Trojaner-Board - wie kann ich....

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - wie kann ich.... (https://www.trojaner-board.de/9601-a.html)

wie kann ich....

....den Trojaner TR / Dldr.Rameh.F löschen.......?
Ich weiss nicht wie ich mir immer die Dinger einfange....bitte ganz herzlich um Hilfe.......

Danke schon mal im vorraus.......die Nina..... :heilig:

Hallo Nina,

erstelle bitte ein Hijack This Logfile und poste es mittels copy&paste: http://www.trojaner-board.de/51130-a...ijackthis.html ... welches AntiVir-Programm hast Du? Unter welchem Pfad wird der Trojaner angegeben?

SD

Logfile of HijackThis v1.98.2
Scan saved at 11:51:16, on 15.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft Works\WksSb.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\martina\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mfuchsairbrush.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.1und1.com/b1redirect
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von 1&1 Internet AG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\martina\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.1und1.com/b1redirect
O17 - HKLM\System\CCS\Services\Tcpip\..\{3254A8FE-C146-4CE9-81E7-B360A19A9DFA}: NameServer = 217.237.150.141 217.237.150.97

Ich hoffe, dass ist ok.......1
gruss Nina

@Nina
das ist der hier

wo hast du dem auf dein system gefunden?
chaosman

Habe erst nochmal durchlaufen lassen müssen......
gefunden in c/Dokumente und Einstellungen/martina/../S5AF4RKN
in der Datei : ATPartners(1).cab...ATPartners.dll
und da steht, dass eine oder mehrere Dateien infiziert sein können...
und ich habe den Antivir XP Programm...

Ich hoffe, dass war jetzt richtig.......der Link ist ja ganz in englisch...gibts das auch in deutsch ??????

Gruss Nina

Hallo Nina,

und hier nun Dein Hijack This Logfile in Deutsch ;-) [siehe oberhalb des Eingabefensterchens: Languages: Deutsch - French - English - Italian, Du kannst die Sprache einstellen].

Lade den eScan runter, beachte die Anweisung, scanne damit Deinen Rechner. Beachte, dass der eScan ab Version 4.5.1 gefundene Malware nicht löscht. Die Malware muss von Hand gelöscht werden. Teile uns das Ergebnis des eScan mit: welche Viren wurden auf Deinem Rechner gefunden: "öffne die mwav.log -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen."

SD

was ich nicht verstehe, die seiten, die evtl böse sein könnten, sind meine Homepage und mein Internetzugang 1und1........kann das sein
escan habe ich die version 4.2.2 die läuft jedesmal und zéigt aber nix an.....
das sind doch keine viren, sondern ein Trojaner...oder ire ich mich da..

Gruss Nina------

@ Nina,

kennst Du dieses Programm: "C:\Programme\Microsoft Works\WksSb.exe" ?
Wenn nicht, überprüfe es mal hiermit: virusscan.jotti.dhs.org und teile uns das Ergebnis mit.

Poste doch mal ganz genau, was AntiVir Dir zeigt. Welche Dateien sollen infiziert sein? Wie lauten die Pfade. Gib's hier ins Forum mittels copy&paste.

Updatest Du den eScan bevor Du ihn offline und im abgesicherten Modus laufen läßt?

Zitat:

was ich nicht verstehe, die seiten, die evtl böse sein könnten, sind meine Homepage und mein Internetzugang 1und1........kann das sein

--> die seiten, die evtl böse sein könnten aber nicht sein müssen ... die automatische Auswertung gibt Anhaltspunkte an.

SD

sorry...aber ich bin in der Beziehung totaler Anfänger und verstehe erstmal Bahnhof.....ich hatte erst einmal einen Trojaner und da hat mir mountainKing genaue Anweisungen gegeben und die Sache ging, aber ich weiss nicht so recht, was ich mit den von dir angegebenen seiten überhaupt genau machen soll.......entschuldige.....aber ich bin da total unwissend.....ich hoffe du bist mir nicht böse.... :balla: .....
Gruss Nina

das Ding sitzt in der Datei: ATPartners[1].cab...ATPartners.dll
im Laufwerk c\Dokumente und Einstellungen\Martina\..\S5AF4RKN

vielleicht hilft dir das nochmal....habe alles bereits geschrieben.... :confused

einen hab ich gefunden
File C: Dokume~1\martina\lokale~1\Temp\remove.exe infected by "TrojanDownlader.Win32.Keenval.f"Virus.Action Taken:No Action Taken

Logfile of HijackThis v1.98.2
Scan saved at 11:51:16, on 15.11.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft Works\WksSb.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Corel\Graphics8\Programs\MFIndexer.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\WinZip\WZQKPICK.EXE
C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\martina\Lokale Einstellungen\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mfuchsairbrush.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.1und1.com/b1redirect
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von 1&1 Internet AG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [mwavscan] "C:\DOKUME~1\martina\LOKALE~1\Temp\mwavscan.com" /s
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: Watch.lnk = C:\WINDOWS\twain_32\A4CIS600\WATCH.exe
O4 - Global Startup: Corel MEDIA FOLDERS INDEXER 8.LNK = C:\Corel\Graphics8\Programs\MFIndexer.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.1und1.com/b1redirect
O17 - HKLM\System\CCS\Services\Tcpip\..\{3254A8FE-C146-4CE9-81E7-B360A19A9DFA}: NameServer = 217.237.150.141 217.237.150.97

noch einer in
File C:\Dokumente und Einstellungen\Jürgen\lokale Einstellungen\Tempory Internet Files\Content.IE5\234Z6PGF\versteckt[1].htm infected by "Trojan.JS.NoClose.c" Virus.Action Taken.No Action Taken

das war es erstmal......

noch zwei.....

File C:\Dokumente und Einstellungen\Jürgen\lokale Einstellungen\Tempory Internet Files\Content.IE5\WT2B8DMN\stay[1].htm infected by"Trojan JS.NoClose.a"Virus.Action Taken:No Action Taken

und

File C:\Dokumente und Einstellungen\martina\lokale Einstellungen\Temp\remove.exe infected by"Trojan Downloader.Win32.Keenval.f"Virus.Action Taken:No Action Taken.

ich werde noch irre......

Nina

Hallo!
Ich habe diesen blöden Virus jetzt auch auf dem PC. Habe Antivir aber er kann den Virus nicht löschen. Leider bin ich auch totaler Anfänger in Sachen Computer. Was kann ich tun?

@Nina

Leere deinen Temp.-Internet-Files-Ordner mit diesem Tool: http://www.clearprog.de/programme/clearprog/index.php

@Charlie82
Mache einen neuen Thread auf und poste ein HijackThis-Log: http://filepony.de/download-hijackthis/

Der ist schon leer....da war nix mehr drinn....und jetzt, was können die Trojaner anrichten und wie bekomm ich sie los...??????

Nina.... :headbang: ....... :koch: ...... :heulen: ....

Hi Nina,

hab grad die Antwort von Christian gelesen und gesehen, dass du online bist. Weißt du vielleicht, was ein Hijacker ist?

Hijacker = Entfürher
In diesem Fall ein Browser-Entführer.
Die Virenschuzhersteller nennen diese Hijacker TrojanStartpage.