Antivir verzeichnet Fund - wie geh ich vor?

Weißt du welche Datei er als den Trojaner erkennt??

wenn du das weißt, dann erstmal auf https://www.virustotal.com/ hochladen und schauen, ob es wirklich ein trojaner/virus ist oder nur ein Fehlalarm von deinem Antivirusprogramm.

Wenn dein Antivirenprogramm den Trojaner nicht alleine löschen kann oder nach dem löschen die Meldung immer wieder erscheint wird kaum ein Weg daran vorbei führen dein System neu aufzusetzen, alle Passwörter zu ändern und bei Onlinebanking deine Bank zu informieren.

alle Passwörter zu ändern und bei Onlinebanking deine Bank zu informieren.

Über System neu aufsetzen kann man sich streiten, aber die anderen Punkte würd ich insta ausführen, und zwar völlig unabhängig davon, ob der Virenscanner das Ding jetzt entfernt oder nicht.

Original von sarc

alle Passwörter zu ändern und bei Onlinebanking deine Bank zu informieren.

Über System neu aufsetzen kann man sich streiten, aber die anderen Punkte würd ich insta ausführen, und zwar völlig unabhängig davon, ob der Virenscanner das Ding jetzt entfernt oder nicht.

Naja, wenn der Trojaner nicht entfernt werden kann, weil er sich im System eingenistet hat, dann wüsste ich persönlich keinen anderen Weg. Wenn er aber erfolgreich entfernt wurde, dann kann man es auch so belassen. Ich selbst setze auch nicht mein System neu auf, habe es aber geschrieben, da dies die sicherste Methode ist.

Ich wollte damit sagen, dass man bei einem Befall grundsätzlich alle Passwörter ändern sollte. Denn auch wenn das Ding dann entfernt wird, können vorher schon Sachen ausgespäht worden sein. Bei Online-Banking wird die Sache dann natürlich noch kritischer.

Wenn sich das Ding gar nicht erst entfernen lässt, ist denk ich klar, dass dann das System neu muss. Ich würde auf keinen befallenen System arbeiten wollen... Und bei kritischen Systemen ist neu machen halt in solchen Fällen immer die einzige Lösung, weil so ein Trojaner gern mal Löcher reißt, durch die sich dann Zeug einnisten kann, das man nicht findet.

Original von toyberg
Weißt du welche Datei er als den Trojaner erkennt??

Wie kann ich das herausfinden?

Das sieht nicht gut aus, im Hinblick auf Entfernung:

Oder gibt es hier Tricks zum Entfernen?

System neu aufsetzen = komplett formatieren?

Original von toyberg
Weißt du welche Datei er als den Trojaner erkennt??

/quote]

Wollte das versuchen - jedoch kann ich bei mir die datei nicht finden (C\Windows\Sytem 32\DivX32.dII -> siehe meinen letzten Screenshot - post drüber)

http://www.cheapfreevirusscan.com/d/divx32.dll.html

We suggest you to remove DIVX32.DLL from your computer as soon as possible. Common path of this file : [Win32Root]divx32.dll File size: 187Kb How to remove this file: Go to Start > Run > type cmd and then click the "OK" button. Unregister DIVX32.DLL file, type in the directory path + "regsvr32 /u DIVX32.DLL "and press the "Enter" button. A message will pop up that says you successfully unregistered the file. Restart your computer,after you power on your computer, repeatedly press the F8 key,choose Safe Mode and presss Enter. Delete DIVX32.DLL . Restart your computer.

Die Datei ist im Normalfall wirklich ein Trojaner. Ob diese Methode zum Erfolg führt weiß ich nicht, scheint aber die einzige wirkliche Alternative zu einer Neuaufsetzung des Systems zu sein.
Da die Datei vorgibt eine Systemdatei zu sein kommt ein Virenscanner im Normalfall nicht so einfach da ran. Also diese Methode testen und dann noch einen Systemscan hinterher schieben.

würde als erstes von einem fremden rechner aus alle passwörter ändern. dann haast du schon mal zeit gewonnen...

dann probier mal folgendes. runterladen und von der cd starten. die sollte das problem lösen:

http://www.chip.de/downloads/AntiVir-Rescue-System_30971022.html

ansonsten mal in de abgesicherten modus gehen. dazu zwischen dem bios und dem windows start die F8-Taste drücken. dort erscheint dann ein menü. hier wählst du im abgesicherten modus aus. das starten windows mit minimaler konfiguration (normalerweise auch ohne trojaner). vielelicht findest du sie dann mit der suche.

lass die cd aber so oder so mal laufen, die sind gut, da sie die viren im deaktivirten zustand suchen.

kannst auch mal folgendes runterladen und ein logfile posten. vielleicht kann ich ihn dir auch so deaktiviren:

http://www.chip.de/downloads/HijackThis_13011934.html

Ich kann zwar bei deinem direkten Problem nicht helfen, aber ich finde es bedenklich wenn man als Diamond um höhere Summen spielt und dann so seinen PC sichert.

