Trojaner TR/PSW.Magania.dymt
 

Hallo!

AntiVir hat auf meinem PC besagten Trojaner gefunden.

Zunächst in der Exe-datei eines Spieles, das ich seit mindestens zwei Jahren installiert habe. - Habe "Löschen" angeklickt, und dann zur Sicherheit das Spiel deinstalliert, PC neu gestartet.
Daraufhin alles normal, später am Tag noch eine Meldung von AntiVir, diesmal in einer Datei "Volume restore" unter Dokumente und Einstellungen. Das sagt mir leider nix, bin Laie. Hab' wieder "löschen" angeklickt und einen kompletten Scan mit LukeFilewalker gemacht.
Dabei wurde dieselbe Datei wieder als mit "TR/PSW.Magania.dymt" infiziert angezeigt, sonst gab es keinen weiteren Fund. (Hab wieder "löschen" gewählt.)

Frage: ist der Trojaner damit weg / wenn nein, wie kriege ich ihn weg? (natürlich habe ich auch gegoogelt, aber bekomme für diesen Schädling sletsamerweise nur wenige Treffer, die mir nicht weiterhelfen.)

Ich würde mich freuen, wenn mir in Eurem Forum jemand weiterhelfen kann. Ganz toll wäre eine leicht verständliche "to do"-List, denn ich habe kein theoretisches Wissen über das Innenleben meines PCs.

Danke!

edit: Ja, vielleicht noch wichtig zu wissen: mein PC kommt mir seit einem Monat ziemlich langsam vor, habe das aber auf die volle Festplatte geschoben, ein Neuaufsetzen ist eigentlich eh schon geplant. Wenn das jetzt aber nur an dem Trojaner liegt, könnte ich mir die Prozedur vielleicht sparen?

Poste bitte das Log von AntiVir.

Hallo!
Danke für die schnelle Antwort!

Ich kopiere hier den Bericht des gestrigen Komplettscans dazu, hoffe, das ist, was du meinst.
Im Menü "Berichte" steht bei dem Scan "kein Fund", obwohl während des Durchlaufs diese eine infizierte Datei gefunden worden war (Aktion:löschen). Unter dem Menüpunkt "Ereignisse" werden aber neben der Zeile mit dem Scan beide Funde (auch der in der Spiel-exe datei) als eigene Zeilen angezeigt, inklusive der gewählten Aktion.

lg



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 07. November 2010 15:34

Es wird nach 3020684 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : MARGE

Versionsinformationen:
BUILD.DAT : 9.0.0.429 21701 Bytes 06.10.2010 09:59:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 26.11.2009 06:04:41
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:41:59
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 06:04:41
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 06:04:41
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 13:05:52
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 14:21:24
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 12:19:44
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 07:42:46
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 14:59:27
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 17:04:51
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 18:39:53
VBASE009.VDF : 7.10.13.80 2265600 Bytes 02.11.2010 15:50:49
VBASE010.VDF : 7.10.13.81 2048 Bytes 02.11.2010 15:50:49
VBASE011.VDF : 7.10.13.82 2048 Bytes 02.11.2010 15:50:49
VBASE012.VDF : 7.10.13.83 2048 Bytes 02.11.2010 15:50:49
VBASE013.VDF : 7.10.13.116 147968 Bytes 04.11.2010 15:50:49
VBASE014.VDF : 7.10.13.117 2048 Bytes 04.11.2010 15:50:49
VBASE015.VDF : 7.10.13.118 2048 Bytes 04.11.2010 15:50:49
VBASE016.VDF : 7.10.13.119 2048 Bytes 04.11.2010 15:50:49
VBASE017.VDF : 7.10.13.120 2048 Bytes 04.11.2010 15:50:49
VBASE018.VDF : 7.10.13.121 2048 Bytes 04.11.2010 15:50:49
VBASE019.VDF : 7.10.13.122 2048 Bytes 04.11.2010 15:50:49
VBASE020.VDF : 7.10.13.123 2048 Bytes 04.11.2010 15:50:49
VBASE021.VDF : 7.10.13.124 2048 Bytes 04.11.2010 15:50:49
VBASE022.VDF : 7.10.13.125 2048 Bytes 04.11.2010 15:50:49
VBASE023.VDF : 7.10.13.126 2048 Bytes 04.11.2010 15:50:49
VBASE024.VDF : 7.10.13.127 2048 Bytes 04.11.2010 15:50:49
VBASE025.VDF : 7.10.13.128 2048 Bytes 04.11.2010 15:50:49
VBASE026.VDF : 7.10.13.129 2048 Bytes 04.11.2010 15:50:49
VBASE027.VDF : 7.10.13.130 2048 Bytes 04.11.2010 15:50:49
VBASE028.VDF : 7.10.13.131 2048 Bytes 04.11.2010 15:50:49
VBASE029.VDF : 7.10.13.132 2048 Bytes 04.11.2010 15:50:49
VBASE030.VDF : 7.10.13.133 2048 Bytes 04.11.2010 15:50:49
VBASE031.VDF : 7.10.13.145 130048 Bytes 05.11.2010 15:50:57
Engineversion : 8.2.4.92
AEVDF.DLL : 8.1.2.1 106868 Bytes 30.07.2010 17:09:32
AESCRIPT.DLL : 8.1.3.46 1364347 Bytes 05.11.2010 15:50:49
AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 13:11:21
AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 07:49:57
AERDL.DLL : 8.1.9.2 635252 Bytes 22.09.2010 08:44:21
AEPACK.DLL : 8.2.3.11 471416 Bytes 13.10.2010 10:46:59
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 21.07.2010 16:59:56
AEHEUR.DLL : 8.1.2.38 2990455 Bytes 05.11.2010 15:50:49
AEHELP.DLL : 8.1.14.0 246134 Bytes 13.10.2010 10:46:56
AEGEN.DLL : 8.1.3.24 401781 Bytes 05.11.2010 15:50:49
AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 07:49:55
AECORE.DLL : 8.1.17.0 196982 Bytes 25.09.2010 10:46:47
AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 07:49:55
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:56
AVPREF.DLL : 9.0.3.0 44289 Bytes 08.09.2009 15:44:06
AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 11:53:20
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:04
AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 14:05:37
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:21
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 15.05.2009 14:35:17
RCTEXT.DLL : 9.0.73.0 87297 Bytes 26.11.2009 06:04:41

