Virusfund von GDATA

Hallo Forum,

während eines Updates der AOL-Software kam folgende Meldung vom GDATA Virenscanner:

Virus: Win32:Trojan-gen
Datei: utility.dll
Verzeichnis: C:\Dokumente und Einstellungen usw. (Siehe unten)
Prozess: acsrollb.exe

---------------------------------------------------------------------------------------

Ich habe danach mit der GDATA BOOT-CD, basierend auf Linux, einen Scan des gesamten Rechners durchgeführt.
Es wurden keine Viren gefunden, aber eine als Defekt erkannte Datei sysres.dll

Ein anschließender Scan mit dem Virenscanner unter Win XP (als Admin) brachte folgendes Ergebnis:

0 infizierte Dateien
0 verdächtige Dateien


In den Protokollen abgespeicherte Meldungen G DATA Internet Security 2007:

Beim Öffnen der Datei C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nso2B.tmp\utility.dll wurde der Virus Win32:Trojan-gen {Other} von der Engine Avast entdeckt. Datei gesäubert: nein. Datei gelöscht: nein. Quarantäne: nein.

Beim Öffnen der Datei C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsu28.tmp\utility.dll wurde der Virus Win32:Trojan-gen {Other} von der Engine Avast entdeckt. Datei gesäubert: nein. Datei gelöscht: nein. Quarantäne: nein.

Beim Öffnen der Datei C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsi21.tmp\utility.dll wurde der Virus Win32:Trojan-gen {Other} von der Engine Avast entdeckt. Datei gesäubert: nein. Datei gelöscht: nein. Quarantäne: nein.

Beim Öffnen der Datei C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsz19.tmp\utility.dll wurde der Virus Win32:Trojan-gen {Other} von der Engine Avast entdeckt. Datei gesäubert: nein. Datei gelöscht: nein. Quarantäne: nein.



In Quarantäne:

Virus Datei Verzeichnis
Win32:Trojan-gen {Other} utility.dll C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nso2B.tmp
Win32:Trojan-gen {Other} utility.dll C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsu28.tmp
Win32:Trojan-gen {Other} utility.dll C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsi21.tmp
Win32:Trojan-gen {Other} utility.dll C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\nsz19.tmp


Was muß ich jetzt unternehmen ?
Ist mein Rechner verseucht ?
Soll ich neu aufsetzen ?

Außerdem ist mir aufgefallen, das in den Protokollen mehrere Einträge vorhanden sind bei denen der Virenscannerstatus oder Virenupdate auf läuft steht!, und das im Januar 2008!!!
Was hat das zu bedeuten ?

Wenn jemandem was dazu einfällt, bitte melden, ich freue mich über jede Antwort !
(bitte so schreiben, das auch ein Laie wie ich es versteht)

Vielen Dank im Voraus

Gruß, Rolli

hi


http://www.wintotal-forum.de/index.php/topic,147847.0.html

von dieser seite die anleitung für das tool RSIT abarbeiten, die beiden logs hier posten.

Hallo schrauber,

erstmal danke für Deine Hilfe !

ich habe die Log´s erstellt:
---------------------------------------------------------------------------
Logfile of random's system information tool 1.04 (written by random/random)
Run by ***** at 2008-09-30 18:24:07
Microsoft Windows XP Home Edition Service Pack 2
System drive C: has 39 GB (78%) free of 50 GB
Total RAM: 1535 MB (58% free)


======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0124123D-61B4-456f-AF86-78C53A0790C5}]
G DATA WebFilter - C:\Programme\G DATA InternetSecurity\Webfilter\AVKWebIE.dll [2006-09-05 237568]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
Adobe PDF Reader - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll [2006-10-22 62080]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{327C2873-E90D-4c37-AA9D-10AC9BABA46C} - Easy-WebPrint - C:\Programme\Canon\Easy-WebPrint\Toolband.dll [2004-08-26 405504]
{0124123D-61B4-456f-AF86-78C53A0790C5} - G DATA WebFilter - C:\Programme\G DATA InternetSecurity\Webfilter\AVKWebIE.dll [2006-09-05 237568]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
SunJavaUpdateSched=C:\Programme\Java\jre1.5.0\bin\jusched.exe [2007-07-24 36972]
SoundMan=C:\WINDOWS\SOUNDMAN.EXE [2005-01-10 77824]
ATIPTA=C:\ATI-CPanel\atiptaxx.exe [2004-11-24 344064]
NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe [2001-07-09 155648]
Easy-PrintToolBox=C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE [2004-01-14 409600]
AOLDialer=C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe [2007-06-21 70952]
QuickTime Task=C:\Programme\QuickTime\qttask.exe [2007-07-24 98304]
AVKTray=C:\Programme\G DATA InternetSecurity\AVKTray\AVKTray.exe [2006-09-07 868352]
KernelFaultCheck=C:\WINDOWS\system32\dumprep 0 -k []

