Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   AV meldet Obfuscator.ER und Spy.Agent.xps (https://www.trojaner-board.de/74221-av-meldet-obfuscator-spy-agent-xps.html)

Hedgehog 16.06.2009 16:30
AV meldet Obfuscator.ER und Spy.Agent.xps
 
Hallo Trojaner-Board Community,

Seit etwa einer Woche habe ich einen vermeintlichen Virus auf meinem System (Laptop, Windows Vista Business SP1, Avira AntiVir PE, CCleaner, Windowsfirewall Aktiv)
Der äußerte sich bisher durch gelegentliches Aufrufen von Werbeseiten mit dem IE, ohne das ich auch nur annähernd etwas gestartet hätte.

Zunächst wollte ich natürlich selber erst mal was herausfinden, leider lassen sich weder AntiMalware noch Hijackthis installieren. Bei ersterem folgt nach erfolgreicher Installation ein Windowsfenster mit "Malwarebytes... funktioniert nicht mehr". HJT startet erst gar nicht. Seit ich mir dann die Sunbelt Personal Firewall installiert habe, meldet sich kein Fenster mehr (ich blocke ja auch alle ein/ausgehenden Verbindungen die ich nicht kenne...)

Außerdem findet AntiVir seit etwa 2 Tagen immer die selben Schädlinge:

--> SPR/Tool.Obfuscator.ER.42
--> TR/Spy.Agent.xeq

beide im Ordner C-Windows-System32-Beginnend mit "MSIVX..."
Hochladen bei einem Onlinevirenscanner geht nicht, da ich die Dateien nicht finden kann, trotz entsprechenden Einstellungen in den "Ordneroptionen"

Eventuell hat einer von euch noch einen Tipp zum weiteren Vorgehen. Neu Aufsetzen wäre sicherlich kein Problem, aber die Mühe möchte ich mir nur machen wenn es unbedingt sein muss (Mein Laptop hat eine XP Version samt Treiber mitgeliefert, die würde ich dann bei der Gelegenheit draufspielen...)

Auf alle Antworten freue ich mich, Danke schon mal im Voraus, Viele Grüße

Hedgehog :)

john.doe 16.06.2009 17:08
Hallo und :hallo:
Zitat:
Neu Aufsetzen wäre sicherlich kein Problem, aber die Mühe möchte ich mir nur machen wenn es unbedingt sein muss
Dann tue es, denn Neuaufsetzen ist immer schneller und sicherer als Säuberung.
http://www.trojaner-board.de/51262-a...sicherung.html

Den hatte ich gerade und wir sind immer noch nicht durch. :)
http://www.trojaner-board.de/74136-a...ndet-mods.html

Wenn dir der Weg lieber ist, dann fange mit Gmer an.

ciao, andreas

Hedgehog 17.06.2009 13:09
Danke :) Ging ja richtig Fix mit ner Antwort hier :daumenhoc

Wie gesagt, Neu aufsetzen würd ich nur wenn nichts anderes mehr geht, mir fehlt grade die Zeit.

Werds heut Abend mal mit Gmer probieren :)

Irgendwie muss das mit HJT doch funktionieren...

john.doe 17.06.2009 16:05
Warum die HJT ausser Kraft setzen, leuchtet nicht wirklich ein, der ist dort gar nicht zu sehen. :D

ciao, andreas

Hedgehog 17.06.2009 22:15
So, hier die Log-File von GMER. Gefunden hat er was.
LINK -->http://rapidshare.com/files/245695782/123.log

Einfachere Frage: Soll ich nach dem selben Prinzip vorgehen wie in dem anderen Fall (den zweiten Link den du mir gesendet hast)??

Grüße und gute Nacht

john.doe 17.06.2009 22:18
Schöner Link, nur ich kann da nicht so richtig klicken. :D
Zitat:
Einfachere Frage: Soll ich nach dem selben Prinzip vorgehen wie in dem anderen Fall (den zweiten Link den du mir gesendet hast)??
Wenn du dir das zutraust, ja, poste sicherheitshalber alle Logs.

ciao, andreas

Hedgehog 17.06.2009 22:26
Zutrauen, das eigentlich schon. Du hast es ja wirklich gut beschieben.
Nur ob ich die Skripte so verwenden kann...

