Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Plagegeister aller Art und deren Bekämpfung: C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 08.04.2010, 10:01   #1
Edrahil
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Hallo,

ich bin Edrahil, zwar kein DAU, aber auch kein Profi und hoffe hier auf Hilfe

Der PC meiner Freundin macht Macken.

Erst mal die Daten: win XP Home SP3, immer aktuell. XP firewall hinter router, ccleaner läuft regelmäßig drüber, antivir 10 als virenschutz, ab und zu malwarebyte im full scan.


Eines vorweg: formatieren ist im moment noch nicht möglich

Hatte bereits letzte Woche Probleme, ausgelöst wahrscheinlich durch scareware (total PC defender oder so), dann dachte ich, die Platte oder sonst ein Bauteil hätte es zerlegt (bsod mit Fehlercode 0x0000024), kein booten mehr, auch nicht im abgesicherten modus, SPTD.sys hat rumgegeistert, habe einiges laufen lassen (Ultimate Boot CD mit Diagnose tools, F-Secure secure disc, mit knoppix daten gerettet, Windows Boot disc mit Wiederherstellungskonsole) und letztlich hat ein einfaches fixmbr oder fixboot alles wieder laufen lassen.

Hört sich ja fast zu einfach an. Vertrauen habe ich jedenfalls noch keinen in den PC.

Beim Surfen mit dem IE (einzig installierter browser) öffnet sich ab und zu ungefragt ein Werbefenster und, wie auch das topic schon sagt, meldet der scan mit GMER verdächtiges bei atapi.sys. (siehe log im anhang) Virtustotal sagt dazu: Ergebnis: 2/39 (5.13%) (log im Anhang)

Malwarebyte hat gestern, synchron mit AV, den Trojaner TR/trash.gen in einer exe gefunden --> gelöscht. Seitdem nichts mehr. (siehe log im Anhang)

alles ohne klare Linie, richtung.

Ideen/Vorschläge/Hinweise? Kann ich atapi.sys irgendwie ersetzen, sofern die datei denn wirklich gefährlich ist?

Schon mal vielen Dank

Gruß Edrahil

Anhang 6148

Anhang 6149

Anhang 6150

oder einfacher: virtus total ergebnislink hxxp://www.virustotal.com/de/analisis/b4df1d2c56a593c6b54de57395e3b51d288f547842893b32b0f59228a0cf70b9-1270714008
Geändert von Edrahil (08.04.2010 um 10:07 Uhr)

Alt 08.04.2010, 10:09   #2
Chris4You
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Hi,

TDSS-Killer
Download und Anweisung unter: http://www.trojaner-board.de/82358-t...tml#post640150
Entpacke alle Dateien!

Start.bat erstellen:
Start->alle Programme->Zubehör->Editor und kopiere folgenden Text rein:
Code:
ATTFilter
@ECHO OFF
TDSSKiller.exe -l report.txt -v
DEL %0
  • Speichern als: start.bat
  • abspeichern unter : Dateityp: alle Dateien
  • speichere die Datei im Ordner wo auch TDSSKiller.exe steht
  • Doppelklick start.bat
TDSSKiller.exe wird gestartet und ein Log erzeugen(report.txt).
Wenn TDSSKiller fertig ist poste den Inhalt der report.txt.

chris
__________________

__________________
Alt 08.04.2010, 10:14   #3
Edrahil
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


ok, danke, läuft, melde mich, wenn ich den log habe!

edit: Ups, schon startet er neu, hab wohl grade nicht aufgepasst!

Hoffe das macht nichts? Lass gleich nochmal laufen

edit2: Oh, hat wohl doch was gemacht. Die Desktopdarstellung ist total im Eimer, screen folgt vielleicht gleich
__________________
Alt 08.04.2010, 10:30   #4
Edrahil
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


ok, hier ist der fette schwarze Balken auf dem Desktop

(verschwomme symbole sind von mir)

-dsc01277.jpg


sieht nicht so gut, wie krieg ich den wieder weg?

edit: sry, lag am monitor, auto adjust knopf hats gerichtet

nun nochmal scan

Alt 08.04.2010, 10:37   #5
Edrahil
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


so, hier der killer log bevor ich den Neustart durchgeführt habe (mit dem monitorfehler danach)

Anhang 6152

edit: und der scan eben:

11:42:49:312 3756 TDSS rootkit removing tool 2.2.8.1 Mar 22 2010 10:43:04
11:42:49:312 3756 ================================================================================
11:42:49:312 3756 SystemInfo:

11:42:49:312 3756 OS Version: 5.1.2600 ServicePack: 3.0
11:42:49:312 3756 Product type: Workstation
11:42:49:312 3756 ComputerName: ANNIKA
11:42:49:312 3756 UserName: Calindra
11:42:49:312 3756 Windows directory: C:\WINDOWS
11:42:49:312 3756 Processor architecture: Intel x86
11:42:49:312 3756 Number of processors: 1
11:42:49:312 3756 Page size: 0x1000
11:42:49:312 3756 Boot type: Normal boot
11:42:49:312 3756 ================================================================================
11:42:49:312 3756 UnloadDriverW: NtUnloadDriver error 2
11:42:49:312 3756 ForceUnloadDriverW: UnloadDriverW(klmd21) error 2
11:42:49:375 3756 wfopen_ex: Trying to open file C:\WINDOWS\system32\config\system
11:42:49:375 3756 wfopen_ex: MyNtCreateFileW error 32 (C0000043)
11:42:49:375 3756 wfopen_ex: Trying to KLMD file open
11:42:49:375 3756 wfopen_ex: File opened ok (Flags 2)
11:42:49:375 3756 wfopen_ex: Trying to open file C:\WINDOWS\system32\config\software
11:42:49:375 3756 wfopen_ex: MyNtCreateFileW error 32 (C0000043)
11:42:49:375 3756 wfopen_ex: Trying to KLMD file open
11:42:49:375 3756 wfopen_ex: File opened ok (Flags 2)
11:42:49:375 3756 Initialize success
11:42:49:375 3756
11:42:49:375 3756 Scanning Services ...
11:42:50:015 3756 Raw services enum returned 372 services
11:42:50:031 3756
11:42:50:031 3756 Scanning Kernel memory ...
11:42:50:031 3756 Devices to scan: 3
11:42:50:031 3756
11:42:50:031 3756 Driver Name: Disk
11:42:50:031 3756 IRP_MJ_CREATE : F74CDBB0
11:42:50:031 3756 IRP_MJ_CREATE_NAMED_PIPE : 804FA88E
11:42:50:031 3756 IRP_MJ_CLOSE : F74CDBB0
11:42:50:031 3756 IRP_MJ_READ : F74C7D1F
11:42:50:031 3756 IRP_MJ_WRITE : F74C7D1F
11:42:50:031 3756 IRP_MJ_QUERY_INFORMATION : 804FA88E
11:42:50:031 3756 IRP_MJ_SET_INFORMATION : 804FA88E
11:42:50:031 3756 IRP_MJ_QUERY_EA : 804FA88E
11:42:50:031 3756 IRP_MJ_SET_EA : 804FA88E
11:42:50:031 3756 IRP_MJ_FLUSH_BUFFERS : F74C82E2
11:42:50:031 3756 IRP_MJ_QUERY_VOLUME_INFORMATION : 804FA88E
11:42:50:031 3756 IRP_MJ_SET_VOLUME_INFORMATION : 804FA88E
11:42:50:031 3756 IRP_MJ_DIRECTORY_CONTROL : 804FA88E
11:42:50:031 3756 IRP_MJ_FILE_SYSTEM_CONTROL : 804FA88E
11:42:50:031 3756 IRP_MJ_DEVICE_CONTROL : F74C83BB
11:42:50:031 3756 IRP_MJ_INTERNAL_DEVICE_CONTROL : F74CBF28
11:42:50:031 3756 IRP_MJ_SHUTDOWN : F74C82E2
11:42:50:031 3756 IRP_MJ_LOCK_CONTROL : 804FA88E
11:42:50:031 3756 IRP_MJ_CLEANUP : 804FA88E
11:42:50:031 3756 IRP_MJ_CREATE_MAILSLOT : 804FA88E
11:42:50:031 3756 IRP_MJ_QUERY_SECURITY : 804FA88E
11:42:50:031 3756 IRP_MJ_SET_SECURITY : 804FA88E
11:42:50:031 3756 IRP_MJ_POWER : F74C9C82
11:42:50:031 3756 IRP_MJ_SYSTEM_CONTROL : F74CE99E
11:42:50:031 3756 IRP_MJ_DEVICE_CHANGE : 804FA88E
11:42:50:031 3756 IRP_MJ_QUERY_QUOTA : 804FA88E
11:42:50:031 3756 IRP_MJ_SET_QUOTA : 804FA88E
11:42:50:093 3756 C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
11:42:50:093 3756
11:42:50:093 3756 Driver Name: Disk
11:42:50:093 3756 IRP_MJ_CREATE : F74CDBB0
11:42:50:093 3756 IRP_MJ_CREATE_NAMED_PIPE : 804FA88E
11:42:50:093 3756 IRP_MJ_CLOSE : F74CDBB0
11:42:50:093 3756 IRP_MJ_READ : F74C7D1F
11:42:50:093 3756 IRP_MJ_WRITE : F74C7D1F
