Computerhilfen.de Logo
Forum
Tipps
News
Frage stellen

TR/Dldr.WinSh.AC.05

Hallo hab ein Problem,

bei mir hat sich etwas eingenistet, was mein AntiVirProgramm als "TR/Dldr.WinSh.AC.05" bezeichnet.
Angeblich befindet sich der Code des Virus in einer Datei namens "SFOTP.dll" - wofür ist diese eigentlich gut ? (nebenfrage)
AnTiVir schlägt jedes mal aus wenn ich ein InternetExplorerFenster öffne also wenn ich online bin ! und das kann ganz schön nerven. Habe mir als alternative Mozilla gedownloaded, ich will aber trotzdem das der IE wieder ohne Probleme läuft. Achja und meine GoogleToolbar verschwindet seit diesem Problem auch immer wieder, hängt wahrscheinlich mit dem Problem zusammen.
Habe alles durchprobiert jedoch ohne Erfolg..
Helft mir bitte weiter hier meine aktuelle hijackthis log (hab schon einiges gefixt aber geht noch nicht):

Logfile of HijackThis v1.97.7
Scan saved at 06:48:36, on 15.06.2004
Platform: Windows ME
MSIE: Internet Explorer v5.50

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\CRUO32.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\ATIPTAXX.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\NETMB32.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\t-online\BSW4\ONLINE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\T-ONLINE\BSW4\TODUCALC.EXE
C:\PROGRAMME\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.t-online.de/software/ie50/setpxy.pac
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.btx.dtag.de:80;ftp=ftp-proxy.btx.dtag.de:80
O2 - BHO: (no name) - {62160EEF-9D84-4C19-B7B8-6AC2526CD726} - C:\WINDOWS\SYSTEM\ICILOTA.DLL (file missing)
O2 - BHO: (no name) - {B9D90B27-AD4A-413a-88CB-3E6DDC10DC2D} - C:\WINDOWS\MSOPT.DLL (file missing)
O2 - BHO: (no name) - {69535ABC-0AE9-CD1D-1A43-88C6797D9B6E} - C:\WINDOWS\ADDRV.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [dfueconf] C:\Programme\Eumex\dfueconf.exe
O4 - HKLM\..\Run: [OmgStartup] C:\Programme\Gemeinsame Dateien\Sony Shared\OpenMG\OmgStartup.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [NETMB32.EXE] C:\WINDOWS\NETMB32.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [CRUO32.EXE] C:\WINDOWS\CRUO32.EXE
O4 - Startup: CAPI Control.lnk = C:\Programme\Eumex\Capictrl.exe
O4 - Startup: HomeNet Control.lnk = C:\Programme\Eumex\HNetCtrl.exe
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: MSN Messenger Service (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Bitte wieder in verständlicher Sprache was zu tun ist, bin kein Profi :o)
Danke für eure Hilfe !



Antworten zu TR/Dldr.WinSh.AC.05:

ich nochmal... hab R1+R0+O2 gefixt.. das problem ist dann nur für eine sehr kurze zeit behoben...
antivir schlägt danach wieder aus diesesmal zeigt er nicht mehr die sfotp.dll an sondern immer wieder neue dateien mit dem dateianhang .dll (nach jedem mal erscheinen wieder neue O2)

scheint ein neues problem zu werden.. im internet steht (noch)nicht viel darüber. und es macht sich ratlosigkeit breit bei denen die sich dieses teil eingefangen haben. sowas hartnäckiges hab ich noch nicht gesehen. wenn mir jemand helfen kann biittteee melden !!!

es ist schon traurig wie das internet mißbraucht wird und leute die es positiv nutzen wollen mit solchem mistkram aufgehalten werden !

Hallo Leute ich glaube ich habe gute Nachrichten  ;D

AntiVir schlägt nicht mehr aus und ich glaube das Ding ist besiegt nachdem ich nun mein System manuell von dem Schädling bereinigt habe. AnitSpySoftware konnte bei dem Problem nicht helfen.

Der Schlüßel zu dem ganzen ist der Ordner in dem die ganzen .dll und .dat abgelegt werden und der Zeitpunkt an dem sich der Schädling ins System einnistet. Der Schädling befindet sich in einer .exe Datei.

Trotzdem danke für euer gehör... naja die meisten werden auf der Arbeit oder in der Schule sein. :-)

bye

Hi!

Ich hab genau das gleiche Problem und noch dazu das, das ich vom "wilden rumgefixe" keine Ahnung habe!
Also bitte ansagen, wo ich was klicken schreiben oder sonstwas muss und nicht dieses Fix-gefachsimple!
Also bitte ne Beschreibung für nen naja halt Tropentoni :-\!

Danke

hi Maus82,
dann sag uns doch, in welcher exe.datei der Teufel liegt. Ich möchte ihn auch loswerden. :-[

Problem ist auch bei mir aufgetreten

Windows Warnmeldung!!!

c:\Window\system32\FEVNZ.dll

vielleicht hilft das weiter bei der such ich probiers auch weiter und melde mich wieder wenn ich was neues weis

Gruß @ all

Hallo zusammen.

So wie es aussieht, werden die infizierten DLL Dateien mit einem zufälligen Namen im Verzeichnis C:\Windows erzeugt (damit man im Internet nicht so einfach nach einer Lösung suchen kann). Meine Infektion scheint am 31.05. stattgefunden haben. Ich möchte euch bitten mal herauszufinden, wann eure Infektion stattgefunden hat und dann euren PC nach allen Dateien von diesem Datum zu durchsuchen. Somit könnten wir das Problem vielleicht eingrenzen.
Ich habe zu diesem Zeitpunkt die Programme FreeCiv (ein freier Civilisation-Clone) und SmartFTP (ein Shareware FTP-Client) installiert. Hat vielleicht jemand etwas ähnliches installiert?

