|
TR/Banker.Bancos.orq verhindert das Öffnen von Programmen Hallo an alle! Bei mir hat sich der Trojaner TR/Banker.Bancos.orq in den Windows Systemdateien (Windows XP) festgesetzt und verhindert das Öffnen von Programmen sowie den ZUgriuff aufs Internet. Ich kann momentan leider auch kein Logfile von Hijackthis erstellen, weil ich das Programm nicht öffnen kann. Aber ich habe dafür einen Scan mit Antivir durchgeführt Ich wäre füre Hilfe sehr dankbar, weil ich momentan fast nichts mit dem PC machen kann und ichd en Trojaner unbedingt loswerden will! GLG, Ela Avira AntiVir Personal Erstellungsdatum der Reportdatei: Samstag, 29. Mai 2010 10:17 Es wird nach 2170719 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : FSC111216083001 Versionsinformationen: BUILD.DAT : 9.0.0.422 21701 Bytes 09.03.2010 10:23:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 20.11.2009 12:27:28 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:41:59 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 12:27:27 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 12:27:28 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:28:02 VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 19:04:26 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 17:23:32 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 09:07:09 VBASE006.VDF : 7.10.6.83 2048 Bytes 15.04.2010 09:07:10 VBASE007.VDF : 7.10.6.84 2048 Bytes 15.04.2010 09:07:10 VBASE008.VDF : 7.10.6.85 2048 Bytes 15.04.2010 09:07:10 VBASE009.VDF : 7.10.6.86 2048 Bytes 15.04.2010 09:07:10 VBASE010.VDF : 7.10.6.87 2048 Bytes 15.04.2010 09:07:10 VBASE011.VDF : 7.10.6.88 2048 Bytes 15.04.2010 09:07:10 VBASE012.VDF : 7.10.6.89 2048 Bytes 15.04.2010 09:07:10 VBASE013.VDF : 7.10.6.90 2048 Bytes 15.04.2010 09:07:10 VBASE014.VDF : 7.10.6.123 126464 Bytes 19.04.2010 09:44:27 VBASE015.VDF : 7.10.6.152 123392 Bytes 21.04.2010 09:44:32 VBASE016.VDF : 7.10.6.178 122880 Bytes 22.04.2010 09:44:35 VBASE017.VDF : 7.10.6.206 120320 Bytes 26.04.2010 16:19:19 VBASE018.VDF : 7.10.6.232 99328 Bytes 28.04.2010 16:19:23 VBASE019.VDF : 7.10.7.2 155648 Bytes 30.04.2010 20:54:18 VBASE020.VDF : 7.10.7.26 119808 Bytes 04.05.2010 07:21:50 VBASE021.VDF : 7.10.7.51 118272 Bytes 06.05.2010 07:22:03 VBASE022.VDF : 7.10.7.75 404992 Bytes 10.05.2010 08:10:35 VBASE023.VDF : 7.10.7.100 125440 Bytes 13.05.2010 09:29:13 VBASE024.VDF : 7.10.7.119 177664 Bytes 17.05.2010 20:51:13 VBASE025.VDF : 7.10.7.139 129024 Bytes 19.05.2010 20:51:14 VBASE026.VDF : 7.10.7.157 145920 Bytes 21.05.2010 09:53:04 VBASE027.VDF : 7.10.7.173 147456 Bytes 25.05.2010 15:16:09 VBASE028.VDF : 7.10.7.189 120320 Bytes 27.05.2010 08:15:16 VBASE029.VDF : 7.10.7.190 2048 Bytes 27.05.2010 08:15:16 VBASE030.VDF : 7.10.7.191 2048 Bytes 27.05.2010 08:15:16 VBASE031.VDF : 7.10.7.195 65536 Bytes 28.05.2010 08:15:16 Engineversion : 8.2.1.242 AEVDF.DLL : 8.1.2.0 106868 Bytes 24.04.2010 12:17:37 AESCRIPT.DLL : 8.1.3.29 1343866 Bytes 13.05.2010 09:29:12 AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 09:29:10 AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 12:17:37 AERDL.DLL : 8.1.4.6 541043 Bytes 16.04.2010 09:07:25 AEPACK.DLL : 8.2.1.1 426358 Bytes 20.03.2010 10:20:06 AEOFFICE.DLL : 8.1.1.0 201081 Bytes 13.05.2010 09:29:09 AEHEUR.DLL : 8.1.1.27 2670967 Bytes 06.05.2010 07:21:56 AEHELP.DLL : 8.1.11.3 242039 Bytes 02.04.2010 17:27:05 AEGEN.DLL : 8.1.3.9 377203 Bytes 13.05.2010 09:29:09 AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 12:17:35 AECORE.DLL : 8.1.15.3 192886 Bytes 13.05.2010 09:29:08 AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 12:17:35 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 08.09.2009 13:13:31 AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 17:31:56 AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 28.04.2009 12:28:16 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09.06.2009 12:23:37 RCTEXT.DLL : 9.0.73.0 87297 Bytes 20.11.2009 12:27:26 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Beginn des Suchlaufs: Samstag, 29. Mai 2010 10:17 Der Suchlauf nach versteckten Objekten wird begonnen. c:\windows\system32\sdra64.exe [INFO] Die Datei ist nicht sichtbar. [FUND] Ist das Trojanische Pferd TR/Banker.Bancos.orq [INFO] Es konnte kein SpecVir-Eintrag gefunden werden! [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c72d08e.