Trojanische Pferd TR/Spy.Tofger.BI.2

#16 Super, bin wieder normal online!!
Zu den beiden dll-Dateien kann ich noch nichts sagen, warte noch auf eine Reaktion.

Vorerst allerbesten Dank.

MfG Thomas

#17 Die Trojaner haben sich seit 2 Tagen bei mir angesiedelt, habe aber keine Ahnung mit welchen downloads ich sie mir angeschleppt habe, bzw auf welcher Seite ich beim ersten Eintreten war. Hab den ganzen Ordner "Program Files/Windad" an virus@protecus.de geschickt. hoffe, dass hilft um diesem verdammten Pferdchen auf die Sprünge zu kommen

Wenn ich mir jetzt noch Dateien sichern möchte, indem ich sie auf ne andere Festplatte spiele oder auf cd brenne, kann ich denn da sicher sein, dass ich nichts von der Spyware als Anhängsel mitnehme???

lg

#18 Hallo,

Zitat

Wenn ich mir jetzt noch Dateien sichern möchte, indem ich sie auf ne andere Festplatte spiele oder auf cd brenne, kann ich denn da sicher sein, dass ich nichts von der Spyware als Anhängsel mitnehme???

Lies dir bitte diese Links durch:
http://oschad.de/wiki/index.php/Dateiendungen
und
http://oschad.de/wiki/index.php/Kompromittierung

Zitat

Hab den ganzen Ordner "Program Files/Windad"

WinAd ist Adware, sieh hier:
http://www.kephyr.com/spywarescanner/library/winad/index.phtml
http://www.pestpatrol.com/pestinfo/w/winad.asp
__________
Das Wertvollste im Leben ist die Zeit. Leben heißt, mit der Zeit richtig umzugehen.
Neuaufsetzen des Systems/Absicherung! HJT Anleitung

#19

Zitat

Dateien, die wirklich ausschließlich Daten und keinen ausführbaren Code enthalten, müssen, sofern der Inhalt wichtig ist, verifiziert werden, entweder durch Durchsicht oder automatisiert durch geeigente Algorithmen.

Muss unbedingt ein paar word dokumente und filmdateien sichern, kann mir aber nicht viel unter dem Begriff verifizieren vorstellen. Heißt das, dass ich sie einfach mit einem Viren Programm durchscannen muss?

Außderm dachte ich, dass im Gegensatz zu "Viren" troj. Pferde sich nicht verbreiten können. Und alle von AntiVir gefundenen Pferde (TR\Spy.Tofger.BI.2,TR\Dldr.WinSh.Ac.02,TR\Dldr.Agent.AP2) werden bei mir immer in den gleichen Ordnern gefunden. Meistens in irgendwelchen Systemordnern. Sind denn trotzdem alle Dateien auf meinem Rechner als infiziert anzusehen?

mfg

#20 Hallo Cidre,

ich wollte mich für deine Hilfestellungen bedanjen, die du mir gegeben hast.
Habe soweit die Trojaner entfernt bekommen, Escan hat noch ne ganze Menge gefunden. Da sich jedoch meine Partionstabellen von meiner 160GB Platte verabschiedet haben und mein Internet extrem langsam wurde hatte ich mich für
einen komplett Rechner-plattmach entschieden. So bin ich sicher das nichts mehr bei mir drauf ist.

Trotzdem vielen Dank für deine Hilfe

Gruß

Taro

#21 Hallo,

schön hier ein Spezialisten zu finden: Bin auch verseucht mit tofger.bi2 laut antivir, mal sehen welche Horrormeldungen ihr hier herauslesen könnt(zitter..):

Logfile of HijackThis v1.98.2
Scan saved at 16:35:04, on 06.09.04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMME\AVWIN9X\AVGCTRL.EXE
C:\PROGRAMME\WINAMP\WINAMPA.EXE
C:\PROGRAMME\AVWIN9X\AVSCHED32.EXE
C:\WINDOWS\SYSTEM\QTTASK.EXE
C:\PROGRAM FILES\WINAD CLIENT\WINAD.EXE
C:\PROGRAMME\VVSN\VVSN.EXE
C:\PROGRAMME\WEB_REBATES\WEBREBATES0.EXE
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\ANWENDUNGSDATEN\ETHI.EXE
C:\PROGRAM FILES\WINAD CLIENT\WINCLT.EXE
C:\PROGRAMME\FRITZ!\IWATCH.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMME\WEBDE\SMARTSURFER2.3\SMARTSURFER.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMME\WEB_REBATES\WEBREBATES1.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\AVWIN9X\AVWIN.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMME\WINZIP\WINZIP32.EXE
E:\PROGRAMME\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://db105.com:81/cgi-bin/index.cgi?c=0
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://db105.com:81/cgi-bin/index.cgi?c=0
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://db105.com:81/cgi-bin/index.cgi?c=0
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ccvlp.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://db105.com:81/cgi-bin/index.cgi?c=0
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://db105.com:81/cgi-bin/index.cgi?c=0
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://db105.com:81/cgi-bin/index.cgi?c=0
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://db105.com:81/cgi-bin/index.cgi?c=0
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMME\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: TwaintecObj Class - {000020DD-C72E-4113-AF77-DD56626C6C42} - C:\WINDOWS\TWAINTEC.DLL (file missing)
O2 - BHO: Class - {80041F56-D6E0-9875-FD1E-9E98650AD4FD} - C:\WINDOWS\SYSTEM\IPVO.DLL
O2 - BHO: Class - {E9293648-6DF8-9A8E-CEEA-CA46FA4B57A7} - C:\WINDOWS\SYSTEM\IPVO.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [WorksFUD] C:\Programme\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\PROGRA~1\AVWIN9X\AVGCTRL.EXE" /min
O4 - HKLM\..\Run: [AVWUpd32] C:\PROGRA~1\AVWIN9X\AVWUPD32.EXE /min
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\SYSTEM\khooker.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAMME\WINAMP\WINAMPa.exe"
O4 - HKLM\..\Run: [AVSCHED32] C:\PROGRAMME\AVWIN9X\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [Win32 Explorer] C:\WINDOWS\SYSTEM\explorer32.exe
O4 - HKLM\..\Run: [Winad Client] C:\PROGRAM FILES\WINAD CLIENT\WINAD.EXE
O4 - HKLM\..\Run: [VVSN] C:\PROGRAMME\VVSN\VVSN.EXE
O4 - HKLM\..\Run: [WebRebates0] "C:\PROGRAMME\WEB_REBATES\WebRebates0.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [Win32 Explorer] C:\WINDOWS\SYSTEM\explorer32.exe
O4 - HKCU\..\Run: [Coel] C:\WINDOWS\Anwendungsdaten\ethi.exe
O4 - Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Web Rebates - file://C:\PROGRAMME\WEB_REBATES\Sy1150\Tp1150\scri1150a.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Reference 2001\EROProj.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O15 - Trusted Zone: *.db105.com
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.skoobidoo.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.scoobidoo.com
O16 - DPF: v2cab - http://searchmiracle.com/cab/v2cab.cab
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=b262b0ad414acb9189b79ca9611238b08547955a9e1be092ffa689db1636bf5c92ee1f16d8872858710aba174607a0e7f2b4b2a1:a3f5099f60d56ff1d1f59f4600741a6e
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.120.252,192.168.120.253


Danke im Voraus