TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys

Joe B · 23.05.2009, 11:23

Hallo zusammen,
ich habe mir laut Antivir den Trojaner TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys eingefangen. Außerdem läuft jetzt der Prozess "9129837.exe" im Task Manager, der mich stutzig macht.

Wenn ich eine Überprüfung mit AntiVir durchführe, findet AntiVir nichts, aber die Meldung kommt jedesmal nachdem der Rechner hochgefahren wird. Während der Überprüfung mit AntiVir werden an einem bestimmten Punkt sämtliche Prozesse "einfach beendet" wie z.B. jusched.exe, wuault.exe usw.
Dasselbe passiert bei einer Überprüfung mit Malwarebytes, nur reagiert Malwarebytes dann nicht mehr und kann die Überprüfung nicht mehr fortsetzen.

Meine HijackThis Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:37:49, on 23.05.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre6\bin\jusched.exe
C:\windows\system\hpsysdrv.exe
C:\HP\KBD\KBD.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\ALCXMNTR.EXE
C:\Programme\D-Link\AirPlus G\AirGCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\9129837.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=DE_DE&c=Q105&bd=pavilion&pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [LSBWatcher] c:\hp\drivers\hplsbwatcher\lsburnwatcher.exe
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programme\D-Link\AirPlus G\AirGCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ttool] C:\WINDOWS\9129837.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - h**p://dl8-cdn-09.sun.com/s/ESD7/JSCDL/jdk/6u13-b03/jinstall-6u13-windows-i586-jc.cab?e=1238932974248&h=30471d6785e6fd77c649c746e2185596/&filename=jinstall-6u13-windows-i586-jc.cab
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

--
End of file - 6634 bytes

Avira Report:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Freitag, 22. Mai 2009 21:31

Es wird nach 1407128 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: SYSTEM
Computername: ******

Versionsinformationen:
BUILD.DAT : 8.2.0.347 16934 Bytes 16.03.2009 14:45:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 18.11.2008 08:21:23
AVSCAN.DLL : 8.1.4.0 48897 Bytes 09.05.2008 11:27:06
LUKE.DLL : 8.1.4.5 164097 Bytes 12.06.2008 12:44:16
LUKERES.DLL : 8.1.4.0 12545 Bytes 09.05.2008 11:40:42
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 20:35:06
ANTIVIR2.VDF : 7.1.3.185 2010112 Bytes 12.05.2009 18:47:44
ANTIVIR3.VDF : 7.1.3.230 275968 Bytes 19.05.2009 14:38:59
Engineversion : 8.2.0.168
AEVDF.DLL : 8.1.1.1 106868 Bytes 30.04.2009 20:39:10
AESCRIPT.DLL : 8.1.2.0 389497 Bytes 15.05.2009 21:02:18
AESCN.DLL : 8.1.2.3 127347 Bytes 15.05.2009 21:02:13
AERDL.DLL : 8.1.1.3 438645 Bytes 04.11.2008 13:58:38
AEPACK.DLL : 8.1.3.16 397686 Bytes 11.05.2009 19:43:48
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 28.02.2009 16:36:48
AEHEUR.DLL : 8.1.0.129 1761655 Bytes 15.05.2009 21:02:12
AEHELP.DLL : 8.1.2.2 119158 Bytes 28.02.2009 16:36:43
AEGEN.DLL : 8.1.1.44 348532 Bytes 15.05.2009 21:02:01
AEEMU.DLL : 8.1.0.9 393588 Bytes 14.10.2008 10:05:56
AECORE.DLL : 8.1.6.9 176500 Bytes 17.04.2009 17:57:37
AEBB.DLL : 8.1.0.3 53618 Bytes 14.10.2008 10:05:56
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09.07.2008 08:40:02
AVPREF.DLL : 8.0.2.0 38657 Bytes 16.05.2008 09:27:58
AVREP.DLL : 8.0.0.3 155688 Bytes 17.04.2009 17:57:35
AVREG.DLL : 8.0.0.1 33537 Bytes 09.05.2008 11:26:37
AVARKT.DLL : 1.0.0.23 307457 Bytes 12.02.2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12.06.2008 12:27:46
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22.01.2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12.06.2008 12:49:36
NETNT.DLL : 8.0.0.1 7937 Bytes 25.01.2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 12.06.2008 13:45:01
RCTEXT.DLL : 8.0.52.0 86273 Bytes 27.06.2008 13:32:05

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: C:\Programme\Avira\AntiVir PersonalEdition Classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Freitag, 22. Mai 2009 21:31

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess '9129837.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WZCSLDR2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AirGCFG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ALCXMNTR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'atiptaxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'kbd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpsysdrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '41' Prozesse mit '41' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD3
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.
Masterbootsektor HD4
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [21]: Das Gerät ist nicht bereit.