Sorry, keine ahnung warum Rapidshare nicht mitspielen will.
Habs jetzt bei mir auf meinen Webspace bei Funpic hoch geladen.

--> http://tocoolforhell.to.funpic.de/123.log

Und bevor ichs vergesse: Vielen Dank für deine Unterstützung!! :)

john.doe 17.06.2009 22:40
1.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
  • Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"
Code:
Drivers to delete:
MSIVXserv.sys

Registry keys to delete:
HKLM\SYSTEM\ControlSet003\Services\MSIVXserv.sys

Files to delete:
C:\Windows\System32\drivers\MSIVXpcvbomkbirvhhpxeturiciepcqqgsinb.sys
C:\Windows\System32\MSIVXcount
C:\Windows\System32\MSIVXptkgplqtnqwxprpavcvvtgrmpawryqxi.dll
C:\Windows\System32\MSIVXxsdbddfkoewirtskvmifwcrviovddbrt.dll
http://saved.im/mzi3ndg3nta0/aven.jpg
  • Schliesse nun alle Programme und Browser-Fenster
  • Um den Avenger zu starten klicke auf -> Execute
  • Dann bestätigen mit "Yes" das der Rechner neu startet
  • Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt
  • Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

2.) Poste ein neues Gmer-Log.

ciao, andreas

Hedgehog 17.06.2009 23:18
Das meinte GMER:
Code:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "MSIVXserv.sys" found!
ImagePath:  \systemroot\system32\drivers\MSIVXpcvbomkbirvhhpxeturiciepcqqgsinb.sys
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "MSIVXserv.sys" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet003\Services\MSIVXserv.sys" deleted successfully.
File "C:\Windows\System32\drivers\MSIVXpcvbomkbirvhhpxeturiciepcqqgsinb.sys" deleted successfully.
File "C:\Windows\System32\MSIVXcount" deleted successfully.
File "C:\Windows\System32\MSIVXptkgplqtnqwxprpavcvvtgrmpawryqxi.dll" deleted successfully.
File "C:\Windows\System32\MSIVXxsdbddfkoewirtskvmifwcrviovddbrt.dll" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

john.doe 17.06.2009 23:19
Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Achtung: Die Anleitung ist veraltet. Den Teil mit der Systemwiederherstellungskonsole nicht ausführen. Die wird bei Internetverbindung automatisch installiert.

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

    Sollte sich ComboFix nicht starten lassen, dann benenne es um in cofi.exe und versuche es nocheinmal.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

Hedgehog 23.06.2009 16:14
OK, ab heute hab ich wieder Zeit :)

Hier das Gmer Log:
--> http://tocoolforhell.to.funpic.de/gmer 23.6.09.log

Danach hab ich Hopsassa ausgeführt, mit dem oben beschriebenen Script.
Ergebnis:
Zitat:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\MSIVXserv.sys" not found!
Deletion of driver "MSIVXserv.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: registry key "HKLM\SYSTEM\ControlSet003\Services\MSIVXserv.sys" not found!
Deletion of registry key "HKLM\SYSTEM\ControlSet003\Services\MSIVXserv.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\drivers\MSIVXpcvbomkbirvhhpxeturiciepcqqgsinb.sys" not found!
Deletion of file "C:\Windows\System32\drivers\MSIVXpcvbomkbirvhhpxeturiciepcqqgsinb.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\MSIVXcount" not found!
Deletion of file "C:\Windows\System32\MSIVXcount" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\MSIVXptkgplqtnqwxprpavcvvtgrmpawryqxi.dll" not found!
Deletion of file "C:\Windows\System32\MSIVXptkgplqtnqwxprpavcvvtgrmpawryqxi.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\MSIVXxsdbddfkoewirtskvmifwcrviovddbrt.dll" not found!
Deletion of file "C:\Windows\System32\MSIVXxsdbddfkoewirtskvmifwcrviovddbrt.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.
Soll ich als nächsten Schritt ComboFix benutzen, oder gibt es Änderungen am Avenger-Script??

