Hallo,

heute kam eine Kollegin mit einem USB-Stick und fragte mich ob ich Ihr was ausdrucken kann.

Beim Einführen des USB-Sticks hat sich sofort AntiVir gemeldet und "Worm.small.i" gemeldet. Ich habe sofort auf Löschen geklickt.

Bei HijackThis sagt mir das Logfile das alles soweit ok ist.

Nun habe ich trotzdem Bedenken dass der Wurm Schaden anrichtet.

Meine Fragen:

1. Welche potentiellen Schaden kann der Wurm verursachen?
2. Muss ich weitergehende Analyse starten und festzustellen ob mein Rechner clean ist?

Danke für Eure Hilfe!

Thomas

Aktualisierung:

Es ist WORM/Small.I.35

Bei den Ereignissen im Antivir steht:

Fehler in AntiVir Guard.
Fehlertext: Aktion ist fehlgeschlagen für die Datei: I:\autorun.inf
Fehlercode: [0x000003ee - Der Datenträger einer Datei wurde extern so geändert, dass die geöffnete Datei nicht mehr gültig ist.].

Wie ist das zu intepretieren?

Würde mich wirklich sehr über Hilfe freuen!

Hallo,
würdest du bitte den kompletten Report von Avira posten?

Hallo!

Sehr gerne:

--------------------------

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 22. September 2008 20:00

Es wird nach 1628080 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: xxx
Computername: xxx

Versionsinformationen:
BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 18.07.2008 12:30:00
AVSCAN.DLL : 8.1.4.0 48897 Bytes 18.07.2008 12:30:00
LUKE.DLL : 8.1.4.5 164097 Bytes 18.07.2008 12:30:00
LUKERES.DLL : 8.1.4.0 12545 Bytes 18.07.2008 12:30:00
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 08:26:12
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 11:42:40
ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 11:31:50
ANTIVIR3.VDF : 7.0.6.192 234496 Bytes 22.09.2008 14:36:08
Engineversion : 8.1.1.34
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:39:07
AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 12:34:29
AESCN.DLL : 8.1.0.23 119156 Bytes 16.07.2008 12:20:02
AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 12:34:29
AEPACK.DLL : 8.1.2.1 364917 Bytes 16.07.2008 12:20:01
AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 12:34:28
AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 12:34:28
AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 12:40:30
AEGEN.DLL : 8.1.0.36 315764 Bytes 01.09.2008 13:53:15
AEEMU.DLL : 8.1.0.7 430452 Bytes 01.08.2008 10:23:55
AECORE.DLL : 8.1.1.11 172406 Bytes 05.09.2008 13:08:21
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 12:19:31
AVWINLL.DLL : 1.0.0.12 15105 Bytes 18.07.2008 12:30:00
AVPREF.DLL : 8.0.2.0 38657 Bytes 18.07.2008 12:30:00
AVREP.DLL : 8.0.0.2 98344 Bytes 01.08.2008 10:23:54
AVREG.DLL : 8.0.0.1 33537 Bytes 18.07.2008 12:30:00
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:39:07
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 18.07.2008 12:30:00
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:39:07
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 18.07.2008 12:30:00
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:39:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 18.07.2008 12:29:58
RCTEXT.DLL : 8.0.52.0 86273 Bytes 18.07.2008 12:29:58

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Manuelle Auswahl
Konfigurationsdatei..............: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\PROFILES\folder.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Montag, 22. September 2008 20:00

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Thumbs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Photoshop.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PQV2iSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'gearsec.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpgs2wnf.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpgs2wnd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EM_EXEC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EnMixCPL.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTouch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'aawservice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '37' Prozesse mit '37' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '62' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XP>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Montag, 22. September 2008 20:16
Benötigte Zeit: 16:16 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

2804 Verzeichnisse wurden überprüft
125849 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
125848 Dateien ohne Befall
545 Archive wurden durchsucht
3 Warnungen
0 Hinweise


---------

Meintest Du diesen Report? Das ist das Ergebnis des Scans von C:

Falls es etwas anderes ist, bitte kurze Erklärung wie ich zu den diesen Report komme. Vielen Dank.

Im Report scheint nix böses zu sein.
Wo wurde denn genau der Wurm gefunden?

Auf einem USB-Stick (I:\autorun.inf).

Antivir hat sofort Alarm geschlagen, und ich habe sofort auf Löschen geklickt.

HiJackThis hat auch keine Gefährung gemeldet.