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
C:\WINDOWS\system32\qgwmv.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Die Registry wurde durchsucht ( '63' Dateien ).

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <HP_PAVILION>
C:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Programme\MSBuild\Microsoft\Windows Workflow Foundation\v3.0\Workflow.Targets
[WARNUNG] Eine Exception wurde abgefangen!
[WARNUNG] Im Modul aecore.dll ist eine Exception aufgetreten.
Aufruf der Funktion AVEPROC_TestFile in file: \\?\C:\Programme\MSBuild\Microsoft\Windows Workflow Foundation\v3.0\Workflow.Targets
Fehlerbeschreibung:ACCESS_VIOLATION
EAX = 00000016 EBX = 01178C48
ECX = 01171F60 EDX = 00000000
ESI = 6E6C6D78 EDI = 00f563c0
EIP = 01243AE3 EBP = 00F56000
ESP = 0186E7C4 Flg = 00010206
CS = 00000023 SS = 0000001B
C:\Programme\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
[0] Archivtyp: RSRC
--> Object
[1] Archivtyp: CAB (Microsoft)
--> data.xml
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
C:\WINDOWS\system32\qgwmv.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <HP_RECOVERY>

Ende des Suchlaufs: Freitag, 22. Mai 2009 22:15
Benötigte Zeit: 44:31 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

5936 Verzeichnisse wurden überprüft
353511 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
5 Dateien konnten nicht durchsucht werden
353506 Dateien ohne Befall
14323 Archive wurden durchsucht
11 Warnungen
0 Hinweise

undoreal · 23.05.2009, 11:51

Halli hallo.

Dein System stammt aus dem Mittelalter. ServicePack 3 ist Pflicht!

Prevx

Deaktiviere die Wächter aller anderen AntiViren Produkte!
Downloade dir Prevx und installiere das Programm wie vorgeschlagen.
Der Computer wird dabei überprüft. Sollte der Trojaner gefunden werden so folge bitte den vorgeschlagenen Desinfektions Methoden.
Nachdem der Scan beendet ist und die Bereinigung abgeschlossen wähle im Hauptfenster die Tools Sektion aus und klicke danach Save the last Scan an. Wähle als Speicherort den Desktop und gib der Datei den Namen: "Scan bei Installation"
Nachdem die Installation abgeschlossen ist wechsel im Hauptfenster des Programms in die Settings Sektion. Dort findest du die Heuristic Settings Sektion.
Dort schiebe bitte den obersten Regler Advanced Heuristics Settings ganz nach rechts auf Maximum!
Klicke danach den blauen Button Save Changes um die Änderungen zu speichern.
Starte den Rechner neu.
Nach dem Neustart wechsel aus dem Hauptfenster wieder in die Tools Sektion und wähle dort Advanced Scan -> Deep Scan -> Scan now aus.
Nachdem der deep Scan beendet ist und die Bereinigung abgeschlossen wähle im Hauptfenster die Tools Sektion aus und klicke danach Save the last Scan an. Wähle als Speicherort den Desktop und gib der Datei den Namen: "depp Scan".
Beide auf dem Desktop gespeicherten logs lade bitte bei rapidshare hoch und poste die Downloadlinks in deinem nächsten Beitrag!

undoreal · 23.05.2009, 12:28

ESET SysInspector logfile

Bevor es losgeht lege dir bitte auf dem Desktop einen Ordner an den du ESET SysInspector nennst. Alle Dateien die zu dem Inspector gehören landen bitte ausschließlich in diesem Hauptordner!
Downloade dir den Inspector hier: https://www.eset.de/download/vollversionen#esi und speichere ihn in dem eben angelegten Hauptordner ab.
Doppelklicke die SysInspector.exe und akzeptiere die EULA. Diese werden zum späteren Durchlesen im Hauptordner gespeichert.
Der SysInspector untersucht nun dein System. Das kann je nach Rechnerleistung mehrere Minuten dauern.
Nachdem der Scan beendet ist öffnet sich das Hauptfenster. Spiele dort bitte nicht herum sondern lasse mich die Auswertung übernehmen!
Speichere dafür das log ab indem du oben rechts auf Datei > Log speichern klickst. Speichere das logfile in dem von dir erstelltem Hauptordner.

