Trojaner-Board - Mit Agent_R Trojaner befallen, System endgültig befreit?

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Mit Agent_R Trojaner befallen, System endgültig befreit? (https://www.trojaner-board.de/83447-agent_r-trojaner-befallen-system-endgueltig-befreit.html)

Mit Agent_R Trojaner befallen, System endgültig befreit?

Hallo,

wie oben im Titel hatte ich diesen Plagegeist und so weit erfolgreich entfernt, dennoch wollte ich auf Nummer sicher gehen und euch fragen, ob der jetzt wirklich komplett weg ist

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:49:15, on 02.03.2010

Platform: Unknown Windows (WinNT 6.01.3504)

MSIE: Internet Explorer v8.00 (8.00.7600.16385)

Boot mode: Normal
 

Running processes:

C:\Windows\system32\taskhost.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe

C:\Program Files\AVG\AVG9\avgtray.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe -s

O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe

O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{D58030E7-648B-42C8-8DA4-AD526BED0EC7}: NameServer = 136.199.8.101,136.199.8.129

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\Windows\System32\avgrsstx.dll,avgrsstx.dll

O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgemc.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe

O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe

O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
 

--

End of file - 3275 bytes

Hallo und :hallo:

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!! )

Wichtig für Benutzer mit Windows Vista und Windows 7: Bitte alle Tools per Rechtsklick => Als Admin ausführen!

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Ich habe Probleme mit RSIT, es kommt folgende Meldung wenn ich das Prog ausführe:

Line -1:

Error: Variable Used without being declared

Hier das Log von Malwarebytes:

Code:

Malwarebytes' Anti-Malware 1.44

Datenbank Version: 3815

Windows 6.1.7600

Internet Explorer 8.0.7600.16385
 

02.03.2010 23:26:59

mbam-log-2010-03-02 (23-26-59).txt
 

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|H:\|)

Durchsuchte Objekte: 216906

Laufzeit: 20 minute(s), 26 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

Das MBAM Log sieht schonmal gut aus.
RSIT solltest Du mal im Kompatibilitätsmodus ausführen (Rechtsklick auf RSIT.exe, Reiter Kompatibilität) => Windows XP einstellen und ausführen

Zitat:

Zitat von cosinus (Beitrag 507122)

Das MBAM Log sieht schonmal gut aus.
RSIT solltest Du mal im Kompatibilitätsmodus ausführen (Rechtsklick auf RSIT.exe, Reiter Kompatibilität) => Windows XP einstellen und ausführen

Der Tipp hat geholfen :)

Hier die RSIT Logs

Zitat:

C:\ComboFix.txt

Wer hat Dir CF aufs Auge gedrückt? Bitte das Log posten!

Ich bin nach einem Trojanerbeseitigungsplan gegangen, welches in einem anderen Thread (auch anderes Forum) beschrieben war weil da genau dasselbe Problem war wie bei mir und dort wurde auch ComboFix benutzt, und gerade nach ComboFix wurde der Agent_r.QS entfernt, habe leider dummerweise die Log gelöscht :(

Du hast das Log nicht gelöscht. Es taucht doch noch auf, siehe mein Zitat! :D

Ich glaube aber, dass es das neue ist da ich ausversehen ComboFix nochmal hab durchführen lassen als ich es deinstallieren wollte mit einer Befehlszeile. ICh poste es dennoch mal zur Sicherheit

P.S.:

Hab zusätzlich den Report von AVG reingetan, wo ich noch befallen war (mit dem Agent_r im explorer.exe Prozess). Nach ComboFix war der Weg. Davor haben diverse Antimalware Progs einen Downloader und Generix Trojaner entfernt). Wie stufst du den Trojaner ein? Sollte ich doch lieber das System neu aufsetzen (aber nur als allerletze Möglichkeit!!)?