11:42:50:093 3756 IRP_MJ_QUERY_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_EA : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_EA : 804FA88E
11:42:50:093 3756 IRP_MJ_FLUSH_BUFFERS : F74C82E2
11:42:50:093 3756 IRP_MJ_QUERY_VOLUME_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_VOLUME_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_DIRECTORY_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_FILE_SYSTEM_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_DEVICE_CONTROL : F74C83BB
11:42:50:093 3756 IRP_MJ_INTERNAL_DEVICE_CONTROL : F74CBF28
11:42:50:093 3756 IRP_MJ_SHUTDOWN : F74C82E2
11:42:50:093 3756 IRP_MJ_LOCK_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_CLEANUP : 804FA88E
11:42:50:093 3756 IRP_MJ_CREATE_MAILSLOT : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_SECURITY : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_SECURITY : 804FA88E
11:42:50:093 3756 IRP_MJ_POWER : F74C9C82
11:42:50:093 3756 IRP_MJ_SYSTEM_CONTROL : F74CE99E
11:42:50:093 3756 IRP_MJ_DEVICE_CHANGE : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_QUOTA : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_QUOTA : 804FA88E
11:42:50:093 3756 C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
11:42:50:093 3756
11:42:50:093 3756 Driver Name: atapi
11:42:50:093 3756 IRP_MJ_CREATE : F73E16F2
11:42:50:093 3756 IRP_MJ_CREATE_NAMED_PIPE : 804FA88E
11:42:50:093 3756 IRP_MJ_CLOSE : F73E16F2
11:42:50:093 3756 IRP_MJ_READ : 804FA88E
11:42:50:093 3756 IRP_MJ_WRITE : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_EA : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_EA : 804FA88E
11:42:50:093 3756 IRP_MJ_FLUSH_BUFFERS : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_VOLUME_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_VOLUME_INFORMATION : 804FA88E
11:42:50:093 3756 IRP_MJ_DIRECTORY_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_FILE_SYSTEM_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_DEVICE_CONTROL : F73E1712
11:42:50:093 3756 IRP_MJ_INTERNAL_DEVICE_CONTROL : F73DD852
11:42:50:093 3756 IRP_MJ_SHUTDOWN : 804FA88E
11:42:50:093 3756 IRP_MJ_LOCK_CONTROL : 804FA88E
11:42:50:093 3756 IRP_MJ_CLEANUP : 804FA88E
11:42:50:093 3756 IRP_MJ_CREATE_MAILSLOT : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_SECURITY : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_SECURITY : 804FA88E
11:42:50:093 3756 IRP_MJ_POWER : F73E173C
11:42:50:093 3756 IRP_MJ_SYSTEM_CONTROL : F73E8336
11:42:50:093 3756 IRP_MJ_DEVICE_CHANGE : 804FA88E
11:42:50:093 3756 IRP_MJ_QUERY_QUOTA : 804FA88E
11:42:50:093 3756 IRP_MJ_SET_QUOTA : 804FA88E
11:42:50:093 3756 C:\WINDOWS\system32\drivers\atapi.sys - Verdict: 1
11:42:50:093 3756
11:42:50:093 3756 Completed
11:42:50:093 3756
11:42:50:093 3756 Results:
11:42:50:093 3756 Memory objects infected / cured / cured on reboot: 0 / 0 / 0
11:42:50:093 3756 Registry objects infected / cured / cured on reboot: 0 / 0 / 0
11:42:50:093 3756 File objects infected / cured / cured on reboot: 0 / 0 / 0
11:42:50:093 3756
11:42:50:093 3756 fclose_ex: Trying to close file C:\WINDOWS\system32\config\system
11:42:50:093 3756 fclose_ex: Trying to close file C:\WINDOWS\system32\config\software
11:42:50:109 3756 KLMD(ARK) unloaded successfully


