coagluu.exe, TR/Trash.Gen & Co.

12.02.2010, 08:24

Hi,

schon wieder ich. Nach gestrigem Malwarebytes-Check wurden einige Trojaner auf meinem PC gefunden und als ich ihn heute morgen wieder anstellte, meldete auch AntiVir als erstes Befall durch TR/Trash.Gen.. Dieser soll sich in der coagluu.exe befinden - die ungefähr zum selben Zeitpunkt erstellt wurde, als ich einen USB-Stick benutzt habe, der auch kurze Zeit später bei einer Freundin zu erheblichen (Problemen führte.
Google verwies mich auf meinen eigenen Beitrag.
Hm,
Bin mal wieder ratlos, bitte Euch um Hilfe und stelle anbei schon mal Logfile und Malwarebytes-Ergebnisse rein (letzteres musste ich leider nach über SECHS Stunden vorzeitig abbrechen - der hat bis jetzt immer maximal zwei Stunden gebraucht

):

Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3725
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

12.02.2010 01:52:10
mbam-log-2010-02-12 (01-52-01).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 114817
Laufzeit: 6 hour(s), 9 minute(s), 11 second(s)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
C:\Dokumente und Einstellungen\XXXXXXXXXXXXX\coapuu.exe (Trojan.Agent) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\coapuu (Trojan.Agent) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\XXXXXXXXXXXX\coapuu.exe (Trojan.Agent) -> No action taken.
C:\Dokumente und Einstellungen\XXXXXXXXXXXX\coapuu.scr (Trojan.Agent) -> No action taken.
C:\Dokumente und Einstellungen\XXXXXXXXXXXX\Eigene Dateien\Zibbit Files\Spiele\7365\pztrain.exe (Malware.Packer.Gen) -> No action taken.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:42:03, on 12.02.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\InterVideo\DeviceService\DevSvc.exe
C:\WINDOWS\System32\gearsec.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\UAService7.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\hphmon05.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Orbit Downloader Start
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugi n.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [coapuu] C:\Dokumente und Einstellungen\XXXXXXXXXXXX\coapuu.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - https://update.microsoft.com/microsof...?1158856724061
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload2.macromedia.com/ge...sh/swflash.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Capture Device Service - InterVideo Inc. - C:\Programme\Gemeinsame Dateien\InterVideo\DeviceService\DevSvc.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - C:\Programme\MAGIX\Common\Database\bin\fbserver.ex e (file missing)
O23 - Service: Gear Security Service (GEARSecurity) - GEAR Software - C:\WINDOWS\System32\gearsec.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\System32\UAService7.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O24 - Desktop Component 1: MuggleNet's Goblet of Fire Movie Countdown (November 17) - https://www.mugglenet.com/countdown/g...wn.php?o=nov17

--
End of file - 7039 bytes

LG, jinx

Edit: Habe die coapuu.exe jetzt im abgesicherten Modus per Hijack gefixt und sie ist weg - die Trojanermeldung kommt nach wie vor.

24.02.2010, 10:52

Moin,
geh doch im Explorer: C:\Programme\Avira mal dahin >

Klicke auf die Grafik für eine größere Ansicht
Name:Bild000.jpg
Hits:58
Größe:18,5 KB
ID:1057

um zu sehen, ob die vorhanden ist und welche Versionsnummer die aktuell hat (Rechtsklick > Eigenschaften > Version). Bei mir ist das 9.0.0.52

Dirjo · 24.02.2010, 11:58

yo, na dann lasse ich das Spybot mal wech

Wobei Spybot gar nicht übel ist.
Habe ich immer gerne genutzt, aber nach dem Umstieg auf Vista war mir das zu problematisch.
Du kannst ja mal das neue AD-Aware 8.2 testen.
Läuft ganz gut mit AntiVir zusammen.

24.02.2010, 12:23

Hi,

@schmidtchen
sie ist zwar nicht als '.exe' deklariert, ist aber der 'product updater' und hat dieselbe Versionssnummer wie Deine.

@Dirjo
AdAware hatte ich vorher und bin dann auf Sypbot umgestiegen. Jetzt bin ich mit Malwarebytes eigentlich vollauf zufrieden.

LG, jinx

Dirjo · 24.02.2010, 13:34

Keine Frage, wenn man so sehr zufrieden ist, sollte man natürlich nicht wechseln

.
Malwarebytes ist in der Kaufversion wirklich sehr empfehlenswert.
Die Freeversion ist eher für den reinen Scan gedacht, oder haben die mittlerweile auch dort einen doch recht wichtigen Hintergrund-Guard eingesetzt?