Viele Grüße, Hedgehog :)

john.doe 23.06.2009 16:40
Weiter mit Combofix.
Zitat:
oder gibt es Änderungen am Avenger-Script??
Du hast es zweimal laufengelassen. :)

ciao, andreas

Hedgehog 23.06.2009 17:15
Hier das Protokoll:

http://tocoolforhell.to.funpic.de/Log.txt

john.doe 23.06.2009 17:28
Du hast da Software am Laufen, die ich noch nicht gesehen habe.

Was ist das?
Zitat:
c:\programdata\{C79A30AF-08C1-49CF-8F27-526F179A478D}\Traktor Setup.exe
c:\users\Sebi\AppData\Roaming\Microsoft\Installer\{20B1B020-DEAE-48D1-9960-D4C3185D758B}\Foren.exe
Lade die Dateien
Code:
c:\windows\system32\bmpsap.dll
c:\windows\system32\CmdLineExt.dll
c:\users\Sebi\AppData\Roaming\Microsoft\Installer\{20B1B020-DEAE-48D1-9960-D4C3185D758B}\Foren.exe
c:\programdata\{C79A30AF-08C1-49CF-8F27-526F179A478D}Traktor Setup.exe
bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html

ciao, andreas

Hedgehog 23.06.2009 17:38
Vielen Dank für deine Unterstützung, Andreas.
Hast auf jeden Fall was gut bei mir!!!

Alle 4 Dateien hab ich hochgeladen.
"Traktor" ist ne DJ Software, die ich mal Testweise Installiert hab.

john.doe 23.06.2009 18:06
Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

Driver::
gupdate1c9c6badb3859d4

RegLock::
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QuickTime Task"=-
"iTunesHelper"=-
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\DomainProfile]
"EnableFirewall"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{82FAE164-AFA0-4CCF-927E-DDE37139DDDF}"=-
"{90FFCFB9-7DB6-41BA-B6D7-CA2DA99354ED}"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\PublicProfile]
"EnableFirewall"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\StandardProfile]
"EnableFirewall"=-

Folder::
c:\programdata\Azureus
c:\users\Sebi\AppData\Roaming\Azureus
c:\program files\Google\Update

File::
c:\windows\Tasks\GoogleUpdateTaskMachine.job
c:\users\Sebi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Gamma.lnk
c:\windows\system32\perfh007.dat
c:\windows\system32\perfc007.dat
c:\users\Sebi\AppData\Local\GDIPFONTCACHEV1.DAT

DirLook::
C:\Temp
C:\lg_swupdate

Filelook::
c:\users\Sebi\AppData\Roaming\Microsoft\Installer\{5109E3B5-F4DA-48CE-9B15-53532BB474B5}\NewShortcut2_FD8CB02A29C84D7F9DF9253538920A62.exe
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt auf das Symbol von Combofix ziehen.
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Log von Combofix posten.


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Hedgehog 23.06.2009 18:17
ComboFix will nicht starten...
der Ladebildschirm erscheint, dann bricht es ab.
Soll ich neu starten?

john.doe 23.06.2009 18:24
Start => Ausführen => combofix /u => OK

Speicher das Script nicht auf dem Desktop, sondern als C:\cfscript.txt. Lade dir ein neues Combofix auf deinen Desktop.

Start => Ausführen => combofix c:\cfscript.txt [Strg][Shift/Umschalt][Enter]

ciao, andreas

Hedgehog 23.06.2009 18:36
Ich habe gemacht:

- Start->Ausführen->combofix /u --> wie vorhin, kein erfolg.
- Neue Exe geladen, direkt auf Desktop
- Skript in c:/verschoben, nochmal neu den Inhalt reinkopiert.
- Start->Ausführen->combofix c:/... und dann auf ok

bisher nix gebracht, der LAdebalken geht durch und danach passiert nichts...
Antivir ist auf inaktiv, Sunbelt Firewall komplett deaktiviert und das Touchpad wird nicht berührt...

john.doe 23.06.2009 18:43
Hm, dann halt anders.

