|
SocksA.exe und FileKan.exe! Hallo, in meinem Ordner system32 in Windows habe ich 2 dateien, die trojaner sind. Nach malware scan als: Trojan.Win32.VB.atg, TR/VB.atg.2 oder Trojan.Vb.Atg identifiziert. Wenn ich die 2 Dateien einfach lösche erscheinen die nach einem Neustart wieder. Da sie auch im system32 ordner sind wollte ich fragen, wie man das professionell angeht. mfg |
Hi, ein TB-erfahrener User weiß bestimmt, dass als erstes die Frage nach dem Hijackthis kommt ;) Gruß, Karl |
Logfile of HijackThis v1.99.1 Scan saved at 15:58:18, on 23.09.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16512) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\Mixer.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\MSN Messenger\msnmsgr.exe C:\Programme\MSN Messenger\usnsvc.exe C:\Programme\Winamp\Winamp.exe C:\PROGRA~1\Mozilla Firefox\firefox.exe C:\Programme\MSN Messenger\msnmsgr.exe C:\Dokumente und Einstellungen\p@ghm@ni\Eigene Dateien\Meine Programme\S E C U R I T Y\hijackthis\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: (no name) - {E810EF9B-F363-451B-A219-EC6EC00719CC} - C:\WINDOWS\System32\awtss.dll (file missing) O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [ASocksrv] SocksA.exe O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [BSserver] FileKan.exe O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background O4 - Startup: NVIDIA nView-Desktop-Manager.lnk = C:\WINDOWS\system32\nvtuicpl.cpl O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra button: Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra button: MedionShop - {543CDDE7-DF47-47DD-9339-0B023AC5DCA8} - http://www.medionshop.de (file missing) (HKCU) O11 - Options group: [INTERNATIONAL] International* O14 - IERESET.INF: START_PAGE_URL=http://www.medion.de O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1157190506218 O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing) O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing) O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe O23 - Service: Windows Update Manager (UpdateManager) - Unknown owner - C:\WINDOWS\update\updmgr.exe (file missing) O23 - Service: Microsoft Windows Spool Service (Windows Spool Service) - Unknown owner - C:\WINDOWS\wdfmgr.exe (file missing) |
Da hast Du ja voll zugelangt: Code: O2 - BHO: (no name) - {E810EF9B-F363-451B-A219-EC6EC00719CC} - C:\WINDOWS\System32\awtss.dll (file missing)
Hier sind zwei Seiten, wo Du gefundene Dateien hochladen kannst, damit sie mit mehreren Scannern untersucht werden.Mach das mit folgender/n Datei/en auf einer dieser beiden Seiten, bevorzugt bei VirusTotal:
Beim Googeln habe ich ein Log von dem System gefunden, fast ein Jahr alt. Schon damals war es schwer verseucht ohne dass was passierte. Ist wohl die beste Idee, es einfach mal wieder neu zu machen, noch dazu einige dieser Einträge einen Backdoorverdacht bedeuten. |
