![]() |
TR/Banker.Bancos.orq verhindert das Öffnen von Programmen Hallo an alle! Bei mir hat sich der Trojaner TR/Banker.Bancos.orq in den Windows Systemdateien (Windows XP) festgesetzt und verhindert das Öffnen von Programmen sowie den ZUgriuff aufs Internet. Ich kann momentan leider auch kein Logfile von Hijackthis erstellen, weil ich das Programm nicht öffnen kann. Aber ich habe dafür einen Scan mit Antivir durchgeführt Ich wäre füre Hilfe sehr dankbar, weil ich momentan fast nichts mit dem PC machen kann und ichd en Trojaner unbedingt loswerden will! GLG, Ela Avira AntiVir Personal Erstellungsdatum der Reportdatei: Samstag, 29. Mai 2010 10:17 Es wird nach 2170719 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : FSC111216083001 Versionsinformationen: BUILD.DAT : 9.0.0.422 21701 Bytes 09.03.2010 10:23:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 20.11.2009 12:27:28 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:41:59 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 12:27:27 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 12:27:28 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:28:02 VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 19:04:26 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 17:23:32 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 09:07:09 VBASE006.VDF : 7.10.6.83 2048 Bytes 15.04.2010 09:07:10 VBASE007.VDF : 7.10.6.84 2048 Bytes 15.04.2010 09:07:10 VBASE008.VDF : 7.10.6.85 2048 Bytes 15.04.2010 09:07:10 VBASE009.VDF : 7.10.6.86 2048 Bytes 15.04.2010 09:07:10 VBASE010.VDF : 7.10.6.87 2048 Bytes 15.04.2010 09:07:10 VBASE011.VDF : 7.10.6.88 2048 Bytes 15.04.2010 09:07:10 VBASE012.VDF : 7.10.6.89 2048 Bytes 15.04.2010 09:07:10 VBASE013.VDF : 7.10.6.90 2048 Bytes 15.04.2010 09:07:10 VBASE014.VDF : 7.10.6.123 126464 Bytes 19.04.2010 09:44:27 VBASE015.VDF : 7.10.6.152 123392 Bytes 21.04.2010 09:44:32 VBASE016.VDF : 7.10.6.178 122880 Bytes 22.04.2010 09:44:35 VBASE017.VDF : 7.10.6.206 120320 Bytes 26.04.2010 16:19:19 VBASE018.VDF : 7.10.6.232 99328 Bytes 28.04.2010 16:19:23 VBASE019.VDF : 7.10.7.2 155648 Bytes 30.04.2010 20:54:18 VBASE020.VDF : 7.10.7.26 119808 Bytes 04.05.2010 07:21:50 VBASE021.VDF : 7.10.7.51 118272 Bytes 06.05.2010 07:22:03 VBASE022.VDF : 7.10.7.75 404992 Bytes 10.05.2010 08:10:35 VBASE023.VDF : 7.10.7.100 125440 Bytes 13.05.2010 09:29:13 VBASE024.VDF : 7.10.7.119 177664 Bytes 17.05.2010 20:51:13 VBASE025.VDF : 7.10.7.139 129024 Bytes 19.05.2010 20:51:14 VBASE026.VDF : 7.10.7.157 145920 Bytes 21.05.2010 09:53:04 VBASE027.VDF : 7.10.7.173 147456 Bytes 25.05.2010 15:16:09 VBASE028.VDF : 7.10.7.189 120320 Bytes 27.05.2010 08:15:16 VBASE029.VDF : 7.10.7.190 2048 Bytes 27.05.2010 08:15:16 VBASE030.VDF : 7.10.7.191 2048 Bytes 27.05.2010 08:15:16 VBASE031.VDF : 7.10.7.195 65536 Bytes 28.05.2010 08:15:16 Engineversion : 8.2.1.242 AEVDF.DLL : 8.1.2.0 106868 Bytes 24.04.2010 12:17:37 AESCRIPT.DLL : 8.1.3.29 1343866 Bytes 13.05.2010 09:29:12 AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 09:29:10 AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 12:17:37 AERDL.DLL : 8.1.4.6 541043 Bytes 16.04.2010 09:07:25 AEPACK.DLL : 8.2.1.1 426358 Bytes 20.03.2010 10:20:06 AEOFFICE.DLL : 8.1.1.0 201081 Bytes 13.05.2010 09:29:09 AEHEUR.DLL : 8.1.1.27 2670967 Bytes 06.05.2010 07:21:56 AEHELP.DLL : 8.1.11.3 242039 Bytes 02.04.2010 17:27:05 AEGEN.DLL : 8.1.3.9 377203 Bytes 13.05.2010 09:29:09 AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 12:17:35 AECORE.DLL : 8.1.15.3 192886 Bytes 13.05.2010 09:29:08 AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 12:17:35 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 08.09.2009 13:13:31 AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 17:31:56 AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 28.04.2009 12:28:16 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09.06.2009 12:23:37 RCTEXT.DLL : 9.0.73.0 87297 Bytes 20.11.2009 12:27:26 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Beginn des Suchlaufs: Samstag, 29. Mai 2010 10:17 Der Suchlauf nach versteckten Objekten wird begonnen. c:\windows\system32\sdra64.exe [INFO] Die Datei ist nicht sichtbar. [FUND] Ist das Trojanische Pferd TR/Banker.Bancos.orq [INFO] Es konnte kein SpecVir-Eintrag gefunden werden! [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c72d08e.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec\local.ds [INFO] Die Datei ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c63d099.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec\user.ds [INFO] Die Datei ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c65d09d.qua erstellt ( QUARANTÄNE ) c:\windows\system32\lowsec [INFO] Das Verzeichnis ist nicht sichtbar. [HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4c77d099.qua erstellt ( QUARANTÄNE ) Es wurden '51813' Objekte überprüft, '4' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'neytdy.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WirelessSelector.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'WZQKPICK.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'OnlineFestplatte.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TouchPad_HotKey.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Es wurden '36' Prozesse mit '36' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '66' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <System> C:\hiberfil.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\Dokumente und Einstellungen\Ela\Desktop\vlc-0.9.9-win32.exe [0] Archivtyp: NSIS --> ProgramFilesDir/libvlccore.dll [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. Ende des Suchlaufs: Samstag, 29. Mai 2010 11:04 Benötigte Zeit: 47:38 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 8034 Verzeichnisse wurden überprüft 274569 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 4 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 274566 Dateien ohne Befall 7554 Archive wurden durchsucht 4 Warnungen 6 Hinweise 51813 Objekte wurden beim Rootkitscan durchsucht 4 Versteckte Objekte wurden gefunden |
Zitat:
Versuche sonst du mal in den abgesicherten Modus mit Netzwerkverbindung zu booten und dir da dann den Hijackthis runterzuladen und Malwarebytes und zu installieren.. Abgesicherter Modus ? Wikipedia lg. |
