Trojaner (Vundo.gen144) auf dem Rechner

#1 UxTuneUp

.
Inhalt des "geplante Tasks" Ordners
"2008-04-11 15:16:39 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
- C:\Programme\TuneUp Utilities 2007\SystemOptimizer.exe
.
**************************************************************************

catchme 0.3.1351 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-13 02:16:43
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\explorer.exe
-> C:\WINDOWS\system32\yxrmtefq.dll
-> C:\WINDOWS\system32\pwmjdpqy.dll
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\ati2evxx.exe
C:\Norman\npm\bin\elogsvc.exe
C:\Norman\npm\bin\Zanda.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Norman\npm\bin\Njeeves.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\PROGRA~1\ATITEC~1\ATI.ACE\CLI.exe
C:\PROGRA~1\QUICKT~1\qttask.exe
C:\PROGRA~1\Logitech\MOUSEW~1\system\EM_EXEC.EXE
C:\PROGRA~1\Winamp\winampa.exe
C:\PROGRA~1\GEMEIN~1\Real\UPDATE~1\REALSC~1.EXE
C:\PROGRA~1\Java\JRE16~2.0_0\bin\jusched.exe
C:\PROGRA~1\ScanSoft\OMNIPA~1.0\OPWARE~1.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\MESSEN~1\msmsgs.exe
C:\Norman\NVC\Bin\Nip.exe
C:\Norman\NVC\Bin\CClaw.exe
C:\Programme\Real\RealPlayer\realplay.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\PROGRA~1\ATITEC~1\ATI.ACE\CLI.exe
C:\Programme\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
C:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-04-13 2:19:02 - machine was rebooted
ComboFix-quarantined-files.txt 2008-04-13 00:18:54
19 Verzeichnis(se), 23,073,345,536 Bytes frei
23 Verzeichnis(se), 23,270,658,048 Bytes frei
.
1980-04-12 16:18:54 --- E O F ---




---------------------------------------------------------------------------





Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:29:33, on 13.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Norman\Npm\bin\ELOGSVC.EXE
C:\Norman\Npm\Bin\Zanda.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Norman\Npm\bin\NJEEVES.EXE
C:\Norman\Nvc\bin\nvcoas.exe
C:\Norman\Nvc\BIN\NVCSCHED.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Norman\Npm\bin\ZLH.EXE
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Norman\Nvc\BIN\NIP.EXE
C:\Norman\Nvc\bin\cclaw.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
C:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?linkid=677
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programme\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\de-ch\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\de-ch\msntb.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [System Files Updater] C:\WINDOWS\FlyakiteOSX\Tools\System Files Updater.exe /S
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\winampa.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\Npm\bin\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=041708 serial=dr12cnc-8322248-nft lang=DE
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [a4decc0d] rundll32.exe "C:\WINDOWS\system32\yxrmtefq.dll",b
O4 - HKLM\..\Run: [BMa7edff91] Rundll32.exe "C:\WINDOWS\system32\pwmjdpqy.dll",s
O4 - HKLM\..\RunServices: [MSN Messenger] live.messenger.com
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\system32\Macromed\Flash\FlashUtil9b.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: ATI CATALYST-Infobereich.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Picture Package Menu.lnk = C:\Programme\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
O4 - Global Startup: Picture Package VCD Maker.lnk = C:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - http://de.errorsafe.com/pages/scanner_de/ErrorSafeScannerInstallDE.cab
O20 - Winlogon Notify: xxyxvtr - xxyxvtr.dll (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Norman eLogger service 6 (eLoggerSvc6) - Norman ASA - C:\Norman\Npm\bin\ELOGSVC.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\Npm\bin\NJEEVES.EXE
O23 - Service: Norman ZANDA - Norman ASA - C:\Norman\Npm\Bin\Zanda.exe
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Norman\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman ASA - C:\Norman\Nvc\BIN\NVCSCHED.EXE
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe (file missing)

--
End of file - 9368 bytes





---------------------------------------------------------------------------


.
.
Bitte nur die Eintraege der letzten 3 Monate pro Ordner posten
.
.
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A4DE-CCA2

