PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Trojaner help!

Gast
2005-10-05, 15:04:20
Hab da zwei ganz üble Trojaner erwicht und kann sie auch nicht mit free-av löschen! was kann ich machen??? hier meine log file:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
G:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\shnlog.exe
C:\WINDOWS\system32\RUNDLL32.EXE
G:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
G:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\WINDOWS\system32\intmon.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Programme\Creative\SBLive\AudioHQ\AHQTBU.EXE
G:\Programme\AVPersonal\AVGNT.EXE
G:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
G:\Programme\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\system32\wuauclt.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe
O2 - BHO: HP Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\system32\hp6273.tmp
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] G:\Programme\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "G:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [QuickTime Task] "G:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [AudioHQU] C:\Programme\Creative\SBLive\AudioHQ\AHQTBU.EXE
O4 - HKLM\..\Run: [CloneCDTray] "G:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [AVGCtrl] "G:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKCU\..\Run: [ASUS SmartDoctor] C:\Programme\ASUS\SmartDoctor\\SmartDoctor.exe /start
O4 - HKCU\..\Run: [Steam] "f:\valve\steam\steam.exe" -silent
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = G:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Convert link target to Adobe PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://G:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://G:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - G:\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - G:\ICQ\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1103462863406
O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAVA/Secure/HPGetDownloadManager.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F1997C8-44A9-4276-8BD2-491721BF6514}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{2F1997C8-44A9-4276-8BD2-491721BF6514}: NameServer = 192.168.1.1
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - G:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: O&O Defrag 2000 (OOD2000) - O&O Software GmbH - C:\WINDOWS\system32\OOD2000.exe
KinGGoliAth
2005-10-05, 15:12:54
spybot search & destroy
und
ad aware
(google hilft gerne bei beidem)
draufpacken, scannen und alles runterschmeissen.
5tyle
2005-10-05, 17:00:49
G:\PROGRAMME\AVPERSONAL\AVGUARD.EXE

da dürfte der trojaner sein..

wenn nicht löschbar Betriebssystem neu aufsetzen (?)
KinGGoliAth
2005-10-05, 17:17:43
G:\PROGRAMME\AVPERSONAL\AVGUARD.EXE

da dürfte der trojaner sein..

wenn nicht löschbar Betriebssystem neu aufsetzen (?)

bist du bescheuert? das gehört zu antivir und sollte ganz bestimmt lieber nicht gelöscht werden. (http://www.liutilities.com/products/wintaskspro/processlibrary/avguard/)
http://img24.imageshack.us/img24/5233/keineahnung9qw.gif
KinGGoliAth
2005-10-05, 17:20:09
shnlog.exe ist auf jedenfall ein trojaner

http://www.liutilities.com/products/wintaskspro/processlibrary/shnlog/
Lokadamus
2005-10-05, 17:21:38
Im Taskmanager abschiessen:
C:\WINDOWS\system32\shnlog.exe <--- Trojaner
C:\WINDOWS\system32\intmon.exe <--- Trojaner

Komischer Eintrag, hab kein Plan, was das machen soll:
F2 - REG:system.ini: Shell=explorer.exe, msmsgs.exe

Löschen:
O2 - BHO: HP Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\system32\hp6273.tmp


Wodurch der 2. Trojaner gestartet wird, weiss ich nicht. Hab auch keine Lust, danach weiter zu googlen.
KinGGoliAth
2005-10-05, 17:22:17
intmon.exe ist der zweite trojaner

http://www.liutilities.com/products/wintaskspro/processlibrary/intmon/
Seraph2k
2005-10-05, 17:48:33
und beide lassen sich nicht löschen...bzw is eh egal da sich das windows wegen eines fehlers nicht mehr starten lässt...mal sehen was der abgesicherte modus noch machen kann....
5tyle
2005-10-05, 18:15:45
sorry.. sorry..
aber wenn ich nen trojaner auf meinem system hab..
dann spiel ich das backup ein
oder mach es neu

sonst gibts nix
weitere infos gibts beim bsi

mfg


edit:
spybot search & destroy
und
ad aware
(google hilft gerne bei beidem)
draufpacken, scannen und alles runterschmeissen.
sorry ist mir neu, dass diese programme trojaner entfernen.
alles runterschmeissen?
da würde ich einfach mal sagen du hast keine ahnung. dachte nicht, das du das ernst meinst, tut mir leid.

