Hallo Christiane
=>F:\Programme\Video ActiveX
Object\isamonitor.exe (full dump)
=>F:\Programme\Video ActiveX
Object\isamonitor.exe (memory dump)
Wenn du alles das, was im nachfolgenden Zitat aus der Datenbank von Sophos verändert und erstellt wurde, auch gelöscht und rückgängig gemacht hast, dürfte dein System frei von bekannter Malware sein. Wie kann man auch jemanden ernsthaft glauben, eine Anwendung auf Überlichtgeschwindigkeit zu beschleunigen. Spätestens dort müsste dir ein ganzer Kronenleuchter angegangen sein.
_Troj/Zlob-QK ist ein Trojaner für die Windows-Plattform.
Der Trojaner gibt vor, ein Installer für einen Video Codec zu sein. Wenn er gestartet wird, versucht er, zusätzliche Komponenten herunterzuladen und zu installieren.
Wenn er installiert wird, werden Pop-Ups und Meldungen angezeigt, die Benutzer vor viralen Infektionen und der Präsenz von Adware/Spyware warnen. Benutzer werden aufgefordert, potentiell betrügerische Antispyware- und Antiviren-Produkte herunterzuladen oder zu kaufen.
Wenn er gestartet wird, erstellt er folgende Dateien:
\IntCodec\iesplugin.dll
\IntCodec\iesuninst.exe
\IntCodec\isaddon.dll
\IntCodec\isamini.exe
\IntCodec\isamonitor.exe
\IntCodec\isauninst.exe
\IntCodec\pmmon.exe
\IntCodec\pmsngr.exe
\IntCodec\pmuninst.exe
\IntCodec\uninst.exe
\viruxz.dll
Diese Dateien werden als Troj/Zlob-QK erkannt.
Folgende Dateien werden ebenfalls erstellt, die einfach gelöscht werden können:
\Online Security Guide.url
\Security Troubleshooting.url
\Start Menu\Online Security Guide.url
\Start Menu\Security Troubleshooting.url
\Online Security Test.url
\IntCodec\ts.ico
\IntCodec\ot.ico
Folgende Registrierungseinträge werden erstellt:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run
homepage.monitor.exe
\IntCodec\isamonitor.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run
pmsngr.exe
\IntCodec\pmsngr.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
bestreak
(874443fe-aa33-4ebf-a6ac-73208787e62d)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
bestreak
(874443fe-aa33-4ebf-a6ac-73208787e62d)
Die Dateien iesplugin.dll, isaddon.dll und viruxz.dll werden als COM-Objekte registriert, indem Registrierungseinträge an folgenden Stellen erstellt werden:
HKCR\CLSID(a2595f37-48d0-46a1-9b51-478591a97764)
HKCR\CLSID(874443fe-aa33-4ebf-a6ac-73208787e62d)
HKCR\CLSID(1da7dbe8-c51b-4ae4-bc6e-21863349b0b4)
Die Datei iesplugin.dll wird als eine Werkzeugleiste registriert, indem Registrierungseinträge an folgenden Stellen erstellt werden:
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser(A2595F37-48D0-46A1-9B51-478591A97764)
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar(a2595f37-48d0-46a1-9b51-478591a97764)
Die Datei isaddon.dll wird als ein Browser Helper Object (BHO) für den Microsoft Internet Explorer registriert, indem Registrierungseinträge an folgender Stelle erstellt werden:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects(1da7dbe8-c51b-4ae4-bc6e-21863349b0b4)
Der Trojaner verändert Einstellungen für den Microsoft Internet Explorer, indem Einträge an folgender Stelle verändert werden:
HKCU\Software\Microsoft\Internet Explorer\Main\
Der folgende Registrierungseintrag wird erstellt:
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
(01E04581-4EEE-11D0-BFE9-00AA005B4383)
Registrierungseinträge werden an folgenden Stellen erstellt:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Public Messenger ver 2.03\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Internet Security Add-On\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Internet Explorer Security Plugin 2006\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\IntCodec\
HKCU\Software\Internet Security\
HKCR\VSEnchancer.Chl\CLSID\
HKCR\AVZipEnchancer.Chl\CLSID\
Der Trojaner enthält eine Deinstallationsoption, auf die über den Dialog „Software“ in der Windows Systemsteuerung zugegriffen werden kann. Die Software wird aufgelistet als: „Public Messenger ver 2.03“, „Internet Security Add-On“, „Internet Explorer Security Plugin 2006“ und „IntCodec 6.0“._
Auf letzteres würde ich mich noch weniger verlassen. Vermutlich geht die Löschung der Startpartition und die Neuinstallation von Windows schneller und sicherer.
Apropos, ist die Frage nach deinem Backup und Image der Startpartition erlaubt?
der hinterwäldler
–
Ich kann die Argumentation einiger User nicht verstehen.
Ca. 1,5 Mio kostenlosen Vollversionen, welche zum Erstellen
eines Partitionsbackup brauchbar waren, sind in deutschen
Restmülltonnen verschwunden. Selbst in dieser Minute lässt
sich mit ein klein wenig natürlicher Intelligenz ein brauchbares
Backupsystem aus dem Internet herunterladen und zusammenstellen.
Statt dessen werden Scanner, PFWs und Removertools „En gros“
verwendet.
, und Bilder noch sichern… es wird doch alles gelöscht oder? (Das nennt man Naivität *kicher* Ich weiß es nämlich nicht!!)… Wie stell ich das am besten an? Ich mein…das hat ja ne Größe… ???