN einen trojana namens ghost.exe gefangen! (https://www.trojaner-board.de/40485-msn-trojana-namens-ghost-exe-gefangen.html)

Durch MSN einen trojana namens ghost.exe gefangen!

Hallo,

Ich habe folgendes problem, also heute hab ich mti einer freundin gechattet und dann hat sie mir bilde geschickt, ich öffnete sie mit zip und dann kam ich drauf das es ein virus war!

Ich hab msn deinstalliert, virenscanner drüber laufen lassen!

gut es wurde alles entfernt nur jetzt entdeckt Mc afee immer einen trojaner!

Er heißt ghost.exe und er wurde im order C: install gefunden , gu tich geh dort rein, und sehe dort ne datei namens, x install, gut ich lösche es! abe rnach ca 20 mins kommt das gleiche nochmal!

Ich habe HiJackThis drüber laufen lassen:

Logfile of HijackThis v1.99.1
Scan saved at 13:04:20, on 01.07.2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
D:\Programme\ICQLite\ICQLite.exe
C:\Programme\QuickTime\qttask.exe
D:\Programme\Itunes\iTunesHelper.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\retadpu420.exe
C:\Programme\WinPop\winpop.exe
C:\WINDOWS\retadpu420.exe
C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
C:\PROGRA~1\McAfee\MSC\mcusrmgr.exe
C:\PROGRA~1\McAfee\MSC\mcupdmgr.exe
C:\PROGRA~1\McAfee\MSC\mclogsrv.exe
C:\PROGRA~1\McAfee\MSC\mctskshd.exe
c:\programme\gemeinsame dateien\mcafee\mna\mcnasvc.exe
c:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
C:\Programme\Gemeinsame Dateien\McAfee\HackerWatch\HWAPI.exe
c:\PROGRA~1\GEMEIN~1\mcafee\redirsvc\redirsvc.exe
C:\PROGRA~1\GEMEIN~1\McAfee\EmProxy\emproxy.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
C:\Programme\McAfee\MPF\MPFSrv.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\Programme\SiteAdvisor\6066\SAService.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\SiteAdvisor\6066\SiteAdv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\WINDOWS\retadpu420.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
c:\programme\mcafee\msc\mcshell.exe
C:\WINDOWS\retadpu420.exe
I:\HiJackThis\HijackThis.exe

O2 - BHO: (no name) - {089FD14D-132B-48FC-8861-0048AE113215} - C:\Programme\SiteAdvisor\6066\SiteAdv.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\programme\mcafee\virusscan\scriptsn.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee SiteAdvisor - {0BF43445-2F28-4351-9252-17FE6E806AA0} - C:\Programme\SiteAdvisor\6066\SiteAdv.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ICQ Lite] "D:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\Programme\Itunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\retadpu420.exe 61A847B5BBF72816309B284503996897C881250221C8670836AC4FA7C8833201749139
O4 - HKLM\..\Run: [0298931183281031mcinstcleanup] C:\DOKUME~1\michi\LOKALE~1\Temp\029893~1.EXE C:\PROGRA~1\GEMEIN~1\McAfee\INSTAL~1\cleanup.ini -cleanup -nolog
O4 - HKLM\..\Run: [SiteAdvisor] C:\Programme\SiteAdvisor\6066\SiteAdv.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WinPop] C:\Programme\WinPop\winpop.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1020809637920
O17 - HKLM\System\CCS\Services\Tcpip\..\{87EFB99B-2E23-4DEA-B641-FFD0000C0087}: NameServer = 192.168.1.1
O18 - Protocol: siteadvisor - {3A5DC592-7723-4EAA-9EE6-AF4222BCF879} - C:\Programme\SiteAdvisor\6066\SiteAdv.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O21 - SSODL: system32 - {20DF20F0-9EFB-4EB3-8C93-1FBFB8751F35} - sysprinters.dll (file missing)
O23 - Service: McAfee E-mail Proxy (Emproxy) - McAfee, Inc. - C:\PROGRA~1\GEMEIN~1\McAfee\EmProxy\emproxy.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: McAfee HackerWatch Service - McAfee, Inc. - C:\Programme\Gemeinsame Dateien\McAfee\HackerWatch\HWAPI.exe
O23 - Service: McAfee Log Manager (McLogManagerService) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mclogsrv.exe
O23 - Service: McAfee Update Manager (mcmispupdmgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcupdmgr.exe
O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\programme\gemeinsame dateien\mcafee\mna\mcnasvc.exe
O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
O23 - Service: McAfee Protection Manager (mcpromgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
O23 - Service: McAfee Redirector Service (McRedirector) - McAfee, Inc. - c:\PROGRA~1\GEMEIN~1\mcafee\redirsvc\redirsvc.exe
O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
O23 - Service: McAfee Task Scheduler (mctskshd.exe) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mctskshd.exe
O23 - Service: McAfee User Manager (mcusrmgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcusrmgr.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee, Inc. - C:\Programme\McAfee\MPF\MPFSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SiteAdvisor Service - McAfee, Inc. - C:\Programme\SiteAdvisor\6066\SAService.exe

