Avira Support Forum

Hallo, beim Suchlauf wurde soeben ein Trojaner gefunden- nämlich der TR/Spy.ZBot72.1. Dieser wurde in die Quarantäne verschoben und auch an Avira gesendet, weil ich diesen Trojaner nirgendwo finden konne bei den Aufzählungen.
Ist darüber etwas bekannt?

Hast Du den Fund mit Verdacht auf Fehlalarm eingeschickt?
Hier Infos zu Zbot (AKA Zeus) auf Englisch.
Sollte sich der Befall bestätigen kannst Du schon mal einen Plan zum Neuaufsetzen des Rechners machen. Bei Fragen hier: Bitte gerne.

Ein ZBot spioniert deine Daten aus, will deine Passwörter und dein Geld, ist ein Rootkit und für gewöhnlich das Aus für das Betriebssystem

Mit dem schlimmsten rechnen und wenns doch nicht soo schlimm wird ist man immerhin angenehm überrascht.

Bitte als erstes den kompletten Such- oder Fundbericht von Avira hier posten.

Es sind sogar zwei Trojaner gefunden worden...

Was nun?

Hier der Bericht....
Avira Antivirus Premium 2012
Erstellungsdatum der Reportdatei: Montag, 30. April 2012 19:30

Es wird nach 3727683 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : XXXXX
Seriennummer : XXXXXX
Plattform : Windows 7 x64
Windowsversion : (Service Pack 1) [6.1.7601]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : XXXX

Versionsinformationen:
BUILD.DAT : 12.0.0.915 42648 Bytes 31.01.2012 13:20:00
AVSCAN.EXE : 12.1.0.20 492496 Bytes 15.02.2012 09:50:35
AVSCAN.DLL : 12.1.0.18 65744 Bytes 15.02.2012 09:50:35
LUKE.DLL : 12.1.0.19 68304 Bytes 15.02.2012 09:50:35
AVSCPLR.DLL : 12.1.0.22 100048 Bytes 15.02.2012 09:50:36
AVREG.DLL : 12.1.0.36 229128 Bytes 05.04.2012 15:59:10
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 15:39:04
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 15:39:23
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 15:57:47
VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 12:06:02
VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 16:55:44
VBASE005.VDF : 7.11.26.45 2048 Bytes 28.03.2012 16:55:44
VBASE006.VDF : 7.11.26.46 2048 Bytes 28.03.2012 16:55:44
VBASE007.VDF : 7.11.26.47 2048 Bytes 28.03.2012 16:55:45
VBASE008.VDF : 7.11.26.48 2048 Bytes 28.03.2012 16:55:45
VBASE009.VDF : 7.11.26.49 2048 Bytes 28.03.2012 16:55:45
VBASE010.VDF : 7.11.26.50 2048 Bytes 28.03.2012 16:55:45
VBASE011.VDF : 7.11.26.51 2048 Bytes 28.03.2012 16:55:45
VBASE012.VDF : 7.11.26.52 2048 Bytes 28.03.2012 16:55:45
VBASE013.VDF : 7.11.26.53 2048 Bytes 28.03.2012 16:55:45
VBASE014.VDF : 7.11.26.107 221696 Bytes 30.03.2012 10:24:27
VBASE015.VDF : 7.11.26.179 224768 Bytes 02.04.2012 14:54:30
VBASE016.VDF : 7.11.26.241 142336 Bytes 04.04.2012 14:32:52
VBASE017.VDF : 7.11.27.41 247808 Bytes 08.04.2012 14:59:48
VBASE018.VDF : 7.11.27.107 161280 Bytes 12.04.2012 09:35:04
VBASE019.VDF : 7.11.27.159 148992 Bytes 13.04.2012 18:41:49
VBASE020.VDF : 7.11.27.201 207360 Bytes 17.04.2012 11:44:26
VBASE021.VDF : 7.11.28.3 237568 Bytes 19.04.2012 08:58:47
VBASE022.VDF : 7.11.28.49 193536 Bytes 20.04.2012 16:03:33
VBASE023.VDF : 7.11.28.99 195072 Bytes 23.04.2012 20:28:29
VBASE024.VDF : 7.11.28.133 247808 Bytes 24.04.2012 17:57:39
VBASE025.VDF : 7.11.28.183 186880 Bytes 26.04.2012 14:11:01
VBASE026.VDF : 7.11.28.235 166400 Bytes 30.04.2012 11:26:35
VBASE027.VDF : 7.11.28.236 2048 Bytes 30.04.2012 11:26:35
VBASE028.VDF : 7.11.28.237 2048 Bytes 30.04.2012 11:26:35
VBASE029.VDF : 7.11.28.238 2048 Bytes 30.04.2012 11:26:35
VBASE030.VDF : 7.11.28.239 2048 Bytes 30.04.2012 11:26:35
VBASE031.VDF : 7.11.28.248 68608 Bytes 30.04.2012 16:40:41
Engineversion : 8.2.10.58
AEVDF.DLL : 8.1.2.2 106868 Bytes 25.10.2011 16:26:18
AESCRIPT.DLL : 8.1.4.18 455034 Bytes 26.04.2012 18:48:50
AESCN.DLL : 8.1.8.2 131444 Bytes 26.01.2012 22:04:53
AESBX.DLL : 8.2.5.5 606579 Bytes 12.03.2012 11:29:58
AERDL.DLL : 8.1.9.15 639348 Bytes 08.09.2011 22:17:07
AEPACK.DLL : 8.2.16.9 807287 Bytes 30.03.2012 15:04:44
AEOFFICE.DLL : 8.1.2.28 201082 Bytes 26.04.2012 18:48:49
AEHEUR.DLL : 8.1.4.21 4682102 Bytes 26.04.2012 18:48:48
AEHELP.DLL : 8.1.20.0 254326 Bytes 26.04.2012 18:48:42
AEGEN.DLL : 8.1.5.28 422260 Bytes 26.04.2012 18:48:41
AEEXP.DLL : 8.1.0.33 82293 Bytes 26.04.2012 18:48:50
AEEMU.DLL : 8.1.3.0 393589 Bytes 29.12.2010 15:39:26
AECORE.DLL : 8.1.25.6 201078 Bytes 15.03.2012 14:30:26
AEBB.DLL : 8.1.1.0 53618 Bytes 29.12.2010 15:39:25
AVWINLL.DLL : 12.1.0.17 27344 Bytes 11.10.2011 10:13:25
AVPREF.DLL : 12.1.0.17 51920 Bytes 11.10.2011 10:13:43
AVREP.DLL : 12.1.0.17 179920 Bytes 11.10.2011 10:14:22
AVARKT.DLL : 12.1.0.23 209360 Bytes 15.02.2012 09:50:35
AVEVTLOG.DLL : 12.1.0.17 169168 Bytes 11.10.2011 10:13:38
SQLITE3.DLL : 3.7.0.0 398288 Bytes 11.10.2011 10:14:09
AVSMTP.DLL : 12.1.0.17 63440 Bytes 11.10.2011 10:13:45
NETNT.DLL : 12.1.0.17 17104 Bytes 11.10.2011 10:14:02
RCIMAGE.DLL : 12.1.0.17 4491472 Bytes 11.10.2011 10:13:26
RCTEXT.DLL : 12.1.0.16 98512 Bytes 11.10.2011 10:13:26