24.02.2010, 13:58

Hi,

nee, das leider nicht und genau das ist auch der kleine Minuspunkt - hoffentlich deckt AntiVir das alles mit ab.

LG, jinx

24.02.2010, 18:35

Was hat denn der Antivir-Support gesagt warum das Update so lange nicht ging ?

Das wäre ja für uns auch mal interessant.

LG

25.02.2010, 15:25

Hi,

wir suchen da noch nach einer Lösung (natürlich hätte ich auch anrufen können, aber telefonischer Support 1,99 Euro/Minute? Hallo?? Such ich 'nen Staranwalt oder was?

). Habe alle Einträge in meiner Firewall deaktiviert, weil der Fehler im Update-Bericht auf ein Firewall-Problem hinwies. Halte Euch auf dem Laufenden.

LG, jinx

25.02.2010, 15:43

Moin,
das verstehe ich nun überhaupt nicht mehr. Du schreibst:

sie ist zwar nicht als '.exe' deklariert, ist aber der 'product updater' und hat dieselbe Versionssnummer wie Deine.

diesen habe ich wiederum nicht. Es kann doch nicht angehen, dass bei gleichem Produkt verschiedene Dateien existieren.
Es sei denn, dass deine Installation noch die vorhergehende Version ist oder Teile davon sind.

25.02.2010, 15:46

1,99....ok, das hätte ich auch nicht gemacht, ich dachte du hättest dem Support eine Mail geschickt

Welche Firewall benutzt du denn oder besser wie viele davon?

hängst du hinter einem Router ?

LG

25.02.2010, 16:05

Hi,

ach komm schon, heimlich sind wir doch alle megareich und nur hypergeizig!

Naja, ich dachte, das Forum sei auch gut und wollte es erstmal da versuchen. Hab da auch schon vor der Anmeldung viele Anregungen gefunden - leider wohl nicht für mich, lol

Ich habe ZoneAlarm und hänge voll krass hinter einem voll krassen Router.

LG, jinx

25.02.2010, 16:23

Moin,
nun wird's vielleicht klarer. Drück diese Alarmzone in die Tonne.
Deine Windows-Firewall und der Router sichert dich ausreichend.
Und dann noch mal auf 0, deinstalliere noch mal und überzeuge dich das auch restlos alles incl. der Avira-Ordner bei C:/Programme weg ist, bürste mit dem CCleaner nach und hol dir ein frischgebackenes AntiVir.

25.02.2010, 17:02

Wenn ich es nicht schon vermutet hätte....

Dieses mistige Zone-Alarm.....

Ist dann wenigsten die Windows-Firewall auch noch in Betrieb, damit das Chaos perfekt ist?

Hinter einem Router brauchst du Zone-Alarm nicht, da reicht die Windows-Firewall massig aus.

Dann funktionierts auch mit wieder dem Nachbarn....äääh mit den Updates..

LG

25.02.2010, 18:09

Hi,

na klar, ich hab' auch noch fünf andere Firewalls gleichzeitig laufen - nur so, um sicherzugehen, wollte grad 'ne sechste installieren.

Nein, hatte nur ZA an - und das damals installiert, weil ich trotz Routers und Windows-Firewall massive Virenattacken hatte.
ZA hat sich nun selbst erledigt (Wer das Drama nachlesen will

).
Okay, denn werde ich mal weitermachen. Bis später, Jungs.

LG, jinx

25.02.2010, 18:18

Hau diese mistige Zone Alarm bloß von der Platte.

Deinstallieren und anschließend den CCleaner die Reste wegputzen lassen und nur mit der Windowsfirewall arbeiten.

Du kannst dir nur Viren holen wenn du auf Mailanhänge oder sonstiges klickst, da schützt auch Zonealarm nicht vor.

LG

25.02.2010, 18:19

Hi,

nur, wenn .... naja und wenn ich mir Spiele und Programme runterlade - oder habe ich da in den letzten Jahren was falsch verstanden?

Die Windows-Firewall muss ich doch nur wieder aktivieren oder? Damals hieß es, dass ZA die überschreiben würde oder so ....

?

LG, jinx

25.02.2010, 18:26

Eine Firewall sperrt Zugriffe von außen oder von innen.

Von außen kann nichts kommen, dass sperrt dein Router

Die Windowsfirewall blockt ebenfalls Zugriffe von außen und zusätzlich blockt sie auch Programme die nach außen wollen.

Alles was du dir durch Downloads holst muss durch den Virenscanner und wenn der den Mist nicht erkennt hast du ihn auf dem Rechner.

es sind also immer nur deine eigenen Handlungen die dich mit Viren verseuchen, da ändert auch Zonealarm nichts dran - also weg damit.

