| |
| |||||||
Log-Analyse und Auswertung: sdra64.exe ++Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
28.04.2010, 20:33
| #1 |
 |  sdra64.exe ++ Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 21:26:37, on 29.4.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\svchost.exe C:\WZShutdown\P_zero.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\D-Link\AirPlus G DWL-G510\AirGCFG.exe C:\WINDOWS\ATKKBService.exe C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe C:\Programme\Bonjour\mDNSResponder.exe C:\Programme\Spybot - Search & Destroy\TeaTimer.exe C:\Programme\Java\jre6\bin\jqs.exe C:\WINDOWS\system32\PnkBstrA.exe C:\WINDOWS\system32\PnkBstrB.exe C:\Programme\Sandboxie\SbieSvc.exe C:\WINDOWS\system32\wdfmgr.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\wscntfy.exe C:\DOKUME~1\TISCHL~1\LOKALE~1\Temp\smss.exe C:\Programme\Trend Micro\HijackThis\HijackThis.exe C:\Programme\Opera\Opera.exe C:\WINDOWS\Fdotoa.exe C:\Programme\Spybot - Search & Destroy\SpybotSD.exe C:\WINDOWS\system32\wbem\wmiprvse.exe F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe, O2 - BHO: C:\WINDOWS\system32\ep8h80ikt.dll - {A2BA40A0-74F1-52BD-F411-00B15A2C8953} - C:\WINDOWS\system32\ep8h80ikt.dll O4 - HKLM\..\Run: [WZShutdown] C:\WZShutdown\P_zero.exe -hide O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup O4 - HKLM\..\Run: [D-Link AirPlus G DWL-G510] C:\Programme\D-Link\AirPlus G DWL-G510\AirGCFG.exe O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-21-790525478-1580436667-839522115-1003\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Besitzer') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O22 - SharedTaskScheduler: kjsfi8sjefiuoshiefyhiusdhfdf - {A2BA40A0-74F1-52BD-F411-00B15A2C8953} - C:\WINDOWS\system32\ep8h80ikt.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe O23 - Service: Sandboxie Service (SbieSvc) - tzuk - C:\Programme\Sandboxie\SbieSvc.exe -- End of file - 4334 bytes FLr hat sich in den autostart gesetzt, scheint wohl ein Backdoor-trojaner zu sein |
|
28.04.2010, 20:51
| #2 |
  | sdra64.exe ++ Hi,
__________________bevor ich mich verkünstele: Malwarebytes Antimalware (MAM) Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen: http://filepony.de/download-chameleon/ Danach bitte update der Signaturdateien (Reiter "Update" -> Suche nach Aktualisierungen") Fullscan und alles bereinigen lassen! Log posten. OTL Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop
chris Für mich: O22 - SharedTaskScheduler: kjsfi8sjefiuoshiefyhiusdhfdf - {A2BA40A0-74F1-52BD-F411-00B15A2C8953} - C:\WINDOWS\system32\ep8h80ikt.dll F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe, O2 - BHO: C:\WINDOWS\system32\ep8h80ikt.dll - {A2BA40A0-74F1-52BD-F411-00B15A2C8953} - C:\WINDOWS\system32\ep8h80ikt.dll C:\DOKUME~1\TISCHL~1\LOKALE~1\Temp\smss.exe C:\WINDOWS\Fdotoa.exe
__________________ |
|
29.04.2010, 00:39
| #3 | |||
| | sdra64.exe ++ Hallo , danke für die schnelle antwort.
