Trojaner-Board - Unbekannter Dienst "Teriveuhw"

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Unbekannter Dienst "Teriveuhw" (https://www.trojaner-board.de/65367-unbekannter-dienst-teriveuhw.html)

Unbekannter Dienst "Teriveuhw"

Erstmal hallo, lese schon lange immer wieder hier (notgedrungen) =)

jetzt komme ich aber um eine Frage nicht herum.

msconfig zeigt mir einen unbekannten Dienst namens "teriveuhw".
autoruns oder andere tools zeigen mir nichts mit dem Namen, auch eine Suche über den gesamten Rechner findet nichts. Nichteinmal Google&co findet irgendwas mit dem Namen - was recht komisch ist, inzwischen findet Google ja zu fast ejder beliebigen Buchstabenkombination irgendetwas. =)

Hab dann eben nach "unbekannter Dienst keinen Treffer" gegoogelt und ein Thread hier im Forum gefunden. Nur der Dienst heisst anders.

Hat emand eine Idee worum es sich da handelt?

Ich kann nachher einen HJT-Log posten, den muss ich nur erstmal entsprechend editieren (und mich vorher schlau machen was ich da editieren soll) - dazu hab ich aber erst später heute Nachmittag Zeit, aber wollte die Frage schonmal loswerden.

achja....
das ganze ergab sich durch eine Infektion mit einigen Viren, Trojanern und anderen "Viechern", wobei ich seit Tagen versuche der Sache auf den Grund zu gehen.

...und...ich weiss das hier gerne und schnell (und sinnigerweise) das Neuaufsetzen des Systems empfohlen wird, stehe auch kurz davor.
Auch wenn ich es gerne umgehen würde, denn ich habe kein image eines sauberen, mir zugeschneiderten Systems, habe also dann einen riesenaufwand vor mir, bis das System wieder auf dem Stand ist. (Herlferlein, Software, etc...)

Auch wenn es wenig Sinn macht, interessiert es mich doch, wie die Chancen stehen ein so verseuchtes System manuell wieder sauber zu bekommen, auch wenn es eventuell mehr Arbeit ist als das Neuaufsetzen - wobei letztendlich sowas erst entschieden werden kann wenn ich ungefähr weiss wie gross der Aufwand ausfällt. Bin kein Experte, aber auch kein Laie, siedelt mich irgendwo dazwischen an- :rolleyes:

Also dann...jetzt erstmal kochen gehen... ichh schau später wieder rein. Bin gespannt. =)

MfG
Cream

Heya,

erzähl uns bitte noch um welches Betriebssystem es sich handelt.

Ist vor dem Eintrag bei msconfig ein Haken zu sehen, oder nicht?

Was du editieren musst steht zb in unserer Hijackthis Anleitung unter

Einsetzen von HJT - Auswertung:
2. Möglichkeit.

Außerdem stand es auch in dem großen roten Kasten, während du dein Thema erstellt hast. ;)

lg myrtille

Ah, ganz vergessen...

XP pro SP2, aber schon eine Weile keine Updates mehr geholt (6 Monate etwa)
...das liegt weniger an Faulheit oder Unwillen, als an einer schrottigen ISDN-Verbindung ohne Flatrate.
:pfui:

Vor dem Dienst ist ein Haken und es ist kein Windows-Dienst. Also er wird nicht ausgeblendet wenn ich das anhake.

Die Bearbeitung des HJT-Logs... ich hab schon gesehen wo das steht, hatte halt nur noch keine Zeit das durchzugehen. =)
Werd ich aber nachher/gleich machen.

So, gestern hab ich es nicht mehr geschafft.

hier also nun das HJTlog. (waren weder private angaben noch https zum ersetzen drinn - sieht mir eh ziemlich "kurz" aus das dingens...hab ich eventuell einstellungen bei HJT übersehen?)

in der letzten Zeile findet sich "Teriveuhw" in Zusammenhang mit Acronis (True Image ist installiert), aber irgendwie ist die Zeile nciht sehr aussagekräftig.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:14:54, on 29.11.2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

E:\Programme\adaware\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\sched.exe

E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\ATKKBService.exe

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

E:\PROGRA~1\escan\eScan\VISTA\avpmapp.exe

E:\PROGRA~1\escan\eScan\TRAYSSER.EXE

C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Programme\MagicTune Premium\MagicTuneEngine.exe

E:\Programme\Mamutu\Mamutu\a2service.exe

E:\PROGRA~1\escan\eScan\consctl.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE

E:\PROGRA~1\escan\eScan\TRAYICOS.EXE

C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWAgent.exe

E:\Programme\NTune\nTune\nTuneService.exe

C:\WINDOWS\system32\nvsvc32.exe

E:\Programme\sandboxie\SbieSvc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Microsoft IntelliPoint\ipoint.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\Canon\MyPrinter\BJMyPrt.exe

