Hallo!

Mein AntiVir hat mir heut mitgeteilt das nen Trojaner (TR/Dldr.Bube.A.3) gefunden wurde die Datei dazu aber nicht löschen kann, weil der Prozess verwendet wird.

Verweisst werde ich auf Dokumente und Einstellungen\'user'\lokale Einstellungen\temporary internet files\Content.ie5\QQMLH86\LOADER2[1].ocx. Dieser Ordner temporary internet files ist aber leer, also auch kein Content.ie5 drin, hab alle temporären internetdateien gelöscht. Finden tu ich Content.ie5 unter dem Pfad dokumente und einstellungen\default user\lokale einstellungen\temporary internet files. In diesem Content.ie5 ist dann aber nur ne index datei.

heist das jetzt der Trojaner ist weg, wär ja toll, oder das ich ihn einfach nicht seh.

nach dem ich dann auch nochmal per AntiVir alle Dateien nach allen UnerwünschtenProgrammen durchsuchen lies, wurde nichts gefunden.

Kann mir wer weiter helfen, hab nämlich echt keine Ahnung, weil ich noch nie mit solchen und anderen diversen Störenfrieden zu tun hatte, lief bisher immer alles super. Hab auch keine Ahnung was nen Trojaner eigentlich macht.

besten Dank

Gill

Hallo Gill,
um abzuklären, ob der Trojaner noch da ist, solltest du mal ein HijackThis Logfile posten...

1. erstelle einen Ordner Hijack This irgendwo auf deiner Festplatte (HJT muß nicht installiert werden, aber es braucht einen eigenen Ordner, damit es Backups erstellen kann)
2. lad dir HijackThis z.B. hier runter: http://216.180.233.162/~merijn/downloads.html ,
   dort unter Official downloads bei Hijack This den Link Download from UniteTheCows anklicken, dann die Hijack This.exe in dem HJT-Ordner abspeichern...
   (bei den anderen Links bekommst du eine Hijack This.zip, die du dann eben in deinen HJT-Ordner entpacken mußt)
3. führe das Programm aus, (einfach Doppelklick auf die EXE),
4. drücke Do a system scan and save a logfile
5. speicher das logfile
6. das gespeicherte logfile öffnet sich automatisch im Text-Editor , markiere alles, und kopiere es (mit „Rechtsklick + Kopieren“ oder über "Strg + C")
7. poste das komplette logfile hier in deinen thread (mit „Rechtsklick + Einfügen“ oder über „Strg + V“), dann können die Experten dir sagen, was Sache ist.

gute Infos über Trojaner findest du hier:
http://www.sophos.de/virusinfo/analyses/

Hi

okay, hab alles gemacht wie du gesagt hast, hier die .log Datei:

Logfile of HijackThis v1.99.0
Scan saved at 17:39:18, on 20.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Apoint2K\Apoint.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\OnlineControl\ocontrol.exe
C:\Programme\RALINK\RT2500 Wireless LAN Card\Installer\UI\RaConfig2500.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Apoint2K\Apntex.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\DitExp.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\runtergeladene EXE_Dateien\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.gmx.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hyrican.de
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [Acronis True Image Monitor] "C:\Programme\Acronis\TrueImage\TrueImageMonitor.exe"
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: OnlineControl.lnk = C:\Programme\OnlineControl\ocontrol.exe
O4 - Global Startup: RaConfig2500.lnk = C:\Programme\RALINK\RT2500 Wireless LAN Card\Installer\UI\RaConfig2500.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.hyrican.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 3596841492
O23 - Service: Acronis Scheduler2 Service - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Adobe LM Service - Unknown - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Cisco Systems, Inc. VPN Service - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: McAfee Personal Firewall Service - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: SmartLinkService - Unknown - slserv.exe (file missing)


Danke, auf jeden Fall für die Hilfe

Gruß Gill

Hallo@Gill

#ClaerProg..lade die neuste Version <1.4.1
http://www.clearprog.de/downloads.php
<und saeubere den Browser.
Das Programm löscht die Surfspuren des Internet Explorers ab Version 5.0, des Netscape/Mozilla und des Opera:
- Cookies
- Verlauf
- Temporäre Internetfiles (Cache)

ansonsten sieht das Log sauber aus.

Du kannst ja noch "tiefer " graben:

eScan-Erkennungstool
eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich:
http://www.mwti.net/antivirus/free_utilities.asp
oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche
kavupd.exe, die klickst du an--> (Update- in DOS) ausführen

-->mwav.exe oeffnen-->alle Haekchen setzen-->scannen-->View Log anklicken--> Bearbeiten anklicken--> "infected" reinschreiben
und nun alles rauskopieren, was angezeigt wird-->

Hallo!

