|
Log-Analyse und Auswertung: Atraps(2)+Necurs+?Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
02.09.2012, 14:19 | #1 |
| Atraps(2)+Necurs+? Alles fing damit an, dass der Avira Antivir Echtzeit-Scanner den Fund von TR/Atraps.gen und TR/Atraps.gen2 meldete, aber eine Entfernung nicht möglich sei. Daraufhin setzten Teile meines Gehirns aus und ich versuchte eigenhändig das Problem mittels schwerer Waffen in den Griff zu kommen. Combofix löschte einige Sachen, die ich ebenso als Fehlerquellen ausgemacht hatte. Logs habe ich keine mehr. TDSSKiller brachte dann einen nächsten Übeltäter zu Tage: Win32.Necurs.gen in a1e702e647f467c.sys (mit entsprechenden Registry-Einträgen). Das Programm vermag ihn leider nicht erfolgreich zu löschen. Daraufhin also Malwarebytes Anti-Malware installiert und vollständigen Scan durchgeführt (Log anbei). Dabei habe ich auch schon Teile löschen lassen. *sry* Letztlich noch ein Scan mittel OTL (Log anbei). Seit einem Neustart nach dem ersten Alarm durch Antivir lässt sich jener Echtzeit-Scanner nicht mehr aktivieren. Namen wurden in den Logs durch *** und +++ unkenntlich gemacht. Vielen Dank für die Mühe. |
02.09.2012, 15:34 | #2 |
| Atraps(2)+Necurs+? Nachtrag: Anbei noch die Gmer-Logfile.
__________________ |
05.09.2012, 14:59 | #3 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? Malwarebytes erstellt bei jedem Scanvorgang genau ein Log. Hast du in der Vergangenheit schonmal mit Malwarebytes gescannt?
__________________Wenn ja dann stehen auch alle Logs zu jedem Scanvorgang im Reiter Logdateien. Bitte alle posten, die dort sichtbar sind. Bitte alles nach Möglichkeit hier in CODE-Tags posten. Wird so gemacht: [code] hier steht das Log [/code] Und das ganze sieht dann so aus: Code:
ATTFilter hier steht das Log
__________________ |
05.09.2012, 17:34 | #4 |
| Atraps(2)+Necurs+? Hallo. Ja, hatte ich. Ich glaub, es war nur ein Quick-Scan oder ich hab den Scan direkt wieder abgebrochen. Ich weiß es leider nicht mehr. Das Log habe ich wohl händisch gelöscht. Es gibt kein weiteres in der Liste innerhalb des Programms. Nach dem (abgebrochen) Scan hab ich direkt ohne Neustart den gemacht, den ich hochgeladen hab. Vielleicht ist das relevant. Der Vollständigkeit halber hier noch die ersten Logs, in denen TR/Atraps.gen Code:
ATTFilter Avira Free Antivirus Erstellungsdatum der Reportdatei: Freitag, 31. August 2012 15:13 Es wird nach 4198592 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Microsoft Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : K-5A92FF537A0A4 Versionsinformationen: BUILD.DAT : 12.0.0.1167 40870 Bytes 18.07.2012 19:07:00 AVSCAN.EXE : 12.3.0.33 468472 Bytes 08.08.2012 09:25:51 AVSCAN.DLL : 12.3.0.15 66256 Bytes 02.05.2012 00:02:50 LUKE.DLL : 12.3.0.15 68304 Bytes 01.05.2012 23:31:47 AVSCPLR.DLL : 12.3.0.14 97032 Bytes 01.05.2012 22:13:36 AVREG.DLL : 12.3.0.17 232200 Bytes 15.05.2012 19:29:22 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:18:34 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 23:22:12 VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 23:31:36 VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 09:58:50 VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:43:53 VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 09:11:09 VBASE006.VDF : 7.11.34.117 2048 Bytes 29.06.2012 09:11:09 VBASE007.VDF : 7.11.34.118 2048 Bytes 29.06.2012 09:11:09 VBASE008.VDF : 7.11.34.119 2048 Bytes 29.06.2012 09:11:09 VBASE009.VDF : 7.11.34.120 2048 Bytes 29.06.2012 09:11:09 VBASE010.VDF : 7.11.34.121 2048 Bytes 29.06.2012 09:11:09 VBASE011.VDF : 7.11.34.122 2048 Bytes 29.06.2012 09:11:09 VBASE012.VDF : 7.11.34.123 2048 Bytes 29.06.2012 09:11:10 VBASE013.VDF : 7.11.34.124 2048 Bytes 29.06.2012 09:11:10 VBASE014.VDF : 7.11.38.18 2554880 Bytes 30.07.2012 07:01:49 VBASE015.VDF : 7.11.38.70 556032 Bytes 31.07.2012 07:52:52 VBASE016.VDF : 7.11.38.143 171008 Bytes 02.08.2012 08:39:32 VBASE017.VDF : 7.11.38.221 178176 Bytes 06.08.2012 09:25:43 VBASE018.VDF : 7.11.39.37 168448 Bytes 08.08.2012 09:25:48 VBASE019.VDF : 7.11.39.89 131072 Bytes 09.08.2012 09:25:46 VBASE020.VDF : 7.11.39.145 142336 Bytes 11.08.2012 11:07:07 VBASE021.VDF : 7.11.39.207 165888 Bytes 14.08.2012 11:07:11 VBASE022.VDF : 7.11.40.9 156160 Bytes 16.08.2012 11:07:17 VBASE023.VDF : 7.11.40.49 133120 Bytes 17.08.2012 13:26:41 VBASE024.VDF : 7.11.40.95 156160 Bytes 20.08.2012 14:28:49 VBASE025.VDF : 7.11.40.155 181760 Bytes 22.08.2012 14:28:54 VBASE026.VDF : 7.11.40.205 203264 Bytes 23.08.2012 08:29:30 VBASE027.VDF : 7.11.41.29 188416 Bytes 27.08.2012 08:29:31 VBASE028.VDF : 7.11.41.87 250368 Bytes 30.08.2012 09:05:52 VBASE029.VDF : 7.11.41.88 2048 Bytes 30.08.2012 09:05:52 VBASE030.VDF : 7.11.41.89 2048 Bytes 30.08.2012 09:05:52 VBASE031.VDF : 7.11.41.102 108544 Bytes 30.08.2012 09:05:52 Engineversion : 8.2.10.150 AEVDF.DLL : 8.1.2.10 102772 Bytes 11.07.2012 09:03:49 AESCRIPT.DLL : 8.1.4.46 455034 Bytes 28.08.2012 08:29:35 AESCN.DLL : 8.1.8.2 131444 Bytes 16.02.2012 16:11:36 AESBX.DLL : 8.2.5.12 606578 Bytes 15.06.2012 09:51:00 AERDL.DLL : 8.1.9.15 639348 Bytes 20.01.2012 23:21:32 AEPACK.DLL : 8.3.0.32 811382 Bytes 28.08.2012 08:29:35 AEOFFICE.DLL : 8.1.2.42 201083 Bytes 20.07.2012 09:49:47 AEHEUR.DLL : 8.1.4.94 5230967 Bytes 31.08.2012 09:05:56 AEHELP.DLL : 8.1.23.2 258422 Bytes 28.06.2012 17:58:23 AEGEN.DLL : 8.1.5.36 434549 Bytes 28.08.2012 08:29:31 AEEXP.DLL : 8.1.0.84 90485 Bytes 31.08.2012 09:05:56 AEEMU.DLL : 8.1.3.2 393587 Bytes 11.07.2012 09:03:48 AECORE.DLL : 8.1.27.4 201078 Bytes 08.08.2012 09:25:48 AEBB.DLL : 8.1.1.0 53618 Bytes 20.01.2012 23:21:28 AVWINLL.DLL : 12.3.0.15 27344 Bytes 01.05.2012 22:59:21 AVPREF.DLL : 12.3.0.15 51920 Bytes 01.05.2012 22:44:31 AVREP.DLL : 12.3.0.15 179208 Bytes 01.05.2012 22:13:35 AVARKT.DLL : 12.3.0.15 211408 Bytes 01.05.2012 22:21:32 AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 01.05.2012 22:28:49 SQLITE3.DLL : 3.7.0.1 398288 Bytes 16.04.2012 21:11:02 AVSMTP.DLL : 12.3.0.32 63480 Bytes 08.08.2012 09:25:51 NETNT.DLL : 12.3.0.15 17104 Bytes 01.05.2012 23:33:29 RCIMAGE.DLL : 12.3.0.31 4444408 Bytes 08.08.2012 09:25:47 RCTEXT.DLL : 12.3.0.31 100088 Bytes 08.08.2012 09:25:47 Konfiguration für den aktuellen Suchlauf: Job Name..............................: AVGuardAsyncScan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_5040b34a\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: reparieren Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Beginn des Suchlaufs: Freitag, 31. August 2012 15:13 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'syshost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TwonkyMediaServer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'twonkymediaserverwatchdog.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'daemonu.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MZCCntrl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleUpdate.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'speedfan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchSettings.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ApplicationUpdater.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RunDLL32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\80000000.@' C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\80000000.@ [FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1d7e3e.qua' verschoben! Ende des Suchlaufs: Freitag, 31. August 2012 15:14 Benötigte Zeit: 00:53 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 54 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 53 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise Code:
ATTFilter Avira Free Antivirus Erstellungsdatum der Reportdatei: Freitag, 31. August 2012 15:13 Es wird nach 4198592 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Microsoft Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : K-5A92FF537A0A4 Versionsinformationen: BUILD.DAT : 12.0.0.1167 40870 Bytes 18.07.2012 19:07:00 AVSCAN.EXE : 12.3.0.33 468472 Bytes 08.08.2012 09:25:51 AVSCAN.DLL : 12.3.0.15 66256 Bytes 02.05.2012 00:02:50 LUKE.DLL : 12.3.0.15 68304 Bytes 01.05.2012 23:31:47 AVSCPLR.DLL : 12.3.0.14 97032 Bytes 01.05.2012 22:13:36 AVREG.DLL : 12.3.0.17 232200 Bytes 15.05.2012 19:29:22 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:18:34 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 23:22:12 VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 23:31:36 VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 09:58:50 VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:43:53 VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 09:11:09 VBASE006.VDF : 7.11.34.117 2048 Bytes 29.06.2012 09:11:09 VBASE007.VDF : 7.11.34.118 2048 Bytes 29.06.2012 09:11:09 VBASE008.VDF : 7.11.34.119 2048 Bytes 29.06.2012 09:11:09 VBASE009.VDF : 7.11.34.120 2048 Bytes 29.06.2012 09:11:09 VBASE010.VDF : 7.11.34.121 2048 Bytes 29.06.2012 09:11:09 VBASE011.VDF : 7.11.34.122 2048 Bytes 29.06.2012 09:11:09 VBASE012.VDF : 7.11.34.123 2048 Bytes 29.06.2012 09:11:10 VBASE013.VDF : 7.11.34.124 2048 Bytes 29.06.2012 09:11:10 VBASE014.VDF : 7.11.38.18 2554880 Bytes 30.07.2012 07:01:49 VBASE015.VDF : 7.11.38.70 556032 Bytes 31.07.2012 07:52:52 VBASE016.VDF : 7.11.38.143 171008 Bytes 02.08.2012 08:39:32 VBASE017.VDF : 7.11.38.221 178176 Bytes 06.08.2012 09:25:43 VBASE018.VDF : 7.11.39.37 168448 Bytes 08.08.2012 09:25:48 VBASE019.VDF : 7.11.39.89 131072 Bytes 09.08.2012 09:25:46 VBASE020.VDF : 7.11.39.145 142336 Bytes 11.08.2012 11:07:07 VBASE021.VDF : 7.11.39.207 165888 Bytes 14.08.2012 11:07:11 VBASE022.VDF : 7.11.40.9 156160 Bytes 16.08.2012 11:07:17 VBASE023.VDF : 7.11.40.49 133120 Bytes 17.08.2012 13:26:41 VBASE024.VDF : 7.11.40.95 156160 Bytes 20.08.2012 14:28:49 VBASE025.VDF : 7.11.40.155 181760 Bytes 22.08.2012 14:28:54 VBASE026.VDF : 7.11.40.205 203264 Bytes 23.08.2012 08:29:30 VBASE027.VDF : 7.11.41.29 188416 Bytes 27.08.2012 08:29:31 VBASE028.VDF : 7.11.41.87 250368 Bytes 30.08.2012 09:05:52 VBASE029.VDF : 7.11.41.88 2048 Bytes 30.08.2012 09:05:52 VBASE030.VDF : 7.11.41.89 2048 Bytes 30.08.2012 09:05:52 VBASE031.VDF : 7.11.41.102 108544 Bytes 30.08.2012 09:05:52 Engineversion : 8.2.10.150 AEVDF.DLL : 8.1.2.10 102772 Bytes 11.07.2012 09:03:49 AESCRIPT.DLL : 8.1.4.46 455034 Bytes 28.08.2012 08:29:35 AESCN.DLL : 8.1.8.2 131444 Bytes 16.02.2012 16:11:36 AESBX.DLL : 8.2.5.12 606578 Bytes 15.06.2012 