Habe mir einen Trojaner eingefangen

[Megga]

Hi
ich bin mir leider recht sicher, dass ich mir einen Trojaner eingefangen habe.
Aber hier erstmal meine Daten.
Windows XP Home Edition. SP3
Vor 2 Monaten komplett neu aufgespielt.
Benutze AntiVir Freeware welches den Trojaner auch entdeckt habe.

Folgender Virus: ujfnb.exe TR.Dropper.Gen
Gefunden in: C:/Dkoumenten und Einstellungen/Mich*****/lokale Einstellungen/Anwendungsdaten/ujfnb.exe

Am Anfang auf löschen gegangen, nun tritt er aber ohne Unterbrechung auf. Hier mein Logfile:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:17:35, on 18.02.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\V0470Mon.exe
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe
C:\dokumente und einstellungen\michael lohmann\lokale einstellungen\anwendungsdaten\ujfnb.exe
C:\Programme\Compaq Wireless LAN\Client Manager\CMcom.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\DOKUME~1\MICHAE~1\LOKALE~1\Temp\~e5.0001
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\Programme\Spyware Doctor\pctsSvc.exe
C:\Programme\Spyware Doctor\pctsTray.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.esupport.com/biosagent/index.cfm?refererid=40
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://pac.ncl.ac.uk/default.pac
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Programme\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Programme\MyWebSearch\bar\1.bin\MWSBAR.DLL
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - C:\Programme\AskTBar\bar\1.bin\ASKTBAR.DLL
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - C:\Programme\AskTBar\bar\1.bin\ASKTBAR.DLL
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [V0470Mon.exe] C:\WINDOWS\V0470Mon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF
O4 - HKLM\..\Run: [My Web Search Bar] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL,S
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Creative Live! Cam Manager] "C:\Programme\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe"
O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKCU\..\Run: [ujfnb] "c:\dokumente und einstellungen\michael lohmann\lokale einstellungen\anwendungsdaten\ujfnb.exe" ujfnb
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Compaq Client Manager.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZUfox000
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Spiele\Titan Poker\casino.exe
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Spiele\Titan Poker\casino.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{A8E86999-223F-4484-B549-AF35810FCC28}: NameServer = 128.240.229.18 128.240.229.34
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: My Web Search Service (MyWebSearchService) - MyWebSearch.com - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

--
End of file - 8102 bytes

In letzter Zeit viele Programme installiert, da ich den Rechner halt neu aufgespielt habe und in England eine Menge an Programmen brauche.

 

[Bullayer]

Virusinfektion = Neuinstallation (ohne wenn und aber)

 

[Paulchen]

Da kann ich dir auch nur zu einer Neuinstallation raten.

 

[Megga]

Ok wie sehe den Notfallplan B aus. Da ich zu einem erasmus Aufenthalt in England bin und natürlich nicht meine Windows CD ect. mit habe. Schicken wäre natürlich eine Option, was aber auch dauert. Kann man wirklich nichts anderes machen?

Oder was würde passieren, wenn ich den Rechner mit den Virus, falls es funktioniert bis Mitte März laufen lasse, da ich dann kurz in Deutschland zurück bin.

Sollte ich auch alle Daten von meinem USB-Stick löschen?

Wie sicher ist die Nutzung von OnlineBanking nun?

 

[HaraldL]

Wie sicher ist die Nutzung von OnlineBanking nun?

Ungefähr so als würdest du dem Drogendealer um die Ecke deine EC-Karte samt Geheimnummer geben und ihn bitten dir 50 EUR abzuheben und vorbeizubringen

 

[Paulchen]

Ok wie sehe den Notfallplan B aus. Da ich zu einem erasmus Aufenthalt in England bin und natürlich nicht meine Windows CD ect. mit habe. Schicken wäre natürlich eine Option, was aber auch dauert. Kann man wirklich nichts anderes machen?

Der Notfallplan B wäre wohl nur eine Linux-Live-CD.

Oder was würde passieren, wenn ich den Rechner mit den Virus, falls es funktioniert bis Mitte März laufen lasse, da ich dann kurz in Deutschland zurück bin.