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe [2004-08-04 15360]

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
Adobe Reader - Schnellstart.lnk - C:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
Adobe Reader Synchronizer.lnk - C:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
AOL 9.0 Tray-Symbol.lnk - C:\Programme\AOL 9.0\aoltray.exe
G DATA Firewall Tray.lnk - C:\Programme\G DATA InternetSecurity\Firewall\GDFirewallTray.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\AtiExtEvent]
C:\WINDOWS\system32\Ati2evxx.dll [2004-11-25 94208]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
dontdisplaylastusername=1
legalnoticecaption=
legalnoticetext=
shutdownwithoutlogon=1
undockwithoutlogon=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
NoDriveTypeAutoRun=145

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
%windir%\system32\sessmgr.exe=%windir%\system32\sessmgr.exe:*:enabledxpsp2res.dll,-22019
G:\FSETUP.EXE=G:\FSETUP.EXE:*:Enabled:FSetup Application
C:\Programme\Gemeinsame Dateien\aol\ACS\AOLDial.exe=C:\Programme\Gemeinsame Dateien\aol\ACS\AOLDial.exe:*:Enabled:AOL
C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe=C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe:*:Enabled:AOL
C:\Programme\AOL 9.0\waol.exe=C:\Programme\AOL 9.0\waol.exe:*:Enabled:AOL 9.0
C:\Programme\Gemeinsame Dateien\aol\1222250105\ee\aolsoftware.exe=C:\Programme\Gemeinsame Dateien\aol\1222250105\ee\aolsoftware.exe:*:Enabled:AOL Shared Components

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
%windir%\system32\sessmgr.exe=%windir%\system32\sessmgr.exe:*:enabledxpsp2res.dll,-22019
C:\Programme\Gemeinsame Dateien\aol\ACS\AOLDial.exe=C:\Programme\Gemeinsame Dateien\aol\ACS\AOLDial.exe:*:Enabled:AOL
C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe=C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe:*:Enabled:AOL
C:\Programme\AOL 9.0\waol.exe=C:\Programme\AOL 9.0\waol.exe:*:Enabled:AOL 9.0

======List of files/folders created in the last 1 months======

2008-09-30 18:24:08 ----D---- C:\Programme\trend micro
2008-09-30 18:24:07 ----D---- C:\rsit
2008-09-24 11:51:43 ----D---- C:\Programme\AOL

======List of files/folders modified in the last 1 months======

2008-09-30 18:24:25 ----D---- C:\WINDOWS\Temp
2008-09-30 18:24:08 ----RD---- C:\Programme
2008-09-29 20:34:37 ----A---- C:\WINDOWS\SchedLgU.Txt
2008-09-28 00:15:47 ----D---- C:\Programme\Gemeinsame Dateien\aol
2008-09-27 11:41:55 ----D---- C:\WINDOWS\system32\CatRoot2
2008-09-24 11:59:33 ----D---- C:\WINDOWS
2008-09-24 11:56:41 ----D---- C:\WINDOWS\system32\drivers
2008-09-24 11:56:21 ----HD---- C:\WINDOWS\inf
2008-09-24 11:56:21 ----D---- C:\WINDOWS\system32\CatRoot
2008-09-24 11:55:31 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AOL
2008-09-24 11:50:53 ----D---- C:\Programme\AOL 9.0
2008-09-24 11:49:14 ----A---- C:\WINDOWS\win.ini
2008-09-24 11:49:13 ----D---- C:\WINDOWS\Prefetch
2008-09-03 21:31:10 ----RSHDC---- C:\WINDOWS\system32\dllcache
2008-09-03 21:30:41 ----D---- C:\WINDOWS\system32
2008-09-03 19:49:28 ----D---- C:\WINDOWS\Help
2008-09-01 20:03:23 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ZoomBrowser