Start => Ausführen => combofix /u => OK

Klicke auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die komplette Liste unter Punkt 2 ab.

ciao, andreas

Hedgehog 23.06.2009 19:14
Combofix streikt weiter...

CCleaner ausgeführt,
HJT arbeitet (seltsamerweise :) )

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:11:06, on 23.06.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Synaptics\SynTP\SynTPStart.exe
C:\Program Files\LG Software\LG Magnifier\MagnifyingGlass.exe
C:\Program Files\LG Software\BatteryMiser\BatteryMiser5.exe
C:\Program Files\Softex\OmniPass\scureapp.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrUI.exe
C:\Program Files\LG Software\LG Magnifier\Maglev.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Infineon\Security Platform Software\PSDrt.exe
C:\Program Files\Infineon\Security Platform Software\SpTna.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\system32\CF22291.exe
C:\Windows\system32\conime.exe
C:\Windows\Explorer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\SearchFilterHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lge.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O1 - Hosts: 91.121.97.18 thepiratebay.org
O1 - Hosts: 91.121.97.18 www.thepiratebay.org
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Google Gears Helper - {E0FEFE40-FBF9-42AE-BA58-794CA7E3FB53} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O4 - HKLM\..\Run: [SynTPStart] C:\Program Files\Synaptics\SynTP\SynTPStart.exe
O4 - HKLM\..\Run: [KeybdUtility] C:\Program Files\LG Software\LG OSD\HotKey.exe
O4 - HKLM\..\Run: [LG Magnifier] %ProgramFiles%\LG Software\LG Magnifier\MagnifyingGlass.exe
O4 - HKLM\..\Run: [BatteryMiser 5] C:\Program Files\LG Software\BatteryMiser\BatteryMiser5.exe
O4 - HKLM\..\Run: [LG Intelligent Update] "C:\Program Files\lg_swupdate\giljabistart.exe" Gilautouc
O4 - HKLM\..\Run: [OmniPass] C:\Program Files\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [UCam_Menu] "C:\Program Files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\YouCam" update "Software\CyberLink\YouCam\1.0"
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [IaNvSrv] C:\Program Files\Intel\Intel Matrix Storage Manager\OROM\IaNvSrv\IaNvSrv.exe
O4 - HKLM\..\Run: [IFXSPMGT] C:\Windows\system32\ifxspmgt.exe /NotifyLogon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [WD Drive Manager] C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrUI.exe
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Logitech SetPoint.lnk = D:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {09C04DA7-5B76-4EBC-BBEE-B25EAC5965F5} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O9 - Extra 'Tools' menuitem: &Gears-Einstellungen - {09C04DA7-5B76-4EBC-BBEE-B25EAC5965F5} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Backbone Service (BBDemon) - Dassault Systemes - D:\Program Files\Dassault Systemes\B16\intel_a\code\bin\CATSysDemon.exe
O23 - Service: FsUsbExService - Teruten - C:\Windows\system32\FsUsbExService.Exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Update Service (gupdate1c9c6badb3859d4) (gupdate1c9c6badb3859d4) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: Security Platform Management Service (IFXSpMgtSrv) - Infineon Technologies AG - C:\Windows\system32\ifxspmgt.exe
O23 - Service: Trusted Platform Core Service (IFXTCS) - Infineon Technologies AG - C:\Windows\System32\IFXTCS.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Program Files\Softex\OmniPass\OmniServ.exe
O23 - Service: Personal Secure Drive Service (PersonalSecureDriveService) - Infineon Technologies AG - C:\Windows\system32\IfxPsdSv.exe
O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - D:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - D:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe
O23 - Service: WD Drive Manager Service (WDBtnMgrSvc.exe) - WDC - C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe

--
End of file - 8208 bytes
Malwarebytes lass ich grade durchlaufen... mehr gibts gleich

john.doe 23.06.2009 19:23
Catia? Ist das ein Firmenrechner?

ciao, andreas

Hedgehog 23.06.2009 19:33
Nope, Studentenversion.

