Hallo,

ich habe vorgestern mein System (Vista Home 32bit, mit servicepack2) neu aufgesetzt und Avast!6 (free) (statt wie bisher Avira) installiert.

Bei einem alten USB-Stick (auf dem ich die firefox-install-exe, downloaded von chip.de, hatte) gab Avast 2 Bedrohungen in Recycled\Info.exe an:
1. Win32: VB-HIP [Wrm] (als Embedded-R#System)
2. Win32: Auto-Run-NE [Wrm]
Die habe ich dann in den Container verschoben und Firefox installiert.

Daraufhin habe ich gestern einige "Standard-Freeware" (von chip.de, als eingeschränkter Benutzer, mit aktivierter Firewall) heruntergeladen: vlc, 7zip, adobe reader, pdfcreator, directX und tubebox; alle bis auf tubebox dann installiert.
Bei einigen Installationen hat Avast zwar eine Warnung ausgegeben, dass auf Systemressourcen oder so zugegriffen würde, aber da ich (naiverweise?) die Programme und Downloadquelle für vertrauenswürdig hielt, habe ich da "zulassen" ausgewählt.
Außerdem hat Windows Updates heruntergeladen.

Heute habe ich das System mit Avast geprüft, und es gab sage und schreibe 259 infizierte Dateien an: Alle Rootkits mit Schweregrad: Hoch, alle in c:\windows\winsxs, alle mit der Endung .dll oder .exe
(... leider weiß ich nicht, wie man das Avast-Protokoll ausdrucken kann...!!)
Mit denen habe ich noch nichts gemacht; auch weil ich hoffe, dass es sich um ungefährliche Rootkits handeln könnte.

Da ich, wie man wohl merkt, ja nun wirklich keine Ahnung habe, wollte ich hier erst mal nachfragen, ob das ein normaler "Fehler" von Avast sein könnte. Wie gesagt, habe ich das System gerade erst neu aufgesetzt und hätte es jetzt ganz gerne sicher, muss aber minimal Software wie die o.g. runterladen.

Es wäre sehr nett, wenn mir da jemand helfen könnte. Schon mal vielen Dank für Geduld & Mühe!

Lg Uncle Meat

P.S.: Ohne schleimen zu wollen!!: Unabhängig von dieser Anfrage ein ganz großes Lob an Eure Seite!!! Ich habe schon sehr oft hier Hilfe gefunden, ohne selbst ein Thema eröffnen zu müssen (ich konnte zu meinem jetzigen Problem nichts Allgemeines finden, vielleicht habe ich aber nicht mit den richtigen Begriffen gesucht)!

Hi,

lass mich raten, Du hast vorher nicht formatiert....
Im allgemeinen gibt es keine "netten" Rootkits... alles löschen lassen oder (da Du das aufsetzen noch nicht lange her ist), zu formatieren und dann vista komplett neu zu installieren!

Poste mal die Logdatei von Avast...

chris

Hallo Chris,

danke für die schnelle Antwort!

Doch, formatiert habe ich schon (paranoiderweise sogar mehrfach), nur die Recovery-Partition (von Dell) nicht. Meine alte C: dagegen habe ich gelöscht, den neu freigewordenen Speicherplatz formatiert und in 2 neue Partitionieren aufgeteilt, dann Vista installiert. Allerdings habe ich meine ganzen alten Daten auf externer HD und USB-Stick gesichert, und etwa 1 GB davon (von genanntem USB-Stick) auf D: kopiert (hatte ich vergessen zu erwähnen!).

Die einzige log, die ich in C:\Program Files\AVAST Software (auf dem ganzen Computer konnte ich sonst keine von avast finden) finden konnte, ist eine log.js in C:\Program Files\AVAST Software\Avast\WebRep\FF\content. Ist das die richtige?

Danke & lg Uncle Meat

Hi,

Seite 43, bitte einrichten und (falls noch nicht gelöscht) nochmal scannen lassen...
Im WinSX-Verzeichnis werden normalerweise verschiedene VErsion von Windows-SW gehalten, der wächst also mit der Zeit an. Gelichzeitig nisten sich hier tatsächlich gerne Malware ein. Wen Dein USB-Stick verseucht war, dann besteht eine hohe Wahrscheinlichkeit, dass auch die USB-Platte verseucht ist -> prüfen: mit gedrückter SHIFT-Taste anschließen (Taste solange halten, bis alles vollständig erkannt/eingebunden) und AVast auf die HD los lassen...

chris

Hi chris,

vielen Dank, hatte dämlicherweise tatsächlich "Bericht erstellen" nicht aktiviert (ich hatte nur die "allg. Einstellungen" nach der Avast-Installation durchgesehen, nicht die Einstellungen der "Vollständigen Prüfung"); also kein Wunder, dass kein logfile zu finden war...

