|
Help: TR/Dldr.ConHook.SM Hallo Ihr, ich brauche dringend Hilfe. Habe mir den Trojaner TR/Dldr.ConHook.SM eingefangen und bekomme ihn trotz Einsatzes verschiedener Schädlingsbekämpfer nicht mehr weg. AntiVir blinkt alle zwei Minuten auf und sagt, es habe ihn gefunden, klicke ich auf löschen etc. tut sich nichts :(, im gegenteil nach ein paar Sekunden geht es wieder von vorn los. Auffällig ist, das auch Norton kapituliert und der Zugriff des Erasers auf die Dateien verweigert wird, angeblich hat der Aministrator dieses deaktiviert:confused: Anbei mein logfile von Hijackthis: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14:14:27, on 03.06.2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe C:\Programme\COMODO\Firewall\cmdagent.exe C:\WINDOWS\system32\nvsvc32.exe C:\Programme\Spyware Doctor\pctsAuxs.exe C:\Programme\Spyware Doctor\pctsSvc.exe C:\Programme\Spyware Doctor\pctsTray.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\SOUNDMAN.EXE C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe C:\Programme\COMODO\Firewall\cfp.exe C:\Programme\Java\jre1.6.0_04\bin\jusched.exe C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\OpenOffice.org 2.4\program\soffice.exe C:\Programme\OpenOffice.org 2.4\program\soffice.BIN C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe C:\PROGRA~1\MOZILL~1\FIREFOX.EXE C:\Programme\Java\jre1.6.0_04\bin\jucheck.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe C:\WINDOWS\system32\wbem\wmiprvse.exe O3 - Toolbar: gktxaspm - {AE7C2D7A-58B4-4DDD-904F-E089A9514E0F} - C:\WINDOWS\gktxaspm.dll O3 - Toolbar: Norton-Symbolleiste anzeigen - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\2.0\CoIEPlg.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programme\COMODO\Firewall\cfp.exe" -h O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_04\bin\jusched.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton Internet Security\osCheck.exe" O4 - HKLM\..\Run: [b4846fe8] rundll32.exe "C:\WINDOWS\system32\abrlxdut.dll",b O4 - HKLM\..\Run: [BMb7b75c74] Rundll32.exe "C:\WINDOWS\system32\jqciefvh.dll",s O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [AntispywareBot] C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_04\bin\ssv.dll O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU) O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU) O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Programme\COMODO\Firewall\cmdagent.exe O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe O23 - Service: LiveUpdate - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\LuComServer_3_4.EXE O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe -- End of file - 6362 bytes Ich hoffe jemand kann mir helfen:( :heulen: Mooseoiler33 |
Tönt nich schön:balla: Hallo erstmal Also bitte fixe mit Hijackthis folgende Einträge: O3 - Toolbar: gktxaspm - {AE7C2D7A-58B4-4DDD-904F-E089A9514E0F} - C:\WINDOWS\gktxaspm.dll O4 - HKLM\..\Run: [b4846fe8] rundll32.exe "C:\WINDOWS\system32\abrlxdut.dll",b O4 - HKLM\..\Run: [BMb7b75c74] Rundll32.exe "C:\WINDOWS\system32\jqciefvh.dll",s O4 - HKCU\..\Run: [AntispywareBot] C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot Wurde dir zu Bekämpfung per Zufall ein Programm angeboten das du gedownloadet hast? Wenn ja könnte es sein das es AntispywareBot geheissen hat :rolleyes: Bitte lade folgende Dateien bei Jotti oder Virustotal hoch und poste die Ergebniss :daumenhoc C:\WINDOWS\gktxaspm.dll C:\WINDOWS\system32\abrlxdut.dll C:\WINDOWS\system32\jqciefvh.dll C:\Programme\AntiSpywareBot\AntispywareBot.exe -boot Bitte lade dir anschliessend das Tool ComboFix und wende es entsprechen Anleitung an und poste den Report, danke:) |
