Wie entferne ich Virumonde

[raman]

"Jag" nochmal Spybot und Combofix drueber. Denke daran die Dateien zu schicken...

 

[Brainmaster]

Guten Abend,
ich möchte hier die Komunikation nicht stören.Aber ich habe das selbe Problem.Spybot-S&D findet immer wieder 3 Einträge zu Virumonde und 1 Eintrag zu Virumonde.rtk.Habe Spybot-S&D jetzt bestimmt schon 5 mal durchlaufen lassen aber es kommt immer wieder.

Meine Spybot-S&D Version ist: 1.5.1.15
Letzte Erkennungsregel : 01.11.2007

Habe wie MisterW beschrieben den Bericht erstellt.
Ich warte mit dem posten aber noch bevor sonst noch etwas mit den Daten von Emin3m durcheinander geht.

Sollte ich vielleicht besser nen neuen Thread aufmachen?Bin neu hier im Forum und möchte nicht alles durcheinander bringen.

Vielen Dank schon mal im Vorraus :bigthumb: .

Stephan *totalverzweifeltist*

 

[raman]

Eroeffne ueber diesen Link http://forums.spybot.info/newthread.php?do=newthread&f=15 einfach ein neues Thema mit deinem Problem und dem Spybot Report(kurzen Report, oder besser den Report ueber "manage attachement" anhaengen), du kannst gleich ein Combofix Report mit anhaengen.

 

[EMIN3M]

So, S&D hat zu Virumonde nix mehr gefunden. Während des Scans mit ComboFix hat er wieder diesen einen Trojaner gemeldet, hat aber keinen Reboot gemacht, wie sonst üblich. Am Ende hat er mir wieder eine "[4]-Submit_2007-11-07@15.09"-Datei raus geschmissen. Die werde ich auch wieder an die 2 Mail Adressen schicken. Die vorherige habe ich schon heute Mittag weg geschickt. Hier nochmal der Log nach dem letzten Scan mit ComboFix:

ComboFix 07-11-08.1 - Damian Wieczorek 2007-11-07 20:44:11.4 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.1.1252.1.1031.18.604 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Damian Wieczorek\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((( Dateien erstellt von 2007-10-08 bis 2007-11-08 ))))))))))))))))))))))))))))))
.

2007-11-07 08:21 51,200 --a------ C:\WINDOWS\NirCmd.exe
2007-11-05 23:06 <DIR> d-------- C:\Dokumente und Einstellungen\Damian Wieczorek\Gadu-Gadu
2007-10-30 19:22 <DIR> d-------- C:\WINDOWS\system32\OKIK.ECT
2007-10-29 21:43 19,968 -ra------ C:\WINDOWS\system32\runsetup.dll
2007-10-29 21:23 104,368 --a------ C:\WINDOWS\system32\DCOMPERM.DLL
2007-10-29 21:23 67,440 --a------ C:\WINDOWS\system32\DCP.EXE
2007-10-29 21:22 <DIR> d-------- C:\Programme\PrintSuperVision
2007-10-29 21:22 4,096 --a------ C:\WINDOWS\system32\aspSmartUploadUtil.dll
2007-10-29 21:08 <DIR> d-------- C:\WINDOWS\IIS Temporary Compressed Files
2007-10-29 21:06 <DIR> d-------- C:\Inetpub
2007-10-29 21:04 <DIR> d-------- C:\WINDOWS\system32\Logfiles
2007-10-28 18:00 <DIR> d-------- C:\Programme\Jetsuite

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-11-07 19:17 13,440 ----a-w C:\WINDOWS\GPCIDrv.sys
2007-11-07 19:16 17,962 ----a-w C:\WINDOWS\system32\drivers\GVTDrv.sys
2007-11-06 18:23 --------- d-----w C:\Dokumente und Einstellungen\Damian Wieczorek\Anwendungsdaten\phonostar-Player
2007-10-29 20:22 --------- d--h--w C:\Programme\InstallShield Installation Information
2007-09-29 16:27 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
2007-09-29 15:33 --------- d-----w C:\Programme\BMW M3 Challenge
2007-09-14 19:40 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2007-09-11 18:29 --------- d-----w C:\Programme\DivX
2005-07-23 19:07 75,400 ----a-w C:\Dokumente und Einstellungen\Damian Wieczorek\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2003-09-05 17:02 266 --sh--w C:\Programme\desktop.ini
2003-09-05 17:02 11,253 ---ha-w C:\Programme\folder.htt
.