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Schnelle Systemprüfung
Konfigurationsdatei...................: C:\Program Files (x86)\Avira\AntiVir Desktop\quicksysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Montag, 30. April 2012 19:30

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD3
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD4
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD5
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD6
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wlcomm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wlmail.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'daemonu.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ipmGui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AVWEBGRD.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avmailc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CVHSVC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.bin' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HotkeyUtility.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ButtonMonitor.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhLeAutoRun.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sftlist.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IAANTMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'USBS3S4Detection.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'UpdaterService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IAAnotif.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvSCPAPISvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sftvsa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SeaPort.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GREGsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'armsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhotoshopElementsFileAgent.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1586' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\Users\Tracy'
C:\Users\Tracy\AppData\Local\Microsoft\Windows Live Mail\Arcor (tracy fdb\Deleted Items\575346F1-00000ABA.eml
[0] Archivtyp: MIME
--> Telekom_Rechnung_secure.zip
[1] Archivtyp: ZIP
--> Telekom_Rechnung_secure.exe
[FUND] Ist das Trojanische Pferd TR/Spy.ZBot.72.1
Beginne mit der Suche in 'C:\Windows'
Beginne mit der Suche in 'C:\Users\'
C:\Users\Tracy\AppData\Local\Microsoft\Windows Live Mail\Arcor (Tracy fdb\Deleted Items\575346F1-00000ABA.eml
[0] Archivtyp: MIME
--> Telekom_Rechnung_secure.zip
[1] Archivtyp: ZIP
--> Telekom_Rechnung_secure.exe
[FUND] Ist das Trojanische Pferd TR/Spy.ZBot.72.1

Die 64 Hinweise habe ich mal nicht hier rein kopiert.....
Merkwürdig ist, dass ich vor ca. drei Tagen mal eine Spam Mail bekommen habe- Absender Telecom- womit ich nix am hut habe. ich habe diese Mail zunächst als Junkmail verschoben (ohne den Anhang zu öffnen) und danach auch sofort gelöscht. Wieso kommt dieser Trojaner trotz Nichtöffnung auf meinen Computer?