Hoffe das mein post genau genug ist, und um baldige Hife !

Brail

Edith: Es steht auch irgendwas mit downloader XI oder so!
und wenn Mcafee es blockt, erscheint ein runtime fehler :53!

Hallo,

habe zur Zeit das selbe Problem....

was ich bis jetzt gemacht habe, ist ermal die RunDLL32.exe im System 32 Ordner gekillt...

hier mal mein HijackThis Log

Logfile of HijackThis v1.99.1
Scan saved at 13:58:04, on 01.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS.0\System32\smss.exe
C:\WINDOWS.0\system32\winlogon.exe
C:\WINDOWS.0\system32\services.exe
C:\WINDOWS.0\system32\lsass.exe
C:\WINDOWS.0\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS.0\System32\svchost.exe
C:\WINDOWS.0\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\WINDOWS.0\system32\CTsvcCDA.exe
C:\WINDOWS.0\system32\nvsvc32.exe
C:\WINDOWS.0\system32\svchost.exe
C:\WINDOWS.0\Explorer.EXE
C:\WINDOWS.0\CTHELPER.EXE
C:\Programme\Saitek\Software\ProfilerU.exe
C:\Programme\Saitek\Software\SaiMfd.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\P_zero.exe
C:\WINDOWS.0\system32\ctfmon.exe
D:\System\AntiVir Workstation\avgnt.exe
D:\System\AntiVir Workstation\sched.exe
D:\System\AntiVir Workstation\avguard.exe
D:\System\AntiVir Workstation\avesvc.exe
D:\System\AntiVir Workstation\avmailc.exe
D:\System\AntiVir Workstation\avcenter.exe
D:\Instant Messenger\Miranda\miranda32.exe
D:\System\AntiVir Workstation\avscan.exe
C:\WINDOWS.0\system32\taskmgr.exe
D:\INTERNET\MOZILL~2\FIREFOX.EXE
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Internet\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS.0\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [Profiler] C:\Programme\Saitek\Software\ProfilerU.exe
O4 - HKLM\..\Run: [SaiMfd] C:\Programme\Saitek\Software\SaiMfd.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Office\Adobe Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [tsnpstd3] C:\WINDOWS.0\tsnpstd3.exe
O4 - HKLM\..\Run: [snpstd3] C:\WINDOWS.0\vsnpstd3.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [WZShutdown] C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\P_zero.exe -hide
O4 - HKLM\..\Run: [QuickTime Task] "D:\Multimedia\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TalkAndWrite] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype\Plugins\Plugins\1163D2B46CC742E5A3CC9E4157887751\TalkAndWrite.exe /run
O4 - HKLM\..\Run: [Muvixer] D:\System\Muvixer\Muvixer.exe
O4 - HKLM\..\Run: [avgnt] "D:\System\AntiVir Workstation\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS.0\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools] "D:\System\DAEMON Tools\daemon.exe" -lang 1033
O4 - Global Startup: Microsoft Office.lnk = D:\Office\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\Office\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O10 - Broken Internet access because of LSP provider 'avsda.dll' missing
O11 - Options group: [INTERNATIONAL] International*
O11 - Options group: [TABS] Tabbed Browsing
O17 - HKLM\System\CCS\Services\Tcpip\..\{C87CCB0D-4A9A-4927-9DE6-5E545EF65ED6}: NameServer = 87.245.0.34 87.245.0.35
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Programme\Gemeinsame Dateien\Skype\Skype4Com.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS.0\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir Windows Workstation MailGuard (AntiVirMailService) - Avira GmbH - D:\System\AntiVir Workstation\avmailc.exe
O23 - Service: AntiVir Windows Workstation Planer (AntiVirScheduler) - Avira GmbH - D:\System\AntiVir Workstation\sched.exe
O23 - Service: AntiVir Windows Workstation Guard (AntiVirService) - Avira GmbH - D:\System\AntiVir Workstation\avguard.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: AntiVir Windows Workstation MailGuard Hilfsdienst (AVEService) - Avira GmbH - D:\System\AntiVir Workstation\avesvc.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS.0\system32\CTsvcCDA.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - D:\Graphics\3DS Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS.0\system32\nvsvc32.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nc) (pr2ah4nc) - CODEMASTERS - C:\WINDOWS.0\system32\pr2ah4nc.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - D:\System\Alcohol 120\StarWind\StarWindServiceAE.exe

