pfund500

Moin !

Mein Anti Vir meldete mir den Fund von einem Bifrost Trojaner. Da ich Anti Vir nicht ganz traue dass es alles löschen konnte, bitte ich euch das Logfile von Hijackthis mal anzuschauen.

Vielen Dank!

mfg

pfund500

ReinMan

Soweit ich sehe ist dein Logfile sauber. Wichtig ist noch zu wissen das der Dienst.

C:\WINDOWS\system32\lsass.exe ein Sicherheitsdienst ist. Aber der Dienst "Issas.exe" ist ein Wurm. Bitte immer drauf achten.

Hast du mal Spybot und Adaware durchlaufen lassen nachdem Antivir den Trojaner gemeldet hat?

pfund500

Danke für den Tipp. Ich werde gleich mal die beiden Programme die du gesagt hast durchlaufen. Hoffe das Teil ist entgültig weg.

mfsto

Bifrost ist ein ziemlich schädlicher Backdoortrojaner.Vielleicht handelt es sich aber auch nur um ein Fehlalarm , was in Bezug auf diesen Trojaner öfters ma passiert .
Poste doch bitte ma den Bericht von AntiVir ..Findest du unter dem Punkt"Berichte" einfach nach dem schauen , wo steht "1 Fund " oder sowas ähnliches .



Mfg

pfund500

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\swiss_luxx\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Prof iles\78d9jrl3.default\Cache\93E71D62d01
[0] Archivtyp: RAR
--> Marquess_-_Vayamos_Companeros.scr
[1] Archivtyp: RAR SFX (self extracting)
--> server.exe
[FUND] Enthält eine Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.Gen
[INFO] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4744e336.qua' verschoben!
C:\RECYCLER\S-1-5-21-1644491937-963894560-839522115-1003\Dc7.scr
[0] Archivtyp: RAR SFX (self extracting)
--> server.exe
[FUND] Enthält eine Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.Gen
[INFO] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4736e64f.qua' verschoben!
C:\RECYCLER\S-1-5-21-1644491937-963894560-839522115-1003\Dc8.rar
[0] Archivtyp: RAR
--> Marquess_-_Vayamos_Companeros.scr
[1] Archivtyp: RAR SFX (self extracting)
--> server.exe
[FUND] Enthält eine Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.Gen
[INFO] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4737e654.qua' verschoben!
C:\System Volume Information\_restore{1F605413-D303-4E20-94F9-56FD2F114212}\RP36\A0002136.scr
[0] Archivtyp: RAR SFX (self extracting)
--> server.exe
[FUND] Enthält eine Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.Gen
[INFO] Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht geöffnet werden!
Das System kann den angegebenen Pfad nicht finden.

ReinMan

Wie schon gesagt BiFrost ein Backdoortrojaner.

Hast du die Datei mal auf www.virtustotal.com hochgeladen ?? scann deinen PC nochmal im abgesicherten Modus und versuche ihn mittels Adaware,Spybot,Hijackthis und deinem Antivirenprogramm endgültig zu löschen.

Hungerhaken_BS

Guten Morgen,
könnte mir einer mein Logfile auswerten?

C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\MSMSGS.EXE
C:\Programme\ICQ6\ICQ.exe
C:\Programme\a-squared Free\a2service.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Programme\Hijackhis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe "
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O8 - Extra context menu item: Download with Xilisoft YouTube Video Converter - C:\Programme\Xilisoft\YouTube Video Converter\upod_link.HTM
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)
O23 - Service: O&O Defrag 2000 (OOD2000) - O&O Software GmbH - C:\WINDOWS\system32\OOD2000.exe
O23 - Service: Windows Media Player-Netzwerkfreigabedienst (WMPNetworkSvc) - Unknown owner - C:\Programme\Windows Media Player\WMPNetwk.exe (file missing)

ReinMan

Wie gesagt der Prozess muss unbedingt gefixxt werden. Wenn du das noch nicht getan hast. Kann auch sein das er wiedergekommen ist nachdem du ihn bereits gefixxed hast. Ansonsten ist dein Logfile sauber. Hast du schon mit Adaware und Spybot nachgecheckt und einen komplett-Scan mit deinem Antivirenprogramm nochmal gemacht ??

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Markiere den Eintrag und geh auf "fixxed checked"

selly

Haste vll. in den letzten tagen eine datei von einem freund oder so angenomen ?

Da bitfrost nämlich auch als keylogger benutzt werden kann

MFG

Hungerhaken_BS

Hi ReinMan und Selly,
habt ihr mich jetzt gemeint?