| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: TR/Rootkit.Gen und TR/Crypt.ZPACK.GenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
18.06.2010, 11:43
| #76 |
| /// Malware-holic   |  TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen :OTL O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH) PRC - C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH) O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH) O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) [2010.06.15 17:51:03 | 000,345,600 | ---- | C] (Gandke & Schubert GmbH) -- C:\WINDOWS\System32\winprxrev06.exe :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] drücke fix |
|
18.06.2010, 12:48
| #77 |
 | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen das Log:
__________________Code:
ATTFilter All processes killed
Error: Unable to interpret <O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <PRC - C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv> in the current context!
Error: Unable to interpret <(Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <[2010.06.15 17:51:03 | 000,345,600 | ---- | C] (Gandke & Schubert GmbH) -- C:\WINDOWS\System32\winprxrev06.exe> in the current context!
========== COMMANDS ==========
[EMPTYFLASH]
User: Administrator
User: All Users
User: Default User
User: LocalService
User: Matthias
->Flash cache emptied: 6507 bytes
User: NetworkService
Total Flash Files Cleaned = 0,00 mb
[EMPTYTEMP]
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
User: All Users
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 304694 bytes
User: Matthias
->Temp folder emptied: 146290940 bytes
->Temporary Internet Files folder emptied: 759177 bytes
->Java cache emptied: 2739 bytes
->FireFox cache emptied: 53691310 bytes
->Flash cache emptied: 0 bytes
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 483 bytes
RecycleBin emptied: 197902001 bytes
Total Files Cleaned = 381,00 mb
OTL by OldTimer - Version 3.2.6.0 log created on 06182010_134231
Files\Folders moved on Reboot...
Registry entries deleted on Reboot...
Code:
ATTFilter
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 16. Juni 2010 19:20
Es wird nach 2219416 Virenstämmen gesucht.
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : OPFER-IRD4ZQAV9
Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 11:42:44
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 11:42:46
VBASE007.VDF : 7.10.7.219 2048 Bytes 02.06.2010 11:42:46
VBASE008.VDF : 7.10.7.220 2048 Bytes 02.06.2010 11:42:46
VBASE009.VDF : 7.10.7.221 2048 Bytes 02.06.2010 11:42:47
VBASE010.VDF : 7.10.7.222 2048 Bytes 02.06.2010 11:42:47
VBASE011.VDF : 7.10.7.223 2048 Bytes 02.06.2010 11:42:47
VBASE012.VDF : 7.10.7.224 2048 Bytes 02.06.2010 11:42:47
VBASE013.VDF : 7.10.8.37 270336 Bytes 10.06.2010 11:42:47
VBASE014.VDF : 7.10.8.69 138752 Bytes 14.06.2010 15:33:02
VBASE015.VDF : 7.10.8.70 2048 Bytes 14.06.2010 15:33:02
VBASE016.VDF : 7.10.8.71 2048 Bytes 14.06.2010 15:33:02
VBASE017.VDF : 7.10.8.72 2048 Bytes 14.06.2010 15:33:02
VBASE018.VDF : 7.10.8.73 2048 Bytes 14.06.2010 15:33:02
VBASE019.VDF : 7.10.8.74 2048 Bytes 14.06.2010 15:33:02
VBASE020.VDF : 7.10.8.75 2048 Bytes 14.06.2010 15:33:02
VBASE021.VDF : 7.10.8.76 2048 Bytes 14.06.2010 15:33:02
VBASE022.VDF : 7.10.8.77 2048 Bytes 14.06.2010 15:33:02
VBASE023.VDF : 7.10.8.78 2048 Bytes 14.06.2010 15:33:02
VBASE024.VDF : 7.10.8.79 2048 Bytes 14.06.2010 15:33:02
VBASE025.VDF : 7.10.8.80 2048 Bytes 14.06.2010 15:33:02
VBASE026.VDF : 7.10.8.81 2048 Bytes 14.06.2010 15:33:02
VBASE027.VDF : 7.10.8.82 2048 Bytes 14.06.2010 15:33:02
VBASE028.VDF : 7.10.8.83 2048 Bytes 14.06.2010 15:33:02
VBASE029.VDF : 7.10.8.84 2048 Bytes 14.06.2010 15:33:02
VBASE030.VDF : 7.10.8.85 2048 Bytes 14.06.2010 15:33:02
VBASE031.VDF : 7.10.8.98 111616 Bytes 16.06.2010 17:18:52
Engineversion : 8.2.2.6
AEVDF.DLL : 8.1.2.0 106868 Bytes 13.06.2010 11:42:54
AESCRIPT.DLL : 8.1.3.31 1352058 Bytes 13.06.2010 11:42:54
AESCN.DLL : 8.1.6.1 127347 Bytes 13.06.2010 11:42:53
AESBX.DLL : 8.1.3.1 254324 Bytes 13.06.2010 11:42:54