@threadsteller: als admin gesurft? - selbst schuld
KinGGoliAth
2005-10-05, 18:42:04
spybot und ad aware gehören einfach auf jeden rechner mit dem man im netz unterwegs ist. zusammen mit einem brauchbaren virenscanner ist das die beste möglichkeit um seinen rechner am laufen zu halten.
5tyle
2005-10-05, 18:46:57
spybot und ad aware gehören einfach auf jeden rechner mit dem man im netz unterwegs ist. zusammen mit einem brauchbaren virenscanner ist das die beste möglichkeit um seinen rechner am laufen zu halten.
kannst du auch sagen warum das so ist?
welche bedrohung hat den spybot konkret abwenden können? nen cookie? haha
KinGGoliAth
2005-10-05, 18:53:09
welche bedrohung hat den spybot konkret abwenden können?


wußte garnicht, dass ich neuerdings nachhilfelehrer bin.
mal was für dich zum schmöckern:
http://www.safer-networking.org/en/home/index.html
http://www.lavasoftusa.com/software/adaware/

edit:
@threadsteller: als admin gesurft? - selbst schuld
geistreicher kommentar. surfe selber ewig als admin. hatte noch nie irgendwelche probleme. komisch oder?
5tyle
2005-10-05, 19:12:43
geistreicher kommentar. surfe selber ewig als admin. hatte noch nie irgendwelche probleme. komisch oder?

seitdem nicht mehr als admin surfe, habe ich keine probleme mehr :P
wie soll sich ein dienst schliesslich selbst installieren, wenn du benutzer bist? wie sonst sollte das da rein kommen wo es ist [->C:\WINDOWS\system32\hp6273.tmp] verstehst du das?

und wegen spybot: es stimmt nicht das dieses Programm direkt Trojaner entfernen kann, das ist Fakt. Auf alle Fälle wurde es nicht dazu geschaffen, sondern ist ein Programm, um Spyware und Gebrauchsspuren zu löschen incl. ein bisschen WindowsVerwaltung in einem Programm.
dasselbe gilt für ad aware.

leider befindest du dich hier im irrtum, vielleicht solltest du die links mal genauer lesen. aber da du sicher keine lust dazu hast, hier mal in komprimierter form, nur um dich aufzuklären:

Neben Computerviren und Trojanern gibt es noch eine ganze Reihe weiterer schädlicher, lästiger oder gar gefährlicher Software, die sich über das Internet verbreitet: Das sind bsw. Spyware, mit der persönliche Daten über sie gesammelt werden - Dialer, die ungewollt teure Rufnummern anwählen - Tracking Komponenten, die heimlich ihr Surfverhalten aufzeichnen und weiterleiten oder auch lästige Werbeprogramme, die ständig irgendwelche Werbefenter öffnen.

Solche Schädlinge können sie sich durch die Installation mancher Freeware-Programme einfangen, aber auch beim Öffnen entsprechender E-Mail-Anhänge und sogar beim Surfen im Internet. Sie wieder los zu werden ist oft schwierig, da sich diese Programme tarnen und bewußt verstecken.

AD-Aware hilft ihnen hierbei. Das Programm kennt ca. 10.000 dieser schädlichen Programme. AD-Aware scannt ihren Arbeitsspeicher, die Registry und Festplatte, findet diese Programme und entfernt sie auf Wunsch automatisch von ihrem Rechner. Die Bedienung ist dabei denkbar einfach. Ein Assistent führt sie durch den kompletten Vorgang des Auffindens und der Deinstallation.


