Hilfe bei Trojaner

[Nikita]

poste dann hier den scanreport vom panda

[Jolle775]

Incident Status Location

Adware:adware/cws Not disinfected c:\windows\system32\paytime.exe
Adware:adware/beehappyy Not disinfected c:\windows\system32\z11.exe
Adware:adware/cws.searchmeup Not disinfected c:\windows\tool1.exe
Adware:adware/navhelper Not disinfected Windows Registry
Adware:adware/savenow Not disinfected Windows Registry
Spyware:Cookie/Falkag Not disinfected C:\Dokumente und Einstellungen\Aline\Anwendungsdaten\Mozilla\Firefox\Profiles\36gdpqjl.default\cookies.txt[as1.falkag.de/]
Spyware:Cookie/Atlas DMT Not


das ist nur spyware...ich geh mit Adaware drüber und hoffe alles ist weg!

ich schau weiter nach schädlingen!


kaspersky nimmt viel speicher weg! hast du nen anderes Programm im angebot?!?

[Nikita]

das sind viren und keine Adware ! (auch wenn Panda es als solche bezeichnet....)

1.
loesche: mit dem Avenger

Files to delete:
c:\windows\system32\paytime.exe
c:\windows\system32\z11.exe
c:\windows\tool1.exe

2.
arbeite das ab und poste die scanreporte
http://virus-protect.org/artikel/tools/ ... utfix.html

[Jolle775]

es gibt noch:
c:\windows\tool3.exe
c:\windows\tool4.exe

sowie

c:\windows\system32\z11.exe
c:\windows\system32\z13.exe
c:\windows\system32\z14.exe
c:\windows\system32\z15.exe
c:\windows\system32\z16.exe

[Nikita]

poste bitte die logs von datfindbat bis Januar 2006

[Jolle775]

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\mfgqbgym

*******************

Script file located at: \??\C:\wlhmpifd.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File c:\windows\system32\paytime.exe not found!
Deletion of file c:\windows\system32\paytime.exe failed!

Could not process line:
c:\windows\system32\paytime.exe
Status: 0xc0000034



File c:\windows\system32\z11.exe not found!
Deletion of file c:\windows\system32\z11.exe failed!

Could not process line:
c:\windows\system32\z11.exe
Status: 0xc0000034

File c:\windows\tool1.exe deleted successfully.

Completed script processing.

*******************

Finished! Terminate.




ZUR ERKLÄRUNG

habe paytime und z11 schon mit tuneup shredderer gelöscht, weil ich dein edit nicht gesehen habe xD

[Jolle775]

