Trojaner? -->Möglichkeiten PC zu überprüfen?

von **riedldehaehn** am 04.10.2005, 14:00

hallo,

ich war von Sonntag auf Montag auf einer LAN Party. Irgendwann morgens ist es einem eingefallen, dass er an einige Leute nen Trojaner verteilen müsste. Ich war bedauerlicherweise auch Opfer.
Antivir hat den Trojaner zwar gleich erkannt, habe dann nochmal einen Systemscan durchgeführt bei dem nichts gefunden wurde, doch seitdem ist mein Rechner deutlich langsamer als vor der LAN.

Nun meine Frage: welche Möglichkeiten gibt es um den PC auf Viren, Trojaner und sonstiges zu überprüfen? Wäre sehr dankbar für Vorschläge jeglicher Art

eine HJT-log habe ich schon gemacht, hier ist sie:

Logfile of HijackThis v1.99.1
Scan saved at 13:45:37, on 04.10.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
D:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
D:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
D:\PROGRA~1\Sygate\SPF\smc.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\Programme\D-Tools\daemon.exe
D:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
D:\Download.files\firefox\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.*lol*-portal.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - D:\Programme\FlashFXP\IEFlash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVGCtrl] "D:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = D:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O18 - Protocol: vskype - (no CLSID) - (no file)
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - D:\Programme\Sygate\SPF\smc.exe

PS: Ich musste die Log im Administrator Modus machen(arbeite ansonsten mit eingeschränkten Benutzerrechten), in meinem Normalen Konto ging das nicht...

mfg

riedldehaehn

von **automatix** am 04.10.2005, 14:27

von **riedldehaehn** am 04.10.2005, 15:37

hallo automatix,

adaware hab ich drüberlaufen lassen, der hat nur die Standard negible objects gefunden,
Spybot S&D hat die Sachen: Prorat-D; Wget; Alexa Related und DSO Exploit gefunden.

Spywareblaster habe ich installiert und den schutz für FF und IE aktiviert.

Hijackthis --> s.o.

FF und Thunderbird hab ich sowieso, beides auf dem neuesten Stand

Statt Zonealarm hab ich Sygate, Antivir ist auch drauf, Antispy ebenfalls.

Den Windows Worm Cleaner habe ich auf der Seite nicht gefunden..

Und SP2 kann ich nicht installieren, weil der Rechner dann nich startet^^

nachher werd ich die online scans auf nikitas seite mal machen, mal schauen ob da was offentsichtliches bei rauskommt..

danke erstmal

so long

riedldehaehn

von **automatix** am 04.10.2005, 16:38

Da hat sich ein Fehler eingeschlichen.

Windows Worms Doors Cleaner:
http://www.firewallleaktester.com/wwdc.htm

von **riedldehaehn** am 04.10.2005, 16:47

dankeschön

von **riedldehaehn** am 05.10.2005, 15:19

so, das mädchen nie die Klappe halten können, hat auch was gutes, heute habe ich erfahren das ich von eben diesem Typen schon länger einen trojaner drauf habe ohne es zu merken. (Ich bin mal mit dem gut ausgekommen und habe dann mal einen trojan für ihn getestet, er hat mir versichert, das dieser runter wäre.) HJT (die automatische auswertung) findet nichts. Spybot und Adaware nur die oben genannten sachen. Wenn ich das nicht bald hinbekomme mach ich einfach platt :cry:

von **automatix** am 05.10.2005, 18:49

Anderen einen Schädling auf seinen System zu packen ist echt das mieseste! Dem würde ich mal ein paar Tackte erzählen!

von **Yourhighness** am 05.10.2005, 20:16

CCleaner:
http://www.virus-protect.net/temp.html

Datfindbat: (alle 4 Logs - Ihr kennt das Speil ;-)

)
http://www.virus-protect.net/datfindbat.html

MfG,

von **riedldehaehn** am 05.10.2005, 20:31

Hi Yourhighness

hier die Logs (habe mich als admin angemeldet, hoffe das war richtig)