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec\local.ds [INFO] Die Datei ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c63d099.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec\user.ds [INFO] Die Datei ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c65d09d.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec [INFO] Das Verzeichnis ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c77d099.qua erstellt ( QUARANTÄNE ) Es wurden '51813' Objekte überprüft, '4' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'neytdy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WirelessSelector.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WZQKPICK.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'OnlineFestplatte.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TouchPad_HotKey.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Es wurden '36' Prozesse mit '36' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '66' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <System> C:\hiberfil.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\Dokumente und Einstellungen\Ela\Desktop\vlc-0.9.9-win32.exe [0] Archivtyp: NSIS --> ProgramFilesDir/libvlccore.dll [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. Ende des Suchlaufs: Samstag, 29. Mai 2010 11:04 Benötigte Zeit: 47:38 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 8034 Verzeichnisse wurden überprüft 274569 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 4 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 274566 Dateien ohne Befall 7554 Archive wurden durchsucht 4 Warnungen 6 Hinweise 51813 Objekte wurden beim Rootkitscan durchsucht 4 Versteckte Objekte wurden gefunden |
Zitat:
Versuche sonst du mal in den abgesicherten Modus mit Netzwerkverbindung zu booten und dir da dann den Hijackthis runterzuladen und Malwarebytes und zu installieren.. Abgesicherter Modus ? Wikipedia lg. |
@MalwareHero Hab Windows im abgesicherten Modus gestartet und Malwarebytes runtergeladen und einen Systemscan durchgeführt. Hab auch versucht HijackThis runterzuladen, aber es ist immer ine Windowsmeldung gekommen, dass der ystemadministrator das nicht zulässt. Hab Hijackthis schon vorher am PC installiert gehabt und möglicherweise ist das Programm infiziert. soll ich stattdessen ein anderes Programm runterladen? Glg, Ela Malwarebytes Logfile: Malwarebytes' Anti-Malware 1.46 Malwarebytes Datenbank Version: 4153 Windows 5.1.2600 Service Pack 3 (Safe Mode) Internet Explorer 8.0.6001.18702 29.05.2010 14:13:43 mbam-log-2010-05-29 (14-13-43).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 182235 Laufzeit: 29 Minute(n), 34 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 6 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 3 Infizierte Verzeichnisse: 1 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: c:\windows\system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken. Infizierte Verzeichnisse: C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken. Infizierte Dateien: C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\sdra64.exe (Spyware.Zbot) -> No action taken. |
