C:\Codecs\install\setup.exe

Dieses Thema im Forum "Viren, Trojaner & Malware" wurde erstellt von Rip Curl, 3. Januar 2010 .

Status des Themas:
Es sind keine weiteren Antworten möglich.
  1. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    Ich habe keine Ahnung woher und wie es geschah aber anscheined habe ich ein Trojanerproblem! Ich schreibe mal nieder was ich bis jetzt gesehen hab, sprich was passiert:

    - PC-Mauszeiger verändert sich in den Ladebalken (Sanduhr, bei neuem Design der Vista Kreis)
    - setup.exe Prozess öffnet sich
    - firefox.exe Prozess öffnet sich
    - danach kommt diese Abfrage: KLICK MICH BITTE!
    - auf Laufwerk C: wird ein Ordner namens "codecs" erstellt in diesem befinden sich folgende Unterordner/Dateien (versteckt)

    C:\Codecs\
    C:\Codecs\install\
    C:\Codecs\install\setup.exe

    - Löschen bringt nichts, der Ordner erstellt sich immer wieder
    - sobald man den 'falschen Firefoxprozess' abbricht, startet dieser ebenfalls wieder

    HiJackThis hat nichts gebracht, trotz Scan&Fix
    SpyBot hat nichts gebracht, erkennt nicht einmal das etwas auf dem System ist
    Virenscanner findet es und hats in Quarantäne gehauen, kommt aber trotzdem noch

    Google hat leider auch nix ausgespuckt um welchen Trojaner es sich handeln könnte und woher dieser kommt

    UPDATE: Es handelt sich laut AntiVir um den Trojaner: TR/Dropper.Gen

    Name: TR/Dropper.Gen
    Entdeckt am: 19/06/2007
    Art: Trojan
    Nebenart: Dropper
    In freier Wildbahn: Ja
    Gemeldete Infektionen: Niedrig
    Verbreitungspotenzial: Niedrig
    Schadenspotenzial: Niedrig
    Statische Datei: Nein
    Engine Version: 7.04.00.34

    General Auswirkungen:
    • Erstellt schädliche Dateien
     
  3. 3. Januar 2010
    AW: Trojanerproblem

    sowas hatte ich auch schonmal... schau mal unter regedit ob du da was findest und wenn ja dann lösch den schlüssel oder beende die prozessor struktur und lösche gleich danach die exe. das musst du aber sehr flott machen damit keine neue abbildung entstehen kann...
     
  4. 3. Januar 2010
    AW: Trojanerproblem

    Noch weniger Details bitte? - ich meine ich soll ja nur etwas in der Registry löschen

    In der Registry wird immer nur ein Eintrag neu erstellt, folgender:

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    Name: HKCU
    Typ: REG_EXPAND_SZ
    Wert: c:\Codecs\install\setup.exe
     
  5. 3. Januar 2010
    AW: Trojanerproblem

    Huhu

    Start => Ausführen => "regedit"
    dann suchst du mal nach "C:\Codecs\install\setup.exe"

    Falls du da Einträge findest, solltest du diese mit Registry-Ordner löschen.

    Am Besten auch Autostart alles raushauen, was du nich kennst / haben willst
    HKEY Current User => Software => Microsoft => Windows => Current Version => Run / Run Once, etc.

    Edit: 2l8
     
  6. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    Hab ich alles schon gemacht, schreibt sich immer wieder rein!

    Bild
    AntiVir Bild vom Ergebniss!
     
  7. 3. Januar 2010
    AW: Trojanerproblem

    Beende mal alle Programme die du offen hast.

    Wenn du danach mal den TaskManager öffnest und auf den Tab Prozesse gehst, musst du mal schauen was da noch so läuft. (Mach notfalls screen davon)

    Es muss noch ne zweite .exe geben, die deine setup.exe immer wieder startet.
     
  8. 3. Januar 2010
    AW: Trojanerproblem

    Da stehen die gleichen Prozesse wie sonst auch drin. Und wie gesagt:

     
  9. 3. Januar 2010
    AW: Trojanerproblem

    So kommen wir nicht weiter

    1. rausfinden welche Anwendung die setup.exe startet (kann auch ne *.dll sein!)
    2. sobald wir das wissen: prozesse beenden und dann registry cleanen
    (notfalls mit abgesichertem Modus)

    Machen wir was anderes: seit wann hast du den? ... was hast du kurz vorher geladen?
     
  10. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    Und wie soll ich das rausfinden?

    Das sowieso

    Steht doch schon alles im ersten Beitrag, wieso liest hier keiner aufmerksam? Seit heute, kurz vor Mitternacht glaub. Nix gemacht, nix geladen.

    //UPDATE

    Hab mal diese Setup.exe angeguckt, also die Details

    Bild
     
  11. 3. Januar 2010
    AW: Trojanerproblem

    oft "tarnen" sich Prozesse als Systemprozesse, z.B heissen sie dan scvhost statt svchost oder so.