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 AmdK8;AMD Athlon64 Processor Driver; C:\WINDOWS\system32\DRIVERS\AmdK8.sys [2004-04-30 35840]
R2 GDTdiInterceptor;GDTdiInterceptor; \??\C:\WINDOWS\system32\drivers\GDTdiIcpt.sys []
R3 ALCXWDM;Service for Realtek AC97 Audio (WDM); C:\WINDOWS\system32\drivers\ALCXWDM.SYS [2005-01-10 2304320]
R3 Arp1394;1394-ARP-Clientprotokoll; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2004-08-04 60800]
R3 ati2mtag;ati2mtag; C:\WINDOWS\system32\DRIVERS\ati2mtag.sys [2004-11-25 872960]
R3 atinevxx;ATI WDM Rage Theater Video NSP; C:\WINDOWS\system32\DRIVERS\atinevxx.sys [2004-09-16 186368]
R3 GDMnIcpt;GDMnIcpt; \??\C:\WINDOWS\system32\drivers\MiniIcpt.sys []
R3 GEARAspiWDM;GEARAspiWDM; C:\WINDOWS\System32\Drivers\GEARAspiWDM.sys [2006-07-14 14448]
R3 HookCentre;HookCentre; \??\C:\WINDOWS\system32\drivers\HookCentre.sys []
R3 MVDCODEC;ATI WDM Specialized MVD Codec; C:\WINDOWS\system32\DRIVERS\atinmdxx.sys [2004-09-16 13824]
R3 NIC1394;1394-Netzwerktreiber; C:\WINDOWS\system32\DRIVERS\nic1394.sys [2004-08-04 61824]
R3 NVENETFD;NVIDIA nForce Networking Controller Driver; C:\WINDOWS\system32\DRIVERS\NVENETFD.sys [2004-11-24 33408]
R3 nvnetbus;NVIDIA Network Bus Enumerator; C:\WINDOWS\system32\DRIVERS\nvnetbus.sys [2004-11-24 12928]
R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\system32\DRIVERS\usbehci.sys [2004-08-04 26624]
R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\system32\DRIVERS\usbhub.sys [2004-09-16 57856]
R3 usbohci;Miniporttreiber für Microsoft USB Open Host-Controller; C:\WINDOWS\system32\DRIVERS\usbohci.sys [2004-08-04 17024]
R3 usbstor;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 26496]
R3 wanatw;WAN Miniport (ATW); C:\WINDOWS\system32\DRIVERS\wanatw4.sys [2003-01-10 33588]
S3 CCDECODE;Untertiteldecoder; C:\WINDOWS\system32\DRIVERS\CCDECODE.sys [2004-08-03 17024]
S3 MSTEE;Microsoft Streaming Tee/Sink-to-Sink-Konvertierung; C:\WINDOWS\system32\drivers\MSTEE.sys [2004-08-03 5504]
S3 NABTSFEC;NABTS/FEC VBI-Codec; C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys [2004-08-03 85376]
S3 NdisIP;Microsoft TV-/Videoverbindung; C:\WINDOWS\system32\DRIVERS\NdisIP.sys [2004-08-03 10880]
S3 SLIP;BDA Slip De-Framer; C:\WINDOWS\system32\DRIVERS\SLIP.sys [2004-08-03 11136]
S3 streamip;BDA-IPSink; C:\WINDOWS\system32\DRIVERS\StreamIP.sys [2004-08-03 15360]
S3 usbprint;Microsoft USB-Druckerklasse; C:\WINDOWS\system32\DRIVERS\usbprint.sys [2004-08-03 25856]
S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 15104]
S3 WSTCODEC;World Standard Teletext-Codec; C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS [2004-08-03 19328]
S4 atapi;atapi; C:\WINDOWS\system32\drivers\atapi.sys [2004-08-04 95360]
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 AOL ACS;AOL Connectivity Service; C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe [2006-10-23 46640]
R2 Ati HotKey Poller;Ati HotKey Poller; C:\WINDOWS\system32\Ati2evxx.exe [2004-11-25 425984]
R2 AVKProxy;AVKProxy; C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe [2006-08-23 577536]
R2 AVKService;AVK Service; C:\Programme\G DATA InternetSecurity\AVK\AVKService.exe [2006-09-04 397312]
R2 AVKWCtl;AVK Wächter; C:\Programme\G DATA InternetSecurity\AVK\AVKWCtl.exe [2006-09-11 1200128]
R2 CCALib8;Canon Camera Access Library 8; C:\Programme\Canon\CAL\CALMAIN.exe [2006-03-30 96341]
R2 UMWdf;Windows User Mode Driver Framework; C:\WINDOWS\system32\wdfmgr.exe [2004-08-10 38912]
R3 GDFwSvc;G DATA Personal Firewall; C:\Programme\G DATA InternetSecurity\Firewall\GDFwSvc.exe [2006-09-14 987136]
S3 aspnet_state;ASP.NET-Statusdienst; C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe [2004-07-15 32768]
S3 IDriverT;InstallDriver Table Manager; C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe [2005-02-24 73728]

-----------------EOF-----------------

http://www.wintotal-forum.de/index.php/topic,147847.0.html

von der seite die anleitung für malwarebytes abarbeiten.

