Trojaner! dringend

#1 Hallo!

Gestern abend hat mein Virenscanner et trust.... folgende Virusmeldung angezeigt : Win32/boxed!generic gefunden!
Ich habe im Anschluss den Scanner erneut durchlaufen lassen und dann kamen folgende Meldungen :

C:\Setup.exe infiziert mit Win32/boxed!generic
D:\Setup.exe infiziert mit Win32/boxed!generic
C:\System Volume Restore\_restore\9002D673-3B16-4EC3-9883-12A153F171D83\RP959\A0036756.exe
auch infiziert mit Win32/boxed!generic

ETrust.. meldete aber dass alles 3 Dateien bzw. der Trojaner gelöscht wurde.

Ich vertraue ihm aber nicht
Bitte schaut euch das Log-File genauer an und HELFT MIR!!!

Danke!


So, hier nun das HiJackThis Logfile :

Logfile of HijackThis v1.99.1
Scan saved at 10:13:09, on 01.02.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Intel\ASF Agent\ASFAgent.exe
C:\Programme\Symantec\pcAnywhere\awhost32.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\CAVTray.exe
C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\CAVRID.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\ISafe.exe
C:\Programme\Dell\OpenManage\Client\Iap.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\VetMsg.exe
C:\optix\SMS\smsversand.exe
D:\Programme\klickTel\klickTel Herbst 2006\KSTART32.EXE
C:\optix\XKasse.exe
C:\WINDOWS\system32\ntvdm.exe
C:\verwaltg\Office\Msaccess.exe
C:\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/de/deu/gen/default.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/de/deu/gen/default.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/de/deu/gen/default.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/de/deu/gen/default.htm
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programme\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [CaAvTray] "C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\CAVTray.exe"
O4 - HKLM\..\Run: [CAVRID] "C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\CAVRID.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: klickTel Herbst 2006 - Schnellstarter.lnk = D:\Programme\klickTel\klickTel Herbst 2006\KSTART32.EXE
O4 - Global Startup: ATPLAN.BAT.lnk = C:\transfer\progexp\ATPLAN.BAT
O4 - Global Startup: SMS.lnk = C:\optix\SMS\smsversand.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://E:\content\include\XPPatchInstaller.CAB
O17 - HKLM\System\CCS\Services\Tcpip\..\{E90C74B3-939B-4FD6-B245-AA319A07FEDA}: NameServer = 192.168.121.252,192.168.121.253
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O23 - Service: ASF Agent (ASFAgent) - Intel Corporation - C:\Programme\Intel\ASF Agent\ASFAgent.exe
O23 - Service: pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Programme\Symantec\pcAnywhere\awhost32.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: CAISafe - Computer Associates International, Inc. - C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\ISafe.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Iap - Dell Computer Corporation - C:\Programme\Dell\OpenManage\Client\Iap.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: VET Message Service (VETMSGNT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust EZ Armor\eTrust EZ Antivirus\VetMsg.exe

#2 Maiden3012

SDFix.zip entpacken
http://virus-protect.org/artikel/tools/sdfix.html
es erscheint folgende Meldung:

"The SDFix Folder has been extracted to %systemdrive% - Please run from that location.
(%systemdrive% = drive that contains the Windows directory - typically C:\SDFix )"

unter C:\ findet man nun den SDFix-Ordner

boote in den abgesicherten Modus (die Taste F8 drücken, während der Rechner neustartet)

gehe in den Ordner C:\SDFix

RunThis.bat doppelt klicken

schreibe: Y

folge allen Anweisungen, während gescannt wird - dann wird der Rechner neustarten
kopiere mit der rechten Maustaste den Text ab, der erscheint - und in den Beitrag
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo!
Hab alles gemacht was du mir gesagt hast! Während mir dann die report.txt gezeigt wurde, kam auch wieder dieser Fehlerbestattungsdienst mit Problembericht senden. keine ahnung was das für ein fehler war. jedenfalls hier der auszug aus report.txt.



SDFix: Version 1.63

02.02.2007 - 9:42:44,21

Microsoft Windows XP [Version 5.1.2600]

Running From: C:\Sdfix

Safe Mode:
Checking Services:

Name:

Path:


Restoring Windows Registry Entries
Restoring Default Hosts File


Rebooting...