Quoted from "AlfaMS"

Hast Du den Fund mit Verdacht auf Fehlalarm eingeschickt?
Hier Infos zu Zbot (AKA Zeus) auf Englisch.
Sollte sich der Befall bestätigen kannst Du schon mal einen Plan zum Neuaufsetzen des Rechners machen. Bei Fragen hier: Bitte gerne.

Quoted from "AlfaMS"

Hast Du den Fund mit Verdacht auf Fehlalarm eingeschickt?

Ich habe den Trojaner mit verdächtige Datei eingesendet. Neuaufsetzen- oh je..... hoffentlich bekomme ich das noch alles geregelt....
Kann ich dazu das LW benutzen, auf welcher die Daten bei Einrichtung unbenutzt abgespeichert wurden- oder sollte ich dazu die CD's nehmen- bei denen ich (hoffentlich) alles abgespeichert habe?

Wie wäre es mal den Papierkorb zu leeren - dann ist auch alles weg- natürlich den Papierkorb von Windows Mail - da sind die drinnen. Verdacht auf FP ist sinnlos - der Anhang ist schädlich.

Eine Prüfung bei Virustotal wäre hilfreich, Link in meiner Signatur.
Dazu den Avira Echtzeit Scanner / Guard vorher deaktivieren (rechtsklick aufs Schirmchen, Echtzeitscanner aktivieren klicken, das Häkchen ist weg, der Schirm klappt zu)
In der Eingabemaske bei VT zum Dateipfad durchklicken, Datei prüfen lassen.
Kommt eine Meldung dass die Datei bereits analysiert wurde, auf Re-Analyse klicken.
Danach die URL in der Adresszeile hier posten.

Bitte auch noch das Ende des Avira Scans einstellen, man sieht nicht was mit den Dateien gemacht wurde.

Wo lösche ich den Papierkorb für Windows Mails? Den einzigen Papierkorb den ich auf dem Desktop habe- wird geleert durch CCleaner....

Beginne mit der Suche in 'C:\Program Files (x86)'

Beginne mit der Desinfektion:
C:\Users\Tracy\AppData\Local\Microsoft\Windows Live Mail\Arcor (Tracy fdb\Deleted Items\575346F1-00000ABA.eml
[FUND] Ist das Trojanische Pferd TR/Spy.ZBot.72.1
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a0444ca.qua' verschoben!


Ende des Suchlaufs: Montag, 30. April 2012 21:29
Benötigte Zeit: 1:24:27 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

33372 Verzeichnisse wurden überprüft
696174 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
696172 Dateien ohne Befall
4789 Archive wurden durchsucht
0 Warnungen
65 Hinweise
105767 Objekte wurden beim Rootkitscan durchsucht
64 Versteckte Objekte wurden gefunden

Quoted from "Tracy0300"

ich habe diese Mail zunächst als Junkmail verschoben (ohne den Anhang zu öffnen) und danach auch sofort gelöscht. Wieso kommt dieser Trojaner trotz Nichtöffnung auf meinen Computer?

Liegt vielleicht noch in einem Mailarchiv, ohne sich bisher verbreitet zu habe. So würde ich den Fundort interpretieren.

PS: Sorry, die anderen waren schneller.

Es scheint bei Windows Live Mail keinen Papierkorb zu geben, aber einen Ordner "Gelöschte Objekte".
Die infizierten Mails in diesen Ordner leiten und anschließend leeren.

Meine Vermutung ist die- dass die gelöschten mails auf meinem Computer nicht auch gleichzeitig bei meinem E-mail Provider gelöscht werden. Ich habe diese alle gerade nochmals manuell gelöscht und mache jetzt nochmals einen Suchlauf.....