@MalwareHero Ich hab jetzt Windows im abgesicherten Modus gestartet und Malwarebytes heruntergeladen. das Logfile findest du weiter unten. Allerdings konnte ich Hijackthis von PonyFile.de nicht herunterladen. Es ist immer ine Meldung gekommen, dass der Systemadministrator das nicht erlaubt (das Installieren vermute ich). Soll ich stattdessen ein anderes Programm herunterladen? Glg, Ela Malwarebytes' Anti-Malware 1.46 Malwarebytes Datenbank Version: 4153 Windows 5.1.2600 Service Pack 3 (Safe Mode) Internet Explorer 8.0.6001.18702 29.05.2010 14:13:43 mbam-log-2010-05-29 (14-13-43).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 182235 Laufzeit: 29 Minute(n), 34 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 6 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 3 Infizierte Verzeichnisse: 1 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: c:\windows\system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken. Infizierte Verzeichnisse: C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken. Infizierte Dateien: C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\sdra64.exe (Spyware.Zbot) -> No action taken. |
Zitat:
Poste ein OTL Log. http://www.trojaner-board.de/85104-o...-oldtimer.html |
@MalwareHero Soll ich wirklich alle Dateien, die Malwarebytes gefunden hat löschen. Nachdem der Suchlauf beendet ist, kommt nämlicvh eine ganze Liste von Programmen und die sind alle bereits angekreuzt. Es sind auch Windows Systemdateien darunter. Ich will nur sicher sein, dass ich alle diese bereits markierten Programme löschen kann, denn wenn ich etwas Falsches lösche geht womöglich gar nix mehr. lg, Ela |
Zitat:
Will man die Malware direkt entfernen, (ja, das wollen wir!) achtet man darauf, dass die Häkchen gesetzt sind und wählt 'Entferne Auswahl'. Das sind alles Malware Dateien und die müssen wir löschen, sonst kommen wir nicht weiter! Wenn du nicht willst dann geht es für dich hier weiter: http://www.trojaner-board.de/51262-a...sicherung.html du hast nämlich ein backdoor auf dem system. |
Zitat:
|
Okay.... Ich hab jetzt die Dateien gelöscht die Malwarebytes gefunden hat (auch aus der Quarantäne) und neu gestartet. dann hab ich einen Quickscan gemacht und das Programm hat nichts Böses mehr gefunden. dann hab ich es jetzt doch geschafft HijackThis runterzuladen und ein Logfile zu erstellen (siehe unten). Ich glaub Firefox ist irgendwie infoziert, da er sich nicht öffnen lässt. ES kommt eine Meldung, dass er mal abgestürzt ist, aber er geht nicht neustarten. lg, Ela HiJackthis Logfile: Code: Logfile of Trend Micro HijackThis v2.0.4 |
Zitat:
http://www.trojaner-board.de/85104-o...-oldtimer.html |
Hier nun die 2 OTL logs: OTL Logfile: Code: OTL logfile created on: 29.05.2010 22:58:17 - Run 1OTL Logfile: Code: OTL Extras logfile created on: 29.05.2010 22:58:17 - Run 1 |
Zitat:
OTL Fix: * Schliesse alle Programme und starte das Programm OTL. * Kopiere den Inhalt im Codefenster (siehe unten) in die Textbox. Code: Zitat:
* OTL kann den PC neustarten. Bitte das zulassen. * Log posten, (wird auf C:\ gespeichert) ......................................... Aktiviere deinen Firewall! 1. Klicke auf Start und auf Ausführen, geb in das Feld ein Firewall.cpl und klicke auf OK. 2. Klicke auf der Registerkarte Allgemein auf Aktiv (empfohlen). 3. Klicke auf OK. > gehe auf "Erweitert" und unten bei Standardeinstellungen klicke auf "Wiederherstellen" klicke ok. VirusTotal Check: Diese Datei bei Virus Total hochladen und checken lassen: http://www.virustotal.com/de/ wenn die scanner anschlagen poste das log. Zitat:
Download: http://ad13.geekstogo.com/RootRepeal.zip Entpacken und doppelklick auf rootrepeal.exe. Suche und gehe auf Report unten im Fenster und klicke drauf. Klicke Scan > Kreuze alle Scankästchen an > kreuze alle Festplatten an > klicke ok. Das log öffnet sich nach dem scan, kopiere es hier rein. Scan mit Norman AntiMalware: Hier das Tool downloaden: Norman | Norman Malware Cleaner (Download now) Als Administrator ausführen, computer scannen, das log, das während dem scan auf deinem Desktop abkopiert wird, bitte posten. Geduldig sein, der scan ist gründlich und dauert 1-2 stunden. - Deinstalliere: Adobe Reader 8.00 Java. --------- |