Als ich es vor Jahren das letzte mal benutzt habe, hat es einiges übersehen und teilweise falschen Alarm gemeldet. Ich rate dir dringend zu einem besseren Programm.

Hatte die letzten Tage auch Probleme mit Trojanern.
Hab SpyBot benutzt und heute ist der erste Virenfreie Tag.

wenn du magst kannst du auch ein logfile machen und posten...

Original von toyberg
http://www.cheapfreevirusscan.com/d/divx32.dll.html

We suggest you to remove DIVX32.DLL from your computer as soon as possible. Common path of this file : [Win32Root]divx32.dll File size: 187Kb How to remove this file: Go to Start > Run > type cmd and then click the "OK" button. Unregister DIVX32.DLL file, type in the directory path + "regsvr32 /u DIVX32.DLL "and press the "Enter" button. A message will pop up that says you successfully unregistered the file. Restart your computer,after you power on your computer, repeatedly press the F8 key,choose Safe Mode and presss Enter. Delete DIVX32.DLL . Restart your computer.

Die Datei ist im Normalfall wirklich ein Trojaner. Ob diese Methode zum Erfolg führt weiß ich nicht, scheint aber die einzige wirkliche Alternative zu einer Neuaufsetzung des Systems zu sein.
Da die Datei vorgibt eine Systemdatei zu sein kommt ein Virenscanner im Normalfall nicht so einfach da ran. Also diese Methode testen und dann noch einen Systemscan hinterher schieben.

Hey^^

Das hat bei mir leider nicht geklappt:

Original von Sunfire
Ich kann zwar bei deinem direkten Problem nicht helfen, aber ich finde es bedenklich wenn man als Diamond um höhere Summen spielt und dann so seinen PC sichert.

Als ich es vor Jahren das letzte mal benutzt habe, hat es einiges übersehen und teilweise falschen Alarm gemeldet. Ich rate dir dringend zu einem besseren Programm.

Ka, mir wurde Antivir noch vor kurzem auf Nachfrage empfohlen.
Was wäre denn besser?

geh nochmal dahin wo du gerade warst. tippe dann "cd\" dann enter.

"cd windows"
dann "cd system32"
dann "dir /p" enter

wird die datei hier aufgelistet? wenn nicht, dann wird sie hier nicht sein oder ist versteckt

so oder so kannste du dann eintippen: "regsvr32 /u DIVX32.DLL"

Original von precognitive
wenn du magst kannst du auch ein logfile machen und posten...

Würde gerne deine Hile annehmen:

-> hier wäre nun die Logfile:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20:11:47, on 22.02.2012
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v9.00 (9.00.8112.16421)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskhost.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\SweetIM\Messenger\SweetIM.exe
C:\Program Files\Ask.com\Updater\Updater.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\ProgramData\DatacardService\DCSHelper.exe
C:\Program Files\Microsoft Office\Office12\WINWORD.EXE
C:\Program Files\Flopzilla\Flopzilla\Flopzilla.exe
C:\Program Files\RVG Software\Holdem Manager\HoldemManager.exe
C:\Program Files\TableNinja\TableNinja.exe
C:\Program Files\TableScan Turbo\TableScan.exe
C:\Program Files\PokerStove\PokerStove.exe
C:\Program Files\StoxEV\Magic8Ball\Magic8Ball.exe
C:\Program Files\RVG Software\Holdem Manager\HMImport.exe
C:\Program Files\TableScan Turbo\EasyHook32Svc.exe
C:\Windows\system32\conhost.exe
C:\Program Files\RVG Software\Holdem Manager\HMHud.exe
C:\Users\Gadek2\AppData\Local\Temp\Keyboard_Redirect-v0.01.exe
C:\Program Files\Opera\opera.exe
C:\Windows\system32\cmd.exe
C:\Windows\system32\conhost.exe
C:\Program Files\Avira\AntiVir Desktop\avcenter.exe
C:\Users\Gadek2\Documents\HiJackThis204.exe
C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT2269050
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: UrlSearchHook Class - {00000000-6E41-4FD3-8538-502F5495E5FC} - C:\Program Files\Ask.com\GenericAskToolbar.dll
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll
R3 - URLSearchHook: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files\DVDVideoSoftTB\prxtbDVDV.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GR469A~1.DLL
O2 - BHO: DVDVideoSoftTB - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files\DVDVideoSoftTB\prxtbDVDV.dll
O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: kikin Plugin - {E601996F-E400-41CA-804B-CD6373A7EEE2} - C:\Program Files\kikin\ie_kikin.dll
O2 - BHO: SWEETIE - {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O3 - Toolbar: SweetIM Toolbar for Internet Explorer - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O3 - Toolbar: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files\DVDVideoSoftTB\prxtbDVDV.dll
O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll
O3 - Toolbar: Miracle Marker - {919D3688-FD7D-4103-9001-CC4A94690D44} - C:\Program Files\BrowserTweaks\MiracleMarker\MiracleMarker.dll
O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [SweetIM] C:\Program Files\SweetIM\Messenger\SweetIM.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [ApnUpdater] "C:\Program Files\Ask.com\Updater\Updater.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [DeskMarker] C:\Program Files\delight software gmbh\DeskMarker\DeskMarker.exe
O4 - HKCU\..\Run: [PowerGramo] "C:\Program Files\Monsters\PowerGramo\PowerGramo.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Users\Gadek2\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-2253098246-2925584053-3381837185-1001\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'postgres')
O4 - HKUS\S-1-5-21-2253098246-2925584053-3381837185-1001\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'postgres')
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: VPN Client.lnk = ?
O8 - Extra context menu item: Free YouTube to MP3 Converter - C:\Users\Gadek2\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {0F7195C2-6713-4d93-A1BC-DA5FA33F0A65} - C:\Program Files\kikin\ie_kikin.dll
O9 - Extra 'Tools' menuitem: My kikin - {0F7195C2-6713-4d93-A1BC-DA5FA33F0A65} - C:\Program Files\kikin\ie_kikin.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Miracle Marker - {A8848534-61CA-4f51-B08B-BE0239BEEAF2} - C:\Program Files\BrowserTweaks\MiracleMarker\MiracleMarker.dll
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Users\Gadek2\Desktop\PartyPoker.lnk
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Users\Gadek2\Desktop\PartyPoker.lnk
O9 - Extra button: Miracle Marker - {A8848534-61CA-4f51-B08B-BE0239BEEAF2} - C:\Program Files\BrowserTweaks\MiracleMarker\MiracleMarker.dll (HKCU)
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O17 - HKLM\System\CCS\Services\Tcpip\..\{8A5E6AF1-6458-429E-9AAE-AAF3F6844D3A}: NameServer = 212.77.160.129 212.77.161.100
O17 - HKLM\System\CCS\Services\Tcpip\..\{9C59735D-1DD8-45CD-9429-589FD730A64A}: NameServer = 193.189.244.225 193.189.244.206
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7720775-BB9D-44C3-BC1B-8B30FA76DB9E}: NameServer = 193.189.244.225 193.189.244.206
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GRA32A~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: B-Service - Unknown owner - C:\Users\Gadek2\AppData\Roaming\Mikogo\B-Service.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DCService.exe - Unknown owner - C:\ProgramData\DatacardService\DCService.exe
O23 - Service: M4-Service - Unknown owner - C:/Users/Gadek2/AppData/Roaming/Mikogo\M4-Service.exe
O23 - Service: PostgreSQL Database Server 8.3 (pgsql-8.3) - PostgreSQL Global Development Group - C:\Program Files\PostgreSQL\8.3\bin\pg_ctl.exe
O23 - Service: ServiceLayer - Nokia - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: TeamViewer 6 (TeamViewer6) - TeamViewer GmbH - C:\Program Files\TeamViewer\Version6\TeamViewer_Service.exe
O23 - Service: TeamViewer 7 (TeamViewer7) - TeamViewer GmbH - C:\Program Files\TeamViewer\Version7\TeamViewer_Service.exe

--
End of file - 9644 bytes

Btw.,
wie sucht und entfernt man denn einen Trojaner im gesichertem Modus?

Eine Sache noch:
Ich nehme an, dass ihr trotzdem auch PW ändern würdet, wenn ein RSA-Token dahintersteht? (Bei mir MB und Stars)

schau dir bitte mal deinen Autostart an.
Ausführen - "msconfig" eintippen - und bei dem Reiter Systemstart ob dort ein Eintrag ist, der die divx32 Datei nutzt.

Wenn ja, Eintrag löschen - System im Abgesicherten Modus starten und Datei löschen.

Am Besten mal eine Antivir Live-CD aus dem Netz ziehen (Kaspersky oder Avast) und erneut einen Scan durchführen.

Ciao und Viel Erfolg

Original von IronPumper

Original von Sunfire
Ich kann zwar bei deinem direkten Problem nicht helfen, aber ich finde es bedenklich wenn man als Diamond um höhere Summen spielt und dann so seinen PC sichert.

Als ich es vor Jahren das letzte mal benutzt habe, hat es einiges übersehen und teilweise falschen Alarm gemeldet. Ich rate dir dringend zu einem besseren Programm.

Ka, mir wurde Antivir noch vor kurzem auf Nachfrage empfohlen.
Was wäre denn besser?

avast! Free Antivirus 6 ist noch zu empfehlen

Original von precognitive
geh nochmal dahin wo du gerade warst. tippe dann "cd\" dann enter.

"cd windows"
dann "cd system32"
dann "dir /p" enter

wird die datei hier aufgelistet? wenn nicht, dann wird sie hier nicht sein oder ist versteckt

so oder so kannste du dann eintippen: "regsvr32 /u DIVX32.DLL"

evtl. hab ichs auch falsch eingetippt...