unbekannter Virus blockiert Anti Spy Software und Systemwiederherstellung von Windows

Dex520 · 03.01.2010, 20:23

Hallo zusammen,

ich habe nun schon mehrere Tage das Internet durchsucht, bin aber leider kein bisschen schlauer geworden, jetzt brauche ich die Hilfe von Profis.

Mein Problem, seid einigen Tagen funktioniert bei mir Avira und Spybot nicht mehr, die Programme lassen sich einfach nicht mehr öffnen. Daraufhin habe ich einen Virus vermutet. Jetzt habe ich meine Festplatte von Kaspersky Online untersuchen lassen, jedoch wird hier nichts gemeldet. Es muss aber ein Virus drauf sein. Der Rechner bleibt auch gelegentlich beim Startbild von Windows "hängen". Die Systemwiederherstellung von Windows lasst sich auch nicht mehr aktivierten. Wenn ich auf einen Wiederherstellungs-Zeitpunkt vor dem Befall klicke und danach auf weiter, passiert nichts. Das Programm Anti-Malware lässt sich ebenfalls nicht starten, deshalb bin ich mit der Anleitung hier im Forum leider auch nicht weiter gekommen.

Jetzt habe ich ein log-file mit HijackThis erstellt und hoffe, dass ihr mir helfen könnt. Danke euch im voraus!!!

Grüße,

Dex520

Hier das File:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 19:53:23, on 03.01.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\avmwlanstick\WlanNetService.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\avmwlanstick\wlangui.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Spyware Terminator\SpywareTerminatorUpdate.exe
C:\Programme\Dassault Systemes\B16\intel_a\code\bin\CATSysDemon.exe
C:\ABAQUS\License\lmgrd.exe
C:\WINDOWS\SYSTEM32\GEARSEC.EXE
C:\ABAQUS\License\lmgrd.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\ABAQUS\License\ABAQUSLM.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\msiexec.exe
C:\Programme\HJT\TrendMicro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybo\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Programme\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programme\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [SpywareTerminatorUpdate] "C:\Programme\Spyware Terminator\SpywareTerminatorUpdate.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybo\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybo\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybo\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe
O23 - Service: Backbone Service (BBDemon) - Dassault Systemes - C:\Programme\Dassault Systemes\B16\intel_a\code\bin\CATSysDemon.exe
O23 - Service: Flexlm Service 1 - Macrovision Corporation - C:\ABAQUS\License\lmgrd.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\SYSTEM32\GEARSEC.EXE
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programme\Spyware Terminator\sp_rsser.exe

--
End of file - 8233 bytes

Chris4You · 03.01.2010, 20:25

Hi,

Gmer:
http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html
Den Downloadlink findest Du links oben (http://www.gmer.net/#files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

Dex520 · 04.01.2010, 00:12

Hi Chris,

danke für den tipp und deine schnelle Antwort. Das Programm hat tatsächlich was gefunden:

Code:

ATTFilter

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-01-04 00:04:24
Windows 5.1.2600 Service Pack 2
Running: pl61d09x.exe; Driver: C:\DOKUME~1\XXXX\LOKALE~1\Temp\pgtdrpog.sys


---- System - GMER 1.0.15 ----

Code     863D8B80                                                           ZwEnumerateKey
Code     863D3E98                                                           ZwFlushInstructionCache
Code     863D8BB6                                                           IofCallDriver
Code     8674F246                                                           IofCompleteRequest

---- Services - GMER 1.0.15 ----

Service  C:\WINDOWS\system32\drivers\H8SRTooeiriqlak.sys (*** hidden *** )  [SYSTEM] H8SRTd.sys       <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

Wie bekomme ich dieses Ding denn von meiner Platte runter?

Danke dir für deine Hilfe!

Grüße,

Dex520

Chris4You · 04.01.2010, 10:18

Hi,

bitte ein vollständigen Rootkitscann mit GMER durchführen, damit ich die Files habe! Einstweilen versuchen wir den Rootkittreiber zu stoppen:

Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:

ATTFilter

Drivers to delete:
H8SRTd.sys

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Starte danach sofort MAM und lass es laufen...

chris

Dex520 · 04.01.2010, 13:00

Hallo Chris,

es hat funktioniert, die Virensoftware etc. lässt sich wieder öffnen.

hier der log von avenger

Code:

ATTFilter

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "H8SRTd.sys" found!
ImagePath:  \systemroot\system32\drivers\H8SRTooeiriqlak.sys 
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "H8SRTd.sys" deleted successfully.

