Trojaner und so..

    Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

    • Trojaner und so..

      Sers, ich hab mich bei irgend nem scheiss anscheinend mit nem trojaner infiziert, irgendeine exe datei wird immer von antivir als böse enttarnt. welche genau kommt per edit.

      zum system: Win XP sp2, surfe dummerweise mit adminrechten, avira antivir.

      HJT-log:

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 16:37:04, on 14.08.2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\Explorer.EXE
      C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
      C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
      C:\WINDOWS\SOUNDMAN.EXE
      C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
      C:\WINDOWS\system32\RunDll32.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Programme\Logitech\SetPoint\SetPoint.exe
      C:\Programme\Garena\Garena.exe
      C:\Programme\QIP\qip.exe
      C:\Programme\Gemeinsame Dateien\Logitech\KhalShared\KHALMNPR.EXE
      C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
      C:\WINDOWS\system32\PnkBstrA.exe
      C:\PROGRA~1\Mozilla Firefox\firefox.exe
      C:\WINDOWS\system32\wuauclt.exe
      C:\Programme\Trend Micro\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://www.web.de/[/url]
      O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
      O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll (file missing)
      O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
      O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
      O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
      O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
      O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
      O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
      O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
      O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
      O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [Veoh] "C:\Programme\Veoh Networks\Veoh\VeohClient.exe" /VeohHide
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
      O4 - Startup: Garena.lnk = ?
      O4 - Startup: QIP 2005.lnk = C:\Programme\QIP\qip.exe
      O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
      O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
      O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
      O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - [url]http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1206198371617[/url]
      O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - [url]http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1206199716780[/url]
      O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
      O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
      O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
      O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
      O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
      O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

      --
      End of file - 4867 bytes

      wenn ihr noch was braucht, sagts mir, antivir meldung kommt per edit!
      I am in extraordinary shape, but I do not think I could survive a bullet in the head.


    • Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 16:37:04, on 14.08.2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\system32\Ati2evxx.exe
      C:\WINDOWS\Explorer.EXE
      C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
      C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
      C:\WINDOWS\SOUNDMAN.EXE
      C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
      C:\WINDOWS\system32\RunDll32.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Programme\Logitech\SetPoint\SetPoint.exe
      C:\Programme\Garena\Garena.exe
      C:\Programme\QIP\qip.exe
      C:\Programme\Gemeinsame Dateien\Logitech\KhalShared\KHALMNPR.EXE
      C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
      C:\WINDOWS\system32\PnkBstrA.exe
      C:\PROGRA~1\Mozilla Firefox\firefox.exe
      C:\WINDOWS\system32\wuauclt.exe
      C:\Programme\Trend Micro\HijackThis\HijackThis.exe


      DAS wäre alles, was wir brauchen. Wenn eine Virusanzeige kommt, warum löschst du die Datei nicht?

    • [url]http://www.hostpix.de/090302/1hug2gJ6.jpg[/url]
      weil ich nicht rankomme und keine ahnung hab was ich da eigentlich lösche.
      C:\System Volume Information\...\A0049308.exe
      BDS/Bifrose.Gen <- heißt das es ist Bifrost? Dann kann ich mir doch den Client herunterladen, auf mich connecten und ihn löschen..?
      I am in extraordinary shape, but I do not think I could survive a bullet in the head.

    • Oder ganz einfach manuell ohne Hilfsprogramme :D
      cmd -> cacls "C:\System Volume Information" /E /G BENUTZERNAME:F

      Musst halt evtl. Laufwerksbuchstabe und BENUTZERNAME anpassen..
      Damit kannste dann in die System Volume Information..

      Gruß

    • okay ist gelöscht. der junge trägt seinen titel mal wieder zu recht ;) danke!

      hab eben bei der msconfig unter Dienste den Dienst 'Server' enthäkchent (wtf? xD) fällt hier jemandem was böses auf?

      [img]http://www.pictureupload.de/originals/pictures/140808234846_blablub.jpg[/img]Edit: C:\System Volume Information\_restore{2C81DD36-9156-4218-AFF8-77914C1A6FD0}\RP135 ist der Pfad der Datei, Virustotal sagt 32/36 mal Bifrose. ich denke das ist eindeutig :D nur wie bekomme ich ihn weg? ist Bifrose Bifrost? kenn mich da nur ein bisschen mit aus xD

      / Virustotal sagt genau: [url]http://www.virustotal.com/de/analisis/d9aed777ba0ca28d3df96e760330d681[/url]

      Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von ardet4 ()

      I am in extraordinary shape, but I do not think I could survive a bullet in the head.