@MalwareHero Hab Windows im abgesicherten Modus gestartet und Malwarebytes runtergeladen und einen Systemscan durchgeführt. Hab auch versucht HijackThis runterzuladen, aber es ist immer ine Windowsmeldung gekommen, dass der ystemadministrator das nicht zulässt. Hab Hijackthis schon vorher am PC installiert gehabt und möglicherweise ist das Programm infiziert. soll ich stattdessen ein anderes Programm runterladen? Glg, Ela Malwarebytes Logfile: Malwarebytes' Anti-Malware 1.46 Malwarebytes Datenbank Version: 4153 Windows 5.1.2600 Service Pack 3 (Safe Mode) Internet Explorer 8.0.6001.18702 29.05.2010 14:13:43 mbam-log-2010-05-29 (14-13-43).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 182235 Laufzeit: 29 Minute(n), 34 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 6 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 3 Infizierte Verzeichnisse: 1 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: c:\windows\system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken. Infizierte Verzeichnisse: C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken. Infizierte Dateien: C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\sdra64.exe (Spyware.Zbot) -> No action taken. |
@MalwareHero Ich hab jetzt Windows im abgesicherten Modus gestartet und Malwarebytes heruntergeladen. das Logfile findest du weiter unten. Allerdings konnte ich Hijackthis von PonyFile.de nicht herunterladen. Es ist immer ine Meldung gekommen, dass der Systemadministrator das nicht erlaubt (das Installieren vermute ich). Soll ich stattdessen ein anderes Programm herunterladen? Glg, Ela Malwarebytes' Anti-Malware 1.46 Malwarebytes Datenbank Version: 4153 Windows 5.1.2600 Service Pack 3 (Safe Mode) Internet Explorer 8.0.6001.18702 29.05.2010 14:13:43 mbam-log-2010-05-29 (14-13-43).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 182235 Laufzeit: 29 Minute(n), 34 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 6 Infizierte Registrierungswerte: 1 Infizierte Dateiobjekte der Registrierung: 3 Infizierte Verzeichnisse: 1 Infizierte Dateien: 3 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken. HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken. Infizierte Registrierungswerte: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken. Infizierte Dateiobjekte der Registrierung: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: c:\windows\system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Spyware.Zbot) -> Data: system32\sdra64.exe -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (userinit.exe) -> No action taken. Infizierte Verzeichnisse: C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken. Infizierte Dateien: C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken. C:\WINDOWS\system32\sdra64.exe (Spyware.Zbot) -> No action taken. |
Zitat:
Poste ein OTL Log. http://www.trojaner-board.de/85104-o...-oldtimer.html |
@MalwareHero Soll ich wirklich alle Dateien, die Malwarebytes gefunden hat löschen. Nachdem der Suchlauf beendet ist, kommt nämlicvh eine ganze Liste von Programmen und die sind alle bereits angekreuzt. Es sind auch Windows Systemdateien darunter. Ich will nur sicher sein, dass ich alle diese bereits markierten Programme löschen kann, denn wenn ich etwas Falsches lösche geht womöglich gar nix mehr. lg, Ela |
Zitat:
Will man die Malware direkt entfernen, (ja, das wollen wir!) achtet man darauf, dass die Häkchen gesetzt sind und wählt 'Entferne Auswahl'. Das sind alles Malware Dateien und die müssen wir löschen, sonst kommen wir nicht weiter! Wenn du nicht willst dann geht es für dich hier weiter: http://www.trojaner-board.de/51262-a...sicherung.html du hast nämlich ein backdoor auf dem system. |
Zitat:
|
Okay.... Ich hab jetzt die Dateien gelöscht die Malwarebytes gefunden hat (auch aus der Quarantäne) und neu gestartet. dann hab ich einen Quickscan gemacht und das Programm hat nichts Böses mehr gefunden. dann hab ich es jetzt doch geschafft HijackThis runterzuladen und ein Logfile zu erstellen (siehe unten). Ich glaub Firefox ist irgendwie infoziert, da er sich nicht öffnen lässt. ES kommt eine Meldung, dass er mal abgestürzt ist, aber er geht nicht neustarten. lg, Ela HiJackthis Logfile: Code: Logfile of Trend Micro HijackThis v2.0.4 |
Zitat:
http://www.trojaner-board.de/85104-o...-oldtimer.html |
Hier nun die 2 OTL logs: OTL Logfile: Code: OTL logfile created on: 29.05.2010 22:58:17 - Run 1 OTL Logfile: Code: OTL Extras logfile created on: 29.05.2010 22:58:17 - Run 1 |
Zitat:
OTL Fix: * Schliesse alle Programme und starte das Programm OTL. * Kopiere den Inhalt im Codefenster (siehe unten) in die Textbox. Code: Zitat:
* OTL kann den PC neustarten. Bitte das zulassen. * Log posten, (wird auf C:\ gespeichert) ......................................... Aktiviere deinen Firewall! 1. Klicke auf Start und auf Ausführen, geb in das Feld ein Firewall.cpl und klicke auf OK. 2. Klicke auf der Registerkarte Allgemein auf Aktiv (empfohlen). 3. Klicke auf OK. > gehe auf "Erweitert" und unten bei Standardeinstellungen klicke auf "Wiederherstellen" klicke ok. VirusTotal Check: Diese Datei bei Virus Total hochladen und checken lassen: http://www.virustotal.com/de/ wenn die scanner anschlagen poste das log. Zitat:
Download: http://ad13.geekstogo.com/RootRepeal.zip Entpacken und doppelklick auf rootrepeal.exe. Suche und gehe auf Report unten im Fenster und klicke drauf. Klicke Scan > Kreuze alle Scankästchen an > kreuze alle Festplatten an > klicke ok. Das log öffnet sich nach dem scan, kopiere es hier rein. Scan mit Norman AntiMalware: Hier das Tool downloaden: Norman | Norman Malware Cleaner (Download now) Als Administrator ausführen, computer scannen, das log, das während dem scan auf deinem Desktop abkopiert wird, bitte posten. Geduldig sein, der scan ist gründlich und dauert 1-2 stunden. - Deinstalliere: Adobe Reader 8.00 Java. --------- |