Completed script processing.

*******************

danach habe ich gleich MAM drüber laufen lassen, hier das Log File

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.43
Datenbank Version: 3491
Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

04.01.2010 12:01:37
mbam-log-2010-01-04 (12-01-32).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 214555
Laufzeit: 1 hour(s), 9 minute(s), 31 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 8

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\H8SRT (Rootkit.TDSS) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\malware Defense (Rogue.MalwareDefense) -> No action taken.

Infizierte Dateien:
C:\System Volume Information\_restore{BCE521A3-5A72-4E1C-A785-8F489A08DA66}\RP232\A0123429.exe (Trojan.Banker) -> No action taken.
C:\WINDOWS\system32\H8SRTwoblovngsl.dll (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\drivers\H8SRTooeiriqlak.sys (Malware.Packer) -> No action taken.
C:\WINDOWS\system32\krl32mainweq.dll (Trojan.DNSChanger) -> No action taken.
C:\WINDOWS\system32\H8SRTeexnosysib.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTswwosrtlwf.dll (Rootkit.TDSS) -> No action taken.
C:\WINDOWS\system32\H8SRTnyvpabrhgp.dat (Rootkit.TDSS) -> No action taken.
C:\Dokumente und Einstellungen\AlexD\Lokale Einstellungen\Temp\H8SRT92e4.tmp (Rootkit.TDSS) -> No action taken.

Ich habe noch nichts unternommen, ohne deinen Rat. Darf ich die Dateien einfach löschen?

Bei den Scan mit GMER kommt es mir so vor, dass der PC extrem langsam wird, ist das normal?

Vielen Dank für deine Hilfe!

Grüße,

Dex520

Chris4You · 04.01.2010, 16:26

Hi,

lass die Dateien sofort löschen, das sind die vom Rootkit, Avenger hat es tatsächlich "ausgeknippst"... Daher sofort MAM updaten, Fullscann und alles bereinigen lassen...

chris

Dex520 · 05.01.2010, 12:08

Hallo Chris,

also MAM hat alle Dateien erfolgreich entfernt. Vielen Dank für deine Unterstützung, ohne dich hätte ich das nicht geschafft!

Grüße,

Dex520

Chris4You · 05.01.2010, 18:25

Hi,

auch dort ein TrojanBanker in der Systemwiederherstellung....
Hmm, seltsam...
Auf jeden Fall solltest Du sofort alle Passwörter ändern und ggf. Neuaufsetzen...

Systemwiederherstellung löschen
BSI-Faltblattt (https://www.bsi.bund.de/cln_134/ContentBSI/Publikationen/Faltblaetter/F24VirenundCo.html) und dort unter Viren entfernen
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

Poste noch mal ein GMER-Log...

chris

Dex520 · 07.01.2010, 13:01

Hallo Chris,

ich habe nochmals GMER drüber laufen lassen. Hier das Log:

Code:

ATTFilter

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-01-07 12:52:49
Windows 5.1.2600 Service Pack 2
Running: pl61d09x.exe; Driver: C:\DOKUME~1\XXXX\LOKALE~1\Temp\pgtdrpog.sys


---- System - GMER 1.0.15 ----

SSDT  F7D1338E                                                                                         ZwCreateKey
SSDT  F7D13384                                                                                         ZwCreateThread
SSDT  F7D13393                                                                                         ZwDeleteKey
SSDT  F7D1339D                                                                                         ZwDeleteValueKey
SSDT  F7D133A2                                                                                         ZwLoadKey
SSDT  F7D13370                                                                                         ZwOpenProcess
SSDT  F7D13375                                                                                         ZwOpenThread
SSDT  F7D133AC                                                                                         ZwReplaceKey
SSDT  F7D133A7                                                                                         ZwRestoreKey
SSDT  F7D13398                                                                                         ZwSetValueKey
SSDT  F7D1337F                                                                                         ZwTerminateProcess

---- Registry - GMER 1.0.15 ----

Reg   HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd106fbf                      
Reg   HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd106fbf@001a89025b8a         0x40 0x72 0x0B 0xFB ...
Reg   HKLM\SYSTEM\ControlSet002\Services\BTHPORT\Parameters\Keys\0009dd106fbf (not active ControlSet)  
Reg   HKLM\SYSTEM\ControlSet002\Services\BTHPORT\Parameters\Keys\0009dd106fbf@001a89025b8a             0x40 0x72 0x0B 0xFB ...

