Trojaner-Board - Probleme mit Scareware (Win32/Cryptor) und Trojanern (Win32/ZBot)

Hallo Trojaner-Board.

Mit meinem ersten Post hier kommt gleich das erste Problem ;)

Gestern habe ich eine kleine Feier veranstaltet und einer meiner heldenhaften Freunde fand es wohl lustig, auf irgendwelchen Seiten zu surfen...

Das Ergebnis war: Ich gehe zu meinem Rechner, um die Musik zu wechseln und sehe ein Fenster, das mir ungefähr 100 "Viren" und "Trojaner" angezeigt hat. Ich wollte als erstes den Prozess eliminieren, aber der Start wurde von dem Programm abgefangen. Auch der Versuche AVG Antivirus zu starten wurde so unterbunden.

Als nächstes hab ich den abgesicherten Modus versucht, was auch soweit geklappt hat. Ich konnte AVG starten und ein Konsolenscan öffnete sich. Es wurde mir in diversen Diensten wie svhost und Konsorten der Schädling "Win32/Cryptor" angezeigt. Weil ich nicht mehr der nüchternste war habe ich dann erstmal den Rechner ausgeschalten.

Heute kam mir die Idee der Systemwiederherstellung und glücklicherweise waren auch die Punkte noch da. Nach dem Restore war die Scareware (zumindest denk ich, dass es sich darum gehandelt hat. Den Namen hab ich leider vergessen... :headbang:) auch nicht mehr auffindbar.

Weil ich ein vorsichtiger Mensch bin habe ich noch einen Scan mit Spybot Search and Destroy gemacht und mir wurden ein fehlerhafter Registryeintrag und vor allem der Trojaner "Win32/ZBot" angezeigt. Die beiden Probleme habe ich dann auch behoben.

Im HJT-Logfile bin ich nicht mehr fündig geworden, es öffnen sich aber alle paar Stunden trotzdem noch Seiten im Browser.

Könnt ihr mir eventuell helfen? ;)

HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:42:02, on 14.08.2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

D:\Programme\AVG Antivirus\avgchsvx.exe

D:\Programme\AVG Antivirus\avgrsx.exe

C:\WINDOWS\system32\spoolsv.exe

D:\Programme\AVG Antivirus\avgcsrvx.exe

C:\WINDOWS\Explorer.EXE

D:\Programme\AVG Antivirus\avgwdsvc.exe

C:\Programme\Soluto\SolutoService.exe

D:\Programme\DynDNS Updater\DynUpSvc.exe

D:\Programme\AVG Antivirus\avgnsx.exe

C:\Programme\TortoiseSVN\bin\TSVNCache.exe

C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe

C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe

D:\PROGRA~1\AVGANT~1\avgtray.exe

D:\Eigene Dateien\LCDHost\LCDHost.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDMedia.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDCountdown.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDClock.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\iPod\bin\iPodService.exe

D:\Programme\Spybot - Search & Destroy\TeaTimer.exe

D:\Programme\World of Warcraft\WoW.exe

D:\Programme\teamspeak 3 server\ts3server_win32.exe

D:\Programme\TeamSpeak 3 Client\ts3client_win32.exe

D:\Programme\iTunes\iTunes.exe

D:\Programme\ItunesKeys\iTunesKeys.exe

D:\Programme\QIP 2005 psYNovA-Edition\qip.exe

D:\Programme\Mozilla Firefox\firefox.exe

D:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - D:\Programme\FlashGet\jccatch.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - D:\Programme\AVG Antivirus\avgssie.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\JRE\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Programme\JRE\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - D:\Programme\FlashGet\getflash.dll

O4 - HKLM\..\Run: [Launch LgDeviceAgent] "C:\Programme\Logitech\GamePanel Software\LgDevAgt.exe"

O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE

O4 - HKLM\..\Run: [AVG9_TRAY] D:\PROGRA~1\AVGANT~1\avgtray.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"

O4 - HKCU\..\Run: [ccleaner] "D:\Programme\CCleaner\ccleaner.exe" /AUTO

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - S-1-5-18 Startup: CurseClientStartup.ccip (User 'SYSTEM')

O4 - S-1-5-18 Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe (User 'SYSTEM')

O4 - .DEFAULT Startup: CurseClientStartup.ccip (User 'Default user')

O4 - .DEFAULT Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe (User 'Default user')

O4 - Startup: CurseClientStartup.ccip

O4 - Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe

O8 - Extra context menu item: &Alles mit FlashGet laden - D:\Programme\FlashGet\jc_all.htm

O8 - Extra context menu item: &Mit FlashGet laden - D:\Programme\FlashGet\jc_link.htm

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programme\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programme\FlashGet\FlashGet.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - D:\Programme\AVG Antivirus\avgpp.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\WINDOWS\system32\Skype4COM.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: Apache2.2 - Apache Software Foundation - D:\xampp\apache\bin\httpd.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - D:\Programme\AVG Antivirus\avgwdsvc.exe