    Nur mal so als Tipp
     
  12. 3. Januar 2010
    AW: Trojanerproblem

    AntiVir Scan hat sonst nix gefunden?

    ansonsten "ProcessExplorer" mal googlen und installen
    (wie TaskManager nur mit PID und Zugehörigkeit von Programmen und DLLs)

    In deinem Post steht nur, das du es nicht weißt

    Gut, also wenn du nich weißt woher müssen wir weiter suchen.
     
  13. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    Bild
    Firefox war zu, wie gesagt diese "firefox.exe" ist saukomisch.

    Gibt aber nur eine Datei "firefox.exe" und das ist die offizielle.

    Ich glaube diese "firefox.exe" die da nicht offen sein darf heißt in echt anderst und tarnt sich im Task-Manager eben als "firefox.exe" - k.a.
     
  14. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    lad dir das hier bitte: No File | xup.in
    (ist sauber, habs geprüft mit virus total.com)

    Dann ausführen und nach deiner setup.exe / firefox. exe suchen
    siehst dann alle Anwendungen / files die dmait was zu tun haben!

    Edit: geh mal rechte Maustaste auf den "falschen" Firefox und schau dir "properties" an
    (Pfad, Zugehörigkeit, etc.)

    Ansonsten anklicken und Shift+Del (Kill Process Tree)

    Edit 2    : im Properties Fenster gibts auch den Tab "threads" da stehen alle zugehörigen Threads / PIDs
     
  15. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    firefox.exe PID: 3180 <- die wo im hintergrund läuft
    firefox.exe PID: 2384 <- wenn ich firefox starte

    Der einzige Unterschied zwischen beiden ist folgender, siehe Bilder:

    Bild
    Bild

    Wenn ich den 'falschen FF Prozess' mit 'Bring to Front' anzeigen will kommt nur: no visible windows found for this process
     
  16. 3. Januar 2010
    AW: Trojanerproblem

    Also das der "falsche" kein Parent hat spricht schonmal für nen Fake
    allerdings wundert mich dann das alles andere stimmt... version und pfad ?(

    schau mal im Tab Threads was beim "falschen" firefox steht... oder such mal nach der setup.exe
    wenn es nen zusammenhang gibt, finden wir den!
     
  17. 3. Januar 2010
    Zuletzt von einem Moderator bearbeitet: 14. April 2017
    AW: Trojanerproblem

    Ja hab noch auf deinen Beitrag gewartet, wegen Doppelpost vermeiden und so und damit du auch mitbekommst das es ein neues Ergebnis gibt (wenn jemand editiert wird das ja net als 'neuer Beitag' markiert)

    Hab mal den fake-firefox-eintrag gekillt, damit sich das neustartet/wiederholt und mir dann diese setup.exe angeguckt:

    Bild
    Bild

    soll ich mal nach diesen komischen .dll's suchen?

    Gehören laut 'Dateiversioninfo Anzeige' aber zu Microsoft und das RCblabla.dll hat was mit REMOTE zu tun die ich aber deaktiviert hab mit xp-antispy.
     
  18. 3. Januar 2010
    AW: Trojanerproblem

    jop, such mal ob die PIDs nochmal auftauchen (die von den DLLs)
    ansonsten nochmal bei ProcessExplorer im MEnü auf View: "view all" (alle haken setzen)

    wenn du firefox und die setup.exe gekillt hast, einfach schauen welche prozesse (ggf.)
    wieder aufgehen

    Edit: die DLLs müssen nich vom Windows sein, auch wenn es da steht
    können ja abgeändert werden... nur sollte dein avira das eigtl. merken!
     
  19. 3. Januar 2010
    AW: Trojanerproblem

    Ich weiß nicht was jetzt passiert ist, aber ich hab jetzt den "falschen" Prozess von dem ProcessExplorer 'killen' lassen und bis jetzt ist nichts neugestartet (Prozesse oder so). Bin vorher aber leider auf den Knopf "Verify" gekommen, hat sich aber nix geändert/getan - ich hoffe das das jetzt nicht als 'harmlos' eingestuft wurde und vom Programm ignoriert wird... aber dann müsste es ja trotzdem neu starten und im TaskManager stehen, ist aber plötzlich nicht mehr der Fall.

    Ich lass jetzt nochmal das System scannen, auch von AntiVir komplett (dauert nur ewig ^^) - am besten mit getrennter Internetverbindung. Falls da noch was gefunden wird und net gelöscht werden kann -> abgesicherter Modus.

    //ich wart noch auf deine Antwort bonsai, nur so zur Beruhigung was du davon hältst und was du denkst was da nun los ist und ob's was mit dem "Ausversehen Verify gedrückt" zu tun haben könnte.

