Virus grml :-/

[michi_300390]

Moin

Heute hat mich mein Antivirenprogramm mit dieser Nachricht überfallen:

"Windows/system32/notepad.exe enthält einen Virus"

Ich hab mir gedacht vielleicht ists nur ein Fehler und habe neugestartet, aber danach kam die Meldung wieder.
Es funktionieren keine txt-dateien mehr...wahrscheinliuch blockt das mein antivirenprogramm. Ich habe übrigens "Avast 4.7 Home Edition".

hier das Hhijackthis-Logfile, das ich mit wordpad öffnen musste^^


Logfile of HijackThis v1.99.1
Scan saved at 19:23:26, on 26.10.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\ALWILS~1\Avast4\ashDisp.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Alwil Software\Avast4\aswUpdSv.exe
D:\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
D:\Alwil Software\Avast4\ashMaiSv.exe
D:\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
D:\opt\Teamspeak2_RC\TeamSpeak.exe
D:\Mozilla Firefox\firefox.exe
C:\WINDOWS\Explorer.EXE
D:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [avast!] D:\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/c ... potg_x.cab
O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http://www.giga.de/giga-stream-test/Rawflow.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - D:\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - D:\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - D:\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - D:\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - D:\Programme\OpenVPN\bin\openvpnserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


danke schonmal
michi

[Ariczzz]

hm, es gibt nen ziemlich bekannten virus, der die besagte notepad.exe gegen den gleichnamigen virus austauscht.
bitte die datei mal mit virus-total überprüfen:
http://www.virustotal.com/en/indexf.html
(ganz oben auf durchsuchen usw.)

[michi_300390]

also ich habs eben sofort gemacht und jetzt nocheinmal und beides Mal kam dieses Ergebnis heraus:

Complete scanning result of "notepad.exe", received in VirusTotal at 10.26.2006, 23:05:23 (CET).

Antivirus Version Update Result
AntiVir 7.2.0.32 10.26.2006 no virus found
Authentium 4.93.8 10.26.2006 no virus found
Avast 4.7.892.0 10.26.2006 no virus found
AVG 386 10.26.2006 no virus found
BitDefender 7.2 10.26.2006 no virus found
CAT-QuickHeal 8.00 10.26.2006 no virus found
ClamAV devel-20060426 10.26.2006 no virus found
DrWeb 4.33 10.26.2006 no virus found
eTrust-InoculateIT 23.73.37 10.26.2006 no virus found
eTrust-Vet 30.3.3158 10.26.2006 no virus found
Ewido 4.0 10.26.2006 no virus found
Fortinet 2.82.0.0 10.26.2006 no virus found
F-Prot 3.16f 10.26.2006 no virus found
F-Prot4 4.2.1.29 10.26.2006 no virus found
Ikarus 0.2.65.0 10.26.2006 no virus found
Kaspersky 4.0.2.24 10.26.2006 no virus found
McAfee 4882 10.26.2006 no virus found
Microsoft 1.1609 10.25.2006 no virus found
NOD32v2 1.1837 10.26.2006 no virus found
Norman 5.80.02 10.26.2006 no virus found
Panda 9.0.0.4 10.26.2006 no virus found
Sophos 4.10.0 10.26.2006 no virus found
TheHacker 6.0.1.106 10.26.2006 no virus found
UNA 1.83 10.26.2006 no virus found
VBA32 3.11.1 10.26.2006 no virus found
VirusBuster 4.3.15:9 10.26.2006 no virus found

Aditional Information
File size: 0 bytes
MD5: d41d8cd98f00b204e9800998ecf8427e
SHA1: da39a3ee5e6b4b0d3255bfef95601890afd80709

aber wenn ich in en Systemordner gehe kommt wieder die Meldung von avast...

[Ariczzz]

hm, das is jetz schon seltsam, da avast ja bei virustotal nichts gefunden hat..

[michi_300390]

jo aber heute gehts irgendwie auf einmal wieder........................also irgendwas ist da komisch^^
bitte noch nicht schließen

[d2k]

File size: 0 bytes

die datei wurde ncht hochgeladen!

verscuhe sie nochmal hochladen!

[Ariczzz]

ah, siehste, daran lags..wie dsl schon sagte, nochmal scannen..