---- EOF - GMER 1.0.15 ----

Sind die Viren bzw. Trojaner jetzt runter? MAM findet nun nichts mehr.

Danke dir!

Gruß Dex520

Chris4You · 07.01.2010, 13:42

Hi,

das sieht gut aus, bitte noch Avira:

Stelle Avira wie folgt ein: http://www.trojaner-board.de/54192-anleitung-avira-antivir-agressive-einstellungen.html
Führe einen Systemscan durch und poste das Ergebnis!

chris

Dex520 · 07.01.2010, 17:56

Hallo Chris,

ich habe jetzt nochmal avira mit seinen Einstellungen laufen lassen. Hier das Log File:

Code:

ATTFilter

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 7. Januar 2010  14:56

Es wird nach 1501318 Virenstämmen gesucht.

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 2)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : XXXX

Versionsinformationen:
BUILD.DAT      : 9.0.0.418     21723 Bytes  02.12.2009 16:23:00
AVSCAN.EXE     : 9.0.3.10     466689 Bytes  13.10.2009 10:26:28
AVSCAN.DLL     : 9.0.3.0       49409 Bytes  13.02.2009 11:04:10
LUKE.DLL       : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0       13569 Bytes  26.01.2009 09:41:59
VBASE000.VDF   : 7.10.0.0   19875328 Bytes  06.11.2009 06:35:52
VBASE001.VDF   : 7.10.1.0    1372672 Bytes  19.11.2009 09:54:30
VBASE002.VDF   : 7.10.1.1       2048 Bytes  19.11.2009 09:54:30
VBASE003.VDF   : 7.10.1.2       2048 Bytes  19.11.2009 09:54:31
VBASE004.VDF   : 7.10.1.3       2048 Bytes  19.11.2009 09:54:31
VBASE005.VDF   : 7.10.1.4       2048 Bytes  19.11.2009 09:54:31
VBASE006.VDF   : 7.10.1.5       2048 Bytes  19.11.2009 09:54:31
VBASE007.VDF   : 7.10.1.6       2048 Bytes  19.11.2009 09:54:31
VBASE008.VDF   : 7.10.1.7       2048 Bytes  19.11.2009 09:54:31
VBASE009.VDF   : 7.10.1.8       2048 Bytes  19.11.2009 09:54:31
VBASE010.VDF   : 7.10.1.9       2048 Bytes  19.11.2009 09:54:31
VBASE011.VDF   : 7.10.1.10      2048 Bytes  19.11.2009 09:54:31
VBASE012.VDF   : 7.10.1.11      2048 Bytes  19.11.2009 09:54:31
VBASE013.VDF   : 7.10.1.79    209920 Bytes  25.11.2009 09:54:32
VBASE014.VDF   : 7.10.1.128    197632 Bytes  30.11.2009 09:54:32
VBASE015.VDF   : 7.10.1.178    195584 Bytes  07.12.2009 09:54:33
VBASE016.VDF   : 7.10.1.224    183296 Bytes  14.12.2009 09:54:34
VBASE017.VDF   : 7.10.1.247    182272 Bytes  15.12.2009 09:54:34
VBASE018.VDF   : 7.10.2.30    198144 Bytes  21.12.2009 09:54:35
VBASE019.VDF   : 7.10.2.63    187392 Bytes  24.12.2009 09:54:36
VBASE020.VDF   : 7.10.2.93    195072 Bytes  29.12.2009 09:54:36
VBASE021.VDF   : 7.10.2.94      2048 Bytes  29.12.2009 09:54:36
VBASE022.VDF   : 7.10.2.95      2048 Bytes  29.12.2009 09:54:37
VBASE023.VDF   : 7.10.2.96      2048 Bytes  29.12.2009 09:54:37
VBASE024.VDF   : 7.10.2.97      2048 Bytes  29.12.2009 09:54:37
VBASE025.VDF   : 7.10.2.98      2048 Bytes  29.12.2009 09:54:37
VBASE026.VDF   : 7.10.2.99      2048 Bytes  29.12.2009 09:54:37
VBASE027.VDF   : 7.10.2.100      2048 Bytes  29.12.2009 09:54:37
VBASE028.VDF   : 7.10.2.101      2048 Bytes  29.12.2009 09:54:37
VBASE029.VDF   : 7.10.2.102      2048 Bytes  29.12.2009 09:54:37
VBASE030.VDF   : 7.10.2.103      2048 Bytes  29.12.2009 09:54:37
VBASE031.VDF   : 7.10.2.126    197120 Bytes  05.01.2010 11:04:31
Engineversion  : 8.2.1.130
AEVDF.DLL      : 8.1.1.2      106867 Bytes  08.11.2009 06:38:52
AESCRIPT.DLL   : 8.1.3.7      594296 Bytes  06.01.2010 11:04:37
AESCN.DLL      : 8.1.3.0      127348 Bytes  04.01.2010 09:54:44
AESBX.DLL      : 8.1.1.1      246132 Bytes  08.11.2009 06:38:44
AERDL.DLL      : 8.1.3.4      479605 Bytes  04.01.2010 09:54:44
AEPACK.DLL     : 8.2.0.4      422263 Bytes  06.01.2010 11:04:37
AEOFFICE.DLL   : 8.1.0.38     196987 Bytes  08.11.2009 06:38:38
AEHEUR.DLL     : 8.1.0.192   2195833 Bytes  06.01.2010 11:04:36
AEHELP.DLL     : 8.1.9.0      237943 Bytes  04.01.2010 09:54:40
AEGEN.DLL      : 8.1.1.83     369014 Bytes  06.01.2010 11:04:32
AEEMU.DLL      : 8.1.1.0      393587 Bytes  08.11.2009 06:38:26
AECORE.DLL     : 8.1.9.1      180598 Bytes  04.01.2010 09:54:38
AEBB.DLL       : 8.1.0.3       53618 Bytes  08.11.2009 06:38:20
AVWINLL.DLL    : 9.0.0.3       18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL     : 9.0.3.0       44289 Bytes  26.08.2009 14:13:59
AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 13:34:28
AVREG.DLL      : 9.0.0.0       36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL     : 9.0.0.3      292609 Bytes  24.03.2009 14:05:37
AVEVTLOG.DLL   : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0       11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.25    2438913 Bytes  15.05.2009 14:35:17
RCTEXT.DLL     : 9.0.73.0      87297 Bytes  13.10.2009 11:19:29

