|
Log-Analyse und Auswertung: AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
07.04.2009, 13:05 | #31 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hi, also das Ganze noch einmal von vorne... Was setzt Du zum Surfen ein, Firefox oder IE? Firefox wäre auf jeden Fall besser, mit den entsprechenden PlugIns versehen... Bitte unter den Eltern einloggen und MAM updaten und laufen lassen, und Dr. Web hinterher... Dr. Web http://www.trojaner-board.de/59299-anleitung-drweb-cureit.html Poste bitte mal noch das Hostfile: Hosts-File anzeigen: Lade das Host-file (C:\WINDOWS\system32\drivers\etc\hosts) in einen Texteditor (im Explorer drauf klicken, rechte Maus, senden an -> editor). Kopiere den Inhalt und poste ihn hier... Zusätzlich noch Silentrunner: Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen. Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten. http://www.silentrunners.org/Silent%20Runners.zip chris
__________________ Don't bring me down Vor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
07.04.2009, 13:30 | #32 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey,
__________________ich habe meinen Eltern erst am Wochenende firefox als browser draufgepackt. Die sind vorher immer über ihren geliebten t-online-browser ins Internet gegangen. Der TR, der sich auf der Seite mit eingeschränkten Benutzterrechten befindet, war aber auch schon am Samstag da drauf, als ich hier zum ersten Mal gepostet habe. Der ist also nicht neu. Der war zeitgleich mit TR\crypt... drauf. Der ist irgendwie unter gegangen. Hatte die AntiVir-Meldung dazu in den anderen Thread gepostet, als ich mich das erste Mal hier gemeldet habe. Sorry! Der Scan mit MAM dauert noch an. Hab währenddessen versucht, die Datei, die du angegeben hast, in den editor zu packen. Wenn ich rechtsklicke, kann ich die leider an keinen editor senden. Kann ich das vlt. wieder nur von der Admin-Seite aus? Dann muss ich gleich erst wechseln nach dem Scan. lg, irie Soll ich, bevor ich Dr. Web laufen lassen, auch die Systemwiderherstellung deaktivieren? Und: Silentrunner mit Adminrechten ausführen oder auch auf dem eingeschränkten Benutzerkonto? Geändert von irie (07.04.2009 um 13:45 Uhr) |
07.04.2009, 13:44 | #33 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hallo,
__________________die Systemwiederherstellung kannst Du mal deaktivieren ist aber vorerst nicht so wichtig (müssen nur am Schluß dran denken)... Wenn senden an nicht geht, einfach mit rechtem Mausklick "Öffnen mit" dann als Programm den Editor auswählen, alles markieren und hier posten. In Firefox noch folgende PlugIns installieren "WOT" (https://addons.mozilla.org/de/firefox/addon/3456) und "NoScript" (http://filepony.de/download-noscript/)... Lass bitte auch mal den CCleaner laufen... http://www.trojaner-board.de/51464-a...-ccleaner.html chris
__________________ |
07.04.2009, 14:15 | #34 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' hey, hier die ergebnisse von MAM. hat wohl nix gfunden. liegt vlt daran, weil sie bei antivir in der quarantäne sind? Malwarebytes' Anti-Malware 1.36 Datenbank Version: 1947 Windows 5.1.2600 Service Pack 3 07.04.2009 15:14:15 mbam-log-2009-04-07 (15-14-15).txt Scan-Methode: Vollständiger Scan (C:\|D:\|J:\|K:\|) Durchsuchte Objekte: 182891 Laufzeit: 1 hour(s), 0 minute(s), 28 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) Arbeite nun die anderen Sachen ab. Den CCleaner habe ich heut morgen schon mal laufen lassen. Wieder so lange, bis kein Fehler mehr zu finden war. lg, irie |
07.04.2009, 17:32 | #35 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, denk nicht, ich hab die Nase voll und will hier nicht mehr weiter machen. Dr. Web scannt... und scannt und scannt... lg, irie (nicht, dass du denkst, ich würde wieder was falsch machen: Ich schreibe von meinem Laptop aus) |
07.04.2009, 19:28 | #36 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hi, ungewöhnlich, wie lange ist er schon bei der Arbeit...? chris
__________________ --> AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' |
07.04.2009, 20:04 | #37 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, also ein paar Stunden läuft der schon. Hab gerade wieder nachgeguckt. Ist jetzt gleich fertig. Dann poste ich das Ergebnis. Hab noch ne Frage zu Silentrunner: Soll ich das Programm im abgesicherten Modus laufen lassen? Oder auf der Admin-Seite oder auf dem eingeschränkten Benutzerkonto? Muss allerdings gucken, ob ich das heute noch schaffe. lg, irie |
