Home » Viren, Trojaner & Malware Forum » antivier findet --> TR/Qhost.AA --> hijackthis log » Themenansicht
antivier findet --> TR/Qhost.AA --> hijackthis log |
||
|---|---|---|
| #0
| ||
|
30.11.2005, 14:10
...neu hier
Beiträge: 5 |
||
 
|
|
|
|
30.11.2005, 21:22
Member
 Beiträge: 4730 |
#2
Häkchen setzen und "fix checked" klicken:
O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\nnnll.dll O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINNT\system32\vtsqr.dll O4 - HKLM\..\Run: [windows system notepad] wnpsm.exe O4 - HKLM\..\RunServices: [windows system notepad] wnpsm.exe O20 - Winlogon Notify: nnnll - C:\WINNT\SYSTEM32\nnnll.dll O20 - Winlogon Notify: vtsqr - C:\WINNT\system32\vtsqr.dll O23 - Service: Windows Time Sync (wservtime) - Unknown owner - C:\WINNT\csrss.exe Lösche mit Killbox (Anleitung und Download: http://managor.de/killbox.htm) C:\WINNT\SYSTEM32\nnnll.dll C:\WINNT\system32\vtsqr.dll C:\winnt\system32\wnpsm.exe C:\WINNT\csrss.exe PC startet neu... Mache einen Scan mit eScanCheck und poste das Ergebnis (Anleitung und Download: http://managor.de/escan.htm) __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
|
01.12.2005, 00:56
...neu hier
Themenstarter Beiträge: 5 |
#3
hy und danke erst mal für die hilfe
hab alles so gemacht wie du gesagt hast, hier der escanlog---------- -------------------------------------------------- -------------------- INFECTED -------------------- -------------------------------------------------- 1: Thu Dec 01 00:25:34 2005 => System found infected with alexa Spyware/Adware ({c95fe080-8f5d-11d2-a20b-00aa003c157a})! Action taken: No Action Taken. 2: Thu Dec 01 00:46:12 2005 => Scanning Folder: C:\Programme\AVPersonal\INFECTED\*.* 3: Thu Dec 01 00:46:12 2005 => Scanning File C:\Programme\AVPersonal\INFECTED\HOSTS.VIR [**] 4: Thu Dec 01 00:46:55 2005 => File C:\!KillBox\wnpsm.exe infected by "Backdoor.Win32.Agobot.gen" Virus! Action Taken: No Action Taken. 5: Thu Dec 01 00:46:56 2005 => File C:\!KillBox\csrss.exe infected by "Backdoor.Win32.Agobot.afk" Virus! Action Taken: No Action Taken. -------------------------------------------------- --------------------- TAGGED --------------------- -------------------------------------------------- 1: Thu Dec 01 00:24:54 2005 => File C:\WINNT\system32\vtsqr.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 2: Thu Dec 01 00:25:13 2005 => File C:\WINNT\system32\vtsqr.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 3: Thu Dec 01 00:25:22 2005 => File C:\Dokumente und Einstellungen\Administrator\Desktop\backups\backup-20051130-224834-398.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 4: Thu Dec 01 00:25:22 2005 => File C:\Dokumente und Einstellungen\Administrator\Desktop\backups\backup-20051130-224940-900.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 5: Thu Dec 01 00:28:53 2005 => File C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMPOR~1\Content.IE5\2JI963I1\ff[1] tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 6: Thu Dec 01 00:40:17 2005 => File C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0HYBC5EZ\pic[1].jpeg tagged as "not-a-virus:AdWare.Win32.WinAD.b". Action Taken: No Action Taken. 7: Thu Dec 01 00:41:00 2005 => File C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\2JI963I1\ff[1] tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 8: Thu Dec 01 00:41:28 2005 => File C:\Dokumente und Einstellungen\Administrator\Desktop\backups\backup-20051130-224834-398.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 9: Thu Dec 01 00:41:29 2005 => File C:\Dokumente und Einstellungen\Administrator\Desktop\backups\backup-20051130-224940-900.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. 10: Thu Dec 01 00:46:54 2005 => File C:\98.exe tagged as "not-a-virus:AdWare.Win32.WinAD.b". Action Taken: No Action Taken. 11: Thu Dec 01 00:46:55 2005 => File C:\!KillBox\vtsqr.dll tagged as "not-a-virus:AdWare.Win32.Virtumonde.t". Action Taken: No Action Taken. -------------------------------------------------- --------------------- ERRORS --------------------- -------------------------------------------------- 1: Thu Dec 01 00:25:18 2005 => ERROR!!! Invalid Entry SCRNSAVE.EXE = (Kein) (in key Control Panel\Desktop). No Action Taken. 