Hi,

dann zäumen wir von hinten auf...
Hast Du eine XP-CD? Wir können von der Booten und dann die Datei per Hand "rüberkopieren" (atapi.sys)...

Per Hand Treiber kopieren (atapi.sys etc.)

Von XP-CD booten und in die Rettungskonsole/Wiederherstellungskonsole gehen.
Wenn auf der Festplatte das Verzeichnis "C:\WINDOWS\ServicePackFiles\i386"
zur Verfügung steht:
expand C:\WINDOWS\ServicePackFiles\i386\atapi.sy_ c:\windows\system32\Drivers
oder sonst von CD kopieren
expand X:\i386\atapi.sy_ c:\windows\system32\Drivers
         

Wobei "X" Dein CD/DVD-Laufwerk ist!
Mehr zur Wiederherstellungs/Rettungskonsole unter:
Installieren und Verwenden der Wiederherstellungskonsole in Windows XP
und
How to expand Windows XP files from the installation disk
Das gleiche dann auch für weitere verseuchten Treiber.

Falls das Kopieren oder das Expand in der Rettungskonsole nicht klappt wie folgt vorgehen:
Windows von Festplatte aus starten, eine Commandshell starten (Start->Ausführen cmd, dort dann die atapi.sys von CD in ein anderes
Verzeichnis auspacken (z. B.: expand X:\i386\atapi.sy_ c:\Temp\atapi.sys), dann von CD booten und versuchen den sauberen Treiber an die richtige Stelle zu kopieren (copy c:\Temp\atapi.sys c:\windows\system32\drivers)...

chris

Hm... habe gerade keine XP-CD hier vor Ort. Morgen hoffentlich. Ist ein BackUp notwendig? ist leider auch nicht vorhanden. Aber das System scheint ja eh nicht mehr zu gebrauchen, wenn wir den Schädling nicht entfernt bekommen

Report RkU:


