Unbekanntes UEFI Rootkit

Deex · 08.08.2015, 07:22

Grüße Euch,

ich bin ziemlich Ratlos. Ich habe mir vor einiger Zeit meiner meinung nach ein UEFI Rootkit eingefangen welches ich nicht mehr von meinen Festplatten bekomme. Die ganze vorgeschichte möchte ich jedoch ersparen.

Okay hier das Problem, ich verwende das Betriebsystem Windows 10, vorher hatte ich 8.1. Eine komplette wiederherstellung der Festplatten über den Asus Backtracker (Asus Notebook) konnte mein Problem nicht lösen, nach wenigen Tagen mit einer frischen Installation ist dieses wieder aufgetaucht

Wie äussert sich das Problem?
Die Festplatte des Laptop ist extrem ausgelastet erkennbar an der LED und Rucklern, paralell dazu sagt Windows 10 im Task Manager sowie Ressourcen Monitor jetzt genau wie sein vorgänger 8.1 das sich sogut wie garnichts tut, höchstens mal 1 oder 2 % Datenträger auslastung, hier ist egal ob grade hochgefahren oder nicht. Das hören von Musik knackt hin und wieder als wären es Buffer Probleme.

Ich glaube ich habe sogut wie jede Anti-Rootkit Software durch die ich finden konnte und das Ergebnis war immer Negativ, nichts gefunden, auch die Festplatte ist laut Windows top in schuss.

Meine Frage lautet also,- wie kann ich dem was dort passiert noch auf die schliche kommen?

Für sowas wäre eventuell GMER interessant, habe jedoch keine Erfahrung mit den false positives dieser Software. Das was ich feststelle ist das GMER beim start schon den Fehler meldet das System von einem anderen Prozess verwendet wird (das gleiche sagt sogar Windows selbst z . B als ich eine Recovery darüber durchführen wollte beim Hochfahren über den Manger).

Bei dem versuch mit GMER einen Quickscan durchzuführen erhielt ich einen Bluescreen mit der Meldung "Attempted to write read only memory". Davon steht aber nichts mehr in der Ereignis Anzeige

Code:

ATTFilter

GMER 2.1.19355 - hxxp://www.gmer.net
Rootkit scan 2015-08-08 08:15:16
Windows 6.2.9200  x64 \Device\Harddisk0\DR0 -> \Device\00000038 Hitachi_HTS545050A7E380 rev.GG2OA6C0 465.76GB
Running: gmer.exe; Driver: C:\Users\NA\AppData\Local\Temp\fxldqpob.sys


---- Disk sectors - GMER 2.1 ----

Disk     \Device\Harddisk0\DR0                                                                                                                                                                          unknown MBR code

---- Threads - GMER 2.1 ----

Thread   C:\WINDOWS\system32\csrss.exe [852:932]                                                                                                                                                        fffff96136d17300
Thread   C:\WINDOWS\system32\csrss.exe [852:936]                                                                                                                                                        fffff96136d17300
---- Processes - GMER 2.1 ----

Library  C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{A2F1FD09-7A78-482F-AC56-B26E9218173C}\mpengine.dll (*** suspicious ***) @ C:\Program Files\Windows Defender\MsMpEng.exe [3104]   00007ff9a8240000
Library  C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{C0465565-4B2C-432B-9AA1-DDF00F1A8264}\GapaEngine.dll (*** suspicious ***) @ C:\Program Files\Windows Defender\NisSrv.exe [4332]  00007ff9a6d30000
Library  C:\Users\NA\AppData\Local\Microsoft\OneDrive\17.3.5907.0716\amd64\FileSyncShell64.dll (*** suspicious ***) @ C:\WINDOWS\Explorer.EXE [2200]                                                    00007ff9a7740000
Library  C:\Users\NA\AppData\Local\Microsoft\OneDrive\17.3.5907.0716\amd64\MSVCP120.dll (*** suspicious ***) @ C:\WINDOWS\Explorer.EXE [2200]                                                           00007ff9a7690000
Library  C:\Users\NA\AppData\Local\Microsoft\OneDrive\17.3.5907.0716\amd64\MSVCR120.dll (*** suspicious ***) @ C:\WINDOWS\Explorer.EXE [2200]                                                           00007ff9a6420000
Library  C:\Users\NA\AppData\Local\NVIDIA\NvBackend\ApplicationOntology\Ontology.dll (*** suspicious ***) @ C:\Program Files (x86)\NVIDIA Corporation\Update Core\NvBackend.exe [5900]                  000000006d4a0000
Process  \\?\C:\WINDOWS\system32\wbem\WMIADAP.EXE (*** suspicious ***) @ \\?\C:\WINDOWS\system32\wbem\WMIADAP.EXE [6116]                                                                                00007ff7d1980000

---- EOF - GMER 2.1 ----

Unbekanntes UEFI Rootkit

Plagegeister aller Art und deren Bekämpfung: Unbekanntes UEFI Rootkit

Unbekanntes UEFI Rootkit

Ähnliche Themen: Unbekanntes UEFI Rootkit