.
In dem Ordner findest du nun eine "SysInspector-*dein PC Name*-Nummer.zip" Datei. Diese lädst du bitte bei rapidshare hoch und postest mir den Downloadlink per PN.
Auf Basis dieses logfile erstelle ich dir eine DienstSkript Datei die ich hier im Forum an meinen nächsten Post anhängen werde.

Joe B · 23.05.2009, 15:07

Hallo,
danke für die schnelle Antwort.
Die ESET Logfile habe ich dir per PN geschickt.

Hier die Rapidshare-Links von den Prevx-Scans:

1) Scan bei Installation:
RapidShare: Easy Filehosting

2) Deep Scan:
RapidShare: Easy Filehosting

undoreal · 23.05.2009, 17:52

Da das DienstSkript einige persönliche Informationen enthält schicke ich es dir per PN zurück.
Führe es bitte wie folgt aus:

ESET SysInspector DienstSkript

Die von mir erhaltene DienstSkript.txt Datei speichere bitte im SysInspector Hauptordner ab.
Starte den SysInspector durch Doppelklicken der SysInspector.exe.
Wähle danach Datei > Dienst-Skript ausführen.

.
Wähle im Hauptordner die von mir erstellte DienstSkript.txt aus und bestätige die nachfolgende Anfrage ob das Skript ausgeführt werden soll.
Du wirst danach eine Warnung erhalten die besagt, dass das Skript keine Signatur besitzt. Das ist ganz normal und du kannst den Vorgang mit einem Klick auf Starten beginnen.
Nach Abschluss des Skripts solltest du eine Bestätigung erhalten, dass alles geklappt hat. Solltest du eine Melsung bekommen die anders lautet so schreibe sie bitte ab und poste sie hier.

.

Führe danach bitte einen erneuten deep Scan aus. Dauert ja nicht lange..

Da ist nämlich noch was aktiv was Prevx zwar erkennt aber scheinbar nicht löschen will.
Was hat es dir für Meldungen ausgespuckt? Möchte es für die Entfernung gekauft werden? Dann löschen wir die Dateien einfach von Hand..

Joe B · 24.05.2009, 15:56

Das Ausführen deines neuen Dienst-Skriptes war kein Problem.

Prevx meldet mir momentan 2 Infektionen:

Wenn ich auf "Cleanup Now" gehe, schlägt er mir vor eine Lizenz zu erwerben, wie du gesagt hast.
Die "9129837.exe" im Task Manager ist jedenfalls verschwunden.

Logfile vom 2. deep scan:
RapidShare: Easy Filehosting

undoreal · 24.05.2009, 16:20

Registrierungsschlüssel löschen

Downloade dir RegASSASIN und speichere es auf dem Desktop

Downloade dir den Avenger.

Starte den Rechner im abgesicherten Modus

Start->ausführen-> " regedit " (ohne " ") eingeben und Enter drücken.

Datei->exportieren->speichern an einem Platz wo du sie wiederfindest..

Die Datei die erstellt wurde dient als Sicherung falls etwas bei der Bearbeitung der Registrierung schief geht kannst du sie durch die regedit Import-Funktion wiederherstellen.

Starte RegASSIN durch einen Doppelklick auf die RegASSASIN.exe.

Kopiere nacheinander folgende Schlüssel in die Textbox und drücke den delete Button.

Code:

ATTFilter

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe
Debugger = qgwmv.exe

Danach lasse cCleaner dein System bereinigen. -Punkt 1 und 2 !

Anleitung Avenger (by swandog46)
Lade dir das Tool Avenger und speichere es auf dem Desktop

Starte das Programm durch einen Doppelklick auf das Avenger Symbol:
.

Setze den Haken bei "Automatically disable any rootkits found"
Kopiere nun folgenden Text in das weiße Feld bei -> "Input script here"

Code:

ATTFilter

Files to delete:
c:\windows\system32\c:\windows\system32\qgwmv.exe

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Forum.

Dann startest du den Rechner im normalen Modus neu.

Meldet Prevx dann noch Infektionen?

Joe B · 24.05.2009, 17:57

Zitat:

Zitat von undoreal

Registrierungsschlüssel löschen

Kopiere nacheinander folgende Schlüssel in die Textbox und drücke den delete Button.

Code:

ATTFilter

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe
Debugger = qgwmv.exe

Nachdem ich den Schlüssel "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe" in das Textfeld kopiert habe und den "delete Button" gedrückt habe, bekomme ich die Meldung:

Error: Hive returned NULL.