09:51:00 AERDL.DLL : 8.1.9.15 639348 Bytes 20.01.2012 23:21:32 AEPACK.DLL : 8.3.0.32 811382 Bytes 28.08.2012 08:29:35 AEOFFICE.DLL : 8.1.2.42 201083 Bytes 20.07.2012 09:49:47 AEHEUR.DLL : 8.1.4.94 5230967 Bytes 31.08.2012 09:05:56 AEHELP.DLL : 8.1.23.2 258422 Bytes 28.06.2012 17:58:23 AEGEN.DLL : 8.1.5.36 434549 Bytes 28.08.2012 08:29:31 AEEXP.DLL : 8.1.0.84 90485 Bytes 31.08.2012 09:05:56 AEEMU.DLL : 8.1.3.2 393587 Bytes 11.07.2012 09:03:48 AECORE.DLL : 8.1.27.4 201078 Bytes 08.08.2012 09:25:48 AEBB.DLL : 8.1.1.0 53618 Bytes 20.01.2012 23:21:28 AVWINLL.DLL : 12.3.0.15 27344 Bytes 01.05.2012 22:59:21 AVPREF.DLL : 12.3.0.15 51920 Bytes 01.05.2012 22:44:31 AVREP.DLL : 12.3.0.15 179208 Bytes 01.05.2012 22:13:35 AVARKT.DLL : 12.3.0.15 211408 Bytes 01.05.2012 22:21:32 AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 01.05.2012 22:28:49 SQLITE3.DLL : 3.7.0.1 398288 Bytes 16.04.2012 21:11:02 AVSMTP.DLL : 12.3.0.32 63480 Bytes 08.08.2012 09:25:51 NETNT.DLL : 12.3.0.15 17104 Bytes 01.05.2012 23:33:29 RCIMAGE.DLL : 12.3.0.31 4444408 Bytes 08.08.2012 09:25:47 RCTEXT.DLL : 12.3.0.31 100088 Bytes 08.08.2012 09:25:47 Konfiguration für den aktuellen Suchlauf: Job Name..............................: AVGuardAsyncScan Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_5040b34a\guard_slideup.avp Protokollierung.......................: standard Primäre Aktion........................: reparieren Sekundäre Aktion......................: quarantäne Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: aus Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: vollständig Beginn des Suchlaufs: Freitag, 31. August 2012 15:13 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'syshost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TwonkyMediaServer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'twonkymediaserverwatchdog.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'daemonu.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MZCCntrl.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleUpdate.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'speedfan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SearchSettings.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ApplicationUpdater.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RunDLL32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\800000cb.@' C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\800000cb.@ [FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen2 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '52a319b9.qua' verschoben! Ende des Suchlaufs: Freitag, 31. August 2012 15:14 Benötigte Zeit: 00:46 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 58 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 57 Dateien ohne Befall 0 Archive wurden durchsucht 0 Warnungen 1 Hinweise Die sychost.exe befand sich mal unter den laufenden Prozessen. Mittlerweile taucht sie aber nicht mehr auf bzw. ich fahre nur in den Standby-Modus runter. ComboFix löschte einiges in C:\Recylcer\... und entsprechende Registry-Einträge - Logs wie geschrieben nicht mehr vorhanden. |
06.09.2012, 12:28 | #5 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? Bitte ESET ausführen, danach sehen wir weiter! Hinweis: ESET zeigt durchaus öfter ein paar Fehlalarme. Deswegen soll auch von ESET immer nur erst das Log gepostet und nichts entfernt werden. ESET Online Scanner Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.
