S.M.A.R.T Repair Malware auf VISTA

T72H · 27.05.2012, 20:36

Hallo,

ich habe mir vor einigen Tagen auf meinem VISTA-Notebook den SMART Repair Virus eingefangen.

Die Symptome:

Der Bildschirm ist schwarz, nur der Internet Explorer ist noch sichtbar
Eine ganze Batterie von Fehlermeldungen (System Message - Write Fault Error) erscheint.
Ein Scan-Fenster S.M.A.R.T Repair erscheint und zeigt etliche System-Probleme an. Das Fenster läßt sich nur minimieren, nicht schliessen.
So gut wie alle Dateien und Ordner scheinen weg, nur Laufwerk C zeigt noch eine Datei BOOTSEC.BAK an.
Der Taskmanager läßt ich nicht mehr öffnen.

Meine bisherigen Aktionen:

Ich habe Defogger als Admin gestartet und Disable geklickt. Es kam keine Fehlermeldung. Bisher habe ich noch nicht Re-enable geklickt.
Ich habe dds.com per Doppelklick gestartet, die Protokolle stehen weiter unten.
Ich habe GMER gestartet, allerdings kam da ein Bluescreen. Bisher habe ich das nicht wiederholt.
Ich habe unhide ausgeführt. Ich glaube, dass alle Dateien und Ordner wieder sichtbar sind.

Microsoft Security Essentials hat heute - wohl nach Aktualisierung der Signatur (1.127.836.0 vom 27.05.2012 10:14) - eine Bereinigung durchgeführt, während ich den Forumsbeitrag formuliert habe.
Leider weiß ich nicht, wo ich davon ein Logfile herbekommen kann

Seit dem von MS SecurityEssentials verlangten Neustart kommen die Fehlermeldungen und das Scan-Fenster nicht mehr.
Nachdem ich unhide ausgeführt habe, erkannte MS Security Essentials eine weiter Bedrohung. Die Details habe ich in Code-Blöcken unten eingefügt.
Mittlerweile hat MS SecuritaEssentials da auch schon eine Bereinigung durchgeführt und leuchtet wieder freundlich grün.

DDS.txt:

Code:

ATTFilter

.
DDS (Ver_2011-08-26.01) - NTFSx86 
Internet Explorer: 8.0.6001.18904
Run by ******* at 19:20:27 on 2012-05-27
Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.1014.163 [GMT 2:00]
.
.
============== Running Processes ===============
.
C:\Windows\system32\wininit.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe -k DcomLaunch
C:\Windows\system32\svchost.exe -k rpcss
C:\Program Files\Microsoft Security Client\Antimalware\MsMpEng.exe
C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
C:\Windows\system32\svchost.exe -k netsvcs
C:\Windows\system32\svchost.exe -k GPSvcGroup
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe -k LocalService
C:\Windows\system32\svchost.exe -k NetworkService
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
C:\Program Files\Adobe\Photoshop Elements 5.0\PhotoshopElementsFileAgent.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Windows\system32\svchost.exe -k bthsvcs
C:\Windows\system32\svchost.exe -k NetworkServiceNetworkRestricted
C:\Windows\system32\svchost.exe -k imgsvc
C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe
C:\Windows\System32\svchost.exe -k WerSvcGroup
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Keyboard Manager\Manager Utility\KeyboardManager.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Adobe\Photoshop Elements 5.0\apdproxy.exe
C:\Program Files\FreePDF_XP\fpassist.exe
C:\ProgramData\NamKXRvEQrip.exe
C:\Program Files\Microsoft Security Client\msseces.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\igfxext.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Windows\system32\conime.exe
C:\ProgramData\SfvACqtJ74g9Ik.exe
C:\Windows\system32\taskeng.exe
C:\Windows\ehome\mcupdate.EXE
C:\Windows\system32\sdclt.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\lpremove.exe
C:\Windows\system32\lpksetup.exe
C:\Windows\servicing\TrustedInstaller.exe
C:\Windows\System32\svchost.exe -k swprv
C:\Windows\system32\WUDFHost.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Windows Media Player\wmplayer.exe
\\?\C:\Windows\system32\wbem\WMIADAP.EXE
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\wbem\wmiprvse.exe
.
============== Pseudo HJT Report ===============
.
uStart Page = hxxp://www.google.de/
mWinlogon: Userinit=c:\windows\system32\userinit.exe,d:\users\*******\appdata\roaming\appconf32.exe,
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\program files\common files\adobe\acrobat\activex\AcroIEHelperShim.dll
BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\progra~1\spybot~1\SDHelper.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\program files\java\jre6\bin\jp2ssv.dll
uRun: [ehTray.exe] c:\windows\ehome\ehTray.exe
uRun: [NokiaOviSuite2] c:\program files\nokia\nokia ovi suite\NokiaOviSuite.exe -tray
uRun: [Imgfla] d:\users\*******\appdata\roaming\adobe\update\forimg.exe
uRun: [SpybotSD TeaTimer] c:\program files\spybot - search & destroy\TeaTimer.exe
uRun: [WMPNSCFG] c:\program files\windows media player\WMPNSCFG.exe
uRun: [4W1W8B7A8ZVD1HVGVJBRH] c:\washer2.rar\D60D32919C0.exe /q
uRun: [bbccfaedacbedcdbdct] "c:\programdata\bbccfaedacbedcdbdct.exe"
mRun: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
mRun: [IgfxTray] c:\windows\system32\igfxtray.exe
mRun: [HotKeysCmds] c:\windows\system32\hkcmd.exe
mRun: [Persistence] c:\windows\system32\igfxpers.exe
mRun: [SynTPEnh] c:\program files\synaptics\syntp\SynTPEnh.exe
mRun: [Keyboard Manager Utility] "c:\program files\keyboard manager\manager utility\KeyboardManager.exe" /lang DE /H
mRun: [NeroFilterCheck] c:\program files\common files\ahead\lib\NeroCheck.exe
mRun: [QuickTime Task] "c:\program files\quicktime\QTTask.exe" -atboottime
mRun: [iTunesHelper] "c:\program files\itunes\iTunesHelper.exe"
mRun: [Adobe Photo Downloader] "c:\program files\adobe\photoshop elements 5.0\apdproxy.exe"
mRun: [FreePDF Assistant] c:\program files\freepdf_xp\fpassist.exe
mRun: [SunJavaUpdateSched] "c:\program files\common files\java\java update\jusched.exe"
mRun: [Adobe Reader Speed Launcher] "c:\program files\adobe\reader 9.0\reader\Reader_sl.exe"
mRun: [Adobe ARM] "c:\program files\common files\adobe\arm\1.0\AdobeARM.exe"
mRun: [NamKXRvEQrip.exe] c:\programdata\NamKXRvEQrip.exe
mRun: [MSC] "c:\program files\microsoft security client\msseces.exe" -hide -runkey
mPolicies-system: EnableLUA = 0 (0x0)
IE: {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - {53707962-6F74-2D53-2644-206D7942484F} - c:\progra~1\spybot~1\SDHelper.dll
DPF: {17492023-C23A-453E-A040-C7C580BBF700} - hxxp://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
DPF: {474F00F5-3853-492C-AC3A-476512BBC336} - hxxp://picasaweb.google.com/s/v/24.16/uploader2.cab
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
TCP: DhcpNameServer = 192.168.178.1
TCP: Interfaces\{6B2C3213-04F5-4CC7-A18B-296A232C3C11} : DhcpNameServer = 192.168.178.1
TCP: Interfaces\{CB9F5C1F-04BC-4231-9D96-D652DD20BDA9} : DhcpNameServer = 192.168.1.1
Notify: igfxcui - igfxdev.dll
Hosts: 127.0.0.1	www.spywareinfo.com
.
============= SERVICES / DRIVERS ===============
.
R1 MpFilter;Microsoft Malware Protection Driver;c:\windows\system32\drivers\MpFilter.sys [2011-4-18 165648]
R2 avgntflt;avgntflt;c:\windows\system32\drivers\avgntflt.sys [2009-4-5 61960]
R3 MpNWMon;Microsoft Malware Protection Network Driver;c:\windows\system32\drivers\MpNWMon.sys [2011-4-18 43392]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\avira\antivir desktop\sched.exe [2010-3-26 136360]
S2 AntiVirService;Avira AntiVir Guard;c:\program files\avira\antivir desktop\avguard.exe [2010-3-26 269480]
S2 gupdate;Google Update Service (gupdate);c:\program files\google\update\GoogleUpdate.exe [2009-9-9 133104]
S3 BthAvrcp;Bluetooth-AVRCP-Profil;c:\windows\system32\drivers\BthAvrcp.sys [2010-2-5 28048]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\program files\google\update\GoogleUpdate.exe [2009-9-9 133104]
.
=============== Created Last 30 ================
.
2012-05-27 17:19:34	713784	----a-w-	c:\programdata\microsoft\microsoft antimalware\definition updates\{9012fb24-35dc-48d2-98e1-a998582ff975}

