Supportnet / Forum / WindowsXP

Hallo allerseits! Habe gerade eine ZIP-Datei bei Kaspersky überprüfen lassen. Ergebnis: Zu überprüfende Datei: w32_API.cab w32_API.cab Archive: CAB w32_API.cab/hermes.exe - packed with UPX w32_API.cab/hermes.exe Infiziert: TrojanDownloader.Win32.Agent.cb w32_API.cab/start.inf Ok Statistiken: Bekannte Viren: 101344 Updated: 13-10-2004 Größe der Datei (Kb): 37 Viren-Korpus: 1 Datei: 4 Warnungen: 0 Archive: 1 Verdächtigt: 0 Kann ich das löschen, wüßte auch gar nicht, was das für eine Datei ist. Danke, Famke

Natürlich kannst du das Löschen - was willst du denn mit einem von Kaspersky gefundenen Virus?

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Danke, Mic, hab ich gelöscht.

Außerdem hab ich unter Arbeitsplatz, C:
-natürlich die ganzen Ordner (Dokumente und Einstellungen, Programme, temp, Windows, usw.)

außerdem: gayyer.exe 30KB Anwendung
bleher.exe 30KB Anwendung
colorful.exe 30KB Anwendung

und: hpfr5100.log Textdokument
syss.txt Textdokument

und dann stand dann noch besagte Datei, die ich ja jetzt gelöscht habe.

Obige Sachen sind alle Virenfrei, aber ich wüßte doch gern, was das eigentlich ist.
Weiß das bitte jemand
Danke im Voraus,
Famke

Die ersten 3 Dateien sind keine Systemdateien - ob du sie einer Anwendung zuordnen kannst müsstest du über die Dateieigenschaften klären (rechte Maus auf die *.exe).
Die letzten 2 (hp = Hewlett Packard?, syss.txt = IRC sessions Logfile?) sagen mir auch nichts.

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Danke dir für Antwort, Mic!
Unter Eigenschaften bei den ersten drei steht nur Dateityp:Anwendung , Beschreibung: gayyer,(bzw.bleher, bzw.colorful)- nichts näheres.

Danke trotzdem,
Famke

Hallo nochmal!
Habe gerade Doppelklick auf "gayyer, bleher und colorful" ausgeführt, wurde früher immer rausgeschmissen, (Task sofort beenden, Programm reagiert nicht), aber jetzt öffnete sich plötzlich folgende Seite im Internet:
http://www.angelfire.com/amiga2/afdfgdfg/googlemail.htm.
Demnach kann ich die drei wohl löschen, oder?
Danke für schon wieder eine Antwort, Gruß
Famke

Draufgeklickt? Mach das mal mit dem Löschen. Und dann lass interessehalber HijackThis laufen, Browser schliessen, keine Installationen nötig. Download.
Geh nach dem Scannen auf Save log..., und schick mir die abgespeicherte Textfile.

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Hi Mic!
Bei mir steht, dass meine aktuellen Sicherheitseinstellungen keinen Download zulassen.
Auch hier http://www.chip.de/downloads/c_downloads_getfile_11353580.html?t=10... funktioniert's nicht.
Ich lasse jetzt AdAware und A-squared drüberlaufen, melde mich morgen wieder!
Gruß Famke

Dann prüf mal ob du (im IE) unter Extras - Internetoptionen - Sicherheit - Stufe anpassen... den Dateidownload deaktiviert hast.

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Hallo schon wieder! Und Hallo Mic!
Ich hoffe mal, das passt jetzt, was ich da fabriziert habe. Habe Hijackthis von http://members.linzag.net/680262/HJT/HijackThis.html#Vorbereitung <-hier.

Mein Logfile: (hoffe ich zumindest)
Logfile of HijackThis v1.97.7
Scan saved at 12:31:02, on 14.10.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\systems.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Dokumente und Einstellungen\MeRoSi\Lokale Einstellungen\Temporary Internet FilesContent.IE5\CZLVAMNX\HijackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} -
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SYSTEM] lsas.exe
O4 - HKLM\..\Run: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\Run: [Print Spooler] spools.exe
O4 - HKLM\..\Run: [System Service] systems.exe
O4 - HKLM\..\Run: [update service] winu32.exe
O4 - HKLM\..\Run: [Services] C:\msg32.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\RunServices: [SYSTEM] lsas.exe
O4 - HKLM\..\RunServices: [System Uptime Server] sysentry32.exe
O4 - HKLM\..\RunServices: [Print Spooler] spools.exe
O4 - HKLM\..\RunServices: [System Service] systems.exe
O4 - HKLM\..\RunServices: [update service] winu32.exe
O4 - HKCU\..\Run: [System Service] systems.exe
O4 - HKCU\..\Run: [Print Spooler] spools.exe
O4 - HKCU\..\Run: [\Pribi.exe] C:\DOKUME~1\MeRoSi\ANWEND~1\Pribi\Pribi.exe
O4 - HKLM\..\RunOnce: [System Service] systems.exe
O4 - HKCU\..\RunOnce: [System Service] systems.exe
O4 - Startup: Ereigniserinnerung.lnk = C:\Program Files\Mindscape\PrintMaster\PMREMIND.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Konsole (HKLM)
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=4e194491be5719023732f1156bc28d53d7e34bc49ac6caf07bb517545b5ec
11aa91f1ff9c5e35277238522e15259a099af4172:cff482a8dc15814f6feed591071fa5ae
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) -
http://h30043.www3.hp.com/hpdj/de/check/qdiagh.cab?323

Bin offen für Vorschläge, da blick ich nicht durch.
Gruß und Danke,
Famke

C:\WINDOWS\System32\systems.exe = Agobot Wurm
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL = Spyware, fixen
O2 - BHO: (no name) - {79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - (no file) = fixen
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} = fixen,

desweiteren alle Einträge die folgende beinhalten:
lsas.exe
sysentry32.exe
spools.exe
systems.exe
Pribi.exe

Alle Aktionen evtl. bei deaktivierter Systemwiederherstellung (ME & XP) und im abgesicherten Modus ausführen - hinterher jeweils neu scannen.

Dann beschäftige dich dringend damit, deine
Browser-Sicherheitseinstellungen anzupassen, und lass ein MS Update laufen - du hast auch ein Prblem mit deinen Netzwerkfreigaben und der RPC/DCOM Lücke.
Edit: und lass Hijack (du hast da ne alte Version) aus einem eigenen Ordner laufen, nicht aus deinen Temps.

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Hi Mic!
C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL = Spyware, fixen
O2 - BHO: (no name) - {79C03BC5-6C55-4B5B-921F-C02B6F1ABD7B} - (no file) = fixen
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} = fixen,
habe ich gefixt.

die gehören auch gefixt?
Famke

lsas.exe gehört zum Wurm Agobot (Netzwerk, RPC Lücke),
spools.exe und sysentry32.exe gehören zu Wurm Rbot (RPC/DCOM Lücke)
systems.exe gehört zum W32Pikis (Verbreitung über Mailattachments),
Pribi.exe ist eine Parasitvariante von FastFind.

Gruss,
Mic

^{Bei Eingriffen ins System, die Registry oder an Systemdateien erst eine Sicherung vornehmen©}

Danke dir für deine Geduld.
Hab übrigens meine Browsereinstellungen angepasst!!
Werd jetzt
lsas.exe
sysentry32.exe
spools.exe
systems.exe
Pribi.exe
fixen.
Gruß Famke

• Schwarze Bildschirm nach Installation von KASPERSKY
• Kaspersky Internet Security 7
• DSL, Internet und Kaspersky
• Kaspersky