winlogon.exe / trojaner - SOFORTHILFE BITTE

Schaaf · 19. August 2007

mein Antivir meldet mir gerade dass es den Trojaner TR/Agent.asu.14 gefunden hat, welcher sich als winlogon.exe in meinem Temp Ordner tarnt.

Ich kann ihn mit Antivir nicht löschen oder in Quarantäne schieben, der Trojaner meldet sich sofort wieder (nachdem ich ihn per Antivir weggeklickt habe)

Wie kann ich vorgehen? Im Temp Ordner lääst sich ebenfalls nicht auf die Datei zugreifen, im Taskmanager lässt sich er der Prozess ebenfalls nicht beenden (verursacht mit 20000K doch einiges an Auslastung)

Was soll cihtun, bitte um Hilfe!

D-Keeper · 19. August 2007

Hi,

Versuch mal die Datei im abgesicherten Modus zu löschen. (Beim booten F8)

(Normalerweise müsste es gehen.

Wenn nicht, musst du wohl oder übel dein System neu aufsetzen.

MfG

DK

Bearbeitet 19. August 2007 von D-Keeper

meinereiner · 19. August 2007

über den abgesicherten modus kannst du es löschen, beim starten einfach F5 (bin mir nicht ganz sicher mit der Taste) drücken und du kommst in den Abgesicherten Modus, dann weg das teil und der fall sollte erledigt sein. Ich würde aber noch ne Sicherheitskopie machen.

19. August 2007

Lade dir bitte Dass runter und poste dein Logfile. evt ist noch mehr drauf was weg muss durch den Trojaner

Schaaf · 20. August 2007

heute 5 minuten mit dem IE6 gesurft, jetz weiß ich woher das ales kommt, und ich hab das gefühl da is einiges auf meinem pc drauf

Logfile of HijackThis v1.99.1

Scan saved at 01:59:39, on 20.08.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\system32\rundll32.exe

G:\Programme\SpeedTouch\Dragdiag.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

G:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

G:\Programme\DAEMON Tools\daemon.exe

C:\Programme\Creative\Sync Manager Unicode\CTSyncU.exe

C:\DOKUME~1\Valentin\LOKALE~1\Temp\winlogon.exe

F:\Downloads\mousometer.exe

C:\Programme\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\Canon\CAL\CALMAIN.exe

C:\Programme\MSN Messenger\usnsvc.exe

G:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE

G:\Programme\Opera\Opera.exe

C:\DOKUME~1\Valentin\LOKALE~1\Temp\mexe.com

C:\WINDOWS\explorer.exe

C:\Programme\AntiVir PersonalEdition Classic\GUARDGUI.EXE

G:\Programme\WinRAR\WinRAR.exe

C:\DOKUME~1\Valentin\LOKALE~1\Temp\Rar$EX00.578\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Dokumente und Einstellungen\Valentin\Anwendungsdaten\System,

O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - G:\Programme\FlashFXP\IEFlash.dll

O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [smcService] G:\PROGRA~1\Sygate\smc.exe -startgui

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "G:\Programme\SpeedTouch\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Zone Labs Client] "g:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [iCQ Lite] "F:\Programme\ICQLite\ICQLite.exe" -minimize

O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [DAEMON Tools] "G:\Programme\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Programme\Creative\Sync Manager Unicode\CTSyncU.exe"

O4 - HKCU\..\Run: [Firewall auto setup] C:\DOKUME~1\Valentin\LOKALE~1\Temp\winlogon.exe

O4 - HKCU\..\Run: [steam] "G:\Programme\Steam\Steam.exe" -silent

O4 - Startup: Mousometer.lnk = F:\Downloads\mousometer.exe

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://G:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

O17 - HKLM\System\CCS\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

O17 - HKLM\System\CS1\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

O17 - HKLM\System\CS2\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programme\Canon\CAL\CALMAIN.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe

O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall Pro (SmcService) - Unknown owner - G:\Programme\Sygate\smc.exe (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

20. August 2007

IE6 ist ne gute Sache, aber erst wenn du Alles eingestellt hast. Wenn du nicht weisst worauf achten, schreib ichs dir gerne rein.

Also dass sind die Einträge die du mal Fixen sollst. Versuch es normal und wenns nicht klappt noch einmal im Abgesicherten Modus. Dafür dan aber bitte deinen Rechner komplett vom Netz trennen:

Lass auch mal Dieses Programm durchlaufen nach dem du mit Hijackthis gefixt hast

C:\DOKUME~1\Valentin\LOKALE~1\Temp\winlogon.exe

C:\DOKUME~1\Valentin\LOKALE~1\Temp\mexe.com

O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)

O4 - HKCU\..\Run: [Firewall auto setup] C:\DOKUME~1\Valentin\LOKALE~1\Temp\winlogon.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)

Dass hier solltest du gut kontrollieren was Fett markiert ist. Von diesen Ip`s wird auf deinen Rechner zugegriffen. Es kann was sein dass du absichtlich hast (z.B. über Hamachi) aber es kann auch was schlechtes sein

O17 - HKLM\System\CCS\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

Kennen Sie die IP oder die Domäne '195.3.96.67 195.3.96.68' nicht, fixen.