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1498-0AED

Verzeichnis von C:\WINDOWS\system32

20.06.2006 14:24 202.528 FNTCACHE.DAT
20.06.2006 12:34 0 asfiles.txt
20.06.2006 12:30 2.550 Uninstall.ico
20.06.2006 12:30 1.406 Help.ico
20.06.2006 12:30 30.590 pavas.ico
20.06.2006 11:56 403.968 perfh009.dat
20.06.2006 11:56 418.970 perfh007.dat
20.06.2006 11:56 63.188 perfc009.dat
20.06.2006 11:56 76.014 perfc007.dat
20.06.2006 11:56 948.772 PerfStringBackup.INI
20.06.2006 11:08 2.206 wpa.dbl
17.06.2006 19:50 43.520 CmdLineExt03.dll
13.06.2006 21:33 181.248 rasmans.dll
13.06.2006 21:33 669.184 wininet.dll
13.06.2006 21:33 617.472 urlmon.dll
13.06.2006 21:33 104.448 xpsp3res.dll
13.06.2006 21:33 474.624 shlwapi.dll
13.06.2006 21:33 1.496.576 shdocvw.dll
13.06.2006 21:33 39.424 pngfilt.dll
13.06.2006 21:33 532.480 mstime.dll
13.06.2006 21:33 146.432 msrating.dll
13.06.2006 21:32 448.512 mshtmled.dll
13.06.2006 21:32 3.076.096 mshtml.dll
13.06.2006 21:32 15.872 jsproxy.dll
13.06.2006 21:32 96.768 inseng.dll
13.06.2006 21:32 251.904 iepeers.dll
13.06.2006 21:32 55.808 extmgr.dll
13.06.2006 21:32 205.312 dxtrans.dll
13.06.2006 21:32 357.888 dxtmsft.dll
13.06.2006 21:32 1.056.256 danim.dll
13.06.2006 21:32 152.064 cdfview.dll
13.06.2006 21:32 1.022.976 browseui.dll
13.06.2006 21:32 450.560 jscript.dll
13.06.2006 21:32 27.648 jgpl400.dll
13.06.2006 21:32 163.840 jgdw400.dll
11.06.2006 13:28 2.368 SVKP.sys
08.06.2006 18:19 5.967.776 MRT.exe
01.06.2006 15:03 664 d3d9caps.dat
01.06.2006 14:54 552 d3d8caps.dat
31.05.2006 20:38 579.888 LegitCheckControl.dll
22.05.2006 10:10 81.984 bdod.bin
16.05.2006 15:07 21.840 SIntfNT.dll
16.05.2006 15:07 17.212 SIntf32.dll
16.05.2006 15:07 12.067 SIntf16.dll
10.05.2006 14:16 35.793 OODBS.lor
03.05.2006 18:54 307.200 atiiiexx.dll
03.05.2006 18:51 258.048 ati2dvag.dll
03.05.2006 18:45 114.688 atipdlxx.dll
03.05.2006 18:45 77.824 Oemdspif.dll
03.05.2006 18:45 26.112 Ati2mdxx.exe
03.05.2006 18:45 41.984 ati2edxx.dll
03.05.2006 18:44 61.440 ati2evxx.dll
03.05.2006 18:43 413.696 ati2evxx.exe
03.05.2006 18:43 53.248 ATIDDC.DLL
03.05.2006 18:35 2.693.280 ati3duag.dll
03.05.2006 18:29 1.408.000 ativvaxx.dll
03.05.2006 18:21 6.684.672 atioglx1.dll
03.05.2006 18:18 5.033.984 atioglxx.dll
03.05.2006 18:15 151.552 atikvmag.dll
03.05.2006 18:15 17.408 atitvo32.dll
03.05.2006 18:12 286.720 ATIDEMGR.dll
03.05.2006 18:09 282.624 ati2cqag.dll
03.05.2006 11:57 520.192 ati2sgag.exe
29.04.2006 06:07 5.533.696 wmp.dll
28.04.2006 22:05 127.614 atiicdxx.dat
11.04.2006 21:09 131.712 HAL.DLL
11.04.2006 21:09 61.440 mmcshext.dll
11.04.2006 21:09 33.792 mmcperf.exe
11.04.2006 21:09 1.916.928 mmcndmgr.dll
11.04.2006 21:09 106.496 mmcfxcommon.dll
11.04.2006 21:09 397.312 mmcex.dll
11.04.2006 21:09 169.984 mmcbase.dll
11.04.2006 21:09 184.320 microsoft.managementconsole.dll
11.04.2006 21:09 1.354.240 mmc.exe
11.04.2006 21:09 148.480 cic.dll
11.04.2006 21:09 679.424 inetcomm.dll
11.04.2006 21:08 270.848 oakley.dll
11.04.2006 17:11 2.321.408 TUKernel.exe
06.04.2006 10:54 73.728 asuninst.exe
03.04.2006 10:59 128 xposer.cfg
03.04.2006 10:59 128 asinst.cfg
24.03.2006 06:37 49.152 wdigest.dll
17.03.2006 06:03 50.016.256 shell32.dll
17.03.2006 02:38 28.672 verclsid.exe
01.03.2006 21:43 161.280 msdtcuiu.dll
01.03.2006 21:43 956.416 msdtctm.dll
01.03.2006 21:43 426.496 msdtcprx.dll
01.03.2006 21:43 91.136 mtxoci.dll
01.03.2006 21:43 11.776 xolehlp.dll
01.03.2006 21:43 66.560 mtxclu.dll
25.02.2006 12:20 100 LuResult.txt
24.02.2006 20:11 176.167 rmoc3260.dll
24.02.2006 20:11 5.632 pndx5032.dll
24.02.2006 20:11 6.656 pndx5016.dll
24.02.2006 20:11 278.528 pncrt.dll
18.02.2006 18:05 3.823.616 desk.exe
18.02.2006 17:24 964.096 sysdm.exe
16.02.2006 14:19 890.987 aurora_5xxx.scr
12.02.2006 20:43 5.642.680 aurora_4050.scr
11.02.2006 12:58 16.832 amcompat.tlb
11.02.2006 12:58 23.392 nscompat.tlb
11.02.2006 12:50 9.615 NULL
26.01.2006 02:48 6.005 atifglpf.xml
24.01.2006 19:34 118.784 sirenacm.dll
24.01.2006 01:17 621.272 mswstr10.dll
23.01.2006 15:36 429 datFind.bat
22.01.2006 14:11 7.006 jupdate-1.5.0_06-b05.log
16.01.2006 20:49 838.360 mswdat10.dll
16.01.2006 17:33 4.212 zllictbl.dat
04.01.2006 05:35 68.096 webclnt.dll
30.12.2005 20:16 77.824 xvid.ax

