Hilfe Trojaner! Blauer Desktop Hintergrund mit Warnmeldung "Warning Spyware detected"
 

Hallo Leute,

ich hab da ein kleines Problem. Kürzlich hat sich mein Desktop Hintergrund verändert, und es erschien ein blauer Hintergrund mit einer englischen Warnmeldung: "Spyware detected on your system..". Ich hab den genauen Wortlaut der Meldung nicht mehr im Kopf.
Des Weiteren erschien noch eine Warnmeldung in der Taskleiste neben der Uhr. So ein Windows XP Bubble Meldung, falls Ihr wisst was ich meine. :-)
Ausserdem konnte ich einige Websites nicht aufrufen. Um ein Beispiel zu nennen, auf google.de konnte ich rauf aber auf google.com nicht. Hinzukommt, dass ich z.B. auf google.de zwar raufkam aber dort nicht suchen konnte! Des Weiteren wurde ich von POP-UP's genervt.
Dann konnte ich noch mit dem Tool "TCPIpView" beobachten, dass mein PC diverse Verbindungen zu irgendwelchen dubiosen IP's aufbaut. Des Weiteren hat mich Antivir mit Warnmeldungen bombaridert wenn ich z.B. Firefox oder Notepad starten wollte. Es ging konkret um eine Zugriffsverweigerung von Antivir die mit dieser dll zu tun hatte: "ecjkeojm.dll". Ich konnte dann Auswählen ob ich den Zugriff verweigern will usw. ich hoffe Ihr wisst welches Antivir Warnfester ich meine.

Daraufhin hab ich AntiVir und Norton Antivirus drüber laufen lassen, doch das war nur bediengt erfolgreich. Die Bubbel Wanrmeldungen waren nun weg und mein Desktop Hintergrund war auch wieder der Alte. Doch das Tool "TCPIpView" zeigt mir noch immer an, dass mein PC Verbindungen aufbaut die definitiv nicht sein sollten. Die POP-UP's und das Problem mit dem aufrufen von Webseiten bestand noch immer.

Doch dann bin ich glücklicherweise auf euer Forum gestoßen. Darin hab ich von einem ähnlichem Fall gelesen und ein Tool namens "SDFix" ausprobiert. Das hat einiges gebracht, hier die Log:

[LOG IM ZWEITEN POST - POST WAR ZU LANG]

Ich hoffe alles wurde erfolgreich entfernt, wäre nett wenn sich jemand diese Log ansieht und dies bestätigt.

Nachdem einsatz von SDFix und einem Reboot läuft mein PC wieder "normal".
Ich kann nun wieder normal im Netz surfen und die POP-Ups sowie die dubiosen Verbindungen (TCPIpVIEW) sind auch weg. Doch Antivir Meldet mir noch immer die zugriffe dieser dll "ecjkeojm.dll".

Naja, ich hab dann noch Hijackthis drüberlaufen lassen und hier ist die Log:

[LOG IM DRITTEN POST - POST WAR ZU LANG]

Ich kenn mich da nicht wirklich aus, aber die besagte dll "ecjkeojm.dll" taucht dort auch auf! Ich hoffe Ihr könnt mir helfen. Bitte schaut euch die beiden Log's an und falls Ihr noch fragen habt dann bitte her damit. :-)