hoffentlich habe ich alles richtig gemacht

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 14E1-D974

Verzeichnis von C:\WINDOWS\system32

05.10.2005 17:21 19 mslck.dat
05.10.2005 17:19 16 Mlkf.dll
05.10.2005 16:58 130 lckfldservicelog.txt
03.10.2005 00:38 98.304 CmdLineExt.dll
02.10.2005 09:48 2.184 wpa.dbl
30.09.2005 20:14 176.167 rmoc3260.dll
30.09.2005 20:14 5.632 pndx5032.dll
30.09.2005 20:14 6.656 pndx5016.dll
30.09.2005 20:13 278.528 pncrt.dll
12.09.2005 14:04 253.472 FNTCACHE.DAT
22.08.2005 21:41 118 rfmsglog.txt
22.08.2005 21:41 236 RFERRORS.TXT
10.08.2005 00:14 692.224 divxdec.ax
10.08.2005 00:13 4.276 divxsm.tlb
10.08.2005 00:13 524.288 DivXsm.exe
10.08.2005 00:13 692.736 DivX.dll
10.08.2005 00:13 688.128 divx_xx07.dll
10.08.2005 00:13 10.775 dsm_ja.qm
10.08.2005 00:13 15.351 dsm_de.qm
10.08.2005 00:13 15.153 dsm_fr.qm
10.08.2005 00:13 688.128 divx_xx0c.dll
10.08.2005 00:13 671.744 divx_xx11.dll
10.08.2005 00:13 831.488 libeay32.dll
10.08.2005 00:13 245.408 unicows.dll
10.08.2005 00:13 159.744 ssleay32.dll
10.08.2005 00:12 3.596.288 qt-dx331.dll
10.08.2005 00:12 8.523 dpude.qm
10.08.2005 00:12 86.016 dpl100.dll
10.08.2005 00:12 581.632 dpuGUI11.dll
10.08.2005 00:12 200.704 dtu100.dll
10.08.2005 00:12 303.104 dpus11.dll
10.08.2005 00:12 57.344 dpv11.dll
10.08.2005 00:12 245.760 dpu11.dll
10.08.2005 00:12 3.136 dtu_de.qm
10.08.2005 00:12 356.436 DivXMedia.ax
22.06.2005 19:23 36.864 LckFldService.exe
28.05.2005 22:06 2.361 INSTALL.LOG
28.05.2005 22:06 29 UNWISE.INI
24.05.2005 15:25 1.162 qtplugin.log
21.05.2005 23:04 16.832 amcompat.tlb
21.05.2005 23:04 23.392 nscompat.tlb
21.05.2005 11:05 3.069 jupdate-1.5.0_02-b09.log
20.05.2005 16:55 25.065 wmpscheme.xml
20.05.2005 16:43 0 h323log.txt
20.05.2005 16:06 4.212 zllictbl.dat
20.05.2005 16:00 40.128 perfc009.dat
20.05.2005 16:00 316.924 perfh007.dat
20.05.2005 16:00 48.354 perfc007.dat
20.05.2005 16:00 311.740 perfh009.dat
20.05.2005 16:00 723.744 PerfStringBackup.INI
20.05.2005 15:50 261 $winnt$.inf
20.05.2005 15:48 2.951 CONFIG.NT
20.05.2005 15:48 488 WindowsLogon.manifest
20.05.2005 15:48 488 logonui.exe.manifest
20.05.2005 15:48 749 cdplayer.exe.manifest
20.05.2005 15:48 749 wuaucpl.cpl.manifest
20.05.2005 15:48 749 sapi.cpl.manifest
20.05.2005 15:48 749 ncpa.cpl.manifest
20.05.2005 15:48 749 nwc.cpl.manifest
20.05.2005 15:46 21.740 emptyregdb.dat
13.05.2005 06:54 299.008 atiiiexx.dll
13.05.2005 06:23 229.376 ATIDEMGR.dll
13.05.2005 05:39 6.680.576 atioglx1.dll
13.05.2005 04:31 4.816.896 atioglxx.dll
13.05.2005 04:15 228.864 ati2dvag.dll
13.05.2005 04:10 94.208 atipdlxx.dll
13.05.2005 04:10 73.728 Oemdspif.dll
13.05.2005 04:10 25.088 Ati2mdxx.exe
13.05.2005 04:10 39.936 ati2edxx.dll
13.05.2005 04:10 46.080 ati2evxx.dll
13.05.2005 04:09 368.640 ati2evxx.exe
13.05.2005 04:08 53.248 ATIDDC.DLL
13.05.2005 04:01 2.347.520 ati3duag.dll
13.05.2005 03:55 613.440 ativvaxx.dll
13.05.2005 03:44 139.264 atikvmag.dll
13.05.2005 03:43 17.408 atitvo32.dll
13.05.2005 03:38 208.896 ati2cqag.dll
12.05.2005 21:05 516.096 ati2sgag.exe
03.05.2005 22:18 93.878 atiicdxx.dat
22.03.2005 13:23 5.195 atifglpf.xml
18.03.2005 17:19 2.337.488 d3dx9_25.dll
14.03.2005 21:30 61.440 pxhpinst.exe
12.03.2005 00:28 339.968 px.dll
12.03.2005 00:28 339.968 pxwave.dll
12.03.2005 00:28 405.504 pxdrv.dll
12.03.2005 00:28 28.672 vxblock.dll
12.03.2005 00:28 172.032 pxmas.dll
04.03.2005 03:36 127.078 javaws.exe
04.03.2005 03:36 49.265 jpicpl32.cpl
04.03.2005 02:07 49.250 javaw.exe
04.03.2005 02:06 49.248 java.exe
05.02.2005 19:45 2.222.800 d3dx9_24.dll
28.01.2005 15:23 228.352 wmerror.dll
28.01.2005 15:23 9.216 asferror.dll
28.01.2005 15:23 86.016 wmpshell.dll
28.01.2005 15:23 3.407.872 wmploc.dll
28.01.2005 15:23 316.416 MSWMDM.dll
28.01.2005 15:23 486.400 Audiodev.dll
28.01.2005 13:32 895.736 wmvdmod.dll
28.01.2005 13:32 2.370.296 wmvcore.dll
28.01.2005 13:32 1.218.808 wmvadvd.dll
28.01.2005 13:32 774.904 wmsdmod.dll
28.01.2005 13:32 364.784 MSSCP.dll
28.01.2005 13:32 396.528 wmadmod.dll
28.01.2005 13:32 258.296 drmclien.dll
28.01.2005 13:32 413.944 wmspdmod.dll
28.01.2005 08:53 290.816 WMDRMNet.dll
28.01.2005 08:53 335.872 WMDRMdev.dll
28.01.2005 08:53 502.272 drmv2clt.dll
28.01.2005 08:53 294.912 blackbox.dll
28.01.2005 08:53 96.768 drmstor.dll
28.01.2005 08:53 221.184 qasf.dll
28.01.2005 08:53 142.336 msnetobj.dll
28.01.2005 08:53 28.160 WMDMLOG.dll
28.01.2005 08:53 164.864 cewmdm.dll
28.01.2005 08:53 25.088 MsPMSNSv.dll
28.01.2005 08:53 135.168 wmpasf.dll
28.01.2005 08:53 1.512.448 WMVADVE.DLL
28.01.2005 08:53 33.792 WMDMPS.dll
28.01.2005 08:53 282.624 wmpdxm.dll
28.01.2005 08:53 173.568 MsPMSP.dll
28.01.2005 08:53 1.119.744 wmsdmoe2.dll
28.01.2005 08:53 175.104 wmpsrcwp.dll
28.01.2005 08:53 1.003.008 wmvdmoe2.dll
28.01.2005 08:53 716.288 wmadmoe.dll
28.01.2005 08:53 940.544 wmspdmoe.dll
28.01.2005 08:53 1.594.880 wmpencen.dll
28.01.2005 08:53 5.525.504 wmp.dll
28.01.2005 08:53 150.016 wmidx.dll
28.01.2005 08:53 1.027.072 wmnetmgr.dll
28.01.2005 08:53 6.656 laprxy.dll
28.01.2005 08:53 224.768 wmasf.dll
28.01.2005 08:52 20.480 wmpcore.dll
28.01.2005 08:52 20.480 wmpui.dll
28.01.2005 08:52 20.480 wmpcd.dll
28.01.2005 08:52 20.480 wmp.ocx
28.01.2005 01:36 38.912 wpd_ci.dll
28.01.2005 01:36 331.264 wpdsp.dll
28.01.2005 01:36 331.776 wpdmtpdr.dll
28.01.2005 01:36 114.176 wpdmtp.dll
28.01.2005 01:36 66.560 wpdmtpus.dll
28.01.2005 01:36 61.952 wpdconns.dll
28.01.2005 01:36 10.752 wpdtrace.dll
28.01.2005 01:36 47.104 uwdf.exe
28.01.2005 01:36 38.912 wdfmgr.exe
28.01.2005 01:35 15.872 wdfapi.dll
28.01.2005 01:26 360.448 l3codecp.acm
28.01.2005 01:21 96.768 logagent.exe

