mehrere viren!

[suffer]

so habe mehrere viren gefunden und mich interessiert ob jemand weiss was diese genau bewirken. habe ein wenig gegooglet aber nach den KIMS ergebnissen ist nicht ganz klar was es ist. hier die ergebnisse (zur übersicht nur die avs die was gefunden haben):

Avast_Antivirus_Profesional_4.7.8.rar
runtergeladen bei chip.de!
AntiVir 7.6.0.65 2008.02.14 TR/Vundo.DWL.2
AVG 7.5.0.516 2008.02.13 SHeur.ANKW
BitDefender 7.2 2008.02.14 Trojan.Vundo.DWL
CAT-QuickHeal None 2008.02.13 TrojanDownloader.Small.hta
ClamAV 0.92 2008.02.14 Trojan.Vundo-947
DrWeb 4.44.0.09170 2008.02.14 Trojan.Mezzia.84
eSafe 7.0.15.0 2008.02.13 Win32.Dialer.yz
F-Secure 6.70.13260.0 2008.02.14 Trojan.Win32.Dialer.yz
Ikarus T3.1.1.20 2008.02.14 Trojan-Downloader.Win32.Small.hta
Kaspersky 7.0.0.125 2008.02.14 Trojan-Downloader.Win32.Small.hta
McAfee 5229 2008.02.13 New Malware.br
Microsoft 1.3204 2008.02.14 Dialer:Win32/Obfp.A
Panda 9.0.0.4 2008.02.14 Suspicious file
Prevx1 V2 2008.02.14 Heuristic: Suspicious File With Covert Attributes
Sophos 4.26.0 2008.02.14 Troj/Virtum-Gen
Sunbelt 2.2.907.0 2008.02.14 Trojan.Mezzia.CY
Symantec 10 2008.02.14 Trojan.Vundo
TheHacker 6.2.9.219 2008.02.13 Trojan/Downloader.Small.hta
VBA32 3.12.6.1 2008.02.14 Trojan-Downloader.Win32.Small.hta
VirusBuster 4.3.26:9 2008.02.13 Adware.Vundo.V.Gen
Webwasher-Gateway 6.6.2 2008.02.14 Trojan.Vundo.DWL.2

unp133575940.tmp
im avast ordner die install datei von avast persöhnlich runtergeladen wegen den obrigen ergebnissen von der avast install von chip.de
AntiVir 7.6.0.65 2008.02.14 HEUR/Damaged
CAT-QuickHeal None 2008.02.13 (Suspicious) - DNAScan
Prevx1 V2 2008.02.14 Heuristic: Suspicious Self Modifying File
Webwasher-Gateway 6.6.2 2008.02.14 Heuristic.Damaged

ssqro.dll
gefunden in C:\windows\system32
ausserdem immer wenn gelöscht ist sie meistens nachm restart wieder da.
AhnLab-V3 2008.2.14.11 2008.02.14 Win-Trojan/Agent.331776.P
AntiVir 7.6.0.65 2008.02.14 TR/Vundo.Gen
AVG 7.5.0.516 2008.02.13 Lop
BitDefender 7.2 2008.02.14 Trojan.Vundo.DXO
ClamAV 0.92 2008.02.14 Trojan.Vundo-1116
DrWeb 4.44.0.09170 2008.02.14 Trojan.Virtumod.268
eTrust-Vet 31.3.5536 2008.02.14 Win32/Vundo.LW
F-Prot 4.4.2.54 2008.02.13 W32/Virtumonde.G.gen!Eldorado
F-Secure 6.70.13260.0 2008.02.14 Vundo.gen53
Ikarus T3.1.1.20 2008.02.14 Trojan.Vundo.DXO
Kaspersky 7.0.0.125 2008.02.14 not-a-virus:AdWare.Win32.Virtumonde.gen
McAfee 5229 2008.02.13 Vundo
Microsoft 1.3204 2008.02.14 Trojan:Win32/Vundo.gen!A
Norman 5.80.02 2008.02.13 Vundo.gen53
Panda 9.0.0.4 2008.02.14 Spyware/Virtumonde
Prevx1 V2 2008.02.14 Trojan.Vundo
Sophos 4.26.0 2008.02.14 Troj/Virtum-Gen
Symantec 10 2008.02.14 Trojan.Vundo
VirusBuster 4.3.26:9 2008.02.13 Adware.Vundo.V.Gen
Webwasher-Gateway 6.6.2 2008.02.14 Trojan.Vundo.Gen