Hedgehog 23.06.2009 19:58
Sind doppelposts erlaubt??
Falls nein, evtl den älteren schließen...

Hier Anti-Malware Log...
Soll ich den Rechner jetzt neu starten wegen Combofix??
Oder nochmal probieren??

Code:
Malwarebytes' Anti-Malware 1.38
Datenbank Version: 2325
Windows 6.0.6001 Service Pack 1

23.06.2009 20:56:37
mbam-log-2009-06-23 (20-56-31).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 333527
Laufzeit: 42 minute(s), 54 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 6
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{13435861-5359-4d00-acf3-c9924c0d34a5}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{b11762be-e7cd-4e60-b647-fd50a812255f}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{b11762be-e7cd-4e60-b647-fd50a812255f}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{bee3cead-498f-452a-b790-98aff8f5e5b5}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{d2bb490d-036f-45c7-8acf-66cdc9af86a4}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Users\Sebi\Desktop\Hopsassa(2).exe (Trojan.Agent) -> No action taken.
d:\downloads\Mozilla\Hopsassa.exe (Trojan.Agent) -> No action taken.

john.doe 23.06.2009 20:05
Hast du die Funde auch löschen lassen? Dort steht: No action taken.
Zitat:
Combofix streikt weiter...
Nope, er werkelt vor sich hin:
Zitat:
C:\Windows\system32\CF22291.exe
Neustarten, nochmal probieren.

Du hattest eine Umleitung in die Ukraine drin. Alle Kennwörter von einem sauberen Rechner aus ändern. Solltest du Onlinebanking machen, dann informiere deine Bank. Bankkonto und andere Konten (z.B. ebay, o.a.) sorgfältig beobachten.

ciao, andreas

Hedgehog 23.06.2009 20:12
Außer die beiden Hpsassa dateien alle gelöscht
--> Quarantined and deleted successfully

Malwarebytes will neu starten, werd ich dann auch machen.
Hijackthis hab ich mal offen gelassen, hab aber nichts gefixt bisher.
Werd wie gesagt Neu starten und dann nochmal hier her schauen.

Zu den Kennwörtern:
Hab bisher bewusst kein Onlinebanking, eBay,PayPal, etc genutzt...
Trotzdem erschreckend, dass irgend einer in der Ukraine meine Daten hat...
Wo hast du gesehen, wo die Daten hingegangen sind??

Edit: Alles hochgefahren...

john.doe 23.06.2009 22:43
Zitat:
Wo hast du gesehen, wo die Daten hingegangen sind??
Zitat:
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.105,85.255.112.21 -> No action taken.
http://www.utrace.de/?query=85.255.112.105

http://www.utrace.de/whois/85.255.112.105
Code:
organisation:  ORG-UL25-RIPE
org-name:      UkrTeleGroup Ltd.
org-type:      LIR
address:        UkrTeleGroup Ltd.
                Mechnikova 58/5
                65029 Odessa
                Ukraine
ciao, andreas

Hedgehog 24.06.2009 00:27
Odessa, Krass... wenn man bedenkt was die theoretisch machen können... hoffe dass da nix geklaut wurde an Daten.

Prinzipiell noch eine kurze frage: Softwarefirewall (Also als ersatz für die Windows Frewall) - Abraten oder Gute Sache?
Hab seit dem ZWischenfall hier die Sunbelt Firewall am laufen, auf meinem Home PC läuft die Sygate PErsonal Firewall... Welche der beiden (oder welche überhaupt??) wäre zu empfehlen???

Hab grade nochmal mein Vista und mein AV geupdatet, AV laufen lassen und dann CCleaner, Anti-Malware und HJT durchlaufen lassen.