Ich hatte die als Rootkits angezeigten .dlls bzw. .exes dann nach dem Eröffnen des Themas (trotz deiner schnellen Antwort) doch in den container verschoben (hatte Angst, dass die sonst Unheil anrichten). Soll ich trotzdem das System jetzt nochmal scannen?
Oder sie aus dem Container löschen? Oder...?

Übrigens habe ich die ext. HD seit der Neuinstallation noch nicht wieder angeschlossen (wollte vor ihr nochmal das System prüfen, und dann kamen genannte Meldungen), nur den USB-Stick, und den halt vorher mit Avast geprüft.
Eine generelle Frage: Wenn alte Datenträger verseucht sind, (wie) kann man dann noch seine alten Daten behalten?
Und: War es richtig/sicher, die Recovery-Partition nicht zu formatieren?
Schließlich: ich habe den Defender nicht deaktiviert, verträgt er sich mit Avast?

Sorry, habe wie gesagt nicht viel Ahnung...

Lg Uncle Meat

Hi,

es gibt eine kleine Wahrscheinlichkeit, dass reine Daten verseucht sein können. Daher wie beschrieben die HDD anschließen und prüfen lassen...

OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe

• Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen

• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output

• Unter Extra Registry, wähle bitte Use SafeList

• Klicke nun auf Run Scan links oben

• Wenn der Scan beendet wurde werden 2 Logfiles erstellt (OTL.TXT und EXTRAS.TXT)

• Poste die Logfiles hier in den Thread

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Aktualisierungen" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (GMER - Rootkit Detector and Remover), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein. Stürzt GMER ab, bitte im abgesicherten Modus (F8 beim Booten) probieren!

chris

hi Chris,

vorher bitte noch zwei Fragen:

1. Ich möchte die externe HD zwar unbedingt prüfen; da das aber bei fast voll belegten 1 TB sehr lange dauern dürfte, würde ich vorher gern rausfinden, was es mit den rootkits auf meiner internen HD auf sich hat (da die ja nach der Neuinstallation von Windows drauf kamen, ohne dass die ext. HD je angeschlossen war). Oder macht das keinen Sinn, weil man dann alles doppelt macht?

2. MAM hatte ich vor der Neuinstall. runtergeladen und danach wieder installiert, kann ich also nach Aktualisierung benutzen, oder? Aber: Ist das Löschen von durch dieses Prog angezeigten Einträgen wirklich ungefährlich? Einmal habe ich einfach alles gelöscht (danach allerdings auch mitm CCleaner etwas unvorsichtig zugeschlagen), und hatte danach massive Probleme (Internet ging nicht mehr usw). Lag das nur am CCleaner?

Und wenn du zwischendurch kurz Zeit hast, die alten Fragen:
War es richtig/sicher, die Recovery-Partition nicht zu formatieren?
Ich habe den Defender nicht deaktiviert, verträgt er sich mit Avast?

DANKE!!!
lg u.m.

Hi chris,

ok, ich kann auch gleich die ext. HD mit prüfen.
Aber soll ich sie (und/oder die interne?) jetzt vorher noch mit Avast, wie du es um 11:56 empfohlen hattest, und danach mit OTL, MAM & GMER prüfen, oder ist das durch die anderen Infos obsolet und soll ich alles (interne & externe HD) nur mit OTL, MAM und GMER prüfen (Dein Tip von 12:26)?

DANKE!!
lg uncle meat

Hi,

12:26... ;o)

chris

Vielen vielen Dank, dann start ich jetzt!
bis später... uncle meat

hello again...

die OTL- und MAM-scans gingen schnell und haben, soweit ich sehe, nichts Schlimmes angezeigt (zumindest MAM definitiv nicht). Avast und Defender hatte ich währenddessen deaktiviert (jetzt ist nur noch Avast aktiviert).

Etwas problematischer war die Bedienung von GMER: nach dem Start zeigte es ruckzuck 7 Einträge (s.u. GMER-log1), aber es gab weder dort noch unter dem Reiter Rootkit Fragen (die man dann mit "nein" hätte beantworten können), wie es in der Anleitung stand. Ich war mir deswegen nicht sicher, ob das schon der richtige Scan war, habe noch einen gestartet, den dann gestoppt, um die externe HD dazuzuwählen, und erneut einen Scan gestartet. Hoffe das war kein Fehler!! Der dauerte dann 3 Stunden (GMER-log2), brach aber nach c: (System) und d: (Recovery) anscheinend ab. Weder die zweite interne Partition (e noch die externe HD (g oder den USB-Stick (h scheint er untersucht zu haben. Ich weiß natürlich nicht, ob das so sein muss?