07.04.2009, 20:32 | #38 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hi, bitte im eingeschränkten Benutzerkonto laufen lassen... chris
__________________ Don't bring me down Vor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
07.04.2009, 20:36 | #39 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, also Dr. Web hat nichts gefunden. Also so stand es dort. Keine Fehler! Mehr kann ich dir da leider auch nicht bieten, da sich der Rechner danach aufgehangen hat. Die Berichtsdatei konnte ich leider nicht mehr unter dem speziellen Namen speichern. Hätte dir die trotzdem noch weitere wichtige Infos geliefert? Hoffe, die Info des Programms "Keine Fehler" reicht aus. Des Weiteren habe ich nochmal versucht, die Datei C:\windows\system32\drivers\etc\hosts zu öffnen und in den editor zu packen, aber da steht diesmal auch nix mit "öffnen mit". Allerdings sind dort auch zwei Dateien drin, die so heißen. Die eine ist eine icalendar-Datei. Bei der funktiniert das mit "öffnen mit". bei der normalen Datei wiederrum nicht. Also so ein derbes Problem hatte ich noch nie. Also nochmal vielen Dank! lg, irie |
07.04.2009, 20:50 | #40 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' hey hier nun silentrunner: http://www.file-upload.net/download-1573129/Startup-Programs--DIETER--2009-04-07-21.41.15.txt.html hoffe, das funktioniert jetzt wenigstens. ich kann jetzt leider nicht mehr weiter machen für heute. danke und schönen abend noch. lg,irie |
08.04.2009, 06:33 | #41 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hi, der Eintrag unter dem HKCU-Run-Key ist wieder/immer noch da: "Mum & Dad" = "C:\Dokumente und Einstellungen\Mum & Dad\Mum & Dad.exe /i" Wenn Du dich mit RegEdit auskennst kannst Du das mal löschen... chris
__________________ Don't bring me down Vor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
08.04.2009, 09:04 | #42 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, also das gebe ich unter "Ausführen" ein, richtig? Muss ich dazu auch wieder in den abgesicherten Modus? Brauche Admin-Rechte oder? Und dann suche ich einfac den Eintrag, den du genannt hast und da gibts dann auch ne Option "löschen"? lg, irie |
08.04.2009, 09:30 | #43 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hi, dann lassen wir das lieber, sonst war nichts auffälliges zu finden... Installiere (Admin) mal das hier und lasse es mit Avira mitlaufen: http://www.threatfire.com/de/ chris
__________________ Don't bring me down Vor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
08.04.2009, 09:51 | #44 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, lasse die beiden nun parallel laufen. Bin gespannt. Für den Fall, dass bei Antivir noch etwas kommen sollte, soll ich dann lieber auf Zugriff verweigern oder in Quarantäne? lg, irie |
08.04.2009, 11:06 | #45 |
| AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' Hey, also beide Programme haben nix gefunden. Hier der Report von AntiVir: Code:
ATTFilter Avira AntiVir Personal Erstellungsdatum der Reportdatei: Mittwoch, 8. April 2009 10:47 Es wird nach 1343814 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: 0000149996-ADJIE-0001 Plattform: Windows XP Windowsversion: (Service Pack 3) [5.1.2600] Boot Modus: Normal gebootet Benutzername: SYSTEM Computername: DIETER Versionsinformationen: BUILD.DAT : 8.2.0.347 16934 Bytes 16.03.2009 14:45:00 AVSCAN.EXE : 8.1.4.10 315649 Bytes 27.11.2008 19:01:58 AVSCAN.DLL : 8.1.4.0 48897 Bytes 18.07.2008 11:12:32 LUKE.DLL : 8.1.4.5 164097 Bytes 18.07.2008 11:12:32 LUKERES.DLL : 8.1.4.0 12545 Bytes 18.07.2008 11:12:32 ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 16:41:22 ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 22:09:08 ANTIVIR2.VDF : 7.1.3.0 1330176 Bytes 01.04.2009 07:51:22 ANTIVIR3.VDF : 7.1.3.28 123392 Bytes 08.04.2009 08:34:41 Engineversion : 8.2.0.138 AEVDF.DLL : 8.1.1.0 106868 Bytes 31.01.2009 11:26:58 AESCRIPT.DLL : 8.1.1.73 373114 Bytes 04.04.2009 09:05:39 AESCN.DLL : 8.1.1.10 127348 Bytes 04.04.2009 09:05:38 AERDL.DLL : 8.1.1.3 438645 Bytes 07.11.2008 22:51:55 AEPACK.DLL : 8.1.3.12 397687 Bytes 04.04.2009 09:05:38 AEOFFICE.DLL : 8.1.0.36 196987 Bytes 26.02.2009 22:52:29 AEHEUR.DLL : 8.1.0.114 1700214 Bytes 04.04.2009 09:05:37 AEHELP.DLL : 8.1.2.2 119158 Bytes 26.02.2009 22:52:25 AEGEN.DLL : 8.1.1.33 340340 Bytes 04.04.2009 09:05:33 AEEMU.DLL : 8.1.0.9 393588 Bytes 19.10.2008 20:32:38 AECORE.DLL : 8.1.6.7 176502 Bytes 04.04.2009 