Hallo,

also ich wurde von Malware Defense befallen. Ich hab lediglich Avast drauf, is natürlich wirkungslos. Ich hab schon gegoogelt und viele Beiträge von eurem Board dazu gelesen. Allerdings sind die Vorgehensweisen meist recht unterschiedlich. Deswegen wusste ich nicht recht wie ich vorgehen soll.

Malwarebytes hab ich probiert, aber es ging nicht, wurde wohl von Malware Defense geblockt. Ich habs auch gleich beim runterladen umbenannt.

Ist es möglich das System zu reparieren ohne neu aufzusetzen?

Ps: Ich bitte um schnelle Hilfe, da ich den Pc (eee pc) fürs Studium brauche.

Danke

Hi,

Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (http://www.gmer.net/#files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

So, wenn dabei von GMER der Treiber H8SRTd.SYS gefunden wird, dann weiter sonst noch mal melden (er wird von GMER auch direkt als Rootkit gekennzeichnet)

Bereinigung für Rootkit "H8SRTd"

Zuerst versucht ihr MAM zu installieren, dazu benennt es bereits im Downloaddialog auf
z.B. Test.exe um. Startet es nach der Installation nicht, wartet bis Avenger den
Rootkit "ausgeknippst" hat und lasst es dann sofort laufen (nach dem Update der Signaturen!)

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls MAM bereits installiert ist, weiter mit Avenger...

Anleitung Avenger (by swandog46)

1.) Ladet das Tool Avenger und speichere es auf dem Desktop:
(Alternativ umbennant von hier:http://www.file-upload.net/download-...er_le.exe.html)



2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Drivers to delete:
H8SRTd.sys
         

3.) Schliesst alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach Ausführen des Avengers wird das System neu gestartet.

4.) Um Avenger zu starten klicke auf -> Execute
Dann bestätigt mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest ihr hier einen Report von Avenger -> C:\avenger.txt
Öffnet die Datei mit dem Editor und kopiert den gesamten Text in Euren Beitrag hier am Trojaner-Board.

Nun bitte sofort MAM starten, Fullscann und alles bereinigen lassen, Log posten:
Startet MAM immer noch nicht, in das Installationsverzeichnis von MAM wechseln und die EXE von MAM (mbam.exe)
auf z. B. test.exe umbenennen und durch Doppelklick starten. Nach Beendigung des Scanns (und MAM) nennt ihr sie
auf den ursprünglichen Namen (mbam.exe) zurück.

chris

GMER 1.0.15.15281 - GMER - Rootkit Detector and Remover
Rootkit quick scan 2010-01-23 12:02:33
Windows 5.1.2600 Service Pack 3
Running: upbkp9lr.exe; Driver: C:\DOKUME~1\simon_2\LOKALE~1\Temp\aglyrkog.sys


---- System - GMER 1.0.15 ----

Code 89B66710 ZwEnumerateKey
Code 89972828 ZwFlushInstructionCache
Code 89BAF52E IofCallDriver
Code 89B9FB96 IofCompleteRequest

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs 89DD61F8

AttachedDevice \Driver\Tcpip \Device\Ip aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Tcp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Udp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\RawIp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

---- Services - GMER 1.0.15 ----

Service C:\WINDOWS\system32\drivers\H8SRTnvujnkxbmo.sys (*** hidden *** ) [SYSTEM] H8SRTd.sys <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

Logfile of The Avenger Version 2.0, (c) by Swandog46
Swandog46's Public Anti-Malware Tools

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "H8SRTd.sys" found!
ImagePath: \systemroot\system32\drivers\H8SRTnvujnkxbmo.sys
Start Type: 4 (Disabled)

Rootkit scan completed.

Driver "H8SRTd.sys" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Hi,

poste auch das Log von MAM...
MAM muß direkt nach dem Inaktivieren laufen, sonst hast du bald wieder ein Problem!

chris

Mam is erstmal abgekackt, machs aber nochmal.

