Hallihallo,

ich habe ein minderschweres Problem mit einem Virus oder Trojaner, der sich getarnt hat und den ich selbst leider nicht lokalisieren kann.

Zunächst einmal kenne ich mich mit PC's nicht gut aus. Eigentlich kenne ich mich noch nicht mal schlecht aus, im Grunde kenne ich mich nämlich gar nicht aus. So, da das ja jetzt geklärt ist, kann ich mein Problem ja mal detailliert eläutern.

Ich habe nen Virus oder Trojaner, ich tippe auf Letzteres, der es mir verhindert, den ZoneAlarm zu starten, bzw. den Auto- Start blockt, und der ne CPU-Auslastung von momentan ca. 80% in Anspruch nimmt. Für gewöhnlich sind es um die 99%, aber da ich ja momentan im I-Net bin, kann sich das Drecksschwein wohl nicht mehr krallen.
Ich glaube, das sich der V oder T als Vsmon.exe tarnt - ich habe nämlich im Windows Task- Manager zwei Prozesse dieses Namens, wobei der eine, eine Größe von 1,600K hat (dieser frisst die ganze CPU- Auslastung) und der andere hat eine Größe von 17,368K. Mir ist bewusst, das Vsmon.exe ne Datei vom ZoneAlarm ist.
Ich finde es aber sehr dubios, das 2 dieser Prozesse unter diesem Namen laufen, wobei der eine um ein Vielfaches größer ist, als der andere, der all meine CPU-Auslastung frisst.
Natürlich bin ich mir nicht sicher, das der kleinere Vsmon.exe ein V oder T ist, aber ich finde es doch schon recht vielsagend.
Nun habe ich natürlich das Problem, das mein AntiVir nichts erkennt. Toll! Und ich weiß nicht, kann nicht sehen, wo der "getarnte Vsmon.exe" steckt.
Gut. Wie gehe ich da jetzt dran?

EDIT :
Ic sollte noch hinzufügen, das der größere Vsmon Prozess, den Benutzernamen "SYSTEM" trägt und der kleine, fiese, eitrige den Benutzernamen meines Computers trägt. Ja.

Hijackthis -

http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

Ja, das mit Hijackthis ist mir schon ein Begriff, aber ich weiß nicht, ob es sonderlich viel Aufschluss gibt, aber ich lasse mich da gerne mal von dir beraten.

Logfile of HijackThis v1.99.1
Scan saved at 12:45:02, on 26.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Messenger\msmsgs.exe
D:\Programme\ICQ\ICQ.exe
C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Zone Labs\ZoneAlarm\repair\vsmon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Florian\Eigene Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.rp-online.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.rp-online.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [freesurfer] D:\Alte Prog. D\Free Surfer\fs20.exe
O4 - HKLM\..\Run: [Mirabilis ICQ] D:\Programme\ICQ\NDetect.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Startup: winamp.lnk = D:\Programme\Winamp\winampa.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - D:\Programme\ICQ\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .mov: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mpeg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe



So, das ist der Log.
Als ich das gemacht habe und auf der Hijackthis Seite eingegeben habe, hat es mir angezeigt, das die Sachen alle nur "Gut" seien. Ob das nun stimmt, weiß ich nicht.


EDIT:

So, anscheinend ist es so, das der kleine Vsmon wirklich ein ZoneAlarm Prozess ist, sowie der größere. Nur warum frisst der kleine dann so viel CPU Auslastung?

das Log ist sauber... wenn der Zonealarm das System belastet...deinstalliere ihn.

und mache einen Onlinescan mit Kaspersky und kopiere den scanreport ab
http://virus-protect.org/onlinescan.html

Ja, ich stimme dir zu. Auch wenn ich keine Ahnung habe, konnte ich schon erkennen, das der Log okay ist.

Hm, mir ist vorhin aufgefallen, das, wenn ich altbekannte URL's von mir eintippe, die Seiten nicht gefunden werden und ich auf irgendeine *lol* Yahoo Seite geschickt werde, wo mehrere Treffer für die von mir gewünschten Seiten aufgezeigt werden. Das ist wahrlich mysteriös und das da was nicht mit rechten Dingen zugeht, das ist unbestreitbar.
Ich glaube an und für sich nicht, das es der ZoneAlarm ist, hatte bisher keine Probleme damit. Aber gut, das ist auch nur die Meinung eines Laien.


Der OnLine Scan von Kaspersky dauert ziemlich lange. Momentan wird noch C gescannt.

Ich edite die Ergebnisse gleich mal rein.

Sunday, March 26, 2006 1:45:10 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version: 5.0.78.0
Kaspersky Anti-Virus database last update: 29/03/2006
Kaspersky Anti-Virus database records: 173451


Scan Settings
Scan using the following antivirus database standard
Scan Archives true
Scan Mail Bases true

Scan Target Critical Areas
C:\WINDOWS
C:\DOKUME~1\Florian\LOKALE~1\Temp\

Scan Statistics
Total number of scanned objects 10498
Number of viruses found 2
Number of infected objects 2
Number of suspicious objects 0
Duration of the scan process 00:27:31

Infected Object Name Virus Name Last Action
C:\WINDOWS\system32\nqimfbyq.jht Infected: Trojan.Win32.Agent.qe skipped

C:\WINDOWS\system32\voblaizdupla.exe Infected: Packed.Win32.Tibs skipped

Scan process completed.


Okay, der Scan der übrigen Partitionen hat keinen Befund ergeben.

Wie verfahre ich nun mit den infizierten Dateien fort?

Sorry für den Double-Post, aber ich hab echt keine Ahnung, wie ich mit den beiden erkannten Viren/ Trojaner umgehen kann/ sollte/ muss.

Wie killt man die Biester denn?

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ........

C:\WINDOWS\system32\nqimfbyq.jht
C:\WINDOWS\system32\voblaizdupla.exe

pc neustarten

Es scheint geklappt zu haben.
Zur Sicherheit und zur Vergewisserung, führe ich noch mal einen Kaspersky Online Scan durch, für die system32.

Ansonsten : Recht herzlichen Dank! You made my day!