Trojaner Autostart Problem

    Hallo,

    ich hab ein Problem: letztens habe ich Tune-Up Utilies aufgemacht und unten in den Meldungen wurde mir ein neues Autostartprogramm angezeigt. Ich schaue mir das an und bemerke das das keinen Sinn macht und lasse mein Kaspersky mal suchen. Das Programm hat den Namen "PUT2VIDQLG.exe". Kaspersky hat dann auch tatsächlich einige Trojaner und Trojan-Downloader gefunden und gelöscht oder desinfiziert, das Programm ist aber immer noch da. Ich hab versucht das aus den Autostart-Programmen zu löschen mit Tune-Up, aber jetzt nach einem Neustart ist es wieder da, und auch wenn ich es nur ausschalte kommt es immer wieder. Was kann ich da tun?

    Gruß, Max

    sei epsilon kleiner null...

    Mmh, hier ist das Log:

    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 20:54:39, on 03.01.2010
    Platform: Unknown Windows (WinNT 6.01.3504)
    MSIE: Internet Explorer v8.00 (8.00.7600.16385)
    Boot mode: Normal

    Running processes:
    C:\Windows\system32\taskhost.exe
    C:\Windows\system32\Dwm.exe
    C:\Windows\Explorer.EXE
    C:\Users\face\AppData\Local\Temp\c.exe
    C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
    C:\Program Files\DellTPad\Apoint.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
    C:\Program Files\Steam\Steam.exe
    C:\Program Files\Xfire\Xfire.exe
    C:\Program Files\DellTPad\ApMsgFwd.exe
    C:\Program Files\DellTPad\Apntex.exe
    C:\Program Files\DellTPad\HidFind.exe
    C:\Windows\system32\conhost.exe
    C:\Program Files\TuneUp Utilities 2010\integrator.exe
    C:\Program Files\Mozilla Firefox\firefox.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtblfs.exe
    C:\Program Files\TuneUp Utilities 2010\StartUpManager.exe
    C:\Windows\regedit.exe
    C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
    O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
    O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ievkbd.dll
    O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
    O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe
    O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe"
    O4 - HKLM\..\Run: [NVHotkey] rundll32.exe C:\Windows\system32\nvHotkey.dll,Start
    O4 - HKCU\..\Run: [Steam] "c:\program files\steam\steam.exe" -silent
    O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
    O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
    O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
    O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
    O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\Xfire.exe
    O8 - Extra context menu item: Hinzufügen zu Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ie_banner_deny.htm
    O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
    O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
    O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O13 - Gopher Prefix:
    O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll
    O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
    O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
    O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Program Files\RWTH OpenVPN Client\bin\openvpnserv.exe
    O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
    O23 - Service: @C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe
    O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

    --
    End of file - 4997 bytes


    Sagt mir aber jetzt nichts... hatte den Autostart jetzt mit TuneUp nochmal blockiert aber bringen tuts nichts...


    Ich hab unter dem Namen was in der Registry gefunden, wenn ich das lösche tille ich damit nur die Symptome oder ist der Scheiß dann ganz weg? 2 Dateien gefunden eine ohne Namen und Daten die andere mit dem oben genannten Namen und als Daten C:\Users\face\AppData\Local\Temp\c.exe

    sei epsilon kleiner null...

    Ok.. log sieht unauffällig aus.
    Lösche am besten den ganzen Ordner C:\Users\face\AppData\Local\Temp und den entsprechenden Eintrag in der regedit.

    Danach nochmal den Scanner laufen lassen und schauen ob der Eintrag noch vorhanden ist.

    Das Tuneup war bestimmt ein inoffizielles.....hatte ich auch schon mal. Irgend so nen Spassvogel hat ne Tuneup-Version verseucht...


    ...mein System war damals im Arsch, und der USB Stick wo es drauf war auch.


    Wird Dir noch einige Probs machen.


    Gruß, Thomas

    XPS430 
    QX9650 :love:
    2Gb RAM
    640 Gb RAID0
    3870x2

    Amilo
    15" WXGA,GeForce 9300M GS,Core 2 Duo P8600(2,4GHz),4096MB DDR2,320GB

    Ne ist ein nagelneues Tune-Up 2010, frisch aus dem Laden. Ok, ich hab jetzt eben unter TuneUp das Programm nochmal angemacht und kurz darauf kamen auch zwei Meldungen von Kaspersky, eine bezüglich der benannten Datei, die andere wegen einer names %\msa.exe. Hab das dann desinfiziert und als Autostartprogramm ist es jetzt noch nicht aufgetaucht. Suche grade mal in der Registriergung... er hat da unter Software jetzt einen ganzen Ordner gefunden auf einmal, den hab ich jetzt gelöscht... vielleicht habe ich ja Glück gehabt, ich hoffe es zumindestens. Ich will nicht schon wieder das System neu aufsetzen...