AERDL.DLL : 8.1.4.6 541043 Bytes 13.06.2010 11:42:53
AEPACK.DLL : 8.2.1.1 426358 Bytes 19.03.2010 11:34:51
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 13.06.2010 11:42:53
AEHEUR.DLL : 8.1.1.33 2724214 Bytes 13.06.2010 11:42:52
AEHELP.DLL : 8.1.11.5 242038 Bytes 13.06.2010 11:42:51
AEGEN.DLL : 8.1.3.10 377205 Bytes 13.06.2010 11:42:51
AEEMU.DLL : 8.1.2.0 393588 Bytes 13.06.2010 11:42:50
AECORE.DLL : 8.1.15.3 192886 Bytes 13.06.2010 11:42:50
AEBB.DLL : 8.1.1.0 53618 Bytes 13.06.2010 11:42:50
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28
Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: löschen
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,
Beginn des Suchlaufs: Mittwoch, 16. Juni 2010 19:20
Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\cd042efbbd7f7af1647644e76e06692b
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32\bca643cdc5c2726b20d2ecedcc62c59b
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32\2c81e34222e8052573023a60d06dd016
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32\2582ae41fb52324423be06337561aa48
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32\caaeda5fd7a9ed7697d9686d4b818472
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32\a4a1bcf2cc2b8bc3716b74b2b4522f5d
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32\4d370831d2c43cd13623e232fed27b7b
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32\1d68fe701cdea33e477eb204b76f993d
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32\1fac81b91d8e3c5aa4b0a51804d844a3
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32\f5f62a6129303efb32fbe080bb27835b
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32\fd4e2e1a3940b94dceb5a6a021f2e3c6
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32\8a8aec57dd6508a385616fbc86791ec2
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\11.0\Registration\{90110407-6000-11D3-8CFE-0150048383C9}\current1
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.
Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '124' Modul(e) wurden durchsucht
Durchsuche Prozess 'winprxrev06.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'SGlass.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'SolutoService.exe' - '114' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '137' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'soluto.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '167' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1029' Dateien ).
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\24ddd997-77cfd6d7
[0] Archivtyp: ZIP
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
--> Inicio.class
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
C:\Qoobox\Quarantine\C\Dokumente und Einstellungen\All Users\Dokumente\Settings\_cbss_.dll.zip
[0] Archivtyp: ZIP
[FUND] Ist das Trojanische Pferd TR/Dldr.Piker.cmk
--> cbss.dll
[FUND] Ist das Trojanische Pferd TR/Dldr.Piker.cmk
Beginne mit der Desinfektion:
C:\Qoobox\Quarantine\C\Dokumente und Einstellungen\All Users\Dokumente\Settings\_cbss_.dll.zip
[FUND] Ist das Trojanische Pferd TR/Dldr.Piker.cmk
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '46bdb56c.qua' verschoben!
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\24ddd997-77cfd6d7
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5e2c9afd.qua' verschoben!
Ende des Suchlaufs: Mittwoch, 16. Juni 2010 20:02
Benötigte Zeit: 25:52 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
7345 Verzeichnisse wurden überprüft
199434 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
2 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
199432 Dateien ohne Befall
1832 Archive wurden durchsucht
0 Warnungen
2 Hinweise
437201 Objekte wurden beim Rootkitscan durchsucht
25 Versteckte Objekte wurden gefunden
Lg |
|
18.06.2010, 13:19
| #78 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen neuer scan, nun isses ein trojaner!
__________________Code:
ATTFilter
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Freitag, 18. Juni 2010 13:52
Es wird nach 2224475 Virenstämmen gesucht.
