Trojaner-Board - Hilfe! Trojaner, was tun?

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Hilfe! Trojaner, was tun? (https://www.trojaner-board.de/71840-hilfe-trojaner-tun.html)

Knolle

08.04.2009 17:07

Hilfe! Trojaner, was tun?

hallo,
hab eben eine Datei heruntergeladen und dann hat mir mein AntiVir eine Benachrichtigung geschickt das es sich um einen Trojaner handelt. Hab diesen dann in die Quarantäne verschoben.Hat nicht beim ersten mal geklappt aber nach ein paar Wiederholungen ging es. Nur kann ich die Datei die ich geladen hab nicht löschen?! Wenn ich diese löschen will kommt ein Fenster wo es heißt " Sie benötigen Berechtigungen zur Durchführung des Vorgangs".
Wie kriege ich jetzt diese Datei von meinem Rechner?
Mfg Knolle

grandnic11

08.04.2009 17:12

Hallo Knolle und :hallo:

Poste bitte mal das HijackThis log und den Namen + Verzeichnis des Virus

john.doe

08.04.2009 17:12

Hallo und :hallo:

Schicke mir den Downloadlink bitte als persönliche Nachricht zu.

Klicke anschliessend auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die Liste unter Punkt 2 ab.

ciao, andreas

p.s.: @grandnic11 Lies bitte das hier: http://www.trojaner-board.de/69603-f...dem-forum.html

VT ist gerade down, Avira und Threatexpert haben noch nicht geantwortet, aber das Ergebnis von Jotti ist katastrophal:

Code:

Datei:  DSC4338ed7.jpg___________.exe  

Auslastung:  0%        100%  

 

Status:  INFIZIERT/MALWARE  

Entdeckte Packprogramme:  - 

Bit9 rapportiert:  {BIT9_THREAT}  

   

A-Squared  Backdoor.Win32.VB!IK gefunden  

AntiVir  Keine Viren gefunden 

ArcaVir  Keine Viren gefunden 

Avast  Keine Viren gefunden 

AVG Antivirus  Keine Viren gefunden 

BitDefender  Keine Viren gefunden 

ClamAV  Keine Viren gefunden 

CPsecure  Keine Viren gefunden 

Dr.Web  Keine Viren gefunden 

F-Prot Antivirus  Keine Viren gefunden 

F-Secure Anti-Virus  Trojan.Win32.VB.myl gefunden  

Ikarus  Backdoor.Win32.VB gefunden  

Kaspersky Anti-Virus  Trojan.Win32.VB.myl gefunden  

NOD32  a variant of Win32/Injector.LK gefunden  

Norman Virus Control  Keine Viren gefunden 

Panda Antivirus  Keine Viren gefunden 

Quick Heal  Trojan.VB.myl gefunden  

Sophos Antivirus  Mal/Generic-A gefunden  

VirusBuster  Keine Viren gefunden 

VBA32  Keine Viren gefunden

Knolle

08.04.2009 17:54

also der Name des Virus ist "Trojanisches Pferd TR/Crypt.XPACK.Gen" und das Verzeichnis der Datei "C:\Users\Knolle\Downloads" , hoffe das du das meinst mit dem Verzeichnis. Und "HiJackThis", mhm kp ich glaub ich hab sowas nicht, also benutze AntiVir Personal. Sry bin nicht gerade der PC-Pro^^

john.doe

08.04.2009 17:55

Sind noch andere Dateien in dem Ordner?

ciao, andreas

Knolle

08.04.2009 17:56

VT ist gerade down, Avira und Threatexpert haben noch nicht geantwortet, aber das Ergebnis von Jotti ist katastrophal:

Code:

Datei:  DSC4338ed7.jpg___________.exe  

Auslastung:  0%        100%  

 

Status:  INFIZIERT/MALWARE  

Entdeckte Packprogramme:  - 

Bit9 rapportiert:  {BIT9_THREAT}  

   