Solange du damit zurecht kommst, kannst du es ja versuchen. Allerdings würde ich wichtige Daten nicht auf dem Notebook speichern.

Sollte ich auch alle Daten von meinem USB-Stick löschen?

Wie sicher ist die Nutzung von OnlineBanking nun?

Das würde ich lieber sein lassen.

 

[Megga]

OK Alles klar, jetzt nur noch zu meinem DAten. Kann ich wichtige WordDokumente auf meinen USB Stick ziehen?
Sind die Daten auf dem Stick, der täglich an meinem Rechner angeschlossen ist auch betroffen?

 

[Paulchen]

Schwer zu sagen. Da Word-Dokumente aber seltener betroffen sind, denke ich eher nicht!

 

[jerrymaus]

Also, ich bin erst mal der Meinung meiner Vorredner, Virus = Neuinstall!
Dein Problem ist nun das Du keine Win - CD da hast, na gut, daß ist aber auch kein Beinbruch!
Selbst in England wirst Du Dir sicherlich eine passende Version ausleihen könne und diese mit Deinem Key installieren!
Sollte es wegen der Spracheinstellung nicht klappen, so würde ich Dir erst einmal empfehen, den Rechner ohne I-Netverbindung im Abgesichertem Modus zu starten,(zuvor aber auf allen Laufwerken das Erstellen von Wiederherstellungspunkten deaktivieren) dann erst mal alle Wiederherstellungspunkte löschen (vorher den Besitz übernehmen!) dann HJT durchlaufen zu lassen und alle Probleme zu fixen, eventuell von Hand im Benutzerpfad die exe löschen und in der Registrie nach einem Eintrag mit deren Namen suchenund diesen auch loschen. Dann, wenn möglich mit einer Live - CD mit aktuellem AV - Proggi und aktuellen Signaturen scannen.
Wenn es möglich ist von einem anderen Rechner eine Installationsdatei für ein AV - Proggi herunterladen und auf einen garantiert nicht verseuchten Stick/CD/DVD speichern und erst mal im abgesichertem Modus das alte AV - Proggi entfernen. Dann den Lappi ohne I-Net erneut normal starten und das AV - Proggi von Stick/CD/DVD installieren !
Achtung, im Abgesichertem Modus kann es sein, das sich Dein AV - Proggi nicht entfernen läßt, deshalb ist es ratsam diesen im Normal - Modus, aber schon ohne I-Net zu deinstallieren, bevor Du alles andere machst!

Wenn Du alles durchgefrührt hast, den Lappi neu starten und mit dem I-Net verbinden und als erstes die Virensignaturen des AV - Proggis aktualisieren!
Das garantiert Dir zwar keine 100%ige Sicherheit und O-Banking würde ich damit auch nicht mehr betreiben, doch es würde Dein System erst mal benutzbar halten, ohne das Du andere eventuell noch infizierst!

Die Systemwiederherstellung würde ich in diesem Falle aber deaktiviert lassen und täglich einen gründlichen Scan machen!



gruß


jerrymaus

 

[Gast]

Sagt mal ist heute Monat der Viren/Trojaner???

Also bei Befall - NEUINSTALLATION!!!!

Mehr sag ich dazu nimmer - die letzten Tage immer das gleiche....

 

[Peter Schirmer]

Sagt mal ist heute Monat der Viren/Trojaner???

Also bei Befall - NEUINSTALLATION!!!!

Mehr sag ich dazu nimmer - die letzten Tage immer das gleiche....

Irgendwie habe ich auch das Gefühl. Ich habe auch keine Lust, wieder ein Thema zu schließen, nur weil niemand wieder auf gute Ratschläge hören will.

 

[Gast]

Irgendwie habe ich auch das Gefühl. Ich habe auch keine Lust, wieder ein Thema zu schließen, nur weil niemand wieder auf gute Ratschläge hören will.

Vielleicht sollte man mal so ein "Sammel-Hilfe-Threat" machen oder sowas, aber
die "Unbelehrbaren" suchen sowieso nicht....

Irgendwie drehen wir uns hier im Kreis.....