@Brail: Vergiss es, dein System kannste plattmachen. Da fehlen jegliche Updates, alles andere als ein Neuaufsetzen wäre reine Zeitverschwendung.

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

@xSkaschY: Mach für dich bitte einen eigenen Thread auf!

@consinus , bist du sicher das ich neuaufsetzen muss? Hab jetzt den ganzen tag verscuht das problem zu beheben, und jetzt denke ich hab ich das problem gefunden, entfernt! ich hab alle updates nachgeholt virenscanner etc geupdatet, und im abgesciherten modus gescannt!

Jetzt funktzioniert eig alles! :/

Zitat:

Zitat von Brail (Beitrag 276489)

Ja, ich bin mir sicher. Und jetzt solltest du verantwortungsvoll handeln und das System neu aufsetzen.

Hallo,

Zitat:

Hab jetzt den ganzen tag verscuht das problem zu beheben

Im gleichen Zeitrahmen hättest du auch neu aufsetzen können...
Mit der absoluten Gewissheit eine saubere Kiste zu haben...

Zitat:

jetzt denke ich hab ich das problem gefunden, entfernt

Das ist was du denkst....
Frage doch mal deine Backdoors,wie die das sehen....:rolleyes:

Zitat:

ich hab alle updates nachgeholt virenscanner etc geupdatet, und im abgesciherten modus gescannt!

Tja ..dann....wenn du mit der Ungewißheit leben willst und kannst.....:(
Kleiner Tip von mir......
Richte dir mal ein Köfferchen mit allem Notwendigen was man so braucht, wenn man morgens um vier Uhr vom SEK-Kommando aus dem Schlaf gerissen wird weil die Eingangstüre splittert...:heilig:
Irrlicht

*würg^^ hab den pc erst neuaufgesetzt!

Naja sollte mich wohl mal etwas mehr mti dem Thema befassen!

Grüße Brail

Was ist ein backdoor??

Newb frage :)

Hallo,
zum befassen hier guggen :

http://www.trojaner-board.de/12154-a...sicherung.html

zum Begriffe feststellen hier guggen :

Google

oder bei den vielen Helfern mal einen Blick in die Signatur tun...:party:

Irrlicht

Hallo,

Hmm ja nur bevor ich jetzt wirklich neuaufsetze, werde ich nochmal im abgesicherten modus alles drüberlaufen lassen, windows updates hab ich auch alle oben!

Ich werde meinen comp allerding vom internet/netzwerk trennen!

Und euch dann aber noch einmal hijackthis und solche sachen eben linken !

Um ein letzes mal professionelle hilfe in anspruch zu nehmen!

Naja bis dann :)

Ps: wenn ihr selbst dann noch meint, nein weg damit^^ werde ich es machen *heul :)

Lg brail

Zitat:

werde ich nochmal im abgesicherten modus alles drüberlaufen lassen, windows updates hab ich auch alle oben!

Was willst du damit bezwecken? Kompromittiert bleibt kompromittiert bis neu aufgesetzt wurde.

Zitat:

Ich werde meinen comp allerding vom internet/netzwerk trennen!

Das ist löblich.

Zitat:

Und euch dann aber noch einmal hijackthis und solche sachen eben linken !

Ist unnötig, es läuft alles auf ein Neuaufsetzen hinaus. => Warum man bei Infektionen den Rechner neu installieren sollte...