Hilfe benötigt: wghbth.dll fehlt ?!?

[ste]

Liebes Forum,

hatte kürzlich ein Problem mit einem trojanischen Pferd, welches ich nun hoffentlich erfolgreich ausgepeitscht und in seine Schranken verwiesen habe. Ich bin kein Crack in Soft- und Hardwareangelegenheiten und darum würde ich mich freuen, auf Eure Expertise zurückgreifen zu können .

Zum Problem:
Nachdem ich den Trojaner - so hoffe ich zumindest - erfolgreich gebannt habe (Vorgeschichte ist im Forum von Antivir nachzulesen: http://forum.avira.com/wbb/index.php?page=Thread&threadID=81848 ) habe ich bei hochfahren meines Rechners eine Fehlermeldung, die auf eine fehlende wghbth.dll verweist. Diese Datei war von dem Trojaner befallen und wurde in Quarantäne gestellt:
--------------------
C:\ [...] \Anwendungsdaten\Help\system32\wghbth.dll
[FUND] Ist das Trojanische Pferd TR/Dldr.Agent.sxj
--------------------

Ich habe versucht, die Datei mal zu googlen und etwas darüber herauszufinden, allerdings habe ich nichts gefunden. Auch eine Suche in diesem Forum blieb erfolglos. Ich habe nun zwei Vermutungen:
1) Die Datei wird gar nicht benötigt. Stattdessen will irgendetwas immer noch den Trojaner starten, der nun zum Glück in Quarantäne gestellt ist.
2) Eigentlich soll wshbth.dll geladen werden, aber durch den Trojanerbefall wurde das umgestellt

Vielleicht ist beides falsch. Über jeglich Form von Hilfe zur Behebung des Problems wäre ich sehr dankbar. Falls dies nicht das richtige Forum ist, bitte ich um Hinweise, wo ich entsprechnde Hilfe erhalten kann.

Beste Grüße
ste

 

[Skar]

Hallo,

die angesprochene datei ist Bestandteil von Windows (Windows Sockets Helper) - du kannst diese datei an vielen stellen im internet runterladen.
Eine andere Moeglichkeit waere eine Reperaturinstallation mit deiner XP Cd (solltest du nur eine Recovery Cd haben, dann guck ob du eine retail Cd auftreiben kannst).
Andere moeglichkeit wie gesagt waere das runterladen der Datei. Starte den rechner dann einfach mit einem live system und ersetze die datei.

Gruesse
Skar

 

[lyvi]

hi,
im MS patch (Q323183_WXP_SP2_x86_Enu.exe) ist die datei enthalten:
sollte der patch bei dir schon drauf sein deinstalliere ihn einfach danach llässt sich der neue aufspielen
solltest du sp3 drauf haben geht mein weg natürlich nicht

oder diie datei direkt downloaden wie der vorposter geschrieben hat [Repair Registry Fix wshbth.dll]

greeTz lyvi

 

[ste]

Vielen Dank für die Antworten!

Ich habe selber noch mal etwas recherchiert und vermute, dass die Fehlermeldung mit dem Trojaner, den ich mir eingefangen habe, zusammen hängt. Demnach hat der Trojaner die Dateien angelegt und die fehlende *.dll muss nicht neu in das System überspielt werden. Folgende Infos von f-secure und TrendMicro haben mich darauf gebracht:

In dem Ordner, in dem die wghbth.dll gestartet werden soll, befinden sich weitere Dateien:

Diese fehlt:
C:\Dokumente und Einstellungen\St\Anwendungsdaten\Help\system32\wghbth.dll

Folgende drei weitere Dateien befinden sich in dem Ordner:
- mswmpdat.tlb (vom 19.01.2009: Uhrzeit stimmt mit der Entdeckung des Virus in etwa überein)
- winview.ocx
- wmcache.nld (jeweils vom 04.08.2004: vielleicht ist mein RecoverySystem so alt? Das System wurde aber erst vor ungefähr neun Monaten generiert).

Informationen von f-secure (laut f-secure heißt mein Befall: W32/Agent.BTZ):

Worm:W32/Agent.BTZ: Worms are computer programs that replicate independently by copying themselves to other systems.
File System Changes
Creates these files:

* %windir%\system32\muxbde40.dll
* %windir%\system32\winview.ocx (habe ich)
* %temp%\6D73776D706461742E746C62FA.tmp
* %windir%\system32\mswmpdat.tlb (habe ich)

http://www.f-secure.com/v-descs/worm_w32_agent_btz.shtml

Noch genauer passt es mit dem Befund von Trendmicro:
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_AUTORUN.JJ&VSect=T
Dort werden alle drei Dateien gefunden! Die Beschreibung des Infektionsweges trifft zu. Hier wird auch ein Weg beschrieben, das Problem zu beheben.

Wen es interessiert, der/die kann den weiteren Verlauf der Problembehandlung unter folgendem Link nachvollziehen:
http://forum.avira.com/wbb/index.php?page=Thread&threadID=81848

Die Fehlermeldung ist mittlerweile behoben, allerdings bin ich mir noch nicht sicher, ob nun alles zum Besten steht. Weitere Infos gibt es in dem anderen Forum.

Auf bald
ste