Trojaner-Board - Keylogger unlöschbar

Hi,

ich schau mir grad auf ner VM nen keylogger an.
hab die datei gestartet und es wurde winupd.exe im system32-ordner erstellt, sowie ein registry eintrag zum autostart.

jetzt das problem:
es ist keine winupd.exe im taskmanager zu sehen, man kann aber auch nicht die datei kopieren/ öffnen o.Ä.

dafür wird die iexplore.exe immer unsichtbar gestartet. wenn man diese beendet startet sie erneut

außerdem sieht man mithilfe von regmon, dass wenn man den autostarteintrag in der registry löscht, er automatisch kurz darauf von der explorer.exe neu erstellt wird.

jaaa, das is ja blöd- anscheinend hat sich der keylogger in die beide .exe injected (oder so :P)

wie könnte man dieses problem denn jetzt theoretisch lösen? es sind ja schließlich windowsdateien im spiel, die man braucht.

(jetzt bitte nicht kommen mit "neu aufsetzen etc", is eh nur ne vm. aber mir geht es um die theorie)

danke :)

ps: hijackthis:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:35:38, on 08.05.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Virtual Machine Additions\vmsrvc.exe

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

C:\Programme\Virtual Machine Additions\vpcmap.exe

C:\WINDOWS\System32\alg.exe

C:\Programme\Virtual Machine Additions\vmusrvc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Styler\Styler.exe

C:\Dokumente und Einstellungen\Haha\Desktop\procexp.exe

C:\WINDOWS\explorer.exe

C:\Programme\Internet Explorer\iexplore.exe

C:\Dokumente und Einstellungen\Haha\Desktop\Tcpview.exe

C:\Programme\Ace Password Sniffer\APS.exe

C:\WINDOWS\regedit.exe

C:\Dokumente und Einstellungen\Haha\Desktop\HijackThis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.winfuture.de/

O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Programme\Styler\TB\StylerTB.dll

O4 - HKLM\..\Run: [VMUserServices] C:\Programme\Virtual Machine Additions\vmusrvc.exe

O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe

O4 - HKLM\..\Run: [Windows Update] C:\WINDOWS\system32\winupd.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Styler.lnk = ?

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1239352727658

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
 

--

End of file - 3025 bytes

achja:

tcpview zeigt mir immer in bestimmten abständen eine verbindung an:

Code:

iexplore.exe:272        TCP        trojanhunt:1374        p5b375e4c.dip.t-dialin.net:6885        SYN_SENT

er sendet also etwas an p5b375e4c.dip.t-dialin.net (t-online)
aber was ist das? ne direkte verbindung? ein ftp?