RkU Version: 3.8.388.590, Type LE (SR2)
==============================================
OS Name: Windows XP
Version 5.1.2600 (Service Pack 2)
Number of processors #1
==============================================
>Drivers
==============================================
0xBFAC2000 C:\WINDOWS\System32\ati3duag.dll 2924544 bytes (ATI Technologies Inc. , ati3duag.dll)
0xBA323000 C:\WINDOWS\system32\DRIVERS\ati2mtag.sys 2367488 bytes (ATI Technologies Inc., ATI Radeon WindowsNT Miniport Driver)
0x804D7000 C:\WINDOWS\system32\ntkrnlpa.exe 2059136 bytes (Microsoft Corporation, NT-Kernel und -System)
0x804D7000 PnpManager 2059136 bytes
0x804D7000 RAW 2059136 bytes
0x804D7000 WMIxWDM 2059136 bytes
0xBF800000 Win32k 1839104 bytes
0xBF800000 C:\WINDOWS\System32\win32k.sys 1839104 bytes (Microsoft Corporation, Mehrbenutzer-Win32-Treiber)
0xBFD8C000 C:\WINDOWS\System32\ativvaxx.dll 1515520 bytes (ATI Technologies Inc. , Radeon Video Acceleration Universal Driver)
0xBA251000 C:\WINDOWS\system32\drivers\ALCXWDM.SYS 626688 bytes (Realtek Semiconductor Corp., Realtek AC'97 Audio Driver (WDM))
0xBA5F5000 Ntfs.sys 577536 bytes (Microsoft Corporation, NT File System Driver)
0xADE50000 C:\WINDOWS\system32\DRIVERS\mrxsmb.sys 454656 bytes (Microsoft Corporation, Windows NT SMB Minirdr)
0xBA1A8000 C:\WINDOWS\system32\drivers\ALCXSENS.SYS 401408 bytes (Sensaura, Sensaura WDM 3D Audio Driver)
0xBFA18000 C:\WINDOWS\System32\ati2cqag.dll 368640 bytes (ATI Technologies Inc., Central Memory Manager / Queue Server Module)
0xADF35000 C:\WINDOWS\system32\DRIVERS\tcpip.sys 360448 bytes (Microsoft Corporation, TCP/IP Protocol Driver)
0xAB573000 C:\WINDOWS\system32\DRIVERS\srv.sys 339968 bytes (Microsoft Corporation, Server driver)
0xBFA72000 C:\WINDOWS\System32\atikvmag.dll 327680 bytes (ATI Technologies Inc., Virtual Command And Memory Manager)
0xBF9D3000 C:\WINDOWS\System32\ati2dvag.dll 282624 bytes (ATI Technologies Inc., ATI Radeon WindowsNT Display Driver)
0xAAE66000 C:\WINDOWS\System32\Drivers\HTTP.sys 266240 bytes (Microsoft Corporation, HTTP Protocol Stack)
0xBA0D0000 C:\WINDOWS\system32\DRIVERS\update.sys 212992 bytes (Microsoft Corporation, Update Driver)
0xBA104000 C:\WINDOWS\system32\DRIVERS\rdpdr.sys 200704 bytes (Microsoft Corporation, Microsoft RDP Device redirector)
0xBA750000 ACPI.sys 192512 bytes (Microsoft Corporation, ACPI-Treiber für NT)
0xAB72E000 C:\WINDOWS\system32\DRIVERS\mrxdav.sys 184320 bytes (Microsoft Corporation, Windows NT WebDav Minirdr)
0xBA5C8000 NDIS.sys 184320 bytes (Microsoft Corporation, NDIS 5.1 wrapper driver)
0xADEBF000 C:\WINDOWS\system32\DRIVERS\rdbss.sys 180224 bytes (Microsoft Corporation, Redirected Drive Buffering SubSystem Driver)
0xADD58000 C:\WINDOWS\system32\DRIVERS\atinavt2.sys 172032 bytes (ATI Technologies Inc., ATI T200 Unified AVStream Driver)
0xAAC84000 C:\WINDOWS\system32\drivers\kmixer.sys 172032 bytes (Microsoft Corporation, Kernel Mode Audio Mixer)
0xBA77F000 a347bus.sys 163840 bytes ( , Plug and Play BIOS Extension)
0xADF0D000 C:\WINDOWS\system32\DRIVERS\netbt.sys 163840 bytes (Microsoft Corporation, MBT Transport driver)
0xBA6FA000 dmio.sys 155648 bytes (Microsoft Corp., Veritas Software, E/A-Treiber für NT Datenträgerverwaltung)
0xBA22D000 C:\WINDOWS\system32\drivers\portcls.sys 147456 bytes (Microsoft Corporation, Port Class (Class Driver for Port/Miniport Devices))
0xADDC2000 C:\WINDOWS\System32\Drivers\Fastfat.SYS 143360 bytes (Microsoft Corporation, Fast FAT File System Driver)
0xBA20A000 C:\WINDOWS\system32\drivers\ks.sys 143360 bytes (Microsoft Corporation, Kernel CSA Library)
0xBA15D000 C:\WINDOWS\system32\DRIVERS\USBPORT.SYS 143360 bytes (Microsoft Corporation, USB 1.1 & 2.0 Port Driver)
0xADEEB000 C:\WINDOWS\System32\drivers\afd.sys 139264 bytes (Microsoft Corporation, Ancillary Function Driver for WinSock)
0xADDE5000 C:\WINDOWS\system32\DRIVERS\avipbb.sys 139264 bytes (Avira GmbH, Avira Driver for Security Enhancement)
0xADE2F000 C:\WINDOWS\system32\DRIVERS\ipnat.sys 135168 bytes (Microsoft Corporation, IP Network Address Translator)
0x806CE000 ACPI_HAL 131968 bytes
0x806CE000 C:\WINDOWS\system32\hal.dll 131968 bytes (Microsoft Corporation, Hardware Abstraction Layer DLL)
0xBA6AB000 fltMgr.sys 126976 bytes (Microsoft Corporation, Microsoft Filesystem Filter Manager)
0xBA720000 ftdisk.sys 126976 bytes (Microsoft Corporation, FT-Datenträgertreiber)
0xBA5AD000 Mup.sys 110592 bytes (Microsoft Corporation, Multiple UNC Provider driver)
0xBA6E2000 98304 bytes
0xADDAA000 C:\WINDOWS\System32\Drivers\dump_atapi.sys 98304 bytes
0xBA6CA000 C:\WINDOWS\System32\Drivers\SCSIPORT.SYS 98304 bytes (Microsoft Corporation, SCSI Port Driver)
0xBA682000 KSecDD.sys 94208 bytes (Microsoft Corporation, Kernel Security Support Provider Interface)
0xBA146000 C:\WINDOWS\system32\DRIVERS\ndiswan.sys 94208 bytes (Microsoft Corporation, MS PPP Framing Driver (Strong Encryption))
0xABA2B000 C:\WINDOWS\system32\DRIVERS\avgntflt.sys 86016 bytes (Avira GmbH, Avira Minifilter Driver)
0xAB32E000 C:\WINDOWS\system32\drivers\wdmaud.sys 86016 bytes (Microsoft Corporation, MMSYSTEM Wave/Midi API mapper)
0xBA2FB000 C:\WINDOWS\system32\DRIVERS\parport.sys 81920 bytes (Microsoft Corporation, Treiber für parallelen Anschluss)
0xBA30F000 C:\WINDOWS\system32\DRIVERS\VIDEOPRT.SYS 81920 bytes (Microsoft Corporation, Video Port Driver)
0xADF8D000 C:\WINDOWS\system32\DRIVERS\ipsec.sys 77824 bytes (Microsoft Corporation, IPSec Driver)