Hi,

deinstalliere MAM und installiere es neu...

chris

Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3618
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

23.01.2010 16:55:35
mbam-log-2010-01-23 (16-55-29).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 362666
Laufzeit: 2 hour(s), 8 minute(s), 16 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 3
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 2
Infizierte Dateien: 36

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\malware defense (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Malware Defense (Rogue.MalwareDefense) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\H8SRT (Rootkit.TDSS) -> No action taken.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\extrac64_cab.exe (Trojan.Dropper) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\malware defense (Rogue.MalwareDefense) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\malware Defense (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Startmenü\Programme\malware Defense (Rogue.MalwareDefense) -> No action taken.

Infizierte Dateien:
C:\Dokumente und Einstellungen\simon_2\Lokale Einstellungen\Temp\extrac64_cab.exe (Trojan.Dropper) -> No action taken.
C:\DOKUME~1\simon_2\LOKALE~1\Temp\extrac64_cab.exe (Trojan.Dropper) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Lokale Einstellungen\Temporary Internet Files\Content.IE5\682TIUSE\z002102801r0007J11000601Rd61919e9Xb488c68cYffdfa0daZ03007f3530dP000501080[1] (Rootkit.TDSS.Gen) -> No action taken.
C:\Programme\Malware Defense\mdext.dll (Trojan.TDSS) -> No action taken.
C:\Programme\Malware Defense\uninstall.exe (Trojan.FakeAlert) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0032859.exe (Trojan.Banker) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033858.dll (Rootkit.TDSS.Gen) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033859.dll (Rootkit.TDSS.Gen) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033862.exe (Trojan.FakeAlert) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033871.exe (Trojan.Banker) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033873.dll (Trojan.TDSS) -> No action taken.
C:\System Volume Information\_restore{95F79FDB-E509-44EE-8004-E7945B42DE1F}\RP158\A0033874.exe (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\H8SRTtalnxncjws.dll (Rootkit.TDSS.Gen) -> No action taken.
C:\WINDOWS\system32\drivers\H8SRTnvujnkxbmo.sys (Rootkit.TDSS.Gen) -> No action taken.
C:\Programme\malware Defense\help.ico (Rogue.MalwareDefense) -> No action taken.
C:\Programme\malware Defense\md.db (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Startmenü\Programme\malware Defense\Malware Defense Support.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Startmenü\Programme\malware Defense\Malware Defense.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Startmenü\Programme\malware Defense\Uninstall Malware Defense.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Desktop\Malware Defense.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Desktop\Malware Defense Support.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\simon_2\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Malware Defense.lnk (Rogue.MalwareDefense) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Desktop\nudetube.com.lnk (Rogue.Link) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Desktop\pornotube.com.lnk (Rogue.Link) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Desktop\youporn.com.lnk (Rogue.Link) -> No action taken.
C:\WINDOWS\system32\H8SRTifrobxhpta.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTijrgqrfdvr.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTnfvwgkewxl.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTrflngvaaow.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\h8srtshsyst.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTemodgdpsfr.dat (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\Temp\H8SRT19a8.tmp (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\Temp\H8SRT1fa3.tmp (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\Temp\H8SRT2d21.tmp (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\Temp\H8SRT3004.tmp (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\Temp\H8SRTf586.tmp (Rootkit.TDSS) -> No action taken.





Avast hat entsprechend oft Alarm geschlagen, hab dann auf Löschen geklickt, macht das was aus?

Hi,

ist okay...

Systemwiederherstellung löschen
BSI-Faltblattt (https://www.bsi.bund.de/cln_134/Cont...irenundCo.html) und dort unter Viren entfernen
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

chris

Juhu,...

sieht soweit sehr gut aus. Soll ich jetzt nochmal irgendeinen Scan posten?

Wenn wieder was auftritt, darf ich das hier weiterschreiben?

Auf jeden Fall vielen, vielen Dank, für die schnelle und kompetente Hilfe.


gruß Simon

Hi,

lass zur Sicherheit (um prüfen zu können ob Avast auch alles gelöscht hat), nochmal MAM komplett dürber laufen und alles beseitigen. Mache vorher ein Update von MAM...

Wenn es was neues sein sollte, dann bitte einen neuen Thread eröffnen...

chris