A-Squared  Backdoor.Win32.VB!IK gefunden  

AntiVir  Keine Viren gefunden 

ArcaVir  Keine Viren gefunden 

Avast  Keine Viren gefunden 

AVG Antivirus  Keine Viren gefunden 

BitDefender  Keine Viren gefunden 

ClamAV  Keine Viren gefunden 

CPsecure  Keine Viren gefunden 

Dr.Web  Keine Viren gefunden 

F-Prot Antivirus  Keine Viren gefunden 

F-Secure Anti-Virus  Trojan.Win32.VB.myl gefunden  

Ikarus  Backdoor.Win32.VB gefunden  

Kaspersky Anti-Virus  Trojan.Win32.VB.myl gefunden  

NOD32  a variant of Win32/Injector.LK gefunden  

Norman Virus Control  Keine Viren gefunden 

Panda Antivirus  Keine Viren gefunden 

Quick Heal  Trojan.VB.myl gefunden  

Sophos Antivirus  Mal/Generic-A gefunden  

VirusBuster  Keine Viren gefunden 

VBA32  Keine Viren gefunden

[/QUOTE]

Danke für deine Bemühungen aber was genau heißt das jetzt für mich? o.O

grandnic11

08.04.2009 17:59

Zitat:

@grandnic11 Lies bitte das hier: Für alle zukünftigen und derzeitigen Helfer auf dem Forum

Wieso was habe ich falsch gemacht?

Knolle

08.04.2009 18:01

ja in dem Order " Download" sind noch mehrere, aber die Meldung kam als ich die Datei "DSC4338ed7.jpg___________" geladen hab.
mfg

john.doe

08.04.2009 18:04

Zitat:

Danke für deine Bemühungen aber was genau heißt das jetzt für mich?

Erstmal noch nichts. Aber als Vorbereitung solltest du das hier lesen: http://www.trojaner-board.de/394394-post12.html

Zitat:

in dem Order " Download" sind noch mehrere, aber die Meldung kam als ich die Datei "DSC4338ed7.jpg___________" geladen hab.

Du hast sie also noch nicht gestartet sondern nur geladen und sie lässt sich nicht löschen? Falls ja, dann kopiere alles aus dem Downloadordner.

Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

Code:

Folders to delete:

C:\Users\Knolle\Downloads

http://saved.im/mzi3ndg3nta0/aven.jpg

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

ciao, andreas

Knolle

08.04.2009 18:11

gut danke, naja das macht mir jetzt schon ein wenig Sorgen. Aber bis jetzt habe ich noch keine Auswirkungen auf mein System bemerkt. Besteht dieses Risiko denn weiter solange sich die Datei noch in dem Ordner befindet obwohl ich den Trojaner in Quarantäne verschoben hab

john.doe

08.04.2009 18:15

Beantworte bitte folgende Frage:

Hast du die Datei gestartet?

ciao, andreas

Knolle

08.04.2009 18:16

doch gestartet habe ich die Datei auch, also könnte es mit dem Tool Hopsassa klappen?
danke

john.doe

08.04.2009 18:20

Dann wird Hopsassa nicht reichen. Aber es ist ein guter Start. Lösche den Ordner mit Hopsassa (aka Avenger).

ciao, andreas

Knolle

08.04.2009 18:42

ok hab den Ordner gelöscht.
hier der Text:

Logfile of The Avenger Version 2.0, (c) by Swandog46
Swandog46's Public Anti-Malware Tools

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Folder "C:\Users\Knolle\Downloads" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

mfg

john.doe

08.04.2009 18:46

Die ist jetzt erstmal weg, ich befürchte jedoch, dass da noch mehr ist. Deshalb arbeite jetzt erstmal die Liste unter Punkt 2 ab.

ciao, andreas

Knolle

08.04.2009 18:52

ok alles klar danke

mfg

Knolle

09.04.2009 14:52

ich meld mich nochmal. und zwar habe ich meinen rechner heute gestartet und dann erschien ein fenster

Autolt Error
Line -1:
Error: The requested action with this object has failed.

hängt das wahrscheinlich mit dem virus zusammen? und wie kann ich den fehler beheben?
mfg

john.doe

09.04.2009 14:52

Nur der Vollständigkeit halber:

ThreatExpert Report: Mal/Generic-A, Win-Trojan/Xema.variant

Avira Antivirus Solutions

VT läuft auch wieder:

Code:

Datei DSC4338ed7.jpg___________.exe empfangen 2009.04.09 15:48:29 (CET)

Status:   Beendet 

Ergebnis: 19/40 (47.5%) 