@MalwareHero Hier nun das LOgfile von OTL. Und sorry nochmal, dass ich vorher was 2x gepostet hab. Ich hab das nicht mehr löschen können. Firewall hab ich schon wieder aktiviert, keine Ahnung was da war. Aber ich check noch mal ob sie auch wieder läuft. All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\ deleted successfully. HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer| /E : value set successfully! Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6A79CF97-91F1-40BC-8CAB-44184B496B6D}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A79CF97-91F1-40BC-8CAB-44184B496B6D}\ deleted successfully. Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\{1DE304C8-D94A-63F7-C37C-575497E51F16} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DE304C8-D94A-63F7-C37C-575497E51F16}\ not found. C:\Dokumente und Einstellungen\Ela\Anwendungsdaten\Edci\saycz.exe moved successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher deleted successfully. C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe moved successfully. ========== FILES ========== File\Folder C:\WINDOWS\Temp\Installer.exe not found. File\Folder C:\Dokumente und Einstellungen\Ela\Anwendungsdaten\Edci\saycz.exe not found. ========== COMMANDS ========== C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 32768 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 32768 bytes User: Ela ->Temp folder emptied: 12016759 bytes ->Temporary Internet Files folder emptied: 302162922 bytes ->Java cache emptied: 24832332 bytes ->FireFox cache emptied: 83098819 bytes ->Google Chrome cache emptied: 5925850 bytes ->Flash cache emptied: 1959862 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 32902 bytes User: NetworkService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 113558272 bytes %systemdrive% .tmp files removed: 340160758 bytes %systemroot% .tmp files removed: 19569 bytes %systemroot%\System32 .tmp files removed: 2951 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 1210816 bytes RecycleBin emptied: 78391 bytes Total Files Cleaned = 844,00 mb [EMPTYFLASH] User: Administrator User: All Users User: Default User User: Ela ->Flash cache emptied: 0 bytes User: LocalService User: NetworkService Total Flash Files Cleaned = 0,00 mb OTL by OldTimer - Version 3.2.5.1 log created on 05302010_144830 Files\Folders moved on Reboot... Registry entries deleted on Reboot... |
C:\WINDOWS\system32\netdixco.dll Hab diese Datei mit dem VirusTotal Check gescannt und er hat folgendes gefunden: Datei netdixco.dll empfangen 2010.05.30 13:02:15 (UTC) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 6/41 (14.64%) Antivirus Version letzte aktualisierung Ergebnis a-squared 4.5.0.50 2010.05.10 - AhnLab-V3 2010.05.30.00 2010.05.29 - AntiVir 8.2.1.242 2010.05.28 - Antiy-AVL 2.0.3.7 2010.05.26 - Authentium 5.2.0.5 2010.05.29 - Avast 4.8.1351.0 2010.05.30 Win32:Kheagol-K Avast5 5.0.332.0 2010.05.30 Win32:Kheagol-K AVG 9.0.0.787 2010.05.30 - BitDefender 7.2 2010.05.30 - CAT-QuickHeal 10.00 2010.05.29 - ClamAV 0.96.0.3-git 2010.05.30 - Comodo 4954 2010.05.30 - DrWeb 5.0.2.03300 2010.05.30 - eSafe 7.0.17.0 2010.05.27 Suspicious File eTrust-Vet 35.2.7519 2010.05.29 - F-Prot 4.6.0.103 2010.05.29 - F-Secure 9.0.15370.0 2010.05.30 - Fortinet 4.1.133.0 2010.05.30 - GData 21 2010.05.30 Win32:Kheagol-K Ikarus T3.1.1.84.0 2010.05.30 - Jiangmin 13.0.900 2010.05.29 - Kaspersky 7.0.0.125 2010.05.30 - McAfee 5.400.0.1158 2010.05.30 - McAfee-GW-Edition 2010.1 2010.05.30 - Microsoft 1.5802 2010.05.30 - NOD32 5155 2010.05.30 - Norman 6.04.12 2010.05.30 - nProtect 2010-05-30.01 2010.05.30 - Panda 10.0.2.7 2010.05.29 Suspicious file PCTools 7.0.3.5 2010.05.30 - Prevx 3.0 2010.05.30 - Rising 22.49.06.04 2010.05.30 - Sophos 4.53.0 2010.05.30 - Sunbelt 6376 2010.05.30 Trojan.Win32.Kheagol.c (v) Symantec 20101.1.0.89 2010.05.30 - TheHacker 6.5.2.0.290 2010.05.30 - TrendMicro 9.120.0.1004 2010.05.30 - TrendMicro-HouseCall 9.120.0.1004 2010.05.30 - VBA32 3.12.12.5 2010.05.29 - ViRobot 2010.5.20.2326 2010.05.28 - VirusBuster 5.0.27.0 2010.05.29 - weitere Informationen File size: 162868 bytes MD5...: 2ec94d2aaad053c9c52cc8d3c1ee59fa SHA1..: 08a0ac49dbd94772b7fd8ccf5e06e883f53267f4 SHA256: 46c8ddb46234d20ab27155a9abf9097a13daee6ea6289a777c852d7002a1c5c4 ssdeep: 3072:x4Gmt1koh1dcBILyphXH9M9qLKoFnXyvgItPqFn5kOe6s3s+UyE6N+:iAo7 iBgH1+yvtukes3hUQ+ PEiD..: - PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x16d2b timedatestamp.....: 0x4ba970c5 (Wed Mar 24 01:54:13 2010) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x41000 0x26600 8.00 7947b20f105cce9cf220c51725bc7533 .rsrc 0x42000 0x1000 0x1000 7.34 da3052ade37b690764baa683119f99ad .reloc 0x43000 0x1000 0x200 0.24 d561c7da409fd5b3ef51249bcf03ea76 ( 2 imports ) > kernel32.dll: LoadLibraryA, GetProcAddress, VirtualAlloc, VirtualFree > MSVCRT.dll: __3@YAXPAX@Z ( 1 exports ) wjjuenncg RDS...: NSRL Reference Data Set - pdfid.: - trid..: Win32 EXE PECompact compressed (v2.x) (48.0%) Win32 EXE PECompact compressed (generic) (33.8%) Win32 Executable Generic (6.9%) Win32 Dynamic Link Library (generic) (6.1%) Clipper DOS Executable (1.6%) sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned Symantec Reputation Network: Suspicious.Insight hxxp://www.symantec.com/security_response/writeup.jsp?docid=2010-021223-0550-99 packers (Kaspersky): PE_Patch.PECompact, PecBundle, PECompact packers (Avast): PECompact packers (F-Prot): PecBundle, PECompact packers (Avast): PECompact |
Und hier nun das Logfile vom scan mit RootRepeal: ROOTREPEAL (c) AD, 2007-2009 ================================================== Scan Start Time: 2010/05/30 15:19 Program Version: Version 1.3.5.0 Windows Version: Windows XP SP3 ================================================== Drivers ------------------- Name: dump_atapi.sys Image Path: C:\WINDOWS\System32\Drivers\dump_atapi.sys Address: 0xA8DC5000 Size: 98304 File Visible: No Signed: - Status: - Name: dump_WMILIB.SYS Image Path: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS Address: 0xF7AFD000 Size: 8192 File Visible: No Signed: - Status: - Name: rootrepeal.sys Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys Address: 0xA7B66000 Size: 49152 File Visible: No Signed: - Status: - Hidden/Locked Files ------------------- Path: C:\hiberfil.sys Status: Locked to the Windows API! Path: c:\dokumente und einstellungen\ela\cookies\ela@trojaner-board[2].txt Status: Size mismatch (API: 849, Raw: 850) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~df801c.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dfa18.