Alt 08.04.2010, 10:51   #6
Chris4You
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Hi,

hat er beim Ersten Scan was gefunden? Das gepostete Log ist i. O....

GMER noch mal laufen lassen und Dr. Web:

http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

chris
__________________
--> C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte

Alt 08.04.2010, 10:57   #7
Edrahil
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Ja, der erste scan hatte was gefunden und auch im anschließenden reboot bereinigt.

der gepostete log davon ging wohl unter.

hier ist er nochmal

Anhang 6153


die anderen scans erledige ich gleich.

nochmals danke!

Alt 08.04.2010, 11:16   #8
Chris4You
 
C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Standard

C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


Hi,

TDSS wurde gefunden und bereinigt, wenn die anderen Scanner nichts mehr melden sollte die Kiste jetzt sauber sein...

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Antwort

Themen zu C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte
antivir, booten, browser, defender, exe, fehlercode 0x0, firewall, formatieren, gefährlich, home, kein booten, log, nicht möglich, probleme, router, schutz, sp3, sptd.sys, surfen, system, system32, tr/trash.gen, trojaner, ultimate boot cd, virenschutz, werbefenster, win xp, windows, öffnet


« komische .scr Datei | TR/Agent.ruo.6 »


Ähnliche Themen: C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte


  1. C:\Windows\System32\Drivers\spxi.sys
    Plagegeister aller Art und deren Bekämpfung - 18.06.2012 (2)
  2. C:\Windows\System32\drivers\Wdf01000.sys - Trojaner?
    Plagegeister aller Art und deren Bekämpfung - 19.12.2011 (3)
  3. Rootkit C:\windows\system32\drivers\volmgr.sys
    Plagegeister aller Art und deren Bekämpfung - 01.02.2011 (8)
  4. Sophos AntiRootkit C:\Windows\System32\drivers\sptd.sys
    Plagegeister aller Art und deren Bekämpfung - 05.01.2011 (7)
  5. TR/Rootkit.Gen in C:\Windows\System32\drivers\ghldywj.sys
    Plagegeister aller Art und deren Bekämpfung - 25.12.2010 (9)
  6. Rootkit in C:\Windows\system32\drivers\afkw4fu9.sys ?
    Log-Analyse und Auswertung - 08.08.2010 (4)
  7. Datei aus windows/system32/drivers entfernen
    Plagegeister aller Art und deren Bekämpfung - 12.07.2010 (21)
  8. TR/Rootkin.gen in C:\Windows\System32\drivers\taunpo.sys
    Plagegeister aller Art und deren Bekämpfung - 17.06.2010 (11)
  9. TR/Rootkit.Gen in C:\WINDOWS\system32\drivers\herbh.sys
    Plagegeister aller Art und deren Bekämpfung - 01.06.2010 (16)
  10. TR/Rootkit.Gen in C:\Windows\System32\drivers\ezokdc.sys
    Plagegeister aller Art und deren Bekämpfung - 30.05.2010 (6)
  11. Datei C:\Windows\System32\drivers\mhpccj.sys
    Plagegeister aller Art und deren Bekämpfung - 28.05.2010 (19)
  12. virus in windows/system32/drivers und svchost.exe
    Plagegeister aller Art und deren Bekämpfung - 29.04.2010 (1)
  13. C:\WINDOWS\system32\drivers\**; befürchte Rootkit
    Plagegeister aller Art und deren Bekämpfung - 23.04.2010 (18)
  14. TR/Agent.ruo in C:\WINDOWS\system32\drivers\ntnvf.sys
    Plagegeister aller Art und deren Bekämpfung - 09.04.2010 (8)
  15. AVG findet Rootkit-Pakes.U in C:\WINDOWS\system32\drivers\atapi.sys
    Plagegeister aller Art und deren Bekämpfung - 05.11.2009 (10)
  16. TR/AntiHosts.Gen in C:\WINDOWS\system32\drivers\etc\hosts
    Plagegeister aller Art und deren Bekämpfung - 12.09.2009 (15)
  17. Hosts Datei in windows/system32/drivers
    Plagegeister aller Art und deren Bekämpfung - 19.09.2006 (3)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte - Hallo, ich bin Edrahil, zwar kein DAU, aber auch kein Profi und hoffe hier auf Hilfe Der PC meiner Freundin macht Macken. Erst mal die Daten: win XP Home SP3, - C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte...
Archiv
Du betrachtest: C:\WINDOWS\system32\drivers\atapi.sys verdächtig / Werbefenster / Vorgeschichte auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131