Trojaner Dialer

Computer: Software & Programmierung Windows
1

Hallo zusammen, kann mir jemand weiter helfen wie ich am schnellsten einen Rechner wieder sauber bekomme oder mir ein gutes Tool sagen. Habe wohl einen Trojaner bei mir drauf und kann nicht genau sagen um welchen es sich handelt um dann detailiert vorgehen zu können. Habe mal mit Hijackthis ein Logfile erstellt und schreibe das hier mal rein. Hoffe es kann mir jemand weiter helfen!

Gruß und Danke im voraus!

Logfile of HijackThis v1.99.1
Scan saved at 09:15:37, on 02.01.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.exe
C:\WINNT\system32\kernels64.exe
C:\WINNT\explorer.exe
C:\WINNT\system32\vxh8jkdq5.exe
C:\WINNT\system32\vxh8jkdq6.exe
C:\WINNT\system32\vxh8jkdq7.exe
C:\Install\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.de/
F2 - REG:system.ini: Shell=Explorer.exe C:\WINNT\system32\kernels64.exe
F3 - REG:win.ini: run=C:\WINNT\inet20001\winlogon.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {2BCE6A6A-9F26-4A77-A9A7-A68A6C17068D} - C:\WINNT\system32\uubukoqu.dll
O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINNT\inet20001\3.00.13.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM…\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM…\Run: [SiS KHooker] C:\WINNT\System32\khooker.exe
O4 - HKLM…\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM…\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM…\Run: [WinVNC] „C:\Programme\ORL\VNC\WinVNC.exe“ -servicehelper
O4 - HKLM…\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM…\Run: [websx] C:\Programme\websx\int192893.exe -auto
O4 - HKLM…\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM…\Run: [Windows Compliant] winole.exe
O4 - HKLM…\Run: [PaperPort PTD] C:\Programme\Scansoft\PaperPort\pptd40nt.exe
O4 - HKLM…\Run: [IndexSearch] C:\Programme\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM…\Run: [System] C:\WINNT\system32\kernels64.exe
O4 - HKLM…\Run: [xp_system] C:\WINNT\inet20001\winlogon.exe
O4 - HKLM…\Run: [spoolsvv] C:\WINNT\system32\spoolsvv.exe
O4 - HKLM…\Run: [SystemLoader] C:\WINNT\sysldr32.exe
O4 - HKLM…\Run: [HostSrv] C:\WINNT\sachostx.exe
O4 - HKLM…\Run: [WinHound] C:\Programme\WinHound\WinHound.exe
O4 - HKLM…\RunServices: [Windows Compliant] winole.exe
O4 - HKLM…\RunServices: [SystemTools] C:\WINNT\system32\kernels64.exe
O4 - HKCU…\Run: [internat.exe] internat.exe
O4 - HKCU…\Run: [xp_system] C:\WINNT\inet20001\winlogon.exe
O4 - HKCU…\Run: [aupd] C:\WINNT\system32\sywsvcs.exe
O4 - Global Startup: Brother SmartUI PopUp.lnk = C:\Programme\Scansoft\PaperPort\PopUp\SmartUI.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra ‚Tools‘ menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} (EGEGAUTH Class) - http://akamai.downloadv3.com/binaries/P2EClient/EGAU…
O16 - DPF: {11111111-1111-1111-1111-222222222222} - ms-its:mhtml:file://d:\foo.mht! http://235.regvista.com/update5/jpg+chm//x.chm::/ope…
O16 - DPF: {2AEEAC34-FD74-4142-B891-4B05C0C03C87} - http://akamai.downloadv3.com/binaries/DialHTML/EGCOM…
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - http://akamai.downloadv3.com/binaries/IA/nethv32_EN.cab
O16 - DPF: {505098FD-5D61-4BC2-9B82-F969D0E932A2} (EGEGAUTH Class) - http://akamai.downloadv3.com/binaries/P2EClient/EGAU…
O16 - DPF: {9524BF70-90B6-48BE-BD81-A945EDC6EC17} (NetdebitSecureModule Control) - http://www.netdebit-dialer.de/NetDebitSecureModule.cab
O16 - DPF: {E795CA75-530A-4981-80F2-0C9EF7CF0F58} (vcload) - http://secure.aconti.net/vcload.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = nlberlin.intern
O17 - HKLM\System\CCS\Services\Tcpip…{E7584CCE-4B96-4B62-B073-C2D9A3A3940F}: NameServer = 192.168.30.254
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = nlberlin.intern
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = nlberlin.intern
O20 - Winlogon Notify: msupdate - C:\WINNT\SYSTEM32\msupdate32.dll
O21 - SSODL: winmgmt - {806B6CE3-7307-5CB4-6A72-8A173BE03C51} - C:\WINNT\help\iexplore.hlp
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Programme\CA\eTrust Antivirus\InoTask.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: Remote_Procedure_Call (svchost) - Unknown owner - %windir%\system32\svchost.cmd (file missing)
O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Programme\ORL\VNC\WinVNC.exe" -service (file missing)
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

