|
Vundo/Virtumonde (vermutlich) Hallo, neuer member und dann gleich so ein Thema:kloppen: Sorry. Auch wenn das Thema bereits so oft existiert, wage ich mal meinen Fall zu schildern - in der Hoffnung auf Hilfe. Zum System: Windows XP mit SP2 ... auf nem etwas älteren Computer. Firefox (aber Internet-Explorer ist installiert, sonst spinnt mein MSN :pfui: ) Neu aufsetzen mit format c etc. möchte ich unbedingt vermeiden. Problem: Extrem langsamer Start. Wenn es nicht "einfriert". Fehlermeldungen der Explorer.exe, die aber ignoriert werden können (kommen als 16 bit-System Meldung). Allgemeine Langsamkeit. Im Netz kommen "lustige" pop-ups, Google/Yahoo links werden umgeleitet etc, auf Seiten von Anti-Virus-Software kann ich nicht zugreifen...updates für Windows oder Kaspersky (hab 2009 erst nach der Infektion bekommen) runterladen funktioniert auch nicht :koch:. Das "übliche" Vundo-Verhalten (von dem was ich gelesen habe). In Ad-Aware (welches im Weiteren nutzlos war und de-installiert wurde) war auch mal Vundo/Virtumonde als Meldung aufgetaucht. Andere Programme (Spybot, Malwarebites) werden gar nicht erst gestartet. Hijackthis meint: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 17:48:39, on 06.01.2009 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe C:\WINDOWS\system32\cisvc.exe C:\WINDOWS\Explorer.EXE C:\Programme\Java\jre6\bin\jqs.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\WINDOWS\Dit.exe C:\WINDOWS\CNYHKey.exe C:\WINDOWS\system32\Prismsta.exe C:\Programme\HP\hpcoretech\hpcmpmgr.exe C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe C:\Programme\Logitech\QuickCam\Quickcam.exe C:\Programme\Java\jre6\bin\jusched.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\Programme\Gemeinsame Dateien\Logishrd\LQCVFX\COCIManager.exe C:\WINDOWS\System32\svchost.exe c:\programme\logitech\quickcam\lu\lulnchr.exe C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe C:\WINDOWS\system32\wscntfy.exe c:\programme\logitech\quickcam\lu\LogitechUpdate.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE C:\Programme\Windows Live\Messenger\msnmsgr.exe C:\Programme\Windows Live\Messenger\usnsvc.exe C:\WINDOWS\system32\rundll32.exe c:\lotus\wordpro\wordpro.exe C:\Programme\Internet Explorer\iexplore.exe C:\DOKUME~1\***\LOKALE~1\Temp\csrssc.exe C:\WINDOWS\system32\taskmgr.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hp://w.accoona.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hp://go.microsoft.com/fwlink/?LinkId=69157 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = hp://w.accoona.com/search?q=%s R3 - URLSearchHook: (no name) - {2C3C5EB0-DC2C-BFC8-F54F-4B4383BDC9F9} - FLKPT.dll (file missing) F2 - REG:system.ini: UserInit=userinit.exe O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [CHotkey] mHotkey.exe O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe O4 - HKLM\..\Run: [Prism_Utility] Prismsta.exe O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe" O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Programme\Logitech\QuickCam\Quickcam.exe" /hide O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" O4 - HKLM\..\Run: [2496af42] rundll32.exe "C:\WINDOWS\system32\arqcykfe.dll",b O4 - HKCU\..\Run: [Eraser] C:\Programme\Eraser\eraser.exe -hide O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [gadcom] "C:\Dokumente und Einstellungen\***\Anwendungsdaten\gadcom\gadcom.exe" 61A847B5BBF728173599284503996897C881250221C8670836AC4FA7C8833201749139 O4 - HKCU\..\Run: [Jnskdfmf9eldfd] C:\DOKUME~1\SEBAST~1\LOKALE~1\Temp\csrssc.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: Logitech . Produktregistrierung.lnk = C:\Programme\Logitech\QuickCam\eReg.exe O4 - Global Startup: Kodak EasyShare Software.lnk = C:\Programme\Kodak\Kodak EasyShare software\bin\EasyShare.exe O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - hp://w.medionshop.de/ (file missing) (HKCU) O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - hp://software-dl.real.com/04a30f04300bfbf27206/netzip/RdxIE601_de.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - hp://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{AE60CE46-C8A7-4F46-9B82-19496EE1E875}: NameServer = 217.237.149.205 217.237.151.51 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O20 - AppInit_DLLs: axlrsp.dll wtdhhh.dll qergrj.dll itbhyl.dll glezxi.dll qcrpie.dll ugtpei.dll gromqd.dll vpswlf.dll lceaff.dll dcfkxh.dll wzdgxc.dll slpilz.dll awengh.dll bldqdp.dll oyqtrx.dll pnugaj.dll tmeubo.dll nrohqz.dll xkcgcq.dll syswwb.dll quykcz.