((((((((((((((((((((((((((((( snapshot@2007-11-07_ 8.39.48.64 )))))))))))))))))))))))))))))))))))))))))
.
- 2007-11-07 07:36:24 16,384 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
+ 2007-11-07 19:16:37 16,384 ----a-w C:\WINDOWS\system32\config\systemprofile\Cookies\index.dat
- 2007-11-07 07:36:24 180,224 ----a-w C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat
+ 2007-11-07 19:16:37 180,224 ----a-w C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat
- 2007-11-07 07:36:24 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\index.dat
+ 2007-11-07 19:16:37 32,768 ----a-w C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\index.dat
- 2007-11-07 07:36:57 206,626 ----a-w C:\WINDOWS\system32\inetsrv\MetaBase.bin
+ 2007-11-07 19:20:46 206,422 ----a-w C:\WINDOWS\system32\inetsrv\MetaBase.bin
- 2007-10-30 17:48:33 85,824 ----a-w C:\WINDOWS\system32\perfc007.dat
+ 2007-11-07 08:33:57 85,824 ----a-w C:\WINDOWS\system32\perfc007.dat
- 2007-10-30 17:48:33 73,068 ----a-w C:\WINDOWS\system32\perfc009.dat
+ 2007-11-07 08:33:57 73,068 ----a-w C:\WINDOWS\system32\perfc009.dat
- 2007-10-30 17:48:33 460,088 ----a-w C:\WINDOWS\system32\perfh007.dat
+ 2007-11-07 08:33:57 460,088 ----a-w C:\WINDOWS\system32\perfh007.dat
- 2007-10-30 17:48:33 437,948 ----a-w C:\WINDOWS\system32\perfh009.dat
+ 2007-11-07 08:33:57 437,948 ----a-w C:\WINDOWS\system32\perfh009.dat
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MULTIMEDIA KEYBOARD"="C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe" [2001-12-05 08:13]
"NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2005-06-15 16:20]
"etMonitor"="C:\WINDOWS\etMon.exe" [2005-07-26 18:45]
"NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2005-06-15 16:20]
"VGAUtil"="C:\Programme\GigaByte\VGA Utility Manager\G-VGA.exe" [2006-05-17 13:50]
"Sunkist2k"="C:\Programme\Multimedia Card Reader\shwicon2k.exe" [2005-10-07 16:42]
"C-Media Mixer"="Mixer.exe" [2002-10-15 18:00 C:\WINDOWS\mixer.exe]
"NWEReboot"="" []
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2004-11-17 18:28]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2005-01-10 20:53]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2007-10-12 18:19]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 18:51]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Steam"="c:\programme\valve\steam\steam.exe" [2007-10-05 07:18]
"Philips Intelligent Agent"="C:\Programme\Philips Intelligent Agent\Philips Intelligent Agent.exe" [2007-03-06 10:58]
"LDM"="\Program\BackWeb-8876480.exe" []

C:\Dokumente und Einstellungen\Damian Wieczorek\Startmen\Programme\Autostart\
UMAX VistaAccess.lnk - C:\Programme\VSTASCAN\vsaccess.exe [2003-09-06 16:34:24]