O23 - Service: DynDNS Updater - Dynamic Network Services, Inc. - D:\Programme\DynDNS Updater\DynUpSvc.exe

O23 - Service: iPod Service - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\JRE\bin\jqs.exe

O23 - Service: MySQL - Unknown owner - C:\Programme\MySQL\MySQL.exe (file missing)

O23 - Service: NIHardwareService - Native Instruments GmbH - C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: S3D Service (Win32) - iZ3D Inc. - D:\Programme\iZ3D Driver\Win32\S3DCService.exe

O23 - Service: Soluto PCGenome Core Service (SolutoService) - Soluto - C:\Programme\Soluto\SolutoService.exe
 

--

End of file - 6928 bytes

--- --- ---

Ok entschuldigung ;)

Die Schädlinge bin ich mitlerweile losgeworden. Hätte ich vorher gewusst, dass ZBot nur ein Synonim für Zeus ist wäre mir klar gewesen, mit was ich es zu tun habe und hätte ich damals SpyEye nicht erkannt, dann hätte ich Zeus nie bekommen. Trojanerkriege sind einfach pervers o0

Ich habe alles von Files über Registy bis hin zum MBR gescannt und es schein clear zu sein. HJT ist auch nicht weiter auffällig:

HJT Logfile:
[CODE]
HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:52:29, on 15.08.2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Sygate\SPF\smc.exe

D:\Programme\AVG Antivirus\avgchsvx.exe

D:\Programme\AVG Antivirus\avgrsx.exe

D:\Programme\AVG Antivirus\avgcsrvx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\TortoiseSVN\bin\TSVNCache.exe

D:\xampp\apache\bin\httpd.exe

C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe

C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

D:\PROGRA~1\AVGANT~1\avgtray.exe

C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe

C:\WINDOWS\system32\Rundll32.exe

D:\Programme\Spybot - Search & Destroy\TeaTimer.exe

D:\Eigene Dateien\LCDHost\LCDHost.exe

D:\Programme\AVG Antivirus\avgwdsvc.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDMedia.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDCountdown.exe

C:\Programme\Logitech\GamePanel Software\Applets\LCDClock.exe

C:\WINDOWS\system32\rundll32.exe

D:\Programme\JRE\bin\jqs.exe

C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe

D:\Programme\DynDNS Updater\DynUpSvc.exe

C:\WINDOWS\system32\wuauclt.exe

D:\Programme\AVG Antivirus\avgnsx.exe

D:\Programme\iTunes\iTunes.exe

D:\xampp\apache\bin\httpd.exe

D:\Programme\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\Programme\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\System32\svchost.exe

D:\Programme\iTunesKeys\iTunesKeys.exe

D:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - D:\Programme\FlashGet\jccatch.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - D:\Programme\AVG Antivirus\avgssie.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\JRE\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Programme\JRE\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - D:\Programme\FlashGet\getflash.dll

O4 - HKLM\..\Run: [Launch LgDeviceAgent] "C:\Programme\Logitech\GamePanel Software\LgDevAgt.exe"

O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE

O4 - HKLM\..\Run: [AVG9_TRAY] D:\PROGRA~1\AVGANT~1\avgtray.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper

O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKCU\..\Run: [ccleaner] "D:\Programme\CCleaner\ccleaner.exe" /AUTO

O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - S-1-5-18 Startup: CurseClientStartup.ccip (User 'SYSTEM')

O4 - S-1-5-18 Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe (User 'SYSTEM')

O4 - .DEFAULT Startup: CurseClientStartup.ccip (User 'Default user')

O4 - .DEFAULT Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe (User 'Default user')

O4 - Startup: CurseClientStartup.ccip

O4 - Startup: Verknüpfung mit LCDHost.lnk = D:\Eigene Dateien\LCDHost\LCDHost.exe

O8 - Extra context menu item: &Alles mit FlashGet laden - D:\Programme\FlashGet\jc_all.htm

O8 - Extra context menu item: &Mit FlashGet laden - D:\Programme\FlashGet\jc_link.htm

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programme\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programme\FlashGet\FlashGet.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - D:\Programme\AVG Antivirus\avgpp.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\WINDOWS\system32\Skype4COM.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: Apache2.2 - Apache Software Foundation - D:\xampp\apache\bin\httpd.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - D:\Programme\AVG Antivirus\avgwdsvc.exe

O23 - Service: DynDNS Updater - Dynamic Network Services, Inc. - D:\Programme\DynDNS Updater\DynUpSvc.exe

O23 - Service: iPod Service - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\JRE\bin\jqs.exe

O23 - Service: MySQL - Unknown owner - C:\Programme\MySQL\MySQL.exe (file missing)

O23 - Service: NIHardwareService - Native Instruments GmbH - C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: S3D Service (Win32) - iZ3D Inc. - D:\Programme\iZ3D Driver\Win32\S3DCService.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
 

--

End of file - 7557 bytes

--- --- ---