0xBF9C1000 C:\WINDOWS\System32\drivers\dxg.sys 73728 bytes (Microsoft Corporation, DirectX Graphics Driver)
0xBA699000 sr.sys 73728 bytes (Microsoft Corporation, Dateisystemfilter-Treiber der Systemwiederherstellung)
0xBA73F000 pci.sys 69632 bytes (Microsoft Corporation, NT-Plug & Play PCI-Enumerator)
0xBA135000 C:\WINDOWS\system32\DRIVERS\psched.sys 69632 bytes (Microsoft Corporation, MS QoS Packet Scheduler)
0xBA2EA000 C:\WINDOWS\system32\DRIVERS\serial.sys 69632 bytes (Microsoft Corporation, Treiber für serielle Geräte)
0xBAA88000 C:\WINDOWS\System32\Drivers\Cdfs.SYS 65536 bytes (Microsoft Corporation, CD-ROM File System Driver)
0xBA968000 C:\WINDOWS\system32\drivers\drmk.sys 61440 bytes (Microsoft Corporation, Microsoft Kernel DRM Descrambler Filter)
0xBA988000 C:\WINDOWS\system32\DRIVERS\redbook.sys 61440 bytes (Microsoft Corporation, Redbook-Audiofiltertreiber)
0xAB7EB000 C:\WINDOWS\system32\drivers\sysaudio.sys 61440 bytes (Microsoft Corporation, System Audio WDM Filter)
0xBA9F8000 C:\WINDOWS\system32\DRIVERS\usbhub.sys 61440 bytes (Microsoft Corporation, Default Hub Driver for USB)
0xBA8C8000 VolSnap.sys 57344 bytes (Microsoft Corporation, Volumeschattenkopie-Treiber)
0xBA978000 C:\WINDOWS\system32\DRIVERS\cdrom.sys 53248 bytes (Microsoft Corporation, SCSI CD-ROM Driver)
0xBA8E8000 C:\WINDOWS\system32\DRIVERS\CLASSPNP.SYS 53248 bytes (Microsoft Corporation, SCSI Class System Dll)
0xBA958000 C:\WINDOWS\system32\DRIVERS\i8042prt.sys 53248 bytes (Microsoft Corporation, i8042-Anschlusstreiber)
0xBA9A8000 C:\WINDOWS\system32\DRIVERS\rasl2tp.sys 53248 bytes (Microsoft Corporation, RAS L2TP mini-port/call-manager driver)
0xBA9C8000 C:\WINDOWS\system32\DRIVERS\raspptp.sys 49152 bytes (Microsoft Corporation, Peer-to-Peer Tunneling Protocol)
0xBA998000 C:\WINDOWS\system32\DRIVERS\imapi.sys 45056 bytes (Microsoft Corporation, IMAPI Kernel Driver)
0xBA8B8000 MountMgr.sys 45056 bytes (Microsoft Corporation, Mount Manager)
0xBA9B8000 C:\WINDOWS\system32\DRIVERS\raspppoe.sys 45056 bytes (Microsoft Corporation, RAS PPPoE mini-port/call-manager driver)
0xBAA08000 C:\WINDOWS\System32\Drivers\NDProxy.SYS 40960 bytes (Microsoft Corporation, NDIS Proxy)
0xBA948000 C:\WINDOWS\system32\DRIVERS\processr.sys 40960 bytes (Microsoft Corporation, Prozessorgerätetreiber)
0xBA9E8000 C:\WINDOWS\system32\DRIVERS\termdd.sys 40960 bytes (Microsoft Corporation, Terminal Server Driver)
0xBA8D8000 disk.sys 36864 bytes (Microsoft Corporation, PnP Disk Driver)
0xBAA48000 C:\WINDOWS\System32\Drivers\Fips.SYS 36864 bytes (Microsoft Corporation, FIPS-Verschlüsselungstreiber)
0xBAA78000 C:\WINDOWS\system32\DRIVERS\HIDCLASS.SYS 36864 bytes (Microsoft Corporation, Hid Class Library)
0xBA8A8000 isapnp.sys 36864 bytes (Microsoft Corporation, PNP-ISA-Bustreiber)
0xBA9D8000 C:\WINDOWS\system32\DRIVERS\msgpc.sys 36864 bytes (Microsoft Corporation, MS General Packet Classifier)
0xBAA38000 C:\WINDOWS\system32\DRIVERS\netbios.sys 36864 bytes (Microsoft Corporation, NetBIOS interface driver)
0xAB473000 C:\WINDOWS\System32\Drivers\Normandy.SYS 36864 bytes (RKU Driver)
0xBA8F8000 PxHelp20.sys 36864 bytes (Sonic Solutions, Px Engine Device Driver for Windows 2000/XP)
0xBAA58000 C:\WINDOWS\system32\DRIVERS\wanarp.sys 36864 bytes (Microsoft Corporation, MS Remote Access and Routing ARP Driver)
0xBABD8000 C:\WINDOWS\System32\Drivers\Npfs.SYS 32768 bytes (Microsoft Corporation, NPFS Driver)
0xBABC0000 C:\WINDOWS\system32\DRIVERS\HIDPARSE.SYS 28672 bytes (Microsoft Corporation, Hid Parsing Library)
0xBAB70000 C:\WINDOWS\system32\DRIVERS\kbdclass.sys 28672 bytes (Microsoft Corporation, Tastaturklassentreiber)
0xBAB28000 C:\WINDOWS\system32\DRIVERS\PCIIDEX.SYS 28672 bytes (Microsoft Corporation, PCI IDE Bus Driver Extension)
0xBAB78000 C:\WINDOWS\system32\DRIVERS\ULILAN51.SYS 28672 bytes (ULi Electronics Inc., Driver for ULi PCI Fast Ethernet Controller)
0xBAB88000 C:\WINDOWS\system32\DRIVERS\usbehci.sys 28672 bytes (Microsoft Corporation, EHCI eUSB Miniport Driver)
0xBAC00000 C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS 28672 bytes (Microsoft Corporation, USB Mass Storage Class Driver)
0xBABA8000 C:\WINDOWS\system32\DRIVERS\mouclass.sys 24576 bytes (Microsoft Corporation, Mausklassentreiber)
0xBABC8000 C:\WINDOWS\System32\drivers\vga.sys 24576 bytes (Microsoft Corporation, VGA/Super VGA Video Driver)
0xBABD0000 C:\WINDOWS\System32\Drivers\Msfs.SYS 20480 bytes (Microsoft Corporation, Mailslot driver)
0xBAB30000 PartMgr.sys 20480 bytes (Microsoft Corporation, Partition Manager)
0xBAB98000 C:\WINDOWS\system32\DRIVERS\ptilink.sys 20480 bytes (Parallel Technologies, Inc., Parallel Technologies DirectParallel IO Library)
0xBABA0000 C:\WINDOWS\system32\DRIVERS\raspti.sys 20480 bytes (Microsoft Corporation, PTI DirectParallel(R) mini-port/call-manager driver)
0xBAB90000 C:\WINDOWS\system32\DRIVERS\TDI.SYS 20480 bytes (Microsoft Corporation, TDI Wrapper)
0xBAB80000 C:\WINDOWS\system32\DRIVERS\usbohci.sys 20480 bytes (Microsoft Corporation, OHCI USB Miniport Driver)
0xBAC08000 C:\WINDOWS\System32\watchdog.sys 20480 bytes (Microsoft Corporation, Watchdog Driver)
0xBAD80000 C:\WINDOWS\system32\DRIVERS\mssmbios.sys 16384 bytes (Microsoft Corporation, System Management BIOS Driver)
0xABA54000 C:\WINDOWS\system32\DRIVERS\ndisuio.sys 16384 bytes (Microsoft Corporation, NDIS User mode I/O Driver)
0xBAD58000 C:\WINDOWS\system32\DRIVERS\serenum.sys 16384 bytes (Microsoft Corporation, Serial Port Enumerator)