zusätzlich hatte ich vor kurzem den berühmten scvhost.exe prozess im taskmanager. vorher allerdings den typischen Taskmanager, cmd und regedit lock der allerdings relativ einfach zu beheben ist. ihr wisst denke ich mal das dieser prozess ein cia.backdoor ist denjenigen habe ich zurückverfolgt und angezeigt, wobei er auch nicht sehr viel erfahrung hat wenn er den prozess schon so nennt^^ wer wissen möchte wie man disabled regedit,takmanager und cmd wieder aktiviert kann sich melden gibt ein schönes video darüber für alle die es noch nicht wissen. falls ich noch mehr finde sage ich bescheid. Hijack logfile folgt


-------



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:14:28, on 14.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\netdde.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\clipsrv.exe
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\Programme\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
D:\Steam\Steam.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe
c:\programme\avira\antivir personaledition classic\avscan.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashSimpl.exe
C:\PROGRA~1\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ngohq.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ngohq.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.d ll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SWEETIE - {1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} - C:\PROGRA~1\MACROG~1\SWEETI~1\toolbar.dll
O2 - BHO: (no name) - {23D6A7D8-7BF3-4432-8EE2-1685D45A7FEB} - C:\WINDOWS\system32\ssqro.dll (file missing)
O2 - BHO: (no name) - {38CE0322-C0EB-4ED1-B314-AD96960ABAFB} - C:\WINDOWS\system32\gebcc.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {8CD034DD-E9AD-47D3-8689-51886345799C} - C:\WINDOWS\system32\tuvwwwu.dll (file missing)
O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\yhlujzan.dll (file missing)
O2 - BHO: {9d38c37b-ca73-1369-dc54-7f9982ed9b5e} - {e5b9de28-99f7-45cd-9631-37acb73c83d9} - C:\WINDOWS\system32\jxqvrrlj.dll (file missing)
O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programme\Macrogaming\SweetIMBarForIE\toolbar.d ll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide3] cmd.exe /C rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide1] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETZWERKDIENST')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{5BF6D1AA-46BB-4BFC-A760-28C2B903DEE9}: NameServer = 89.246.64.8 62.220.18.8
O20 - Winlogon Notify: tuvwwwu - tuvwwwu.dll (file missing)
O20 - Winlogon Notify: yhlujzan - yhlujzan.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Programme\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

--
End of file - 7236 bytes

 

[Boogeyman]

Schau mal hier:

Wie entfernt man den Trojan Vundo

 

[suffer]

dir ist schon klar das der download link nicht funzt oder?!

 

[niz]

Wasn das überhaupt für ein Ton? Du willst was vom Forum! Wenn du alles besser weißt, sollte die Benutzung von Google doch wohl auch drin sein... Hier ein funzender Link: http://www.softpedia.com/get/Antivirus/VundoFix.shtml

 

[suffer]

ich wollte nichts weiter als darauf hinzuweisen. ich habe das tool schon gegooglet so schlau war ich auch... sry wenn ich dich irgendwie angegriffen habe so war es aber nicht gemeint...

 

[markus1234]

Dir sollte klar sein dass Moderatoren und Administratoren ihren Standpunkt auf dieser Ebene der Kommunikation durchsetzen müssen, da wir sonst in einem nicht-moderiertem Chaos agieren müssen.
Es sind reale Menschen die deine Nachrichten lesen und darauf antworten, Ihre Zeit für dich geben.

Daraufhin noch eine Warnung bzgl. deines Problems: Manche Nutzer haben sich mit diesem Removal-Tool ihr System zerschossen, sichere also deine Daten davor ..

mfg,
Markus

 

[werkam]

Hier kannst Du nachlesen was welche Viren machen und wie man sich schützen kann.
http://www.symantec.com/de/de/norton/security_response/threatexplorer/threats.jsp

 

[suffer]

joa ist auch in ordnung akzeptiere das und wünsche es auch aber möchte nur trotzdem klar stellen was ich meine^^

 

[Saiga]

Ehm ich würd mal sagen jemand hat ein paar Passwörter von dir
Also löschen und sofort ÄNDERN !!