[jackjoni]

hallo zusammen ich habseit neuestem einen trojaner eingefangen und ich kann es irgend wie nicht löschen hab win7 64bit hab gestern formatiert und neu installiert und schon wieder ist der da eine exe namens sbmon will starten bei jeder neustart hab mal hijack erstellt villeicht könnt ihr mir weiter helfen

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 19:03:26, on 30.08.2010
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\SysWOW64\svchost.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Users\Turko\Desktop\HiJackThis204.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=C:\Windows\SysWOW64\Userinit.exe,
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office14\GROOVEEX.DLL
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~2\MICROS~1\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe -r
O4 - HKLM\..\Run: [tsnp2std] C:\Windows\tsnp2std.exe
O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [vcxiy] C:\Users\Turko\vcxiy.exe /Y
O8 - Extra context menu item: An OneNote s&enden - res://C:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: Nach Microsoft E&xcel exportieren - res://C:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: KMService - Unknown owner - C:\Windows\system32\srvany.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 6157 bytes

wenn ihr fragt wiso ich keinen antivirus drauf habeweil ich den rechner erst grad neu installiert habe

[spartan-b292]

Mmh ich würde an deiner Stelle von einer Linux Live CD booten, die Windows Partition/Festplatte mounten und alle schadhafetn Dateien per Hand löschen. Das könnte dir einiges an Bastelei sparen.

[jackjoni]

wenn ich die datein lösche kommt es wieder wenn ich neustarte

[ckjthedogmaster]

C:\Windows\SysWOW64\svchost.exe

Lade diese datei mal bei [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] hoch

Dann lad dir mal Malwarebytes runter und lass es laufen, das ergebnis hier posten .

Mfg

[StifflersMom]

lad dir doch einfach n virenscanner runter und lass ihn das teil entfernen.

[jackjoni]

hab alles getestet geht nicht getestetes software

kaspersky 10 und 11 avira antiv. bitdefender xsoftpy se6 spyware doctor malwarebytes ncihts hat geholfen

[Trojaner]

da haste dir ja ne Schöne Sch...ße eingefangen

[ckjthedogmaster]

Lade die o.g. Datei mal hoch.

Dann versuche die Test unterm abgesicherten Modus erneut. Deaktiviere dabei die Systemwiederherstellung.

[menschenwesen]

Ich vermute mal C:\Windows\SysWOW64\svchost.exe ist ein Trojan-Downloader/Backdoor(?), heißt, der liefert im Zweifelsfalle brav neue Schädlinge.

Ich würde mich mit dem Teil nicht lange rumärgern wollen und mein System neu aufsetzen oder ein Backup aufspielen!

/edit: Wenn du den Rechner gerade neu installiert hast, könnte es sein, dass du den Trojaner von nem Wechseldatenträger eingeschleppt hast?

[Thorasan]

Ulkig, zum spass grade mal geschaut, und siehe da, ich habe die Datei auch. Hmm, bei virustotal hochgeladen und nur esafe zeigt einen Trojaner an (win32 trojanhorse) ...
sollte ich mir da Sorgen machen?^^

[zorxone]

Zitat von Thorasan

Ulkig, zum spass grade mal geschaut, und siehe da, ich habe die Datei auch. Hmm, bei virustotal hochgeladen und nur esafe zeigt einen Trojaner an (win32 trojanhorse) ...
sollte ich mir da Sorgen machen?^^

Ja, solltest du.

[Thorasan]

Weil ein einziger Test das positiv anzeigt?
Alle andren sind negativ, inklusive Spybot und inklusive installiertem AVS ..
Wird auch keine unbekannte instanz von der datei ausgeführt, alle aktiven prozesse sind aus system32 gestartet.
Wäre es möglich das beim 64bit win7 die Datei einfach dort liegt, kA warum?
Kann mir nicht vorstellen das nur ein einzigster Virentest das erkennen würde wenns doch so schlimm wäre.

[Schnitzel1984]

Hmmm habe das einfach auch mal aus Jux hochgeladen.
Das ist der einzige Fund:

//eSafe 7.0.17.0 2010.08.30 Win32.TrojanHorse


Ich selber nutze 64Bit W7

Mein Antivir10 hat das Dingen nicht gefunden

Um mich meinem Vorposter anzuschließen: Kann es nicht sein, dass das Dingen ein wenig überreagiert?