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll ejmdtq.dll O22 - SharedTaskScheduler: KJhaiufhw3nrih7wefywjfsdfd - {D5BF49A2-94F1-42BD-F434-3604812C807D} - C:\WINDOWS\system32\rsekd83jde.dll O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe O23 - Service: hpdj - Unknown owner - C:\DOKUME~1\***\LOKALE~1\Temp\hpdj.exe (file missing) O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe O23 - Service: LVCOMSer - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe O23 - Service: TSMService - T-Systems Nova, Berkom - C:\Programme\T-DSL SpeedManager\tsmsvc.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe |
Hallo und :hallo: Arbeite diese Liste ab: 1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen: Code: C:\WINDOWS\system32\arqcykfe.dllPoste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so: HTML-Code: [code] Hier das Logfile rein! [/code]3.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!) 4.) Superantispyware runterladen und laufenlassen, so wie hier beschrieben: http://www.trojaner-board.de/51871-a...tispyware.html 5.) ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. 6.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe Editiere die Links und privaten Infos!! ciao, andreas |
Thanks. Und sorry, wegen den logfile-Format. Das Problem bei den ersten Schritten (mit Ausnahme von combofix, wovon ich bisher die Finger gelassen habe) ist folgendes: Ich bekomme keine server-Verbindung zu den Seiten. Alles, was mit Anti-Virus zu tun hat wird geblockt. Virustotal (gerade mehrfach probiert) und die direkten downloads für Malwarebytes etc. auch (wie schon oben beschrieben). Ich habe mir Malwarebytes und Superantispyware als downloadvon einem anderen rechner ziehen können (Uni-Rechner, da komm ich vor morgen auch nicht dran). Beide Programme werden nicht gestartet. malwarebytes ohne jede Meldung. Superantispyware gibt eine (Windows)Fehlermeldung ohne weitere Begründung. :( |
Start => Ausführen => devmgmt.msc eingeben und [Enter] drücken Menüzeile: Ansicht => Ausgeblendete Geräte anzeigen => Nicht-PNP-Treiber Dort alle Treiber, die mit ADS oder TDS beginnen (vermutlich ist es TDSSserv.sys) deaktivieren => Rechner neustarten, nochmal probieren. ciao, andreas p.s.: Teste auch das Umbenennen der Programme in z.B. asdf.com |
Danke. Es war die TDSSserv :) Ich geh dann mal die Liste durch. arqcykfe.dll Code: Antivirus Version letzte aktualisierung Ergebnis |
csrssc.exe Code: Antivirus Version letzte aktualisierung ErgebnisCode: Antivirus Version letzte aktualisierung Ergebnis |
Die gadcom war "verschwunden", bei malwarebytes aber wieder da...hmmm. Code: Malwarebytes' Anti-Malware 1.32Code: |
Zitat:
Seit wann hast du denn schon Probleme? ciao, andreas |
Zitat:
Party! :taenzer: Der machte schon immer wieder mal n paar kleiner Probleme... aber direkt mit dem was ich im Eingangspost beschrieben habe seit ca. 5 Tagen. Ja, ich bin langsam :uglyhammer: Ich hab, wie der log zeigt mal den Kram mit malwarebytes gelöscht und auch neu gebootet und geh grad noch mal damit drüber, um zu sehen was da nun angezeigt wird. |
So, das ist auch durch. Komischerweise hat er noch mal 2 Einträge gefunden, aber zumindest nicht mehr 100. Code: Malwarebytes' Anti-Malware 1.32 |
Superantispyware war dafür fündig. Code: SUPERAntiSpyware Scan Log |
ComboFix wird noch mehr finden. ciao, andreas |
Das sind ja gute Aussichten :D Superantispyware war schon ziemlich gut. Allerdings konnt ich jetzt bein restart 4 mal nicht normal booten. Nur in den abgesicherten Modus. Dann kam beim 3./4. mal die Meldung das ein paar Dateien nicht geladen werden konnten (aus System32, also vemutlich infizierte oder Vundo). Jetzt funzt es wieder. Normal/Okay oder nicht? |
Nö, alles andere als normal. Poste ein aktuelles HJT-Log bevor du weitermachst. ComboFix noch nicht starten. War eh etwas verblüfft, das SuperAntiSpyware die Sachen, die MbAm schon gelöscht hat, noch einmal löschen kann. Kontrolliere die Systemwiederherstellung. Sie muss ausgeschaltet sein. ciao, andreas |
Okay. Was nun? Noch einmal von vorn? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 15:07 Uhr. |
Copyright ©2000-2025, Trojaner-Board