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 14E1-D974

Verzeichnis von C:\WINDOWS

05.10.2005 16:58 159 wiadebug.log
05.10.2005 16:58 50 wiaservc.log
05.10.2005 16:57 2.048 bootstat.dat
03.10.2005 03:08 1.074 pftp.ini
03.10.2005 02:55 140 winamp.ini
02.10.2005 18:43 278 vtmb.ini
01.10.2005 10:01 69 NeroDigital.ini
28.09.2005 17:47 100.482 UninstallThunderbird.exe
28.09.2005 17:47 7.171 mozver.dat
28.09.2005 17:47 599 win.ini
28.09.2005 17:45 99.970 UninstallFirefox.exe
27.09.2005 20:31 271 cod2demo.ini
22.08.2005 22:17 709 CoD.INI
22.08.2005 21:37 16 SCN.ini
24.07.2005 09:54 227 system.ini
25.06.2005 11:08 10 Wininit.ini
28.05.2005 22:05 42.532 php.ini
22.05.2005 16:33 400 ODBC.INI
21.05.2005 23:03 316.640 WMSysPr9.prx
21.05.2005 23:03 299.552 WMSysPrx.prx
20.05.2005 18:20 729.088 iun6002.exe
20.05.2005 18:18 528 eReg.dat
20.05.2005 16:52 26 CMCDPLAY.INI
20.05.2005 16:52 92 CMISETUP.INI
20.05.2005 16:41 0 Sti_Trace.log
20.05.2005 16:04 0 nsreg.dat
20.05.2005 15:51 8.192 REGLOCS.OLD
20.05.2005 15:48 0 control.ini
20.05.2005 15:48 4.161 ODBCINST.INI
20.05.2005 15:48 749 WindowsShell.Manifest
20.05.2005 15:46 36 vb.ini
20.05.2005 15:46 37 vbaddin.ini
07.02.2005 00:52 94.208 TrueCrypt Setup.exe
22.08.2004 17:04 69.120 daemon.dll

