Ja, eine hab ich noch auf Lager


Rootkitscan mit RootRepeal

• Gehe hierhin, scrolle runter und downloade RootRepeal.zip.
• Entpacke die Datei auf Deinen Desktop.
• Doppelklicke die RootRepeal.exe, um den Scanner zu starten.
• Klicke auf den Reiter Report und dann auf den Button Scan.
• Mache einen Haken bei den folgenden Elementen und klicke Ok.
  .
  Drivers
  Files
  Processes
  SSDT
  Stealth Objects
  Hidden Services
  Shadow SSDT
  .
• Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen.
• Wähle C:\ und klicke wieder Ok.
• Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld.
• Wenn der Suchlauf beendet ist, klicke auf Save Report.
• Speichere das Logfile als RootRepeal.txt auf dem Desktop.
• Kopiere den Inhalt hier in den Thread.

ROOTREPEAL (c) AD, 2007-2009
==================================================
Scan Start Time: 2010/05/31 21:27
Program Version: Version 1.3.5.0
Windows Version: Windows XP SP3
==================================================

Drivers
-------------------
Name: dump_atapi.sys
Image Path: C:\WINDOWS\System32\Drivers\dump_atapi.sys
Address: 0xB4964000 Size: 98304 File Visible: No Signed: -
Status: -

Name: dump_WMILIB.SYS
Image Path: C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS
Address: 0xB8648000 Size: 8192 File Visible: No Signed: -
Status: -

Name: rootrepeal.sys
Image Path: C:\WINDOWS\system32\drivers\rootrepeal.sys
Address: 0xB3251000 Size: 49152 File Visible: No Signed: -
Status: -

Name: XDva346.sys
Image Path: C:\WINDOWS\system32\XDva346.sys
Address: 0xB2DE0000 Size: 65280 File Visible: No Signed: -
Status: -

SSDT
-------------------
#: 041 Function Name: NtCreateKey
Status: Hooked by "<unknown>" at address 0xb872d236

#: 053 Function Name: NtCreateThread
Status: Hooked by "<unknown>" at address 0xb872d22c

#: 063 Function Name: NtDeleteKey
Status: Hooked by "<unknown>" at address 0xb872d23b

#: 065 Function Name: NtDeleteValueKey
Status: Hooked by "<unknown>" at address 0xb872d245

#: 098 Function Name: NtLoadKey
Status: Hooked by "<unknown>" at address 0xb872d24a

#: 128 Function Name: NtOpenThread
Status: Hooked by "<unknown>" at address 0xb872d21d

#: 193 Function Name: NtReplaceKey
Status: Hooked by "<unknown>" at address 0xb872d254

#: 204 Function Name: NtRestoreKey
Status: Hooked by "<unknown>" at address 0xb872d24f

#: 247 Function Name: NtSetValueKey
Status: Hooked by "<unknown>" at address 0xb872d240

#: 257 Function Name: NtTerminateProcess
Status: Hooked by "<unknown>" at address 0xb872d227

==EOF==