[Janschi]

Hi alle zusammen ! Ich habe seit gestern abend das problem, dass meine Freunde in icq immer eine spammeldung bekommen in unregelmäßigen abständen.

Meldung:

" Hallo. Mir ist deine Hilfe eilig notig. Bitte sage mir nicht ab. Spater werde ich dir auf alle deine Fragen antworten, und jetzt ist es mir einfach notwendig dass du mir geholfen hast. Sende die Mitteilung mit dem Text #sax 644 (Zwischen #sax und 644 Lucke.) auf die Nummer 80888 ab. Die Mitteilung ist vollstandig kostenlos, aber du wirst mir damit sehr stark helfen. Im Voraus Danke"

Daraufhin hab ich mit kaspersky internet security 2009 einen scan durchgeführt, wobei er auch 11 mal den selben trojaner gefunden und gelöscht hat . Jetzt zeigt mir kaspersky immer die meldung, dass ein keylogger vermutet wird ( http://www.abload.de/image.php?img=cvbncvncvnbtfr.jpg ).

Hab auch das pw von meinem icq account geändert usw. und bin jetzt mit meinem latein am ende.

HijackThislog:Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:37:50, on 16.09.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\Explorer.EXE
F:\Programme\Razer\Diamondback\razerhid.exe
F:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe
F:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe
F:\WINDOWS\system32\RunDll32.exe
F:\Programme\Java\jre1.6.0_07\bin\jusched.exe
F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
F:\WINDOWS\system32\ctfmon.exe
F:\Programme\Windows Live\Messenger\msnmsgr.exe
F:\Programme\Everest Ultimate Edition v.4.50.1477 beta\everest.exe
F:\Programme\Logitech\GamePanel Software\LCD Manager\Applets\LCDMedia.exe
F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
F:\Programme\Bonjour\mDNSResponder.exe
F:\WINDOWS\system32\PnkBstrA.exe
F:\Programme\Razer\Diamondback\razertra.exe
F:\Programme\Razer\Diamondback\razerofa.exe
F:\Programme\Windows Live\Messenger\usnsvc.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system\CmSNXeye.exe
F:\Programme\Mozilla Firefox\firefox.exe
F:\Programme\ICQ6\ICQ.exe
F:\WINDOWS\system32\taskmgr.exe
F:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - F:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Diamondback] F:\Programme\Razer\Diamondback\razerhid.exe
O4 - HKLM\..\Run: [Launch LCDMon] "F:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"
O4 - HKLM\..\Run: [Launch LGDCore] "F:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] "F:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [AVP] "F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "F:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "F:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [EVEREST AutoStart] F:\Programme\Everest Ultimate Edition v.4.50.1477 beta\everest.exe
O4 - HKCU\..\Run: [ICQ] "F:\Programme\ICQ6\ICQ.exe" silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Hinzufügen zu Anti-Banner - F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://F:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - F:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - F:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - F:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - F:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programme\Messenger\msmsgs.exe
O20 - AppInit_DLLs: wbsys.dll,F:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,F:\PROGRA~1\KASPER~1\KASPER~1 \adialhk.dll,F:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - F:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - F:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - F:\Programme\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - F:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - F:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: PnkBstrA - Unknown owner - F:\WINDOWS\system32\PnkBstrA.exe

--
End of file - 6254 bytes

Danke schonmal im vorraus !

[GokuSS4]

F:\WINDOWS\system\CmSNXeye.exe ist das der medusa treiber?
wer benutzt schon icq6.. qip rauf und gut ist

[HisN]

@Fredersteller
Du vertraust einem System auf dem 11 Trojaner waren?
Durch löschen der Dateien werden vielleicht die Trojaner an sich gelöscht, aber die Änderungen die sie an Deinem System gemacht haben... werden die auch rückgängig gemacht?

Ich würde mir die 30 Minuten Zeit nehmen und das System formatieren. Nicht nur zu Deinem Schutz, sondern auch zu unserem Schutz. Und dann vielleicht in nächster Zeit mehr Brain1.0 benutzen, die Dinger kommen ja nicht "von alleine" aufs System.

[Janschi]

Zitat von GokuSS4

F:\WINDOWS\system\CmSNXeye.exe ist das der medusa treiber?
wer benutzt schon icq6.. qip rauf und gut ist

Das ist ein soundtreiber von meinem trust usb headset . Und ich hatte quip drauf als die nachrichten verschickt wurden . Hab quip gelöscht um sicher zu gehen, dass von dem programm nix infiziert ist .

[GokuSS4]

formatier einfach und gut ist.. beste methode!

[Janschi]

was ist eigentl. mit meinem 2ten windows, was ich auf einer anderen Partition installiert habe ? Wie hoch ist die warscheinlichkeit, dass das auch mit infiziert ist ?

[Dr. Wuah]

mh...genau kann man das nicht sagen. Aber es ist schon wahrscheinlich...es kommt ja eigentlich auf den Virus / Trojaner an.