Hallo, danke erstmal für die Antwort. Hallo, Datei SocksA.exe empfangen 2007.09.24 12:58:41 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 31/32 (96.88%) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.9.22.0 2007.09.21 Win-Trojan/VB.49152.C AntiVir 7.6.0.15 2007.09.24 TR/VB.atg.2 Authentium 4.93.8 2007.09.23 W32/Worm.AOC Avast 4.7.1043.0 2007.09.24 Win32:Trojan-gen. {VB} AVG 7.5.0.485 2007.09.23 Generic2.GCE BitDefender 7.2 2007.09.24 Win32.Worm.VB.BO CAT-QuickHeal 9.00 2007.09.24 Trojan.VB.atg ClamAV 0.91.2 2007.09.24 Trojan.VB-283 DrWeb 4.33 2007.09.24 Trojan.Kanfile eSafe 7.0.15.0 2007.09.23 Win32.Whybo eTrust-Vet 31.2.5159 2007.09.24 Win32/Cacfu.E Ewido 4.0 2007.09.20 Trojan.VB.atg FileAdvisor 1 2007.09.24 High threat detected Fortinet 3.11.0.0 2007.09.24 W32/VB.ATG!tr F-Prot 4.3.2.48 2007.09.23 W32/TrojanX.QEW F-Secure 6.70.13030.0 2007.09.24 Trojan.Win32.VB.atg Ikarus T3.1.1.12 2007.09.24 Trojan.Win32.VB.atg Kaspersky 4.0.2.24 2007.09.24 Trojan.Win32.VB.atg McAfee 5125 2007.09.21 W32/USBAgent Microsoft 1.2803 2007.09.24 Worm:Win32/Cacfu.B NOD32v2 2546 2007.09.24 Win32/VB.EL Norman 5.80.02 2007.09.24 W32/VBTroj.EHJ Panda 9.0.0.4 2007.09.24 Trj/VB.RZ Prevx1 V2 2007.09.24 - Rising 19.42.02.00 2007.09.24 Trojan.VB.vtj Sophos 4.21.0 2007.09.24 Troj/VB-CWP Sunbelt 2.2.907.0 2007.09.22 Trojan.Win32.VB.atg Symantec 10 2007.09.24 W32.SillyFDC TheHacker 6.2.5.067 2007.09.24 Trojan/VB.atg VBA32 3.12.2.4 2007.09.23 Trojan.Win32.VB.atg VirusBuster 4.3.26:9 2007.09.23 Backdoor.VB.ESE Webwasher-Gateway 6.0.1 2007.09.24 Trojan.VB.atg.2 weitere Informationen File size: 49152 bytes MD5: d88f7c6c15585404c30c92a11c429c36 SHA1: af2120915a1eeada68f62ab437ccb0c563675f3e Bit9 info: http://fileadvisor.bit9.com/services/extinfo.aspx?md5=d88f7c6c15585404c30c92a11c429c36 Datei FileKan.exe empfangen 2007.09.24 13:01:56 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 31/32 (96.88%) Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.9.22.0 2007.09.21 Win-Trojan/VB.49152.C AntiVir 7.6.0.15 2007.09.24 TR/VB.atg.2 Authentium 4.93.8 2007.09.23 W32/Worm.AOC Avast 4.7.1043.0 2007.09.24 Win32:Trojan-gen. {VB} AVG 7.5.0.485 2007.09.23 Generic2.GCE BitDefender 7.2 2007.09.24 Win32.Worm.VB.BO CAT-QuickHeal 9.00 2007.09.24 Trojan.VB.atg ClamAV 0.91.2 2007.09.24 Trojan.VB-283 DrWeb 4.33 2007.09.24 Trojan.Kanfile eSafe 7.0.15.0 2007.09.23 Win32.Whybo eTrust-Vet 31.2.5159 2007.09.24 Win32/Cacfu.E Ewido 4.0 2007.09.20 Trojan.VB.atg FileAdvisor 1 2007.09.24 High threat detected Fortinet 3.11.0.0 2007.09.24 W32/VB.ATG!tr F-Prot 4.3.2.48 2007.09.23 W32/TrojanX.QEW F-Secure 6.70.13030.0 2007.09.24 Trojan.Win32.VB.atg Ikarus T3.1.1.12 2007.09.24 Trojan.Win32.VB.atg Kaspersky 4.0.2.24 2007.09.24 Trojan.Win32.VB.atg McAfee 5125 2007.09.21 W32/USBAgent Microsoft 1.2803 2007.09.24 Worm:Win32/Cacfu.B NOD32v2 2546 2007.09.24 Win32/VB.EL Norman 5.80.02 2007.09.24 W32/VBTroj.EHJ Panda 9.0.0.4 2007.09.24 Trj/VB.RZ Prevx1 V2 2007.09.24 - Rising 19.42.02.00 2007.09.24 Trojan.VB.vtj Sophos 4.21.0 2007.09.24 Troj/VB-CWP Sunbelt 2.2.907.0 2007.09.22 Trojan.Win32.VB.atg Symantec 10 2007.09.24 W32.SillyFDC TheHacker 6.2.5.067 2007.09.24 Trojan/VB.atg VBA32 3.12.2.4 2007.09.23 Trojan.Win32.VB.atg VirusBuster 4.3.26:9 2007.09.23 Backdoor.VB.ESE Webwasher-Gateway 6.0.1 2007.09.24 Trojan.VB.atg.2 weitere Informationen File size: 49152 bytes MD5: d88f7c6c15585404c30c92a11c429c36 SHA1: af2120915a1eeada68f62ab437ccb0c563675f3e Bit9 info: http://fileadvisor.bit9.com/services/extinfo.aspx?md5=d88f7c6c15585404c30c92a11c429c36 Die anderen 3 Dateien ließen sich auch mit den Einstellungen und mit der Suchfunktion nicht finden. mfg |