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +JOKE,+SPR,

Beginn des Suchlaufs: Sonntag, 07. November 2010 15:34

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '105742' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ForceField.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'ONENOTEM.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ScannerFinder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ir.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'zlclient.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'CamAppSTI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realplay.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'issch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GrooveMonitor.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WISPTIS.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wscntfy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTClient.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Pen_Tablet.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Pen_TabletUser.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Pen_Tablet.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'E_S40RP7.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DkService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ISWSVC.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTouchUser.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vsmon.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTouchService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '47' Prozesse mit '47' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD3
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD4
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD5
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '70' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\zips\zaSetup_92_057_000_en.exe
[0] Archivtyp: ZIP SFX (self extracting)
--> SWITCHUNINST_44ZONE LABS.EXE
[1] Archivtyp: RSRC
--> WINDOWS6.0-KB929547-V2-X64.MSU
[1] Archivtyp: CAB (Microsoft)
--> Windows6.0-KB929547-v2-x64.cab
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
Beginne mit der Suche in 'D:\'


Ende des Suchlaufs: Sonntag, 07. November 2010 17:29
Benötigte Zeit: 1:54:38 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

13917 Verzeichnisse wurden überprüft
526794 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
526793 Dateien ohne Befall
2748 Archive wurden durchsucht
2 Warnungen
1 Hinweise
105742 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

Da steht nichts von dem anfangs erwähnten Schädling "Magania"
Poste das Log mit den relevanten Einträgen.

müsste das unter "Berichte" zu finden sein?

Da steht nämlich eben kein Fund verzeichnet. Sowas gibts nur unter "Eriegnisse", da öffnet sich beim Anklicken der Zeile ein Fenster mit folgendem Text:

"In der Datei 'C:\System Volume Information\_restore{1C0340B4-C40C-46E7-ADFB-23795192F6B1}\RP864\A0103762.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/PSW.Magania.dymt' [trojan] gefunden.
Ausgeführte Aktion: Datei löschen"

Das war vor dem Scan.
wie kann ich davon das Protokoll abrufen?

Ja, sollte da zu finden sein. Wenn nicht, kannst Du Dich an den kompletten Pfad und an den Dateinamen erinnern?

Das ist eben das Seltsame: unter Berichte steht gar nix von Fund. Unter Ereignisse schon.
Die erste infizierte Datei war die: 'C:\Spiele\Einfach_Spielen\Little Shop Of Treasures 2\LittleShopOfTreasures2.exe' Das Spiel ist aber mittlerweile deinstalliert
die zweite Datei war: C:\System Volume Information\_restore{1C0340B4-C40C-46E7-ADFB-23795192F6B1}\RP864\A0103762.exe' Die wurde auch bei dem Komplettscan nochmal angezeigt, das scheint aber in dem Protokoll offensichtlich nicht auf.

Hmja, ich glaub AntiVir uterscheidet bei den Funden zwischen denen die der Hintergrundwächter und denen die ein manueller Scan hervorgebracht hat :crazy:
Gut möglich dass hier ein Fehlalarm vorliegt. Aus welcher Quelle hast Du das Spiel?

Vor einigen Jahren ganz offiziell gekauft mit Schachtel und allem Drum und Dran.

Ich habe aber in den letzten Wochen zwei Spiele von BigFish.de runtergeladen. Da ich sonst praktisch nie Programme aus dem Internet hole: kann's damit zu tun haben?

Übrigens habe ich gerade festgestellt, dass der Ordner "C:\System Volume Information" gar nicht im Explorer aufscheint. :wtf: :wtf: Wurde der bei der AntiVir-aktion ev. gleich mitgelöscht, oder ist das was Verdächtiges?

Das ist der Ordner für die Systemwiederherstellung.
Stell mal LittleShopOfTreasures2.exe aus der Quantäne wieder her, danach die Datei bei Virustotal.com auswerten und den Ergebnislink posten. Deaktivier AntiVir vorher, sonst könnte die Übertragung zu Virustotal verhindert werden.

ok, mach ich - kann aber ein bissl dauern. Danke einstweilen!
lg Brigitte