Trojaner auf dem PC

[n0ci]

Hi,

hab irgendnen Wurm oder Trojaner auf meinen PC, kenn mich da nicht so aus.
Jedenfalls wenn ich den IE starten will, zeigt mir mein AntiVir immer ne Meldung "C:\Windows\System32\tdev.dll" ist ein trojanisches Pferd.
Wenn ich z.B. Ad-Aware laufen lasse, zeigt mir mein AntiVir auch immer so Meldungen an.
Und als ich gestern AntiVir mal hab laufen lassen, kamen 215!!! Meldungen.
Habs schon mit Spybot, Fixblaster (son Prog von Symantec) probiert.

Könnt ihr mir weiterhelfen???

 

[Fimbul]

Erstmal solltest Du die Virensuche/-entfernung im abgesicherten Modus von Windows laufen lassen. Idealerweise überhaupt von zB einer Linuxoberfläche, aber das scheidet wohl aus.

Zusätzlich noch Ewido ( www.ewido.net/de ) runteladen, updaten und scannen lassen. Das findet auch recht viel. Adaware ist leider nicht so effektiv wenns ums löschen geht, und auch nicht wirklich so auf Trojaner ausgelegt wie man es sich wünschen würde.

 

[HanFred]

1. nur ein thema eröffnen, wenn du auch nur ein thema anzubieten hast. crosspostings sind nicht erwünscht.
2. falsches forum... hab das hier stehen lassen, weil schon eine antwort da stand. ich schiebs nach software allgemein, da war der andere.

 

[n0ci]

hab jetzt mal ewido im abgesicherten modus laufen lassen, er hat auch einiges gefunden und gelöscht bzw. in quaratäne gesetzt.
allerdings findet er eine datei immer wieder. sie heißt "trojan.virtumod". die werd ich irgendwie nich los.

hab dann den pc wieder normal gestartet, und es waren immer noch die meldungen von antivir da. ganz viele *.exe dateien im system bzw. system32 ordner. und immer noch die meldung wegen der "tdev.dll" datei.

und die trojan.virtumod datei ist auch immer noch da. als ich sie jetzt gerade in quarantäne setzen wollte, meldete sich wieder antivir mit der "tdev.dll" datei (im normalen windows modus) und die aktion schlug fehl.

was nun?

 

[saniman]

Haste deinen Antivirus im abgesicherten modus laufen lasse?

Lass mal Hijackthis laufen.

 

[n0ci]

im moment meldet antivir immer nur die "tdev.dll" datei aus dem System32-Ordner. aber ich kann die nicht löschen, weil die immer gerade in benutzung ist.

gibts irgendne möglichkeit?
habs schon mit dem unlocker probiert, aber da schmiert immer der pc ab. und ich weiß auch nicht genau, wie ich das programm handlen muss.

 

[saniman]

Mach mal ein Hijackthis log file .

 

[n0ci]

Mach mal ein Hijackthis log file .

meinst du das?


Logfile of HijackThis v1.99.1
Scan saved at 14:14:15, on 29.06.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\PROGRA~1\INSTAN~1\INSTAN~1\IWCTRL.EXE
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Motherboard Monitor 5\MBM5.EXE
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Dokumente und Einstellungen\Timo\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: CIEPl Object - {DAD9C3A5-FB4E-45CD-93EB-2059F4EEF4D1} - C:\WINDOWS\system32\tdev.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programme\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [iW Controlcenter] C:\PROGRA~1\INSTAN~1\INSTAN~1\IWCTRL.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [MBM 5] "C:\Programme\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [!ewido] "C:\Programme\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [unlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [axkqaaaa] C:\WINDOWS\System32\axkqaaaa.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {77E32299-629F-43C6-AB77-6A1E6D7663F6} (Groove Control) - http://www.nick.com/common/groove/gx/GrooveAX27.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game15.zylomgames.com/activex/zylomloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{64C6D08B-9D4B-4D9E-BFB4-E9AA46F838B5}: NameServer = 85.255.114.58,85.255.112.196
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DDB89BB-7C56-4308-8C74-9DF14F951FED}: NameServer = 85.255.114.58,85.255.112.196
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.58 85.255.112.196
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.58 85.255.112.196
O20 - Winlogon Notify: tdev - C:\WINDOWS\SYSTEM32\tdev.dll
O21 - SSODL: IEFilter - {8FBCA4CD-698E-4A0F-8A1E-21AEAC7492CC} - C:\WINDOWS\system32\IEFilter.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programme\ewido anti-spyware 4.0\guard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Service - Unknown owner - C:\WINDOWS\System32\Service.exe

 

[saniman]

Mach mal ein Hijackthis log file .

meinst du das?
..............

jep



Mach ein hacken an :

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

O2 - BHO: CIEPl Object - {DAD9C3A5-FB4E-45CD-93EB-2059F4EEF4D1} - C:\WINDOWS\system32\tdev.dll

O4 - HKCU\..\Run: [axkqaaaa] C:\WINDOWS\System32\axkqaaaa.exe

O16 - DPF: {77E32299-629F-43C6-AB77-6A1E6D7663F6} (Groove Control) - http://www.nick.com/commo...

O17 - HKLM\System\CCS\Services\Tcpip\..\{64C6D08B-9D4B-4D9E-BFB4-E9AA46F838B5}: NameServer = 85.255.114.58,85.255.112.196

O17 - HKLM\System\CCS\Services\Tcpip\..\{7DDB89BB-7C56-4308-8C74-9DF14F951FED}: NameServer = 85.255.114.58,85.255.112.196

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.58 85.255.112.196

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.58 85.255.112.196

O20 - Winlogon Notify: tdev - C:\WINDOWS\SYSTEM32\tdev.dll

O21 - SSODL: IEFilter - {8FBCA4CD-698E-4A0F-8A1E-21AEAC7492CC} - C:\WINDOWS\system32\IEFilter.dll

O23 - Service: Service - Unknown owner - C:\WINDOWS\System32\Service.exe

und dann auf fix checked.

 

[n0ci]

hmm... habs gemacht, aber die tdev.dll datei ist nach dem neustart immer noch da!

werd die einfach nicht los!

 

[saniman]

Was passiert wenn man die einfach loescht?

Nicht machen...

 

[Lordnikon27]

hmm... habs gemacht, aber die tdev.dll datei ist nach dem neustart immer noch da!

werd die einfach nicht los!

hab die dll mal gegoogelt, scheint irgendwie was mit ner TDEV schnittstelle zu tun haben, ich find aber net raus, was des ist.... wenn dir keine wsolche schnittstelle bekannt ist, könntest du die dll evtl mit ccleaner löschen. VORSICHT!! vorher solltest du in erfahrung bringen ob die dll wichtig ist!!! kann ich dir wie gesagt net sagen.... ccleaner musst du einfach installieren und dann rechtsklicken auf die datei, dann auf ,,beim systemstart löschen". beim neustarten isses dann 100% weg.

 

[n0ci]

Was passiert wenn man die einfach loescht?

Nicht machen...

kommt die meldung: datei ist gerade in gebrauch von einer anderen person etc.

 

[n0ci]

werd mein system jetzt neu aufsetzen, kann ja nich schaden

 

[saniman]

Was passiert wenn man die einfach loescht?

Nicht machen...

kommt die meldung: datei ist gerade in gebrauch von einer anderen person etc.

Dann loesche sie im abgesicherten modus un mach dein Internetzugang aus.