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, 
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Donnerstag, 7. Januar 2010  14:56

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '38323' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OpWareSE4.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LAUNCH~1.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOUNDMAN.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLanGUI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'atiptaxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ABAQUSLM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lmgrd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GEARSEC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lmgrd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CATSysDemon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLanNetService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'aawservice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '48' Prozesse mit '48' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '59' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <WinXP>
C:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
    [HINWEIS]   Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]   Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
Beginne mit der Suche in 'D:\' <Daten>


Ende des Suchlaufs: Donnerstag, 7. Januar 2010  15:55
Benötigte Zeit: 59:02 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

   7667 Verzeichnisse wurden überprüft
 442211 Dateien wurden geprüft
      0 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      1 Dateien konnten nicht durchsucht werden
 442210 Dateien ohne Befall
   7178 Archive wurden durchsucht
      1 Warnungen
      1 Hinweise
  38323 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

Ist mein PC nun wieder clean?

Gruß Dex520

Chris4You · 07.01.2010, 19:19

Hi,

soweit ichs erkennen kann, ja...

Weist Du noch was du gemacht hast, als der Rechner das spinnen anfing (auf welcher Internetseite warst Du? Bitte als pm)...

chris

unbekannter Virus blockiert Anti Spy Software und Systemwiederherstellung von Windows

Log-Analyse und Auswertung: unbekannter Virus blockiert Anti Spy Software und Systemwiederherstellung von Windows