Verdächtige Hooks in diversen Dateien laut GMER

boogiee · 10.06.2013, 23:39

Liebe Community,

ich habe heute einen Scan mit GMER durchgeführt und die Auswertung ist wie folgt:

PHP-Code:

  GMER 2.1.19163 - hxxp://www.gmer.net

Rootkit scan 2013-06-10 23:58:32

Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP4T0L0-6 ****************** rev.**** 931,51GB

Running: gmer.exe; Driver: C:\Users\*****\AppData\Local\Temp\pgtdqpow.sys

 
 
---- Kernel code sections - GMER 2.1 ----

 
.text  C:\Windows\System32\win32k.sys!W32pServiceTable                                                                                          fffff96000124000 7 bytes [80, 93, F3, FF, 01, 9D, F0]

.text  C:\Windows\System32\win32k.sys!W32pServiceTable + 8                                                                                      fffff96000124008 3 bytes [C0, 06, 02]

 
---- User code sections - GMER 2.1 ----

 
.text  C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe[3784] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69   00000000764c1465 2 bytes [4C, 76]

.text  C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe[3784] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155  00000000764c14bb 2 bytes [4C, 76]

.text  ...                                                                                                                                      * 2

 
---- EOF - GMER 2.1 ----

Tools wie tdsskiller und etwaige bekannte Analysetools konnten nichts finden.
Das Einzige, was mit in der Vergangenheit aufgrund zahlreicher dubioser Vorfälle im Internet aufgefallen ist, ist,
dass ich nach Aktivierung der Routing logging Funktionalität in der Fritzbox und nach nachfolgender Analyse der Loggings mit Wireshark äußerst merkwürde ICMP-Trackings einsehen konnte.

Erstere IP ist die Meine, die Zweite eine Italienische, welche ich überhaupt nicht angesteuert hatte:

376

1021.707485

188.XXX.XXX.XX

188.XXX.XX.XX

ICMP

78

Destination unreachable (Communication administratively filtered)

Dasselbe Phänomen konnte ich kurz darauf mit einer französischen IP feststellen.

Kann es sein, dass ich ein Rootkit in mein System gegraben hat und ein verkappter Trojaner via ICMP Kontakt zu seinem Hirten aufnimmt ?
Was hat es mit der W32pServiceTable auf sich? Wird diese nicht besonders gerne von Rootkits kompromittiert? Ist da etwas verdächtiges dabei...?

Vielen Dank im Voraus!

Gruß, boogiee

Verdächtige Hooks in diversen Dateien laut GMER

Log-Analyse und Auswertung: Verdächtige Hooks in diversen Dateien laut GMER

Verdächtige Hooks in diversen Dateien laut GMER

Ähnliche Themen: Verdächtige Hooks in diversen Dateien laut GMER