Bitte alles nach Möglichkeit hier in CODE-Tags posten. Wird so gemacht: [code] hier steht das Log [/code] Und das ganze sieht dann so aus: Code:
ATTFilter hier steht das Log
__________________ Logfiles bitte immer in CODE-Tags posten |
06.09.2012, 14:02 | #6 |
| Atraps(2)+Necurs+? Name durch +++ ersetzt. Code:
ATTFilter C:\Programme\Gemeinsame Dateien\Spigot\Search Settings\SearchSettings.exe a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.10 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.11 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.12 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.13 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.14 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.15 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.5 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.6 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.7 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.8 a variant of Win32/Toolbar.Widgi application C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.9 a variant of Win32/Toolbar.Widgi application C:\WINDOWS\Installer\767012.msi probably a variant of Win32/Toolbar.Widgi application D:\+++\tools\backups\backup-20120831-155954-804.dll a variant of Win32/Toolbar.Widgi application |
06.09.2012, 15:33 | #7 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren Downloade Dir bitte AdwCleaner auf deinen Desktop. Falls der adwCleaner schon mal in der runtergeladen wurde, bitte die alte adwcleaner.exe löschen und neu runterladen!!
__________________ Logfiles bitte immer in CODE-Tags posten |
06.09.2012, 15:41 | #8 |
| Atraps(2)+Necurs+? Namen durch *** ersetzt. Code:
ATTFilter # AdwCleaner v2.000 - Datei am 09/06/2012 um 16:39:15 erstellt # Aktualisiert am 30/08/2012 von Xplode # Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits) # Benutzer : *** - K-5A92FF537A0A4 # Normaler Modus : Normal # Ausgeführt unter : C:\Dokumente und Einstellungen\***\Desktop\adwcleaner.exe # Option [Suche] **** [Dienste] **** Gefunden : Application Updater ***** [Dateien / Ordner] ***** Ordner Gefunden : C:\Dokumente und Einstellungen\***\Anwendungsdaten\pdfforge Ordner Gefunden : C:\Dokumente und Einstellungen\***\Anwendungsdaten\Search Settings Ordner Gefunden : C:\Programme\Gemeinsame Dateien\spigot Ordner Gefunden : C:\Programme\pdfforge Toolbar Ordner Gefunden : C:\Programme\SweetIM ***** [Registrierungsdatenbank] ***** Schlüssel Gefunden : HKCU\Software\AppDataLow\Software\pdfforge Schlüssel Gefunden : HKCU\Software\AppDataLow\Software\Search Settings Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847} Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847} Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35D-6118-11DC-9C72-001320C79847} Schlüssel Gefunden : HKCU\Software\pdfforge Schlüssel Gefunden : HKCU\Software\Search Settings Schlüssel Gefunden : HKCU\Software\SweetIm Schlüssel Gefunden : HKLM\Software\pdfforge Schlüssel Gefunden : HKLM\Software\Search Settings Schlüssel Gefunden : HKLM\Software\SweetIm ***** [Internet Browser] ***** -\\ Internet Explorer v8.0.6001.18702 [OK] Die Registrierungsdatenbank ist sauber. ************************* AdwCleaner[R1].txt - [1720 octets] - [06/09/2012 16:39:15] ########## EOF - C:\AdwCleaner[R1].txt - [1780 octets] ########## |
06.09.2012, 16:03 | #9 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen
__________________ Logfiles bitte immer in CODE-Tags posten |
06.09.2012, 16:09 | #10 |
| Atraps(2)+Necurs+?Code:
ATTFilter # AdwCleaner v2.000 - Datei am 09/06/2012 um 17:04:45 erstellt # Aktualisiert am 30/08/2012 von Xplode # Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits) # Benutzer : *** - K-5A92FF537A0A4 # Normaler Modus : Normal # Ausgeführt unter : C:\Dokumente und Einstellungen\***\Desktop\adwcleaner.exe # Option [Löschen] **** [Dienste] **** Gestoppt & Gelöscht : Application Updater ***** [Dateien / Ordner] ***** Ordner Gelöscht : C:\Dokumente und Einstellungen\***\Anwendungsdaten\pdfforge Ordner Gelöscht : C:\Dokumente und Einstellungen\***\Anwendungsdaten\Search Settings Ordner Gelöscht : C:\Programme\Gemeinsame Dateien\spigot Ordner Gelöscht : C:\Programme\pdfforge Toolbar Ordner Gelöscht : C:\Programme\SweetIM ***** [Registrierungsdatenbank] ***** Schlüssel Gelöscht : HKCU\Software\AppDataLow\Software\pdfforge Schlüssel Gelöscht : HKCU\Software\AppDataLow\Software\Search Settings Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847} Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847} Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35D-6118-11DC-9C72-001320C79847} Schlüssel Gelöscht : HKCU\Software\pdfforge Schlüssel Gelöscht : HKCU\Software\Search Settings Schlüssel Gelöscht : HKCU\Software\SweetIm Schlüssel Gelöscht : HKLM\Software\pdfforge Schlüssel Gelöscht : HKLM\Software\Search Settings Schlüssel Gelöscht : HKLM\Software\SweetIm ***** [Internet Browser] ***** -\\ Internet Explorer v8.0.6001.18702 Wiederhergestellt : [HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope] Wiederhergestellt : [HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope] Wiederhergestellt : [HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope] Wiederhergestellt : [HKU\S-1-5-21-1123561945-1220945662-725345543-1006\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope] ************************* AdwCleaner[R1].txt - [1849 octets] - [06/09/2012 16:39:15] AdwCleaner[S1].txt - [2188 octets] - [06/09/2012 17:04:45] ########## EOF - C:\AdwCleaner[S1].txt - [2248 octets] ########## |
06.09.2012, 16:11 | #11 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? Hätte da mal zwei Fragen bevor es weiter geht 1.) Geht der normale Modus von Windows (wieder) uneingeschränkt? 2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?
__________________ Logfiles bitte immer in CODE-Tags posten |
06.09.2012, 16:15 | #12 |
| Atraps(2)+Necurs+? zu 1.) Bis auf die alten Symptome (kein Echtzeit-Scanner, autom. Updates werden trotz Aktivierung im Sicherheitscenter als deaktiviert angezeit) schaut alles normal aus. zu 2.) Alles ok. |
06.09.2012, 19:43 | #13 |
/// Winkelfunktion /// TB-Süch-Tiger™ | Atraps(2)+Necurs+? Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten. Wird so gemacht: [code] hier steht das Log [/code] Und das ganze sieht dann so aus: Code:
ATTFilter hier steht das Log Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.
Code:
ATTFilter netsvcs msconfig safebootminimal safebootnetwork activex drivers32 %ALLUSERSPROFILE%\Application Data\*. %ALLUSERSPROFILE%\Application Data\*.exe /s %APPDATA%\*. %APPDATA%\*.exe /s %SYSTEMDRIVE%\*.exe /md5start wininit.exe userinit.exe eventlog.dll scecli.dll netlogon.dll cngaudit.dll ws2ifsl.sys sceclt.dll ntelogon.dll winlogon.exe logevent.dll user32.DLL iaStor.sys nvstor.sys atapi.sys IdeChnDr.sys viasraid.sys AGP440.sys vaxscsi.sys nvatabus.sys viamraid.sys nvata.sys nvgts.sys iastorv.sys ViPrt.sys eNetHook.dll ahcix86.sys KR10N.sys nvstor32.sys ahcix86s.sys /md5stop %systemroot%\system32\drivers\*.sys /lockedfiles %systemroot%\System32\config\*.sav %systemroot%\*. /mp /s %systemroot%\system32\*.dll /lockedfiles CREATERESTOREPOINT
__________________ Logfiles bitte immer in CODE-Tags posten |
07.09.2012, 14:44 | #14 |
| Atraps(2)+Necurs+? Namen durch *** und +++ ersetzt. Wegen Überschreitung der Zeichenlänge habe ich das gepackte Log angehangen. Ps.: Das Javaupdate 7U7 hab ich übrigens erst nach dem Aviraalarm aufgespielt. |
08.09.2012, 17:12 | #15 |
| Atraps(2)+Necurs+? Da ich dem Eigentürmer des PCs nur noch bis morgen als "Hilfe" zur Verfügung stehe und vor allem weil auch Online-Banking betrieben wird, habe ich mich für eine Neuinstallation entschlossen. Ich danke dir, aber auch dem gesamten Team, für deine Mühen und die schnelle und kompetente Hilfe. Grüße Klaus |
Themen zu Atraps(2)+Necurs+? |
avira antivir, echtzeit-scanner, necurs, nicht möglich, tr/atraps.gen, trojan.phex.thagen6, win32.necurs.gen |