Hilfe! Habe MSN Virus oder Trojaner!?
 

Hallo,


ich habe heute einen link von jemanden aus meiner liste bekommen der ungefähr so aussieht:


"haha :D :P h**p://videos2.funpic.org/?play=*********@***.de"


also das letzte war meine e-mail addy und deshalb hab ich mich gewundert was das ist und hab es angeklickt. seitdem verschickt sich dieser link automatisch alle ca. 15 minuten an alle aus meiner liste die gerade online sind!


während dessen ist mein gesamter rechner gelähmt, ich kann nichts machen :(


antivir hat leider nichts gefunden :(


wie bekomme ich diesen virus oder was das ist wieder weg?


danke schon mal für eure hilfe!

P.S.: ich bin mit soetwas nicht wirklich bewandelt, bitte formuliert eure antworten für "doofe" :)

Lade dir Malwarebytes runter, lasse dein System checken und den log hir posten. Bei Fund die Systemwiderhersyellung ausschalten PC neu starten und HJT-Log posten.
Dann CCleaner laufen lassen und nichmahl mit Malwarebytes checken.
Log wieder hir posten!
Dann is so weit ja alles klar!?;)

Ach ja ich wuerde dir raten offline zu bleiben, wenn du es nicht schohn bist.

erstml danke für die schnelle antwort!

ok, lasse malwarebytes gerade scannen, die internetverbindung habe ich auch getrennt, bin jetzt über den lappy meiner mutter drinne.

er sucht noch, hat aber schon 2 infizierte objekte gefunden!

wo bitte telle ich die systemwiederherstellung aus? und wo finde ich dieses HJT?

sorry, aber hab wirklich keine ahnung von sowas :(

Mann muss nicht perfekt sein, um seinen PC wieder auf trapp zu bringen.:killpc:
Um die Systemwiderherstellung zu deaktiviren, muss ich wissen, welches Betriebssystem du benutzt.
Downloadlink HJT:
http://hijackthis.softonic.de/

danke, das ist super nett von dir!

also ich habe windows XP soweit ich weiß, professional.

eben hat sich antvir gemeldet und was gefunden, ich weiß nicht ob das mit meinem jetzigem problem was zu tun hat oder was neues ist, ich poste mal eben die drei funde:

http://img83.imageshack.us/img83/126...r1kopiecz5.jpg
http://img83.imageshack.us/img83/tro...jpg/1/w337.png

achso, bin bei allen 3 auf löschen gegangen!

P.S.: reicht es wenn ich nur c: mit MalwareBytes scanne?

Hast du richtig gemacht.
Manchmahl schnapt sich Avira heimlich die funde von Malwarebytes weg.
Ist Malwarebytes schohn fertig?

Ja, wenn du keine Datentraeger oder andere Festplatten nutzt.

nee, er sucht noch, ich hab 2 festplatten, die 160er auf der sich c: befindet hat er schon durch, jetzt scannt er gerade die 500er, die ist mit 286 GB daten belegt!

o.k. kann ein, das die "Pferde" sich kopirt haben.
Den Computer auf keinen Fall runterfahren, befohr du die Systemwiederherstellung ausgeschaltet hast.
Anleitung folgt gleich.

Anleitung:rechte Maustaste auf Arbeitsplatz, Eigenschaften wählen.
Systemwiederherstellung wählen und Systemwiederherstellung auf allen Laufwerken deaktivieren wählen.

ok, er ist jetzt fertig ist mit scannen.

ergebnis:

Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1306
Windows 5.1.2600 Service Pack 3

07.11.2008 17:16:19
mbam-log-2008-11-07 (17-16-09).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|G:\|)
Durchsuchte Objekte: 225959
Laufzeit: 1 hour(s), 8 minute(s), 45 second(s)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 7
Infizierte Verzeichnisse: 1
Infizierte Dateien: 4

Infizierte Speicherprozesse:
C:\WINDOWS\service.exe (Backdoor.Bot) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Service (Backdoor.Bot) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System (Rootkit.DNSChanger.H) -> Data: kdxka.exe -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{6ad8eb18-a59a-4d11-8068-173bd7b17b65}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.210;85.255.112.62 -> No action taken.

Infizierte Verzeichnisse:
C:\resycled (Trojan.DNSChanger) -> No action taken.

Infizierte Dateien:
C:\WINDOWS\system32\kdxka.exe (Rootkit.DNSChanger.H) -> No action taken.
C:\resycled\boot.com (Trojan.DNSChanger) -> No action taken.
C:\WINDOWS\service.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\Temp\tempo-08D.tmp (Trojan.FakeAlert) -> No action taken.

wenn ich das programm schließen will, sagt er das das noch ein scan läuft!? er aber war fertig. soll ich es trotzdem schließen und dann die systemwiederherstellung auschalten,den pc neustarten und dann das mit hjt machen?

