|
Plagegeister aller Art und deren Bekämpfung: Rootkit MVISX: Bitte um HilfeWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
12.07.2009, 19:31 | #1 |
| Rootkit MVISX: Bitte um Hilfe Hallo Trojaner-Board Community, seit einigen Tagen werde ich beim Anklicken von Google-Ergebnissen mitunter auf andere Webseiten umgeleitet (über search-tracker.net). Eine Überprüfung meines Notebooks mit Malwarebytes' Anti-Malware ergab zwei Trojaner und das Rootkit MSIVX. Die Trojaner ließen sich von Malwarebytes' löschen, das Rootkit leider nicht. Nach einigem googlen (und "bingen" ;-) bin ich nun hier gelandet, da in dem Thread http://www.trojaner-board.de/74221-a...agent-xps.html das Thema gerade erst behandelt wurde. Nur befürchte ich, daß die darin aufgeführten Skripts bei mir nicht 1 zu 1 übernommen werden können. System: Windows Vista Home Premium 32-Bit, SP2, Avira Antivir, CCleaner, Windows-Firewall) Bisher habe ich an Programmen laufen lassen: - Malwarebytes Anti-Malware (lief erst nach Umbenennung der Exe-Datei) - Gmer - HijackThis (lief ebenfalls erst nach Umbenennung der Exe-Datei) RootRepeal crasht bereits mit Fehlermeldung beim Start. Vorsorglich habe ich mir schon aktuelle Versionen von Combofix und "Hopsassa" runtergeladen. Anbei das Log von Malwarebytes' Anti-Malware: Malwarebytes' Anti-Malware 1.38 Datenbank Version: 2297 Windows 6.0.6002 Service Pack 2 12.07.2009 18:15:15 mbam-log-2009-07-12 (18-15-11).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 73757 Laufzeit: 3 minute(s), 55 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\Windows\System32\MSIVXcount (Trojan.Agent) -> No action taken. Leider überschreitet der vollständige Logbericht von GMER die maximal zulässige Länge sowohl dieser Nachricht als auch für das Hochladen von Anhängen. Reicht es aus wenn ich den Scan auf bestimmte Punkte einschränke (z.B. Dateien und Registry)? Für Hilfe wäre ich riesig dankbar, da mich das Rootkit langsam zur Verzweiflung treibt. Gruß, jcw108 |
12.07.2009, 20:43 | #2 | |
| Rootkit MVISX: Bitte um Hilfe Hallo und
__________________Zitat:
1.) Laden, laufenlassen und die beiden Logs posten => http://www.trojaner-board.de/74910-a...tion-tool.html 2.) Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an. ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten. ciao, andreas
__________________ |
12.07.2009, 21:28 | #4 |
| Rootkit MVISX: Bitte um Hilfe Erst einmal vielen Dank an Euch für die schnelle Rückmeldung auf meine Frage. Hier der Link für das GMER Log: http://www.materialordner.de/ZLxQUfR...KRYjVRkXE.html Die beiden anderen Logs finden sich hier: http://www.materialordner.de/jp2fiK7...xTdoBi4ps.html und hier: http://www.materialordner.de/L5qTkcy...H4uEMvo37.html Leider gab es Schwierigkeiten mit Combofix. Ich habe es nach Umbenennung der Exe-datei zwar zum Laufen gebracht, aber es endete mit einer Fehlermeldung a la "Some files could not be created...". Gruß, jcw108 Geändert von jcw108 (12.07.2009 um 22:16 Uhr) |
13.07.2009, 16:32 | #5 |
| Rootkit MVISX: Bitte um Hilfe Lade ComboFix noch einmal neu herunter. Der Programmierer hat es zeitweise auf Eis gelegt, um einen Fehler zu entfernen. Notfalls nutzen wir Avenger, falls das wieder nicht klappen sollte. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
13.07.2009, 18:21 | #6 | |
| Rootkit MVISX: Bitte um HilfeZitat:
auch der zweite Versuch mit ComboFix hat leider nicht geklappt, gleiches Ergebnis wie zuvor. Schon einmal vielen Dank im Voraus für Deine Hilfe, jcw108 |
13.07.2009, 18:41 | #7 |
| Rootkit MVISX: Bitte um Hilfe Dann nehmen wir halt den Holzhammer. 1.) Deinstalliere:
Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
Code:
ATTFilter Drivers to delete: MSIVXserv.sys gusvc gupdate1c98578a93c413f rootrepeal cpuz130 cpuz132_x32.sys Registry keys to delete: HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys Files to delete: C:\Windows\system32\drivers\cpuz132_x32.sys C:\Windows\tasks\Google Software Updater.job C:\Windows\tasks\GoogleUpdateTaskMachineCore.job C:\Windows\tasks\GoogleUpdateTaskMachineUA.job C:\Windows\System32\drivers\MSIVXpdpppcmtsetrxccerurwwjyvswxdrilh.sys C:\Windows\System32\MSIVXcount C:\Windows\System32\MSIVXewefcnuboveweiepxheelipnxogvbxmx.dll C:\Windows\System32\MSIVXsilisyaonpbxslyripsdfsteqobkyvcu.dll
ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
13.07.2009, 19:31 | #8 |
| Rootkit MVISX: Bitte um Hilfe Okay, das war jetzt interessant: Ich bin vorgegangen wie Du gesagt hast, wobei ich Google Update Helper nicht unter "Programme" finden konnte, habe aber ein entsprechendes Firefox Add-On deaktiviert. Sorry, utorrent ist (noch) drauf, wird später entfernt. Avenger lief ohne Probleme durch, nach dem Neustart meldete sich dann aber Avira Antivir mit dem Hinweis, daß C:\Avenger.MSIVXewefcnuboveweiepxheelipnxogvbxmx.dll das Trojanische Pferd TR/Agent2kug sei. Es folgten zwei ähnliche Meldungen. Antivir hat folglich jeweils den Zugriff verweigert. Direkt danach meldete sich ThreatFire mit dem Hinweis, daß C:Cleanup.exe an der Ausführung gehindert wurde, da es sich hier um den Trojaner Trojan.Win32.Zapchast.uy handele. Ach ja, ein Avenger-Log gab es auch: Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows Vista ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. Hidden driver "MSIVXserv.sys" found! ImagePath: \systemroot\system32\drivers\MSIVXpdpppcmtsetrxccerurwwjyvswxdrilh.sys Start Type: 4 (Disabled) Rootkit scan completed. Driver "MSIVXserv.sys" deleted successfully. Driver "gusvc" deleted successfully. Driver "gupdate1c98578a93c413f" deleted successfully. Driver "rootrepeal" deleted successfully. Driver "cpuz130" deleted successfully. Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\cpuz132_x32.sys" not found! Deletion of driver "cpuz132_x32.sys" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Registry key "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys" deleted successfully. File "C:\Windows\system32\drivers\cpuz132_x32.sys" deleted successfully. Error: file "C:\Windows\tasks\Google Software Updater.job" not found! Deletion of file "C:\Windows\tasks\Google Software Updater.job" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist File "C:\Windows\tasks\GoogleUpdateTaskMachineCore.job" deleted successfully. File "C:\Windows\tasks\GoogleUpdateTaskMachineUA.job" deleted successfully. File "C:\Windows\System32\drivers\MSIVXpdpppcmtsetrxccerurwwjyvswxdrilh.sys" deleted successfully. File "C:\Windows\System32\MSIVXcount" deleted successfully. File "C:\Windows\System32\MSIVXewefcnuboveweiepxheelipnxogvbxmx.dll" deleted successfully. File "C:\Windows\System32\MSIVXsilisyaonpbxslyripsdfsteqobkyvcu.dll" deleted successfully. Completed script processing. ******************* Finished! Terminate. Gruß, jcw108 |
13.07.2009, 19:39 | #9 |
| Rootkit MVISX: Bitte um Hilfe In dem Ordner c:\avenger sollte sich eine backup.zip befinden. Lade die bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als private Nachricht. Lade dir ein neues Combofix herunter und teste, ob es jetzt läuft. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
13.07.2009, 19:48 | #10 |
| Rootkit MVISX: Bitte um Hilfe Erledigt backup.zip findet sich unter: http://www.materialordner.de/ql0t514...vC8CL0Gue.html Edit: So, ComboFix lief diesmal ohne Umbenennung der Exe-Datei, allerdings erschien weder automatisch eine Datei combofix.txt noch war sie unter C:\Combofix.txt zu finden. Allerdings ist ein Ordner C:\32788R22FWJFW neu aufgetaucht. Dazu gab Antivir eine Warnung aus: C:\32788R22FWJFW\n.pif enthalte ein ausführbares Programm, welches durch eine harmlose Dateierweiterung verschleiert werde (HIDDENEXT/Crypted). PS: Nach dem Durchlauf von Combofix lies sich mein Notebook übrigens weder neu starten noch herunterfahren. Einziger Ausweg war das Unterbrechen der Stromzufuhr. Geändert von jcw108 (13.07.2009 um 20:37 Uhr) |