Malware hat nur die Hopsassa.exe im Verzeichnis gefunden und gelöscht,
HJT gibt folgendes Log zutage:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:22:08, on 24.06.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
D:\Program Files\Sunbelt Software\Personal Firewall\SbPFCl.exe
C:\Program Files\Synaptics\SynTP\SynTPStart.exe
C:\Program Files\LG Software\LG OSD\HotKey.exe
C:\Program Files\LG Software\LG Magnifier\MagnifyingGlass.exe
C:\Program Files\LG Software\BatteryMiser\BatteryMiser5.exe
C:\Program Files\lg_swupdate\GiljabiStart.exe
C:\Program Files\LG Software\LG Magnifier\Maglev.exe
C:\Program Files\Softex\OmniPass\scureapp.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrUI.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
D:\Program Files\iTunes\iTunesHelper.exe
D:\Program Files\Java\jre6\bin\jusched.exe
D:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Infineon\Security Platform Software\PSDrt.exe
C:\Program Files\Infineon\Security Platform Software\SpTna.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O1 - Hosts: 91.121.97.18 thepiratebay.org
O1 - Hosts: 91.121.97.18 www.thepiratebay.org
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Google Gears Helper - {E0FEFE40-FBF9-42AE-BA58-794CA7E3FB53} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O4 - HKLM\..\Run: [SynTPStart] C:\Program Files\Synaptics\SynTP\SynTPStart.exe
O4 - HKLM\..\Run: [KeybdUtility] C:\Program Files\LG Software\LG OSD\HotKey.exe
O4 - HKLM\..\Run: [LG Magnifier] %ProgramFiles%\LG Software\LG Magnifier\MagnifyingGlass.exe
O4 - HKLM\..\Run: [BatteryMiser 5] C:\Program Files\LG Software\BatteryMiser\BatteryMiser5.exe
O4 - HKLM\..\Run: [LG Intelligent Update] "C:\Program Files\lg_swupdate\giljabistart.exe" Gilautouc
O4 - HKLM\..\Run: [OmniPass] C:\Program Files\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [UCam_Menu] "C:\Program Files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\YouCam" update "Software\CyberLink\YouCam\1.0"
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [IaNvSrv] C:\Program Files\Intel\Intel Matrix Storage Manager\OROM\IaNvSrv\IaNvSrv.exe
O4 - HKLM\..\Run: [IFXSPMGT] C:\Windows\system32\ifxspmgt.exe /NotifyLogon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [WD Drive Manager] C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrUI.exe
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Logitech SetPoint.lnk = D:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {09C04DA7-5B76-4EBC-BBEE-B25EAC5965F5} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O9 - Extra 'Tools' menuitem: &Gears-Einstellungen - {09C04DA7-5B76-4EBC-BBEE-B25EAC5965F5} - C:\Program Files\Google\Google Gears\Internet Explorer\0.5.23.0\gears.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Program Files\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Program Files\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Backbone Service (BBDemon) - Dassault Systemes - D:\Program Files\Dassault Systemes\B16\intel_a\code\bin\CATSysDemon.exe
O23 - Service: FsUsbExService - Teruten - C:\Windows\system32\FsUsbExService.Exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Update Service (gupdate1c9c6badb3859d4) (gupdate1c9c6badb3859d4) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: Security Platform Management Service (IFXSpMgtSrv) - Infineon Technologies AG - C:\Windows\system32\ifxspmgt.exe
O23 - Service: Trusted Platform Core Service (IFXTCS) - Infineon Technologies AG - C:\Windows\System32\IFXTCS.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Program Files\Softex\OmniPass\OmniServ.exe
O23 - Service: Personal Secure Drive Service (PersonalSecureDriveService) - Infineon Technologies AG - C:\Windows\system32\IfxPsdSv.exe
O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - D:\Program Files\Sunbelt Software\Personal Firewall\SbPFLnch.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - D:\Program Files\Sunbelt Software\Personal Firewall\SbPFSvc.exe
O23 - Service: WD Drive Manager Service (WDBtnMgrSvc.exe) - WDC - C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe

--
End of file - 8481 bytes
Ich würde sagen, wenn du keine weiteren Einwände hast, dass der Fall hier geschlossen werden kann und ich mich nochmal in aller Form recht herzlich bei dir bedanken darf... selten so engagierte und versierte Communitymember gesehen! :daumenhoc:aplaus:

john.doe 24.06.2009 16:41
1.) Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Online Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

2.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte.

ciao, andreas


Alle Zeitangaben in WEZ +1. Es ist jetzt 19:23 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55