Hallo Erstmal, ich möchte mich vorweg für die schnelle und kompente Antwort bedanken. Es ist wirklich schön zu sehen, dass es noch Menschen gibt, die versuchen zu helfen! Dafür einen ganz großen Daumen hoch!! Ich habe die Anweisungen nach besten Wissen und Gewissen befolgt und hier sind die Resultate: A. Datei Scan bei Virustotal: 1. Datei Datei gktxaspm.dll empfangen 2008.06.05 10:30:18 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 17/32 (53.13%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: ___. Geschätzte Startzeit is zwischen ___ und ___ . Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Filter Drucken der Ergebnisse Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2008.5.30.1 2008.06.05 - AntiVir 7.8.0.26 2008.06.05 ADSPY/AdSpy.Gen Authentium 5.1.0.4 2008.06.04 W32/Adware-Vapsup!Maximus Avast 4.8.1195.0 2008.06.05 - AVG 7.5.0.516 2008.06.04 Downloader.Zlob.SE BitDefender 7.2 2008.06.05 - CAT-QuickHeal 9.50 2008.06.04 - ClamAV 0.92.1 2008.06.04 - DrWeb 4.44.0.09170 2008.06.05 - eSafe 7.0.15.0 2008.06.04 - eTrust-Vet 31.6.5849 2008.06.05 Win32/Pripecs!generic Ewido 4.0 2008.06.04 Trojan.Vapsup.frw F-Prot 4.4.4.56 2008.06.04 W32/Adware-Vapsup!Maximus F-Secure 6.70.13260.0 2008.06.05 Trojan.Win32.Vapsup.frw Fortinet 3.14.0.0 2008.06.05 - GData 2.0.7306.1023 2008.06.05 Trojan.Win32.Vapsup.frw Ikarus T3.1.1.26.0 2008.06.05 AdWare.AdSpy Kaspersky 7.0.0.125 2008.06.05 Trojan.Win32.Vapsup.frw McAfee 5310 2008.06.04 - Microsoft 1.3604 2008.06.05 Trojan:Win32/Zlob.C NOD32v2 3159 2008.06.05 - Norman 5.80.02 2008.06.04 - Panda 9.0.0.4 2008.06.05 - Prevx1 V2 2008.06.05 Malware Downloader Rising 20.47.30.00 2008.06.05 Trojan.DL.Win32.Zlob.gbo Sophos 4.30.0 2008.06.05 - Sunbelt 3.0.1145.1 2008.06.05 Adware.NetAdware.Gen Symantec 10 2008.06.05 - TheHacker 6.2.92.335 2008.06.05 Trojan/Vapsup.frw VBA32 3.12.6.7 2008.06.04 Trojan.Win32.Vapsup.frw VirusBuster 4.3.26:9 2008.06.04 - Webwasher-Gateway 6.6.2 2008.06.05 Ad-Spyware.AdSpy.Gen 2. Datei Datei abrlxdut.dll empfangen 2008.06.05 10:35:08 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 16/32 (50%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: ___. Geschätzte Startzeit is zwischen ___ und ___ . Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Filter Drucken der Ergebnisse Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2008.5.30.1 2008.06.05 - AntiVir 7.8.0.26 2008.06.05 ADSPY/Virtumonde.xmw Authentium 5.1.0.4 2008.06.04 - Avast 4.8.1195.0 2008.06.05 Win32:Vundo@dll AVG 7.5.0.516 2008.06.04 Generic10.AHPK BitDefender 7.2 2008.06.05 Trojan.Vundo.EQW CAT-QuickHeal 9.50 2008.06.04 Trojan.Vundo.gen ClamAV 0.92.1 2008.06.04 - DrWeb 4.44.0.09170 2008.06.05 - eSafe 7.0.15.0 2008.06.04 - eTrust-Vet 31.6.5849 2008.06.05 Win32/Nisrest.AC Ewido 4.0 2008.06.04 - F-Prot 4.4.4.56 2008.06.04 - F-Secure 6.70.13260.0 2008.06.05 - Fortinet 3.14.0.0 2008.06.05 - GData 2.0.7306.1023 2008.06.05 Win32:Vundo Ikarus T3.1.1.26.0 2008.06.05 Virus.Win32.Vundo@dll Kaspersky 7.0.0.125 2008.06.05 not-a-virus:AdWare.Win32.Virtumonde.xmw McAfee 5310 2008.06.04 - Microsoft 1.3604 2008.06.05 Trojan:Win32/Vundo.gen!E NOD32v2 3159 2008.06.05 Win32/Adware.Virtumonde Norman 5.80.02 2008.06.04 - Panda 9.0.0.4 2008.06.05 - Prevx1 V2 2008.06.05 Fraudulent Security Program Rising 20.47.30.00 2008.06.05 - Sophos 4.30.0 2008.06.05 Troj/ConHook-AN Sunbelt 3.0.1145.1 2008.06.05 - Symantec 10 2008.06.05 Trojan.Adclicker TheHacker 6.2.92.335 2008.06.05 Adware/Virtumonde.xmw VBA32 3.12.6.7 2008.06.04 - VirusBuster 4.3.26:9 2008.06.04 - Webwasher-Gateway 6.6.2 2008.06.05 Ad-Spyware.Virtumonde.xmw 3. Datei Datei jqciefvh.dll empfangen 2008.06.05 10:37:31 (CET) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 5/32 (15.63%) Authentium 5.1.0.4 2008.06.04 - Avast 4.8.1195.0 2008.06.05 Win32:Vundo@dll AVG 7.5.0.516 2008.06.04 - BitDefender 7.2 2008.06.05 - CAT-QuickHeal 9.50 2008.06.04 - ClamAV 0.92.1 2008.06.04 - DrWeb 4.44.0.09170 2008.06.05 - eSafe 7.0.15.0 2008.06.04 - eTrust-Vet 31.6.5849 2008.06.05 - Ewido 4.0 2008.06.04 - F-Prot 4.4.4.56 2008.06.04 - F-Secure 6.70.13260.0 2008.06.05 - Fortinet 3.14.0.0 2008.06.05 - GData 2.0.7306.1023 2008.06.05 Win32:Vundo Ikarus T3.1.1.26.0 2008.06.05 - Kaspersky 7.0.0.125 2008.06.05 - McAfee 5310 2008.06.04 - Microsoft 1.3604 2008.06.05 Trojan:Win32/Vundo.EL NOD32v2 3159 2008.06.05 - Norman 5.80.02 2008.06.04 - Panda 9.0.0.4 2008.06.05 - Prevx1 V2 2008.06.05 Fraudulent Security Program Rising 20.47.30.00 2008.06.05 - Sophos 4.30.0 2008.06.05 - Sunbelt 3.0.1145.1 2008.06.05 - Symantec 10 2008.06.05 - TheHacker 6.2.92.335 2008.06.05 - VBA32 3.12.6.7 2008.06.05 - VirusBuster 4.3.26:9 2008.06.04 - Webwasher-Gateway 6.6.2 2008.06.05 Win32.Malware.gen (suspicious) 4. Datei Konnte ich leider nicht finden :-(. Habe nur Spywarebot.exe gefunden ohne -boot hintendran.:confused: B. ComboFix ging bei mir nicht :dummguck::(. Habe Antivir, Meine Firewall und Norton, Spyware Dr. deaktiviert. Trotzdem lädet Combofix nur ganz kurz undes passiert nichts:-( Die gute Nachricht ist, dass ich immerhin meinen taskmanager wiederherstellen konnte;-) Hoffe meine logfiles helfen weiter. Mooseoiler |
Sehr gut ;) Das mit Spywarebot.exe ist ok lade sie hoch und poste das Ergebnis:daumenhoc ComboFix: Bitte lade dir ComboFix nochmals neu herunter und lösche alles was du vorher gedownloadet hast! Speichere sie auf dem Desktop und versuchs nochmal;) Beim ganzen Prozess Guards und Firewall abstellen. Anleitung Avenger: 1.) Lade dir das Tool Avanger und speichere es auf dem Desktop: 2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein: files to delete: C:\WINDOWS\gktxaspm.dll C:\WINDOWS\system32\abrlxdut.dll C:\WINDOWS\system32\jqciefvh.dll 3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten. 4.) Danach das System unverzüglich neu starten lassen 5.) Poste den Inhalt der C:\avenger.txt Datei. Nun holst du dir das Tool VundoFix und arbeitest folgende Schritte ab: * Doppelklick VundoFix.exe * Klicke "Scan" --> Vundo button. * Nach dem Scannen, klicke den "Remove" Vundo button. * Man wird nun gefragt, ob man "fixvundo" will --> klicke YES * Danach werden alle Desktop-Symbole verschwinden * Dann wird man gefragt, ob der PC neustarten soll --> klicke OK. *C:\VundoFix Backups - löschen + Papierkorb leeren Nun holst du dir eScan und folgst einfach der Anleitung Bringt dir Anti-Vir immer noch alle paar min. die Meldung? |
Hallo und DANKE :aplaus:, leider zeigt AntiVir immer noch die Fehlermeldung. VundoFix hat nichts gefunden, EScan auch nichts und Avenger hat alles gelöscht laut eigener Aussage. Nun bin ich ein wenig ratlos wo das "Miststück" herkommt. Bzw. warum es immer noch da ist. Danke trotzdem für eure Hilfe und die wirklich kompetenten Tips!! Mooseoiler |
Ich denke nicht das dein System wieder gereinigt wurde durch escan oder Vundofix... ;) Versuche mal folgendes: Malwarebytes' Anti-Malware
|
AUS AUS DAS DER TROJANER IST AUS......:lach::aplaus::party: Vielen Dank der letzte Tipp war ein absoluter Volltreffer in jeder Hinsicht! Antivir findet ihn nicht/nie/nirgendwo mehr! Ich beadanke mich von ganzem Herzen für die Hilfe von eurer Kompetenten Seite!!! Natürlich wünsche ich allen hier eine spannende Euro 08 und sage bis bald!!! Mooseoiler |
Mein Gott bitte schlagt mich:headbang: Eigentlich rate ich immer von anfang an zu Malwarebytes und dieses Mal vergess ich es komplett :D Danke Sunny |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:55 Uhr. |
Copyright ©2000-2024, Trojaner-Board