Ich hänge die 5 Logfiles als zip-Ordner an.
Hoffe Du kannst mir helfen (ich bin noch etwa eine Stunde da, dann muss ich weg, würde aber versuchen, gegen 23 Uhr nochmal reinzuschauen).

Schon mal vielen, vielen Dank für die Mühe!!!!

lg Uncle Meat

Hi,

Du hast mit pdfforge eine Toolbar installiert, die zumindest "fragwürdig" ist:
O4 - HKLM..\Run: [SearchSettings] C:\Program Files\Common Files\Spigot\Search Settings\SearchSettings.exe (Spigot, Inc.)
[2012.02.15 00:27:09 | 000,000,000 | ---D | C] -- C:\Program Files\Common Files\Spigot
[2012.02.15 00:27:09 | 000,000,000 | ---D | C] -- C:\Program Files\pdfforge Toolbar
[2012.02.15 00:27:09 | 000,000,000 | ---D | C] -- C:\Program Files\Application Updater

Würde ich deinstallieren...

Sonst finde ich nicht viel auffälliges...

Fix für OTL:

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O4 - HKLM..\Run: []  File not found
O32 - AutoRun File - [2008.12.15 10:52:18 | 000,000,080 | ---- | M] () - G:\Autorun.inf -- [ NTFS ]
O33 - MountPoints2\{b47f758b-5585-11e1-bb03-806e6f6e6963}\Shell - "" = AutoRun
O33 - MountPoints2\{b47f758b-5585-11e1-bb03-806e6f6e6963}\Shell\AutoRun\command - "" = F:\autoRcd.exe


:Commands
[emptytemp]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL (im allgemeinen C:\_OTL)

TDSS-Killer
Download und Anweisung unter: Wie werden Schadprogramme der Familie Rootkit.Win32.TDSS bekämpft?
Entpacke alle Dateien in einem eigenen Verzeichnis (z. B: C:\TDSS)!
Aufruf über den Explorer duch Doppelklick auf die TDSSKiller.exe.
Stelle den Killer wir folgt ein:

Dann den Scan starten durch (Start Scan).
Wenn der Scan fertig ist bitte "Report" anwählen (eventuelle Funde erstmal mit Skip übergehen). Es öffnet sich ein Fenster, den Text abkopieren und hier posten...

Cureit
Folge der Anleitung: http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

chris

Hallo,

da bin ich wieder (muss aber auch gleich wieder los, schaue in ca. 2-3 Stunden wieder rein).

Erst- & nochmal... DANKE!!

(Ich habe die toolbar noch nicht deinstalliert, weil ich nicht wusste, ob ich zuerst Deinen anderen Anweisungen folgen sollte. Werde ich aber sofort tun, wenn Du Dir die logs angesehen hast.
FRAGE: einfach mit Windows-Systemsteuerung deinstallieren, oder sollte man da anders vorgehen?)

Die Logs hänge ich an.
Bei OTL konnte ich nach dem Fix keine Results zum Kopieren finden. Ich bin dann der Aufforderung zum Neustart gefolgt, und ein Fix-Log hat er ja angelegt. Hoffe das reicht?
CUREIT hat automatisch eine Logdatei erstellt; daraus gabs aber nichts zu kopieren, da keine Infektionen vorlagen (bei Suche mit "infiziert" kam man nur auf 4-6 "Endresultate" (zusammenfassungen) mit "infiziert: 0" bzw. "desinfiziert: 0").
Scheint also alles gut zu sein? Warens entweder vielleicht doch ungefährliche Rootkits, und/oder hat Avast sie erfolgreich gelöscht?

Bin auf Deine Analyse gespannt -
danke & lg!!
Uncle Meat

Hi,

sieht gut aus, über die Systemsteuerung deinstallieren...

chris

hi chris,

wunderbar, dann mach ich das jetzt...

eine kleine frage noch: muss/kann ich OTL, GMER, TDSS und CureIT deinstallieren (oder konnten sie ohne Installation ausgeführt werden? - Sie werden nicht in der Liste der deinstallierbaren Programme in der Systemsteuerung angezeigt)

Also wieder Mal: DAAAAANKE für die tolle Hilfe und viele Mühe!!!!!

Und Dir noch einen schönen Abend!

lg Uncle Meat