Hallo liebe Forum Gemeinde,
ich habe ein Problem in Bezug auf einen Virus auf meinem Laptop gefunden. Ich habe das Anti-Virus-Programm Avira Free Antivirus. Heute, Samstag 27.10.12 hat mein Anti-Virus programm gegen 20 vor 5 (16:37), den oben genannten Trojaner gefunden in dem ebenfalls oben genannten Verzeichnis, welches in der Quarantäne eine anderes Verzeichnis anzeigt, beim öffnen jedoch den obigen.
Nun meine Frage, ist dieser Trojaner bösartig, reicht es diesen in die Quarantäne zu schieben, ich wäre euch sehr verbunden wenn mir jemand helfen könne

Hier mein Log, ich hoffe es ist der richtige, ich kenne mich nämlich mit Laptops/Computern nicht so gut aus, falls etwas fehlt einfach bescheid geben.
Falls ich beim durstöbern in eurem Forum ein Thema zu diesem Trojaner übersehen habe, entschuldige ich mich dafür und wäre euch dankbar für einen Link zu diesem Thema.


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Samstag, 27. Oktober 2012 15:27


Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira Free Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Microsoft Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : USER-ABE2D26466

Versionsinformationen:
BUILD.DAT : 13.0.0.2693 48279 Bytes 01.10.2012 17:25:00
AVSCAN.EXE : 13.4.0.200 625952 Bytes 21.10.2012 01:03:42
AVSCANRC.DLL : 13.4.0.163 64800 Bytes 19.09.2012 17:20:53
LUKE.DLL : 13.4.0.184 66848 Bytes 25.09.2012 09:00:15
AVSCPLR.DLL : 13.4.0.190 93984 Bytes 26.09.2012 13:58:22
AVREG.DLL : 13.4.0.180 245536 Bytes 24.09.2012 11:05:45
avlode.dll : 13.4.0.202 419616 Bytes 20.10.2012 12:51:13
avlode.rdf : 13.0.0.24 7196 Bytes 27.09.2012 09:30:38
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 13:50:29
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 13:50:31
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 13:50:34
VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 13:50:36
VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 13:50:37
VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 13:42:40
VBASE006.VDF : 7.11.41.250 4902400 Bytes 06.09.2012 13:42:40
VBASE007.VDF : 7.11.45.207 2363904 Bytes 11.10.2012 12:50:48
VBASE008.VDF : 7.11.45.208 2048 Bytes 11.10.2012 12:50:48
VBASE009.VDF : 7.11.45.209 2048 Bytes 11.10.2012 12:50:48
VBASE010.VDF : 7.11.45.210 2048 Bytes 11.10.2012 12:50:48
VBASE011.VDF : 7.11.45.211 2048 Bytes 11.10.2012 12:50:48
VBASE012.VDF : 7.11.45.212 2048 Bytes 11.10.2012 12:50:49
VBASE013.VDF : 7.11.45.213 2048 Bytes 11.10.2012 12:50:49
VBASE014.VDF : 7.11.46.65 220160 Bytes 16.10.2012 12:50:50
VBASE015.VDF : 7.11.46.153 173568 Bytes 18.10.2012 12:50:51
VBASE016.VDF : 7.11.46.223 162304 Bytes 19.10.2012 12:50:52
VBASE017.VDF : 7.11.47.35 126464 Bytes 22.10.2012 21:18:47
VBASE018.VDF : 7.11.47.95 175616 Bytes 24.10.2012 09:47:03
VBASE019.VDF : 7.11.47.177 164352 Bytes 26.10.2012 16:37:29
VBASE020.VDF : 7.11.47.178 2048 Bytes 26.10.2012 16:37:29
VBASE021.VDF : 7.11.47.179 2048 Bytes 26.10.2012 16:37:38
VBASE022.VDF : 7.11.47.180 2048 Bytes 26.10.2012 16:37:39
VBASE023.VDF : 7.11.47.181 2048 Bytes 26.10.2012 16:37:39
VBASE024.VDF : 7.11.47.182 2048 Bytes 26.10.2012 16:37:39
VBASE025.VDF : 7.11.47.183 2048 Bytes 26.10.2012 16:37:39
VBASE026.VDF : 7.11.47.184 2048 Bytes 26.10.2012 16:37:39
VBASE027.VDF : 7.11.47.185 2048 Bytes 26.10.2012 16:37:40
VBASE028.VDF : 7.11.47.186 2048 Bytes 26.10.2012 16:37:40
VBASE029.VDF : 7.11.47.187 2048 Bytes 26.10.2012 16:37:41
VBASE030.VDF : 7.11.47.188 2048 Bytes 26.10.2012 16:37:41
VBASE031.VDF : 7.11.47.210 44544 Bytes 27.10.2012 10:19:50
Engineversion : 8.2.10.187
AEVDF.DLL : 8.1.2.10 102772 Bytes 19.09.2012 13:42:55
AESCRIPT.DLL : 8.1.4.60 463227 Bytes 20.10.2012 12:51:11
AESCN.DLL : 8.1.9.2 131444 Bytes 26.09.2012 13:54:07
AESBX.DLL : 8.2.5.12 606578 Bytes 28.08.2012 15:58:06
AERDL.DLL : 8.1.9.15 639348 Bytes 27.08.2012 13:50:15
AEPACK.DLL : 8.3.0.38 811382 Bytes 20.10.2012 12:51:10
AEOFFICE.DLL : 8.1.2.48 201082 Bytes 24.09.2012 13:06:59
AEHEUR.DLL : 8.1.4.118 5423480 Bytes 20.10.2012 12:51:08
AEHELP.DLL : 8.1.25.2 258423 Bytes 20.10.2012 12:50:58
AEGEN.DLL : 8.1.5.38 434548 Bytes 26.09.2012 13:54:07
AEEXP.DLL : 8.2.0.6 115060 Bytes 20.10.2012 12:51:11
AEEMU.DLL : 8.1.3.2 393587 Bytes 19.09.2012 13:42:55
AECORE.DLL : 8.1.28.2 201079 Bytes 26.09.2012 13:54:07
AEBB.DLL : 8.1.1.3 53621 Bytes 20.10.2012 12:50:58
AVWINLL.DLL : 13.4.0.163 25888 Bytes 19.09.2012 17:09:30
AVPREF.DLL : 13.4.0.163 50464 Bytes 19.09.2012 17:07:51
AVREP.DLL : 13.4.0.163 177952 Bytes 19.09.2012 17:08:15
AVARKT.DLL : 13.4.0.184 260384 Bytes 25.09.2012 08:51:51
AVEVTLOG.DLL : 13.4.0.185 167200 Bytes 25.09.2012 08:52:37
SQLITE3.DLL : 3.7.0.1 397088 Bytes 19.09.2012 17:17:40
AVSMTP.DLL : 13.4.0.163 62240 Bytes 19.09.2012 17:08:54
NETNT.DLL : 13.4.0.163 15648 Bytes 19.09.2012 17:16:26
RCIMAGE.DLL : 13.4.0.163 4780832 Bytes 19.09.2012 17:21:16
RCTEXT.DLL : 13.4.0.163 68384 Bytes 19.09.2012 17:21:16