Hier nochmal das vorgehen, für die, die nicht wissen, wie man Dateien eines bestimmten Datums sucht:
1) AntiVir meldet den Fund von TR/Dldr.WinSh.AC.05 in einer bestimmten Datei (bei jedem wahrscheinlich leider eine andere). Diese notiert man sich (inkl. dem Verzeichniss in dem diese sich befindet).
2) Dann wechselt man mit dem Explorer in dieses Verzeichniss und stellt die Darstellung auf Detail-Ansicht, damit wir das Erstellungsdatum der Datei herausfinden können. Nun die Datei in der Liste suchen und das Datum notieren.
3) Andere Dateien/Verzeichnisse des selben Datum suchen (XP):
-> Start
-> Suchen
-> Nach Dateien oder Ordnern ...
-> Dateien oder Ordnern
-> Wann wurde die Datei geändert
-> Datumsangabe
-> In "Von" und "Bis" das gleiche Datum, nämlich das der gefundenen Datei eintragen
-> Suchen

Wie gesagt, vielleicht gibt uns das Aufschluss über die Herkunft.

Nachdem ich AntiVir nochmals per InternetUpdate aktualisiert habe, habe ich noch folgende Dinge gefunden:

---
C:\System Volume Information\_restore{4033AB79-F80E-45FE-A1ED-BF5414E646E2}\RP170
  A0016306.exe
      [FUND!] Enthält Signatur des Wurmes Worm/Kindal
      WURDE GELÖSCHT!
  A0016315.DLL
      [FUND!] Ist das Trojanische Pferd TR/Dldr.WinSh.AC.05
      WURDE GELÖSCHT!
  A0016316.dll
      [FUND!] Ist das Trojanische Pferd TR/Dldr.WinSho.AF.1
      WURDE GELÖSCHT!
---

Außerdem wurde mir mittgeteilt (leider aber nicht protokolliert), dass die durch diesen Trojaner veränderten Registry Einträge auf ihre Standard Einstellung zurückgesetzt wurden. Man könnte vermuten, es sei alles entfernt worden, aber ich trau dem Braten noch nicht ganz. Da dies ein sehr neues Problem ist, meine Empfehlung nochmal:

Auf jedenfall vorher von AntiVir das InternetUpdate starten!

Wer AntiVir nicht hat, lädt es sich von http://www.antivir.de herunter (Personal Edition suchen).

Postet eure Erfahrung,
Richard

Hi,
ich hab all diese Dateien nicht, hab aber den Trojaner trotzdem. Der versteckt sich irgendwo und zündet immer wieder neu! :-[

Hi,  noch ne Frage:
Wo löscht man eigentlich die ungewollten Startseiten heraus. Ich will google und nun kommt immer so eine blöde andere Seite (seit ich diesen Trojaner habe). Ein Löschen in Internetoptionen hilft nichts.
Kann mir jemand helfen?

Hi, noch ne Frage:
Wo löscht man eigentlich die ungewollten Startseiten heraus. Ich will google und nun kommt immer so eine blöde andere Seite (seit ich diesen Trojaner habe). Ein Löschen in Internetoptionen hilft nichts.
Kann mir jemand helfen?

Hallo mopiko,

das ist ja gerade eine der Auswirkungen dieses Trojaners. Solange Du ihn nicht komplett entfernt hast, kannst Du Deine Startseite im IE beliebig oft neu setzen ohne das Du einen Effekt erreichst.

Ich hab das Teil auch seit heute.

Bei mir heißt die erzeugte DLL "sqgha.dll".

Hab dann mal nach einer EXE gesucht, die heute erstellt wurde. Es gab nur einen Treffer namens "sdkmh.exe".

Hab schon versucht das Dingen zu löschen, aber die installiert sich immer wieder neu ins Verzeichnis C:\Windows.

Habe WindowsXP Prof.

Hi Richard,
danke.
Richtet dieser Trojaner eigentlich  noch mehr
schäden an, als dass er die Startseite ändert?
Wird Antivir dieses Problem nie lösen?
Anscheinend heißt der Trojaner bzw. die .dlls bei jedem anders.

Hi

nochmals ne dumme Frage:

Was versteht man unter " fixen" und wie geht es? :-\

Also wenn der Virenscanner ihn findet->abgesicherter Modus-> systemwiederherstellung abschalten->System scannen->Datein werden vom AV entfernt

Spywqre-Tools drüberlaufen lassen um die Registry-Einträge zu fixen

Gruß

Hi Ihr alle,

ich bin ja gerade keine Hilfschülerin. Aber auch keine PC Spezialistin.
Ich´hab mir nun diesen Trojaner eingefangen und Antivir zeigt ihn mit jede Minute.

Kann mir jetzt jemand -ganz normal verständlich- erklären, was ich tun kann? Bitte keine Abkürzungen und genaue Anweisungen- oder kann das keiner?
Bitte helft mir
Solara :-X


« IP-AdresseScheiss Trojaner »
 

Schnelle Hilfe: Hier nach ähnlichen Fragen und passenden Tipps suchen!

Fremdwörter? Erklärungen im Lexikon!
Quellcode
Ein Quellcode, auch als Quelltext bekannt, bezeichnet einen unkompilierten Programm-Code einer Software. Der Quellcode ist meist in einer der verbreiteten Programmierspra...

Unicode
Ein Unicode ist ein "Einheitsschlüssel", der als internationaler Standard gilt. Unicode ist ein digitaler Zeichensatz zur Darstellung von weitestgehend jedem Schrift...

QR-Code
Die Abkürzung QR steht für "Quick Response" und besteht aus einer quadratischen Matrix mit schwarzen und weißen Punktren. Zudem sind auch Striche zu sehen...