Qoofix

Link: http://virus-protect.org/findqoologic.html

Qoofix Qoofix.zip www.besttechie.net

Klicke: Begin Removal

Qoofix Logfile - Beispiel

Qoofix v1.03 by http://www.malwarebytes.org
Scan started on [15.10.2006] at [07:40:57]
-------------------------------------------------------------
No malicious modules found!
-------------------------------------------------------------
No Qoologic infected files found!
-------------------------------------------------------------
Scan COMPLETED SUCCESSFULLY on [15.10.2006] at [07:41:46]

---

Link: qoologic infektion

Typ: Trojan
Kategorie: Win32

Auch bekannt als W32/Downloader.BGT (F-Secure), TROJ_NARRATOR.A (Trend), Adware-Qoolaid (McAfee), TROJ_QOOLAID.A (Trend), Win32/Qoologic!DLL!Trojan, Win32/Qoologic!generic, Win32/Qoologic.16384!DLL!Trojan, Win32/Qoologic.24576!DLL!Trojan, Win32/Qoologic.32768!Trojan, Win32/Qoologic.61952!Trojan, Win32.Qoologic.A, TROJ_QOOLOGIC.A (Trend), Win32.Qoologic.B, TROJ_QOOLOGIC.B (Trend), Win32/TrojanDownloader.Qoologic.B trojan (Pest Patrol), Win32.Qoologic.C, Win32/Qoologic.C!Trojan, Win32.Qoologic.D, Win32/Qoologic.D!Trojan,

---

Beispiel

HijackThis

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\System32\ohgxj.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,ydncuvn.exe


datfindbat

Verzeichnis von C:\WINDOWS\system32

18.06.2006 16:22 28.672 ohgxj.exe
18.06.2006 16:22 51.712 efptbyy.dll
18.06.2006 16:22 28.672 ohgxj.exe
16.06.2006 17:47 248 n.bat
15.06.2006 20:03 51.712 EFPTBYY.DLL.vir
15.06.2006 20:03 28.672 OHGXJ.EXE.vir
15.06.2006 20:03 23.552 ydncuvn.exe

Verzeichnis von C:\WINDOWS

16.06.2006 13:30 78.336 unwn.exe
16.06.2006 13:30 53 bellcq.dat

---------------------------------------

2. Durchlauf:

Verzeichnis von C:\WINDOWS

16.03.2006 23:50 844.288 Setup.exe
16.03.2006 15:51 14.848 diwyrjwa.exe
16.03.2006 15:51 10.240 akpteuhk.exe

Verzeichnis von C:\

20.06.2006 17:10 9.207 hiho.bat


Ewido-Virenscanner

C:\WINDOWS\system32\__delete_on_reboot__e_n_x_e_k_h_._e_x_e_ -> Downloader.Qoologic.bj
C:\WINDOWS\system32\__delete_on_reboot__k_u_x_e_b_q_a_._d_l_l_ -> Downloader.Qoologic.bj
C:\WINDOWS\system32\__delete_on_reboot__u_w_o_i_k_._e_x_e_ -> Downloader.Qoologic.bj
C:\WINDOWS\system32\kkmhv.dat -> Downloader.Qoologic.bj
C:\WINDOWS\unwn.exe -> Trojan.Qoologic
C:\WINDOWS\system32\kuxebqa.dll -> Downloader.Qoologic.bj

Suchbegriff eingeben:

---

HijackThis
neue Qoologic Version (Web Nexus)

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\System32\qshsu.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,bnnwgem.exe
O9 - Extra button: (no name) - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.dll
O9 - Extra 'Tools' menuitem: Java - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.dll


F-Secure Black Light

f-secure.com/security_center

BlackLight
# Lade F-Secure Blacklight in einen neuen Ordner C:\programme\blacklight.
# Starte in diesem Ordner fsbl.exe und schließe alle anderen Programme.
# Klicke "I accept the agreement", "next", "Scan".
# wenn der Scan zuende ist, wähle "Close".
# Der Bericht ist fsbl-XXX.log im Blacklight Verzeichnis, anstelle der XXX stehen Zahlen, die Datum und Uhrzeit enthalten

---

Beispiel

HijackThis

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\ dwvfh.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe, nsdjsuu.exe
O4 - HKLM\..\Run: [Microsoft] C:\WINDOWS\Fonts\wmplayer.exe
O4 - HKCU\..\Run: [Usse] "C:\WINDOWS\MANTEC~1\winspool.exe" -vt mt
O4 - HKCU\..\Run: [Grg] C:\Programme\?ystem\??chost.exe


datfindbat

Verzeichnis von C:\WINDOWS\system32
C:\WINDOWS\system32\dwvfh.exe
C:\WINDOWS\system32\sufbyxg.dll
C:\WINDOWS\system32\nsdjsuu.exe
C:\WINDOWS\system32\rltet.dat
C:\WINDOWS\system32\mnfbio.exe
C:\WINDOWS\system32\oins.exe
C:\WINDOWS\system32\dmonwv.dll
C:\WINDOWS\system32\a.exe
C:\WINDOWS\system32\xegbw.dll

Verzeichnis von C:\DOKUME~1\ADMINI~1\ LOKALE~1\Temp
30.05.2006 23:24 199.168 tp7543.exe

Verzeichnis von C:\WINDOWS

30.05.2006 16:44 42.736 icont.exe
30.05.2006 11:49 53.393 WHCC2.exe
30.05.2006 11:49 32.768 unstall.exe
30.05.2006 11:49 193 mm06y.ini
30.05.2006 11:49 53.120 optimize.exe
30.05.2006 11:49 24.576 up9.exe

--------------------------------

C:\WINDOWS\kjmiy.dll
C:\WINDOWS\system32\mnfbio.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\ Temp\fla1A.tmp
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\ Temp\fla19.tmp


Kaspersky Online

C:\avenger\backup.zip/avenger/dwvfh.exe Infected: Trojan-Downloader.Win32.Qoologic.bj
Infected: Trojan-Downloader.Win32.Qoologic.ax