[Jolle775]

SmitFraudFix v2.62

Scan done at 17:25:26,89, 20.06.2006
Run from C:\Dokumente und Einstellungen\Joel\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
Fix ran in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\tool3.exe FOUND !
C:\WINDOWS\tool4.exe FOUND !
C:\WINDOWS\toolbar.exe FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\z13.exe FOUND !
C:\WINDOWS\system32\z14.exe FOUND !
C:\WINDOWS\system32\z15.exe FOUND !
C:\WINDOWS\system32\z16.exe FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Joel\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»»


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Scanning wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

[Jolle775]

ganz klar hab ich da nochmal mit avenger nachgekuckt!

und siehe da:
//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

*******************

Beginning to process script file:



File C:\WINDOWS\system32\z13.exe not found!
Deletion of file C:\WINDOWS\system32\z13.exe failed!

Could not process line:
C:\WINDOWS\system32\z13.exe
Status: 0xc0000034



File C:\WINDOWS\system32\z14.exe not found!
Deletion of file C:\WINDOWS\system32\z14.exe failed!

Could not process line:
C:\WINDOWS\system32\z14.exe
Status: 0xc0000034



File C:\WINDOWS\system32\z15.exe not found!
Deletion of file C:\WINDOWS\system32\z15.exe failed!

Could not process line:
C:\WINDOWS\system32\z15.exe
Status: 0xc0000034



File C:\WINDOWS\system32\z16.exe not found!
Deletion of file C:\WINDOWS\system32\z16.exe failed!

Could not process line:
C:\WINDOWS\system32\z16.exe
Status: 0xc0000034



File C:\WINDOWS\tool3.exe not found!
Deletion of file C:\WINDOWS\tool3.exe failed!

Could not process line:
C:\WINDOWS\tool3.exe
Status: 0xc0000034



File C:\WINDOWS\tool4.exe not found!
Deletion of file C:\WINDOWS\tool4.exe failed!

Could not process line:
C:\WINDOWS\tool4.exe
Status: 0xc0000034



File C:\WINDOWS\toolbar.exe not found!
Deletion of file C:\WINDOWS\toolbar.exe failed!

Could not process line:
C:\WINDOWS\toolbar.exe
Status: 0xc0000034


Completed script processing.

*******************

so noch ne methode um die dinger aufzuspüren?

langsam machts spaß xD

[Jolle775]

Hey Nikita:

Du hast in einem Thema das geschrieben:

**
wende noch mal Quofix an !
http://virus-protect.org/artikel/tools/quofixhttp.html

Download Brute Force Uninstaller to your C:\
** einen Order C:\BFU erstellen (muss unter C:\ sein)--> bfu.zip dort entzippen .
** dann laden -> qoofix.bat [Qoofix by LonnyRJones (XP, Win2K)]
** bringe die qoofix.bat in C:\BFU - folder. (wichtig!)





Doppelklick "qooFix.bat", schliesse alle Browser und Anwendungen.

Waehle Option 1 (Qoofix autofix) und folge den Anweisungen.

es kann einige Zeit dauern, bis der Scan beendet ist.

DIe Probleme entstanden als ich BruteForce von Torrent runtergeladen habe...

es war ein Trojaner drauf....

kann ich damit was anfangen?


Danke

[Nikita]

nein, Quofix ist fuer einen spezieller Virus mit Rootkits, du hast diesen Virus nicht auf der Platte.

SmitFraudFix v2.62 hat noch einiges gefunden - du musst aber option 2 anwenden, dass es auch geloescht wird !!!!

mache noch Onlinescans, wenn du willst und berichte
http://virus-protect.org/onlinescan.html

[Jolle775]

wurde wenig gefunden...trotzdem ist leerlaufprozess auf 89 mindestens!


ich formatiere morgen!

kotzt an!

Trotzdem vielen dank Nikita!

Richtig Gut!