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : Matthias
Computername : OPFER-IRD4ZQAV9
Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 11:42:44
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 11:42:46
VBASE007.VDF : 7.10.7.219 2048 Bytes 02.06.2010 11:42:46
VBASE008.VDF : 7.10.7.220 2048 Bytes 02.06.2010 11:42:46
VBASE009.VDF : 7.10.7.221 2048 Bytes 02.06.2010 11:42:47
VBASE010.VDF : 7.10.7.222 2048 Bytes 02.06.2010 11:42:47
VBASE011.VDF : 7.10.7.223 2048 Bytes 02.06.2010 11:42:47
VBASE012.VDF : 7.10.7.224 2048 Bytes 02.06.2010 11:42:47
VBASE013.VDF : 7.10.8.37 270336 Bytes 10.06.2010 11:42:47
VBASE014.VDF : 7.10.8.69 138752 Bytes 14.06.2010 15:33:02
VBASE015.VDF : 7.10.8.102 130560 Bytes 16.06.2010 11:44:05
VBASE016.VDF : 7.10.8.103 2048 Bytes 16.06.2010 11:44:05
VBASE017.VDF : 7.10.8.104 2048 Bytes 16.06.2010 11:44:05
VBASE018.VDF : 7.10.8.105 2048 Bytes 16.06.2010 11:44:05
VBASE019.VDF : 7.10.8.106 2048 Bytes 16.06.2010 11:44:05
VBASE020.VDF : 7.10.8.107 2048 Bytes 16.06.2010 11:44:05
VBASE021.VDF : 7.10.8.108 2048 Bytes 16.06.2010 11:44:05
VBASE022.VDF : 7.10.8.109 2048 Bytes 16.06.2010 11:44:05
VBASE023.VDF : 7.10.8.110 2048 Bytes 16.06.2010 11:44:05
VBASE024.VDF : 7.10.8.111 2048 Bytes 16.06.2010 11:44:05
VBASE025.VDF : 7.10.8.112 2048 Bytes 16.06.2010 11:44:05
VBASE026.VDF : 7.10.8.113 2048 Bytes 16.06.2010 11:44:05
VBASE027.VDF : 7.10.8.114 2048 Bytes 16.06.2010 11:44:05
VBASE028.VDF : 7.10.8.115 2048 Bytes 16.06.2010 11:44:05
VBASE029.VDF : 7.10.8.116 2048 Bytes 16.06.2010 11:44:06
VBASE030.VDF : 7.10.8.117 2048 Bytes 16.06.2010 11:44:08
VBASE031.VDF : 7.10.8.124 58880 Bytes 18.06.2010 11:46:47
Engineversion : 8.2.2.6
AEVDF.DLL : 8.1.2.0 106868 Bytes 13.06.2010 11:42:54
AESCRIPT.DLL : 8.1.3.31 1352058 Bytes 13.06.2010 11:42:54
AESCN.DLL : 8.1.6.1 127347 Bytes 13.06.2010 11:42:53
AESBX.DLL : 8.1.3.1 254324 Bytes 13.06.2010 11:42:54
AERDL.DLL : 8.1.4.6 541043 Bytes 13.06.2010 11:42:53
AEPACK.DLL : 8.2.1.1 426358 Bytes 19.03.2010 11:34:51
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 13.06.2010 11:42:53
AEHEUR.DLL : 8.1.1.33 2724214 Bytes 13.06.2010 11:42:52
AEHELP.DLL : 8.1.11.5 242038 Bytes 13.06.2010 11:42:51
AEGEN.DLL : 8.1.3.10 377205 Bytes 13.06.2010 11:42:51
AEEMU.DLL : 8.1.2.0 393588 Bytes 13.06.2010 11:42:50
AECORE.DLL : 8.1.15.3 192886 Bytes 13.06.2010 11:42:50
AEBB.DLL : 8.1.1.0 53618 Bytes 13.06.2010 11:42:50
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28
Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: löschen
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,
Beginn des Suchlaufs: Freitag, 18. Juni 2010 13:52
Der Suchlauf nach versteckten Objekten wird begonnen.
Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SGlass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SolutoService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soluto.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1028' Dateien ).
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\'
C:\WINDOWS\system32\winprxrev06.exe
[FUND] Ist das Trojanische Pferd TR/Gibi.AB
Beginne mit der Desinfektion:
C:\WINDOWS\system32\winprxrev06.exe
[FUND] Ist das Trojanische Pferd TR/Gibi.AB
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '464ac0ba.qua' verschoben!
Ende des Suchlaufs: Freitag, 18. Juni 2010 14:17
Benötigte Zeit: 24:47 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
7238 Verzeichnisse wurden überprüft
197243 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
197242 Dateien ohne Befall
1786 Archive wurden durchsucht
0 Warnungen
1 Hinweise
32093 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden
http://www.virustotal.com/de/analisi...29d-1276863705 Lg Geändert von matthias2619 (18.06.2010 um 13:25 Uhr) |
|
18.06.2010, 15:01
| #79 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen jo hab sie ja auch eingesendet. ok, jetzt, um sicher zu gehen, poste eine neue otl.txt. also die extra.txt benötige ich nicht. |
|
18.06.2010, 15:06
| #80 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen otl ohne skript? |
|
18.06.2010, 15:39
| #81 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen jo, wie in meinem ersten post in diesem thread. die extras.txt kannst du dir sparen :-) |
|
18.06.2010, 21:10
| #82 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen hier ist der log! http://www.file-upload.net/download-2608683/OTL.Txt.html Lg |
|
19.06.2010, 10:42
| #83 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen ok, 3 einträge fehlen noch. noch mal bitte versuchen: Fixen mit OTL • Starte bitte die OTL.exe. Vista-User mit Rechtsklick "als Administrator starten" • Kopiere nun das Folgende in die Textbox. :OTL O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH) :Files C:\WINDOWS\system32\install\winsrv :Commands [purity] [EMPTYFLASH] [emptytemp] [Reboot] • Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Run Fix Button. • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument dieses posten danach neu starten und neue otl.txt hochladen. |
|
19.06.2010, 13:18
| #84 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.GenCode:
ATTFilter All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\HKLM deleted successfully.