2: Thu Dec 01 00:25:32 2005 => ERROR!!! Invalid Entry "C:\WINNT\csrss.exe" in SYSTEM\CurrentControlSet\Services\wservtime... 3: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\logo.act". Action Taken: No Action Taken. 4: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\scribble.act". Action Taken: No Action Taken. 5: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\dot.act". Action Taken: No Action Taken. 6: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\mnature.act". Action Taken: No Action Taken. 7: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\hoverbot.act". Action Taken: No Action Taken. 8: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\will.act". Action Taken: No Action Taken. 9: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\powerpup.act". Action Taken: No Action Taken. 10: Thu Dec 01 00:26:02 2005 => Entry "HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDlls" refers to invalid object "D:\Office\Assistnt\genius.act". Action Taken: No Action Taken. 11: Thu Dec 01 00:26:08 2005 => Entry "HKCR\CLSID\{99180163-DA16-101A-935C-444553540000}" refers to invalid object "recncl.dll". Action Taken: No Action Taken. 12: Thu Dec 01 00:26:08 2005 => Entry "HKCR\CLSID\{A4845882-333F-11D0-B724-00AA0062CBB7}" refers to invalid object "C:\WINNT\System32\WBEM\WBEMSTUB.DLL". Action Taken: No Action Taken. 13: Thu Dec 01 00:26:10 2005 => Entry "HKCR\CLSID\{E07D3492-32B5-11D0-B724-00AA0062CBB7}" refers to invalid object "C:\WINNT\System32\WBEM\WBEMSTUB.DLL". Action Taken: No Action Taken. 14: Thu Dec 01 00:26:12 2005 => Entry "HKCR\ActMsg.Session" refers to invalid object "{3FA7DEB3-6438-101B-ACC1-00AA00423326}". Action Taken: No Action Taken. 15: Thu Dec 01 00:26:16 2005 => Entry "HKCR\MailFileAtt" refers to invalid object "{00020D05-0000-0000-C000-000000000046}". Action Taken: No Action Taken. 16: Thu Dec 01 00:26:16 2005 => Entry "HKCR\mapifvbx.object" refers to invalid object "{41116C00-8B90-101B-96CD-00AA003B14FC}". Action Taken: No Action Taken. 17: Thu Dec 01 00:26:16 2005 => Entry "HKCR\mapifvbx.object.1" refers to invalid object "{41116C00-8B90-101B-96CD-00AA003B14FC}". Action Taken: No Action Taken. -------------------------------------------------- -------- DATEIEN ZUM LÖSCHEN HINZUGEFÜGT --------- -------------------------------------------------- 1: C:\!KillBox\wnpsm.exe => Backdoor.Win32.Agobot.gen 2: C:\!KillBox\csrss.exe => Backdoor.Win32.Agobot.afk -------------------------------------------------- -------------------- Statistik ------------------- -------------------------------------------------- Thu Dec 01 00:47:04 2005 => Total Objects Scanned: 31605 Thu Dec 01 00:47:04 2005 => Total Virus(es) Found: 15 Thu Dec 01 00:47:04 2005 => Total Errors: 17 Thu Dec 01 00:47:04 2005 => Virus Database Date: 2005/11/29 Thu Dec 01 00:47:04 2005 => Virus Database Count: 162144 Thu Dec 01 00:52:17 2005 => Total Objects Scanned: 31605 Thu Dec 01 00:52:17 2005 => Total Virus(es) Found: 15 Thu Dec 01 00:52:17 2005 => Total Errors: 17 mfg |
|
|
|
|
|
|
01.12.2005, 12:57
Ehrenmitglied
 Beiträge: 29434 |
#4
Hallo@manjana
der PC ist kompromitiert, es sind also noch viele Schritte notwendig, um das zu reinigen................. wende an:CleanUp http://virus-protect.org/cleanup.html so wird geloescht: Zitat C:\DOKUME~1\ADMINI~1\LOKALE~1\TEMPOR~1\Content.IE5\2JI963I1\ff[1] tagged as "not-a-virus:AdWare.Win32.Virtumonde.tkopiere hier die 4 Textdateien http://virus-protect.org/datfindbat.html ServiceFilter.zip http://virus-protect.org/artikel/tools/ServiceFilter.zip - entzippen - scannen - POST_THIS.TXT abkopieren __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
09.12.2005, 10:36
...neu hier
Themenstarter Beiträge: 5 |
#5
ich wollte mich mal bedanken für die rasche hilfe werde die tipps von sabina natürlich noch befolgen und die logs posten hab nur momentan sehr schlecht zeit hoffe ich komm nächste woche dazu
thx mfg |
|
|
|
|
|
|
09.12.2005, 11:53
Ehrenmitglied
Beiträge: 29434 |
#6
vernuenftiger waere, zu formatieren, dann ist alles wieder , wie es sein soll, denn eine Reinigung ist immer nur eine Notloesung, welche das System kompromitiert belaesst.