C:\Dokumente und Einstellungen\All Users\Startmen\Programme\Autostart\
DllCmd32.lnk - C:\Programme\Jetsuite\DLLCMD32.EXE [2007-10-28 18:00:25]
Jetsuite Pro Status.lnk - C:\Programme\Jetsuite\JETSTAT.EXE [2007-10-28 18:00:15]
Logitech Desktop Messenger.lnk - C:\Programme\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe [2005-05-06 18:40:07]
Logitech SetPoint.lnk - C:\Programme\Logitech\SetPoint\KEM.exe [2005-05-06 18:38:41]
Microsoft Office.lnk - C:\Programme\Microsoft Office\Office10\OSA.EXE [2001-02-13 00:01:04]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"SoniqueQuickStart"=C:\Programme\Sonique\sqstart.exe -nostick
"updateMgr"="C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
"ctfmon.exe"=C:\WINDOWS\System32\ctfmon.exe
"Philips Intelligent Agent"="C:\Programme\Philips Intelligent Agent\Philips Intelligent Agent.exe" /SILENT

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" -atboottime
"CloneCDTray"="C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
"InCD"=C:\Programme\Nero\Nero 7\InCD\InCD.exe
"LanguageShortcut"=C:\Programme\CyberLink\PowerDVD\Language\Language.exe
"NeroFilterCheck"=C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
"RemoteControl"=C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
"SecurDisc"=C:\Programme\Nero\Nero 7\InCD\NBHGui.exe
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"

R0 avgntmgr;avgntmgr;C:\WINDOWS\System32\drivers\avgntmgr.sys
R0 axwhisky;axwhisky;C:\WINDOWS\System32\DRIVERS\axwhisky.sys
R0 axwskbus;axwskbus;C:\WINDOWS\System32\DRIVERS\axwskbus.sys
R1 avgntdd;avgntdd;C:\WINDOWS\System32\DRIVERS\avgntdd.sys
R1 js1284;js1284;C:\WINDOWS\System32\drivers\js1284.sys
R1 jsmux;jsmux;C:\WINDOWS\System32\drivers\jsmux.sys
R1 jsscan;jsscan;C:\WINDOWS\System32\drivers\jsscan.sys
R1 msikbd2k;Multimedia Keyboard Filter Driver;C:\WINDOWS\System32\DRIVERS\msikbd2k.sys
R1 SSHDRV58;SSHDRV58;\??\C:\WINDOWS\System32\drivers\SSHDRV58.sys
R1 VBoxDrv;VirtualBox Service;C:\WINDOWS\System32\DRIVERS\VBoxDrv.sys
R2 elcapi20;elcapi20;C:\WINDOWS\System32\Drivers\elcapi20.sys
R2 GVCplDrv;GVCplDrv;C:\WINDOWS\System32\drivers\GVCplDrv.sys
R2 jsfax;jsfax;C:\WINDOWS\System32\drivers\jsfax.sys
R2 jspclcap;jspclcap;C:\WINDOWS\System32\drivers\jspclcap.sys
R2 nhksrv;Netropa NHK Server;C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
R2 okidaemon;okidaemon;c:\Programme\Jetsuite\okidaemon.exe
R2 ousbehci;NEC PCI to USB Enhanced Host Controller;C:\WINDOWS\System32\Drivers\ousbehci.sys
R2 PrintSupervisor;PrintSuperVisor;C:\Programme\PrintSuperVision\PrintSuperVision\PSVService.exe
R2 RVS_CE;RVS CAPI;C:\WINDOWS\system32\rvs_cent.exe
R2 rvsport;RVS Virtual COM Port;C:\WINDOWS\System32\drivers\rvsport.sys
R2 SMTPSVC;Simple Mail Transfer Protocol (SMTP);C:\WINDOWS\System32\inetsrv\inetinfo.exe
R3 DCamUSBET;ET USB 2710 Camera;C:\WINDOWS\System32\DRIVERS\etDevice.sys
R3 ElgTaDrv;T-Concept X USB System Driver;C:\WINDOWS\System32\Drivers\ElgTaDrv.sys
R3 FiltUSBET;ET USB Device Lower Filter;C:\WINDOWS\System32\DRIVERS\etFilter.sys
R3 GPCIDrv;GPCIDrv;\??\C:\WINDOWS\GPCIDrv.sys
R3 GVTDrv;GVTDrv;\??\C:\WINDOWS\System32\Drivers\GVTDrv.sys
R3 ousb2hub;OrangeWare USB 2.0 Root Hub Support;C:\WINDOWS\System32\DRIVERS\ousb2hub.sys
R3 ScanUSBET;ET USB Still Image Capture Device;C:\WINDOWS\System32\DRIVERS\etScan.sys
R3 VBoxUSBFlt;VirtualBox USB Filter Driver;C:\WINDOWS\System32\DRIVERS\VBoxUSBFlt.sys
R3 WmBEnum;Logitech Virtual Bus Enumerator Driver;C:\WINDOWS\System32\drivers\WmBEnum.sys
R3 WmFilter;Logitech WingMan HID Filter Driver;C:\WINDOWS\System32\drivers\WmFilter.sys
R3 WmXlCore;Logitech WingMan Translation Layer Driver;C:\WINDOWS\System32\drivers\WmXlCore.sys
S1 AEC671X;AEC671X;C:\WINDOWS\System32\drivers\AEC671X.SYS
S1 DMX3191;DMX3191;C:\WINDOWS\System32\drivers\DMX3191.SYS
S2 Ca533av;Icatch(IV) Video Camera Device;C:\WINDOWS\System32\Drivers\Ca533av.sys
S2 UDNT;UDNT;C:\WINDOWS\System32\drivers\UDNT.sys
S3 CoolerXPDriver;CoolerXPDriver;\??\C:\Programme\MSI\PC Alert 4\NTCooler.sys
S3 DCamUSBGrandTek;StyloCam PC Camera.;C:\WINDOWS\System32\Drivers\stylox1.SYS
S3 GT891x;StyloCam DSC;C:\WINDOWS\System32\Drivers\stylox0.SYS
S3 RvscomSv;RvscomSv;C:\Programme\Teledat\WCOM\SYSTEM\RVSCOMSV.EXE
S3 USBCamera;Icatch(IV) Still Camera Device;C:\WINDOWS\System32\Drivers\Bulk533.sys
S3 VGAUTI;VGAUTI;\??\C:\WINDOWS\System32\DRIVERS\VGAUTI.sys
S3 WmVirHid;Logitech Virtual Hid Device Driver;C:\WINDOWS\System32\drivers\WmVirHid.sys
S4 jsdbg;jsdbg;C:\WINDOWS\System32\drivers\jsdbg.sys

