kack virus über msn "is that u?" – Seite 2

Hey Leutz^^

@ xanti: Da du so viel Malware an Board hast, ist es die Beate Lösung das System neu aufzusetzen! Nimm als Virenscanner entweder den kostenlosen Kaspersky Scanner oder kaufe dir gleich ein vollständiges Vollprodukt wie z.B die Security Suite von G-Data AVK 2007!

@dreherundco: Bei dir wäre es für den Anfang wichtig dass du einen Scan mit Hijackthis machst und das komplette Logfile hier reinstellst.
Dann lade dir den kostenlosen Scanner von  www.kaspersky.de runter und führe einen Scan durch. Die gefundene Malwarebezeichnungen mir bitte auch posten , dann sehen wir weiter was ich für dich tun kann.

Sir Mannor

ok das neu aufsetzten war nicht nötig...hab mir 6 oder 7 programme runtergeladen und im abgesicherten modus mit abgeschalteter systemwiederherstellung laufen lassen...hat etwa 30 min gedauert, danach im normalen modus gestartet, systemherstellung wieder rein und nun ist alles weg! die programme waren:
-CCleaner
-AVG Antispyware
-ewido micro
-CWshredder
-spybot search and destroy
-Ad Aware SE personal

Naja ich war so verzweifelt dass ich einfach alles hab durchsuchen lassen und wie man sieht hatte ich erfolg! Ich danke euch, ihr wart mir eine grosse Hilfe!

Hi zusammen!

Hatte das gleiche Problem wie einige Andere.
Nach einigen Virenlöschaktionen und schlussendlich dem Starten im Abgesischerten Modus (http://www.bsi.de/av/texte/wiederher.htm) funzt alles wieder! 

Eine Frage die mich immernoch beschäftigt ist jedoch wie und von wem der Virus gesendet wird.
Ist da ein Virus im Messanger der einfach einzelne Kontakte benutzt um sich weiterzuverbreiten oder ist die Person sich bewusst wenn sie diesen Link weiterverbreitet?

Falls jemand mehr weiss: Danke im Voraus

hallo Gfischt,

 

wie und von wem der Virus gesendet wird.

das erste kann ich dir beantworten aber das zweite nicht. Wie auch, woher soll man denn wissen wer den verbreitet? Also, der Virus wird über eine Lücke in deinem so tollen Messenger verbreitet und man sollte nach so einem Zwischenfall auf jeden Fall auf die nächste Version (falls eine vorhanden ist) springen. In diesem Virus ist ein Mechanismus einprogrammiert,der
andere Rechner z.B durch Kontaktlisten infiziert und....

Sir Mannor

hey hab gerade eine datei von einem kollegen bekommen (myalbum2007.zip) in der eine datei war mit meinalbum.scr
nach dem öffnen ist mir klar geworden das es ein virus trojaner was auch immer ist da er sich anscheinend an andere kontakte der msn liste selber verschickt hat!
hab msn deinstalliert und antivir zeigt was an von wegen install/ghost.exe...

einer ne idee was ich tun kann?
hab kein plan

Ggf zuerst das mal versuchen .:
HijackThis incl Auswertung mit Bildern :
http://www.computerhilfen.de/hilfen-17-235710-0.html
Log oder Zusammenfassung  ggf hier posten.

-------------------------------------------------------------------------------------------------------------

Im Normalmodus sind etliche Dateien gesperrt .
Darum : Virenscan unbedingt immer im abgesicherten Modus  !

Vor dem Scan dort unter SYSTEM die Systemwiederherstellumg AUS ,
(vorsicht, alle Punkte sind dann weg)
Virenscan machen  & ggf Adwarscan mit Spybot S&D oder Adware-SE
Systemwiederherst. wenn OK = wieder AN
Normalstart
 

 

antivir zeigt was an von wegen install/ghost.exe...

Diese Datei wird von AntiVir derzeit nur über die Heuristik erkannt. Die Datei wurde bereits von einem anderen User an das Virenlabor von Avira geschickt. Diese prüfen die Datei und geben eine entsprechende Signatur aus.

...das mal so zur Info...

MfG

danke schonmal
wo bekomm ich die systemwiederherstellung aus?