O17 - HKLM\System\CS1\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

Kennen Sie die IP oder die Domäne '195.3.96.67 195.3.96.68' nicht, fixen.

O17 - HKLM\System\CS2\Services\Tcpip\..\{2AD9B1DF-96ED-4D31-AC23-D51FB4A75E4D}: NameServer = 195.3.96.67 195.3.96.68

O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)

Wenn du dass gemacht hast bitte die neue Logfile wieder hier posten

Bearbeitet 20. August 2007 von Da_Baleno

XXen · 20. August 2007

Ouch.... jetzt weiss ich warum ich den IE für Jahre nicht mehr angefasst habe .... Viel Glück beim entseuchen :-/

Schaaf · 20. August 2007

ich hab jetz mal im abgesicherten modus mein AntiVir arbeiten lassen, hat einiges gefunden und erfolgreich gelöscht, jetz hab ich bis jetz noch keine Fehlermeldungen bekommen, mal sehen!

Wenns weiter nicht klappt, werd ich mir das genauer anscahuen, danke für deine Hilfe Baleno!

Corsair · 20. August 2007

Ouch.... jetzt weiss ich warum ich den IE für Jahre nicht mehr angefasst habe .... Viel Glück beim entseuchen :-/

Japp !! Seit ich Opera verwende hab ich mir auch keins dieser Mistvieher mehr eingefangen

20. August 2007

ich hab jetz mal im abgesicherten modus mein AntiVir arbeiten lassen, hat einiges gefunden und erfolgreich gelöscht, jetz hab ich bis jetz noch keine Fehlermeldungen bekommen, mal sehen!

Wenns weiter nicht klappt, werd ich mir das genauer anscahuen, danke für deine Hilfe Baleno!

Jou, gern geschehen. Ich empfehle dir aber trotzdem dich mal mit den 3 O13 Einträgen zu beschäftigen. Es könnte echt etwas böses sein.

Für deine Kontrolle: mach noch ein Logfile und schau ob meine Punkte die ich erwähnt habe noch drin stehen.

Greeeetz

KwanzaBot · 20. August 2007

Hi. Ich hoffe, alles is wieder sauber und rein.

Ich möchte euch noch zwei Programme ans Herz legen. Die Helfen zwar nüx bei ausgewachsenen Viren,

vertilgen aber so gut wie alles andere: SpyGuard & SpywareBlaster. Beides Freeware.

Guten Fischzug denn noch.

RedWolf · 20. August 2007

Kenn ich, mein PC hatte mal sage und schreibe 30 Viren gehabt... allerdings war das schon n paar Jährchen her...

Auf jeden Fall würd ich auf nen anderen Browser umsteigen FireFox ist da die beste Wahl (bin vor n paar Wochen vom IE7 auf den Fuchs umgestiegen und möcht nicht mehr ohne ihn durchs Netz^^)

Schaaf · 20. August 2007

Kenn ich, mein PC hatte mal sage und schreibe 30 Viren gehabt... allerdings war das schon n paar Jährchen her...

Auf jeden Fall würd ich auf nen anderen Browser umsteigen FireFox ist da die beste Wahl (bin vor n paar Wochen vom IE7 auf den Fuchs umgestiegen und möcht nicht mehr ohne ihn durchs Netz^^)

ich benutze schon seit 4 jahren opera

habe nur mal den IE benützt, weil ich schnell was downloaden wollte, und mein opera irgnwie gerade am laden war^^

edit: hier das logfile

Logfile of HijackThis v1.99.1

Scan saved at 19:30:28, on 20.08.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

C:\Programme\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\Canon\CAL\CALMAIN.exe

C:\WINDOWS\system32\rundll32.exe

G:\Programme\SpeedTouch\Dragdiag.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

G:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\rundll32.exe

C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

G:\Programme\DAEMON Tools\daemon.exe

F:\Downloads\mousometer.exe

C:\Programme\MSN Messenger\usnsvc.exe

F:\Programme\ICQLite\ICQLite.exe

C:\Programme\MSN Messenger\msnmsgr.exe

C:\Programme\MessengerDiscovery\MessengerDiscovery Live.exe

G:\Programme\Opera\Opera.exe

F:\Programme\SFT Loader\leecher.exe

F:\Downloads\HijackThis.exe