    EDIT: Auch nach einem Neustart kann ich noch nichts finden... scheint wohl weg zu sein (bitte bitte bitte *klopfaufholz*). Hat mich ja nur 1,5 Stunden gekostet -.- Welches ARSCH denkt sich so einen Scheiß aus?!?

    sei epsilon kleiner null...

    Einmal editiert, zuletzt von face (3. Januar 2010 um 20:27)

    Für mich sieht das C:\Users\face\AppData\Local\Temp\c.exe nach dem Schädling aus.

    Meine Vorgehensweise, wäre:

    CCleaner durchlaufen lassen
    SpyHunter 3 durchlaufen lassen

    Dann das aktualisierte Avira einmal drauf loslassen.

    Meines Wissens kann, alternativ zu Avira, Kaspersky den Schädling ausfinding und unschädlich machen, eventuell mal eine Testversion davon ausprobieren
    Kaspersky Anti Virus 2010 Testversion

    //edit:
    Ok, scheint sich ja erledigt zu haben!
    Dann mal TeuTeuTeu, dass das so bleibt =)

    (☞ﾟヮﾟ)☞............ (⊙ˍ⊙) ...............☜(ﾟヮﾟ☜)

    Zitat von Foofth

    njoa.. wenn kaspersky auch nix findet, dann kannst du wohl davon ausgehen, dass es weg ist. Zur sicherheit würd ich nochmal http://www.malwarebytes.org/mbam.php drüber laufen lassen.

    Fuck, genau^^

    Malwarebytes Anti Malware ist das ziemlich beste Gratistool das gibt, das wollte ich dir auch empfehlen!

    SpyHunter 3, wie komm ich denn darauf?
    Bei der Testversion von SpyHunter 3, kann man zwar "Finden" aber nicht "Löschen"!

    Den Einzigen Vorteil den SpyHunter 3 hat ist die PreOS Virenerkennung, wenn du einen fiesen Trojaner hast, der dein Antivirenprogramm unterdrückt!

    (☞ﾟヮﾟ)☞............ (⊙ˍ⊙) ...............☜(ﾟヮﾟ☜)

    Ich hatte auch mal so eine a.exe drauf in meinen Temp-Files...ließ sich nicht löschen oder sonst was (gelöscht, wurde eine neue erstellt), habe ich eine künstliche a.exe hergestellt, tauchte eine b.exe auf -.- . Diese Dateien haben andere *.dat Dateien erstellt, welche immer wieder ein Internetexplorer-Fenster eröffneten und Werbung anzeigten. Der Ursprung zur Erzeugung der exe-Datein lag in einem System32 Ordner und diese ließen sich nicht mal mit erweiterter Adminstrator-Berechtigung entfernen.

    Um es kurz zu machen: ich habe neu Windows installiert... hoffe dir bleibt das erspart, aber diese Dinger sind wirklich furchtbar hartnäckig :cursing:

    XPS M1530
    Midnight-Blue | T8300 | 3GB RAM | 200GB HDD@7.2000 U/min | 8600M GT | WXGA+

    Also wenn ich dieses Hijack Ding benutze findet sich da immer noch sowas %\Temp\c.exe. Aber ich hab es noch nie gehabt das sich der Internetexplorer selber geöffnet hat, generell ist mir das nur über Tune-Up aufgefallen. Könnte das jetzt noch ein Problem machen? Ich mache immer Online-Banking über meinen PC, aber mit Kaspersky worüber dann Firefox im abgesichten Modus gestartet wird. Ansonsten habe ich eigentlich keine sensiblen Dateien, die PWs sind nirgends gespeichert. Kaspersky findet nichts, bis auf das was er vorher gefunden und erfolgreich gelöscht hat. Das Malware-Ding hat zweimal Trojan.Fake-Alert gefunden und gelöscht. Was macht dieses c.exe? Können die meine Dateien einsehen oder wie? Doch eigentlich nicht. Also ich meine, geht davon jetzt noch irgendeine Gefahr aus?

    sei epsilon kleiner null...

    genau den Kram mit den Internetseiten etc. hatte ich auch. Und das entpackte Programm auf dem USB Stick, hat jeden rechner nur beim Einstecken des USB Sticks infiziert. Und den Zugriff selbst über die Datenträgerverwaltung dicht gemacht.