 Filter 

Drucken der Ergebnisse  Antivirus        Version        letzte aktualisierung        Ergebnis

a-squared        4.0.0.101        2009.04.09        Backdoor.Win32.VB!IK

AhnLab-V3        5.0.0.2        2009.04.09        Win-Trojan/Xema.variant

AntiVir        7.9.0.138        2009.04.09        TR/VB.myl.1

Antiy-AVL        2.0.3.1        2009.04.09        Trojan/Win32.VB

Authentium        5.1.2.4        2009.04.08        -

Avast        4.8.1335.0        2009.04.08        -

AVG        8.5.0.285        2009.04.09        Dropper.Small.BFM

BitDefender        7.2        2009.04.09        -

CAT-QuickHeal        10.00        2009.04.09        Trojan.VB.myl

ClamAV        0.94.1        2009.04.09        -

Comodo        1107        2009.04.09        -

DrWeb        4.44.0.09170        2009.04.09        -

eSafe        7.0.17.0        2009.04.07        Win32.Injector.Lk

eTrust-Vet        31.6.6447        2009.04.09        -

F-Prot        4.4.4.56        2009.04.08        -

F-Secure        8.0.14470.0        2009.04.09        Trojan.Win32.VB.myl

Fortinet        3.117.0.0        2009.04.09        PossibleThreat

GData        19        2009.04.09        -

Ikarus        T3.1.1.49.0        2009.04.09        Backdoor.Win32.VB

K7AntiVirus        7.10.697        2009.04.08        -

Kaspersky        7.0.0.125        2009.04.09        Trojan.Win32.VB.myl

McAfee        5578        2009.04.08        Generic.dx

McAfee+Artemis        5578        2009.04.08        Generic.dx

McAfee-GW-Edition        6.7.6        2009.04.09        Trojan.VB.myl.1

Microsoft        1.4502        2009.04.09        -

NOD32        3997        2009.04.09        a variant of Win32/Injector.LK

Norman        6.00.06        2009.04.09        -

nProtect        2009.1.8.0        2009.04.09        -

Panda        10.0.0.14        2009.04.08        -

PCTools        4.4.2.0        2009.04.08        -

Prevx1        V2        2009.04.09        Medium Risk Malware

Rising        21.24.32.00        2009.04.09        -

Sophos        4.40.0        2009.04.09        Mal/Generic-A

Sunbelt        3.2.1858.2        2009.04.09        Trojan.Unclassified.gen

Symantec        1.4.4.12        2009.04.09        Trojan Horse

TheHacker        6.3.4.0.305        2009.04.09        -

TrendMicro        8.700.0.1004        2009.04.09        -

VBA32        3.12.10.2        2009.04.09        -

ViRobot        2009.4.7.1686        2009.04.09        -

VirusBuster        4.6.5.0        2009.04.09        -

weitere Informationen

File size: 921387 bytes

MD5...: 38ea5ca6c20c61943c0c08fa15945cac

SHA1..: 68e29561845f0970fea6513392383c063eb95c60

SHA256: db3323d0bebdc289ac0fa953a2dd563ade59d7a2414df73c91d0e081eacf5b36

SHA512: 62477ed571de5eac7cd9da2cffc7e9835c02d810f7ebdcefe6d1887bfda384e1

c46f3307fe9cc0851b1d993cf84a6fa4347152e1636c7e37278064b9d5574da5

ssdeep: 24576:Iiv1iUlOAizRL4hK9bna1tuP92QaMp354Zs2MM:Iiv11lOVLqK9bnay12Q

aMpJ6IM

PEiD..: -

TrID..: File type identification

Win32 Executable Microsoft Visual Basic 6 (86.2%)

Win32 Executable Generic (5.8%)

Win32 Dynamic Link Library (generic) (5.1%)

Generic Win/DOS Executable (1.3%)

DOS Executable Generic (1.3%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x263c

timedatestamp.....: 0x49c89dd1 (Tue Mar 24 08:46:09 2009)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0xf110 0x10000 5.57 f9e25811d33b8abbc6d892544a7e9451

.data 0x11000 0x67c 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110

.rsrc 0x12000 0xaf518 0xb0000 7.99 377137d3abd855b31935e7904713e5ee
 

( 1 imports ) 

> MSVBVM60.DLL: __vbaVarSub, __vbaStrI2, _CIcos, _adj_fptan, __vbaVarMove, __vbaVarVargNofree, __vbaAryMove, __vbaFreeVar, __vbaStrVarMove, __vbaLenBstr, __vbaEnd, __vbaFreeVarList, __vbaVarIdiv, _adj_fdiv_m64, -, _adj_fprem1, __vbaRecAnsiToUni, __vbaResume, __vbaStrCat, __vbaVarCmpNe, __vbaRecDestruct, __vbaSetSystemError, __vbaHresultCheckObj, _adj_fdiv_m32, __vbaVarTstLe, __vbaAryVar, __vbaVarCmpGe, __vbaAryDestruct, __vbaVarForInit, -, __vbaVarPow, __vbaExitProc, -, __vbaStrLike, __vbaObjSet, __vbaOnError, _adj_fdiv_m16i, _adj_fdivr_m16i, __vbaVarIndexLoad, -, __vbaBoolVarNull, _CIsin, __vbaErase, -, -, __vbaVarZero, -, __vbaVarCmpGt, __vbaChkstk, -, __vbaFileClose, -, -, __vbaStrCmp, __vbaPutOwner3, __vbaVarTstEq, __vbaAryConstruct2, DllFunctionCall, -, __vbaVarOr, _adj_fpatan, __vbaRedim, __vbaRecUniToAnsi, -, -, _CIsqrt, __vbaVarAnd, __vbaVarMul, __vbaExceptHandler, -, __vbaPrintFile, __vbaStrToUnicode, _adj_fprem, _adj_fdivr_m64, -, __vbaVarDiv, -, __vbaVarCmpLe, __vbaFPException, -, __vbaStrVarVal, __vbaUbound, __vbaVarCat, -, -, _CIlog, __vbaFileOpen, __vbaVar2Vec, -, __vbaNew2, __vbaInStr, _adj_fdiv_m32i, -, _adj_fdivr_m32i, __vbaStrCopy, __vbaVarCmpLt, __vbaFreeStrList, _adj_fdivr_m32, __vbaPowerR8, _adj_fdiv_r, -, -, __vbaI4Var, __vbaVarCmpEq, __vbaAryLock, __vbaVarAdd, __vbaVarDup, __vbaStrToAnsi, __vbaFpI2, __vbaVarMod, -, __vbaFpI4, -, _CIatan, __vbaAryCopy, __vbaStrMove, __vbaStrVarCopy, -, _allmul, _CItan, __vbaAryUnlock, __vbaVarForNext, _CIexp, __vbaI4ErrVar, __vbaFreeObj, __vbaFreeStr, -
 

( 0 exports ) 

RDS...: NSRL Reference Data Set

-

ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=38ea5ca6c20c61943c0c08fa15945cac' target='_blank'>http://www.threatexpert.com/report.aspx?md5=38ea5ca6c20c61943c0c08fa15945cac</a>

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=253D9A232B66EECC0F970E429ABF28005BF04A76' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=253D9A232B66EECC0F970E429ABF28005BF04A76</a>

Zitat:

naja das macht mir jetzt schon ein wenig Sorgen.

:) Soso, nur ein wenig also. :D

ciao, andreas

Knolle

09.04.2009 15:14

john.doe

09.04.2009 16:16

Zitat:

Klicke anschliessend auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die Liste unter Punkt 2 ab.

ciao, andreas

Knolle

10.04.2009 22:35

Malwarebytes' Anti-Malware 1.36
Datenbank Version: 1963
Windows 6.0.6001 Service Pack 1

10.04.2009 23:33:22
mbam-log-2009-04-10 (23-33-22).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 161860
Laufzeit: 1 hour(s), 17 minute(s), 5 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winprox32_1 (Trojan.Proxy) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\knolle\AppData\Roaming\psvrr.exe (Trojan.Proxy) -> Quarantined and deleted successfully.
C:\Users\knolle\AppData\Roaming\psvr32.exe (Trojan.Proxy) -> Quarantined and deleted successfully.
C:\Users\knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567\down\nDler001.exe (Trojan.Agent.V) -> Quarantined and deleted successfully.
C:\Users\knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567\down\prox000.exe (Trojan.Proxy) -> Quarantined and deleted successfully.

