Hi,

ich glaube da ist etwas schiefgegangen:

Ergebnis von Kaspersky:



Malwarebytes' Anti-Malware 1.23
Datenbank Version: 1002
Windows 5.1.2600 Service Pack 1

16:46:15 29.07.2008
mbam-log-7-29-2008 (16-46-07).tx

Der Scan wurde auf jedenfall getätigt bevor wir die Dateien gelöscht haben.

lg myrtille

hmm und das heisst jetzt? ^^ Also hat das Malware doch nicht die Dateien gelöscht? Aber ich hab auf jeden Fall auf Auswahl entfernen geklickt... kam aber auch ne Nachricht das nicht alles gelöscht werden konnte. Der Schädling scheint hartnäckig zu sein. Kann aber Malware nochmal durchlaufen lassen

Das heißt das ich das Kasperskylog von gestern und nicht das Malwarebyteslog von vorgestern haben möchte.

lg myrtille

Ach du sch... ^^
Ich hab das falsche gespeicherte Protokoll angeklickt ^^
Sorry hier ist das richtige



-------------------------------------------------------------------------------
PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Mittwoch, 30. Juli 2008 14:22:44
Betriebssystem: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.98.1
Letztes Update der Antiviren-Datenbanken: 30/07/2008
Anzahl der Einträge in den Antiviren-Datenbanken: 1028489
-------------------------------------------------------------------------------

Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Arbeitsplatz:
A:\
C:\
D:\
E:\
F:\

Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 121096
Viren gefunden: 1
Infizierte Objekte gefunden: 3
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 01:23:33

Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Anwendungsdaten\OpenOffice.org2\user\uno_packages\cache\log.txt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Anwendungsdaten\OpenOffice.org2\user\uno_packages\cache\registry\com.sun.star.comp.deployment.component.PackageRegistryBackend\common_.rdb Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\pascal andorka\Anwendungsdaten\OpenOffice.org2\user\uno_packages\cache\registry\com.sun.star.comp.deployment.component.PackageRegistryBackend\Windows_x86_.rd b Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Anwendungsdaten\OpenOffice.org2\user\uno_packages\cache\registry\com.sun.star.comp.deployment.configuration.PackageRegistryBackend\registered_ packages.db Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Anwendungsdaten\OpenOffice.org2\user\uno_packages\cache\uno_packages.db Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows Live Contacts\ ****\real\members.stg Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows Live Contacts\ ****\shadow\members.stg Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DF5090.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DF6C01.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DFA2E9.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DFA3A3.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DFB999.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temp\~DFB9B1.tmp Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008073020080731\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\ntuser.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\p***** a******\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Programme\FRITZ!DSL\access\access.lock Das Objekt ist gesperrt übersprungen
C:\Programme\Veoh Networks\Veoh\client.log Das Objekt ist gesperrt übersprungen
C:\Programme\Veoh Networks\Veoh\upload.log Das Objekt ist gesperrt übersprungen
C:\System Volume Information\_restore{206176F4-29BD-41D6-BDB5-06615E74A01E}\RP439\change.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\oakley.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SchedLgU.Txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Sti_Trace.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\dtscsi.sys Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\sptd.sys Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\sptd6141.sys Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen
C:\WINDOWS\wiadebug.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\wiaservc.log Das Objekt ist gesperrt übersprungen
D:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
D:\System Volume Information\_restore{206176F4-29BD-41D6-BDB5-06615E74A01E}\RP427\A0180506.EXE/data0000.cab/server.exe Infizierte Objekte: Backdoor.Win32.Bifrose.fmv übersprungen
D:\System Volume Information\_restore{206176F4-29BD-41D6-BDB5-06615E74A01E}\RP427\A0180506.EXE/data0000.cab Infizierte Objekte: Backdoor.Win32.Bifrose.fmv übersprungen
D:\System Volume Information\_restore{206176F4-29BD-41D6-BDB5-06615E74A01E}\RP427\A0180506.EXE Rsrc-Package: infiziert - 2 übersprungen

Die Untersuchung wurde abgeschlossen.

Hi,

hol da mal ganz schnell die Emailadresse raus, sonst kann die jeder lesen.

C:\Dokumente und Einstellungen\p***** a******\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows Live Contacts\emailadresse@gmx.net\real\members.stg Das Objekt ist gesperrt übersprungen

Ansonsten sieht das Log gut aus.
Du kannst noch die Systemwiederherstellung deaktivieren, damit werden auch die Funde von Kaspersky gelöscht:
Start->Systemsteuerung->System->Systemwiederherstellung->Systemwiederherstellung auf allen Laufwerken deaktivieren.

Danach kannst du die Systemwiederherstellung wieder aktivieren.
DSS und Avenger kannst du einfach löschen, Malwarebytes und HijackThis kannst du über Start->Systemsteuerung->Software deinstallieren.
Den Onlinescanner von Kaspersky brauchst du nicht zu entfernen, er befindet sich in den temporären Dateien und wird beim nächsten Löschen eben dieser entfernt werden.

lg myrtille

ok Vielen Dank für die Hilfe ^^
Noch eine letzte Frage dann: Wie editiere ich meine vorigen Posts? Ich finde da nichts???

Hi,
editieren kannst du deinen Beitrag nur während einer Stunde.
Ich hab den Beitrag mal gemeldet, wenn einer der Admins online kommt,wird er den Beitrag dann editieren.

lg myrtille

Alles klar und nochmals vielen Dank für deine Hilfe ^^

Hmmm wie ich schon mal erwähnt habe ist so ein Vundo-Schädling immer noch auf meinen PC. ICh würde schon gerne einen sauberen PC haben, wie könnte ich diesen Rest noch beseitigen? Weiß jemand inwiefern er schaden macht? Die Trojaner die beseitigt wurden haben ja diverse Websiten blockiert. Wäre schön hier auch noch etwas Hilfe zu bekommen ^^
Hab schon so ein Programm VundoFix runtergeladen aber war eher nutzlos wie es scheint

Hi,

ich bräuchte dann aber noch die gefundene Datei, ansonsten kann ich dir nicht helfen.

Im Kasperskylog war nichts zu sehen. Wer findet denn noch was?

lg myrtille

So, Tut mir Leid das ich erst jetzt wieder etwas Zeit für den Schädling gefunden habe.
Also mein Virenprogramm (Ich verwende AntiVir) scheint jetzt Vundo nicht mehr zu finden zu können aber "ganz zufällig" befinden sich 5 Dateien die nicht kontrolliert worden konnten. Da diese in System32 liegen, wo schon die vorigen Trojaner eingenistet waren und Vundo scheint hier ebenfalls zu sein, kommt bei mir gleich der Verdacht hoch.
Hier habe ich mal den Log von AntiVir:


Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 4. August 2008 00:43

Es wird nach 1528705 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 1) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: p***** a******
Computername: P*****

Versionsinformationen:
BUILD.DAT : 8.1.0.326 16933 Bytes 11.07.2008 12:52:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 19.07.2008 12:26:45
AVSCAN.DLL : 8.1.4.0 48897 Bytes 19.07.2008 12:26:45
LUKE.DLL : 8.1.4.5 164097 Bytes 19.07.2008 12:26:46
LUKERES.DLL : 8.1.4.0 12545 Bytes 19.07.2008 12:26:46
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 15:20:33
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:25:28
ANTIVIR2.VDF : 7.0.5.174 2027008 Bytes 25.07.2008 15:36:55
ANTIVIR3.VDF : 7.0.5.205 285696 Bytes 01.08.2008 15:41:02
Engineversion : 8.1.1.15
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 17:53:26
AESCRIPT.DLL : 8.1.0.61 311675 Bytes 31.07.2008 15:41:06
AESCN.DLL : 8.1.0.23 119156 Bytes 16.07.2008 11:41:08
AERDL.DLL : 8.1.0.20 418165 Bytes 25.04.2008 14:02:10
AEPACK.DLL : 8.1.2.1 364917 Bytes 16.07.2008 11:41:08
AEOFFICE.DLL : 8.1.0.21 192891 Bytes 19.07.2008 12:26:46
AEHEUR.DLL : 8.1.0.44 1343863 Bytes 25.07.2008 14:10:53
AEHELP.DLL : 8.1.0.15 115063 Bytes 29.05.2008 15:55:07
AEGEN.DLL : 8.1.0.32 315765 Bytes 31.07.2008 15:41:05
AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 15:41:04
AECORE.DLL : 8.1.1.8 172406 Bytes 31.07.2008 15:41:03
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 12:24:59
AVWINLL.DLL : 1.0.0.12 15105 Bytes 19.07.2008 12:26:45
AVPREF.DLL : 8.0.2.0 38657 Bytes 19.07.2008 12:26:45
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 15:41:02
AVREG.DLL : 8.0.0.1 33537 Bytes 19.07.2008 12:26:45
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 17:53:25
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 19.07.2008 12:26:45
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 17:53:26
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 19.07.2008 12:26:46
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 17:53:26
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 19.07.2008 12:26:43
RCTEXT.DLL : 8.0.52.0 86273 Bytes 19.07.2008 12:26:43

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: ShlExt
Konfigurationsdatei..............: C:\DOKUME~1\P*****~1\LOKALE~1\Temp\47dd65a9.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: aus
Durchsuche Registrierung.........: aus
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Montag, 4. August 2008 00:43

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Deckard\System Scanner\backup\DOKUME~1\PASCAL~1\LOKALE~1\Temp\xzfxs7rt.exe
[0] Archivtyp: CAB SFX (self extracting)
--> \Disk1\data1.hdr
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
C:\WINDOWS\system32\drivers\dtscsi.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\sptd6141.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Montag, 4. August 2008 01:06
Benötigte Zeit: 23:15 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

4293 Verzeichnisse wurden überprüft
296791 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
5 Dateien konnten nicht durchsucht werden
296786 Dateien ohne Befall
3247 Archive wurden durchsucht
6 Warnungen
0 Hinweise

Hi,
ich seh nur 3 Dateien im System32 Ordner die nicht kontrolliert werden konnten:

C:\WINDOWS\system32\drivers\dtscsi.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\sptd6141.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!

Alle 3 Dateien gehören zu Daemontools.

Die Datei C:\pagefile.sys ist eine Windowsdatei auf die kein Programm zugreifen kann. Auch kein Antivirenprogramm. Das ist normal.
Die letzte verbleibende Meldung besagt, dass Antivir das Archiv C:\Deckard\System Scanner\backup\DOKUME~1\PASCAL~1\LOKALE~1\Temp\xzf xs7rt.exe nicht öffnen kann.Da es sich dbaei eh um ein Backup von DSS handelt, kannst du auch einfach den Ordner Deckard löschen

lg myrtille

Ok dann ist wogl doch alles im Butter ^^
Die Sache wäre dann mal gegessen und nochmals Danke ^^