.
**************************************************************************

catchme 0.3.1250 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-11-08 20:48:53
Windows 5.1.2600 Service Pack 1 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

**************************************************************************
.
Zeit der Fertigstellung: 2007-11-08 20:50:24
.
--- E O F ---

 

[EMIN3M]

Was mir jetzt nur noch aufgefallen ist, dass mein PC sehr langsam ist und ein Prozess Namens "inetinfo.exe" 99% meiner Systemauslastung ausmacht. Was könnte das sein. Ich meine diesen Prozess niemals da drin gesehn zu haben. Oder liegt es an der starken Heuristik-Suche von AntiVir, dass der Rechner so hängt?

 

[raman]

Das sieht recht Ordentlich aus. Du kannst noch einen Kontrollscan mit drweb Cureit machen: http://freedrweb.com/?lng=de
Oder mit einem Kaspersky Onlinescan: http://www.kaspersky.com/virusscanner

Sollten diese beiden nichts finden aktualisiere dein Windows bitte via www.windowsupdate.com !

 

[raman]

Nachtrag. Starte bitte auch nochmal combofix, waehle aber diesmal nicht 1, sondern druecke 2, das deinstalliert Combofix und dessen Backups...

Nachtrag2: Unser SMTP Server zickt gerade etwas rum, die Dateien aus deiner 2. Mail waren die gleichen. Loesche bitte das Archiv.