===

ATF - Cleaner

• Download Atf Cleaner Windows
• Setze Häkchen in alle Fächer, wie du es hier siehst:

und

• Leere damit die temporären Ordner unter den Benutzer Accounts und im Administrator Account.
• Leere die temporären Ordner in Firefox und/oder Opera, wenn vorhanden.
• Wiederhole den Vorgang solange, bis 0 Funde angezeigt werden.
• Wiederhole diesen Vorgang nach jedem Besuch im Netz, unter dem Account, mit dem du im Netz warst.

====

http://support.f-secure.com/ger/home/ols.shtml

diesen onlinescan machen mit dem internet explorer, evtl funde löschen, log posten

===

obigem link zur sammlung der anleitung folgen, anleitung für systemwiederherstellung abarbeiten.



alle logs posten .

Hallo schrauber,

hier ist das Log von Malwarebytes:

Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1225
Windows 5.1.2600 Service Pack 2

03.10.2008 20:41:09
mbam-log-2008-10-03 (20-41-09).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 56292
Laufzeit: 41 minute(s), 44 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


Heißt das jetzt das mein Rechner sauber ist ?

Gruß R.

Heißt das jetzt das mein Rechner sauber ist ?

Zum Vergrößern anklicken....

Nichts auffälliges. Ich gehe mal ganz stark von einem Fehlalarm aus.

jepp, sehe ich auch so. bitte den rest der anleitung noch abarbeiten. atf-cleaner löscht den angesammelten müll, die swh sollte man bereinigen und der onliescan schaut bis in die tiefen des pc, das auch wirklich nix auf dem rechner ist, was nicht da hingehört.

Danke für eure Antworten

Ich gehe mal ganz stark von einem Fehlalarm aus.

Zum Vergrößern anklicken....

Das wäre ja gut!

Was mache ich denn mit den 4 Dateien in der Quarantäne? Kann ich die desinfizieren (so steht das bei GDATA) oder löschen.
Oder verschwinden die wenn ich den Rest von der Anleitung abarbeite?

Gruß R.

kannste desinfizieren, bzw löschen, ist eigentlich egal

Hallo schrauber,

ich habe den Rest der Anleitung abgearbeitet, hier das Log von F-Secure:

F-Secure Online Scanner 3.3.1 - Scanning Report - Sunday, October 05, 2008 14:12:53Scanning
Report
Sunday, October 05, 2008 13:15:25 - 14:12:53
Computer name: *********
Scanning type: Scan system for malware, rootkits
Target: C:\ D:\ E:\ F:\



Result: 3 malware found
TrackingCookie.2o7 (spyware)
System
TrackingCookie.Atdmt (spyware)
System
TrackingCookie.Doubleclick (spyware)
System



Statistics
Scanned:
Files: 30317
System: 3097
Not scanned: 6
Actions:
Disinfected: 0
Renamed: 0
Deleted: 0
None: 3
Submitted: 0
Files not scanned:
C:\PAGEFILE.SYS
C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
C:\WINDOWS\SYSTEM32\CONFIG\SAM
C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM



Options
Scanning engines:
F-Secure USS: 2.30.0
F-Secure Hydra: 2.8.8110, 2008-10-05
F-Secure AVP: 7.0.171, 2008-10-04
F-Secure Pegasus: 1.20.0, 2008-09-02
F-Secure Blacklight: 1.0.68
Scanning options:
Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF
VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI
MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0
TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ZIP XXX ANI AVB
BAT CMD JPG LSP MAP MHT MIF PHP POT SWF WMF NWS TAR
Use Advanced heuristics

Zum Vergrößern anklicken....

Ich habe die 3 Cookies löschen lassen (sind aber wohl nicht gefährlich?), ansonsten wurde nichts gefunden!
Sieht wohl so aus, das mein PC sauber ist, und hoffentlich auch sauber bleibt .

Ich habe die Dateien in der Quarantäne gelöscht, desinfizieren hat nicht funktioniert.

Vielen Dank für Deine Hilfe!, auch Dank an ohmsl !

Gruß R.