0xADFE4000 C:\WINDOWS\system32\DRIVERS\BdaSup.SYS 12288 bytes (Microsoft Corporation, Microsoft BDA Driver Support Library)
0xBACB8000 C:\WINDOWS\system32\BOOTVID.dll 12288 bytes (Microsoft Corporation, VGA Boot Driver)
0xBA0B0000 C:\WINDOWS\System32\drivers\Dxapi.sys 12288 bytes (Microsoft Corporation, DirectX API Driver)
0xBAD54000 C:\WINDOWS\system32\DRIVERS\gameenum.sys 12288 bytes (Microsoft Corporation, Game Port Enumerator)
0xBA0CC000 C:\WINDOWS\system32\DRIVERS\hidusb.sys 12288 bytes (Microsoft Corporation, USB Miniport Driver for Input Devices)
0xBA0C8000 C:\WINDOWS\system32\DRIVERS\mouhid.sys 12288 bytes (Microsoft Corporation, HID-Mausfiltertreiber)
0xBAD64000 C:\WINDOWS\system32\DRIVERS\ndistapi.sys 12288 bytes (Microsoft Corporation, NDIS 3.0 connection wrapper driver)
0xBA56D000 C:\WINDOWS\system32\DRIVERS\rasacd.sys 12288 bytes (Microsoft Corporation, RAS Automatic Connection Driver)
0xBADB0000 a347scsi.sys 8192 bytes ( , SCSI miniport)
0xBADAC000 aliide.sys 8192 bytes (Acer Laboratories Inc., ALi mini IDE Driver)
0xBADC2000 C:\Programme\Avira\AntiVir Desktop\avgio.sys 8192 bytes (Avira GmbH, Avira AntiVir Support for Minifilter)
0xBADBA000 C:\WINDOWS\System32\Drivers\Beep.SYS 8192 bytes (Microsoft Corporation, BEEP Driver)
0xBADAE000 dmload.sys 8192 bytes (Microsoft Corp., Veritas Software., NT Disk Manager Startup Driver)
0xBADC6000 C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS 8192 bytes
0xBADB8000 C:\WINDOWS\System32\Drivers\Fs_Rec.SYS 8192 bytes (Microsoft Corporation, File System Recognizer Driver)
0xBADA8000 C:\WINDOWS\system32\KDCOM.DLL 8192 bytes (Microsoft Corporation, Kernel Debugger HW Extension DLL)
0xBADBC000 C:\WINDOWS\System32\Drivers\mnmdd.SYS 8192 bytes (Microsoft Corporation, Frame buffer simulator)
0xBADEC000 C:\WINDOWS\System32\Drivers\ParVdm.SYS 8192 bytes (Microsoft Corporation, VDM-Paralleltreiber)
0xBADBE000 C:\WINDOWS\System32\DRIVERS\RDPCDD.sys 8192 bytes (Microsoft Corporation, RDP Miniport)
0xBADB4000 C:\WINDOWS\system32\DRIVERS\swenum.sys 8192 bytes (Microsoft Corporation, Plug and Play Software Device Enumerator)
0xBADB6000 C:\WINDOWS\system32\DRIVERS\USBD.SYS 8192 bytes (Microsoft Corporation, Universal Serial Bus Driver)
0xBADAA000 C:\WINDOWS\system32\DRIVERS\WMILIB.SYS 8192 bytes (Microsoft Corporation, WMILIB WMI support library Dll)
0xBAF70000 C:\WINDOWS\system32\DRIVERS\audstub.sys 4096 bytes (Microsoft Corporation, AudStub Driver)
0xBAE9A000 C:\WINDOWS\System32\drivers\dxgthk.sys 4096 bytes (Microsoft Corporation, DirectX Graphics Driver Thunk)
0xBAFAF000 C:\WINDOWS\System32\Drivers\Null.SYS 4096 bytes (Microsoft Corporation, NULL Driver)
0xBAE70000 pciide.sys 4096 bytes (Microsoft Corporation, Allgemeiner PCI IDE Bustreiber)
0x8AA3E030 unknown_irp_handler 4048 bytes
0x8A9C4178 unknown_irp_handler 3720 bytes
0x8A986218 unknown_irp_handler 3560 bytes
0x8A9CC3E8 unknown_irp_handler 3096 bytes
0x8AA27640 unknown_irp_handler 2496 bytes
0x8ABEF798 unknown_irp_handler 2152 bytes
0x8A993858 unknown_irp_handler 1960 bytes
0x8A976890 unknown_irp_handler 1904 bytes
0x89FE28E0 unknown_irp_handler 1824 bytes
0x8A9A29B0 unknown_irp_handler 1616 bytes
0x8A79FCB0 unknown_irp_handler 848 bytes
0x8A994E88 unknown_irp_handler 376 bytes
==============================================
>Stealth
==============================================
WARNING: File locked for read access [C:\WINDOWS\system32\drivers\atapi.sys]
0x00E10000 Hidden Image-->System.Runtime.Remoting.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 307200 bytes
0x00E60000 Hidden Image-->System.configuration.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 438272 bytes
0x03990000 Hidden Image-->System.Web.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 5246976 bytes
0x00D20000 Hidden Image-->Microsoft.VisualBasic.dll [ EPROCESS 0x89AE9BC0 ] PID: 2052, 675840 bytes
==============================================
>Files
==============================================
!-->[Hidden] C:\WINDOWS\system32\oodag\4BC7013D1A584DAC670C124C233842A1\01CB6A4EE695A030\4D15ABD90EF665EEB9315D1E63253187.id
!-->[Hidden] C:\WINDOWS\system32\oodag\4BC7013D1A584DAC670C124C233842A1\01CB6A4EE695A030\Job.Job
==============================================
>Hooks
==============================================
IDT-->Int 92h-->Unexpected Interrupt, Type: IDT modification[8A976DD4] [unknown_irp_handler]
ntkrnlpa.exe+0x0002A094, Type: Inline - RelativeJump 0x80501094-->80501056 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A0D4, Type: Inline - RelativeJump 0x805010D4-->805010F8 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A0E4, Type: Inline - RelativeJump 0x805010E4-->805010A6 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A12C, Type: Inline - RelativeJump 0x8050112C-->80501150 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A14C, Type: Inline - RelativeJump 0x8050114C-->8050110E [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A154, Type: Inline - RelativeJump 0x80501154-->80501116 [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A20C, Type: Inline - PushRet 0x8050120C-->C064BA78 [unknown_code_page]
ntkrnlpa.exe+0x0002A20E, Type: Inline - RelativeJump 0x8050120E-->805011CE [ntkrnlpa.exe]
ntkrnlpa.exe+0x0002A2F4, Type: Inline - RelativeJump 0x805012F4-->805012CA [ntkrnlpa.exe]
ntkrnlpa.exe+0x00069C2A, Type: Inline - RelativeJump 0x80540C2A-->80540C31 [ntkrnlpa.exe]
[4040]firefox.exe-->ntdll.dll-->LdrLoadDll, Type: Inline - RelativeJump 0x7C9261CA-->00000000 [firefox.exe]