    Achso ich werde nach deiner Antwort mit folgenden Tools scannen:

    Avira Antivir Premium + aktuelle Updates
    a-squared Free + aktuelle Updates
    SpyBot + aktuelle Updates
    Hijackthis

    P.p.s.: doch die die zwei dll Dateien waren von Windows, weil die sind schon seit paar Jahren vorhanden gewesen, wenn die heute erstellt worden wären wär ja das heutige Datum dagestanden. Naja wird man sehen wenn die Scans fertig sind was sicher bis morgen geht (wegen AntiVir xD)
     
  20. 3. Januar 2010
    AW: Trojanerproblem

    Verify ist in diesem Sinne nur für Programm-interne Verwendung gedacht
    Also sollte nichts mit der Anzeige / "Erkennung" ändern.
    Startet denn die Setup.exe noch? (was war mit den DLLs?)

    jop, gute Idee - ich warte mal auf ein Ergebnis
    (wie lange rbaucht dein AntiVir? )

    *waiting*

    Edit:
    stimmt nicht! man kann DLLs ach verändern ohne das Datum dabei zu verändern!
    also nich nur darauf achten

    Edit2: welches "morgen" meinst du?
     
  21. 3. Januar 2010
    AW: Trojanerproblem

    Es startet gar nichts mehr schädliches - komischerweise!

    Keine falsche 'firefox.exe' mehr und keine 'setup.exe' mehr und es wird auch kein "Codecs\install\" Ordner mehr auf C: angelegt.

    Vielleicht war der 'Trojaner' zu alt (tauchte 2007 das erste Mal auf) und gibt nach einiger Zeit selber auf wenn er merkt das die URL die er wohl erreichen wollte nicht mehr erreichbar ist?! xD

    Ohje ich scan dann mal los. Das kann schon bis morgen gehen ^_^ Bei AntiVir steht keine 'Restdauer' dabei - kann mir denken wieso -_-
     
  22. 3. Januar 2010
    AW: Trojanerproblem

    Wenn du "Kill Process Tree" genommen hast, ist es logisch

    naja, das wär ja zu einfach
    aber vllt. ist der ja wirklich so schlau!

    ja sowas kann dauern ^^
    also ich hoffe es wird nix mehr gefunden bzw. hoffe ich das nix drauf ist, was nicht gefunden wird!

    viel erfolg!

    Edit: kleine Erklärung des ProcessExplorers << klick
    Daher nutz ich den unter anderem gern für die Suche nach Viren/Trojanern
     
  23. 3. Januar 2010
    AW: Trojanerproblem

    Avira Antivir Premium - 11 gefunde Dateien, Wiederherstellungspunkte - Überschrieben & Gelöscht
    a-squared Free - 29 Cookies, aber hatten nix mit dem Trojaner zu tun und waren auf 'Niedriges Risiko' und hatten alle "adCache, adbla" also Werbemüll im Dateinamen
    SpyBot - nichts gefunden (so langsam zweifel ich an dem Programm)
    Hijackthis - Logdatei erstellt, bitte schön:

    Ist so weit ganz in Ordnung glaube ich. So ich hoffe das das endlich zu 99% weg ist ^_^

    Mich wundert nur das es so plötzlich kam, ich nix gemacht/geladen oder ausgeführt hab und das es so plötzlich wieder verschwunden ist.

    Vielleicht lags aber auch daran das ich irgendwann die Setup.exe mit Avira AntiVir "Überschreiben & Löschen" konnte, das dort irgendwas geändert wurde und durch den "Kill Tasktree" Befehl von dem Process-Dingens-Programm hat's dem Drecksding dann den Rest gegeben!

    Mal gespannt wann ich das nächste Mal den PC starte, ob da wieder was erscheint.
     
  24. 3. Januar 2010
    AW: Trojanerproblem

    Falls du WindowsXP hast kriegste damit jeden scheiß runter (meine Erfahrung):

    Combofix

    Habe viel von meinem Rechner entfernt und so ein Wissen muss man nicht haben um es zu bedienen, wie es andauernd gesagt wird.

    Also falls du dir noch nicht sicher bist ob der unten ist hau mit combofix drauf, kannst einige Board User fragen, sollte einigen bekannt sein, ist halt nur für Win2k und WinXP, leider
     
  25. 3. Januar 2010
    AW: Trojanerproblem

    Combofix ist ein versuch wert,aber auch unter Vista funktioniert es,steht auch auf der Seite,hatte es letztens auch bei mir unter Vista verwendet gehabt,hatte auch einen ähnlichen Trojaner,der hatte den weggemacht.Musste das Program nur 3-4 mal starten bis es funktioniert hatte.
     
  26. 3. Januar 2010
    AW: Trojanerproblem

    Ist weg, auch nach PC neustart keinerlei verdächtige Prozesse mehr.
     
  27. Video Script

    Videos zum Themenbereich

    * gefundene Videos auf YouTube, anhand der Überschrift.