Ich muss mich verabschieden - Flachland ruft! Morgen wieder da

Jubel.... kein Trojaner mehr beim zweiten Suchlauf vorhanden.... Ich habe bei dem Mailprovider alle gelöschten Mails im Papierkorb nochmals gelöscht- und nichts mehr da.
Boah *Schweiß von der Stirn wischt* das wäre der blanke Horror gewesen. Wie gut, dass ich keine fremden Mails lese.
Jetzt lösche ich noch den Trojaner aus der Quarantäne und dann ist hoffentlich Ruhe.
Danke ihr Lieben, dass ihr so schnell für mich da gewesen seid- wie immer.

Quoted from "Tracy0300"

Merkwürdig ist, dass ich vor ca. drei Tagen mal eine Spam Mail bekommen habe- Absender Telecom- womit ich nix am hut habe. ich habe diese Mail zunächst als Junkmail verschoben (ohne den Anhang zu öffnen)

nur mal so zu Info

http://computer.t-online.de/telekom-rech…_55863060/index

Quoted from "Tracy0300"

Meine Vermutung ist die- dass die gelöschten mails auf meinem Computer nicht auch gleichzeitig bei meinem E-mail Provider gelöscht werden. Ich habe diese alle gerade nochmals manuell gelöscht

wenn Du t.-online hast, also Dein Provider, - lösche erst die Mails bei Windows Live Mail, dann die Internetspuren löschen,
ein zwei Sekunden danch warten und bei t-online reinschauen, dann sind die auch weg, So handhabe ich das immer. Ich weiß, das die noch eine Zeit bei Telekom stehen, aber
die verschwinden von selbst, wenn Du das mal machst, was ich immer tue, - ich gucke danach auch mal so stichprobenmäßig rein, (ansonsten auch gar nicht viel, fast überhaupt nicht !) ) und weg sind die dann auch, somit erspare ich mir das löschen, denn da hätte ich ja viel zu tun. Anfangs dachte ich auch, (ca, vor 2 Jahre) so,,,löschte die, bis ich an auf die Idee kam und das machte. Momentan ist bei Telekom ja auch einiges los,
man hört und liest nichts gutes und ich überlege mir auch, ob nicht ein Wechsel bevorsteht,

nur weiß ich ja leider nicht ob es Dein Provider ist, Wenn nicht.lesen das andere ja auch, und vllt, ist denen ein wenig *geholfen*.

Gute Nacht bzw. guten Morgen und einen schönen Maifeiertag
PS
zu spät gelesen:

Quoted from "Tracy0300"

Wie gut, dass ich keine fremden Mails lese.

Telekom versendet nach Auskunft meiner Anrufe keine Mails, und wenn wurde mir gesagt, nur Rechnungen und die anderen wären gefälschte....

*denn sie wissen nicht, was sie tun* <<Teledoof

Quoted

Wer heute den Kopf in den Sand steckt, knirscht Morgen mit den Zähnen.

Das tue ich jede Nacht, deswegen kommt ne Spange hin.

Antwort von Avira auf die infizierte Mail:

Die Datei 'Telekom_Rechnung_secure.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen TR/Spy.ZBot.ZV gegeben. Bei der Bezeichnung "TR/" handelt es sich um ein Trojanisches Pferd, dass in der Lage ist, ihre Daten auszuspähen, Ihre Privatsphäre zu verletzen und nicht erwünschte Änderungen am System vornehmen kann. Ein Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) hinzugefügt werden.

Hoffentlich passiert das schnell.....

Quoted from "Tracy0300"

Antwort von Avira auf die infizierte Mail:

Die Datei 'Telekom_Rechnung_secure.exe' wurde als 'MALWARE' eingestuft. Unsere Analytiker haben dieser Bedrohung den Namen TR/Spy.ZBot.ZV gegeben. Bei der Bezeichnung "TR/" handelt es sich um ein Trojanisches Pferd, dass in der Lage ist, ihre Daten auszuspähen, Ihre Privatsphäre zu verletzen und nicht erwünschte Änderungen am System vornehmen kann. Ein Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) hinzugefügt werden.

Hoffentlich passiert das schnell.....

also war das die von mir besagte Mail, ich hatte auch eine bekommen, diese aber nicht geöffnet, sondern gleich gelöscht. Grundsätzlich mache ich keine Telekom Mails auf. Kommt gleich ab und gelöscht !

Ich sage mir immer wieder, wenn diese etwas von mir wollen, habe ich einen Briefkasten zuhause und fertig. Das gilt nicht nur für die Telekom.

Was da so alles im Netz rumschwiert, da frage ich mich manchmal, ob ich das Internet nicht ganz aufgebe ,so weit bin ich nun auch schon.

Bestellungen online gibt es bei mir auch nicht. Wenn rufe ich an und lasse es mir zustellen.