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dff00e.tmp Status: Allocation size mismatch (API: 16384, Raw: 0) Path: c:\dokumente und einstellungen\ela\lokale einstellungen\temp\~dffb78.tmp Status: Allocation size mismatch (API: 131072, Raw: 16384) SSDT ------------------- #: 041 Function Name: NtCreateKey Status: Hooked by "<unknown>" at address 0xf7bc096e #: 053 Function Name: NtCreateThread Status: Hooked by "<unknown>" at address 0xf7bc0964 #: 063 Function Name: NtDeleteKey Status: Hooked by "<unknown>" at address 0xf7bc0973 #: 065 Function Name: NtDeleteValueKey Status: Hooked by "<unknown>" at address 0xf7bc097d #: 098 Function Name: NtLoadKey Status: Hooked by "<unknown>" at address 0xf7bc0982 #: 122 Function Name: NtOpenProcess Status: Hooked by "<unknown>" at address 0xf7bc0950 #: 128 Function Name: NtOpenThread Status: Hooked by "<unknown>" at address 0xf7bc0955 #: 193 Function Name: NtReplaceKey Status: Hooked by "<unknown>" at address 0xf7bc098c #: 204 Function Name: NtRestoreKey Status: Hooked by "<unknown>" at address 0xf7bc0987 #: 247 Function Name: NtSetValueKey Status: Hooked by "<unknown>" at address 0xf7bc0978 #: 257 Function Name: NtTerminateProcess Status: Hooked by "<unknown>" at address 0xf7bc095f ==EOF== |
Diese Datei: C:\WINDOWS\system32\netdixco.dll ist Malware. Solltest du gerade mit NormanAntiMalware scannen, verschiebe die Datei: netdixco.dll bis aufs weitere in die Quarantäne von Avira. (öffne die Quarantäne von avira und wähle das symbol: datei hinzufügen, den prozess: netdixco.dll, evtl. vorher im Taskmanager beenden) Wenn Norman nicht am scannen sein sollte, führe nochmal OTL aus, wie schon beschrieben, diesmal aber folgenden Text in das Textfeld einfügen: Zitat:
poste das log und das log von NormanMalwareCleaner. |
Hier nun einmal das zunächst das Logfile von Norman antimalware bevor ich weitermache Norman Malware Cleaner Version 1.6.2 Copyright © 1990 - 2009, Norman ASA. Built 2010/05/30 12:36:08 Norman Scanner Engine Version: 6.04.08 Nvcbin.def Version: 6.04.00, Date: 2010/05/30 12:36:08, Variants: 5823430 Scan started: 30/05/2010 15:41:00 Running pre-scan cleanup routine: Operating System: Microsoft Windows XP Professional 5.1.2600 Service Pack 3 Logged on user: FSC111216083001\Ela Scanning bootsectors... Number of sectors found: 0 Number of sectors scanned: 0 Number of sectors not scanned: 0 Number of infections found: 0 Number of infections removed: 0 Total scanning time: 0s Scanning running processes and process memory... Number of processes/threads found: 3961 Number of processes/threads scanned: 3961 Number of processes/threads not scanned: 0 Number of infected processes/threads terminated: 0 Total scanning time: 2m 23s Scanning file system... Scanning: prescan Scanning: C:\*.* C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/componentstree.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/destination.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/progressprereq.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/setuptype.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/startinstallation.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/welcome.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{623D32E9-0C62-4453-AD44-98B31F52A5E1}\Microsoft Office Activation Assistant.res/wizard.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/destination.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/maintenance.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/progressprereq.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/startinstallation.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/welcome.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{783529ED-FB56-4E47-9A20-F9C23D22C2D0}\Setup.res/wizard.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/destination.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/maintenance.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/progressprereq.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/startinstallation.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/welcome.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{C3358ED5-0ADD-4BA0-8F60-B5A7CD34BD14}\setup.res/wizard.dfm.miaf (Error whilst scanning file: I/O Error (0x00000057)) C:\Programme\AskPBar\bar\1.bin\askpbar.0ll (Infected with W32/WebSearch.IQ) Deleted file Scanning: postscan Running post-scan cleanup routine: Number of files found: 137046 Number of archives unpacked: 6180 Number of files scanned: 137025 Number of files not scanned: 21 Number of files skipped due to exclude list: 0 Number of infected files found: 1 Number of infected files repaired/deleted: 1 Number of infections removed: 1 Total scanning time: 57m 32s |
Der zweite Scan mit OTL hat folgendes ergeben. Soll ich das Ganze jetzt nochmal mit Norman AntiMalware scannen? lg, Ela All processes killed ========== OTL ========== Starting removal of ActiveX control {31435657-9980-0010-8000-00AA00389B71} C:\WINDOWS\Downloaded Program Files\wvc1dmo.inf moved successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{31435657-9980-0010-8000-00AA00389B71}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{31435657-9980-0010-8000-00AA00389B71}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{31435657-9980-0010-8000-00AA00389B71}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{31435657-9980-0010-8000-00AA00389B71}\ not found. ========== FILES ========== File\Folder C:\WINDOWS\system32\netdixco.dll () not found. ========== COMMANDS ========== [EMPTYTEMP] User: Administrator ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: All Users User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Ela ->Temp folder emptied: 1059677 bytes ->Temporary Internet Files folder emptied: 89236189 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Google Chrome cache emptied: 6470089 bytes ->Flash cache emptied: 0 bytes User: LocalService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\dllcache .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 707179 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 93,00 mb OTL by OldTimer - Version 3.2.5.1 log created on 05302010_165101 Files\Folders moved on Reboot... Registry entries deleted on Reboot... |