Report Ende

Vielen Dank und wie gehts nun weiter?!

Hi,

gleiches Bild... ein Ami hatte damit erfolg:

Defogger
Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop.

• Starte das Tool mit Doppelklick. Vista User: Bitte mit Rechtsklick "als Administrator starten".
• Klicke nun auf den Disable Button um die Treiber gewisser Emulatoren zu deaktivieren.
• Wenn der Scan beendet wurde ( Finished ), klicke auf OK.
• Defogger fordert nun zum Neustart auf. Bestätige dies mit OK.
• DeFogger erstellt nun ein Logfile auf dem Desktop (defogger_disable).

Poste bitte den Inhalt der Logfile ...
und dann direkt nach dem Reboot noch mal den TDSSKiller...
und dann
starte bitte defogger erneut und klicke den Re-enable Button.


Eine franz. Lösung habe ich auch noch, die muss ich mir aber erst übersetzen lassen (kann die sprache nicht ;o)....
Du?

chris

Hi,

ok, hab alles ausgeführt wie beschrieben. Inhalt der Log-File ist folgender:

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 09:42 on 15/10/2010 (billistdoof)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...
a347bus -> Disabled (Service running -> reboot required)
a347scsi -> Disabled (Service running -> reboot required)
Unable to read atapi.sys


-=E.O.F=-

TDSS-Killer reportet "no threats".

Ist die Log-File nich ein bisserl klein?

Thx!

PS: Frz. ist auch nicht meine Stärke ;o)

Hi,

d.h. der Killer meldet kein Lock mehr auf die atapi.sys?
Dann lass bitte mal die beiden Dateien die der Defogger disabled hat bei virustotal. com prüfen und poste bei Fund das Ergebnis...
a347bus.sys
a347scs.sys
Wenn keine Funde da sind, wieder über den Defogger enablen lassen und noch mal den TdssKiller laufen lassen.

Falls dann wieder gelockt, hätten wir den Übeltäter...

Sind sonst noch Auffällichkeiten beim PC zu bemerken?

chris

Danke für deine schnellen Antworten, werde die Dateien checken lassen.


Sonstige Auffälligkeiten:

Nach dem booten ist Antivir eine Weile deaktiviert und auch die Windowsfirewall ist down. Nach ca. 2 min ist beides aktiv. Wenn man versucht, in der Anfangsphase die Windowsfirewall aufzurufen (via Systemsteuerung), dann kommt etwas in der Art: "Wegen eines unbekannten Fehlers kann der Status nicht überprüft werden."

Diese Startverzögerung ist doch nicht normal oder? Und in dieser Zeit ist das System doch ungeschützt oder?

Hi,

habe direkt nach dem Hochfahren und vor der Prüfung bei virustotal.com nochmal den TDSS-Killer laufen lassen - und siehe da, er meldet die atapi.sys wieder. Hab den defogger nochmal wie oben beschrieben ausgeführt und nun wird sie nicht mehr vom TDSS-Killer gefunden. Habe den defogger daraufhin nicht wieder re-enabled. Ist das richtig so?

virustotal.com meldet folgendes für

a347bus

a347bus.sys
Submission date:
2010-10-15 18:32:54 (UTC)
Current status:
queued queued analysing finished
Result:
0/ 43 (0.0%)

VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.10.15.00 2010.10.15 -
AntiVir 7.10.12.229 2010.10.15 -
Antiy-AVL 2.0.3.7 2010.10.15 -
Authentium 5.2.0.5 2010.10.15 -
Avast 4.8.1351.0 2010.10.15 -
Avast5 5.0.594.0 2010.10.15 -
AVG 9.0.0.851 2010.10.15 -
BitDefender 7.2 2010.10.15 -
CAT-QuickHeal 11.00 2010.10.15 -
ClamAV 0.96.2.0-git 2010.10.15 -
Comodo 6402 2010.10.15 -
DrWeb 5.0.2.03300 2010.10.15 -
Emsisoft 5.0.0.50 2010.10.15 -
eSafe 7.0.17.0 2010.10.14 -
eTrust-Vet 36.1.7913 2010.10.15 -
F-Prot 4.6.2.117 2010.10.15 -
F-Secure 9.0.16160.0 2010.10.15 -
Fortinet 4.2.249.0 2010.10.14 -
GData 21 2010.10.15 -
Ikarus T3.1.1.90.0 2010.10.15 -
Jiangmin 13.0.900 2010.10.15 -
K7AntiVirus 9.66.2760 2010.10.15 -
Kaspersky 7.0.0.125 2010.10.15 -
McAfee 5.400.0.1158 2010.10.15 -
McAfee-GW-Edition 2010.1C 2010.10.15 -
Microsoft 1.6201 2010.10.15 -
NOD32 5535 2010.10.15 -
Norman 6.06.07 2010.10.15 -
nProtect 2010-10-15.01 2010.10.15 -
Panda 10.0.2.7 2010.10.15 -
PCTools 7.0.3.5 2010.10.15 -
Prevx 3.0 2010.10.15 -
Rising 22.69.04.03 2010.10.15 -
Sophos 4.58.0 2010.10.15 -
Sunbelt 7066 2010.10.15 -
SUPERAntiSpyware 4.40.0.1006 2010.10.15 -
Symantec 20101.2.0.161 2010.10.15 -
TheHacker 6.7.0.1.057 2010.10.15 -
TrendMicro 9.120.0.1004 2010.10.15 -
TrendMicro-HouseCall 9.120.0.1004 2010.10.15 -
VBA32 3.12.14.1 2010.10.15 -
ViRobot 2010.9.25.4060 2010.10.15 -
VirusBuster 12.69.1.0 2010.10.15 -
Additional information
Show all
MD5 : 1f61cacacb521215f39061789147968c
SHA1 : 7fb4a4e095e149067131fbf8b0522b74a0ed7c49
SHA256: efbcbd984027b432f6f8b8969f13cea3361c42c7843410d526f899588cb762b1
ssdeep: 3072:1kLJF8rVEZHiR5EnvoT0f3qAO0G6DnyWGn58lzwe9eP5x0h2PQlEJGasl:1kLJ7HibioTM
VCWxGnab9c0UP5J6l
File size : 160640 bytes
First seen: 2009-02-14 15:01:14
Last seen : 2010-10-15 18:32:54
TrID:
Win64 Executable Generic (87.2%)
Win32 Executable Generic (8.6%)
Generic Win/DOS Executable (2.0%)
DOS Executable Generic (2.0%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....:
copyright....: Copyright (C) 2002-2004
product......:
description..: Plug and Play BIOS Extension
original name:
internal name:
file version.: 3.47.0.0 built by: WinDDK
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x20EA3
timedatestamp....: 0x4091F40D (Fri Apr 30 06:37:01 2004)
machinetype......: 0x14c (I386)

