Tach geschätzte Community

Gerade eben habe ich mich mit einem Trojaner infiziert, als ich ein paar Cheats für ein Spiel runterladen wollte - Dumm, ich weiss, aber aus lauter Verzweiflung macht man auch mal was dummes. Dafür sollte das infizieren mit einem Trojaner als Bestrafung eigentlich reichen.

Folgendes Problem:
Der Echtzeitscanner von Avira zeigt mir immer folgende Meldung an:

In der Datei C:\Windows\Temp\iidwh\setup.exe wurde ein Virus oder unerwünschtes Programm TR/Crypt.XPACK.Gen3 gefunden. Der Zugriff auf diese Datei wurde verweigert.

Entfernen geht nicht - respektive taucht die Meldung einfach nach 5 Minuten wieder auf. Also habe ich einen ganzen Systemcheck mit Avira durchgeführt wodurch noch mehr von den "Crypt.XPACK" gefunden wurden, jeweils mit einer anderen Endziffer (der neuste: Gen8). Das entfernen des Trojaners durch andere Programme hab ich schon versucht (z.b. Spyware Terminator), hat aber nix gebracht - die Meldung von Antivir taucht immer wieder auf.... und irgendwie, sehe ich gerade, hat's noch was anderes unsauberes drauf... hach... Jedenfalls hier mal mein Antivir log (obwohl da irgendwas mit "serial" steht vorne weg - NEIN ich wollte kein Serial Number/Keygen whatever runterladen. Beziehe meine Games fast ausschliesslich von Steam):

Avira Free Antivirus
Erstellungsdatum der Reportdatei: Dienstag, 7. Februar 2012 12:17

Es wird nach 3425976 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - Free Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 7
Windowsversion : (Service Pack 1) [6.1.7601]
Boot Modus : Normal gebootet
Benutzername : ****
Computername : MAXPOWER

Versionsinformationen:
BUILD.DAT : 12.0.0.872 Bytes 15.12.2011 16:24:00
AVSCAN.EXE : 12.1.0.18 490448 Bytes 26.10.2011 15:47:37
AVSCAN.DLL : 12.1.0.17 65744 Bytes 11.10.2011 12:59:58
LUKE.DLL : 12.1.0.17 68304 Bytes 11.10.2011 12:59:47
AVSCPLR.DLL : 12.1.0.21 99536 Bytes 09.12.2011 00:01:18
AVREG.DLL : 12.1.0.27 227536 Bytes 10.12.2011 00:25:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:18:34
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 09:07:39
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 21:35:08
VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 12:09:29
VBASE004.VDF : 7.11.21.239 2048 Bytes 01.02.2012 12:09:29
VBASE005.VDF : 7.11.21.240 2048 Bytes 01.02.2012 12:09:29
VBASE006.VDF : 7.11.21.241 2048 Bytes 01.02.2012 12:09:29
VBASE007.VDF : 7.11.21.242 2048 Bytes 01.02.2012 12:09:29
VBASE008.VDF : 7.11.21.243 2048 Bytes 01.02.2012 12:09:29
VBASE009.VDF : 7.11.21.244 2048 Bytes 01.02.2012 12:09:29
VBASE010.VDF : 7.11.21.245 2048 Bytes 01.02.2012 12:09:29
VBASE011.VDF : 7.11.21.246 2048 Bytes 01.02.2012 12:09:29
VBASE012.VDF : 7.11.21.247 2048 Bytes 01.02.2012 12:09:30
VBASE013.VDF : 7.11.22.33 1486848 Bytes 03.02.2012 12:04:35
VBASE014.VDF : 7.11.22.56 687616 Bytes 03.02.2012 13:06:21
VBASE015.VDF : 7.11.22.57 2048 Bytes 03.02.2012 13:06:21
VBASE016.VDF : 7.11.22.58 2048 Bytes 03.02.2012 13:06:22
VBASE017.VDF : 7.11.22.59 2048 Bytes 03.02.2012 13:06:22
VBASE018.VDF : 7.11.22.60 2048 Bytes 03.02.2012 13:06:22
VBASE019.VDF : 7.11.22.61 2048 Bytes 03.02.2012 13:06:22
VBASE020.VDF : 7.11.22.62 2048 Bytes 03.02.2012 13:06:23
VBASE021.VDF : 7.11.22.63 2048 Bytes 03.02.2012 13:06:23
VBASE022.VDF : 7.11.22.64 2048 Bytes 03.02.2012 13:06:23
VBASE023.VDF : 7.11.22.65 2048 Bytes 03.02.2012 13:06:24
VBASE024.VDF : 7.11.22.66 2048 Bytes 03.02.2012 13:06:25
VBASE025.VDF : 7.11.22.67 2048 Bytes 03.02.2012 13:06:26
VBASE026.VDF : 7.11.22.68 2048 Bytes 03.02.2012 13:06:26
VBASE027.VDF : 7.11.22.69 2048 Bytes 03.02.2012 13:06:26
VBASE028.VDF : 7.11.22.70 2048 Bytes 03.02.2012 13:06:26
VBASE029.VDF : 7.11.22.71 2048 Bytes 03.02.2012 13:06:26
VBASE030.VDF : 7.11.22.72 2048 Bytes 03.02.2012 13:06:26
VBASE031.VDF : 7.11.22.87 134656 Bytes 06.02.2012 13:04:48
Engineversion : 8.2.8.48
AEVDF.DLL : 8.1.2.2 106868 Bytes 26.10.2011 15:47:36
AESCRIPT.DLL : 8.1.4.3 438649 Bytes 03.02.2012 12:06:43
AESCN.DLL : 8.1.8.2 131444 Bytes 27.01.2012 11:23:20
AESBX.DLL : 8.2.4.5 434549 Bytes 01.12.2011 21:42:13
AERDL.DLL : 8.1.9.15 639348 Bytes 08.09.2011 21:16:06
AEPACK.DLL : 8.2.16.2 799095 Bytes 27.01.2012 11:23:20
AEOFFICE.DLL : 8.1.2.25 201084 Bytes 29.12.2011 23:26:03
AEHEUR.DLL : 8.1.3.24 4387190 Bytes 03.02.2012 12:06:33
AEHELP.DLL : 8.1.19.0 254327 Bytes 20.01.2012 10:46:01
AEGEN.DLL : 8.1.5.21 409971 Bytes 03.02.2012 12:05:06
AEEMU.DLL : 8.1.3.0 393589 Bytes 01.09.2011 21:46:01
AECORE.DLL : 8.1.25.3 201079 Bytes 27.01.2012 11:20:41
AEBB.DLL : 8.1.1.0 53618 Bytes 01.09.2011 21:46:01
AVWINLL.DLL : 12.1.0.17 27344 Bytes 11.10.2011 12:59:41
AVPREF.DLL : 12.1.0.17 51920 Bytes 11.10.2011 12:59:38
AVREP.DLL : 12.1.0.17 179408 Bytes 11.10.2011 12:59:38
AVARKT.DLL : 12.1.0.19 208848 Bytes 09.12.2011 00:01:16
AVEVTLOG.DLL : 12.1.0.17 169168 Bytes 11.10.2011 12:59:37
SQLITE3.DLL : 3.7.0.0 398288 Bytes 11.10.2011 12:59:51
AVSMTP.DLL : 12.1.0.17 62928 Bytes 11.10.2011 12:59:39
NETNT.DLL : 12.1.0.17 17104 Bytes 11.10.2011 12:59:47
RCIMAGE.DLL : 12.1.0.17 4447952 Bytes 11.10.2011 13:00:00
RCTEXT.DLL : 12.1.0.16 98512 Bytes 11.10.2011 13:00:00