[Nikita]

ich schau mal nach

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

[michi_300390]

system32.txt

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\WINDOWS\system32

01.11.2006 13:06 54.112 vsconfig.xml
31.10.2006 13:51 2.206 wpa.dbl
29.10.2006 11:37 39.992 perfc009.dat
29.10.2006 11:37 316.594 perfh007.dat
29.10.2006 11:37 48.156 perfc007.dat
29.10.2006 11:37 311.604 perfh009.dat
29.10.2006 11:37 723.744 PerfStringBackup.INI
22.10.2006 17:27 22 ati64hlp.stb
05.10.2006 00:16 98.304 CmdLineExt.dll
04.10.2006 21:03 9.639.336 MRT.exe
28.09.2006 13:32 4.212 zllictbl.dat
27.09.2006 08:40 2.993 CONFIG.NT
25.09.2006 16:45 666.240 aswBoot.exe
25.09.2006 16:37 90.112 AVASTSS.scr
18.09.2006 19:11 778.240 divx_xx07.dll
18.09.2006 19:11 778.240 divx_xx0c.dll
18.09.2006 19:11 761.856 divx_xx11.dll
18.09.2006 19:11 620.180 DivX.dll
15.09.2006 21:40 94.272 FNTCACHE.DAT
13.09.2006 06:02 1.084.416 msxml3.dll
09.09.2006 00:18 33.533

CoreVorbis-uninstall.exe
04.09.2006 07:12 1.494.016 shdocvw.dll
25.08.2006 16:46 617.472 comctl32.dll
23.08.2006 22:38 42.920 vsutil_loc0407.dll
23.08.2006 22:38 392.824 vsdatant.sys
23.08.2006 22:38 83.960 zlcomm.dll
23.08.2006 22:38 71.672 zlcommdb.dll
23.08.2006 22:38 59.384 vswmi.dll
23.08.2006 22:38 100.344 vsxml.dll
23.08.2006 22:38 440.312 vsutil.dll
23.08.2006 22:38 268.280 vspubapi.dll
23.08.2006 22:38 71.672 vsregexp.dll
23.08.2006 22:38 104.440 vsmonapi.dll
23.08.2006 22:38 157.688 vsinit.dll
23.08.2006 22:37 83.960 vsdata.dll
21.08.2006 13:26 16.896 fltlib.dll
21.08.2006 10:14 23.040 fltmc.exe
16.08.2006 12:58 100.352 6to4svc.dll
11.08.2006 18:35 4.276 divxsm.tlb
11.08.2006 18:35 520.192 DivXsm.exe
11.08.2006 18:35 10.863 dsm_ja.qm
11.08.2006 18:35 15.507 dsm_de.qm
11.08.2006 18:35 15.299 dsm_fr.qm
11.08.2006 18:35 3.596.288 qt-dx331.dll
11.08.2006 18:35 1.044.480 libdivx.dll
11.08.2006 18:35 200.704 ssldivx.dll
11.08.2006 18:31 73.728 dpl100.dll
11.08.2006 18:31 196.608 dtu100.dll
11.08.2006 18:31 53.248 dpuGUI10.dll
11.08.2006 18:31 593.920 dpuGUI11.dll
11.08.2006 18:31 344.064 dpus11.dll
11.08.2006 18:31 57.344 dpv11.dll
11.08.2006 18:31 294.912 dpu11.dll
11.08.2006 18:31 294.912 dpu10.dll
11.08.2006 18:31 704.512 divxdec.ax
11.08.2006 18:31 12.288 DivXWMPExtType.dll
11.08.2006 18:31 118.784 DivXCodecUpdateChecker.exe
11.08.2006 18:31 8.523 dpude.qm
11.08.2006 18:31 3.136 dtu_de.qm

systemtemp.txt

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\DOKUME~1\Michi\LOKALE~1\Temp

01.11.2006 13:17 16.384 ~DF75C.tmp
01.11.2006 13:17 16.384 ~DF783.tmp
01.11.2006 13:17 16.384 ~DF733.tmp
01.11.2006 13:17 16.384 ~DF70C.tmp
01.11.2006 13:16 16.384 ~DFBE10.tmp
01.11.2006 13:16 16.384 ~DFB50A.tmp
6 Datei(en) 98.304 Bytes
0 Verzeichnis(se), 3.093.270.528 Bytes