Zitat:
Zitat:
|
Die Datei ist leider noch vorhanden. Hab außerdem den Acrobat Reader 8.00 und Java gelöscht. |
Zitat:
|
Die Datei ist in Quarantäne. Wie geht's weiter? lg |
Abschliessende Schritte durchführen: > Systemwiederherstellung deaktivieren Computuer ausschalten 5min. warten Computer anschalten, Systemwiederherstellung aktivieren. Aktivieren und Deaktivieren der Systemwiederherstellung in Windows XP > USB Sticks...etc., bei deaktiviertem Autostart (Autostart von CD unterdrücken) mit Malwarebytes + Avira und Online Scanner auf Schädlinge überprüfen. > Kontrollscans mit Eset Online Scanner: (log posten) Free ESET Online Antivirus Scanner > Vollscan mit Malwarebytes (vorher updaten!) > lösche Norman mit rechtsklick, und OTL > Installiere die neue Version von Java und Acrobat: http://www.java.com /de/download/manual.jsp Adobe - Adobe Reader herunterladen - Alle Versionen > Windows Update durchführen. > Alle Passwörter ändern. > Windows Sicherheitscenter aktivieren: 1. Diensteverwaltung über Start/Ausführen services.msc öffnen 2. Dienst Sicherheitscenter suchen 3. Eigenschaften des Dienstes öffnen (rechtsklick) 4. Startart auf "Automatisch" setzen. kontrolliere bevor du ins internet gehst das der Firewall läuft, wenns da probleme gibt, sag bescheid. Sicher durchs Internet, Malware verhindern: http://www.trojaner-board.de/74052-s...-internet.html Sollte das TB team noch anweisungen geben, führe die aus, sonst sind wir durch. :kaffee: lg. |
Hab den PC jetzt mit ESET gescannt und es ist folgendes herausgekommen: C:\WINDOWS\system32\imm32.dll (a variant of Win32\Kheagol.D trojan) unable to clean C:\_OTL\MovedFiles\05302010_144830\C_Dokumente und Einstellungen\Ela\Anwendungsdaten\Edci\saycz.exe (a variant of Win32\Kryptic.EOO trojan) cleaned by deleting - quarantined Operating Memory a variant of Win32\Kheagol.D trojan |
Zitat:
Da es sich hier um eine systemdatei handeln kann, nicht löschen. (in ordneroptionen unter "ansicht" geschützte systemdateien und versteckte datein/ordner anzeigen lassen) check dann mal wieviele der imm32.dll im system32 ordner sind. eine, zwei? Wir versuchen zuerst diesen lösungsversuch: Lade die Datei: C:\WINDOWS\system32\imm32.dll bei VirusTotal - Kostenloser online Viren- und Malwarescanner hoch und poste das log. - als administrator gehe auf start > ausführen > schreibe rein cmd im fenster schreibe rein: sfc /scannow die systemdateien werden überprüft, sollten probleme gefunden werden, musst du die xp recovery cd ins cd laufwerk legen, die datei wird ersetzt. führe diese prüfung durch, und sag mir was raus kam. --------- |
Hier nun mal das log von VirusTotal: Datei imm32.dll empfangen 2010.05.31 10:47:21 (UTC) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 7/41 (17.08%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: 1. Geschätzte Startzeit ist zwischen 42 und 60 Sekunden. Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis a-squared 5.0.0.26 2010.05.31 - AhnLab-V3 2010.05.30.00 2010.05.29 Win-Trojan/Patched.Q AntiVir 8.2.1.242 2010.05.31 - Antiy-AVL 2.0.3.7 2010.05.31 - Authentium 5.2.0.5 2010.05.31 - Avast 4.8.1351.0 2010.05.30 - Avast5 5.0.332.0 2010.05.30 - AVG 9.0.0.787 2010.05.31 - BitDefender 7.2 2010.05.31 - CAT-QuickHeal 10.00 2010.05.31 - ClamAV 0.96.0.3-git 2010.05.30 - Comodo 4959 2010.05.31 - DrWeb 5.0.2.03300 2010.05.31 - eSafe 7.0.17.0 2010.05.30 - eTrust-Vet 35.2.7521 2010.05.31 - F-Prot 4.6.0.103 2010.05.31 - F-Secure 9.0.15370.0 2010.05.31 - Fortinet 4.1.133.0 2010.05.30 - GData 21 2010.05.31 - Ikarus T3.1.1.84.0 2010.05.31 - Jiangmin 13.0.900 2010.05.30 - Kaspersky 7.0.0.125 2010.05.31 - McAfee 5.400.0.1158 2010.05.31 - McAfee-GW-Edition 2010.1 2010.05.31 - Microsoft 1.5802 2010.05.31 - NOD32 5157 2010.05.31 - Norman 6.04.12 2010.05.31 - nProtect 2010-05-31.01 2010.05.31 - Panda 10.0.2.7 2010.05.30 - PCTools 7.0.3.5 2010.05.31 Trojan.Immbesq Prevx 3.0 2010.05.31 - Rising 22.50.00.04 2010.05.31 Win32.Loader.es Sophos 4.53.0 2010.05.31 Troj/Imm32Hck-A Sunbelt 6380 2010.05.31 - Symantec 20101.1.0.89 2010.05.31 Trojan.Immbesq!inf TheHacker 6.5.2.0.290 2010.05.30 - TrendMicro 9.120.0.1004 2010.05.31 PE_PATCHED.SMA TrendMicro-HouseCall 9.120.0.1004 2010.05.31 PE_PATCHED.SMA VBA32 3.12.12.5 2010.05.29 - ViRobot 2010.5.20.2326 2010.05.28 - VirusBuster 5.0.27.0 2010.05.30 - weitere Informationen File size: 110592 bytes MD5...: 14109dbe7d22ffb282d865a8c8fb0263 SHA1..: 6a01e369d5d5a4a4743146990ac7369d416e81cb SHA256: f31ca0772b998843285334ff67cc136553dd26b63329acc1b38ba29976e23bb9 ssdeep: 3072:jZukBy1W6/ZTdFy5dbnd54N7qy3mh2m5sH3I:jZukByJHFy5dgNRmh2m5sH 3 PEiD..: - PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x12c0 timedatestamp.....: 0x4802bf9c (Mon Apr 14 02:21:16 2008) machinetype.......: 0x14c (I386) ( 5 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x14a96 0x14c00 6.58 1e7309c9e8edafbe858756e64fcc300f .data 0x16000 0x88c 0x200 0.75 79d45776c3fb67789c9781615591364b .rsrc 0x17000 0x4c18 0x4e00 3.72 5839bf64e5b92d7d0c469a2a4d6a60da .reloc 0x1c000 0xc6c 0xe00 6.35 f840211253ed3d070f81016595f41100 .vtgpxx 0x1d000 0x1000 0x200 1.64 1151934b8a16d9af68b5868693e888a4 ( 6 imports ) > ADVAPI32.dll: CheckTokenMembership, FreeSid, RegCreateKeyW, RegSetValueExW, RegDeleteKeyW, RegEnumKeyW, RegOpenKeyW, RegQueryValueExW, RegCloseKey, AllocateAndInitializeSid > GDI32.dll: CreateFontIndirectW, GetObjectW, CreateDCW, GetTextExtentPoint32W, SetBkColor, CreateCompatibleBitmap, GetDIBits, CreateDIBitmap, TranslateCharsetInfo, PatBlt, Rectangle, SelectObject, GetStockObject, BitBlt, DeleteObject, DeleteDC, CreateCompatibleDC, GetTextMetricsW, ExtTextOutW > KERNEL32.dll: IsBadWritePtr, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetModuleFileNameW, lstrcmpiW, CreateThread, Sleep, TlsGetValue, TlsSetValue, TlsAlloc, OpenFileMappingW, GetCurrentProcessId, CreateFileMappingW, MapViewOfFile, UnmapViewOfFile, CloseHandle, GetLastError, lstrlenA, IsDBCSLeadByte, GetProfileIntW, lstrcmpW, SetLastError, lstrcpynW, GlobalAlloc, GlobalLock, GlobalFree, GlobalUnlock, InterlockedDecrement, GetLocaleInfoW, HeapAlloc, LocalSize, LocalReAlloc, LocalFlags, LocalUnlock, LocalLock, GetFullPathNameW, lstrlenW, OpenFile, _lclose, GetThreadLocale, GetSystemDirectoryW, LocalAlloc, GetACP, FreeLibrary, BaseCheckAppcompatCache, GetModuleHandleW, LoadLibraryW, GetProcAddress, MultiByteToWideChar, HeapFree, InterlockedIncrement, GetCurrentThreadId, WideCharToMultiByte, LocalFree, IsDBCSLeadByteEx, GetSystemDefaultLCID > ntdll.dll: RtlUnwind, RtlIsThreadWithinLoaderCallout, RtlDllShutdownInProgress, RtlUnicodeToMultiByteSize, wcstol, _wcsicmp, wcsncpy, RtlIntegerToUnicodeString, wcscat, RtlUnicodeStringToInteger, wcscpy, RtlDeleteCriticalSection, NtQuerySystemInformation, RtlEnterCriticalSection, RtlLeaveCriticalSection, wcslen, RtlInitializeCriticalSection, NtQueryVirtualMemory > USER32.dll: SendMessageW, wsprintfW, GetClassInfoW, GetFocus, User32InitializeImmEntryTable, CharUpperW, UnloadKeyboardLayout, LoadBitmapW, ReleaseDC, GetDC, GetClientRect, SetWindowLongW, GetWindowLongW, DrawTextExW, GetWindowRect, GetSystemMetrics, MessageBeep, SetCapture, ScreenToClient, GetCursorPos, SetCursor, LoadCursorW, SendMessageTimeoutW, GetDesktopWindow, IsWindowUnicode, CharNextW, CharNextA, MapWindowPoints, GetForegroundWindow, ClientToScreen, GetKeyboardState, ToUnicode, ToAsciiEx, DestroyWindow, MapVirtualKeyW, CreateWindowExW, ShowWindow, UpdateWindow, MonitorFromWindow, GetMonitorInfoW, SystemParametersInfoW, GetClassInfoExW, LoadIconW, RegisterClassExW, GetParent, GetCapture, DrawEdge, BeginPaint, EndPaint, InvalidateRect, DefWindowProcW, ReleaseCapture, SetWindowPos, GetWindow, LoadKeyboardLayoutW, GetWindowThreadProcessId, GetKeyboardLayoutList, SendMessageA, PostMessageW, PostMessageA, WCSToMBEx, GetKeyboardLayout, IsWindow, keybd_event > netdixco.dll: wjjuenncg ( 133 exports ) CtfAImmActivate, CtfAImmDeactivate, CtfAImmIsIME, CtfImmCoUninitialize, CtfImmDispatchDefImeMessage, CtfImmEnterCoInitCountSkipMode, CtfImmGenerateMessage, CtfImmGetGuidAtom, CtfImmHideToolbarWnd, CtfImmIsCiceroEnabled, CtfImmIsCiceroStartedInThread, CtfImmIsGuidMapEnable, CtfImmIsTextFrameServiceDisabled, CtfImmLastEnabledWndDestroy, CtfImmLeaveCoInitCountSkipMode, CtfImmRestoreToolbarWnd, CtfImmSetAppCompatFlags, CtfImmSetCiceroStartInThread, CtfImmTIMActivate, GetKeyboardLayoutCP, ImmActivateLayout, ImmAssociateContext, ImmAssociateContextEx, ImmCallImeConsoleIME, ImmConfigureIMEA, ImmConfigureIMEW, ImmCreateContext, ImmCreateIMCC, ImmCreateSoftKeyboard, ImmDestroyContext, ImmDestroyIMCC, ImmDestroySoftKeyboard, ImmDisableIME, ImmDisableIme, ImmDisableTextFrameService, ImmEnumInputContext, ImmEnumRegisterWordA, ImmEnumRegisterWordW, ImmEscapeA, ImmEscapeW, ImmFreeLayout, ImmGenerateMessage, ImmGetAppCompatFlags, ImmGetCandidateListA, ImmGetCandidateListCountA, ImmGetCandidateListCountW, ImmGetCandidateListW, ImmGetCandidateWindow, ImmGetCompositionFontA, ImmGetCompositionFontW, ImmGetCompositionStringA, ImmGetCompositionStringW, ImmGetCompositionWindow, ImmGetContext, ImmGetConversionListA, ImmGetConversionListW, ImmGetConversionStatus, ImmGetDefaultIMEWnd, ImmGetDescriptionA, ImmGetDescriptionW, ImmGetGuideLineA, ImmGetGuideLineW, ImmGetHotKey, ImmGetIMCCLockCount, ImmGetIMCCSize, ImmGetIMCLockCount, ImmGetIMEFileNameA, ImmGetIMEFileNameW, ImmGetImeInfoEx, ImmGetImeMenuItemsA, ImmGetImeMenuItemsW, ImmGetOpenStatus, ImmGetProperty, ImmGetRegisterWordStyleA, ImmGetRegisterWordStyleW, ImmGetStatusWindowPos, ImmGetVirtualKey, ImmIMPGetIMEA, ImmIMPGetIMEW, ImmIMPQueryIMEA, ImmIMPQueryIMEW, ImmIMPSetIMEA, ImmIMPSetIMEW, ImmInstallIMEA, ImmInstallIMEW, ImmIsIME, ImmIsUIMessageA, ImmIsUIMessageW, ImmLoadIME, ImmLoadLayout, ImmLockClientImc, ImmLockIMC, ImmLockIMCC, ImmLockImeDpi, ImmNotifyIME, ImmPenAuxInput, ImmProcessKey, ImmPutImeMenuItemsIntoMappedFile, ImmReSizeIMCC, ImmRegisterClient, ImmRegisterWordA, ImmRegisterWordW, ImmReleaseContext, ImmRequestMessageA, ImmRequestMessageW, ImmSendIMEMessageExA, ImmSendIMEMessageExW, ImmSendMessageToActiveDefImeWndW, ImmSetActiveContext, ImmSetActiveContextConsoleIME, ImmSetCandidateWindow, ImmSetCompositionFontA, ImmSetCompositionFontW, ImmSetCompositionStringA, ImmSetCompositionStringW, ImmSetCompositionWindow, ImmSetConversionStatus, ImmSetHotKey, ImmSetOpenStatus, ImmSetStatusWindowPos, ImmShowSoftKeyboard, ImmSimulateHotKey, ImmSystemHandler, ImmTranslateMessage, ImmUnlockClientImc, ImmUnlockIMC, ImmUnlockIMCC, ImmUnlockImeDpi, ImmUnregisterWordA, ImmUnregisterWordW, ImmWINNLSEnableIME, ImmWINNLSGetEnableStatus, ImmWINNLSGetIMEHotkey RDS...: NSRL Reference Data Set - pdfid.: - trid..: Win32 Executable Generic (42.3%) Win32 Dynamic Link Library (generic) (37.6%) Generic Win/DOS Executable (9.9%) DOS Executable Generic (9.9%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) sigcheck: publisher....: Microsoft Corporation copyright....: (c) Microsoft Corporation. All rights reserved. product......: Microsoft_ Windows_ Operating System description..: Windows XP IMM32 API Client DLL original name: imm32 internal name: imm32 file version.: 5.1.2600.5512 (xpsp.080413-2105) comments.....: n/a signers......: - signing date.: - verified.....: Unsigned |
- als administrator gehe auf start > ausführen > schreibe rein cmd im fenster schreibe rein: sfc /scannow die systemdateien werden überprüft, sollten probleme gefunden werden, musst du die xp recovery cd ins cd laufwerk legen, die datei wird ersetzt. führe diese prüfung durch, und sag mir was raus kam. Ich hab das jetzt gemacht und es kam keine nachricht, dass etwas nicht stimmt. Wie geht's weiter? lg, Ela |
Zitat:
Zitat:
Sollten die Scanner weiterhin die Datei als infiziert melden, müssen wir den PC gründlich auf noch vorhandene Infektionen scannen, bevor wir mit Hilfe der Recovery Funktion alle Systemdateien wiederherstellen. |