C:\WINDOWS\system32\install\winsrv moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\HKLM not found.
C:\WINDOWS\System32\winsrv.dll moved successfully.
Registry value HKEY_USERS\S-1-5-21-1085031214-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run\\HKCU deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run\\Policies deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
Registry value HKEY_USERS\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\\Policies deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
========== FILES ==========
File\Folder C:\WINDOWS\system32\install\winsrv not found.
========== COMMANDS ==========
[EMPTYFLASH]
User: Administrator
User: All Users
User: Default User
User: LocalService
User: Matthias
->Flash cache emptied: 3015 bytes
User: NetworkService
Total Flash Files Cleaned = 0,00 mb
[EMPTYTEMP]
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
User: All Users
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
User: Matthias
->Temp folder emptied: 405087 bytes
->Temporary Internet Files folder emptied: 9580723 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 84643439 bytes
->Flash cache emptied: 0 bytes
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 483 bytes
RecycleBin emptied: 1330697582 bytes
Total Files Cleaned = 1.359,00 mb
OTL by OldTimer - Version 3.2.6.0 log created on 06192010_141336
Files\Folders moved on Reboot...
Registry entries deleted on Reboot...
|
|
19.06.2010, 13:39
| #85 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen ok jetzt nach neustart ne neue otl.txt erstellen und diese hier anhängen. einfach auf run scan klicken, nichts einfügen. |
|
19.06.2010, 13:59
| #86 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen auch nicht die einstellungen ändern? LOP Prüfung, Purity Prüfung, alle Benutzer usw. ? wenn ja dann ist das hier das log: http://www.file-upload.net/download-...3/OTL.Txt.html Lg Geändert von matthias2619 (19.06.2010 um 14:08 Uhr) |
|
19.06.2010, 14:14
| #87 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen reinige mit otcleanit: http://oldtimer.geekstogo.com/OTM.exe Klicke cleanup! dein pc wird evtl. neu starten programm löscht sich selbst, + die verwendeten tools um dein system aktuell zu halten, nutze secunia. http://www.trojaner-board.de/83959-secunia-personal-software-inspector-psi.html nutze den ccleaner, bereinige auch die registry. rechtsklick arbeitsplatz, eigenschaften, systemwiederherstellung, wähle auf allen laufwerken deaktivieren, klicke übernehmen. warte bis der pc fertig ist mit arbeiten und schalte sie wieder ein, klicke übernehmen /ok dann endere alle passwörter, nun haben wirs. |
|
19.06.2010, 14:38
| #88 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen OTM ist fertig! Statt Secunia PSI nehm ich lieber SUMo, weil die Datenbank einfach riiiiiesig ist  über 90000 programme laut chip! secuia psi meines wissens nur 5000 programme! Aber bei suno ist relevantknowledge dabei, adware! kann man aber bei der installation abwählen! systemwiederherstellung ist schon deaktiviert...haste mir schon mal befohlen was bringt es eigentlich wenn man die systemwiederherstellung deaktiviert, ausser speicherplatz? Lg |
|
20.06.2010, 16:25
| #89 |
| | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen ich hab ein problem! mei cd-rom-laufwerk funktioniert seit der bereinigung nicht mehr! im geräte-manager ist da ein gelbes ausrufezeichen, wenn ich auf eigenschaften drücke steht da: Code:
ATTFilter Dieses Hardwaregerät kann nicht gestartet werden, da dessen Konfigurationsinformationen (in der Registrierung) unvollständig oder beschädigt sind. (Code 19)
Klicken Sie auf "Problembehandlung", um die Problembehandlung für dieses Gerät zu starten.
Bitte um hilfe! Lg |
|
20.06.2010, 16:38
| #90 |
| /// Malware-holic | TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen versuche mal folgendes: Tipparchiv - CD-ROM verschwunden oder Code 19 im Gerätemanager - WinTotal.de |
|
| Themen zu TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen |
| antivir, c:\windows, code, datei, einstellungen, folge, gen, heuristik, information, internet, namen, services, suche, system, system volume information, system32, temp, tmp, tr/crypt.zpack.gen, tr/rootkit.gen, trojanische pferd, warnung, windows, _restore |
Linear-Darstellung
