Trojaner TR/Proxy.Bary.FL und vermutlich noch mehr

#16 1.
mit virustotal ueberpruefen,

C:\ftp.exe
C:\dupa.exe

2.
loeschen:..diese dll erstellt sich immer wieder neu
C:\WINNT\system32\tupss.dll
C:\WINNT\system32\tupss.dll.old

-------
3.
http://virus-protect.org/multiavtool.html
* klicke "3" - McAfee -- es erscheint ein leeres DOS-Fenster.

bei der Eingabe "3" im MULTIAVTOOL muss eine Internetverbindung vorhanden sein

- man muss eingeben, was gescannt werden soll
- C:\WINNT\System32 - dann beginnt der Scan, man sollte dann auch scannen lassen:
- C:\WINNT
- C:\

* klicke "6 --> der PC wird neustarten --> suche die 3 Scanreporte in C:\AV-CLS und kopiere sie

4.
scanne und berichte (scanreport abkopieren)
F-Secure provides the special disinfection utility to eliminate SdBot.MB worm infection. You can download this utility from our ftp site:
ftp://ftp.f-secure.com/anti-virus/tools/f-sdbot.exe
__________
MfG Sabina

rund um die PC-Sicherheit

#17 1.
C:\ftp.exe -> clean
C:\dupa.exe -> clean

2.
done

3. Das Tool sieht etwas anders aus, eine leere Dosbox erscheint nicht.

Zitat

08/19/2006 18:07:44


Options:
/ADL /UNZIP /WINMEM /SUB /ANALYZE /PANALYZE /STREAMS /CLEAN /ALL /DEL /MIME /PROGRAM /EXCLUDE C:\AV-CLS\EXCLIST.TXT /HTML "C:\AV-CLS\MCAFEE\SCANREPORT.HTML"

Scanning C: [SYSTEM]
Scanning C:\*.*
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\6.0MP\6.0MP ... Found the Proxy-Piky trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\7.0MP\7.0MP ... Found the Proxy-Piky trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\8.0MP\8.0MP ... Found the Proxy-Piky trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\B.0MP\B.0MP ... Found the Proxy-Piky trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\C.0MP\C.0MP ... Found the Proxy-Piky trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\NT.0XE\MSCNSLSKRNL.EXE ... Found the ServU trojan !!!
C:\avenger\backup-Sa 19.08.2006-15.37.44,56.zip\NT.0XE\NTCHECK.DLL\NTCHECK.DLL ... Found the BotSpeedometer trojan !!!
C:\Dokumente und Einstellungen\Administrator\Desktop\psybnc2.3.v6.exe\PSYBNC.EXE ... Found potentially unwanted program Tool-PsyBNC.
The file or process has been deleted.
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SPU3WL2N\[1].exe ... Found the W32/Sdbot.worm.gen.h virus !!!
The file or process has been deleted.
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SPU3WL2N\[2].exe ... Found the W32/Sdbot.worm.gen.h virus !!!
The file or process has been deleted.

Summary report on C:\*.*
File(s)
Total files: ........... 83855
Clean: ................. 83800
Possibly Infected: ..... 9
Cleaned: ............... 0
Deleted: ............... 3
Non-critical Error(s): 2
Master Boot Record(s): ......... 1
Possibly Infected: ..... 0
Boot Sector(s): ................ 1
Possibly Infected: ..... 0

4.
scanne und berichte (scanreport abkopieren)

Hat nichts gefunden

#18 poste die 4 logs von datfindbat
__________
MfG Sabina

rund um die PC-Sicherheit

#19 tupss.dll ist wieder da...

Zitat

Datentr„ger in Laufwerk C: ist SYSTEM
Datentr„gernummer: DC3C-4F67

Verzeichnis von C:\WINNT\system32

19.08.2006 21:08 369 tupss.dll
18.08.2006 12:43 16.384 Perflib_Perfdata_5a4.dat
18.08.2006 12:13 16.384 Perflib_Perfdata_348.dat
17.08.2006 20:28 16.384 Perflib_Perfdata_4b8.dat
...

Datentr„ger in Laufwerk C: ist SYSTEM
Datentr„gernummer: DC3C-4F67

Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\1

Datentr„ger in Laufwerk C: ist SYSTEM
Datentr„gernummer: DC3C-4F67

Verzeichnis von C:\WINNT

19.08.2006 21:08 1.362.295 WindowsUpdate.log
19.08.2006 21:06 32.482 SchedLgU.Txt
19.08.2006 21:05 258.416 ShellIconCache
19.08.2006 19:27 138.552 F-Sdbot.log
19.08.2006 15:13 320.205 comsetup.log
...
Datentr„ger in Laufwerk C: ist SYSTEM
Datentr„gernummer: DC3C-4F67

Verzeichnis von C:\

19.08.2006 21:13 0 sys.txt
19.08.2006 21:13 11.458 system.txt
19.08.2006 21:13 130 systemtemp.txt
19.08.2006 21:12 96.818 system32.txt
19.08.2006 21:07 792.723.456 pagefile.sys
19.08.2006 15:34 17.280 avenger.txt
...

#20 Verzeichnis von C:\WINNT\system32
19.08.2006 21:08 369 tupss.dll

1.
Download in ein eigenes Verzeichnis:
http://de.trendmicro-europe.com/file_downloads/common/tsc/sysclean.com
In das selbe Verzeichnis downloaden und entpacken:
http://de.trendmicro-europe.com/global/file_downloads/common/pattern/opr/lpt859.zip
In den abgesicherten Modus booten und laufen lassen. Das Log bitte posten

2.
Sophos
aktuellste Virendefinitionsdateien
1.) IDEs für SAV Version ... 2006 (4.04) Aktuelle Web-Version
Aktuelle CD und Web-Version Download Zip Download Exe 121
http://www.sophos.de/downloads/ide/
2.) http://www.sophos.de/tools/sav32sfx.exe
3.) gehe in C:\
4.) klicke SAV32CLI

poste einen report. falls du einen findest
__________
MfG Sabina

rund um die PC-Sicherheit