Hallo,

mach bitte erstmal garnichts und überprüfe, ob du eine admintxt.txt im Ordner WINDOWS hast. Evtl. ist diese Datei versteckt und du musst unter Ordneroptionen alle Dateien sichtbar machen.

ja, so eine datei existiert im ordner windows!

Ok,
ich würde dir raten, eine Neuinstallation des Systems durchzuführen.
Mach bitte aber noch die Dateianalyse:



Dateien Online überprüfen lassen:

• Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

• Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

• Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

• Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

• Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Ich bins binerlinfever!
Hatte ein kleines verbindungsproblem.:balla:
Ich muss silent shark recht geben.
Bei backdoorbefall sollte man neu aufsetzen.:killpc:
Ohne wird es schwierig sein, damit fertig zu werden.

Ach ja du hast vergessen die Funde von Malwarebytes zu entfehrnen, ich wuerde dir empfehlen, dies nachzuholen!;)

oh, jetzt hab ich das programm schon geschlossen :( jetzt muss ich noch mal scannen :schmoll:

ich bin so doof... naja, deshalb hab ih ja überhaupt das problem... danke euch beiden für die hilfe :)

Halt!

Wo sind die Virustotalergebnisse zu der service.exe?

Und die Funde von MBAM brauchst du nicht löschen, da ein Neuaufsetzen sowieso Pflicht ist.

Ich sage nur was zu machen ist.
DU bist der der es vollendet.
Auf dich kommt es an.;)
Wenn man etwas schafft oder auch nicht, sollte man in erster Linie auf sich selber stolz sein/wuetend sein, einen der versucht zu helfen solte man auch danken/etwas;) boese sein.

welche service.exe???

Liest du überhaupt, das man schreibt? :koch:

http://www.trojaner-board.de/63838-h...tml#post389871

silent shark sagt dir den angenehmen und einfachen weg.
Welchen ich dir auch empfehlen wuerde.
Poste lieber erst die Ergebnisse von Virustotal!;)

tut mir leid, bin leicht überfordert :( ok, ich mach das jetzt mit virustotal! sorry, noch mal :)

silent shark sein nicht so boese auf ihn.:nixda:
Hat doch gesagt, das er nicht der beste Spezialist ist.

Schon ok, war auch überreagiert von mir. :schmoll:

Btw. Wie TR-Vundo schon sagte, du kannst es dir aussuchen, welchen Weg du jetzt gehen willst. ;)

da gebe ich silent shark recht!

so, hoffe ich hab das jetzt richtig gemacht. also als erstes kam das:


Die Datei wurde bereits analysiert:
MD5: b1b3ef93a46a0e1286982b30e50609a1
First received: 2008.10.30 23:07:03 (CET)
Datum 2008.11.06 19:09:13 (CET) [<1D]
Ergebnisse 1/36
Permalink: analisis/f43014bb703661c77160b31820eedfbb

bin dann auf "zeige die letzten ergebnisse" gegangen, da stand dann das:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.11.5.3 2008.11.06 -
AntiVir 7.9.0.26 2008.11.06 -
Authentium 5.1.0.4 2008.11.06 -
Avast 4.8.1248.0 2008.11.06 -
AVG 8.0.0.161 2008.11.06 -
BitDefender 7.2 2008.11.06 -
CAT-QuickHeal 9.50 2008.11.04 -
ClamAV 0.94.1 2008.11.06 -
DrWeb 4.44.0.09170 2008.11.06 -
eSafe 7.0.17.0 2008.11.06 -
eTrust-Vet 31.6.6195 2008.11.06 -
Ewido 4.0 2008.11.06 -
F-Prot 4.4.4.56 2008.11.06 -
F-Secure 8.0.14332.0 2008.11.06 -
Fortinet 3.117.0.0 2008.11.06 -
GData 19 2008.11.06 -
Ikarus T3.1.1.45.0 2008.11.06 -
K7AntiVirus 7.10.518 2008.11.06 -
Kaspersky 7.0.0.125 2008.11.06 -
McAfee 5425 2008.11.05 -
Microsoft 1.4005 2008.11.06 -
NOD32 3591 2008.11.06 -
Norman 5.80.02 2008.11.06 -
Panda 9.0.0.4 2008.11.05 Suspicious file
PCTools 4.4.2.0 2008.11.06 -
Prevx1 V2 2008.11.06 -
Rising 21.02.32.00 2008.11.06 -
SecureWeb-Gateway 6.7.6 2008.11.06 -
Sophos 4.35.0 2008.11.06 -
Sunbelt 3.1.1783.2 2008.11.05 -
Symantec 10 2008.11.06 -
TheHacker 6.3.1.1.141 2008.11.05 -
TrendMicro 8.700.0.1004 2008.11.06 -
VBA32 3.12.8.9 2008.11.05 -
ViRobot 2008.11.6.1455 2008.11.06 -
VirusBuster 4.5.11.0 2008.11.06 -
weitere Informationen
File size: 49676 bytes
MD5...: b1b3ef93a46a0e1286982b30e50609a1
SHA1..: 1f676a5b05e15b857fae75a992daa2ddeeeb198d
SHA256: 959cd53ca940cbdb76f3f57cfb175170f9300db4830a2bd49299bb1e78f057bc
SHA512: a7fbaef45fe475b0f1ea0d4d569de086a8894cceb24156f77c29915c4c042e28
d6f5ad0cc050c9cdb6f97aa15653597ee8d72e69d699e4639d10c2a80d722a92
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4010b0
timedatestamp.....: 0x490764c0 (Tue Oct 28 19:15:12 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x31d8 0x4000 4.07 7a58f24b05659f098fc92db26648d5b9
.data 0x5000 0x450 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x6000 0x10 0x1000 0.01 a7f15f29bbb2fceb12ddfd52ba3b0ab7