Ich helf ja gern, und freu mich auch selbst über Hilfe, aber dieses Thema in der
letzten Zeit nervt schon irgendwie - vor allem bei uneinsichtigen Leuten!

Erst sind sie mit 2. Klassigem Virenschutz und/oder Systemen unterwegs, die
nicht "up-to-date" sind (weil ja xp-antispy besser ist als Windowsupdate -
denn Microsoft will ja unbedingt wissen, was man macht ), hinzu
kommt dann oft noch "surfen ohne brain.exe" - alles wahrlos installieren,
egal woher es kommt usw. usw. usw.

Ich hab da so langsam echt keinen Bock mehr drauf. *seufz*

Wie seht ihr das?

PS: Hoffe es fühlt sich keiner persönlich angegriffen - war nur mein Eindruck,
von dem, was derzeit hier in einigen Threats so ab geht.

 

[Luke]

Werte doch dein LOG selber aus.
Alles was ein Rotes X hat muss gefixt werden.
Und das sind bei Dir nicht wenige.

http://www.hijackthis.de

 

[Chase]

Werte doch dein LOG selber aus.
Alles was ein Rotes X hat muss gefixt werden.
Und das sind bei Dir nicht wenige.

http://www.hijackthis.de

..und da Du nicht Neuinstallieren kannst,mal ein kleiner Tip für Deine Bankgeschäfte:
http://www.bsi.de/produkte/surf-cd/index.htm
so als Notnagel.

 

[msueper]

Hi,
Neuinstallieren ist wohl meist das Beste, denn wo ein erkannter Virus/Trojaner ist, hausen meist oft noch weitere, die der Scanner nicht erkennt.

Aber Panik ist auch nicht nötig. Wenn der Scanner was mit GEN meldet, dann hat die Heuristik zugeschlagen, d.h. definitiv kann er's nicht sagen.
Ich würde einen Online Scanner nutzen und die Datei zu http://virusscan.jotti.org/ hochladen und dort prüfen.

Online Banking verbietet sich wohl mit dem OS, bevor alles geprüft und bereinigt ist.
Ggf. lad Dir ne Live CD oder installier ein virtuelles OS z.B. im vmware Player. Aber eine Live CD wäre einfacher und sicherer.
Martin

 

[Megga]

Ok werde mir wohl die CD zuschicken lassen. Natürlich ist das erste was ich mache, wenn ich ein PC Problem habe, danach zu googln. Was manchmal hilft manchmal nicht. Nur das Problem dabei ist, dass fast immer gesagt wird, poste mal deine genauen Daten Logfile, Programme etc. Und meine Kenntnisse sind jetzt eher durchschnittlich, dass ich z.B. aus einem Logfile eher nichts entnehmen kann.
Durch eine komplette Neuinstallation sollte das Problem dann behoben sein?

 

[Luke]

Ok werde mir wohl die CD zuschicken lassen. Natürlich ist das erste was ich mache, wenn ich ein PC Problem habe, danach zu googln. Was manchmal hilft manchmal nicht. Nur das Problem dabei ist, dass fast immer gesagt wird, poste mal deine genauen Daten Logfile, Programme etc. Und meine Kenntnisse sind jetzt eher durchschnittlich, dass ich z.B. aus einem Logfile eher nichts entnehmen kann.
Durch eine komplette Neuinstallation sollte das Problem dann behoben sein?

Hab ich dir den Link nicht geschrieben.
Das Programm ist dann noch auf. und vor jeder Nummer ist ein Kästchen.
Haken rein, fixen, Fertig.

Und alles wo das My Web Search Service drin vorkommt ist der Müll bei Dir.

 

[Megga]

Sorry, entweder bin ich total blind oder ich weiß auch nicht. Aber nen Rotes X seh ich nirgends?

 

[Luke]

Sorry, entweder bin ich total blind oder ich weiß auch nicht. Aber nen Rotes X seh ich nirgends?

Trage mal deinen Text HIER ein.
Auswerten und dann...... alles Rot.

 

[Duke]

Sorry, entweder bin ich total blind oder ich weiß auch nicht. Aber nen Rotes X seh ich nirgends?

Hier gibts ne Anleitung wies funktioniert.

Gruß Matze