13.07.2009, 21:02 | #11 |
| Rootkit MVISX: Bitte um Hilfe Trat das Problem nur einmal auf oder besteht das immer noch? Weiter mit: 1.) http://www.trojaner-board.de/51187-a...i-malware.html 2.) http://www.trojaner-board.de/51871-a...tispyware.html ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
14.07.2009, 00:43 | #12 |
| Rootkit MVISX: Bitte um Hilfe Stunden später ..........sind endlich die Scans durch. Vorab: Das Problem trat nur einmal auf. Malwarebytes' Anti-Malware hat nichts mehr gefunden: Malwarebytes' Anti-Malware 1.38 Datenbank Version: 2297 Windows 6.0.6002 Service Pack 2 13.07.2009 23:42:38 mbam-log-2009-07-13 (23-42-38).txt Scan-Methode: Vollständiger Scan (C:\|) Durchsuchte Objekte: 228186 Laufzeit: 1 hour(s), 29 minute(s), 39 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) SuperAntiSpyware hat das Rootkit vermeintlich noch gefunden: SUPERAntiSpyware Scan Log http://www.superantispyware.com Generated 07/14/2009 at 01:20 AM Application Version : 4.26.1006 Core Rules Database Version : 3991 Trace Rules Database Version: 1931 Scan type : Complete Scan Total Scan Time : 01:27:55 Memory items scanned : 638 Memory threats detected : 0 Registry items scanned : 6093 Registry threats detected : 0 File items scanned : 138785 File threats detected : 1 Rootkit.Agent/Gen-MSIVX C:\AVENGER\MSIVXPDPPPCMTSETRXCCERURWWJYVSWXDRILH.SYS und im nächsten Schritt dann unter Quarantäne gestellt. Jetzt noch hoffentlich etwas Schlaf vor der Arbeit und bis morgen jcw108 |
14.07.2009, 15:26 | #13 |
| Rootkit MVISX: Bitte um Hilfe 1.) Lösche Avenger vom Desktop und die Ordner C:\Avenger, C:\Combofix, C:\Qoobox und C:\Windows\Erdnt. 2.) Deinstalliere SuperAntiSpyware. Falls du es behalten möchtest, dann deaktiviere den Wächter. 3.) Kaspersky - Onlinescanner Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware. ---> hier herunterladen => Kaspersky Online Scanner => Hinweise zu älteren Versionen beachten! => Voraussetzung: Internet Explorer 6.0 oder höher => die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter => Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken => Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als => Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten => Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen 4.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
14.07.2009, 21:25 | #14 |
| Rootkit MVISX: Bitte um Hilfe 1.) Avenger (Desktop), C:\Avenger und C:\Qoobox habe ich gelöscht, die beiden anderen Ordner waren nicht vorhanden. 2.) SuperAntiSpyware deinstalliert. 3.) Weder Kaspersky (nach rund 1:50 Std. Scan) noch PrevXCSI haben eine Bedrohung gefunden (beide "grün"), allerdings wollte sich das Kasperskylog partout nicht speichern lassen Insgesamt sieht das für meine laienhaften Augen jetzt ziemlich gut aus, oder? Gruß, jcw108 |
14.07.2009, 21:30 | #15 |
| Rootkit MVISX: Bitte um Hilfe Ja, du bist entlassen. ciao, andreas
__________________ Kein Support per PN! Das ist hier ein Forum und keine Privatbetreuung! Für alle NeuenPrivatbetreuung nur gegen Bezahlung und ich koste sehr teuer. Anleitungen Virenscanner Kompromittierung unvermeidbar? |
Themen zu Rootkit MVISX: Bitte um Hilfe |
32-bit, anti-malware, antivir, avira, bitte um hilfe, combofix, dateien, exe-datei, fehlermeldung, hijack, hijackthis, home, home premium, langsam, log, logbericht, löschen, malwarebytes, malwarebytes anti-malware, malwarebytes' anti-malware, maximal, programme, registrierungsschlüssel, registry, rootkit, sp2, system32, trojan.agent, trojaner-board, umgeleitet, vista, webseiten umgeleitet, windows, windows vista, windows vista home, windows-firewall, zwei trojaner |