Normal Mode:
Checking Files:

No Trojan Files Found..




ADS Check:

C:\WINDOWS\system32
No streams found.

Final Check:

Remaining Services:
------------------


Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\OPTIX\\xorder.exe"="C:\\OPTIX\\xorder.exe:*:Enabled:XOrder Glasbestellung"


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"


Remaining Files:
---------------

Backups Folder: - C:\Sdfix\backups\backups.zip


Checking For Files with Hidden Attributes :

C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\FOR43A.tmp
C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\FOR43C.tmp
C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\FOR43E.tmp
C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\ZTR439.tmp
C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\ZTR43B.tmp
C:\Dokumente und Einstellungen\krass\Lokale Einstellungen\Temp\ZTR43D.tmp

Finished

wie geht`s weiter? thx für deine bemühungen

#4 1.
rechtsklick auf Arbeitsplatz -> Eigenschaften -> Erweitert -> "Starten und Wiederherstellen" -> Taste "Einstellungen" -> Häkchen vor "Automatisch Neustart durchführen" wegnehmen. Wenn er dann wieder abgestürtzt ist, gehe ins Systemprotrokoll (wenn möglich) -> Start -> Ausführen -> eventvwr.msc
Schau nach Fehlern unter System und Anwendung

-------------

2.
http://virus-protect.org/artikel/tools/sdfix.html
im Normalmodus
RunThis.bat doppelt klicken
waehle die 3 - sophos wird geladen - dann waehle die 6 - lasse scannen und poste den scanreport
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Hi!
So nun der andere Auszug!

Sophos Anti-Virus
Version 4.14.0 [Win32/Intel]
Virus data version 4.14, February 2007
Includes detection for 216001 viruses, trojans and worms
Copyright (c) 1989-2007 Sophos Plc, www.sophos.com

System time 14:20:43, System date 02 February 2007
Command line qualifiers are: -f -remove -nc -nb --stop-scan

IDE directory is: C:\Sdfix\IDE


Password protected file C:\Programme\Adobe\Acrobat 6.0\Reader\Messages\DEU\RdrMsgDEU.pdf
Password protected file C:\Programme\Adobe\Acrobat 6.0\Reader\Messages\ENU\RdrMsgENU.pdf
>>> Virus 'Troj/Horst-HF' found in file D:\System Volume Information\_restore{9002D673-3B16-4EC3-9883-12A153F171D8}\RP937\A0035090.exe
Removal successful
>>> Virus 'Mal/Behav-080' found in file D:\System Volume Information\_restore{9002D673-3B16-4EC3-9883-12A153F171D8}\RP959\A0036766.exe
Removal successful

2 boot sectors swept.
26928 files swept in 17 minutes and 42 seconds.
2 errors were encountered.
2 viruses were discovered.
2 files out of 26928 were infected.
Please send infected samples to Sophos for analysis.
For advice consult www.sophos.com, email support@sophos.com
or telephone +44 1235 559933
2 encrypted files were not checked.
Ending Sophos Anti-Virus.

#6 Maiden3012

Arbeitsplatz --> Rechtsklick, dann auf Eigenschaften --> Reiter Systemwiederherstellung --> Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(dann wieder aktivieren)

««
dann sollte wieder alles i.o. sein
__________
MfG Sabina

rund um die PC-Sicherheit

#7 hi!
d.h. einfach den haken setzen --> übernehmen und dann den Haken wieder entfernen --> übernehmen --> ok ?

danke für die hilfe!!!!

ach, was ich vergessen habe zu fragen : FUNKTIONIERT DIES AUCH MIT ANDEREN TROJANERN ETC.???

vielen dank

#8

Zitat

FUNKTIONIERT DIES AUCH MIT ANDEREN TROJANERN ETC.???

dass die Systemwiederherstellung von anderen Programmen verändert wird. Es ist daher möglich, dass Sie eine mit einem Virus infizierte Datei versehentlich wiederherstellen
http://virus-protect.org/systemwiederherstellung.html
__________
MfG Sabina

rund um die PC-Sicherheit