@MalwareHero Hier nun das LOgfile von OTL. Und sorry nochmal, dass ich vorher was 2x gepostet hab. Ich hab das nicht mehr löschen können. Firewall hab ich schon wieder aktiviert, keine Ahnung was da war. Aber ich check noch mal ob sie auch wieder läuft. All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\ deleted successfully. HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer| /E : value set successfully! Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6A79CF97-91F1-40BC-8CAB-44184B496B6D}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A79CF97-91F1-40BC-8CAB-44184B496B6D}\ deleted successfully. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\{1DE304C8-D94A-63F7-C37C-575497E51F16} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DE304C8-D94A-63F7-C37C-575497E51F16}\ not found. C:\Dokumente und Einstellungen\Ela\Anwendungsdaten\Edci\saycz.exe moved successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher deleted successfully. C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe moved successfully. ========== FILES ========== File\Folder C:\WINDOWS\Temp\Installer.exe not found. File\Folder C:\Dokumente und Einstellungen\Ela\Anwendungsdaten\Edci\saycz.exe not found. ========== COMMANDS ========== C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 32768 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 32768 bytes User: Ela ->Temp folder emptied: 12016759 bytes ->Temporary Internet Files folder emptied: 302162922 bytes ->Java cache emptied: 24832332 bytes ->FireFox cache emptied: 83098819 bytes ->Google Chrome cache emptied: 5925850 bytes ->Flash cache emptied: 1959862 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 32902 bytes User: NetworkService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 113558272 bytes %systemdrive% .tmp files removed: 340160758 bytes %systemroot% .tmp files removed: 19569 bytes %systemroot%\System32 .tmp files removed: 2951 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 1210816 bytes RecycleBin emptied: 78391 bytes Total Files Cleaned = 844,00 mb [EMPTYFLASH] User: Administrator User: All Users User: Default User User: Ela ->Flash cache emptied: 0 bytes User: LocalService User: NetworkService Total Flash Files Cleaned = 0,00 mb OTL by OldTimer - Version 3.2.5.1 log created on 05302010_144830 Files\Folders moved on Reboot... Registry entries deleted on Reboot... |
C:\WINDOWS\system32\netdixco.dll Hab diese Datei mit dem VirusTotal Check gescannt und er hat folgendes gefunden: Datei netdixco.dll empfangen 2010.05.30 13:02:15 (UTC) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 6/41 (14.64%) Antivirus Version letzte aktualisierung Ergebnis a-squared 4.5.0.50 2010.05.10 - AhnLab-V3 2010.05.30.00 2010.05.29 - AntiVir 8.2.1.242 2010.05.28 - Antiy-AVL 2.0.3.7 2010.05.26 - Authentium 5.2.0.5 2010.05.29 - Avast 4.8.1351.0 2010.05.30 Win32:Kheagol-K Avast5 5.0.332.0 2010.05.30 Win32:Kheagol-K AVG 9.0.0.787 2010.05.30 - BitDefender 7.2 2010.05.30 - CAT-QuickHeal 10.00 2010.05.29 - ClamAV 0.96.0.3-git 2010.05.30 - Comodo 4954 2010.05.30 - DrWeb 5.0.2.03300 2010.05.30 - eSafe 7.0.17.0 2010.05.27 Suspicious File eTrust-Vet 35.2.7519 2010.05.29 - F-Prot 4.6.0.103 2010.05.29 - F-Secure 9.0.15370.0 2010.05.30 - Fortinet 4.1.133.0 2010.05.30 - GData 21 2010.05.30 Win32:Kheagol-K Ikarus T3.1.1.84.0 2010.05.30 - Jiangmin 13.0.900 2010.05.29 - Kaspersky 7.0.0.125 2010.05.30 - McAfee 5.400.0.1158 2010.05.30 - McAfee-GW-Edition 2010.1 2010.05.30 - Microsoft 1.5802 2010.05.30 - NOD32 5155 2010.05.30 - Norman 6.04.12 2010.05.30 - nProtect 2010-05-30.01 2010.05.30 - Panda 10.0.2.7 2010.05.29 Suspicious file PCTools 7.0.3.5 2010.05.30 - Prevx 3.0 2010.05.30 - Rising 22.49.06.04 2010.05.30 - Sophos 4.53.0 2010.05.30 - Sunbelt 6376 2010.05.30 Trojan.Win32.Kheagol.c (v) Symantec 20101.1.0.89 2010.05.30 - TheHacker 6.5.2.0.290 2010.05.30 - TrendMicro 9.120.0.1004 2010.05.30 - TrendMicro-HouseCall 9.120.0.1004 2010.05.30 - VBA32 3.12.12.5 2010.05.29 - ViRobot 2010.5.20.2326 2010.05.28 - VirusBuster 5.0.27.0 2010.05.29 - weitere Informationen File size: 162868 bytes MD5...: 2ec94d2aaad053c9c52cc8d3c1ee59fa SHA1..: 08a0ac49dbd94772b7fd8ccf5e06e883f53267f4 SHA256: 46c8ddb46234d20ab27155a9abf9097a13daee6ea6289a777c852d7002a1c5c4 ssdeep: 3072:x4Gmt1koh1dcBILyphXH9M9qLKoFnXyvgItPqFn5kOe6s3s+UyE6N+:iAo7 iBgH1+yvtukes3hUQ+ PEiD..: - PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x16d2b timedatestamp.....: 0x4ba970c5 (Wed Mar 24 01:54:13 2010) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x41000 0x26600 8.00 7947b20f105cce9cf220c51725bc7533 .rsrc 0x42000 0x1000 0x1000 7.34 da3052ade37b690764baa683119f99ad .reloc 0x43000 0x1000 0x200 0.24 d561c7da409fd5b3ef51249bcf03ea76 ( 2 imports ) > kernel32.dll: LoadLibraryA, GetProcAddress, VirtualAlloc, VirtualFree > MSVCRT.dll: __3@YAXPAX@Z ( 1 exports ) wjjuenncg RDS...: NSRL Reference Data Set - pdfid.: - trid..: Win32 EXE PECompact compressed (v2.x) (48.0%) Win32 EXE PECompact compressed (generic) (33.8%) Win32 Executable Generic (6.9%) Win32 Dynamic Link Library (generic) (6.1%) Clipper DOS Executable (1.6%) sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned Symantec Reputation Network: Suspicious.Insight hxxp://www.symantec.com/security_response/writeup.jsp?docid=2010-021223-0550-99 packers (Kaspersky): PE_Patch.PECompact, PecBundle, PECompact packers (Avast): PECompact packers (F-Prot): PecBundle, PECompact packers (Avast): PECompact |
Und hier nun das Logfile vom scan mit RootRepeal: ROOTREPEAL (c) AD, 2007-2009 ================================================== Scan Start Time: 2010/05/30 15:19 Program Version: Version 1.3.5.0 Windows Version: Windows XP SP3 ================================================== Drivers ------------------- Name: dump_atapi.sys Image Path: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xA8DC5000 Size: 98304 File Visible: No Signed: - Status: - Name: dump_WMILIB.SYS Image Path: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xF7AFD000 Size: 8192 File Visible: No Signed: - Status: - Name: rootrepeal.sys Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys Address: 0xA7B66000 Size: 49152 File Visible: No Signed: - Status: - Hidden/Locked Files ------------------- Path: C:\hiberfil.sys Status: Locked to the Windows API! Path: c:\dokumente und einstellungen\ela\cookies\ela@trojaner-board[2].txt Status: Size mismatch (API: 849, Raw: 850) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~df801c.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dfa18.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dff00e.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dffb78.tmp Status: Allocation size mismatch (API: 131072, Raw: 16384) SSDT ------------------- #: 041 Function Name: NtCreateKey Status: Hooked by "<unknown>" at address 0xf7bc096e #: 053 Function Name: NtCreateThread Status: Hooked by "<unknown>" at address 0xf7bc0964 #: 063 Function Name: NtDeleteKey Status: Hooked by "<unknown>" at address 0xf7bc0973 #: 065 Function Name: NtDeleteValueKey Status: Hooked by "<unknown>" at address 0xf7bc097d #: 098 Function Name: NtLoadKey Status: Hooked by "<unknown>" at address 0xf7bc0982 #: 122 Function Name: NtOpenProcess Status: Hooked by "<unknown>" at address 0xf7bc0950 #: 128 Function Name: NtOpenThread Status: Hooked by "<unknown>" at address 0xf7bc0955 #: 193 Function Name: NtReplaceKey Status: Hooked by "<unknown>" at address 0xf7bc098c #: 204 Function Name: NtRestoreKey Status: Hooked by "<unknown>" at address 0xf7bc0987 #: 247 Function Name: NtSetValueKey Status: Hooked by "<unknown>" at address 0xf7bc0978 #: 257 Function Name: NtTerminateProcess Status: Hooked by "<unknown>" at address 0xf7bc095f ==EOF== |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 13:27 Uhr. |
Copyright ©2000-2025, Trojaner-Board