( 1 imports )
> MSVBVM60.DLL: -, -, -, DllFunctionCall, -, __vbaExceptHandler, -, -, -, ProcCallEngine, -, -, -, -, -, -

( 0 exports )

und bei "analysiere die datei" kam das:

Datei service.exe empfangen 2008.11.07 18:09:09 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 1/36 (2.78%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 1.
Geschätzte Startzeit is zwischen 38 und 55 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.11.7.1 2008.11.07 -
AntiVir 7.9.0.26 2008.11.07 -
Authentium 5.1.0.4 2008.11.07 -
Avast 4.8.1248.0 2008.11.06 -
AVG 8.0.0.161 2008.11.07 -
BitDefender 7.2 2008.11.07 -
CAT-QuickHeal 9.50 2008.11.07 -
ClamAV 0.94.1 2008.11.07 -
DrWeb 4.44.0.09170 2008.11.07 -
eSafe 7.0.17.0 2008.11.06 -
eTrust-Vet 31.6.6195 2008.11.06 -
Ewido 4.0 2008.11.07 -
F-Prot 4.4.4.56 2008.11.07 -
F-Secure 8.0.14332.0 2008.11.07 -
Fortinet 3.117.0.0 2008.11.07 -
GData 19 2008.11.07 -
Ikarus T3.1.1.45.0 2008.11.07 -
K7AntiVirus 7.10.519 2008.11.07 -
Kaspersky 7.0.0.125 2008.11.07 -
McAfee 5426 2008.11.06 -
Microsoft 1.4104 2008.11.07 -
NOD32 3595 2008.11.07 -
Norman 5.80.02 2008.11.07 -
Panda 9.0.0.4 2008.11.07 Suspicious file
PCTools 4.4.2.0 2008.11.07 -
Prevx1 V2 2008.11.07 -
Rising 21.02.42.00 2008.11.07 -
SecureWeb-Gateway 6.7.6 2008.11.07 -
Sophos 4.35.0 2008.11.07 -
Sunbelt 3.1.1783.2 2008.11.05 -
Symantec 10 2008.11.07 -
TheHacker 6.3.1.1.144 2008.11.07 -
TrendMicro 8.700.0.1004 2008.11.07 -
VBA32 3.12.8.9 2008.11.06 -
ViRobot 2008.11.7.1457 2008.11.07 -
VirusBuster 4.5.11.0 2008.11.07 -
weitere Informationen
File size: 49676 bytes
MD5...: b1b3ef93a46a0e1286982b30e50609a1
SHA1..: 1f676a5b05e15b857fae75a992daa2ddeeeb198d
SHA256: 959cd53ca940cbdb76f3f57cfb175170f9300db4830a2bd49299bb1e78f057bc
SHA512: a7fbaef45fe475b0f1ea0d4d569de086a8894cceb24156f77c29915c4c042e28
d6f5ad0cc050c9cdb6f97aa15653597ee8d72e69d699e4639d10c2a80d722a92
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4010b0
timedatestamp.....: 0x490764c0 (Tue Oct 28 19:15:12 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x31d8 0x4000 4.07 7a58f24b05659f098fc92db26648d5b9
.data 0x5000 0x450 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x6000 0x10 0x1000 0.01 a7f15f29bbb2fceb12ddfd52ba3b0ab7

( 1 imports )
> MSVBVM60.DLL: -, -, -, DllFunctionCall, -, __vbaExceptHandler, -, -, -, ProcCallEngine, -, -, -, -, -, -

( 0 exports )


weiß aber nicht was ich bei dem schritt: Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.) den du mir angeben hast machen soll!?

Du hast alles richtig gemacht. ;)

Sende nun die Datei (C:\WINDOWS\service.exe) bitte an Avira => Submit your sample

Wichtig: Stelle bei der Option Typ auf Verdacht auf Fehlalarm um.