[[ 7 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x300, 0x17921, 0x17980, 6.71, 93b8626fb3e8bbf3d0bae65f36df5bb1
.rdata, 0x17C80, 0x2D0, 0x300, 4.78, f965431b6ec48a361d4ff9970b8df2c4
.data, 0x17F80, 0x4B1C, 0x4B80, 6.10, 9cf046b5e79cd867417e9ba928250d0d
PAGE, 0x1CB00, 0x4329, 0x4380, 6.56, 0977ff763a24df8c205a603e71fb0372
INIT, 0x20E80, 0x4624, 0x4680, 6.75, c206d0fc7ef8f2196d348a8fc9e468af
.rsrc, 0x25500, 0x318, 0x380, 2.96, 339b644db0622cda3a70bc9a546fb1c8
.reloc, 0x25880, 0x1AD0, 0x1B00, 6.62, 0be369bd1366445a6e544605911c9539

[[ 2 import(s) ]]
ntoskrnl.exe: RtlAnsiStringToUnicodeString, RtlUnicodeStringToAnsiString, RtlAppendUnicodeStringToString, ZwClose, ZwCreateKey, ZwOpenKey, IofCompleteRequest, KeClearEvent, IofCallDriver, ObfReferenceObject, IoRegisterShutdownNotification, IoDeleteDevice, IoDeleteSymbolicLink, IoCreateSymbolicLink, IoCreateDevice, ZwQueryValueKey, RtlInitAnsiString, RtlCopyUnicodeString, RtlCompareMemory, RtlEqualUnicodeString, RtlInitUnicodeString, KeLeaveCriticalRegion, KeEnterCriticalRegion, IoAttachDeviceToDeviceStack, KeInitializeEvent, KeWaitForSingleObject, IoDetachDevice, RtlWriteRegistryValue, RtlDeleteRegistryValue, swprintf, ObfDereferenceObject, IoBuildSynchronousFsdRequest, KeSynchronizeExecution, _wcsnicmp, MmIsAddressValid, MmProbeAndLockPages, ZwQuerySystemInformation, KeGetCurrentThread, ObReferenceObjectByHandle, ExGetPreviousMode, _strnicmp, _stricmp, IoDriverObjectType, IoWriteErrorLogEntry, RtlFreeUnicodeString, IoGetAttachedDevice, MmMapLockedPages, ExInitializeNPagedLookasideList, ExDeleteNPagedLookasideList, KeCancelTimer, KeSetTimer, KefReleaseSpinLockFromDpcLevel, KefAcquireSpinLockAtDpcLevel, IoFreeMdl, MmUnlockPages, IoAllocateIrp, MmBuildMdlForNonPagedPool, IoAllocateMdl, _alldiv, IoBuildDeviceIoControlRequest, IoGetDeviceObjectPointer, KeResetEvent, ZwSetValueKey, wcslen, KeDelayExecutionThread, IoFreeIrp, ExReleaseResourceLite, ExAcquireResourceExclusiveLite, KeInitializeDpc, ExfInterlockedRemoveHeadList, KeReleaseSemaphore, ExfInterlockedInsertTailList, _allmul, _allshr, memmove, ExDeleteResourceLite, PsGetVersion, KeInitializeSpinLock, RtlQueryRegistryValues, ExInitializeResourceLite, IoGetConfigurationInformation, _allrem, MmUnmapIoSpace, MmMapIoSpace, RtlFreeAnsiString, strstr, KeInitializeSemaphore, KeInitializeTimer, RtlUnwind, strncpy, sprintf, KeSetEvent, ExFreePool, ExAllocatePoolWithTag, IoReleaseCancelSpinLock, IoAcquireCancelSpinLock, IoAllocateErrorLogEntry, PsGetCurrentProcessId
HAL.dll: KfReleaseSpinLock, KeStallExecutionProcessor, KeQueryPerformanceCounter, KfRaiseIrql, KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, KfAcquireSpinLock

a347scsi

File name:
a347scsi.sys
Submission date:
2010-10-15 18:41:55 (UTC)
Current status:
queued (#4) queued (#4) analysing finished
Result:
0/ 43 (0.0%)

VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.10.15.00 2010.10.15 -
AntiVir 7.10.12.229 2010.10.15 -
Antiy-AVL 2.0.3.7 2010.10.15 -
Authentium 5.2.0.5 2010.10.15 -
Avast 4.8.1351.0 2010.10.15 -
Avast5 5.0.594.0 2010.10.15 -
AVG 9.0.0.851 2010.10.15 -
BitDefender 7.2 2010.10.15 -
CAT-QuickHeal 11.00 2010.10.15 -
ClamAV 0.96.2.0-git 2010.10.15 -
Comodo 6402 2010.10.15 -
DrWeb 5.0.2.03300 2010.10.15 -
Emsisoft 5.0.0.50 2010.10.15 -
eSafe 7.0.17.0 2010.10.14 -
eTrust-Vet 36.1.7913 2010.10.15 -
F-Prot 4.6.2.117 2010.10.15 -
F-Secure 9.0.16160.0 2010.10.15 -
Fortinet 4.2.249.0 2010.10.14 -
GData 21 2010.10.15 -
Ikarus T3.1.1.90.0 2010.10.15 -
Jiangmin 13.0.900 2010.10.15 -
K7AntiVirus 9.66.2760 2010.10.15 -
Kaspersky 7.0.0.125 2010.10.15 -
McAfee 5.400.0.1158 2010.10.15 -
McAfee-GW-Edition 2010.1C 2010.10.15 -
Microsoft 1.6201 2010.10.15 -
NOD32 5535 2010.10.15 -
Norman 6.06.07 2010.10.15 -
nProtect 2010-10-15.01 2010.10.15 -
Panda 10.0.2.7 2010.10.15 -
PCTools 7.0.3.5 2010.10.15 -
Prevx 3.0 2010.10.15 -
Rising 22.69.04.03 2010.10.15 -
Sophos 4.58.0 2010.10.15 -
Sunbelt 7066 2010.10.15 -
SUPERAntiSpyware 4.40.0.1006 2010.10.15 -
Symantec 20101.2.0.161 2010.10.15 -
TheHacker 6.7.0.1.057 2010.10.15 -
TrendMicro 9.120.0.1004 2010.10.15 -
TrendMicro-HouseCall 9.120.0.1004 2010.10.15 -
VBA32 3.12.14.1 2010.10.15 -
ViRobot 2010.9.25.4060 2010.10.15 -
VirusBuster 12.69.1.0 2010.10.15 -
Additional information
Show all
MD5 : 113e4b318bbaa7483ca4e582a4d63f49
SHA1 : f313639ffca1add416c2a79182f9c009d8121653
SHA256: 049b3963306cbf351a1a864779e89b67404c8629d816c5a3ac3a18c48706953c
ssdeep: 96:jQubCInNuDvIRu3+1/ix/aEzsmgJVyyzcTVu6GiEFj:91NuzIRu3Nx/sJAyUPcj
File size : 5248 bytes
First seen: 2008-01-07 15:01:45
Last seen : 2010-10-15 18:41:55
TrID:
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
sigcheck:
publisher....:
copyright....: Copyright (C) 2002-2004
product......:
description..: SCSI miniport
original name:
internal name:
file version.: 3.47.0.0 built by: WinDDK
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0xC00
timedatestamp....: 0x4091F31A (Fri Apr 30 06:32:58 2004)
machinetype......: 0x14c (I386)