__________________mbam-log -> Zitat:
Zitat:
Zitat:
|
|
29.04.2010, 08:08
| #4 |
| | sdra64.exe ++ Hi, Java upaten updaten! Bitte folgende Files prüfen: Dateien Online überprüfen lassen:
Code:
ATTFilter C:\WINDOWS\Fdotoa.exe
C:\WINDOWS\System32\JJAKEn.dll
C:\WINDOWS\System32\ANIO.VXD
C:\WINDOWS\System32\frysdk32.dll
C:\WINDOWS\System32\E3CB24DCAF.dll
Gmer: http://www.trojaner-board.de/74908-a...t-scanner.html Den Downloadlink findest Du links oben (GMER - Rootkit Detector and Remover), dort dann auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken). Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein. chris
__________________  Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden  ) |
|
29.04.2010, 15:14
| #5 | |||||
| | sdra64.exe ++ Fdotoa.exe Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
|
|
29.04.2010, 20:43
| #6 |
| | sdra64.exe ++ Hi,
Code:
ATTFilter :OTL
[2010.04.29 21:11:36 | 000,161,280 | ---- | C] () -- C:\WINDOWS\Fdotoa.exe
:Commands
[emptytemp]
[Reboot]
Poste noch das Gmer-Log... chris
__________________ --> sdra64.exe ++ |
|
30.04.2010, 01:29
| #7 | ||
| | sdra64.exe ++ hi Zitat:
und hier ein Log ohne Files aktiviert Zitat:
 Geändert von silxc (30.04.2010 um 01:44 Uhr) |
|
30.04.2010, 06:22
| #8 | |
| | sdra64.exe ++ Hi, ja, dafür hat GMER ein Rootkit gefunden... Zitat:
TDSS-Killer Download und Anweisung unter: http://www.trojaner-board.de/82358-tdsskiller-google-umleitungen-tdss-tdl3-alureon-rootkit-entfernen.html#post640150 Entpacke alle Dateien! Start.bat erstellen: Start->alle Programme->Zubehör->Editor und kopiere folgenden Text rein: Code:
ATTFilter @ECHO OFF
TDSSKiller.exe -l report.txt -v
DEL %0
Wenn TDSSKiller fertig ist poste den Inhalt der report.txt. Wenn der Killer das Rootkit "erlegt" hat, bitte sofort MAM updaten und hinterher jagen... chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
30.04.2010, 12:09
| #9 | |
| | sdra64.exe ++ hi, hier die report.txt Zitat:
|
|
30.04.2010, 12:24
| #10 | |
| | sdra64.exe ++ Hi, wie erwartet der TDSS-Rootkit... Zitat:
Hmm, normalerweise infiziert der neue gleich zwei Treiber ... Der zweite Treiber "C:\WINDOWS\system32\drivers\isapnp.sys" wurde nich erkannt, das kann ins Auge gegangen sein (d.h. wurde zwar temporär entfernt aber gleich wieder infiziert über den zweiten Treiber)... Um sicherzugehen, gleich noch CureIT hinterher: http://www.trojaner-board.de/59299-a...eb-cureit.html Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log. Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn. Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet. chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
30.04.2010, 14:28
| #12 |
| | sdra64.exe ++ Hi, ja,das sind die Symptome einer TDSS-Infektion, ergo die Entfernung hat nicht funktioniert ... Das schlimme ist, wenn er Dir verseuchte Seiten öffnet dann ... Daher möglichst wenig Online gehen... Wenn CureIT nicht hilft, dann bleibt noch CF oder die Entfernung per Hand (dann brauchen wir die Treiber von einer sauberen XP-CD... Hierschon mal CF (wobei ich einen Fall habe, wo der Rootkit die Ausführung von CF unterbunden hat!): Combofix Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop. Achtung: Benenne die ComboFix.exe bereits im Downloaddialog auf z.B. "test.exe" um! Achtung: In einigen wenigen Fällen kann es vorkommen, das der Rechner nicht mehr booten kann und Neuaufgesetzt werden muß! Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter. Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird. Nach Scanende wird ein Report (ComboFix.txt) angezeigt, den bitte kopieren und in deinem Thread einfuegen. Per Hand Treiber kopieren (atapi.sys etc.) Code:
ATTFilter Von XP-CD booten und in die Rettungskonsole/Wiederherstellungskonsole gehen.
Wenn auf der Festplatte das Verzeichnis "C:\WINDOWS\ServicePackFiles\i386"
zur Verfügung steht:
expand C:\WINDOWS\ServicePackFiles\i386\atapi.sy_ c:\windows\system32
oder sonst von CD entpacken
expand X:\i386\atapi.sy_ c:\windows\system32
Mehr zur Wiederherstellungs/Rettungskonsole unter: Installieren und Verwenden der Wiederherstellungskonsole in Windows XP und How to expand Windows XP files from the installation disk Das gleiche dann auch für den zweiten verseuchten Treiber (isapnp.sys). Achtung: Nicht einfach kopieren, die Dateien sind gepackt und müssen entpackt werden (daher "expand") Und noch was: Geht dabei was schief, bootet der Rechner nicht mehr... chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
30.04.2010, 16:19
| #14 | ||
| | sdra64.exe ++Zitat:
Zitat:
|
|
30.04.2010, 17:25
| #15 |
| | sdra64.exe ++ Hi, sieht recht gut aus, bitte noch folgende Files prüfen: Dateien Online überprüfen lassen:
Code:
ATTFilter c:\windows\system32\SX5363S.DLL
c:\windows\system32\RV32RTP.dll
Was macht der Rechner? CF hat die andere infizierte Datei erwischt, der Killer die atapi.sys (nennt sich dann wohl "Aufgabenteilung" ;o) chris
__________________ Don't bring me downVor dem posten beachten! Spenden (Wer spenden will, kann sich gerne melden ) |
|
| Themen zu sdra64.exe ++ |
| .dll, adobe, asus, besitzer, bho, bonjour, computer, dateien, down, explorer, hijack, hijackthis, hkus\s-1-5-18, hotkey, internet, internet explorer, logfile, micro, opera, programme, software, sp3, system, temp, windows, windows xp, wireless |
wurde wiederhergestellt 
Linear-Darstellung