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Manuelle Auswahl
Konfigurationsdatei...................: C:\ProgramData\Avira\AntiVir Desktop\PROFILES\folder.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Dienstag, 7. Februar 2012 12:17

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
[INFO] Bitte starten Sie den Suchlauf erneut mit Administratorrechten

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dropbox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DTLite.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LightScribeControlPanel.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Steam.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NBAgent.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GrooveMonitor.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BCU.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AthBtTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BtvStack.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IAStorIcon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nusb3mon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtHDVCpl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
C:\Windows\System32\drivers\serial.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen8

Die Registry wurde durchsucht ( '28755' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Program Files\Steam\SteamApps\common\terraria\dotNetFx40_Full_x86_x64.exe
[WARNUNG] Die Datei konnte nicht gelesen werden!
C:\Windows\System32\drivers\serial.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen8

Beginne mit der Desinfektion:
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYS> wurde erfolgreich entfernt.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Serial> konnte nicht entfernt werden.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNP0501> konnte nicht entfernt werden.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYS> wurde erfolgreich entfernt.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Serial> konnte nicht entfernt werden.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\PNP0501> konnte nicht entfernt werden.
Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Serial> konnte nicht entfernt werden.
C:\Windows\System32\drivers\serial.sys
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen8
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ac5b19b.qua' verschoben!
[WARNUNG] Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Serial\ImagePath> konnte nicht repariert werden.
[HINWEIS] Für die abschliessende Reparatur wird ein Neustart des Computers eingeleitet.
[WARNUNG] Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Serial\ImagePath> konnte nicht repariert werden.
[HINWEIS] Für die abschliessende Reparatur wird ein Neustart des Computers eingeleitet.
[WARNUNG] Der Registrierungseintrag <HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Serial\ImagePath> konnte nicht repariert werden.
[HINWEIS] Für die abschliessende Reparatur wird ein Neustart des Computers eingeleitet.


Ende des Suchlaufs: Dienstag, 7. Februar 2012 13:14
Benötigte Zeit: 56:42 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

26980 Verzeichnisse wurden überprüft
735372 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
735370 Dateien ohne Befall
7497 Archive wurden durchsucht
2 Warnungen
1 Hinweise

Die gewünschten DDS+ATTACH+Gmer Logs hab ich gepackt und angehängt.

Wäre super wenn mir irgendjemand helfen könnte!
Besten Dank schon mal im Voraus.

EDIT:
Gerade eben gemerkt, dass Antivir die Dinger nun doch in Quarantäne verschieben konnte. Die Echtzeitscanner-Meldung tauch auch nicht mehr auf. Aber gelöscht sind sie deswegen ja noch nicht?
EDIT2: Oh gott, irgenwas stimmt echt nicht - CPU Auslastung springt jetzt regelmässig auf über 70% obwohl ich gar nix am PC mache.

C:Windows$NtUninstallKB31244$3613371731

Hm, sieht nach einem Rootkit aus...

Bitte nun routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

 hier steht das Log
         

Moin

Danke für die Antwort. Leider geriet heute innerhalb weniger Stunden alles komplett ausser Kontrolle (Antivir hat fast im 30min takt neue Infizierungen gefunden), und als ich dann sogar plötzlich keinen Kontakt mehr zum Internet hatte (nun also, Verbindung stand, aber ich hatte keinen Zugriff mehr) wählte ich die Vorschlaghammer-Methode und hab den Computer Formatiert, neu aufgesetzt und alle Passwörter geändert. Das sollte den Dingern den Rest gegeben haben.

Ich cheate nie wieder.

Danke für die Mühe und (hoffentlich) auf nie mehr wiedersehen

Ja, die Neuinstallation ist bei diesem Rootkit garnicht mal verkehrt, v.a. wenn man es sofort macht