Probleme mit WINDOWS\system32\seven.exe

#1 seit einigen wochen meldet Antivir einmal täglich nachfolgenden Fund:
In der Datei 'C:\WINDOWS\system32\seven.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Renos.28160' [TR/Renos.28160] gefunden.
Obwohl Antivir meldet "Ausgeführte Aktion: Datei löschen" erscheint der Trojaner am nächsten Tag wieder. Wie kann ich das Problem nachhaltig lösen ? ersuche um Hilfe

#2 Poste btte ein Hijackthis und combofix Report: http://board.protecus.de/t23188.htm

Du kannst antivir auch im abgesicherten Modus mit diesen Einstellungen laufen lassen: http://board.protecus.de/t23979.htm
__________
MfG Ralf
SEO-Spam Hunter

#3 Hallo Ralf, danke für die prompte reaktion, beiliegend die beiden logfiles, ich hoffe daß das so passt

#4 Ich sehe da zwar kein renos Trojaner, aber ein eWareout Variante.

Lade dir bitte fixwareout von hier http://www.bleepingcomputer.com/files/lonny/Fixwareout.exe starte es druecke run fixit und finish. Folge den Anweisungen auf dem Bildschirm zulett wird ein Report ausgegeben. Poste bitte dieses und ein neues Combofix log.
__________
MfG Ralf
SEO-Spam Hunter

#5 Ich habe in der Zwischenzeit Antivir im abgesicherten Modus laufen lassen, anschliessend fixwareout, und zum Schluss Combofix. beiliegend sende ich Dir nun die beiden Lofiles.

mfg Hubert

#6 Hast du inzwischen C:\WINDOWS\system32\csnlg.exe bei

http://www.virustotal.com/flash/index_en.html
Oder http://virusscan.Jotti.org/

pruefen lassen?

Nutze bitte noch Blacklight und lasse alle gefundenen Dateien umbenennen.( nicht die Explorer.exe, falls sie angezeigt wird). Danach bitte den Blacklight report und ein neues Hijackthis log posten. Bitte in der Reihenfolge.

Blacklight: http://virus-protect.org/artikel/tools/rootkithook.html

#7 wo kann ich denn "C:\WINDOWS\system32\csnlg.exe" finden

#8 Nutz bitte Blacklight. Ich denke die Datei heisst nun anders.
__________
MfG Ralf
SEO-Spam Hunter

#9 Blacklight hat nichts gefunden, beiliegend das neue hJ Log

#10 Sehr schoen. Dann poste bitte nocheinmal ein aktuelles Combofix Log. Lade dir aber bitte nochmal Combofix herunter. Es kann sein, das es eine neue Version gibt.
__________
MfG Ralf
SEO-Spam Hunter

#11 Hallo Ralf,
habe Combofix noch mal heruntergeladen, beiliegend das aktuelle Log

#12 Bennen diese Datei um, pruefe sie bei Jotti oder VT C:\WINDOWS\system32\csnlg.exe und berichte uns vom Ergebniss.
__________
MfG Ralf
SEO-Spam Hunter

#13 habe die Datei bei beiden prüfen lassen - No virus Found, soll ich Sie trotzdem umbenennen ?

#14 JA! Schicke diese umbenannte Datei bitte an virus@protecus.de
__________
MfG Ralf
SEO-Spam Hunter

#15 habe die umbenannte Datei jetzt abgeschickt. Nun aber das erfreuliche, habe dem Computer heute um 0713 angeworfen, bis jetzt hat antivir keine Funde gemeldet. Könnte es sein, daß das Problem dank deiner Kompetenten Unterstützung gelöst ist. kannst du mir noch mitteilen, was es mit der ominösen CSNLG.exe auf sich hat ?