QMalwareHero: Hab die Widowsdatei noch mal gescannt und er hat nichts gefunden :huepp: Soll ich noch was machen? Und was mach ich mit den Viren in der Quarantäne? Glg, Ela Datei imm32.dll empfangen 2010.06.02 08:58:35 (UTC) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 0/41 (0%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: 2. Geschätzte Startzeit ist zwischen 46 und 66 Sekunden. Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis a-squared 5.0.0.26 2010.06.02 - AhnLab-V3 2010.06.02.00 2010.06.01 - AntiVir 8.2.1.242 2010.06.01 - Antiy-AVL 2.0.3.7 2010.06.02 - Authentium 5.2.0.5 2010.06.02 - Avast 4.8.1351.0 2010.06.02 - Avast5 5.0.332.0 2010.06.02 - AVG 9.0.0.787 2010.06.02 - BitDefender 7.2 2010.06.02 - CAT-QuickHeal 10.00 2010.06.02 - ClamAV 0.96.0.3-git 2010.06.02 - Comodo 4980 2010.06.01 - DrWeb 5.0.2.03300 2010.06.02 - eSafe 7.0.17.0 2010.06.01 - eTrust-Vet 35.2.7524 2010.06.02 - F-Prot 4.6.0.103 2010.06.02 - F-Secure 9.0.15370.0 2010.06.02 - Fortinet 4.1.133.0 2010.06.01 - GData 21 2010.06.02 - Ikarus T3.1.1.84.0 2010.06.02 - Jiangmin 13.0.900 2010.06.02 - Kaspersky 7.0.0.125 2010.06.02 - McAfee 5.400.0.1158 2010.06.02 - McAfee-GW-Edition 2010.1 2010.06.02 - Microsoft 1.5802 2010.06.02 - NOD32 5165 2010.06.02 - Norman 6.04.12 2010.06.01 - nProtect 2010-06-02.01 2010.06.02 - Panda 10.0.2.7 2010.06.01 - PCTools 7.0.3.5 2010.06.02 - Prevx 3.0 2010.06.02 - Rising 22.50.02.04 2010.06.02 - Sophos 4.53.0 2010.06.02 - Sunbelt 6389 2010.06.02 - Symantec 20101.1.0.89 2010.06.02 - TheHacker 6.5.2.0.291 2010.06.01 - TrendMicro 9.120.0.1004 2010.06.02 - TrendMicro-HouseCall 9.120.0.1004 2010.06.02 - VBA32 3.12.12.5 2010.06.01 - ViRobot 2010.6.1.2333 2010.06.01 - VirusBuster 5.0.27.0 2010.06.01 - weitere Informationen |
Zitat:
beim Auswertungslog von der Datei imm32.dll fehlt der unterste Teil, (weitere Informationen) bitte noch nachliefern. > Führe danach einen Online Scan mit Trend-Micro durch und poste das Log. Trend Micro HouseCall ? Jetzt kostenlosen Online-Scan durchführen! - Trend Micro Deutschland > Ausserdem einen Komplett Scan mit Dr.Web im abgesicherten Modus. Bitte genau der Anleitung folgen. > Die Malwaredateien in der Quarantäne kannst du dort belassen oder dort löschen lassen. In der Quarantäne können die keinen Schaden ausrichten. > Bitte auch noch das Log von dem Vollscan mit Malwarebytes AntiMalware hier abkopieren. (Vorher unbedingt das Programm updaten) > Dein Firelwall läuft problemlos? lg. ----------------- |
@MalwareHero Hab die Datei noch mal von VirusTotal checken lassen und hier ist (das nun vollständige) Ergebnis: Datei imm32.dll empfangen 2010.06.03 17:11:42 (UTC) Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt Ergebnis: 0/40 (0%) Laden der Serverinformationen... Ihre Datei wartet momentan auf Position: ___. Geschätzte Startzeit ist zwischen ___ und ___ . Dieses Fenster bis zum Abschluss des Scans nicht schließen. Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen. Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut. Ihre Datei wird momentan von VirusTotal überprüft, Ergebnisse werden sofort nach der Generierung angezeigt. Filter Drucken der Ergebnisse Datei existiert nicht oder dessen Lebensdauer wurde überschritten Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet. SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist. Email: Antivirus Version letzte aktualisierung Ergebnis a-squared 5.0.0.26 2010.06.03 - AhnLab-V3 2010.06.03.03 2010.06.03 - AntiVir 8.2.2.4 2010.06.02 - Antiy-AVL 2.0.3.7 2010.06.02 - Authentium 5.2.0.5 2010.06.03 - Avast 4.8.1351.0 2010.06.03 - Avast5 5.0.332.0 2010.06.03 - AVG 9.0.0.787 2010.06.03 - BitDefender 7.2 2010.06.03 - CAT-QuickHeal 10.00 2010.06.03 - ClamAV 0.96.0.3-git 2010.06.03 - Comodo 4980 2010.06.01 - DrWeb 5.0.2.03300 2010.06.03 - eSafe 7.0.17.0 2010.06.03 - eTrust-Vet 35.2.7527 2010.06.03 - F-Prot 4.6.0.103 2010.06.03 - F-Secure 9.0.15370.0 2010.06.03 - Fortinet 4.1.133.0 2010.06.03 - GData 21 2010.06.03 - Ikarus T3.1.1.84.0 2010.06.03 - Jiangmin 13.0.900 2010.06.03 - Kaspersky 7.0.0.125 2010.06.03 - McAfee 5.400.0.1158 2010.06.03 - McAfee-GW-Edition 2010.1 2010.06.03 - Microsoft 1.5802 2010.06.03 - NOD32 5170 2010.06.03 - Norman 6.04.12 2010.06.03 - nProtect 2010-06-03.01 2010.06.03 - Panda 10.0.2.7 2010.06.03 - PCTools 7.0.3.5 2010.06.03 - Rising 22.50.03.04 2010.06.03 - Sophos 4.53.0 2010.06.03 - Sunbelt 6400 2010.06.03 - Symantec 20101.1.0.89 2010.06.03 - TheHacker 6.5.2.0.292 2010.06.03 - TrendMicro 9.120.0.1004 2010.06.03 - TrendMicro-HouseCall 9.120.0.1004 2010.06.03 - VBA32 3.12.12.5 2010.06.03 - ViRobot 2010.6.3.2335 2010.06.03 - VirusBuster 5.0.27.0 2010.06.03 - weitere Informationen File size: 110080 bytes MD5...: f9954695d246b33a5bf105029a4c6ab6 SHA1..: cefa898d3b55658dadd4169b47286a4e58077814 SHA256: 27364f7519c9073208f96acb208c5074c95235d881e82e9da66c4d8e89fa690b ssdeep: 3072:GZukBy1W6/ZTdFy5dbnd54N7qy3mh2m5sH3I:GZukByJHFy5dgNRmh2m5sH 3 PEiD..: - PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x12c0 timedatestamp.....: 0x4802bf9c (Mon Apr 14 02:21:16 2008) machinetype.......: 0x14c (I386) ( 4 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x14a96 0x14c00 6.58 1e7309c9e8edafbe858756e64fcc300f .data 0x16000 0x88c 0x200 0.75 79d45776c3fb67789c9781615591364b .rsrc 0x17000 0x4c18 0x4e00 3.72 5839bf64e5b92d7d0c469a2a4d6a60da .reloc 0x1c000 0xc6c 0xe00 6.35 f840211253ed3d070f81016595f41100 ( 5 imports ) > ADVAPI32.dll: CheckTokenMembership, FreeSid, RegCreateKeyW, RegSetValueExW, RegDeleteKeyW, RegEnumKeyW, RegOpenKeyW, RegQueryValueExW, RegCloseKey, AllocateAndInitializeSid > GDI32.dll: CreateFontIndirectW, GetObjectW, CreateDCW, GetTextExtentPoint32W, SetBkColor, CreateCompatibleBitmap, GetDIBits, CreateDIBitmap, TranslateCharsetInfo, PatBlt, Rectangle, SelectObject, GetStockObject, BitBlt, DeleteObject, DeleteDC, CreateCompatibleDC, GetTextMetricsW, ExtTextOutW > KERNEL32.dll: IsBadWritePtr, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetModuleFileNameW, lstrcmpiW, CreateThread, Sleep, TlsGetValue, TlsSetValue, TlsAlloc, OpenFileMappingW, GetCurrentProcessId, CreateFileMappingW, MapViewOfFile, UnmapViewOfFile, CloseHandle, GetLastError, lstrlenA, IsDBCSLeadByte, GetProfileIntW, lstrcmpW, SetLastError, lstrcpynW, GlobalAlloc, GlobalLock, GlobalFree, GlobalUnlock, InterlockedDecrement, GetLocaleInfoW, HeapAlloc, LocalSize, LocalReAlloc, LocalFlags, LocalUnlock, LocalLock, GetFullPathNameW, lstrlenW, OpenFile, _lclose, GetThreadLocale, GetSystemDirectoryW, LocalAlloc, GetACP, FreeLibrary, BaseCheckAppcompatCache, GetModuleHandleW, LoadLibraryW, GetProcAddress, MultiByteToWideChar, HeapFree, InterlockedIncrement, GetCurrentThreadId, WideCharToMultiByte, LocalFree, IsDBCSLeadByteEx, GetSystemDefaultLCID > ntdll.dll: RtlUnwind, RtlIsThreadWithinLoaderCallout, RtlDllShutdownInProgress, RtlUnicodeToMultiByteSize, wcstol, _wcsicmp, wcsncpy, RtlIntegerToUnicodeString, wcscat, RtlUnicodeStringToInteger, wcscpy, RtlDeleteCriticalSection, NtQuerySystemInformation, RtlEnterCriticalSection, RtlLeaveCriticalSection, wcslen, RtlInitializeCriticalSection, NtQueryVirtualMemory > USER32.dll: SendMessageW, wsprintfW, GetClassInfoW, GetFocus, User32InitializeImmEntryTable, CharUpperW, UnloadKeyboardLayout, LoadBitmapW, ReleaseDC, GetDC, GetClientRect, SetWindowLongW, GetWindowLongW, DrawTextExW, GetWindowRect, GetSystemMetrics, MessageBeep, SetCapture, ScreenToClient, GetCursorPos, SetCursor, LoadCursorW, SendMessageTimeoutW, GetDesktopWindow, IsWindowUnicode, CharNextW, CharNextA, MapWindowPoints, GetForegroundWindow, ClientToScreen, GetKeyboardState, ToUnicode, ToAsciiEx, DestroyWindow, MapVirtualKeyW, CreateWindowExW, ShowWindow, UpdateWindow, MonitorFromWindow, GetMonitorInfoW, SystemParametersInfoW, GetClassInfoExW, LoadIconW, RegisterClassExW, GetParent, GetCapture, DrawEdge, BeginPaint, EndPaint, InvalidateRect, DefWindowProcW, ReleaseCapture, SetWindowPos, GetWindow, LoadKeyboardLayoutW, GetWindowThreadProcessId, GetKeyboardLayoutList, SendMessageA, PostMessageW, PostMessageA, WCSToMBEx, GetKeyboardLayout, IsWindow, keybd_event ( 133 exports ) CtfAImmActivate, CtfAImmDeactivate, CtfAImmIsIME, CtfImmCoUninitialize, CtfImmDispatchDefImeMessage, CtfImmEnterCoInitCountSkipMode, CtfImmGenerateMessage, CtfImmGetGuidAtom, CtfImmHideToolbarWnd, CtfImmIsCiceroEnabled, CtfImmIsCiceroStartedInThread, CtfImmIsGuidMapEnable, CtfImmIsTextFrameServiceDisabled, CtfImmLastEnabledWndDestroy, CtfImmLeaveCoInitCountSkipMode, CtfImmRestoreToolbarWnd, CtfImmSetAppCompatFlags, CtfImmSetCiceroStartInThread, CtfImmTIMActivate, GetKeyboardLayoutCP, ImmActivateLayout, ImmAssociateContext, ImmAssociateContextEx, ImmCallImeConsoleIME, ImmConfigureIMEA, ImmConfigureIMEW, ImmCreateContext, ImmCreateIMCC, ImmCreateSoftKeyboard, ImmDestroyContext, ImmDestroyIMCC, ImmDestroySoftKeyboard, ImmDisableIME, ImmDisableIme, ImmDisableTextFrameService, ImmEnumInputContext, ImmEnumRegisterWordA, ImmEnumRegisterWordW, ImmEscapeA, ImmEscapeW, ImmFreeLayout, ImmGenerateMessage, ImmGetAppCompatFlags, ImmGetCandidateListA, ImmGetCandidateListCountA, ImmGetCandidateListCountW, ImmGetCandidateListW, ImmGetCandidateWindow, ImmGetCompositionFontA, ImmGetCompositionFontW, ImmGetCompositionStringA, ImmGetCompositionStringW, ImmGetCompositionWindow, ImmGetContext, ImmGetConversionListA, ImmGetConversionListW, ImmGetConversionStatus, ImmGetDefaultIMEWnd, ImmGetDescriptionA, ImmGetDescriptionW, ImmGetGuideLineA, ImmGetGuideLineW, ImmGetHotKey, ImmGetIMCCLockCount, ImmGetIMCCSize, ImmGetIMCLockCount, ImmGetIMEFileNameA, ImmGetIMEFileNameW, ImmGetImeInfoEx, ImmGetImeMenuItemsA, ImmGetImeMenuItemsW, ImmGetOpenStatus, ImmGetProperty, ImmGetRegisterWordStyleA, ImmGetRegisterWordStyleW, ImmGetStatusWindowPos, ImmGetVirtualKey, ImmIMPGetIMEA, ImmIMPGetIMEW, ImmIMPQueryIMEA, ImmIMPQueryIMEW, ImmIMPSetIMEA, ImmIMPSetIMEW, ImmInstallIMEA, ImmInstallIMEW, ImmIsIME, ImmIsUIMessageA, ImmIsUIMessageW, ImmLoadIME, ImmLoadLayout, ImmLockClientImc, ImmLockIMC, ImmLockIMCC, ImmLockImeDpi, ImmNotifyIME, ImmPenAuxInput, ImmProcessKey, ImmPutImeMenuItemsIntoMappedFile, ImmReSizeIMCC, ImmRegisterClient, ImmRegisterWordA, ImmRegisterWordW, ImmReleaseContext, ImmRequestMessageA, ImmRequestMessageW, ImmSendIMEMessageExA, ImmSendIMEMessageExW, ImmSendMessageToActiveDefImeWndW, ImmSetActiveContext, ImmSetActiveContextConsoleIME, ImmSetCandidateWindow, ImmSetCompositionFontA, ImmSetCompositionFontW, ImmSetCompositionStringA, ImmSetCompositionStringW, ImmSetCompositionWindow, ImmSetConversionStatus, ImmSetHotKey, ImmSetOpenStatus, ImmSetStatusWindowPos, ImmShowSoftKeyboard, ImmSimulateHotKey, ImmSystemHandler, ImmTranslateMessage, ImmUnlockClientImc, ImmUnlockIMC, ImmUnlockIMCC, ImmUnlockImeDpi, ImmUnregisterWordA, ImmUnregisterWordW, ImmWINNLSEnableIME, ImmWINNLSGetEnableStatus, ImmWINNLSGetIMEHotkey RDS...: NSRL Reference Data Set - pdfid.: - trid..: Win32 Executable Generic (42.3%) Win32 Dynamic Link Library (generic) (37.6%) Generic Win/DOS Executable (9.9%) DOS Executable Generic (9.9%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) sigcheck: publisher....: Microsoft Corporation copyright....: (c) Microsoft Corporation. All rights reserved. product......: Microsoft_ Windows_ Operating System description..: Windows XP IMM32 API Client DLL original name: imm32 internal name: imm32 file version.: 5.1.2600.5512 (xpsp.080413-2105) comments.....: n/a signers......: - signing date.: - verified.....: Unsigned |
@Malwarehero Hab den PC jetzt gründlich mit Dr.Web gescannt: 4c76829b.qua\data001;C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED\4c76829b.qua;Wahrscheinlich Trojan.Packed.Based;; 4c76829b.qua;C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED;Container enthält infizierte Objekte;Verschoben.; Der Scan mit Trend Micro HouseCall hat keine infizierten Dateien gefunden. lg, Ela |
Und jetzt noch mal das log vom upgedateten Malwarebytes: Malwarebytes' Anti-Malware 1.46 www.malwarebytes.org Datenbank Version: 4170 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 05.06.2010 09:29:29 mbam-log-2010-06-05 (09-29-29).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|) Durchsuchte Objekte: 192197 Laufzeit: 50 Minute(n), 42 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) |
Zitat:
wenn du den Komplett Scan bei Trend Micro gemacht hast (Kann man vor dem Scan unter Einstellungen anwählen) sieht das ok aus. Dr webs fünde sind von der Avira Quarantäne. > Firewall funktioniert reibungsfrei? > Wie läuft der PC? -------------- |
@Malwarehero Avira hat beim Systemscan noch zwei "Viren" gefunden. Allerdings sieht es so aus als würden diese zum Programm Housecall gehören. Viellciht sind es ja einfach Viren in der Quarantäne. C:\Dokumente und Einstellungen\Ela\Lokale Einstellungen\Temp\HouseCall\tscdll32.dll (Enthält Erkennungsmuster des Rootkits RKIT/Agent.10752.K) C:\Dokumente und Einstellungen\Ela\Lokale Einstellungen\Temp\HCBackup\hcpackage.exe (Enthält Erkennungsmuster des Rootkits RKIT/Agent.10752.K) |
Alle Zeitangaben in WEZ +1. Es ist jetzt 06:48 Uhr. |
Copyright ©2000-2025, Trojaner-Board