@nikita

Also hab jetzt zumindest das mit dem ClearProg gemacht, muss ich das andere auch noch machen oder sollte es so jetzt auch sicher sein, dass der Trojaner weg ist.. , weil hab das andere unter dem Namen den du sagst nicht gefunden (oder bin mal wieder zu doof mich durch ne Internetseite zu finden).., was soll den das Programm genau machen oder was kann es alles, weil ich wollt meinen Rechnen jetzt auch nicht mit nem Haufen Programmen zuparcken, also wenn dass Programm auch im Allgemeinen nach allem Unerwünschten Scannen kann, meinet wegen, dann kuck ich nochmal, und ist das dann nen Programm was immer läuft (wie Antivir) oder das ich wenn ichs brauch aufrufen tu. Nicht das sich die Programme gegenseitig behindern oder so..

Danke für alles Gill

ist ein kleines Erkennungstool:

eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich:

klicke: und lade:
http://www.mwti.net/antivirus/free_utilities.asp

oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche
kavupd.exe, die klickst du an--> (Update- in DOS) ausführen

-->mwav.exe oeffnen-->alle Haekchen setzen-->scannen-->View Log anklicken--> Bearbeiten anklicken--> "infected" reinschreiben
und nun alles rauskopieren, was angezeigt wird-->

Hallo!

Also, hab auch eScan jetzt gemacht, er hat gescannt und dann beim anklicken von Viewlog öffnete sich auch die .log Datei per Editor, aber beim anklicken von bearbeiten, wo soll ich den da "infected" reinschreiben, klingt wahrscheinlich jetzt doof aber alles kopieren ist ja nicht das Problem, soll ich das dann hier posten, weil momentan ist das derp viel.

Gill

so, so...es ist viel...infected ?

Dann kopier mal alles raus.

Hmm

also ich weis nicht ob viel infected ist, weil ich nicht in "klicke auf bearbeiten und schreibe "infected" rein " rein schreiben konnte, weil wohin den, mir wurde einfach nur die gesamte mwav.log gezeigt, im editor. Willst du das ich dir genau diese Datei einfach mal hier poste?

Gill

mache bitte folgendes:
nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du "infected" ein



jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
und ganz unten steht die zusammenfassung, diese auch hier posten

okay, bitte schön, das ist nämlich nicht so viel:

Tue Feb 22 01:04:55 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.*

das ist die einziege in der "infected" vorkommt und der Schluß:

Tue Feb 22 01:47:46 2005 => ***** Scanning complete. *****

Tue Feb 22 01:47:46 2005 => Total Files Scanned: 126473
Tue Feb 22 01:47:46 2005 => Total Virus(es) Found: 1
Tue Feb 22 01:47:46 2005 => Total Disinfected Files: 0


Bei dem scannen teilte er mir mit das nen Virus gefunden wurde und hat dann folgendes als Virus Log Information ausgegeben:

File C:\System Volume Information\_restore{F823FF51-6D31-4F30-AEC8-4CEAACE2EDAB}\RP55\A0040905.dll tagged as not-a-virus:Risk Ware.Monitor.KeyPressHooker.No Action Taken

so.. mehr war nicht,

Gruß Gill

Hallo@Gill

Nun, dein PC ist soweit sauber

Gehe in die Registry

Start<Ausfuehren--> regedit (reinschreiben)

die Registry oeffnet sich

suche , ob du folgendes findest:

<[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{10000000-1000-0000-1000-000000000000}]
<[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{10000000-1000-0000-1000-000000000000}\Contains]
<[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{10000000-1000-0000-1000-000000000000}\DownloadInformation]
<[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{10000000-1000-0000-1000-000000000000}\InstalledVersion]
<[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{10000000-1000-0000-1000-000000000000}]

schliesse die Registry

#RegCleaner
(Tip: Lade RegCleaner, stelle das Tool in Deutsch ein und saeubere ueber <Tools<Registry saeubern<alles durchfuehren < den PC (du kannst alles angezeigte Loeschen, denn es verbleibt eine Sicherung)
http://www.chip.de/downloads/c_downloads_8830516.html

Surfe nur noch mit dem Firefox
#Alternativbrowser zum IE
Firefox
http://www.mozilla-europe.org/de/
Installation+Konfiguration Firefox
http://www.pcwelt.de/know-how/software/ ... ndex1.html

_______________________________________________________

zur Information:

Trojan-Downloader.Win32.Agent.ex/TR/Dldr.Bube.A.3"
#O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\MAIN.MHT!http://d.dialer2004.com//saf/main.chm::/load.exe

C:\Dokumente und Einstellungen\username\Lokale Einstellungen\Temporary Internet Files\Content.IE5\GX6NCD2Z\loader2[1].ocx

C:\Dokumente und Einstellungen\'user'\lokale Einstellungen\temporary internet files\Content.ie5\QQMLH86\LOADER2[1].ocx