Win32.TrojanDownloader.NewMedia - Malware

[RoedA]

Hallo liebe Community,

seit 2 Tagen nervt mich jetzt schon dieser verdammte Trojaner. Habe einen Scan mit Ad-Aware gemacht und der hat diesen auch aufgespürt, jedoch kann er ihn wohl nicht entfernen, denn er besteht immer noch und taucht auch beim Scan immer wieder auf. Es ist sowas von nervig. Könnt ihr mir da irgendwie helfen?

Danke schon mal im Vorraus.

 

[Boogeyman]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

1.Hijackthis Logfile erstellen lassen und hier posten
HijackThis
2. Systemwiederherstellung deaktivieren
Systemwiederherstellung deaktivieren
3.Mit deinem Virenscanner im abgesicherten Modus scannen lassen. Ad Aware ist auch kein richtiger Virenscanner4
4. mal einen Online Scan mit diversen Scannern machen.
[HowTo] Malware / Spyware entfernen

9b Online Virenscanner

 

[markus1234]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Komm bitte nicht auf die Idee das Teil zu löschen .. Erstelle ein HiJackThis-Logfile und warte ab.
Erst muss die Datei auf Virustotal.com überprüft werden, dann folgen weitere Schritte.

Evtl. ist dein System schon kompromittiert (weitere Infos nach Virustotal Ergebnis), stell dich auf eine Neuinstallation und die anschließende Änderung aller Onlinebanking-Daten und Passwörter ein.

mfg,
Markus

 

[RoedA]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Danke für eure Antworten. Hier der HiJackThis Log File:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:04:23, on 04.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\SAMSUNG\FW LiveUpdate\Liveupdate.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\SatSrv.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Opera\Opera.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Steganos Password Manager AutoFill - {1427A821-7B93-4F08-9A34-9FA03A3D93DB} - C:\Programme\Steganos Security Suite 2007\PasswordManagerBHO.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O2 - BHO: MSVPS System - {E6E59F48-7BF8-4BEE-B906-273526C25DA4} - C:\WINDOWS\advrepvto.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Programme\Styler\TB\StylerTB.dll
O3 - Toolbar: The NetworkControl - {3B28B033-8C1B-47DE-803D-3CF3AAE2CD20} - C:\WINDOWS\sdrmod.dll
O4 - HKLM\..\Run: [Name of App] C:\Programme\SAMSUNG\FW LiveUpdate\Liveupdate.exe
O4 - HKLM\..\Run: [eTrustPPAP] "C:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O21 - SSODL: hupsrv - {3D6CE6D1-2051-45AD-85B4-D9DCC46AEE1A} - C:\WINDOWS\hupsrv.dll
O21 - SSODL: bindmod - {13C22B69-781C-410B-BCF1-B772EBE9EACA} - C:\WINDOWS\bindmod.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: Steganos AntiTheft (SatSrv) - Unknown owner - C:\WINDOWS\system32\\SatSrv.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 8222 bytes
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:04:23, on 04.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\SAMSUNG\FW LiveUpdate\Liveupdate.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\SatSrv.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Opera\Opera.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Steganos Password Manager AutoFill - {1427A821-7B93-4F08-9A34-9FA03A3D93DB} - C:\Programme\Steganos Security Suite 2007\PasswordManagerBHO.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O2 - BHO: MSVPS System - {E6E59F48-7BF8-4BEE-B906-273526C25DA4} - C:\WINDOWS\advrepvto.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Programme\Styler\TB\StylerTB.dll
O3 - Toolbar: The NetworkControl - {3B28B033-8C1B-47DE-803D-3CF3AAE2CD20} - C:\WINDOWS\sdrmod.dll
O4 - HKLM\..\Run: [Name of App] C:\Programme\SAMSUNG\FW LiveUpdate\Liveupdate.exe
O4 - HKLM\..\Run: [eTrustPPAP] "C:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [StartCCC] C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O21 - SSODL: hupsrv - {3D6CE6D1-2051-45AD-85B4-D9DCC46AEE1A} - C:\WINDOWS\hupsrv.dll
O21 - SSODL: bindmod - {13C22B69-781C-410B-BCF1-B772EBE9EACA} - C:\WINDOWS\bindmod.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: Steganos AntiTheft (SatSrv) - Unknown owner - C:\WINDOWS\system32\\SatSrv.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 8222 bytes

 

