| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: 3 Vieren/Trojaner und evt RootkidWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
24.09.2009, 19:30
| #1 |
 |  3 Vieren/Trojaner und evt Rootkid Hallo, Ich entschuldige mich vorweg schonmal für evt unwissenheit bzw begrifsstuzigkeit, ich kenn mich leider nicht so super aus, finds aber super das es so ein forum giebt wo einem so toll geholfen wird ! Ich hab mir gestern beim surven einen virus eingefangen (nichts runtergeladen, geschweige den instaliert). Bekam dann einen meldung fon Avira Antivir: In der Datei 'C:\Documents and Settings\Chris\Local Settings\Temp\0.9170855417579328.exe' wurde ein Virus oder unerwünschtes Programm 'SPR/Tool.Obfuscator.FW.3' [riskware] gefunden. Ausgeführte Aktion: Datei löschen Doch auch nach dem Löschen funktionierte mein Fierfox und der Internet Explorer nicht mehr (Fehlermeldung beim starten) Danach hab ich Spybot, SUPERAntiSpyware durchlaufen lassen keine ergebnise DrWeb brachte einen fund, Malwarebytes-Anti-Malware zwei, danach funktionierte es wider. Jetzt nochmal GMER durchlaufen lassen der sagte das ein rootkit gefunden wurde, kenn mich alerdings mit dem programm nicht aus, hier mal der log: GMER 1.0.15.15087 - http://www.gmer.net Rootkit scan 2009-09-24 19:46:49 Windows 5.1.2600 Service Pack 3 Running: 9uvw5ukn.exe; Driver: C:\DOCUME~1\Chris\LOCALS~1\Temp\pxtdipow.sys ---- System - GMER 1.0.15 ---- SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwAllocateVirtualMemory [0xB06C9E60] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwAssignProcessToJobObject [0xB06CA5C0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwConnectPort [0xB06C8610] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwCreateFile [0xB06D70D0] SSDT B87026AE ZwCreateKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwCreatePort [0xB06C82C0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwCreateProcess [0xB06C5580] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwCreateProcessEx [0xB06C5960] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwCreateSection [0xB06C5060] SSDT B87026A4 ZwCreateThread SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwDebugActiveProcess [0xB06C75A0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwDeleteFile [0xB06D7B50] SSDT B87026B3 ZwDeleteKey SSDT B87026BD ZwDeleteValueKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwDuplicateObject [0xB06C7FE0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwEnumerateKey [0xB06D7070] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwEnumerateValueKey [0xB06D70A0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwLoadDriver [0xB06C95D0] SSDT B87026C2 ZwLoadKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwOpenFile [0xB06D7760] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwOpenKey [0xB06D5C20] SSDT B8702690 ZwOpenProcess SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwOpenSection [0xB06C5300] SSDT B8702695 ZwOpenThread SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwProtectVirtualMemory [0xB06CA250] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwQueryDirectoryFile [0xB06C9A10] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwQueryKey [0xB06D7010] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwQueryValueKey [0xB06D7040] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwQueueApcThread [0xB06CA740] SSDT B87026CC ZwReplaceKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwRequestWaitReplyPort [0xB06C9180] SSDT B87026C7 ZwRestoreKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwResumeThread [0xB06C7C90] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSaveKey [0xB06D6FF0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSecureConnectPort [0xB06C89D0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSetContextThread [0xB06C73C0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSetInformationFile [0xB06D7E10] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSetSystemInformation [0xB06C7720] SSDT B87026B8 ZwSetValueKey SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwShutdownSystem [0xB06C94D0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSuspendProcess [0xB06C7E40] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSuspendThread [0xB06C7AC0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwSystemDebugControl [0xB06C7900] SSDT \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys ZwTerminateProcess [0xB07280B0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwTerminateThread [0xB06C71A0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwUnloadDriver [0xB06C97F0] SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu) ZwWriteVirtualMemory [0xB06CA400] ---- Kernel code sections - GMER 1.0.15 ---- .text ntkrnlpa.exe!ZwCallbackReturn + 2C7C 80504518 12 Bytes [C0, 82, 6C, B0, 80, 55, 6C, ...] .text ntkrnlpa.exe!ZwCallbackReturn + 2FB8 80504854 12 Bytes [40, 7E, 6C, B0, C0, 7A, 6C, ...] ? C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys The system cannot find the file specified. ! ? C:\Program Files\SUPERAntiSpyware\SASENUM.SYS The system cannot find the file specified. ! ---- User code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\svchost.exe[180] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\csrss.exe[604] KERNEL32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\winlogon.exe[628] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\services.exe[672] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\lsass.exe[684] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE[824] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00C40001 .text