text: Plagegeister aller Art und deren Bekämpfung: Wo in der Registry Trojaner-Eintrag löschen?
  24.08.2006, 10:30 #1
  ich habe mir - wahrscheinlich über eine Onlinepoker-Software - einen Trojaner eingefangen und dazu folgende Info gefunden:
  Troj/Lineag-AEC ist ein Kennwort-stehlender Trojaner für die Windows-Plattform.
  Troj/Lineag-AEC enthält Funktionalität, um Benachrichtigungen an remote Speicherorte zu senden.
  Wenn er zum ersten Mal ausgeführt wird, kopiert sich Troj/Lineag-AEC nach <Windows-Ordner>\Config\svhost32.exe und erstellt die Datei <Windows-Systemordner>\dllf.dll. dllf.dll wird auch erkannt als Troj/Lineag-AEC.
  Der folgende Registrierungseintrag wird erstellt, damit svhost32.exe beim Start ausgeführt wird:
  <Windows-Ordner>\Config\svhost32.exe
  Aber wo finde ich diesen Reg.-Eintrag innerhalb der Registry und wie lösche ich ihn dann, einfach markieren und über re Maus?
  25.08.2006, 08:26 #3
  der Virenscanner hat die betroffenen Dateien bereits in Quarantäne geschickt. Macht das jetzt noch Sinn?
  Aber was es ist und was zu tun ist, steht doch ohnehin bereits fest (der Auszug ist von Sophos).
  In der Registry war nix.
  Seltsamerweise hat der Scanner jetzt einen neuen Virus gefunden, zu dem selbst Google nichts findet:
  Generic.PWStealer.B42C8873
  Ein Mal in einer Volume/restore-Datei und ein Mal in einem Plugin zu IrvanView (? schon länger nichts mehr in der Richtung getan).
  Scan saved at 21:41:56, on 26.08.2006
  C:\Programme\mozilla16.org\Mozilla16\Mozilla.exe
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxx://www.euro.dell.com/countries/de/deu/gen/default.htm
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxx://www.euro.dell.com/countries/de/deu/gen/default.htm
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxx://www.euro.dell.com/countries/de/deu/gen/default.htm
  R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxx://www.symantec.com/techsupp/oem
  O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\mozilla16.org\Mozilla16\Mozilla.exe" -turbo
  O8 - Extra context menu item: Zur Filterliste hinzufügen (WebWasher) - hxxx://-Web.Washer-/ie_add
  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxx://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1095676347796
  Ist da was Verdächtiges dabei, kann das jemand interpretieren?
  Geändert von Martin (26.08.2006 um 21:05 Uhr)
  26.08.2006, 23:17 #5
  suche die Datei (bzw. den Trojaner!) im Quarantäne-Verzeichnis deines Virenscanners, und lass die Datei (egal wie sie heisst!) hier auswerten -> Virustotal
  Poste anschliessend das Ergebnis, markieren, kopieren und in einen Beitrag einfügen.
  Anschliessend einmal die Systemwiederherstellung deaktivieren -> so wirds gemacht
  Rechner neu starten (STW kann wieder aktiviert werden.)
  Zusätzlich solltest du dir das Service Pack 2 einspielen, sonst kriegst du eventuell noch mehr Probleme, zumal die Sicherheitsupdates viele Lücken schliessen!
  26.08.2006, 23:59 #6
  leichter gesagt als getan, ich finde die Dateien(Virus) weder im Verzeichnis-Pfad des Scanners noch über die Windows-Suche.
  Auch die Quarantäne-Datei finde ich nicht. Ich habe keinen Ordner gefunden, der es dem Namen nach sein könnte.
  Die Hilfe des Scanners (AVK 12) sagt:
  Die Quarantäne ist ein geschützter Bereich innerhalb des AVK, in dem infizierte Dateien verschlüsselt gespeichert werden und auf diese Weise den Virus nicht mehr an andere Dateien weitergeben können.
  Offenbar schützt diese Verschlüsselung auch vor dem Auffinden.
  Aber irgendwie muss das doch gehen!?
  Das Protokoll hilft auch nichts:
  Virensignaturen vom 26.08.2006
  Startzeit: 26.08.2006 16:29
  Engine(s): KAV-Engine (AVK 16.9373), BD-Engine (BD 16.5562)
  Objekt: EMail.dll
  Pfad: C:\Programme\IrfanView\Plugins
  Virus: DeepScan:Generic.PWStealer.B42C8873 (BD-Engine)
  Objekt: A0015384.dll
  Pfad: C:\System Volume Information\_restore{27F3F182-4FE7-45F7-85CB-63BE7C2ED734}\RP43
  Analyse vollständig durchgeführt: 26.08.2006 17:52
  52029 Dateien überprüft
  --> Wo in der Registry Trojaner-Eintrag löschen?
  28.08.2006, 12:38 #7
  bin neu hier. Habe seit Samstag ebenfalls diesen Virus-PWSTEALER.3BB4D75.
  1. PC hochgefahren am Samstag 26.08.2006
  2. System gescannt mit Virensignaturen von Freitag den 25.08.2006 - PC ist VIRENFREI
  keine surfen oder sonstige Aktivitäten im Internet, keine E-Mailabfrage:
  unmittelbar nach dem o.g. Scan
  3. Aktualisierung der Virendefinitionen am Samstag morgen ca. 7:00 Uhr
  4. erneuter Systemscan mit den neuen Virensignaturen am 28.06.2009 ca. 7:30 Uhr
  5. Virenfund in IrfanView/ Plugin
  27.01.2010, 14:50 #8
  Hallo, habe schon seit wochen mit folgenden Problem zu kämpfen...Vielleicht kann mir jemand helfen...Habe schon einige ähnliche Probleme gelesen, bin aber zu keiner Lösung gekommen....
  12.12.2009 14:48:59
  mbam-log-2009-12-12 (14-48-59).txt
  Durchsuchte Objekte: 98215
  C:\Windows\Temp\xqvi.tmp\svchost.exe (Rogue.Installer) -> Quarantined and deleted successfully.
  Themen zu Wo in der Registry Trojaner-Eintrag löschen?
  ausgeführt, config, datei, einfach, eingefangen, enthält, erkannt, erstell, erstellt, folge, folgende, gefangen, gen, innerhalb, löschen, löschen?, markieren, maus, microsoft, registry, remote, start, svhost, troja, trojaner, trojaner eingefangen, version, wahrscheinlich
  « Antivir meldet BDS/Sheldor.DB.2 | Virus mit Hecker-Unterschrift beim Starten von Windows »
  Ähnliche Themen: Wo in der Registry Trojaner-Eintrag löschen?
  Zum Thema Wo in der Registry Trojaner-Eintrag löschen? - Hallo, ich habe mir - wahrscheinlich über eine Onlinepoker-Software - einen Trojaner eingefangen und dazu folgende Info gefunden: Troj/Lineag-AEC ist ein Kennwort-stehlender Trojaner für die Windows-Plattform. Troj/Lineag-AEC enthält Funktionalität, um - Wo in der Registry Trojaner-Eintrag löschen?...