[Andy4]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php...MjI6Ojg5&lid=2

O2 - BHO: MSVPS System - {E6E59F48-7BF8-4BEE-B906-273526C25DA4} - C:\WINDOWS\advrepvto.dll

O3 - Toolbar: The NetworkControl - {3B28B033-8C1B-47DE-803D-3CF3AAE2CD20} - C:\WINDOWS\sdrmod.dll

O21 - SSODL: hupsrv - {3D6CE6D1-2051-45AD-85B4-D9DCC46AEE1A} - C:\WINDOWS\hupsrv.dll

O21 - SSODL: bindmod - {13C22B69-781C-410B-BCF1-B772EBE9EACA} - C:\WINDOWS\bindmod.dll

O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

O2 - BHO: MSVPS System - {E6E59F48-7BF8-4BEE-B906-273526C25DA4} - C:\WINDOWS\advrepvto.dll

O3 - Toolbar: The NetworkControl - {3B28B033-8C1B-47DE-803D-3CF3AAE2CD20} - C:\WINDOWS\sdrmod.dll

O21 - SSODL: hupsrv - {3D6CE6D1-2051-45AD-85B4-D9DCC46AEE1A} - C:\WINDOWS\hupsrv.dll

O21 - SSODL: bindmod - {13C22B69-781C-410B-BCF1-B772EBE9EACA} - C:\WINDOWS\bindmod.dll

O21 - SSODL: bindmod - {13C22B69-781C-410B-BCF1-B772EBE9EACA} - C:\WINDOWS\bindmod.dll

24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

 

[RoedA]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Aja, danke dir.

Aber was soll ich jetzt damit machen?

 

[Andy4]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Die Einträge markieren und auf Fix Check klicken. Danach den Computer neustarten.

Gruß Andy

 

[RoedA]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Danke

Hab ich jetzt gemacht, aber es ging nur ein Eintrag (O3 - Toolbar: The NetworkControl - {3B28B033-8C1B-47DE-803D-3CF3AAE2CD20} - C:\WINDOWS\sdrmod.dll) weg.

 

[markus1234]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Völlig falsche Beratung ..

Warscheinlich ein Backdoor, insofern ist das System kompromittiert.
Um sicherzugehen wrid dir nix anderes übrig bleiben, als das System neu aufzusetzen.

@andy4 bitte zurückhalten oder zumindest eine Virustotal.com Prüfung abwarten.

mfg,
Markus

 

[olympiakos]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Lade dir, bevor Du weiter am Computer arbeitest "Peergardian" und von hier die "Trojan-Portlist".

Peergardian ist ne Art Firewall und Blockt IPs und Trojan-Ports

Eine neuinstallation wäre aber das beste

 

[Andy4]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

@markus1234: Du bist aber ganz schön auf deinem Virustotal tripp oder? Bevor du jetzt meinst, dass sein System komprometiert sei, schau dir die Daten doch mal an? Such danach, was wirst du finden?

Ansonsten sind diese Dateien, die ich genannt habe unbekannt!
@RoedA: Versuch die Daten im Abgesicherten Modus zu entfernen.

Gruß Andy

 

[olympiakos]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Wenn man schon Daten verhindern will, dass sie starten sollte man schon ein Professioneleres Tool, als Hijackthis nehmen wie z.B Autostart

 

[RoedA]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Danke euch allen erstmal.

Werde erstmal alle eure Sachen ausprobieren. Ist ja sowieso egal, wenn es weg geht, ist es gut dann muss ich keine Windows-Neuinstallation machen, ansonsten hab ich halt Pech gehabt.

@Markus1234: Bei Virustotal.com soll ich irgendsone Datei hochladen?

 

[Boogeyman]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Wenn man schon Daten verhindern will, dass sie starten sollte man schon ein Professioneleres Tool, als Hijackthis nehmen wie z.B Autostart

Hijackthis ist auch kein Tool zum Entfernen, sonder eher zur Diagonse.

Die Einträge markieren und auf Fix Check klicken. Danach den Computer neustarten.

Es reicht nicht, in Hijackthis nur auf fixen zu drücken !

Anschliessend sollten auch die Malware Dateien entfernt werden, denn sonst hat die ganze Prozedur keinen Sinn.

Anleitung: HiJackThis

@Markus1234: Bei Virustotal.com soll ich irgendsone Datei hochladen?