Wie Ad-Aware entfernt SpyBot unliebsame Spionagesoftware von ihrem Rechner. Erkannt werden ca. 10.000 Dateien und Registryschlüssel bekannter und verbreitete Spione, wie Radiate, Gator, Web3000 oder Cydoor. Zudem entfernt das Programm zusätzlich auch zahlreiche Gebrauchsspuren von ihrem Rechner auf die diese Spyware gerne zurückgreift, wie bsw. Tracking-Cookies, zuletzt besuchte Webseiten oder die Liste der zuletzt geöffneten Programme. SpyBot deaktiviert auch die Spionagefunktionen des Windows Media Players.

Anders als Ad-Aware scannt SpyBot nicht jede einzelne Datei ihres Rechners auf der Suche nach Spyware sondern überprüft vorwiegend die Registry und das Windows Systemverzeichnis, was vom Prinzip genau so effektiv ist, allerdings wesentlich schneller geht. SpyBot entfernt alle Registry-Einträge der Spionageprogramme und auch die dazugehörigen Dateien von ihrem Rechner. Mit der »Immunisierung« verhindern sie durch Sprren von Registry-Schlüsseln, das sich ca. 2.000 Spyware-Programme auf ihrem Rechner unbemerkt installieren lassen.

Im Gegensatz zu Ad-Aware, das ihre Festplatte vollständig säubert, ist SpyBot vor allem darauf bedacht, das Ausspionieren ihrer Daten zu verhindern. Deshalb werden einige Dateien der Spionageprogramme auf ihrem Rechner gelassen oder teilweise durch Dummie-Dateien ersetzt. Das hat den großen Vorteil, das sich mache Programme, die auf Spyware setzen und sich nach der Säuberung durch Ad-Aware nicht mehr starten lassen, durch den Einsatz der Dummies von SpyBot ohne weiteres weiter genutzt werden können.

http://de.wikipedia.org/wiki/Spyware
http://de.wikipedia.org/wiki/Trojanisches_Pferd_%28Computerprogramm%29

hm ich würd ma sagen... (in bezug auf dein erstes antwort post..)
http://img24.imageshack.us/img24/5233/keineahnung9qw.gif
KinGGoliAth
2005-10-05, 19:29:14
seitdem nicht mehr als admin surfe, habe ich keine probleme mehr :P


naja vielleicht liegt es auch daran, dass ich mich nicht auf solchen seiten rumtreibe wie du :biggrin:


des weiteren habe ich auch nie behauptet, dass spybot und ad aware das mittel gegen trojaner schlechthin sind. helfen könnte es allerdings schon diese werkzeuge auf dem rechner zu haben und alles runter zu schmeissen was die finden. wenn der gast schon trojaner auf dem rechner hat, treiben sich sicherlich auch noch ganz andere dinge auf seinem rechner rum.
für richtig hartnäckige fälle braucht man schon (mindestens) einen virenscanner.
mit einem programm für alles kommt man nicht aus.

wobei ich grade garnicht weiß warum ich mich zu rechtfertigen versuche.
ich muss meine glaubwürdigkeit nicht wieder herstellen. immerhin bin ich in der lage trojaner und co zu entfernen ohne den rechner platt zu machen oder ein backup zu installieren und ich schlage hilfesuchenden auch nicht vor die exe ihres virenscanners zu löschen. :rolleyes:

denk mal drüber nach ;)
Snoopy69
2005-10-06, 00:59:58
Das hat sich auch bewährt...

http://www.wintotal.de/Software/index.php?rb=31&id=1855
sei laut
2005-10-06, 02:17:29
@5tyle: Deine Kommentare helfen dem Threadsteller nur wenig (sagst, was nichts bringt aber nicht, was was bringt gegen das Problem).
@Threadstarter: Du solltest dir ein anderes Antivirenprogramm suchen. Links gibts in dem Sticky dieses Unterforums. Denn ein Antivirenprogramm, was die Trojaner nicht entfernt und wo man andere Programme benötigt, taugt nichts.

Und sollten die Trojaner immer wiederkommen und da dein Problem liegen, schalte die Systemwiederherstellung von XP aus. Geht unter Systemsteuerung -> Sytem oder nutz den abgesicherten Modus.