E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\avgnt.exe

E:\Programme\Spybot - Search & Destroy\Spybot - Search & Destroy\TeaTimer.exe

C:\Programme\Microsoft IntelliPoint\dpupdchk.exe

E:\Programme\sandboxie\SbieCtrl.exe

C:\Programme\MagicTune Premium\GammaTray.exe

E:\Programme\Launchy\Launchy\Launchy.exe

C:\Programme\SEC\Natural Color Pro\NCProTray.exe

C:\Programme\MagicTune Premium\MagicTune.exe

C:\WINDOWS\system32\wscntfy.exe

E:\Programme\SpeedProject\SpeedCommander 9\SpeedCommander.exe

C:\WINDOWS\system32\svchost.exe

E:\Programme\Firefox\firefox.exe

E:\Programme\sandboxie\SandboxieRpcSs.exe

E:\Programme\sandboxie\SandboxieDcomLaunch.exe

E:\Programme\Discount Surfer\Discountsurfer\Discountsurfer.exe

E:\Programme\HJT\hobobdatt.exe
 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - E:\Programme\snagit\SnagItBHO.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Adobe\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\SPYBOT~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {AA61DE26-FA67-4575-9033-918671094293} - (no file)

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - E:\Programme\snagit\SnagItIEAddin.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe

O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidSetup.exe boot

O4 - HKLM\..\Run: [AsusStartupHelp] C:\Programme\ASUS\AASP\1.00.17\AsRunHelp.exe

O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon

O4 - HKLM\..\Run: [CanonMyPrinter] C:\Programme\Canon\MyPrinter\BJMyPrt.exe /logon

O4 - HKLM\..\Run: [avgnt] "E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [NVIDIA nTune] "E:\Programme\NTune\nTune\nTuneCmd.exe" clear

O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Programme\Spybot - Search & Destroy\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [SandboxieControl] "E:\Programme\sandboxie\SbieCtrl.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Stardock ObjectDock.lnk = E:\Programme\ObjectDock\ObjectDock.exe

O4 - Global Startup: GammaTray.lnk = ?

O4 - Global Startup: Launchy.lnk = E:\Programme\Launchy\Launchy\Launchy.exe

O4 - Global Startup: NCProTray.lnk = ?

O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: In Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://E:\Programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\PROGRA~1\SPYBOT~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\PROGRA~1\SPYBOT~1\SPYBOT~1\SDHelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{76978864-689D-4A5C-960B-AC2B2D31F0F5}: NameServer = 194.25.2.129

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - E:\Programme\adaware\aawservice.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - E:\Programme\Avira\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

O23 - Service: eScan Monitor Service - MicroWorld Technologies Inc. - E:\PROGRA~1\escan\eScan\VISTA\avpmapp.exe

O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - E:\PROGRA~1\escan\eScan\TRAYSSER.EXE

O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programme\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: MagicTuneEngine - Unknown owner - C:\Programme\MagicTune Premium\MagicTuneEngine.exe

O23 - Service: Mamutu Service (Mamutu) - Emsi Software GmbH - E:\Programme\Mamutu\Mamutu\a2service.exe

O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Programme\Gemeinsame Dateien\MicroWorld\Agent\MWASER.EXE

O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

O23 - Service: nTune Service (nTuneService) - NVIDIA - E:\Programme\NTune\nTune\nTuneService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Sandboxie Service (SbieSvc) - tzuk - E:\Programme\sandboxie\SbieSvc.exe

O23 - Service: Teriveuhw - Acronis - (no file)
 

--

End of file - 9034 bytes

Hatte gestern Abend übrigens noch ein eScan gemacht (im abg. Modus) und dabei mehrere Sachen gefunden. Konnte aber die find.bat nicht anwenden, weil das log nicht deutsch ist, obwohl ich auf deutsch gehakt hatte. Das ganze eScan-Log erspar ich mir, das ist nämlich 52mb gross. :rolleyes:

Gefunden wurden:

+ Cutwail Trojan
+ ShangXing Backdoor
+ Fujacks-type Worm
+ Trojan-Downloader.Win32.Agent.aqfw (in .../system32/oajoo.dll)

diese (oajoo.dll) Datei kann ich mit Virustotal nicht scannen, da kommt "0 bytes size received" - obwohl die Datei 62kb gross ist. Das passierte mir die letzten Tage mit einigen Dateien die ich aufgrund von verschiedenen Reports scannen wollte.

Achja, falls das am HJTlog ersichtlich ist, ich habe mom. mehrere Virenscanner installiert, aber nicht gleichzeitig aktiv. Das auch erst seitdem ich auf der Suche nach dem/n Übeltäter/n bin. Ansonsten läuft auf meinem Rechner eigentlich immer nur Antivir (Avira) (und Spybot+ Ad-Aware).

MfG
Cream

**edit**
(finde keinen Editierknopf, darum ein tripple...)

Meine Aussage aus dem ersten Post, das ich das System lieber von Hand säubern will als neuaufsetzen hat soch wohl erledigt...