\gapaengine.dll
2012-05-27 17:14:16	6737808	----a-w-	c:\programdata\microsoft\microsoft antimalware\definition updates\{954c594a-dc17-4590-8737-4d17510b0ba2}

\mpengine.dll
2012-05-21 19:17:04	--------	d--h--w-	c:\programdata\AVAST Software
2012-05-21 19:17:04	--------	d--h--w-	c:\program files\AVAST Software
2012-05-21 11:13:35	1474530	----a-w-	c:\windows\system32\PerfStringBackup.TMP
2012-05-21 08:59:24	6737808	---ha-w-	c:\programdata\microsoft\microsoft antimalware\definition updates\updates\mpengine.dll
2012-05-21 07:14:32	56200	----a-w-	c:\programdata\microsoft\microsoft antimalware\definition updates\{206dad07-f92e-4374-ae80-cf200f38b51b}

\offreg.dll
2012-05-20 19:07:30	6737808	------w-	c:\programdata\microsoft\microsoft antimalware\definition updates\{206dad07-f92e-4374-ae80-cf200f38b51b}

\mpengine.dll
2012-05-20 18:48:21	269824	---ha-w-	c:\programdata\SfvACqtJ74g9Ik.exe
2012-05-20 18:36:25	380928	---ha-w-	c:\programdata\NamKXRvEQrip.exe
2012-05-09 10:51:58	6737808	----a-w-	c:\programdata\microsoft\microsoft antimalware\definition updates\backup\mpengine.dll
2012-05-09 10:20:57	6734704	---h--w-	c:\programdata\microsoft\windows defender\definition updates\{700337a2-8e3b-4ce2-b579-5b318a62e7b5}

\mpengine.dll
2012-05-08 11:30:11	--------	d--h--w-	C:\04001785caae1820ebce7865ce
.
==================== Find3M  ====================
.
2012-03-11 18:34:56	414368	---ha-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
.
============= FINISH: 19:22:06,53 ===============

Attach.txt:

Code:

ATTFilter

.
UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG.
IF REQUESTED, ZIP IT UP & ATTACH IT
.
DDS (Ver_2011-08-26.01)
.
Microsoft® Windows Vista™ Home Premium 
Boot Device: \Device\HarddiskVolume2
Install Date: 03.07.2007 18:11:10
System Uptime: 27.05.2012 18:57:33 (1 hours ago)
.
Motherboard: FUJITSU   |  | 10AD
Processor: Intel(R) Core(TM)2 CPU         T5600  @ 1.83GHz | U1 | 1833/mhz
.
==== Disk Partitions =========================
.
C: is FIXED (NTFS) - 79 GiB total, 37,409 GiB free.
D: is FIXED (NTFS) - 19 GiB total, 3,54 GiB free.
E: is CDROM ()
F: is Removable
.
==== Disabled Device Manager Items =============
.
==== System Restore Points ===================
.
.
==== Installed Programs ======================
.
Adobe Flash Player 11 ActiveX
Adobe Help Center 2.1
Adobe Photoshop Elements 5.0
Adobe Reader 9.5.0 - Deutsch
Amazon MP3-Downloader 1.0.5
Apple Mobile Device Support
Apple Software Update
Conexant HD Audio
FirstSteps Diagnostics
FreePDF XP (Remove only)
Google Earth
Google Update Helper
GPL Ghostscript 8.60
HDAUDIO Soft Data Fax Modem with SmartCP
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)
Intel(R) Graphics Media Accelerator Driver
iTunes
J2SE Development Kit 5.0 Update 11
J2SE Runtime Environment 5.0 Update 11
Java Auto Updater
Java(TM) 6 Update 22
Keyboard Manager Utility
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft Antimalware
Microsoft Antimalware Service DE-DE Language Pack
Microsoft Security Client
Microsoft Security Client DE-DE Language Pack
Microsoft Security Essentials
Microsoft Visual C++ 2005 SP1 CRT Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
Microsoft Works
MSVC80_x86_v2
MSVC90_x86
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB954430)
MSXML 4.0 SP2 (KB973688)
Nero 7 Essentials
PC Connectivity Solution
QuickTime
RedMon - Redirection Port Monitor
Spybot - Search & Destroy
Synaptics Pointing Device Driver
Update for Microsoft .NET Framework 3.5 SP1 (KB963707)
WISO Sparbuch 2010
WISO Steuer-Sparbuch 2011
WISO Steuer-Sparbuch 2012
XMedia Recode 2.2.9.3
Yahoo! Music Jukebox
.
==== End Of File ===========================

MS Security Essentials Warnung(1)

Code:

ATTFilter

Kategorie: Ausnutzen

Beschreibung: Dieses Programm ist gefährlich. Es nutzt die Sicherheitslücken eines Computers aus.

Empfohlene Aktion: Entfernen Sie diese Software unverzüglich.

Security Essentials hat Programme erkannt, die Ihre Privatsphäre gefährden oder Ihren Computer beschädigen könnten. Sie können auf die von diesen Programmen 

verwendeten Dateien weiterhin zugreifen, ohne sie zu entfernen (nicht empfohlen). Wählen Sie zum Zugreifen auf diese Dateien die Aktion "Zulassen" aus, und 

klicken Sie dann auf "Aktionen anwenden". Wenn diese Option nicht verfügbar ist, melden Sie sich als Administrator an, oder bitten Sie den 

Sicherheitsadministrator um Unterstützung.

Elemente: 
file:D:\Users\*****\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\37\356821a5-426d0701->Leps.class

Code:

ATTFilter

Kategorie: Ausnutzen

Beschreibung: Dieses Programm ist gefährlich. Es nutzt die Sicherheitslücken eines Computers aus.

Empfohlene Aktion: Entfernen Sie diese Software unverzüglich.

Security Essentials hat Programme erkannt, die Ihre Privatsphäre gefährden oder Ihren Computer beschädigen könnten. Sie können auf die von diesen Programmen 

verwendeten Dateien weiterhin zugreifen, ohne sie zu entfernen (nicht empfohlen). Wählen Sie zum Zugreifen auf diese Dateien die Aktion "Zulassen" aus, und 

klicken Sie dann auf "Aktionen anwenden". Wenn diese Option nicht verfügbar ist, melden Sie sich als Administrator an, oder bitten Sie den 

Sicherheitsadministrator um Unterstützung.

Elemente: 
file:D:\Users\*****\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\39\112134e7-576d605a->aqmfacpj/hnvtbt.class

Viele Grüße

S.M.A.R.T Repair Malware auf VISTA

Log-Analyse und Auswertung: S.M.A.R.T Repair Malware auf VISTA

S.M.A.R.T Repair Malware auf VISTA

Ähnliche Themen: S.M.A.R.T Repair Malware auf VISTA