 

[EMIN3M]

Also wenn ich ComboFix jetzt starte fängt er sofort an zu scannen. Er fragt mich nicht mehr nach 1 oder 2. Was mach ich falsch?

 

[raman]

Wohl nichts.... Dann geben bitte unter start Ausfuehren "combofix /u" ohne die " ein und druecke enter...

 

[EMIN3M]

Das Deinstallieren hat so mit Combofix geklappt.

Der Scan mit Dr Web hat leider noch was gefunden. Hänge dir den Bericht mit dran. Müsstest nur die .txt in .csv umbennenen.

Mache jetzt einen Reboot und dann nen Scan mit Kaspersky. Schreibe den Bericht dann hier rein.

 

[raman]

Das ist in Ordnung. Vnc ist Okay, sofern du es nutzt, nutzt du es nicht, deinstalliere es via Software, das andere hat Drweb ja bereits geloescht.

 

[EMIN3M]

Ja, VNC nutze ich.

Meinst du, dass wird auch weg bleiben oder regeneriert sich das wieder? Soll ich später nochmal mit DrWeb scannen?

 

[raman]

Das sollte weg bleiben, wenn du kein dummes Zeug anstellst!
Sprich Finger weg von "grenzwertiger" Software oder Seiten und halte dein Windows sowie Schutzprogramme aktuell. Dein Windows ist es derzeit bei weitem nicht..... Also aktualisiere es bitte.

 

[EMIN3M]

Nuja, ich hab das Teil mir auf einer Seite eingefangen, vermute ich zumindest. In Zukunft nehm ich dafür lieber Knoppix und nicht Windows. Ich denke da bin ich dann etwas sicherer unterwegs, oder?
Schutzprogramme halte ich grundsätzlich aktuell und normalerweise erstelle ich auch regelmässig Systemwiederherstellungspunkte. Irgendwie waren die aber alle weg, wo das mit dem Virumonde kam.
Ja, das mit dem Win-Update is auf dem Rechner etwas problematisch... :fear:
Kaspersky scannt jetzt gerade noch und dann melde ich mich hier nochmal.

 

[raman]

Nuja, ich hab das Teil mir auf einer Seite eingefangen, vermute ich zumindest. In Zukunft nehm ich dafür lieber Knoppix und nicht Windows. Ich denke da bin ich dann etwas sicherer unterwegs, oder?

Es gibt unter Windows auch schon moeglichkeiten, wie die Nutzung eines eingeschraengten Benutzerkontos, sowie das nutzen von Firefox und dem Plugin Noscript. Am besten ist natuerlich, sich gaenzlich von solchen Seiten und Software fernzuhalten.

Ja, das mit dem Win-Update is auf dem Rechner etwas problematisch...

Du wirst ueber kurz oder lang nicht um Updates herumkommen, da so zuviele Sicherheitsluecken existieren....

 

[EMIN3M]

Das ist der Bericht aus Kaspersky als Anhang. Außer VNC hat er glaub ich nichts gefunden, oder?
Bin ich jetzt "geheilt" oder soll ich noch was machen?

 

[raman]

Bin ich jetzt "geheilt" oder soll ich noch was machen?

Jepp, als geheilt entlassen......

 

[EMIN3M]

Vielen herzlichen Dank für Deine Hilfe!
Wenn ich mal irgendwie helfen kann, anmailen.
Hoffe solche Probleme werden bald auch von Spybot oder Viren-Scannern beseitigt. Oder gibt es da keine Aussicht drauf?

 

[raman]

Es wird immer Dinge geben, die kein AV oder AS Programm beseitigen kann. Wichtig ist in meinen Augen, das man es auch erst garnicht dazu kommen lassen sollte.

Da das eigentliche Problem geloest ist, mache ich den Thread hier zu, wenn du ihn wieder geoeffnet haben musst/moechtest, schreib mir eine PM.