[[ 6 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x300, 0x6DA, 0x700, 6.18, 2e3ca1dc2ed74699c2902e92d071650d
.rdata, 0xA00, 0xA0, 0x100, 2.65, 75d14a4cf2e897f4d36d3e8dbbe8790c
.data, 0xB00, 0xA8, 0x100, 0.32, f5c844d1e48cd5b745a6c4938887fcc8
INIT, 0xC00, 0x3FE, 0x400, 5.69, a999d7cf5ec878e43f00e0b4ca0cd99e
.rsrc, 0x1000, 0x2F8, 0x300, 3.19, 02124b3421246dc82de75d265aa416bb
.reloc, 0x1300, 0x10E, 0x180, 4.21, acbd5c278608570f075b42e0317db19b

[[ 3 import(s) ]]
ntoskrnl.exe: IoBuildDeviceIoControlRequest, KeInitializeEvent, ObfReferenceObject, IoGetDeviceObjectPointer, IofCallDriver, RtlInitAnsiString, IoBuildSynchronousFsdRequest, PsGetVersion, KeInitializeSpinLock, KeWaitForSingleObject, ObfDereferenceObject, IoAllocateErrorLogEntry, IoWriteErrorLogEntry, ExFreePool, RtlAnsiStringToUnicodeString, ExAllocatePoolWithTag
HAL.dll: KfAcquireSpinLock, KfReleaseSpinLock
SCSIPORT.SYS: ScsiPortNotification, ScsiPortGetLogicalUnit, ScsiPortInitialize

Vielen Dank!

Hi,

darauf kann ich mir noch keinen Reim machen....
Bezüglich Avira. Muss mal nachschauen, aber früher gab es eine Option um Avira bereits beim Systemstart zu laden, das dauert dann halt länger (dann werden alle Treiber etc. beim Laden gescannt)...

chris

Hi,

also seit ich die beiden durch den defogger geblockten Dateien (die ich auch bei virustotal.com habe prüfen lassen) nicht wieder re-enabled habe, meldet der TDSS-Killer keine threats mehr.

die startverzögerung von avira beim systemstart sowie die sache mit der firewall treten allerdings immer noch auf.

was kann ich denn nun tun? gibts da eine lösung? will diesen sch*** trojaner samt rootkit schnellstmöglich loswerden, is ja klar ...

anyway, vielen dank schonmal

Hi,

das Rootkir sollte ebenso wie der Trojaner elemeniert sein, hast du diesbezüglich noch Meldungen?

Das Avira langsam startet kann mehrer Gründe hben...

Prüfe mal ob die Rootkitsuche aktiviert ist:
Antivir Konfiguration aufrufen
Expertenmodus, Scanner, Suche und dort "Rootkit-Suche bei Systemstart" deaktivieren!

Die Bindung der Netzwerkkarte an TCP/IP mal aufheben:
XP
Lösung: Startmenü->Verbinden mit->Alle Verbindungen->Eigenschaften von LAN->TCP/IP deaktivieren.

chris

Hi Chris,

habe die Rootkitsuche deaktiviert (hieß allerdings "Rootkitsuche bei Suchstart" nicht "... bei Systemstart" - war das trotzdem das richtige?!) und beim nächsten Hochfahren war Antivir sofort da mit geöffnetem Regenschirm. Werde das aber erstmal weiter beobachten, ob es auch so bleibt...

Habe gleichzeitig das TCP/IP deaktiviert. Die Firewall hat fast 3 Minuten gebraucht, bis ich darauf zugreifen konnte und sie als aktiv angezeigt wurde

Bezüglich des Rootkits und des Trojaners:

TDSS zeigt auch weiterhin keine threats mehr an. Heißt das, dass jetzt alles wieder ok ist und ich das Internet ohne Bedenken nutzen kann?!

Grüße,

killalenin

Hi,

sollte soweit ok sein...

chris

Hi,

danke! Habe leider jetzt ein neues Problem. Hab heute nochmal einen Systemcheck mit Avira gemacht und da hat es einen neuen Fund angezeigt:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 26. Oktober 2010 18:44

Es wird nach 2970784 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 2) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : ROMAN

