TR/Agent.eq - wie krieg das Mistvieh weg?

Hallo, nach meinem heutigen Antivir-Update bekomme ich alle paar Minuten die Meldung, daß die Datei

oleadm.dll

den Trojaner Agent.eq enthält. Im abgesicherten Modus krieg ich mit der Killbox die Datei auch nicht weg, weil sie in Benutzung ist.

Mein HJT siehe unten.
Ich habe den Eintag unter O17 auch schon mehrfach gelöscht, aber er kommt immer wieder.

Kann mir jemand helfen? Schonmal danke im Voraus.


Logfile of HijackThis v1.99.1
Scan saved at 02:15:01, on 25.06.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\CyberLink DVD Solution\Power2Go\Power2GoExpress.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
E:\HijackThis.exe

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\COMPAN~1\Installs\cpn\ycomp5_5_7_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\COMPAN~1\Installs\cpn\ycomp5_5_7_0.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Power2GoExpress] C:\Programme\CyberLink DVD Solution\Power2Go\Power2GoExpress.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: &Yahoo! Search - file:///C:\Programme\Yahoo!\Common/ycsrch.htm
O8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Programme\Yahoo!\Common/ycdict.htm
O8 - Extra context menu item: Yahoo! &Maps - file:///C:\Programme\Yahoo!\Common/ycmap.htm
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0521.dll
O9 - Extra->Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Programme\Yahoo!\Messenger\yhexbmes0521.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra->Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://download.games.yahoo.com/games/web_games/popcap/bejeweled2/popcaploader_v6.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{50363A41-73BF-412D-AE86-1D88FE3F60BE}: NameServer = 217.237.150.97 217.237.149.161
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

Silvergryphon schrieb:

Ich habe den Eintag unter O17 auch schon mehrfach gelöscht, aber er kommt immer wieder.

O17 - HKLM\System\CCS\Services\Tcpip\..\{50363A41-73BF-412D-AE86-1D88FE3F60BE}: NameServer = 217.237.150.97 217.237.149.161

Zum Vergrößern anklicken....

wieso löschst du den eintrag? das ist der eintrag für die dns server deines providers (t-online) und die brauchst du ja zwingend zum surfen. und das log sieht auch soweit sauber aus, kannst du auch selber hier www.hijackthis.de überprüfen. wenn du tatsächlich den trojaner drauf haben solltest, hier http://www.sophos.de/virusinfo/analyses/trojcrabtona.html näheres über den trojaner. und bei trojanerbefall empfielt es sich, windows neu aufzuspielen und eventuelle passwörter ändern, da man ja nicht weis was der trojaner schon so alles ins internet weitergeleitet hat ...

greetz

hugo

Hallo zusammen,

dieses Mistvieh hat mich auch viel mehr als nötig geärgert.
Keine Chance diesen Trojaner zu löschen solange er auf der Startpartition
ist. Im Gegenteil. Bei jedem Löschversuch dupliziert sich der TR/agent.
Jeder Löschversuch scheitert weil irgendein Prozess damit verknüpft ist.
Auch ein manuelles beenden von Prozessen hilft nicht sondern führt, wenn
die aktiven Task nacheinander beendet werden zu einem Systemabsturz.

Einzige Möglichkeit meines Wissen ist:
Festplatte ausbauen, in einem anderen Computer mit aktuellem Virenschutz
als Slave einbauen und die Virensuche auf dieser Harddisk ausführen. Ihr
werdet euch wundern wie oft der Trojaner auf der Platte ist.

Anschließend, wenn die Harddisk wieder im ehemals betroffenen Computer
als Master installiert ist, unbedingt noch die letzten Spuren des Trojaners
mit ad-aware beseitigen.

MfG
Albert