2

Hallo zusammen,

Auch Hallo,

kann mir jemand weiter helfen wie ich am
schnellsten einen Rechner wieder sauber bekomme oder mir ein
gutes Tool sagen.

Der einzige sichere, wenn auch nicht immer der schnellste Weg ist eine Neuinstallation bzw. das Rückspielen eines sauberen Images. Alles andere ist Murks.

Habe wohl einen Trojaner bei mir drauf und
kann nicht genau sagen um welchen es sich handelt um dann
detailiert vorgehen zu können. Habe mal mit Hijackthis ein
Logfile erstellt und schreibe das hier mal rein. Hoffe es kann
mir jemand weiter helfen!

Warum kopierst Du das Logfile nicht in das Auswertungstool auf hijackthis.de hinein? Du wirst ob der vielen als böse bewerteten Einträge meinem obengenannten Tipp folgen wollen.
btw. Wie kann man noch mit einer 5er-Version des Internet-Explorers im Netz unterwegs sein? Nimm mir bitte nicht übel, wenn ich mehr als verwundert bin.

Gruß und Danke im voraus!

Schöne Grüße auch von mir

3

Das habe ich leider auch mit entsetzen feststellen müssen das dort noch der IE5 drauf ist. Na mal gucken habe jetzt mal den Spyware Doctor installiert und mal gucken ob er alles runter gelöscht bekommt was dort nicht rauf gehört. Danke trotzdem erstmal für die Antwort!

4

Moin

Habe wohl einen Trojaner bei mir drauf und
kann nicht genau sagen um welchen es sich handelt um dann
detailiert vorgehen zu können.

Also bei einem aktiven Trojaner würd ich auch keine Flickschusterei begehen und den mit irgendwelchen Removaltools entfernen und es dann dabei belassen.

Diese Tools entfernen auch nicht immer alles.
Und Trojaner die deine Passwörter loggen etc sind ja wohl schlimmer als Viren und Würmer die „nur“ s System verhunzen.

Aber so total auffällige Prozesse wie diese:

C:\WINNT\system32\vxh8jkdq5.exe
C:\WINNT\system32\vxh8jkdq6.exe
C:\WINNT\system32\vxh8jkdq7.exe

Scheinen mir eher Spyware oder Würmer zu sein.
Tojaner verstecken sich doch besser, nehme ich mal an.

Gib einfach mal vxh8jkdq hier ins Suchfeld ein:
http://www.wintotal.de/Spyware/index.php?Filter=V

Und dann hast ja noch allerhand anderen schlechte Sachen drauf.
http://hijackthis.de/logfiles/ea48f70f0c611fc69e5338…

Würd da auch nen altes aber tadelloses Image drüberziehen und Ruhe is.
Dauert doch keine 30 Min. unds System is wieder flott.

Aber kannst zumindest die ‚bösen‘ Sachen mal in Hijackthis markieren und fixen lassen.
Neustart und nochmal n Log erstellen und auswerten lassen (auf deren Webbie, nicht hier).

MfG
Lilly

5

Hallo Christian

Eine effektive Auswertung deiner Logfile ist aus verschiedenen Gründen nicht möglich. Ich kann nur mal ebissl interpredieren:

Logfile of HijackThis v1.99.1
Scan saved at 09:15:37, on 02.01.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Bis hierher Ok!

C:\WINNT\System32\WBEM\WinMgmt.exe

Diese Datei befindet sich entsprechend den Angaben von M$ im Verzeichnis sytem32 -> Prüfen

C:\WINNT\system32\kernels64.exe

Ist objektiv ein hölzernes Pferd! -> Prüfen

C:\WINNT\system32\vxh8jkdq5.exe
C:\WINNT\system32\vxh8jkdq6.exe
C:\WINNT\system32\vxh8jkdq7.exe

Hierbei handelt es sich offensichtlich um Dateien, die vom Trojaner nachgeladen wurden und nun selbstständige Prozesse sind. Siehe auch http://www.wintotal.de/Spyware/index.php?Filter=V Was diese jetzt auf deinem System verursacht haben, kannst du in der angegebenen Seite nachlesen.