Verzeichnis von C:\WINDOWS\system32

13.04.2008 02:21 2'125'076 qfetmrxy.ini
13.04.2008 02:16 13'646 wpa.dbl
11.04.2008 13:30 3'648 vuuhlaae.dll
11.04.2008 03:04 64'372 perfc009.dat
11.04.2008 03:04 409'232 perfh009.dat
11.04.2008 03:04 77'924 perfc007.dat
11.04.2008 03:04 425'118 perfh007.dat
11.04.2008 03:04 942'904 PerfStringBackup.INI
10.04.2008 11:00 132'968 FNTCACHE.DAT
10.04.2008 01:06 118 MRT.INI
09.04.2008 20:46 15 a4dede83
01.04.2008 12:08 8'192 Thumbs.db
31.03.2008 20:33 1'493'425 mjahlwgi.ini
31.03.2008 17:30 1'472'998 uhwtaeta.ini
30.03.2008 20:35 1'472'878 ucvafdre.ini
29.03.2008 20:34 1'476'168 negyasld.ini
28.03.2008 13:46 1'585'721 ayqchehg.ini
27.03.2008 20:09 1'586'574 wweekhku.ini
26.03.2008 20:34 1'586'334 xnpjvkrv.ini
20.03.2008 10:03 1'845'376 win32k.sys
20.02.2008 08:50 282'624 gdi32.dll
20.02.2008 07:33 45'568 dnsrslvr.dll
20.02.2008 07:33 148'992 dnsapi.dll
19.02.2008 23:33 21'840 SIntfNT.dll
19.02.2008 23:33 17'212 SIntf32.dll
19.02.2008 23:33 12'067 SIntf16.dll
17.02.2008 00:29 3'080'704 mshtml.dll
16.02.2008 10:59 474'624 shlwapi.dll
16.02.2008 10:59 1'494'528 shdocvw.dll
16.02.2008 10:59 665'088 wininet.dll
16.02.2008 10:59 617'984 urlmon.dll
16.02.2008 10:59 146'432 msrating.dll
16.02.2008 10:59 532'480 mstime.dll
16.02.2008 10:59 449'024 mshtmled.dll
16.02.2008 10:59 39'424 pngfilt.dll
16.02.2008 10:59 357'888 dxtmsft.dll
16.02.2008 10:59 16'384 jsproxy.dll
16.02.2008 10:59 96'768 inseng.dll
16.02.2008 10:59 205'312 dxtrans.dll
16.02.2008 10:59 251'392 iepeers.dll
16.02.2008 10:59 55'808 extmgr.dll
16.02.2008 10:59 152'064 cdfview.dll
16.02.2008 10:59 1'056'256 danim.dll
16.02.2008 10:59 1'023'488 browseui.dll
16.02.2008 01:03 374'272 xpsp3res.dll
125 Datei(en) 45'240'204 Bytes
0 Verzeichnis(se), 23'278'686'208 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A4DE-CCA2

Verzeichnis von C:\WINDOWS\temp

13.04.2008 02:12 69'596'246 nvcbin.def.36369291.TMP
1 Datei(en) 69'596'246 Bytes
0 Verzeichnis(se), 23'278'690'304 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A4DE-CCA2

Verzeichnis von C:\WINDOWS\Downloaded Program Files

09.11.2006 15:36 5'019 swflash.inf
17.08.2005 16:35 65 desktop.ini
16.02.2005 17:15 401'408 isusweb.dll
17.01.2005 17:09 227 opuc.inf
25.07.2002 17:13 24'576 dwusplay.dll
25.07.2002 17:13 196'608 dwusplay.exe
6 Datei(en) 627'903 Bytes
0 Verzeichnis(se), 23'278'690'304 Bytes frei



---------------------------------------------------------------------------


Seit einigen Tagen erscheint diese Fehlermeldung von meinem Virenschutzprogramm (Norman Virus Control):

Norman Virus Control detected a trojan and moved it to the qurantine.

Location: c/windows/system32/pmkjh,dll

Trojan: Vundo.gen144


Bei dieser Meldung kann ich entweder auf close oder auf help drücken.
Wenn ich close anklicke, erscheint die gleiche Meldung einige Sekunden
später wieder, bei help kommt ein neues Fenster in dem das hier steht:

Sie
haben die Option "Nicht reparierbare Dateien in Quarantäne verschieben"
im Norman Produkt-Ordner Norman Quarantine ausgewählt, und die im
Dialogfeld festgelegte Datei ist Malware, für die NVC kein
Säuberungsskript besitzt.

Bestimmte Arten von Malware, wie Backdoors und trojanische Pferde,
können nicht repariert werden, da solche Dateien keinen brauchbaren
Zweck erfüllen und ausschließlich schädlichen Code enthalten. In
solchen Fällen kommt das Entfernen (d. h. Löschen) der Datei einer
Säuberung gleich.

Wenn ich nun in der Quarantäne die Datei lösche, erscheint sie ein paar Sekunden später wieder.
Nun hoffe ich, dass ich alle Schritte richtig befolgt habe und mir jemand weiterhelfen kann...

#2 Hallo Rez

>>
Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei:

Zitat

O4 - HKLM\..\Run: [a4decc0d] rundll32.exe "C:\WINDOWS\system32\yxrmtefq.dll",b

O4 - HKLM\..\Run: [BMa7edff91] Rundll32.exe "C:\WINDOWS\system32\pwmjdpqy.dll",s

O4 - HKLM\..\RunServices: [MSN Messenger] live.messenger.com

O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - h**p://de.errorsafe.com/pages/scanner_de/ErrorSafeScannerInstallDE.cab

O20 - Winlogon Notify: xxyxvtr - xxyxvtr.dll (file missing)

klicke: Fix checked
Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

---------------------------------------------------------------

««
http://virus-protect.org/artikel/tools/otmoveIt.html
öffne: OTMoveIt.exe

Kopiere rein: im linken Fenster ,wo steht: Paste Standart List of Files/Folders to be Move

Zitat

C:\WINDOWS\live.messenger.com
C:\WINDOWS\system32\qfetmrxy.ini
C:\WINDOWS\system32\vuuhlaae.dll
C:\WINDOWS\system32\a4dede83
C:\WINDOWS\system32\mjahlwgi.ini
C:\WINDOWS\system32\uhwtaeta.ini
C:\WINDOWS\system32\ucvafdre.ini
C:\WINDOWS\system32\negyasld.ini
C:\WINDOWS\system32\ayqchehg.ini
C:\WINDOWS\system32\wweekhku.ini
C:\WINDOWS\system32\xnpjvkrv.ini

Klicke auf den Roten MoveIt!

--------------------------------------------------------------------

>>
Wende Combofix an und poste das log (das ganze)
http://virus-protect.org/artikel/tools/combofix.html


Grüss Swiss