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVGUARD_508bb4ec\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Samstag, 27. Oktober 2012 15:27

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avcenter.exe' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '91' Modul(e) wurden durchsucht
Durchsuche Prozess 'Fiesta.bin' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dot1XCfg.exe' - '90' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '116' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'atiptaxx.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'ifrmewrk.exe' - '114' Modul(e) wurden durchsucht
Durchsuche Prozess 'ZCfgSvc.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '64' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLKeeper.exe' - '82' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '100' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '165' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '69' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\System Volume Information\_restore{6A98FE5B-2FF0-4B1A-85BC-CF28084C0DFF}\RP12\A0008222.exe'
C:\System Volume Information\_restore{6A98FE5B-2FF0-4B1A-85BC-CF28084C0DFF}\RP12\A0008222.exe
[FUND] Ist das Trojanische Pferd TR/Agent.amd.2

Beginne mit der Desinfektion:
C:\System Volume Information\_restore{6A98FE5B-2FF0-4B1A-85BC-CF28084C0DFF}\RP12\A0008222.exe
[FUND] Ist das Trojanische Pferd TR/Agent.amd.2
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '532c458d.qua' verschoben!


Ende des Suchlaufs: Samstag, 27. Oktober 2012 15:29
Benötigte Zeit: 01:18 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
431 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
430 Dateien ohne Befall
0 Archive wurden durchsucht
0 Warnungen
1 Hinweise


Die Suchergebnisse werden an den Guard übermittelt.



Vielen Dank im vorraus !

LG Sebastian

Schon irgendwelche Scans gemacht? Wenn ja => http://www.trojaner-board.de/125889-...tml#post941520

Bitte keine neuen Virenscans machen sondern erst nur schon vorhandene Logs posten!

Nein habe keine weiteren Scans gemacht, da ich bereit in einem anderen Thema darüber gelesen habe, jedoch über einen anderen Trojaner.

Der beigefügte Log ist der einzigste über einen Scan mit Befund.

Bei weiteren Fragen, gerne stellen

LG Sebastian

Bitte nun routinemäßig einen Quickscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!


Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

 hier steht das Log
         

Habe den Quickscan durchgeführt hier der dazu gehörige Log. Ohne Befund, musste also nichts Löschen bzw in die Quarantäne schieben.