    XPS430 
    QX9650 :love:
    2Gb RAM
    640 Gb RAID0
    3870x2

    Amilo
    15" WXGA,GeForce 9300M GS,Core 2 Duo P8600(2,4GHz),4096MB DDR2,320GB

    Ja kann wohl malware runterladen irgendwie und dann kommt immer CCleaner nutzen, das Anti-Malwareprog etc... hab ich alles gemacht und alles unauffällig. Hab jetzt gerade nochmal geschaut also im Taskmanager findet sich kein c.exe. Hijack hat auch kein c.exe. Hier das File:

    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 22:38:14, on 04.01.2010
    Platform: Unknown Windows (WinNT 6.01.3504)
    MSIE: Internet Explorer v8.00 (8.00.7600.16385)
    Boot mode: Normal

    Running processes:
    C:\Windows\system32\taskhost.exe
    C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
    C:\Windows\system32\Dwm.exe
    C:\Windows\Explorer.EXE
    C:\Program Files\DellTPad\Apoint.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
    C:\Program Files\Steam\Steam.exe
    C:\Program Files\Xfire\Xfire.exe
    C:\Program Files\DellTPad\ApMsgFwd.exe
    C:\Program Files\DellTPad\HidFind.exe
    C:\Program Files\DellTPad\Apntex.exe
    C:\Windows\system32\conhost.exe
    C:\Program Files\Mozilla Firefox\firefox.exe
    C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtblfs.exe
    C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe
    C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
    O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
    O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ievkbd.dll
    O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
    O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe
    O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe"
    O4 - HKLM\..\Run: [NVHotkey] rundll32.exe C:\Windows\system32\nvHotkey.dll,Start
    O4 - HKCU\..\Run: [Steam] "c:\program files\steam\steam.exe" -silent
    O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
    O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
    O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
    O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
    O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\Xfire.exe
    O8 - Extra context menu item: Hinzufügen zu Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ie_banner_deny.htm
    O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
    O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
    O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
    O13 - Gopher Prefix:
    O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll
    O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
    O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
    O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\Program Files\RWTH OpenVPN Client\bin\openvpnserv.exe
    O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
    O23 - Service: @C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe
    O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

    --
    End of file - 4873 bytes


    Kaspersky findet auch keine Malware mehr. Ist jetzt alles wieder gut? Ich weiß ich frag so blöd aber ich kenne mich damit nicht wirklich gut aus.

    sei epsilon kleiner null...

    Sieht alles gut aus!

    Ich würde es einfach noch ein wenig beobachten, aber eigentlich sieht es sauber aus!

    (☞ﾟヮﾟ)☞............ (⊙ˍ⊙) ...............☜(ﾟヮﾟ☜)

    Ich würde an deiner Stelle neu installieren. Ein einmal kompromittiertes System ist nicht mehr vertrauenswürdig.

    (Online-Banking, andere Passwörter, Mails, usw.)

    [align=center]Dell XPS M1330 CPU: T8300@2,4Ghz RAM: 4GB HDD: WD 500GB 7200PM Graka: 8400M-GS, Display: LED OS: Windows 7 Professional x64

    Ja nur ich hab jetzt keinen Bock wieder alles neu zu installieren. Da hab ich alles erst vor ner Woche gemacht... aber da die ganzen Programme die ich hier habe alle nichts gefunden haben gehe ich mal davon aus das es wieder gut ist... es waren ja auch keine Viren sondern "nur" Malware, vor allem welche die sich als Trojaner ausgegeben hat. Ich kann doch nicht wegen jedem neuen Trojaner meinen PC neu aufsetzten... naja ich hoffe mal es bleibt jetzt so und das Teil ist weg. Danke für eure klasse Hilfe!

    sei epsilon kleiner null...

    sag mal studierst du nicht schon?
    surfst du zufällig ohne anständige Firewall und Virenscanner im UNI-Netz?
    Wenn ich das mache, dann wär mein Computer in wenigen Minuten voll damit.
    Kollege wusste es besser. Der setzt lieber ständig das System neu auf! :D

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden