| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: SUPERGAU! --> Studio-PC Befallen ???Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
18.09.2008, 20:18
| #1 |
| |  SUPERGAU! --> Studio-PC Befallen ??? Hallo freunde der Kunst, ich hab seit einer Woche ständig Meldungen vom Antivir (Avira) das sich verschiedene Viren auf dem PC befinden. Produktupdates und Standartupdates auch Windowsupdates werdem regelmäßig ausgeführt. Leider habe ich auch bis Dato kein Programm gefunden, welches mir ein Raid System aus 2 Platten unter WinXp "komplett" mit bootfähiger DVD/CD erstellt. Sonst würd ich format C: durchziehen. Jetzt hab ich den Salat.. Antivir pipst ständig, und irgendwie ist der Rechner langsamer geworden?! Bei niedrigen Latenzen mit viel CPU-Last fällt das auf. :-( Anbei findet Ihr ein Log vom Hijack sowie auch vom Avira Scannvorgang. Es befindet sich eine große menge an Musiksoftware auf dem PC, Cubase 4, Reason, EMU, Native Instruments, 3 UAD-Karten, 1 Powercore, Externes Midi- Master Keyboard (USB), Dongle`s, etc. Also nicht wundern... CCleaner + ComboFix hab ich nach Anleitung ausgeführt. Antivier steht überall auf Hoch (schon seit dem ersten Tag), hoffentlich sinds alles nur Fehl-alarme! Die Internetverbindung ist meistens INAKTIV (per windows deaktivierung). Ich kann den Avira nicht zusammen mit dem Cubase Sequencer laufen lassen das führt zu knacksern. Also das Schirmchen ist des öfteren zu! Systemscans mach ich aber hin und wieder. Und ja ich Klapp den Schirm auf bevor ich ins netzt geh wieder auf. Und nein, ich surf auf keinen Pornoseiten oder lade illegales Zeug! Bin für jeden Rat dankbar, ne formatierung würde einfach zu viel Zeit in anspruch nehmen, und zu 100% wie es läuft (ohne Virus) bekomm ichs eh net mehr hin. Ich hätt auch gar nciht genug festplatten hier um ein Backup zu machen, und am ende Kopier ich den Virus (wenns Ihn gibt) noch mit (ganz toll)...  -------------------------------------------------------------------------- Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:35:12, on 18.09.2008 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.6000.16705) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\WINDOWS\Explorer.EXE C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\system32\CTHELPER.EXE C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\system32\ctfmon.exe C:\Programme\Creative Professional\E-MU PatchMix DSP\EmuPMixDSP.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\Programme\PC Connectivity Solution\ServiceLayer.exe C:\Programme\PC Connectivity Solution\Transports\NclUSBSrv.exe C:\Programme\PC Connectivity Solution\Transports\NclRSSrv.exe c:\programme\antivir personaledition classic\avscan.exe C:\Programme\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programme\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Programme\Nokia\Nokia PC Suite 7\PCSync2.exe" /NoDialog O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-3561442287-1399218105-487459787-500\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Administrator') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing) O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe O24 - Desktop Component 0: (no name) - (no file) -- End of file - 4480 bytes ------------------------------------------------------------------------- ------------- ------------------------------------------------------------------------- ------------- AVIRASCAN: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Donnerstag, 18. September 2008 19:30 Es wird nach 1624929 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: 0000149996-ADJIE-0001 Plattform: Windows XP Windowsversion: (Service Pack 3) [5.1.2600] Boot Modus: Normal gebootet Benutzername: XXXXXXXX Computername: XXXXXXXXX Versionsinformationen: BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00 AVSCAN.EXE : 8.1.4.7 315649 Bytes 17.07.2008 15:39:39 AVSCAN.DLL : 8.1.4.0 48897 Bytes 17.07.2008 15:39:39 LUKE.DLL : 8.1.4.5 164097 Bytes 17.07.2008 15:39:39 LUKERES.DLL : 8.1.4.0 12545 Bytes 17.07.2008 15:39:39 ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:15:05 ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:26:46 ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 12:01:15 ANTIVIR3.VDF : 7.0.6.180 188416 Bytes 18.09.2008 16:28:44 Engineversion : 8.1.1.34 AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:52:02 AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 16:28:50 AESCN.DLL : 8.1.0.23 119156 Bytes 17.07.2008 15:39:40 AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 16:28:49 AEPACK.DLL : 8.1.2.1 364917 Bytes 17.07.2008 15:39:40 AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 16:28:48 AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 16:28:47 AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 15:19:19 AEGEN.DLL : 8.1.0.36 315764 Bytes 20.08.2008 06:49:25 AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 17:44:09 AECORE.DLL : 8.1.1.11 172406 Bytes 04.09.2008 19:43:14 AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 15:39:39 AVWINLL.DLL : 1.0.0.12 15105 Bytes 17.07.2008 15:39:39 AVPREF.DLL : 8.0.2.0 38657 Bytes 17.07.2008 15:39:39 AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 17:44:08 AVREG.DLL : 8.0.0.1 33537 Bytes 17.07.2008 15:39:39 AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:52:02 AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 17.07.2008 15:39:39 SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:52:02 SMTPLIB.DLL : 1.2.0.23 28929 Bytes 17.07.2008 15:39:39 NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:52:02 RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 17.07.2008 15:39:38 RCTEXT.DLL : 8.0.52.0 86273 Bytes 17.07.2008 15:39:38 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Lokale Festplatten Konfigurationsdatei..............: c:\programme\antivir personaledition classic\alldiscs.avp Protokollierung..................: niedrig Primäre Aktion...................: reparieren Sekundäre Aktion.................: löschen Durchsuche Masterbootsektoren....: ein Durchsuche Bootsektoren..........: ein Bootsektoren.....................: C:, D:, Durchsuche aktive Programme......: ein Durchsuche Registrierung.........: ein Suche nach Rootkits..............: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: 99 Archiv Smart Extensions..........: ein Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, Makrovirenheuristik..............: ein Dateiheuristik...................: hoch Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR, Beginn des Suchlaufs: Donnerstag, 18. September 2008 19:30 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '50718' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MPAPI3s.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EmuPMixDSP.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PcSync2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '33' Prozesse mit '33' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. Die Registry wurde durchsucht ( '50' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <XP32> C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\Dokumente und Einstellungen\XXXXXX\Desktop\ComboFix.exe [0] Archivtyp: RAR SFX (self extracting) --> 32788R22FWJFW\hidec.exe [FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes --> 32788R22FWJFW\NirCmd.cfexe [FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B --> 32788R22FWJFW\nircmd.com [FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B --> 32788R22FWJFW\NirCmdC.cfexe [FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B --> 32788R22FWJFW\psexec.cfexe [1] Archivtyp: RSRC --> Object [FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E [HINWEIS] Die Datei wurde gelöscht. C:\WINDOWS\Nircmd.exe [FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B [HINWEIS] Die Datei wurde gelöscht. C:\WINDOWS\system32\drivers\sptd.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Beginne mit der Suche in 'D:\' <Vista64> D:\hiberfil.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Ende des Suchlaufs: Donnerstag, 18. September 2008 21:08 Benötigte Zeit: 1:37:33 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 40995 Verzeichnisse wurden überprüft 1056709 Dateien wurden geprüft 6 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 2 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 3 Dateien konnten nicht durchsucht werden 1056700 Dateien ohne Befall 6939 Archive wurden durchsucht 3 Warnungen 2 Hinweise 50718 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden ---------------------------------------------------------------------- Den defender von Vista Ultimate 64Bit hab ich auch schon drüber rutschen lassen.. ***das dauert alles.... Thx
__________________ beezrecords.com |
| Themen zu SUPERGAU! --> Studio-PC Befallen ??? |
| 100%, antivir, avira, bho, combofix, cpu-last, cubase, desktop, drivers, eudora, festplatte, format, heulen, hijack, hijackthis, hkus\s-1-5-18, internet explorer, nt.dll, programm, prozesse, quara, registry, rundll, scan, solution, suchlauf, system, updates, usb, versteckte objekte, verweise, viren, virus, virus gefunden, vista, warnung, windows xp, windows xp sp3, windows\system32\drivers, wuauclt.exe, xp sp3 |
Baum-Darstellung