/*
Ende des Suchlaufs: Dienstag, 31. August 2010 01:12
Benötigte Zeit: 54:01 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

21609 Verzeichnisse wurden überprüft
410343 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
410343 Dateien ohne Befall
1669 Archive wurden durchsucht
0 Warnungen
0 Hinweise
530110 Objekte wurden beim Rootkitscan durchsucht
2 Versteckte Objekte wurden gefunden
*/

[jackjoni]

so hab die datei hoch geladen und hab das hier gekriegt


[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[sauger99]

Ich würde bei der nächsten Installation eine andere Installations DVD / CD nehmen um dies als Quelle allen Übels aus zu schliesen. Evtl. schleppst dir mit deiner, den Trojaner auf die Platte

[jackjoni]

kann nicht sein weil ich die gleiche cd benutze und vorher hatte ich dieses problem nicht

[ckjthedogmaster]

hmmm, dem Log werde ich nicht schlüssig, folge bitte dieser Anleitung ausm Link:

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Das Ergebnis postest du dann auch noch hier, dann werden wir weiter sehen.

Ein Fund bei 40 Scannern kann gut sein, muss es aber nicht zwangsläufig auch sein.

[Thorasan]

Das heisst hier sind nun 3 Leute die unabhängig voneinander diese datei hochgeladen haben und denen jeweils der selbe scanner den Fehler meldet. Alle andren Scanner jedoch nicht. Irgendwie seltsam, findet ihr nciht? Wenn das so ein Massenphänomen wäre, wie das hier nahelegt, sollten auch die andren AVS das erkennen?!
Übrigens findet Malwarebytes auch nix bei mir...

[menschenwesen]

Geht es nicht um einen vermeintlichen Trojaner namens sbmon.exe???
Welches Programm meldet den?
Wo befindet sich das Ding?
Wie kommst du drauf, dass dein Rechner infiziert ist?

Dass C:\Windows\SysWOW64\svchost.exe die Quelle ist, war zunächst ja nur eine Vermutung!

Nur mal als Info: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[jackjoni]

nach jeder start will sbmon.exe starten so wenn ich nach eigene deiten reingehe hab ich 20 verknüpfungen von mein eigenen ordner und mein pc ist sehr langsam geworden

[ckjthedogmaster]

Nur mal so zur Info: der sbcomm.exe alias sbmon.exe Virus ist am 21.08.2010 aufgetreten. Es handelt sich um einen Virus, der sich mit bis zu 6 unterschiedlichen exe ins System einschleust.

Was die anderen draus machen ist mir egal, da ich in diesem Thread nur auf den TE eingehe.

Wie gesagt, du sooltest in den oben genannten Link die Anweisung befolgen und hier posten.
So kann man dann die schadhaften Dateien herausfiltern.
Oder direkt ne Neuinstallation, je nach dem was weniger Aufwand für dich wäre.

[DarkOnline]

Hijackthis ist zu ungenau bei Windows7, daher erstell einen [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]. Damit ich einen Überblick bekomme.

Führe dann einen [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] Scan durch und poste das Ergebnis.

Außerdem sende mir die Datei svchost.exe zu(Lad es auf RS hoch und gib mir den Link). Ich werde es dann die nächsten Tage anschauen

Gruß DarkOnline

[jackjoni]

so nach vielen versuchen hab ich es doch weg gekriegt . als erstest hab ich komplett meine 5 fesplatten formatiert dann meine sd karte und usb sticks danach hab ich alle fesplatten einzel mit s0kill wieder formatiert und dan normal windows draufgepackt und siehe da kein problem mehr also ich schätze mal das dieses virus sich komplett verteilt hatte und daher hab ich immer wiederum den schei+++ß virus eingefangen

ps: malware-byte scan hat es auch nicht gefunden

ich bedanke mich für euren hilfen

[menschenwesen]

Zitat von jackjoni

so nach vielen versuchen hab ich es doch weg gekriegt

Ja, das ist doch gründliche Arbeit.
Ich hatte eh einen Wechseldatenträger in Verdacht.

Schön, dass dein Betriebssystem nun läuft!
____________________________________
@NeX#: Wenn du andere schon verbesserst:
- normalerweise schreibt man in einem Wort
- erst mal schreibt man auseinander

Außerdem gehen wir bei den Empfehlungen, was Antiverensoftware anbelangt, nicht konform:
Ich empfehle NOD32

[NeX#]

Wie kann es sein, dass nach der Installation schon ein Virus drauf ist?! Normaler weise macht mal immer als 1. einen drauf.. Installier den PC neu oder du machst erstmal am besten ein AntiVirus Programm drauf, scannst den PC und löschst alle Viren! Ich empfehle dir Avast Pro oder Norton.
PS: Es heißt:
Ein Trojaner den ich nicht löschen kann

[jackjoni]

also ich schätze mal das alle meine wechseldatenträger verseucht waren

PS: avast pro und norton hab ich auch versucht aber es hat nichts gefunden