Hab mich noch ein wenig durch deine gesammelten Threads hier gelesen, und dabei hat sich der Eindruck vesrstärkt, dass das System mal eine Runderneuerung gebrauchen könnte, sprich Systempartition formatieren und neu installieren. Wenn dir das nicht zusagt (ich kann mir das doch glatt vorstellen), dann lösche die beiden Dateien und auf zum nächsten Problem. |
Hallo KarlKarl, ich nehme deinen Tip gerne an, jedoch ist das Problem, dass ich dann die ganzen Programme (Scanner, Drucker, sonstige Progs) neu installieren müsste...meine dateien könnte ich auf D verschieben, aber das mit den ganzen Programmen usw...die beiden Dateien einfach zu löschen geht ja nicht, weil sie nach einem Neustart wieder da sind. mfg |
Programme neu installieren gehört auch dazu. Ich habe eine Menge deiner Threads hier gelesen und mir ist aufgefallen, dass es in dem System andauernd Probleme gibt und immer wieder Sachen klemmen. Der letzte O23 Eintrag dürfte eine Backdoor sein oder gewesen sein, im Zeitalter der Rootkits kann man sich da nicht so sicher sein. Wenn die Dateien nach dem löschen wieder auftauchen, heißt das, dass auf deinem System noch was versteckt ist, was sie wieder herstellt. Eine aufwendige Untersuchung bis in die letzten Abgründe von Windows dauert mit Sicherheit länger als die Neuinstallation, ohne dass sie die Sicherheit bietet, dass wirklich alles in Ordnung kommt. Und so ganz nebenbei würde die Neuinstallation dafür sorgen, dass dann wieder alles in Ordnung ist. Ist wirklich eine Empfehlung, schließlich willst Du mit dem Computer ja wohl andere Sachen machen, als die Ursachen von Problemen zu suchen. |
HI karlkarl, ja du hast mit Sicherheit Recht...nur habe ich mit meinem PC keinerlei Probleme..also, Programme stürzen nicht von allein ab, der Pc selbst stürzt nicht einfach so ab...laut meinen alten Beiträgen könnte der Eindruck erweckt sein, ich habe so ziemlich 0 Ahnung davon, aber so ganz auf den Kopf gefallen bin ich nun auch nicht..ich klicke nicht auf jeden Link..emails, die ich nicht kenne landen sofort in den Papierkorb, keine Ausführung irgendwelcher exe.dateien usw. Naja, jednefalls läuft der Rechner prima, nur halt die 2 dateien.. mfg |
Na wenn Du keine Probleme hast, ich habe auch keine. Dann war der ganze Thread ja überflüssig. |
Wie gesagt ging es mir nur um eine Hilfestellung, diese 2 Dateien los zu werden...ob ich nun mein System neu aufsetzen soll, ist zwar ein gut gemeinter Rat, befriedigt mich persönlich allerdings nicht. Also wenn jemand weiß, wie das gehen soll, bitte melden. mfg |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 16:56 Uhr. |
Copyright ©2000-2024, Trojaner-Board