Was bedeutet das?

Und bei dem Schlüssel "Debugger = qgwmv.exe" bekomme ich die Meldung:

Error: Improper key format.

undoreal · 24.05.2009, 19:04

Das gesammte Textfeld muss dort rein.

Also

Zitat:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe Debugger = qgwmv.exe

Einfach komplett abkopieren und einfügen.

Sollte das nicht klappen mache einfach mit dem Avenger weiter..

Joe B · 24.05.2009, 19:24

Auch mit dem gesamten Textfeld habe ich die gleiche Nachricht gekriegt: Error:Hive returned NULL.

Hier ist also die Avenger Logdatei:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: could not open file "c:\windows\system32\c:\windows\system32\qgwmv.exe"
Deletion of file "c:\windows\system32\c:\windows\system32\qgwmv.exe" failed!
Status: 0xc0000033 (STATUS_OBJECT_NAME_INVALID)
--> an object cannot have this name

Completed script processing.

*******************

Finished! Terminate.

EDIT:

Beim Hochfahren gerade habe ich komischerweise die Meldung gekriegt: "Es befindet sich kein Datenträger im Laufwerk", die ich ca. 5 oder 6 mal wegklicken musste. Mein Laufwerk ließ sich die letzten Tage nicht öffnen, gerade habe ich es versucht - und es ging wieder...

Es hat sich leider aber nichts verändert, der Prevx deep scan zeigt mir immernoch die gleichen 2 infections an.

undoreal · 24.05.2009, 20:31

Mist.

Führe bitte mit dem Avenger folgendes Skript aus:

Zitat:

Files to delete:
c:\windows\system32\qgwmv.exe

Räume danach mit dem CCleaner au (Punkte 1&2)

Joe B · 25.05.2009, 16:40

So. Ich glaube jetzt habe ich ein größeres Problem...ich schreibe diese Nachricht von einem anderen PC aus weil mein System sich nachdem ich die system32.exe in avenger deleted habe nicht mehr hochfahren lässt. Beim Hochfahren kommt das Fenster "Wilkommen", danach wird mein Desktophintergrund angezeigt, dann springt er wieder auf die Wilkommen Maske und ich kann auf "HP Besitzer" klicken. Wenn ich das mache wird mein Desktophintergrund wieder kurz angezeigt, dann taucht aber wieder die Wilkommen Maske auf. Dieses Spiel kann ich unendlich lange spielen.

Was kann ich jetzt machen?

EDIT: Sogar im abgesicherten Modus passiert das gleiche.

KarlKarl · 26.05.2009, 02:28

Hi,

welche system32.exe? Die erwähnst Du gerade das erste Mal. Wenn Du derart mit Informationen hinterm Berg hältst und ganz andere Sachen macht, als vorgeschlagen wird, dann nimmst Du am besten die Windows-CD, formatierst die Platte und installierst sie neu.

Karl

Joe B · 26.05.2009, 06:52

Zitat:

Zitat von undoreal

Mist.

Führe bitte mit dem Avenger folgendes Skript aus:

Code:

ATTFilter

Files to delete:
c:\windows\system32\qgwmv.exe

Räume danach mit dem CCleaner au (Punkte 1&2)

Ich meine diese system32\qgwmv.exe, die undoreal vorgeschlagen hat Karlkarl.

KarlKarl · 26.05.2009, 09:21

Problem ist, dass man hier nur das weiß, was Du in diesen Thread schreibst. Wenn das nichts mit der Realität zu tun hat, dann sind solche Onlinebasteleien nicht möglich.

26.05.2009, 02:28	#13
KarlKarl /// Helfer-Team	$TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys - Standard$ TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys Hi, welche system32.exe? Die erwähnst Du gerade das erste Mal. Wenn Du derart mit Informationen hinterm Berg hältst und ganz andere Sachen macht, als vorgeschlagen wird, dann nimmst Du am besten die Windows-CD, formatierst die Platte und installierst sie neu. Karl

26.05.2009, 09:21	#15
KarlKarl /// Helfer-Team	$TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys - Standard$ TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys Problem ist, dass man hier nur das weiß, was Du in diesen Thread schreibst. Wenn das nichts mit der Realität zu tun hat, dann sind solche Onlinebasteleien nicht möglich.

TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys

Log-Analyse und Auswertung: TR/Rootkit.Gen in C:\WINDOWS\new_drv.sys