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 07:56:58
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 07:57:01
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 07:57:08
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 07:57:13
VBASE009.VDF : 7.10.11.134 2048 Bytes 13.09.2010 07:57:13
VBASE010.VDF : 7.10.11.135 2048 Bytes 13.09.2010 07:57:13
VBASE011.VDF : 7.10.11.136 2048 Bytes 13.09.2010 07:57:13
VBASE012.VDF : 7.10.11.137 2048 Bytes 13.09.2010 07:57:13
VBASE013.VDF : 7.10.11.165 172032 Bytes 15.09.2010 07:57:13
VBASE014.VDF : 7.10.11.202 144384 Bytes 18.09.2010 07:57:14
VBASE015.VDF : 7.10.11.231 129024 Bytes 21.09.2010 07:57:14
VBASE016.VDF : 7.10.12.4 126464 Bytes 23.09.2010 07:57:14
VBASE017.VDF : 7.10.12.38 146944 Bytes 27.09.2010 07:57:14
VBASE018.VDF : 7.10.12.64 133120 Bytes 29.09.2010 07:57:15
VBASE019.VDF : 7.10.12.99 134144 Bytes 01.10.2010 07:57:15
VBASE020.VDF : 7.10.12.122 131584 Bytes 05.10.2010 07:57:15
VBASE021.VDF : 7.10.12.148 119296 Bytes 07.10.2010 07:57:15
VBASE022.VDF : 7.10.12.175 142848 Bytes 11.10.2010 07:36:55
VBASE023.VDF : 7.10.12.198 131584 Bytes 13.10.2010 07:36:56
VBASE024.VDF : 7.10.12.216 133120 Bytes 14.10.2010 07:36:56
VBASE025.VDF : 7.10.12.238 137728 Bytes 18.10.2010 07:11:53
VBASE026.VDF : 7.10.12.254 129536 Bytes 20.10.2010 07:46:33
VBASE027.VDF : 7.10.13.22 137728 Bytes 22.10.2010 07:46:33
VBASE028.VDF : 7.10.13.23 2048 Bytes 22.10.2010 07:46:33
VBASE029.VDF : 7.10.13.24 2048 Bytes 22.10.2010 07:46:33
VBASE030.VDF : 7.10.13.25 2048 Bytes 22.10.2010 07:46:33
VBASE031.VDF : 7.10.13.37 123392 Bytes 25.10.2010 18:24:51
Engineversion : 8.2.4.84
AEVDF.DLL : 8.1.2.1 106868 Bytes 09.10.2010 07:57:22
AESCRIPT.DLL : 8.1.3.45 1368443 Bytes 09.10.2010 07:57:21
AESCN.DLL : 8.1.6.1 127347 Bytes 09.10.2010 07:57:21
AESBX.DLL : 8.1.3.1 254324 Bytes 09.10.2010 07:57:22
AERDL.DLL : 8.1.9.2 635252 Bytes 09.10.2010 07:57:21
AEPACK.DLL : 8.2.3.11 471416 Bytes 15.10.2010 07:37:00
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 09.10.2010 07:57:20
AEHEUR.DLL : 8.1.2.36 2974072 Bytes 24.10.2010 07:46:35
AEHELP.DLL : 8.1.14.0 246134 Bytes 15.10.2010 07:36:57
AEGEN.DLL : 8.1.3.23 401779 Bytes 09.10.2010 07:57:17
AEEMU.DLL : 8.1.2.0 393588 Bytes 09.10.2010 07:57:17
AECORE.DLL : 8.1.17.0 196982 Bytes 09.10.2010 07:57:17
AEBB.DLL : 8.1.1.0 53618 Bytes 09.10.2010 07:57:16
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:, F:, I:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Dienstag, 26. Oktober 2010 18:44

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\System\oodefrag08.00.00.01workstation
[HINWEIS] Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'wscntfy.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'UpdateChecker.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlbrowser.exe' - '16' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'oodag.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '88' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'aavus.exe' - '13' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '154' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '11' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'F:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'I:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '382' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XPsystem>
C:\Dokumente und Einstellungen\billistdoof\Lokale Einstellungen\Anwendungsdaten\Temp\{7D0E7632-2035-476E-AF7D-2283EFDF1F8A}
[WARNUNG] Die Datei konnte nicht gelesen werden!
C:\System Volume Information\_restore{11108D33-BED3-4E67-84EF-5842B9AE37FD}\RP529\A0112066.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.345
Beginne mit der Suche in 'D:\' <Programme>
Beginne mit der Suche in 'E:\' <Daten>
Beginne mit der Suche in 'F:\' <Spiele>
F:\Age of Empires 2\Extras\crack\MYTAECO1-MS Zone-\MYTAECO1-MS Zone-.ZIP
[0] Archivtyp: ZIP
--> MYTAECO1.ACE
[1] Archivtyp: ACE
--> age2_x1.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\empires2_x1_p1.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\gamedata_x1_p1.drs
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> language_x1_p1.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Canals_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Capricious_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Dingos_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Graveyards_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Metropolis_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Moats_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@ParadiseIsland_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Pilgrims_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Prairie_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Seasons_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Forest_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Heroes_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Shipwreck_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Team_Glaciers_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@The_Unknown_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> ReadmeX_a.rtf
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> setupenu.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> SetupReg.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
F:\Age of Empires 2\Extras\crack\MYTAOEC1\MYTAOEC1.ZIP
[0] Archivtyp: ZIP
--> MYTAOEC1.ACE
[1] Archivtyp: ACE
--> age2_x1\age2_x1.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\dplayerx.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\drvmgt.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clcd16.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clcd32.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\mcp.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\clokspl.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> age2_x1\secdrv.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\empires2_x1_p1.dat
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> data\gamedata_x1_p1.drs
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> language_x1_p1.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Canals_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Capricious_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Dingos_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Graveyards_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Metropolis_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Moats_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@ParadiseIsland_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Pilgrims_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Prairie_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Seasons_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Forest_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Sherwood_Heroes_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Shipwreck_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@Team_Glaciers_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> random\ES@The_Unknown_v2.rms
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> ReadmeX_a.rtf
[WARNUNG] Die Datei konnte nicht geöffnet werden!
--> setupenu.dll
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'I:\' <XPgames>

Beginne mit der Desinfektion:
C:\System Volume Information\_restore{11108D33-BED3-4E67-84EF-5842B9AE37FD}\RP529\A0112066.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.345
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f7baa90.qua' verschoben!


Ende des Suchlaufs: Dienstag, 26. Oktober 2010 19:20
Benötigte Zeit: 34:18 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

12838 Verzeichnisse wurden überprüft
422794 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
422793 Dateien ohne Befall
3111 Archive wurden durchsucht
51 Warnungen
1 Hinweise
295450 Objekte wurden beim Rootkitscan durchsucht
1 Versteckte Objekte wurden gefunden

Kann damit die Verzögerung der Windows-Firewall zusammenhängen? Und wie werde ich den nun wieder los? Mann mann mann, kaum hat man ein Problem gelöst, taucht ein neues auf

Danke,

killalenin

Hi,

der Fund liegt in der Systemwiederherstellung und wurde irgenwann mal mitgesichert, dher Systemwiederherstellung ausschalten, booten und dann wieder einschalten, dann sollte das Problem gelöst sein...

Der Rest liegt daran, dass Du verbotene Sw einsetzt, damit endet dann auch unser Support hier...

F:\Age of Empires 2\Extras\crack\MYTAECO1-MS Zone-\MYTAECO1-MS Zone-.ZIP

chris&out