Was willst du noch wissen? Keine deiner Dateien sind mehr vertrauenswürdig. Es gibt nur eine Lösung des Problems und die wird in http://faq.jors.net/virus.html beschrieben.
Also: Stecker aus der TAE, alle von dir selbst angelegten Dateien auf CD sichern. SetupCD deines w2k einlegen und Partition 0 löschen. Damit dir sowas in Zukunft erspart bleibt, das: http://www.hinterwaeldlers-home.de/tutorials.html und das http://www.hinterwaeldlers-home.de/NewsGroups/Sicher… lesen.

der hinterwäldler

6

Wenn du ABSOLUT keine Neuinstallation machen kannst, dann probiere nacheinander dies:

  • Scan mit Antivir
  • Scan mit Ad-Ware
  • Scan mit BitDefender
  • Scan mit SpyBot S&D
  • Scan mit Ad-Ware
  • Scan mit Antvir
7

Hallo Simon

Hmm. Gehen wir mal einfach davon aus, das zu jedem einzelnen Scan rund 15 Minuten benötigt werden und wie oft muß das gemacht werden bis man mit Sicherheit sagen kann, das alles raus ist?
Erzähls mir, ich bin mit meinen 63 Jahren noch lernfähig.

der hinterwäldler

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

8

Nach meinen bescheidenen Erfahrungen mit Windows ist es in
solchen Fällen weniger mühsam, das System neu zu installieren
als es zu reparieren. Ideal wäre, ein in guten Zeiten
erstelltes Backup parat zu haben, dann ist ruck zuck alles
wieder fein. Der kluge Mann baut vor (Frau auch)…
Aber auch ohne würd´ich´s neu ausetzen, weniger Streß und
sicherer allemal.

:smile: Barbara

Hallo zusammen, kann mir jemand weiter helfen wie ich am
schnellsten einen Rechner wieder sauber bekomme oder mir ein
gutes Tool sagen. Habe wohl einen Trojaner bei mir drauf und
kann nicht genau sagen um welchen es sich handelt um dann
detailiert vorgehen zu können. Habe mal mit Hijackthis ein
Logfile erstellt und schreibe das hier mal rein. Hoffe es

kann

mir jemand weiter helfen!

Gruß und Danke im voraus!

Logfile of HijackThis v1.99.1
Scan saved at 09:15:37, on 02.01.2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.exe
C:\WINNT\system32\kernels64.exe
C:\WINNT\explorer.exe
C:\WINNT\system32\vxh8jkdq5.exe
C:\WINNT\system32\vxh8jkdq6.exe
C:\WINNT\system32\vxh8jkdq7.exe
C:\Install\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start

Page

= http://www.msn.de/
F2 - REG:system.ini: Shell=Explorer.exe
C:\WINNT\system32\kernels64.exe
F3 - REG:win.ini: run=C:\WINNT\inet20001\winlogon.exe
O2 - BHO: AcroIEHlprObj Class -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX

\AcroIEHelper.ocx

O2 - BHO: (no name) - {2BCE6A6A-9F26-4A77-A9A7-A68A6C17068D}

C:\WINNT\system32\uubukoqu.dll
O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3}

C:\WINNT\inet20001\3.00.13.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio -
{8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINNT\System32\msdxm.ocx
O4 - HKLM…\Run: [Synchronization Manager] mobsync.exe /

logon

O4 - HKLM…\Run: [SiS KHooker] C:\WINNT\System32

\khooker.exe

O4 - HKLM…\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM…\Run: [NeroCheck] C:\WINNT\system32\

\NeroCheck.exe

O4 - HKLM…\Run: [WinVNC] „C:\Programme\ORL\VNC\WinVNC.exe“
-servicehelper
O4 - HKLM…\Run: [HPDJ Taskbar Utility]
C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM…\Run: [websx] C:\Programme\websx\int192893.exe
-auto
O4 - HKLM…\Run: [Realtime Monitor]
C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM…\Run: [Windows Compliant] winole.exe
O4 - HKLM…\Run: [PaperPort PTD]
C:\Programme\Scansoft\PaperPort\pptd40nt.exe
O4 - HKLM…\Run: [IndexSearch]
C:\Programme\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM…\Run: [System] C:\WINNT\system32\kernels64.exe
O4 - HKLM…\Run: [xp_system] C:\WINNT\inet20001