Knolle

10.04.2009 22:47

Adobe Flash Player 10 ActiveX
Adobe Flash Player 10 Plugin
Adobe Reader 9 - Deutsch
Apple Mobile Device Support
Apple Software Update
Ashampoo Burning Studio 6 FREE
Ask Toolbar
Assassin's Creed
Avira AntiVir Personal - Free Antivirus
Battlefield 2(TM)
Bonjour
CCleaner (remove only)
DivX Codec
DivX Converter
DivX Player
DivX Plus DirectShow Filters
DivX Web Player
Free Audio Dub version 1.4
Free Video to iPod Converter version 3.1
Free Video to Mp3 Converter version 3.1
Free YouTube to Mp3 Converter version 3.1
Grand Theft Auto IV
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)
ICQ6.5
IrfanView (remove only)
iTunes
Java(TM) 6 Update 13
LastChaosGER
Malwarebytes' Anti-Malware
McLoad Preinstaller
Microsoft .NET Framework 3.5 Language Pack SP1 - deu
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft .NET Framework 3.5 SP1
Microsoft Games for Windows - LIVE Redistributable
Microsoft Silverlight
Microsoft Visual C++ 2005 Redistributable
Mozilla Firefox (3.0.8)
MSN Toolbar
NVIDIA Drivers
QuickTime
Rockstar Games Social Club
Uninstall 1.0.0.1
VC80CRTRedist - 8.0.50727.762
Virtual DJ - Atomix Productions
VLC media player 0.9.8a
Windows Media Player Firefox Plugin
WinRAR

john.doe

10.04.2009 22:49

1.) Ich brauche den Inhalt des Ordners:

Code:

C:\Users\Knolle\AppData\Roaming\

2.) Lasse folgendes Avengerskript laufen:

Code:

Folders to delete:

C:\Users\Knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567
 

Files to delete:

C:\Users\Knolle\AppData\Roaming\svchost.exe

Poste das Log.

3.) Deinstalliere:
Apple Software Update
Ask Toolbar
Bonjour
MSN Toolbar
Uninstall 1.0.0.1

4.) Poste ein aktuelles HJT-Log.

ciao, andreas

Knolle

10.04.2009 22:51

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:49:10, on 10.04.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O2 - BHO: MSN Toolbar Helper - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Program Files\MSN\Toolbar\3.0.0744.0\msneshellx.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O3 - Toolbar: MSN Toolbar - {1E61ED7C-7CB8-49d6-B9E9-AB4C880C8414} - C:\Program Files\MSN\Toolbar\3.0.0744.0\msneshellx.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

--
End of file - 4648 bytes

john.doe

10.04.2009 23:06

Bitte die Reihenfolge strikt einhalten. Ich habe mir schon etwa dabei gedacht. :)

ciao, andreas

Knolle

10.04.2009 23:09

Zitat:

Zitat von john.doe (Beitrag 427638)

1.) Ich brauche den Inhalt des Ordners:

Code:

C:\Users\Knolle\AppData\Roaming\

2.) Lasse folgendes Avengerskript laufen:

Code:

Folders to delete:

C:\Users\Knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567
 

Files to delete:

C:\Users\Knolle\AppData\Roaming\svchost.exe

Poste das Log.

wie zeige ich dir den inhalt des ordners und wie lasse ich den avangerskript laufen?
mfg

john.doe

10.04.2009 23:17

Zitat:

wie zeige ich dir den inhalt des ordners

Mit dem Windowsexplorer zu dem Ordner navigieren, Screenshot erstellen ([Druck]-Taste), Grafikprogramm starten, einfügen, speichern, beim Imagehoster (z.B. PiC.LEECH.iT - FREE iMAGE HOSTiNG) hochladen und hier den Link posten.

Zitat:

wie lasse ich den avangerskript laufen?

Genau wie du es hier schon einmal gemacht hast: http://www.trojaner-board.de/427081-post9.html

ciao, andreas

Knolle

10.04.2009 23:38

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: could not open folder "C:\Users\Knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567"
Deletion of folder "C:\Users\Knolle\AppData\Roaming\_41986ed99cf39a51e1c2841cf85fe567" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Error: could not open file "C:\Users\Knolle\AppData\Roaming\svchost.exe"
Deletion of file "C:\Users\Knolle\AppData\Roaming\svchost.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Completed script processing.

*******************

Finished! Terminate.

Knolle

11.04.2009 00:23

ich krieg das grad nit gebacken den screenshot hochzuladen:balla:
ist der wichtig? oder kann ich jetzt hiermit weitermachen?

Deinstalliere:
Apple Software Update
Ask Toolbar
Bonjour
MSN Toolbar
Uninstall 1.0.0.1

Poste ein aktuelles HJT-Log.

danke mfg knolle

john.doe

11.04.2009 00:33

Ja.

Gute Nacht, andreas

Knolle

11.04.2009 08:34

moinmoin
hier der link zum screenshot
http://www.bildercache.de/anzeige.html?dateiname=20090411-093007-448.jpg

Knolle

11.04.2009 08:40

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:40:04, on 11.04.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

--
End of file - 3966 bytes

john.doe

11.04.2009 09:12

1.) Solltest du weiterhin Programme mit BitTorrent oder McLoad saugen, dann kannst du sicher sein, dass du auch weiterhin Probleme mit Schädlingen hast. Klicke auf die letzten beiden Links in meiner Signatur und lies alles aufmerksam.

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Navigiere mit dem Windowsexplorer zum Ordner

Code:

C:\Users\Knolle\AppData\Roaming\

und lösche den Ordner

Code:

_41986ed99cf39a51e1c2841cf85fe567

=> Neustart => Kontrolliere, ob der Ordner auch wirklich entfernt ist oder ob er wieder erscheint.

4.) Aktiviere die Systemwiederherstellung.

5.) Scanner nach Anleitung (nur Punkt 1-3) laufen lassen und Log posten: http://www.trojaner-board.de/51871-a...tispyware.html

ciao, andreas

Knolle

11.04.2009 10:59

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 04/11/2009 at 11:55 AM

Application Version : 4.26.1000

Core Rules Database Version : 3839
Trace Rules Database Version: 1795

Scan type : Complete Scan
Total Scan Time : 00:46:53

Memory items scanned : 573
Memory threats detected : 0
Registry items scanned : 5310
Registry threats detected : 0
File items scanned : 104960
File threats detected : 2

Adware.Tracking Cookie
C:\Users\knolle\AppData\Roaming\Microsoft\Windows\Cookies\knolle@atwola[2].txt
C:\Users\knolle\AppData\Roaming\Microsoft\Windows\Cookies\knolle@tradedoubler[2].txt

john.doe

11.04.2009 11:10

Deinstalliere SuperAntiSpyware.

Ist der Ordner noch da?

ciao, andreas

Knolle

11.04.2009 11:18

so SuperAntiSpyware ist deinstalliert und der ordner ist auch weg.

john.doe

11.04.2009 11:23

Zitat:

der ordner ist auch weg.

:daumenhoc

Sollte beim nächsten Scan nichts mehr gefunden werden, dann hast du es geschafft. :)

Kaspersky Online Scan

Überprüfe Dein komplettes System mit dem Kaspersky Online-Scanner. Bitte während des Scans alle evtl. vorhandenen externen Festplatten einschalten/anschließen. Außerdem während des Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliche) abstellen und nicht vergessen, sie hinterher wieder einzuschalten.

Kaspersky Online Scanner
- Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
- Java muss installiert, aktiv und erlaubt sein.
- Bebilderte Anleitung von sundavis.
- Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
- Wir werden Dir helfen, die Funde manuell vom System zu entfernen.
- Die Datenschutzerklärung akzeptieren.
- Programm installieren lassen.
- Update der Signaturen installieren lassen.
- Wenn der Status "Complete" ist,
- Scan-Einstellungen (Settings) Standard lassen
- Links den Link "My Computer" anklicken.
- Scan beginnt automatisch.
- Wenn der Scan fertig ist, auf "View scan report" klicken,
- "Save report as" und Dateityp auf .txt umstellen,
- und auf dem Desktop als Kaspersky.txt speichern.
- Logdatei hier posten.
- Deinstallation ist nicht nötig, alle Dateien werden in temporären Ordnern gespeichert.

ciao, andreas

Knolle

14.04.2009 13:09

hier das erbeniss vom kaspersky, scheint mir ganz gut auszusehen:)

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7.0 REPORT
Tuesday, April 14, 2009
Operating System: Microsoft Windows Vista Home Premium Edition, 32-bit Service Pack 1 (build 6001)
Kaspersky Online Scanner version: 7.0.26.13
Program database last update: Tuesday, April 14, 2009 12:03:33
Records in database: 2043225
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
C:\
D:\

Scan statistics:
Files scanned: 108443
Threat name: 0
Infected objects: 0
Suspicious objects: 0
Duration of the scan: 00:53:34

No malware has been detected. The scan area is clean.

The selected area was scanned.

john.doe

14.04.2009 15:33

Zitat:

scheint mir ganz gut auszusehen

Gut erkannt. :) Bist entlassen.

ciao, andreas

Alle Zeitangaben in WEZ +1. Es ist jetzt 01:58 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19