09:05:32 AEBB.DLL : 8.1.0.3 53618 Bytes 19.10.2008 20:32:35 AVWINLL.DLL : 1.0.0.12 15105 Bytes 18.07.2008 11:12:32 AVPREF.DLL : 8.0.2.0 38657 Bytes 18.07.2008 11:12:32 AVREP.DLL : 8.0.0.2 98344 Bytes 04.08.2008 08:10:04 AVREG.DLL : 8.0.0.1 33537 Bytes 18.07.2008 11:12:32 AVARKT.DLL : 1.0.0.23 307457 Bytes 20.04.2008 17:22:20 AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 18.07.2008 11:12:32 SQLITE3.DLL : 3.3.17.1 339968 Bytes 20.04.2008 17:22:21 SMTPLIB.DLL : 1.2.0.23 28929 Bytes 18.07.2008 11:12:32 NETNT.DLL : 8.0.0.1 7937 Bytes 20.04.2008 17:22:21 RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 18.07.2008 11:12:28 RCTEXT.DLL : 8.0.52.0 86273 Bytes 18.07.2008 11:12:28 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Vollständige Systemprüfung Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp Protokollierung..................: niedrig Primäre Aktion...................: interaktiv Sekundäre Aktion.................: ignorieren Durchsuche Masterbootsektoren....: ein Durchsuche Bootsektoren..........: ein Bootsektoren.....................: C:, D:, J:, K:, Durchsuche aktive Programme......: ein Durchsuche Registrierung.........: ein Suche nach Rootkits..............: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: aus Archiv Smart Extensions..........: ein Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox, Makrovirenheuristik..............: ein Dateiheuristik...................: hoch Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR, Beginn des Suchlaufs: Mittwoch, 8. April 2009 10:47 Der Suchlauf nach versteckten Objekten wird begonnen. Eine Instanz des ARK läuft bereits. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TFGui.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TFService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TFTray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BrMfcMon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ACDaemon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BrMfcWnd.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'pptd40nt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'issch.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ToADiMon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'kbd.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'prevx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpsysdrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'prevx.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ACService.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '43' Prozesse mit '43' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Masterbootsektor HD1 [INFO] Es wurde kein Virus gefunden! [WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit. Masterbootsektor HD2 [INFO] Es wurde kein Virus gefunden! [WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit. Masterbootsektor HD3 [INFO] Es wurde kein Virus gefunden! [WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit. Masterbootsektor HD4 [INFO] Es wurde kein Virus gefunden! [WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit. Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'J:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'K:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. Die Registry wurde durchsucht ( '72' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <HP_PAVILION> C:\hiberfil.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Beginne mit der Suche in 'D:\' <HP_RECOVERY> Beginne mit der Suche in 'J:\' <Musik> Beginne mit der Suche in 'K:\' <Spiele> K:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Ende des Suchlaufs: Mittwoch, 8. April 2009 11:59 Benötigte Zeit: 1:12:49 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 8684 Verzeichnisse wurden überprüft 581689 Dateien wurden geprüft 0 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 3 Dateien konnten nicht durchsucht werden 581686 Dateien ohne Befall 14210 Archive wurden durchsucht 7 Warnungen 0 Hinweise Klingt fast zu gut um wahr zu sein! Soll ich noch irgendwas drüber laufen lassen? lg, irie |
Themen zu AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' |
antivir, antivir meldet, avira, bho, canon, controlcenter, einstellungen, excel, fehler, firefox, google, hijack, hijack this, hijackthis, hkus\s-1-5-18, immer wieder, internet, internet explorer, logfile, mozilla, plug-in, programm, rundll, scan, software, studio, system, tr/crypt.xdr.gen, trojaner, windows, windows xp, wlan |