WinXP Trojaner befall, Bluescreen beim Booten im Normalen, sowie abgesicherten Modus

Remora · 03.11.2009, 08:33

Hallo Zusammen,

In der hoffnung hier geholfen zu werden komme ich gleich zur Sache. Der Thread wird wohl etwas länger und es ist ein weiter weg an die Zeichengrenze

Vor ein Paar Tagen verweigerte meine Betriebssystem den Dienst in Form einen blauen Bildschirms als ich mit dem Klick auf einen Torrent Link meinen Filesharer öffnete.

Fehlermeldung:
IRQL_NOT_LESS_OR_EQUAL

Stop: 0x0000000A (0x00000000, 0x0000001c, 0x00000001, 0x804E1BF8)

Beim sofort einsetzenden Neustart dasselbe Ergebniss kurz nach Auftauchen des XP Bootlogos und den versuch im abgesicherten Modus zu starten Beantwortete der recner mit einem Schwarzen Bildschirm nach dem POSTauf den auch ein direkter Neustart folgte. Letzte funktionierende Konfiguration blieb wirkungslos und der Rechner daraufhin 2 Tage aus.

Nachforschung ergab Symptome eines Treiber- oder Hardwarkonfliktes der am Frontsidebus beteiligten Bauteile
(Qelle: h**p://support.microsoft.com/kb/314063/de

Als ich mich wieder mit dem Rechner beschäftigen konnte Probierte ich das System über die Windows CD zu reparieren, aber keins meiner beiden Laufwerke nahm sie an... also blieb mir nix anderes als die liste der Systemstart Alternativen durchzugehen und siehe da im sogenannten Debugmodus fährt der Rechner Problemlos hoch... habe ihn bis dahin nicht ausprobiert weil ich der meinung war und bin gelesen zu haben das der nur zur Behebung von Client<->Server Probleme sein soll um über eine serielle Schnittstelle Debuginformationen zu Sammeln.

Zurück zum Desktop... einen Sauberen Neustart sowie 2 Systemwiederherstellungspunkte ausprobiert und die Systemdateien mit sfc /scanow gescannt und ersetzt... erfolglos im normalen wie im abgesicherten Modus kein erfolgreicher Boot... Hardware durchgecheckt (Speicherbelastungstest, Steckverbidungen, etc.) das gleiche Spiel.

Als ich anfing das System zu entrümpeln um die Sicherung der Daten vorzubereiten meldete der AV Guard den Fund eines
TR/Dldr.Agent.691586 [trojan] In der Datei 'C:\Dokumente und Einstellungen\S***r\Lokale Einstellungen\Temp\service.tmp -> Quanrantäne

1 min Später:
TR/PCK.Tdss.Z.3376' [trojan]In der Datei C:\Dokumente und Einstellungen\S***r\Lokale Einstellungen\Temp\spool.tmp -> Quarantäne

Beim Durchlaufen von Spybot SD dann diesen dreimal vom AV Guard
TR/PCK.Tdss.Z.3391 In der Datei C:\WINDOWS\Temp\15.tmp-> zugriff verweigert

Ich lies dann nachdem ich auf der Avira seite keine informationen zu den eindringlingen finden konnte den Filewalker garnicht mehr drüberlaufe lassen
sondern lieber damit angefangen das System auf eure Analyse vorzubereitet.

Crapcleaner durchgelaufen ...Logfile kam wohl keins raus ...wenn nicht steckts bestimmt noch drinn aber ich wüsste nicht wo

Bei der anschliessenden Prüfung von mbam Förderte der Av Guard wieder 3x den selben wie oben bereits aufgeführt zu Tage
TR/PCK.Tdss.Z.3391 In der Datei C:\WINDOWS\Temp\15.tmp-> zugriff verweigert
und einmal den hier zum ersten mal nicht in einem tmp Ordner:
TR/PCK.Tdss.Z.3376 In der Datei C:\WINDOWS\system32\spool\prtprocs\w32x86\14.tmp-> zugriff verweigert

Malwarebytes Log:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3090
Windows 5.1.2600 Service Pack 3

03.11.2009 06:05:23
mbam-log-2009-11-03 (06-05-23).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 203808
Laufzeit: 49 minute(s), 15 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1d4db7d2-6ec9-47a3-bd87-1e41684e07bb} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{497dddb6-6eee-4561-9621-b77dc82c1f84} (Rogue.Ascentive) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{4e980492-027b-47f1-a7ab-ab086dacbb9e} (Rogue.Ascentive) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{5ead8321-fcbb-4c3f-888c-ac373d366c3f} (Rogue.Ascentive) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{31f3cf6e-a71a-4daa-852b-39ac230940b4} (Rogue.Ascentive) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\WINDOWS\system32\SysRestore.dll (Rogue.Ascentive) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\SysRestore.dll (Rogue.Ascentive) -> Quarantined and deleted successfully.

WinXP Trojaner befall, Bluescreen beim Booten im Normalen, sowie abgesicherten Modus

Plagegeister aller Art und deren Bekämpfung: WinXP Trojaner befall, Bluescreen beim Booten im Normalen, sowie abgesicherten Modus

WinXP Trojaner befall, Bluescreen beim Booten im Normalen, sowie abgesicherten Modus

Ähnliche Themen: WinXP Trojaner befall, Bluescreen beim Booten im Normalen, sowie abgesicherten Modus