Hallo,

Schau mal hier. Da ist alles dazu erklärt.

http://www.bsi.de/av/texte/wiederher.htm

mfg Bernd

Logfile of HijackThis v1.99.1
Scan saved at 12:28:34, on 03.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
D:\Programme\adaware\aawservice.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LVComsX.exe
D:\Programme\Hijack This\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.partygandalf.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - D:\Programme\snagit\SnagItBHO.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar4.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - D:\Programme\snagit\SnagItIEAddin.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar4.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Programme\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATSwpNav] "C:\Programme\Fingerprint Sensor\ATSwpNav" -run
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [LaunchAp] "C:\Programme\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [HotkeyApp] "C:\Programme\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Programme\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Programme\Launch Manager\OSD.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [InstantOn] "C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe /c "
O4 - HKLM\..\Run: [OmniPass] C:\Programme\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\cam\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\cam\LogiTray.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Photo Downloader] "D:\Programme\adobde\photoshop\apdproxy.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [XM2002] D:\Programme\camkram\XM2002.exe -auto
O4 - HKLM\..\Run: [ICQ Lite] "D:\Programme\icq\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [iTunesHelper] "D:\Programme\IPOD\iTunesHelper.exe"
O4 - HKCU\..\Run: [AOLMIcon] C:\Programme\Gemeinsame Dateien\AOLSHARE\AOLMIcon.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] C:\Programme\cam\ManifestEngine.exe boot
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Programme\icq\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\office2000\Office\OSA9.EXE
O4 - Global Startup: Scanner Finder.lnk = D:\Programme\Scanner\scanwizard\ScannerFinder.exe
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\SPIELE\partypoker\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\SPIELE\partypoker\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\icq\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\icq\ICQLite\ICQLite.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - D:\Programme\camkram\XM2002.exe (file missing)
O9 - Extra 'Tools' menuitem: &XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - D:\Programme\camkram\XM2002.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {DAA3903C-AC88-4D16-B050-F21EB1F79BE6} - http://www.medionshop.de/ (file missing) (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {45A0A292-ECC6-4D8F-9EA9-A4BD411D24C1} (king.com) - http://turnier.freenet.de/ctl/kingcomie.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: OPXPGina - C:\WINDOWS\
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: system32 - {F678B6D3-991D-4E84-B224-AD1AD8E523A8} - sysprinters.dll (file missing)
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - D:\Programme\adaware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Active File Monitor V4 (AdobeActiveFileMonitor4.0) - Unknown owner - D:\Programme\adobde\photoshop\PhotoshopElementsFileAgent.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Programme\Softex\OmniPass\Omniserv.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe




ist jetzt alles ok ??

Hallo,
du hast den MSN Wurm noch immer ...der ist auch mit keinen bekannten Methoden wegzubringen !!
Außer einer Neuinstallation hilft genau gar nix !!
Ich kann ihn deutlich in deinenm Logfile ausmachen...
Willst du warten ,bis sämtliche deine Kontakte dich nie wieder anschreiben ?
Oder wartest du darauf ,das dich dein Provider vom Netz trennt ?
Sir Reklov

@ peterpenner

Und nicht das Du glaubst, Sir Reklov könnte ja viel erzählen wenn der Tag lang ist...

 

O21 - SSODL: system32 - {F678B6D3-991D-4E84-B224-AD1AD8E523A8} - sysprinters.dll (file missing)

Das ist er.... und das "(file missing)" entspricht leider nicht der Tatsache.

Also, das einzig Richtige in Deinem Fall ist das Formatieren Deiner Systempartition und neu Aufsetzen des Betriebssystems.

Nochmal als Gedankenanregung ein kleiner Hinweis, was ein Backdoor-Trojaner ist...

Was ist ein Backdoor-Trojaner/Bot-Wurm?

Ein Bot-Wurm enthält Backdoor-Trojaner-Funktionalität, die unbefugten Fernzugriff auf den infizierten Computer ermöglicht.

Ein Backdoor ist ein Programm, mit dem ein Angreifer die vollständige Kontrolle über ein fremdes Betriebssystem übernehmen kann. Daher ist ein Betriebssystem, bei dem ein Backdoor entdeckt worden ist, als kompromittiert anzusehen.

In so einem Fall hilft nur noch ein neu Aufsetzen des Betriebssystems (Hilfe-1 und Hilfe-2) und ein Überdenken des bisherigen Sicherheitskonzepts (hier lesen).
Zudem kommt, dass man alle auf dem System verwendeten bzw. gespeicherten Passwörter als nicht mehr vertrauenswürdig ansehen sollte und diese dementsprechend geändert werden müssen!

Evtl. kann man den Backdoor selbst ja noch relativ einfach entfernen. Die Löcher, welche der Backdoor ins System gerissen hat, sind aber nahezu unmöglich aufzuspüren und somit leider auch nicht zu entfernen!
Über diese Löcher kann dann jederzeit das System erneut infiziert werden, die Kontrolle über das System erneut übernommen werden und das System kann so weiterhin für illegale Aktivitäten genutzt werden.

Aufgrund der wahrscheinlich vorgenommen Manipulationen steht der Aufwand eines Versuchs der vollständigen Beseitigung der ins System gerissenen Löcher in keinem Verhältnis zum Ergebnis.

Das Betriebssystem neu aufzusetzen ist in so einer Situation auf jeden Fall deutlich schneller, weniger aufwendig und wesentlich sicherer als ein Versuch der Bereinigung aller ins System gerissenen Löcher.

MfG

Tja , wenn man ein sauberes Image hätte mit allen installierten Programmen .....