:rolleyes:

Hi,

editieren geht nur innerhalb der ersten Stunde. ;)

Der Eintrag ist in der Tat etwas seltsam. Hast du in letzter Zeit etwas von Acronis installiert/deinstaliert?

Acrobat könnte übrigens ein Update vertragen.

Installiere bitte mal Malwarebytes und lasse das deinen Rechner scannen, post das Ergebnis dann hier.
erstell bitte auch ein Log mit gmer und RootkitRevealer:
Das sind einige Scans auf Dateien, Prozesse und Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

alle anderen Scanner gegen Viren, Spyware, usw deaktiviert sein
keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen)
nichts am Rechner getan werden
nach jedem Scan der Rechner neu gestartet werden

Gmer scannen lassen

Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.
Starte gmer.exe. Alle anderen Programme sollen geschlossen sein.
Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.

RootkitRevealer scannen lassen

Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
Starte in diesem Ordner RootkitRevealer.exe. Alle anderen Programme schließen.
Starte durch Klick auf "Scan".
Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

lg myrtille

Ja, habe Acronis True Image installiert. Aber schon ein Weilchen her.

Acrobat...ja, koennte so einiges Updates vertragen. Das ist das doofe mit ISDN. Aber nur noch drei Tage...

sollen malwarebytes, gmer und rootkitrevealer im normalen oder abgesicherten Modus laufen? Normal nehme ich an?

Hab mir vorhin bei einem Bekannten alle aktuellen Updates und Patches für XP besorgt, einer Neuinstallation steht also nichts mehr im Wege. Werde die Scans aber trotzdem Heute Abend machen. Wird allerdings wieder etwas später fürchte ich.

MfG
Cream

Moin!

So, hab mich jetzt doch entschieden das System neu aufzusetzen. Hab heute den Zweitrechner neu gemacht, und das hat mir ein bisschen den Unmut genommen, so dass ich den anderen auch gleich machen werde. Ist doch viel einfacher und sicherer und vorallem schneller als das ewige Scannen, Auswerten, Säubern, Scannen, Zweifeln, etc.... =)

Trotzdem Danke für die angebotene hilfe!

Aber eine Frage hab ich dennoch im Kopf.
Meine Festplatte (500GB) ist in 3 Partitionen aufgeteilt.

c:\ System only
D:\ Programme
E:\ Data

(Wobei inzwischen auf E:\ auch ein paar Programme installiert sind, weil der Platz knapp wurde.)
Muss ich jetzt beim System neu aufsetzen ALLE Partitionen plätten?
Oder reicht es wenn ich auf E:\ alles was weg kann lösche?
- Übrig bleiben würde auf E:\ dann ein Haufen MP3s, ein paar Filme und Images, und eine Menge Projektdaten (Photoshop, PDF, DOC...)
Die DOCs + PDFs lösch ich lieber doch, aber was ist mit MP3, PSD, JPG (Bilder allgemein) etc... ?

MfG
Cream

Hi,

bedenklich sind in der Regel nur ausführbare Dateien, also Endungen wie exe, com, scr.
Wenn du dein Betriebssystem neumachst musst du auch alle Programme neuinstallieren. Das ist klar oder?

Dokumente, Bilder, Musik und so sollten nicht betroffen sein. Wenn du jedoch die Partitionsgrößen verändern möchtest, dann solltest du die Dokumente sicherheitshalber nochmal woanders speichern.

lg myrtille

Ja, das Programme alle neu installiert werden müssen ist klar.

also C und D werden beide formatiert.
auf D liegen als ausführbare Dateien nur ein paar installierte Programme und Downloads/Tools. Reicht es also die zu deinstallieren (vorher) und die Downloads zu löschen - also das auf D nur meine Dokumente und Projekte bleiben?

Wobei doch zumindest in PDFs inzwischen auch schon eine Menge übles Gefiechs stecken kann oder? (und DOCs erst recht)...

Cream

Hi,

ja theoretisch gibt es Malware, die pdf oder doc oder auch Musikdateien infizieren kann.
Aber zum einen sind die Erkennungen der Antivirenscanner in dieser Hinsicht gut und zum anderen braucht es zu dem bösartigen Gesindel im PDF auch immer noch den richtigen PDF-Reader mit der entsprechenden Sicherheitslücke um das Gesindel aus dem PDF rauszulassen.

Wenn du also nach dem Neuaufsetzen alle deine Daten scannst (und nichts gefunden wird) und dir dann die aktuellsten Programme installiert kann eigentlich nicht viel passieren.

lg myrtille

Ok, dann bin ja einigermassen beruhigt. Hatte schon verzweifelt überlegt was ich mit den ca. 200gb mp3s mache. (kein externes laufwerk...das hätte eine laaange Brennsession gegeben)

Und den Acrobat werd ich dann wohl auch mal updaten. =)

Cream