| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: DigitallProtection + Rootkit PragmaWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
27.04.2010, 22:08
| #1 |
 |  DigitallProtection + Rootkit Pragma Guten Abend, Ich habe folgendes Problem: Meine Arbeitskollegin hat mir ihren privaten Laptop anvertraut in der Hoffnung das ich ihr bei hrem Problem helfen kann. Der Laptop wird soweit mir bekannt ist ausschießlich privat genutzt. Der Laptop hatte eine Infktion mit Digital Protection, die ich soweit ich das beurteilen kann mit der Anleitung auf Trojaner Board vollständig entfernen konnte. Danach kam die "gelbe Pest" runter (Norten Antivirus 2009) ersetzt durch Antivir. Aber leider ist noch das liebe Rootkit unterwechs \systemroot\PRAGMArxuwfdbwtr\PRAGMAd.sys (*** hidden *** ), welches ich leider einfach nicht klein bekomme. Antivir Log : Code:
ATTFilter
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 27. April 2010 21:23
Es wird nach 2048245 Virenstämmen gesucht.
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : 2001WLMI
Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 12:37:36
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 11:42:18
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 18:33:00
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 11:59:48
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 09:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 19:27:50
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 17:37:44
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 16:37:44
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 11:29:04
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 20:11:32
VBASE006.VDF : 7.10.6.83 2048 Bytes 15.04.2010 20:11:32
VBASE007.VDF : 7.10.6.84 2048 Bytes 15.04.2010 20:11:32
VBASE008.VDF : 7.10.6.85 2048 Bytes 15.04.2010 20:11:32
VBASE009.VDF : 7.10.6.86 2048 Bytes 15.04.2010 20:11:32
VBASE010.VDF : 7.10.6.87 2048 Bytes 15.04.2010 20:11:32
VBASE011.VDF : 7.10.6.88 2048 Bytes 15.04.2010 20:11:32
VBASE012.VDF : 7.10.6.89 2048 Bytes 15.04.2010 20:11:32
VBASE013.VDF : 7.10.6.90 2048 Bytes 15.04.2010 20:11:32
VBASE014.VDF : 7.10.6.123 126464 Bytes 19.04.2010 20:11:32
VBASE015.VDF : 7.10.6.152 123392 Bytes 21.04.2010 20:11:32
VBASE016.VDF : 7.10.6.178 122880 Bytes 22.04.2010 20:11:32
VBASE017.VDF : 7.10.6.206 120320 Bytes 26.04.2010 20:11:34
VBASE018.VDF : 7.10.6.207 2048 Bytes 26.04.2010 20:11:34
VBASE019.VDF : 7.10.6.208 2048 Bytes 26.04.2010 20:11:34
VBASE020.VDF : 7.10.6.209 2048 Bytes 26.04.2010 20:11:34
VBASE021.VDF : 7.10.6.210 2048 Bytes 26.04.2010 20:11:34
VBASE022.VDF : 7.10.6.211 2048 Bytes 26.04.2010 20:11:34
VBASE023.VDF : 7.10.6.212 2048 Bytes 26.04.2010 20:11:34
VBASE024.VDF : 7.10.6.213 2048 Bytes 26.04.2010 20:11:34
VBASE025.VDF : 7.10.6.214 2048 Bytes 26.04.2010 20:11:34
VBASE026.VDF : 7.10.6.215 2048 Bytes 26.04.2010 20:11:34
VBASE027.VDF : 7.10.6.216 2048 Bytes 26.04.2010 20:11:34
VBASE028.VDF : 7.10.6.217 2048 Bytes 26.04.2010 20:11:34
VBASE029.VDF : 7.10.6.218 2048 Bytes 26.04.2010 20:11:34
VBASE030.VDF : 7.10.6.219 2048 Bytes 26.04.2010 20:11:34
VBASE031.VDF : 7.10.6.227 91136 Bytes 27.04.2010 20:11:34
Engineversion : 8.2.1.224
AEVDF.DLL : 8.1.2.0 106868 Bytes 27.04.2010 20:11:38
AESCRIPT.DLL : 8.1.3.27 1294714 Bytes 27.04.2010 20:11:38
AESCN.DLL : 8.1.5.0 127347 Bytes 25.02.2010 18:38:42
AESBX.DLL : 8.1.3.1 254324 Bytes 27.04.2010 20:11:38
AERDL.DLL : 8.1.4.6 541043 Bytes 27.04.2010 20:11:38
AEPACK.DLL : 8.2.1.1 426358 Bytes 19.03.2010 12:34:52
AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17.03.2010 11:09:48
AEHEUR.DLL : 8.1.1.24 2613623 Bytes 27.04.2010 20:11:38
AEHELP.DLL : 8.1.11.3 242039 Bytes 01.04.2010 16:05:26
AEGEN.DLL : 8.1.3.7 373106 Bytes 27.04.2010 20:11:36
AEEMU.DLL : 8.1.2.0 393588 Bytes 27.04.2010 20:11:36
AECORE.DLL : 8.1.13.1 188790 Bytes 01.04.2010 16:05:26
AEBB.DLL : 8.1.1.0 53618 Bytes 27.04.2010 20:11:34
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 11:59:12
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 11:59:08
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 16:47:42
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 12:35:46
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 12:39:50
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 12:22:12
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 09:53:26
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 12:57:54
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 15:38:56
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 14:40:56
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 13:10:10
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 14:14:30
Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,
Beginn des Suchlaufs: Dienstag, 27. April 2010 21:23
Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PRAGMAd.sys\modules
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PRAGMAd.sys\start
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PRAGMAd.sys\type
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PRAGMAd.sys\group
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PRAGMAd.sys\group
\systemroot\system32\drivers\PRAGMAvmqjwtpowp.sys
C:\WINDOWS\system32\drivers\PRAGMAvmqjwtpowp.sys
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
\systemroot\system32\drivers\PRAGMAvmqjwtpowp.sys
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\PRAGMAd.sys\modules
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\PRAGMAd.sys\start
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet002\Services\PRAGMAd.sys\type
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
SynTPLpr.exe
[HINWEIS] Der Prozess ist nicht sichtbar.
Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'AvmObex.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'wlangui.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'AvmObex.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'bluefritz.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'CPLCL32.EXE' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'shwicon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCMService.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPLpr.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'AGRSMMSG.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOUNDMAN.EXE' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'atiptaxx.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'SLEE81.exe' - '6' Modul(e) wurden durchsucht
Durchsuche Prozess 'SeaPort.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '78' Modul(e) wurden durchsucht
Durchsuche Prozess 'AvmObexService.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'WlanNetService.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'panapp.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'avmbtservice.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '113' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '157' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '74' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '16' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '509' Dateien ).
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\' <ACER>
Beginne mit der Suche in 'D:\' <ACERDATA>
Ende des Suchlaufs: Dienstag, 27. April 2010 22:04
Benötigte Zeit: 40:27 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
6554 Verzeichnisse wurden überprüft
252500 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
252500 Dateien ohne Befall
6286 Archive wurden durchsucht
0 Warnungen
0 Hinweise
283507 Objekte wurden beim Rootkitscan durchsucht
11 Versteckte Objekte wurden gefunden
Der Laptop hatte noch vor kurzer Zeit Opera drauf das aber leider durch die Infektion vollkommen unbrauchbar wurde. Nun ist Frefox drauf. Der Laptop verhällt sich ruhig macht keine Zicken und läuft flüssig. MBAM läuft grad und wird nachgereicht. Kann man bei SUPERAntiSpyware ein Log erstellen....? Vielen Dank für die Mühen schon mal im vorraus. Mfg Geändert von Jimi00 (27.04.2010 um 22:14 Uhr) |
|
28.04.2010, 11:27
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | DigitallProtection + Rootkit Pragma Hallo,
__________________probiers mal so: 1.) Lade Dir von hier Avenger: Swandog46's Public Anti-Malware Tools (Download, linksseitig) 2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:  3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld: Code:
ATTFilter files to delete:
c:\windows\system32\drivers\PRAGMAd.sys
c:\windows\system32\PRAGMAd.sys
drivers to delete:
PRAGMArxuwfdbwtr
PRAGMAd.sys
PRAGMAd
5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein. 6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso. 7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier. 8.) Die Datei c:\avenger\backup.zip bei file-upload.net hochladen und hier verlinken 9.) Neues Log mit GMER und auch OSAM erstellen + posten
__________________ |
|
| Themen zu DigitallProtection + Rootkit Pragma |
| .dll, 0 bytes, acer, antivirus, antivirus 2009, avg, controlset002, desktop, dllhost.exe, entfernen, explorer.exe, jusched.exe, log, lsass.exe, nt.dll, opera, problem, programm, programme, prozess, prozesse, registry, rootkit, sched.exe, seaport.exe, services.exe, suchlauf, superantispyware, svchost.exe, trojaner, trojaner board, versteckte objekte, verweise, virus gefunden, vollständig entfernen, windows, winlogon.exe |
Linear-Darstellung