mfg

m0n0g0n

SDFix - Log
 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:20:40, on 30.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS2\System32\smss.exe
C:\WINDOWS2\system32\winlogon.exe
C:\WINDOWS2\system32\services.exe
C:\WINDOWS2\system32\lsass.exe
C:\WINDOWS2\system32\Ati2evxx.exe
C:\WINDOWS2\system32\svchost.exe
C:\WINDOWS2\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS2\Explorer.EXE
E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS2\system32\spoolsv.exe
E:\Avira\AntiVir PersonalEdition Classic\sched.exe
E:\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS2\system32\PnkBstrA.exe
C:\WINDOWS2\system32\svchost.exe
D:\Programme\TortoiseSVN\bin\TSVNCache.exe
C:\WINDOWS2\SOUNDMAN.EXE
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
E:\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS2\system32\Rundll32.exe
C:\WINDOWS2\system32\rundll32.exe
E:\Programme\DAEMON Tools Lite\daemon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
D:\Programme\Microsoft ActiveSync\Wcescomm.exe
E:\steam\Steam.exe
D:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\WINDOWS2\System32\svchost.exe
C:\WINDOWS2\System32\svchost.exe
D:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Piotr\Desktop\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: (no name) - {03509542-D055-49E5-B6A1-B8182C972303} - C:\WINDOWS2\system32\clusap.dll
O2 - BHO: (no name) - {07BAC470-2416-460C-8E12-5FB2F75D5114} - C:\WINDOWS2\system32\hgGayWPJ.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\GEMEIN~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: {d19abb6e-8ddf-7758-3c24-acb323763aeb} - {bea36732-3bca-42c3-8577-fdd8e6bba91d} - C:\WINDOWS2\system32\hnaita.dll
O3 - Toolbar: Norton-Symbolleiste anzeigen - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\2.0\CoIEPlg.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "E:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "E:\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\nav\osCheck.exe"
O4 - HKLM\..\Run: [a092f77f] rundll32.exe "C:\WINDOWS2\system32\ecjkeojm.dll",b
O4 - HKLM\..\Run: [BMa3a1c4e3] Rundll32.exe "C:\WINDOWS2\system32\aqlrrgid.dll",s
O4 - HKCU\..\Run: [DAEMON Tools Lite] "e:\Programme\DAEMON Tools Lite\daemon.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Programme\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [Steam] E:\steam\\Steam.exe -silent
O4 - Startup: Deewoo.lnk = C:\WINDOWS2\system32\tcntaxdm.exe
O4 - Startup: DW_Start.lnk = C:\WINDOWS2\system32\rwwnw64d.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: PacificPoker4 - {94EDF7B4-4272-4af3-8F8B-4E2F68E225B7} - D:\PROGRA~1\PACIFI~2\pacificpoker.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - xxx://xxx.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1199174721687
O17 - HKLM\System\CCS\Services\Tcpip\..\{95CFD8B9-BD84-47B8-989E-372A6FB1A1B8}: NameServer = 192.168.178.1
O21 - SSODL: lazehqvy - {aaa7f23b-3fd7-43aa-8bf3-c1664187ce0c} - C:\Dokumente und Einstellungen\All Users.WINDOWS2\Anwendungsdaten\lazehqvy.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - E:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - E:\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - E:\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS2\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS2\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Automatisches LiveUpdate - Scheduler (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - E:\Programme\Autodesk\3ds Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS2\system32\PnkBstrA.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe

--
End of file - 7889 bytes

Hallöle.

1) Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.

2) Deinstalliere Java über die Systemsteuerung.

3) Blacklight bitte laufen lassen und das log posten.. evtl. Funde bitte umbennen/beheben lassen!

4) Run Combofix. Poste den erscheinenden Text.

5) Überprüfe dein System mit SASW.

6) Mache einen letzten Maleware-Check mit Malewarebytes.

7) Räume mit cCleaner auf. (Punkt 1 und 2)

8) Lasse Silentrunners laufen und poste das logFile

9) Führe einen escan durch und poste das mit Hilfe der find.bat ausgewertete log.

10) Systemanalyse:

• Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes.
  
• Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  
• Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  
• Unter File -> Database Update Start drücken.
  
• Unter File -> System Analys, die Option Attach System Analysis log to ZIP anhaken und Start drücken. Wähle als Speicherort den von dir erstellten AVZ-Ordner.
  
• Nachdem der Scan beendet ist benne die erstellte avz_sysinfo.zip um in avz_sysinfo.zip.txt und hänge sie an deinen nächsten Post an.

Hallo Leute,

also ich hab grade ein reboot gemacht und festgestellt das mein PC erneut Verbidnungen aufbaut und das Webseiten Problem besteht wieder.