frei

windows.txt

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\WINDOWS

01.11.2006 13:06 0 0.log
01.11.2006 13:06 1.440.295 WindowsUpdate.log
01.11.2006 13:05 159 wiadebug.log
01.11.2006 13:05 50 wiaservc.log
01.11.2006 13:05 2.048 bootstat.dat
01.11.2006 03:30 32.564 SchedLgU.Txt
01.11.2006 02:47 329.098 setupapi.log
31.10.2006 22:24 1.405 avmsetup.log
31.10.2006 22:24 762 avmadd32.log
31.10.2006 22:24 611 accessdll.log
30.10.2006 01:43 54.156 QTFont.qfn
27.10.2006 20:28 63.582 wmsetup.log
24.10.2006 16:42 540 cdplayer.ini
22.10.2006 17:25 107.360 DirectX.log
22.10.2006 17:25 744 win.ini
13.10.2006 01:53 623.628 iis6.log
13.10.2006 01:53 179.164 comsetup.log
13.10.2006 01:53 28.612 ocmsn.log
13.10.2006 01:53 13.014 KB924191.log
13.10.2006 01:53 1.393 imsins.log
13.10.2006 01:53 25.729 tabletoc.log
13.10.2006 01:53 109.260 ntdtcsetup.log
13.10.2006 01:53 239.913 tsoc.log
13.10.2006 01:53 88.846 netfxocm.log
13.10.2006 01:53 36.702 medctroc.Log
13.10.2006 01:53 265.745 ocgen.log
13.10.2006 01:53 25.781 msgsocm.log
13.10.2006 01:53 497.885 FaxSetup.log
13.10.2006 01:53 168.604 msmqinst.log
13.10.2006 01:53 22.978 updspapi.log
13.10.2006 01:52 12.726 KB922819.log
13.10.2006 01:52 1.393 imsins.BAK
13.10.2006 01:52 11.420 KB923414.log
13.10.2006 01:52 11.417 KB924496.log
13.10.2006 01:52 8.739 KB923191.log
10.10.2006 01:30 1.409 QTFont.for
05.10.2006 11:51 16 furry.ini
01.10.2006 13:22 243 system.ini
30.09.2006 16:13 209 SCHMIDT.INI
27.09.2006 21:56 71.105 KB925486.log
24.09.2006 12:41 182.028 setupact.log
15.09.2006 20:15 253 Creator.INI
14.09.2006 12:42 159.744 LgxSetup.exe
13.09.2006 15:02 11.326 KB920685.log
13.09.2006 15:02 12.965 KB920872.log
13.09.2006 15:01 11.477 KB919007.log
13.09.2006 15:01 7.648 KB922582.log
12.08.2006 21:30 15.518 KB920214.log
12.08.2006 21:30 15.511 KB922616.log
12.08.2006 21:30 15.910 KB921398.log
12.08.2006 21:30 19.171 KB918899.log
12.08.2006 21:29 11.899 KB920670.log
12.08.2006 21:29 12.056 KB917422.log
12.08.2006 21:29 12.284 KB920683.log
09.08.2006 23:35 11.050 KB921883.log

temp.txt

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\WINDOWS\Temp

01.11.2006 13:06 256 ZLT01f0c.TMP
01.11.2006 13:06 16.384

Perflib_Perfdata_70c.dat
01.11.2006 13:06 256 ZLT01ef2.TMP
01.11.2006 13:06 0 JETEA31.tmp
4 Datei(en) 16.896 Bytes
0 Verzeichnis(se), 3.093.229.568 Bytes

frei

down.txt

war alles nicht von den letzten drei Monaten, ich poste mal trotzdem

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\WINDOWS\Downloaded Program Files

03.05.2006 19:32 65 desktop.ini
10.04.2006 14:48 1.195 Yahoo! Pool 2.osd
27.03.2006 12:00 5.019 swflash.inf
20.01.2000 14:25 1.162 Microsoft XML Parser

for Java.osd
14.10.1997 17:52 697 DirectAnimation Java

Classes.osd
5 Datei(en) 8.138 Bytes
0 Verzeichnis(se), 3.093.233.664 Bytes

frei

c.txt

Datentr„ger in Laufwerk C: ist Windows XP
Volumeseriennummer: A054-E307

Verzeichnis von C:\

01.11.2006 13:52 0 sys.txt
01.11.2006 13:51 538 down.txt
01.11.2006 13:51 435 tmp.txt
01.11.2006 13:51 9.754 system.txt
01.11.2006 13:51 530 systemtemp.txt
01.11.2006 13:50 101.013 system32.txt
01.11.2006 13:47 356 windows.txt
01.11.2006 13:47 356 temp.txt
01.11.2006 13:05 1.610.612.736 pagefile.sys
30.10.2006 20:23 2.560 upd.exe
30.10.2006 20:23 1.457.152 acp.upd
12.10.2006 18:59 92 acp.log
01.10.2006 13:22 378 boot.ini
15.09.2006 19:47 0 AILog.txt