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 14E1-D974

Verzeichnis von C:\

05.10.2005 20:27 0 sys.txt
05.10.2005 20:26 4.051 system.txt
05.10.2005 20:25 136 systemtemp.txt
05.10.2005 20:24 94.974 system32.txt
05.10.2005 16:57 1.073.008.640 hiberfil.sys
05.10.2005 16:57 1.610.612.736 pagefile.sys
12.09.2005 14:07 0 autorun.inf
24.07.2005 09:54 194 boot.ini
20.05.2005 15:56 47.580 NTDETECT.COM
20.05.2005 15:56 235.296 ntldr
20.05.2005 15:48 0 MSDOS.SYS
20.05.2005 15:48 0 IO.SYS
20.05.2005 15:48 0 AUTOEXEC.BAT
20.05.2005 15:48 0 CONFIG.SYS
18.08.2001 14:00 4.952 bootfont.bin
15 Datei(en) 2.684.008.559 Bytes
0 Verzeichnis(se), 2.082.217.984 Bytes frei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 14E1-D974

Verzeichnis von C:\DOKUME~1\RIEDLD~2\LOKALE~1\Temp

Das sollte es soweit gewesen sein

Danke schonmal im Vorraus!

@ automatix: Oh ja, wenn ich das wirklich raufinde, was der mir draufgepackt hat, dann leite ich mal gegenmaßnahmen ein, keine elektronischen Angriffe, ich ziehe andere Methoden vor :evil:

bedenke: wir waren mal befreundet...(das wiederliche Subjekt menschlichen Daseins und ich)

mfg

riedldehaehn

von **riedldehaehn** am 05.10.2005, 20:40

achja nochwas, seit einigen tagen geht mein upload und downstream nicht mehr richtig, ich habe fast das gefühl das der typ sich meine hdd runtersaugt, wenn das der Fall sein sollte, dann gnade ihm gott oder satan oder an was er auch immer glaubt...

Gibts dazu ein Programm mit dem man dasüberprüfen kann?

von **Yourhighness** am 05.10.2005, 21:42

Diese Dateien kenne ich nicht. Bitte mal mit nem Filescanner prüfen (link auf Nikitas seite, siehe meine sig):

pndx5032.dll
pndx5016.dll
ssleay32.dll

Aso, ich hötte vll sagen sollen, das die letzten 30 Tage reichen

Ich kann aber sonst nischts sehen

Mfg,

von **riedldehaehn** am 06.10.2005, 17:54

hallo,

dankesehr für die Mühe die du dir gemacht hast

und sry wegen den vielen Tagen

.

Nikita's seite geht atm irgendwie nicht, erscheint nichts, ich probiere es gleich nochmal.

mfg

riedldehaehn

von **Nikita** am 06.10.2005, 18:13

die Hauptseite geht erst wieder heute nacht

suche links:
virustotal
http://virus-protect.net/killbox.html

p.s. die Dateien scheinen gut zu sein, du kannst mal nach googeln

von **riedldehaehn** am 06.10.2005, 18:34

Hallo Nikita, also lade ich mir die Killbox und lösche die Dateien, oder was muss ich jetzt machen?

Da du( und ich vertraue dir voll und ganz wenns um Viren geht

) sagst die Dateien wären gut, heißt das ja entweder das der Trojan schon runter ist, oder das er sehr gut versteckt ist, aber ich war auf jeden Fall mal infiziert, der Typ wusste über meine History im FF bescheid, davon hat der auch screens gemacht.

von **Yourhighness** am 06.10.2005, 19:49

Nee nee. Du solltest dort nur den virustotalscan suchen und die DLLs hochladen. Gegooglet hatte ich schon...Bitte hole dies nach und poste mir dann was darüber berichtet wurde...

http://www.virustotal.com/flash/index_en.html

MfG,

Trojaner? -->Möglichkeiten PC zu überprüfen?

Trojaner? -->Möglichkeiten PC zu überprüfen?

Ähnliche Themen

Wer ist online?