\winlogon.exe

O4 - HKLM…\Run: [spoolsvv] C:\WINNT\system32\spoolsvv.exe
O4 - HKLM…\Run: [SystemLoader] C:\WINNT\sysldr32.exe
O4 - HKLM…\Run: [HostSrv] C:\WINNT\sachostx.exe
O4 - HKLM…\Run: [WinHound]
C:\Programme\WinHound\WinHound.exe
O4 - HKLM…\RunServices: [Windows Compliant] winole.exe
O4 - HKLM…\RunServices: [SystemTools]
C:\WINNT\system32\kernels64.exe
O4 - HKCU…\Run: [internat.exe] internat.exe
O4 - HKCU…\Run: [xp_system] C:\WINNT\inet20001

\winlogon.exe

O4 - HKCU…\Run: [aupd] C:\WINNT\system32\sywsvcs.exe
O4 - Global Startup: Brother SmartUI PopUp.lnk =
C:\Programme\Scansoft\PaperPort\PopUp\SmartUI.exe
O4 - Global Startup: ISDNWatch.lnk =
C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: Microsoft Office.lnk =
C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk =
C:\Programme\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel
exportieren -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINNT\web\related.htm
O9 - Extra ‚Tools‘ menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINNT\web\related.htm
O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} (EGEGAUTH
Class) -
http://akamai.downloadv3.com/binaries/P2EClient/

EGAUTH_1018_EN.cab

O16 - DPF: {11111111-1111-1111-1111-222222222222} -
ms-its:mhtml:file://d:\foo.mht! http://235.regvista.com/

update5/jpg+chm//x.chm::/open.exe

O16 - DPF: {2AEEAC34-FD74-4142-B891-4B05C0C03C87} -
http://akamai.downloadv3.com/binaries/DialHTML/

EGCOMSERVICE_1046_pack.cab

O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} -
http://akamai.downloadv3.com/binaries/IA/nethv32_EN.cab
O16 - DPF: {505098FD-5D61-4BC2-9B82-F969D0E932A2} (EGEGAUTH
Class) -
http://akamai.downloadv3.com/binaries/P2EClient/

EGAUTH_1034_EN.cab

O16 - DPF: {9524BF70-90B6-48BE-BD81-A945EDC6EC17}
(NetdebitSecureModule Control) -
http://www.netdebit-dialer.de/NetDebitSecureModule.cab
O16 - DPF: {E795CA75-530A-4981-80F2-0C9EF7CF0F58} (vcload) -
http://secure.aconti.net/vcload.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain =
nlberlin.intern
O17 -
HKLM\System\CCS\Services\Tcpip…{E7584CCE-4B96-4B62-B073-

C2D9A3A3940F}:

NameServer = 192.168.30.254
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain =
nlberlin.intern
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain =
nlberlin.intern
O20 - Winlogon Notify: msupdate -
C:\WINNT\SYSTEM32\msupdate32.dll
O21 - SSODL: winmgmt -

{806B6CE3-7307-5CB4-6A72-8A173BE03C51}

  • C:\WINNT\help\iexplore.hlp
    O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer
    Associates -
    C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
    O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer
    Associates -
    C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
    O23 - Service: Verwaltungsdienst für die Verwaltung

logischer

Datenträger (dmadmin) - VERITAS Software Corp. -
C:\WINNT\System32\dmadmin.exe
O23 - Service: eTrust Antivirus RPC Server (InoRPC) -

Computer

Associates International, Inc. - C:\Programme\CA\eTrust
Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server (InoRT) -
Computer Associates International, Inc. -
C:\Programme\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server (InoTask) -
Computer Associates International, Inc. -
C:\Programme\CA\eTrust Antivirus\InoTask.exe
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) -
Computer Associates -
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: Remote_Procedure_Call (svchost) - Unknown

owner

  • %windir%\system32\svchost.cmd (file missing)
    O23 - Service: VNC Server (winvnc) - Unknown owner -
    C:\Programme\ORL\VNC\WinVNC.exe" -service (file missing)
    O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown

owner

  • C:\Programme\RealVNC\VNC4\WinVNC4.exe" -service (file
    missing)