Du sollst, die Dateien, die Hijackthis als verdächtig gemeldet hat, auf virutotal hochladen.
Es ist möglich, das die Dateien nicht findest, dann musst du:

Dateinamenerweiterung bei bekannten Dateitypen wieder einblenden:

Windows Explorer (Win Taste +E) -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Erweiterungen bei bekannten Dateitypen ausblenden" -> "OK"

Geschützte Systemdateien ausblenden:

Windows Explorer (Win Taste +E) -> "Extras/Ordneroptionen" -> "Ansicht" -> Haken entfernen bei "Geschützte Systemdateien ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen" aktivieren -> "OK"

.

Ist ja sowieso egal, wenn es weg geht, ist es gut dann muss ich keine Windows-Neuinstallation machen, ansonsten hab ich halt Pech gehabt.

Wie willst du das beurteilen, ob es weg ist ? Nur weil dann ev. die Meldungen nicht mehr kommen, bedeutet das noch lange nicht, das dein System Virenfrei ist. Viele Malware lädt noch andere Komponenten nach, diese arbeiten ganz unauffällig im Hintergrund, merken wirst du davon nichts.

 

[RoedA]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Okay, danke dir. Du hast mir erstmal sehr geholfen. Melde mich dann morgen erst wieder.

 

[markus1234]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Wende dich doch bitte an das Trojaner-Board.de oder an das HiJackThis-Forum. Hier wird zuviel Mist erzählt, als dass du noch eine Chance auf ein sauberes System hättest.

mfg,
Markus

 

[olympiakos]

AW: Win32.TrojanDownloader.NewMedia - Malware, bitte um HILFE

Hijackthis ist auch kein Tool zum Entfernen, sonder eher zur Diagonse

Autostart ist auch kein Tool zum Entfernen sondern ein Tool, wie der Name schon sagt, Programme, Dienste vom Start abzuhalten die eventuel die dlls und exes wiederherstellt.

Da die verdächtigen dlls schon genannt wurden braucht man die auch nicht Fixen. Man kann die Dateien ganz locker mit "Unlocker" löschen.

Nagut..wenn die dann wieder auftauchen sollte man Autostart nehmen.

Trotzdem, wer weiss was der Trojaner sonnst noch verändert hat. Neuinstallation ist auch mein Vorschlag

 

[Fiona]

Hier wird zuviel Mist erzählt, als dass du noch eine Chance auf ein sauberes System hättest.

//Achte mal auf deine Ausdrucksweise!
Wenn du es nicht schaffst, etwas effektives Beizutragen, dann lasse es vielleicht einfach.

Wenn Ad Aware es nicht packt den wegzubekommen, dann versuche es mit der Freeware-Version hier;
http://www.superantispyware.com/
Hatte es wohl in einigen Fällen geschafft.
Mache dazu folgendes;
Deaktiviere mal über msconfig alles bei Systemstart.
Gehe auf den Reiter Dienste und setze den Haken bei Microsoft Dienste ausblenden, sonst startet Windows nicht richtig.
Deaktiviere auch den Rest.
Starte den Computer neu.
Führe mal superantispyware aus.

Denke hinterher auch deine Systemwiederherstellungspunkte zu löschen und wenn das System sauber ist, erstelle einen neuen.

Teile es mal mit.

Viele Grüße

Fiona

 

[markus1234]

Damit bestätigst du nur meine Aussage, aber danke dafür. Man kann ja nie sicher genug sein, Recht zu haben. Dass diese "unbekannte Bedrohung" evtl. ein Rootkit ansetzt, ist dir wohl komplett entfallen. Oder dass weitaus mehr gemacht wird/wurde, als diese paar Files zu kopieren.

I.d.R. steht nach einem Backdoorbefall eine Neuinstallation an. Denn die Folgen dieser Kompromittierung sind nur schlecht bis gar nicht einzuschätzen und zurückzusetzen. "Sicherheit", zumindest vor diesem Befall, hat man nur nach einer Neuinstallation. Und anschließend sollte man auch sensible Daten wie Passwörter oder Daten v. Online-Banking abändern.

mfg,
Markus

 

[Fiona]

"unbekannte Bedrohung" evtl. ein Rootkit ansetzt,

Ich hatte da wohl schon Lösungen gesehen.
Daher hatte ich mir darüber keine weiteren Gedanken gemacht.
RoedA soll es einfach testen.

Viele Grüße

Fiona

Edit:
Wenn du möchtest, schaue mal nach Tech Support Guy die das Problem auch als gelöst markiert haben!