__________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
09.12.2005, 17:41
...neu hier
Themenstarter Beiträge: 5 |
#7
hmm muss zwar zugeben dass ich das nicht hören wollte
 aber ich werd deinen rat befolgen und formatieren thx ps: gibt es eventuell noch nen tipp? da es ja nicht mein pc ist und ich daher nicht genau weiss was wirklich alles drauf ist (spy-, adware viren etc) damit ich dem besitzer noch einen tipp mitgeben kann wovor er sich hüten muss bzw wodurch es erst soweit gekommen ist? ich weiss dass man wahrscheinlich nicht genau sagen kann was da so alles drauf ist aber vllt gibts ja doch tipps |
|
|
|
|
|
|
10.12.2005, 00:18
Ehrenmitglied
Beiträge: 29434 |
#8
Hallo@manjana
drauf ist ein Backdoor.Win32.Agobot O4 - HKLM\..\Run: [windows system notepad] wnpsm.exe O4 - HKLM\..\RunServices: [windows system notepad] wnpsm.exe ...schon ein Grund zum formatieren, dazu kommt die Spyware AdWare.Win32.Virtumonde.t O20 - Winlogon Notify: nnnll - C:\WINNT\SYSTEM32\nnnll.dll O20 - Winlogon Notify: vtsqr - C:\WINNT\system32\vtsqr.dll Massnahmen nach Neuinstallation von Windows http://virus-protect.org/nachneuinst.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
02.11.2006, 20:11
...neu hier
Beiträge: 5 |
#9
Hallo.
Gibt ja schon einige Beiträge dazu, aber in denen scheint es immer nur eine spezielle Lösung zu geben (oder ich kapiers nicht...). Auch bei mir meckert AntiVir über diesen Trojaner, kann ihn aber nicht löschen. Hier ist der HijackThis-Bericht: Zitat Logfile of HijackThis v1.99.1Leider werd ich daraus nicht schlau  Könnt ihr mir bitte helfen das Ding los zu werden? Dieser Beitrag wurde am 03.11.2006 um 00:29 Uhr von Sabina editiert.
|
|
|
|
|
|
|
03.11.2006, 00:28
Ehrenmitglied
Beiträge: 29434 |
#10
Garwin
da ist nichts mehr zu machen, der Rechner besteht nur aus Viren, Wuermern und backdoors. du musst schnellstens alles platt machen - und formatieren (und als erstes dann die Windowsupdates machen, SP2 laden) __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
03.11.2006, 08:33
...neu hier
Beiträge: 5 |
#11
Oh, ganz schön harte Diagnose, aber Danke für die schnelle Hilfe
edit: eine Frage hab ich noch: Ich habe die Platte in zwei Formationen aufgeteilt, C für Windows und die wichtigsten Programme, und D für die restlichen Daten. Reicht es wenn ich jetzt nur C formatiere und D ganz lasse? Dieser Beitrag wurde am 03.11.2006 um 08:49 Uhr von Garwin editiert.
|
|
|
|
|
|
|
03.11.2006, 10:26
Ehrenmitglied
Beiträge: 29434 |
#12
Garwin
Formatiere c:\ - mache die Windowsupdates - und komme wieder mit einem neuen Log vom HijackThis , ich schaue dann noch mal nach  __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
03.11.2006, 20:27
...neu hier
Beiträge: 5 |
#13
So, C ist frisch formatiert, D hab ich nicht angefasst. Hier der Bericht:
Zitat Logfile of HijackThis v1.99.1Hab ich noch was drauf? |
|
|
|
|
|
|
04.11.2006, 00:52
Ehrenmitglied
Beiträge: 29434 |
#14
lade einen virenguard
http://virus-protect.org/antivirus.html und mache UNBEDINGT die Windowsupdates, sonst stehst du hier gleich wieder auf der Matte - und ich reinige keine Rechner ohne Windowsupdates __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
04.11.2006, 14:18
...neu hier
Beiträge: 5 |
#15
Ups, das update hab ich ja wirklich vergessen *schäm* aber ein Antivirenprogramm habe ich aufgespielt:
C:\Programme\Rising\Rav\CCenter.exe Mir wurde das empfohlen, oder hast du da andere Erfahrungen? |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
hab schon diverse suchen gestartet aber noch nix gefunden
antivier kann den Trojaner nicht entfernen
hijackthis logfile hab ich dabei
thx for help
log---------
Logfile of HijackThis v1.99.1
Scan saved at 13:24:09, on 30.11.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\slserv.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\csrss.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Programme\Caere\OmniPagePro90\opware32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINNT\system32\wnpsm.exe
C:\WINNT\system32\ntvdm.exe
C:\WINNT\system32\internat.exe
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.aon.at
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.aon.at
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - Everyday.com
O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\nnnll.dll
O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINNT\system32\vtsqr.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [OmniPage] C:\Programme\Caere\OmniPagePro90\opware32.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [windows system notepad] wnpsm.exe
O4 - HKLM\..\RunServices: [windows system notepad] wnpsm.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O20 - Winlogon Notify: nnnll - C:\WINNT\SYSTEM32\nnnll.dll
O20 - Winlogon Notify: vtsqr - C:\WINNT\system32\vtsqr.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINNT\SYSTEM32\slserv.exe
O23 - Service: Windows Time Sync (wservtime) - Unknown owner - C:\WINNT\csrss.exe