C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE[824] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE[824] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE[824] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE[824] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\system32\nvsvc32.exe[884] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\Program Files\Logitech\SetPoint\SetPoint.exe[912] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00E10001 .text C:\Program Files\Logitech\SetPoint\SetPoint.exe[912] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\Program Files\Logitech\SetPoint\SetPoint.exe[912] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\Program Files\Logitech\SetPoint\SetPoint.exe[912] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\Program Files\Logitech\SetPoint\SetPoint.exe[912] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\system32\svchost.exe[916] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\svchost.exe[984] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\System32\svchost.exe[1080] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\Program Files\Google\Update\GoogleUpdate.exe[1124] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\svchost.exe[1188] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text ... .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00CD0001 .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] ole32.dll!CoCreateInstanceEx 77500526 6 Bytes JMP 5F130F5A .text C:\WINDOWS\SYSTEM32\CTXFISPI.EXE[1272] ole32.dll!CoCreateInstance 7750057E 6 Bytes JMP 5F100F5A .text C:\Program Files\Tall Emu\Online Armor\OAcat.exe[1356] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\spoolsv.exe[1608] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\Program Files\Creative\Shared Files\CTAudSvc.exe[1648] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\WINDOWS\system32\svchost.exe[1716] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text C:\Program Files\Avira\AntiVir Desktop\avguard.exe[1780] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 716F003D .text ... .text C:\WINDOWS\Explorer.EXE[2336] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00ED0001 .text C:\WINDOWS\Explorer.EXE[2336] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\Explorer.EXE[2336] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\Explorer.EXE[2336] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\Explorer.EXE[2336] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\Explorer.EXE[2336] iphlpapi.dll!IcmpSendEcho2 76D6B73C 6 Bytes JMP 5F100F5A .text C:\WINDOWS\system32\wscntfy.exe[2840] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00B30001 .text C:\WINDOWS\system32\wscntfy.exe[2840] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\system32\wscntfy.exe[2840] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\system32\wscntfy.exe[2840] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\wscntfy.exe[2840] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00E00001 .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] ole32.dll!CoCreateInstanceEx 77500526 6 Bytes JMP 5F130F5A .text C:\Program Files\Avira\AntiVir Desktop\avgnt.exe[3428] ole32.dll!CoCreateInstance 7750057E 6 Bytes JMP 5F100F5A .text C:\WINDOWS\system32\CTHELPER.EXE[3460] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 009C0001 .text C:\WINDOWS\system32\CTHELPER.EXE[3460] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\system32\CTHELPER.EXE[3460] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\system32\CTHELPER.EXE[3460] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\CTHELPER.EXE[3460] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\system32\CTHELPER.EXE[3460] ole32.dll!CoCreateInstanceEx 77500526 6 Bytes JMP 5F130F5A .text C:\WINDOWS\system32\CTHELPER.EXE[3460] ole32.dll!CoCreateInstance 7750057E 6 Bytes JMP 5F100F5A .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 009C0001 .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] ole32.dll!CoCreateInstanceEx 77500526 6 Bytes JMP 5F130F5A .text C:\WINDOWS\system32\CTXFIHLP.EXE[3496] ole32.dll!CoCreateInstance 7750057E 6 Bytes JMP 5F100F5A .text C:\WINDOWS\system32\RUNDLL32.EXE[3608] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00D30001 .text C:\WINDOWS\system32\RUNDLL32.EXE[3608] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\system32\RUNDLL32.EXE[3608] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\system32\RUNDLL32.EXE[3608] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\RUNDLL32.EXE[3608] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A .text C:\WINDOWS\system32\ctfmon.exe[3796] kernel32.dll!LoadLibraryExW + C4 7C801BB9 4 Bytes CALL 00C40001 .text C:\WINDOWS\system32\ctfmon.exe[3796] kernel32.dll!CreateProcessW 7C802336 6 Bytes JMP 5F0A0F5A .text C:\WINDOWS\system32\ctfmon.exe[3796] kernel32.dll!CreateProcessA 7C80236B 6 Bytes JMP 5F040F5A .text C:\WINDOWS\system32\ctfmon.exe[3796] kernel32.dll!FreeLibrary + 15 7C80AC93 4 Bytes CALL 7170003D .text C:\WINDOWS\system32\ctfmon.exe[3796] USER32.dll!ExitWindowsEx 7E45A275 6 Bytes JMP 5F0D0F5A |
| Themen zu 3 Vieren/Trojaner und evt Rootkid |
| .dll, antivir, avgnt.exe, avira, beim starten, c:\windows\system32\rundll32.exe, c:\windows\system32\services.exe, desktop, explorer, fehlermeldung, fehlermeldung beim starten, finds, google, helper, helper.exe, internet, internet explorer, log, logon.exe, online armor, port, programm, riskware, rootkit, rundll, scan, services.exe, starten, super, superantispyware, svchost.exe, system, temp, virus, virus eingefangen, winlogon.exe, zwopenkey |
Baum-Darstellung