 Malwarebytes Anti-Malware  (Test) 1.65.1.1000
www.malwarebytes.org

Datenbank Version: v2012.10.28.02

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
User :: USER-ABE2D26466 [Administrator]

Schutz: Aktiviert

28.10.2012 15:10:48
mbam-log-2012-10-28 (15-10-48).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 175777
Laufzeit: 11 Minute(n), 31 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
         

Bitte nun Logs mit GMER (<<< klick für Anleitung) und aswMBR (Anleitung etwas weiter unten) erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim zweiten Mal nicht will, lass es einfach weg und führ nur aswMBR aus.

aswMBR-Download => aswMBR.exe - speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

Noch ein Hinweis: Sollte aswMBR abstürzen und es kommt eine Meldung wie "aswMBR.exe funktioniert nicht mehr, dann mach Folgendes:
Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

Hey Leute,

tut mir leid, dass ich jetzt erst antworte, aber ich war verzögert.

Hier der log von GMER

GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-01 15:04:59
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 FUJITSU_MHV2100AH rev.00000096
Running: p0gpw2v0.exe; Driver: C:\DOCUME~1\User\LOCALS~1\Temp\pwpcrfog.sys


---- System - GMER 1.0.15 ----

SSDT  F8C91394                                   ZwClose
SSDT  F8C9134E                                   ZwCreateKey
SSDT  F8C9139E                                   ZwCreateSection
SSDT  F8C91344                                   ZwCreateThread
SSDT  F8C91353                                   ZwDeleteKey
SSDT  F8C9135D                                   ZwDeleteValueKey
SSDT  F8C9138F                                   ZwDuplicateObject
SSDT  F8C91362                                   ZwLoadKey
SSDT  F8C91330                                   ZwOpenProcess
SSDT  F8C91335                                   ZwOpenThread
SSDT  F8C913B7                                   ZwQueryValueKey
SSDT  F8C9136C                                   ZwReplaceKey
SSDT  F8C913A8                                   ZwRequestWaitReplyPort
SSDT  F8C91367                                   ZwRestoreKey
SSDT  F8C913A3                                   ZwSetContextThread
SSDT  F8C913AD                                   ZwSetSecurityObject
SSDT  F8C91358                                   ZwSetValueKey
SSDT  F8C913B2                                   ZwSystemDebugControl
SSDT  F8C9133F                                   ZwTerminateProcess

---- Kernel code sections - GMER 1.0.15 ----

?     C:\DOCUME~1\User\LOCALS~1\Temp\aswMBR.sys  The system cannot find the file specified. !

---- EOF - GMER 1.0.15 ----
         

Und hier der zweite Log von aswMBR:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-11-01 15:11:18
-----------------------------
15:11:18.218    OS Version: Windows 5.1.2600 Service Pack 3
15:11:18.218    Number of processors: 1 586 0xD08
15:11:18.218    ComputerName: USER-ABE2D26466  UserName: User
15:11:18.406    Initialize success
15:14:43.703    AVAST engine defs: 12110100
15:15:15.828    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3
15:15:15.828    Disk 0 Vendor: FUJITSU_MHV2100AH 00000096 Size: 95396MB BusType: 3
15:15:15.937    Disk 0 MBR read successfully
15:15:15.937    Disk 0 MBR scan
15:15:18.281    Disk 0 Windows XP default MBR code
15:15:18.312    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        15358 MB offset 63
15:15:19.734    Disk 0 Partition - 00     0F Extended LBA             80026 MB offset 31455270
15:15:19.812    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS        80026 MB offset 31455333
15:15:19.906    Disk 0 scanning sectors +195350400
15:15:20.671    Disk 0 scanning C:\WINDOWS\system32\drivers
15:16:29.046    Service scanning
15:16:59.953    Modules scanning
15:17:19.796    Disk 0 trace - called modules:
15:17:20.296    ntkrnlpa.exe CLASSPNP.SYS disk.sys atapi.sys hal.dll intelide.sys PCIIDEX.SYS 
15:17:20.296    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x82573ab8]
15:17:20.296    3 CLASSPNP.SYS[f86c4fd7] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x82593d98]
15:17:21.328    AVAST engine scan C:\WINDOWS
15:17:42.578    AVAST engine scan C:\WINDOWS\system32
15:22:50.796    AVAST engine scan C:\WINDOWS\system32\drivers
15:23:17.484    AVAST engine scan C:\Documents and Settings\User
15:24:12.828    AVAST engine scan C:\Documents and Settings\All Users
15:24:32.390    Scan finished successfully
15:26:54.750    Disk 0 MBR has been saved successfully to "C:\Documents and Settings\User\My Documents\MBR.dat"
15:26:54.781    The log file has been saved successfully to "C:\Documents and Settings\User\My Documents\aswMBR.txt"
         

Gruß Sebastian

AW: TR/Agent.amd.2 in C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\INFECTED
         

Mit fällt gerade auf, dass so deine Überschrift lautet, dieser Fund aber in diesem Verzeichnis nirgendwo protokolliert wurde oder hast du das entsprechende Log nur nicht gepostet?