LG

25.02.2010, 18:49

Hi,

na jut, na jut, denn habe ich da was falsch verstanden.

So, es ist wech, ich habe alles erledigt und jetzt rate mal, was passiert ist. (Wirst Du bis jetzt auch weder erraten noch gesehen haben.

Tu einfach überrascht.

) Wieder ließ mich der Updater warten, aber dann .... OH WUNDER!!!! ES HAT FUNKTIONIERT!!!! YEEEEEEEEEEHAAAAAAAAAAAAAAAAA!!!! WHOOOHOOHOOHOOHOOOOOOO!!! DAAAAAAAAAAAAAAAAAAAANKE!!!!

Mann, ich bin wie immer baff und sage tausend Dank!!! JUCHUUUUH!!

LG, jinx

25.02.2010, 19:37

SO KANN MAN AUCH MIT KLEINEN SACHEN, JINX UND ANDERE GLÜCKLICH MACHEN.
oder so ähnli

ch

25.02.2010, 19:40

Und die ist dank Euch seeeeeeeeeehr glücklich, hihi!!!!

25.02.2010, 21:22

ganz großes Kino....

hätte ich bloß eher schon mal an diese Firewall gedacht....

sehr schön....

Hast du das Prinzip mit dem Router und Firewall verstanden oder möchtest du das vertiefen ?

LG

25.02.2010, 21:40

Hör auf, mich zu verarschen, Q-Max.

26.02.2010, 06:57

Hm...

wollte ich eigentlich gar nicht....aber bei nochmaligem Lesen......

Nein, im Ernst - wenn du das Funktionsrinzip Router/Firewall usw. nicht verstanden hast, können wir das gern vertiefen.

LG

edit:

16.02.10
ich kann mir bald nicht vorstellen das Antivir Schuld ist.
Schalt für den Downloadversuch mal deine Firewall ab.

Haah, ich hab schon eher an die Firewall gedacht, wer kann denn auch ahnen das du die Dinger Dutzendweise auf dem Rechner hast.

26.02.2010, 20:51

Hi,

wenn sich noch Fragen auftun, wende ich mich vertrauensvoll an Dich.

Ich hatte doch nur eine aktiviert

, leider anscheinend die für AntiVir falsche. Naja, lol
Jetzt bin ich aber doch neugierig - was ist denn an ZA so scheiße (außer des AntiVir-Update-Dilemmas) ? War bis auf einige Anfangsschwierigkeiten eigentlich immer recht zufrieden - besonders gut fand ich, dass es bei allen Änderungen erstmal 'nachgefragt' hat.

LG, jinx

PS: Was war das denn bitte? Ich will den Beitrag posten und dann kommt 'Dieser Beitrag ist das Duplikate eines Beitrags, den sie innerhalb der letzten 5 Minuten erstell haben' oder so - hä??

26.02.2010, 21:03

ZoneAlarm ist sehr gut, wenn man es erst einmal eingestellt hat. Bis dahin ist es "benutzerunfreundlicher" als andere Firewalls. Oftmals hat man Probleme, die man nicht versteht und es liegt an ZoneAlarm, woran man einfach nicht denkt.

26.02.2010, 21:05

PS: Was war das denn bitte? Ich will den Beitrag posten und dann kommt 'Dieser Beitrag ist das Duplikate eines Beitrags, den sie innerhalb der letzten 5 Minuten erstell haben' oder so - hä??

dann hast du innerhalb 1-2 Sekunden zwei mal auf antworten geklickt...

Zonealarm hat immer so ein paar Zicken drauf. Außerdem frisst das Ding ziemlich Ressourcen.

Die Windows Firewall kannst du auch so dicht machen das sie jedes mal fragt.

LG

26.02.2010, 21:18

Hi,

siehste Spyx, fand ich auch - aber jetzt versuch ich es erst mal wieder so - hab die Nase etwas vom Update-Problem voll.

P

Nee Q-Max, hab' ich nicht - oder ich zitter neuerdings beim Tippen.

Jut, dann werde ich mich morgen noch mal in Ruhe mit der Konfiguration auseinandersetzen.
Übrigens - mein Spiel, das damals so gehakt hat, funktioniert auch wieder einwandfrei - yeah!!

LG und jute Nacht, jinx

coagluu.exe, TR/Trash.Gen & Co.

coapuu.exe, TR/Trash.Gen & Co.

Ähnliche Themen

wie mit BartPE WinXP aus .Trash-0 wiederherstellen?