Ausserdem hab ich nun genauer notiert was AntiVir blockiert, hier eine Liste:

- TR/Vundo.ewz.26 (dlgfjare.dll) beim starten von Firefox
- TR/ATRAPS.Gen (clusap.dll) beim öffnen des Arbeitsplatzes vom Desktop aus.
- TR/Vundo.ews.71 (ecjkeojm.dll) beim starten von Hijackthis.
- TR/Monder.aeo (rnsetpsh.dll) beim surfen mit Firefox.
- TR/Vundo.ewz.xx (xx = viele Abwandlungen beim Surfen mit Firefox)

Undoreal, danke für deine schnelle Antwort. Ich das alles denn nötig? Kann man vielleicht schon jetzt das Problem etwas eingrenzen? Das hört sich für mich nach einer Standartprozedur an, die angewendet wird wenn das Problem unklar ist :-) Ich will eigentlich eine Neuinstallation des Systems vermeiden, aber langsam frage ich mich was weniger Aufwand verursacht.

Noch eine Frage: Soll ich SDFix nochmal ausführen? Wieso sind die Fehler die SDFix behoben hat wieder da. :-( Was kann ich dagegen tun?

Versuche es doch zuerst mal hiermit:


ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

(ausführliche Anleitung -> Ein Leitfaden und Tutorium zur Nutzung von ComboFix)

Ich hab die Anleitung befolgt und combofix ausgeführt. Allerdings hab ich Antivir und Norton nicht deinstalliert nur deaktiviert. Jedenfalls lief alles glatt erstmal, doch nach dem Reboot hat combofix keine Log erstellt! Es kam nur ne Meldung "... Datei kann nicht gefunden werden..". Ich nehme an so war das nicht gewollt? :-)

Was hab ich falsch gemacht?

Deaktivieren war genau richtig! ;)

Das Log sollte hier zu finden sein -> c:\combofix.txt

Sollte sie dort nicht aufzufinden sein, führe Combofix nochmal aus.

So nun hat es geklappt! in der Log tauchen die dll's auf die Antivir mir andauernd meldet.

Scripten mit Combofix

• Öffne den Editor ( Start -> Zubehör -> Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif


Nachdem das Log im Notepad aufgegenagen ist, erscheint ein Popup
http://saved.im/mjk4ndz0cty0/cfcollect.jpg
Dies mit Ok wegklicken und es öffnet sich Dein Browser. In diesem Browser Fenster "Durchsuchen" auswählen und dann auf Deinem Desktop die neue .Zip Datei ([4]-Submit_Jahr-Monat-Tag_Uhrzeit.71.zip) auswählen. Dann mit Klick auf "Send" senden. So kann der Author die Erkennungsroutine des Programms verbessern.

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann




SDFix

* Lade das SDFix herunter und speichere es auf deinem Desktop.

* Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
* Starte deinen Rechner neu auf, in den abgesicherten Modus

* Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
* Gib ein Y ein, um den Reinigungsprozess zu beginnen.
* Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
* Nun wirst du darum gebeten, eine Taste zu drücken, damit dein Rechner neu aufstarten kann.
* Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
* Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
* Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
* Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
* Kopiere den Inhalt dieses Report.txt und poste ihn, zusammen mit einem neuen HijackThis Logfile in deinem nächsten Posting.



Malwarebytes' Anti-Malware

• Lies dir die Entfernungsanleitung durch und lass alles entfernen was gefunden wurde:

• Download von Malwarebytes' Anti-Malware

Ich hab alle aktionen wie beschrieben durchgeführt.

Hier die Log von Combofix:

Hier die report.txt von SDFix:

Hier die Log von HiJackThis:

und hier die Log von Malwarebytes' Anti-Malware:

EDIT: No action taken ist nicht korrekt! Das Tool hat alle Files erfolgreich beseitigt.

Könnte sich bitte jemand die Log's ansehen und mir sagen ob mein system wieder ok ist?