1 Fund!?:eek:
Mahl sehen, was silent shark dazu sagt!

ok, hab ich gemacht. da stand dann:

Verdächtige Dateien und sonstige Uploads

Vielen Dank für Ihre Submission. Im folgenden sehen Sie den derzeitigen Status der übermittelten Dateien:

Eine Auflistung der Dateien und Ergebnisse sind im folgenden aufgeführt:
Datei ID Dateiname Größe (Byte) Ergebnis
25183788 service.exe 48.51 KB UNDER ANALYSIS


Genaue Ergebnisse für jede Datei finden sie im folgenden Abschnitt:
Dateiname Ergebnis
service.exe UNDER ANALYSIS

Die Datei 'service.exe' wurde als 'UNDER ANALYSIS' eingestuft.
Die oben aufgeführten Ergebnisse werden wir Ihnen zusätzlich via Email übermitteln. Sofern das Endergebnis noch nicht für alle Dateien verfügbar ist müssen Sie sich gegebenenfalls noch gedulden.

Avira wird dich innerhalb von 3 Tagen per Email benachrichtigen.
Teile uns bitte mit, was das Ergebnis der Analyse ist.

ok und bis dahin soll ich erstmal nichts machen?

Doch, nämlich das solltest du machen:
http://www.trojaner-board.de/51262-a...sicherung.html

ach so ok, dachte ich soll erst auf die antwort von avira warten :)

na dann werd ich mal versuchen das system neu aufzusetztzen :)

Gut,
wenn du aber dann das Ergebnis noch postest, wäre ich zufrieden. :D

ja klar, halte euch auf dm laufenden :)

danke noch mal an euch!!!

Ich danke. ;)

hab windows jetzt neu installiert. jetzt hab ich aber das problem, das er mir nicht meine 500er festplatte anzeigt :( da sind aber alle meine daten drauf!

was kann ich tun?

Erstell bitte ein aktuelles HijackThis Logfile.

IE 7 wäre nicht schlecht.

Ist es denn eine externe Platte?

komme gar nicht ins internet, keine ahnung warum... muss irgend was falsch gemacht haben...

nein, die fstplatte ist fest eingebaut!

Alle Treiber installiert, etc?

Ich glaube, du solltest einen neuen Thread in "Netzwerk und Hardware" eröffnen.

hast du in der Computerverwaltung in der Datenträgerverwaltung nachgesehen?o Ob die Platte da eingetragen ist? vielleicht fehlt ja nur der Laufwerksbuchstabe

hab noch gar nichts installiert... nur beim windauf rauf machen die internetdaten angeben...

meinste wenn ich alle treiber installiere erkennt er die festplatte?

Treiber sollte dein Internetproblem beheben.
Auch das mit der Festplatte, denn die ist ja am Mainboard angeschlossen, was auch seine Treiber benötigt.
Hier für die Treiber: http://www.trojaner-board.de/63543-a...-new-post.html

hab jetzt alle programme installiert die ich hatte, aber er kennt immer noch nicht die festplatte und ins iternet komme ich auch nicht :(

jetzt kann ich die kiste in die tonne kloppen...

Erstell doch bitte einen Thread im Netzwerk/Hardware-Forum, damit sich unsre Hardwarespezis das Problem anschauen können. :)

na ob der mir da noch helfen kann... :(

aber ein versuch ist es wert! danke für deine hilfe!

Kein Problem, vergiss aber nicht, dass du alle erforderlichen Details nennen musst.

hallo,

also ich habe heute die antwort von avira bekommen!

Ergebnis:

Eine Auflistung der Dateien und Ergebnisse sind im folgenden aufgeführt:
Datei ID Dateiname Größe (Byte) Ergebnis
25183788 service.exe 48.51 KB MALWARE


Genaue Ergebnisse für jede Datei finden sie im folgenden Abschnitt:
Dateiname Ergebnis
service.exe MALWARE

Die Datei 'service.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen BDS/VB.afy gegeben. Bei der Bezeichnung "BDS/" handelt es sich um ein Backdoor-Server-Programm. Mit Hilfe eines Server-Programms können Daten verändert, gelöscht oder ausspioniert werden.Ein Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) hinzugefügt werden.

und am wochenende hat sich ein freund mal kurz den rechner angeguckt und auch meine 500er wieder gefunden. allerdings kann man auf alle festplatten nur zugreifen, wenn über die rechte maustaste explorer wählt! nicht mit doppelklick oder öffnen. und er meinte das liegt daran, das der virus wohl immer noch drauf wär, ich hätte es wohl mit der formatierung und neuinstalation von windows schlimmer gemacht, als es vorher war...

nun weiß ich nicht ob er recht hat, kenne mich ja nicht aus damit :(