Computer reinigen nach Entfernen des BKA-Trojaners

Neenee · 05.06.2011, 18:00

Hallo,
ich hatte jetzt zweimal hintereinander diesen BKA-Trojaner auf meinem Computer. Ich konnte ihn zwar außer Gefecht setzen, indem ich im abgesicherten Modus in die Registry gegangen bin und dort eine offenbar eingesetzte Datei durch explorer.exe ersetzt habe. Aber wie ich gelesen habe, sitzt der wohl an vielen verschiedenen Stellen des Systems. Ich habe danach einen Virenscan laufen lassen. Der hat die Datei, die ich schon in der Registry ersetzt hatte, gefunden und in Quarantäne verschoben. Aber sonst nichts. Jetzt würde ich gern noch die Reste von dem Trojaner aus meinem System entfernen.
Danke für die Hilfe!!!
Neenee

cosinus · 05.06.2011, 20:26

Zitat:

Der hat die Datei, die ich schon in der Registry ersetzt hatte, gefunden und in Quarantäne verschoben

Bitte das Logfile dazu vom Scanner posten.

Neenee · 05.06.2011, 20:53

Hallo,
hier das Log-File.

cosinus · 05.06.2011, 21:03

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Neenee · 05.06.2011, 22:09

Also, Malwarebytes hat drei Dateien gefunden und gelöscht.
Hier das Log-File.

cosinus · 06.06.2011, 10:44

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

ATTFilter

:OTL
O4 - HKCU..\Run: [AdobeBridge]  File not found
O4 - HKCU..\Run: [Okokogaz]  File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
[2011.05.08 22:24:24 | 000,000,000 | ---- | M] () -- C:\Users\***\2gweorjqjutp92vjy9gake
[2010.10.25 00:00:32 | 000,000,000 | ---D | M] -- C:\de32c64f4f7defa6febdd7945b4542
:Commands
[purity]
[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Neenee · 06.06.2011, 21:45

Hallo,
hier das neus Log-File.
Grüße,
Neenee

cosinus · 07.06.2011, 10:19

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )

Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!

Neenee · 07.06.2011, 21:40

Hallo Arne,
hier das neue Log.
Grüße,
Neenee

cosinus · 07.06.2011, 22:25

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Neenee · 08.06.2011, 19:32

Hallo,
hier das Log von Combofix:

Combofix Logfile:

Code:

ATTFilter

ComboFix 11-06-08.01 - *** 08.06.2011  20:13:40.1.2 - x86
Microsoft Windows 7 Professional   6.1.7600.0.1252.49.1031.18.3071.2172 [GMT 2:00]
ausgeführt von:: c:\users\***\Desktop\cofi.exe
AV: AntiVir Desktop *Disabled/Outdated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Disabled/Outdated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\***\AppData\Local\{73C9514A-2D20-4713-AD59-5650B61C848B}
c:\users\***\AppData\Local\{73C9514A-2D20-4713-AD59-5650B61C848B}\chrome.manifest
c:\users\***\AppData\Local\{73C9514A-2D20-4713-AD59-5650B61C848B}\chrome\content\_cfg.js
c:\users\***\AppData\Local\{73C9514A-2D20-4713-AD59-5650B61C848B}\chrome\content\overlay.xul
c:\users\***\AppData\Local\{73C9514A-2D20-4713-AD59-5650B61C848B}\install.rdf
c:\users\***\AppData\Roaming\Adobe\plugs
c:\users\***\AppData\Roaming\Adobe\shed
c:\windows\IsUn0407.exe
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-05-08 bis 2011-06-08  ))))))))))))))))))))))))))))))
.
.
2011-06-08 18:18 . 2011-06-08 18:18	--------	d-----w-	c:\users\Default\AppData\Local\temp
2011-06-07 20:26 . 2011-05-09 20:46	6962000	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{1CDEB463-055C-48F7-81F7-8DDF1D786A51}\mpengine.dll
2011-06-06 20:40 . 2011-06-06 20:40	--------	d-----w-	C:\_OTL
2011-06-05 20:09 . 2011-06-05 20:09	--------	d-----w-	c:\users\***\AppData\Roaming\Malwarebytes
2011-06-05 20:08 . 2011-05-29 07:11	39984	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-06-05 20:08 . 2011-06-05 20:08	--------	d-----w-	c:\programdata\Malwarebytes
2011-06-05 20:08 . 2011-06-05 20:08	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2011-06-05 20:08 . 2011-05-29 07:11	22712	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-06-05 15:25 . 2011-06-05 15:25	--------	d-----w-	c:\program files\Common Files\Java
2011-06-05 12:59 . 2011-06-05 12:59	--------	d-----w-	c:\users\***\AppData\Roaming\Avira
2011-06-05 12:57 . 2010-03-01 08:05	124784	----a-w-	c:\windows\system32\drivers\avipbb.sys
2011-06-05 12:57 . 2010-02-16 12:24	60936	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2011-06-05 12:57 . 2009-05-11 10:49	51992	----a-w-	c:\windows\system32\drivers\avgntdd.sys
2011-06-05 12:57 . 2009-05-11 10:49	17016	----a-w-	c:\windows\system32\drivers\avgntmgr.sys
2011-06-05 12:57 . 2011-06-05 12:57	--------	d-----w-	c:\programdata\Avira
2011-06-05 12:57 . 2011-06-05 12:57	--------	d-----w-	c:\program files\Avira
2011-05-29 12:35 . 2011-06-08 17:54	--------	d-----w-	c:\programdata\Easybits GO
2011-05-26 17:31 . 2011-04-09 05:56	123904	----a-w-	c:\windows\system32\poqexec.exe
2011-05-25 20:25 . 2011-04-22 19:36	26496	----a-w-	c:\windows\system32\drivers\Diskdump.sys
2011-05-25 20:24 . 2011-06-08 18:00	404640	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-13 20:27 . 2011-05-13 20:27	781272	----a-w-	c:\program files\Mozilla Firefox\mozsqlite3.dll
2011-05-13 20:27 . 2011-05-13 20:27	1874904	----a-w-	c:\program files\Mozilla Firefox\mozjs.dll
2011-05-13 20:27 . 2011-05-13 20:27	89048	----a-w-	c:\program files\Mozilla Firefox\libEGL.dll
2011-05-13 20:27 . 2011-05-13 20:27	465880	----a-w-	c:\program files\Mozilla Firefox\libGLESv2.dll
2011-05-13 20:27 . 2011-05-13 20:27	1974616	----a-w-	c:\program files\Mozilla Firefox\D3DCompiler_42.dll
2011-05-13 20:27 . 2011-05-13 20:27	1892184	----a-w-	c:\program files\Mozilla Firefox\d3dx9_42.dll
2011-05-13 20:27 . 2011-05-13 20:27	15832	----a-w-	c:\program files\Mozilla Firefox\mozalloc.dll
2011-05-13 20:27 . 2011-05-13 20:27	142296	----a-w-	c:\program files\Mozilla Firefox\components\browsercomps.dll
2011-05-13 17:47 . 2011-04-09 06:13	3957632	----a-w-	c:\windows\system32\ntkrnlpa.exe
2011-05-13 17:47 . 2011-04-09 06:13	3901824	----a-w-	c:\windows\system32\ntoskrnl.exe
2011-05-13 11:09 . 2011-06-05 12:48	--------	d-----w-	c:\programdata\AVAST Software
2011-05-13 11:09 . 2011-05-13 11:09	--------	d-----w-	c:\program files\AVAST Software
2011-05-13 06:30 . 2009-12-14 10:44	88632	----a-w-	c:\windows\system32\drivers\CSCrySec.sys
2011-05-13 06:30 . 2009-12-14 10:44	39352	----a-w-	c:\windows\system32\drivers\CSVirtualDiskDrv.sys
2011-05-13 06:30 . 2011-05-13 11:04	--------	dc----w-	c:\windows\system32\DRVSTORE
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-12 11:31 . 2011-04-26 20:50	442880	----a-w-	c:\windows\system32\XpsPrint.dll
2011-03-11 05:44 . 2011-04-26 20:50	146304	----a-w-	c:\windows\system32\drivers\storport.sys
2011-03-11 05:44 . 2011-04-26 20:50	143744	----a-w-	c:\windows\system32\drivers\nvstor.sys
2011-03-11 05:44 . 2011-04-26 20:50	1210240	----a-w-	c:\windows\system32\drivers\ntfs.sys
2011-03-11 05:44 . 2011-04-26 20:50	117120	----a-w-	c:\windows\system32\drivers\nvraid.sys
2011-03-11 05:43 . 2011-04-26 20:50	332160	----a-w-	c:\windows\system32\drivers\iaStorV.sys
2011-03-11 05:43 . 2011-04-26 20:50	80256	----a-w-	c:\windows\system32\drivers\amdsata.sys
2011-03-11 05:43 . 2011-04-26 20:50	22400	----a-w-	c:\windows\system32\drivers\amdxata.sys
2011-03-11 05:40 . 2011-04-12 20:36	1137664	----a-w-	c:\windows\system32\mfc42.dll
2011-03-11 05:40 . 2011-04-12 20:36	1164288	----a-w-	c:\windows\system32\mfc42u.dll
2011-03-11 05:39 . 2011-04-26 20:50	1686016	----a-w-	c:\windows\system32\esent.dll
2011-03-11 05:37 . 2011-04-26 20:50	74240	----a-w-	c:\windows\system32\fsutil.exe
2011-05-13 20:27 . 2011-05-13 20:27	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}]
2010-05-21 10:17	1233288	----a-w-	c:\program files\Ask.com\GenericAskToolbar.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\program files\Ask.com\GenericAskToolbar.dll" [2010-05-21 1233288]
.
[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]
.
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\program files\Ask.com\GenericAskToolbar.dll" [2010-05-21 1233288]
.
[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2010-04-16 3872080]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2011-01-26 15026056]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"DivXUpdate"="c:\program files\DivX\DivX Update\DivXUpdate.exe" [2010-06-03 1144104]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2008-10-25 31072]
"AdobeAAMUpdater-1.0"="c:\program files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe" [2010-03-06 500208]
"AdobeCS5ServiceManager"="c:\program files\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe" [2010-02-22 406992]
"SwitchBoard"="c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]
"Malwarebytes' Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2011-05-29 1047656]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Adobe Gamma Loader.lnk - c:\program files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2010-8-15 110592]
VPN Client.lnk - c:\windows\Installer\{B0BF7057-6869-4E4B-920C-EA2A58DA07F0}\Icon3E5562ED7.ico [2010-11-5 6144]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2011-05-29 39984]
R3 SwitchBoard;SwitchBoard;c:\program files\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [2010-02-19 517096]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2009-08-18 176128]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2010-02-24 135336]
S2 NAUpdate;Nero Update;c:\program files\Nero\Update\NASvc.exe [2010-05-04 503080]
S3 SiSGbeLH;NDIS 6.0-Treiber für SiS191/SiS190-Ethernet-Gerät;c:\windows\system32\DRIVERS\SiSGB6.sys [2009-07-13 48128]
S3 vwifimp;Microsoft Virtual WiFi Miniport Service;c:\windows\system32\DRIVERS\vwifimp.sys [2009-07-13 14336]
.
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~4\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.1.1 193.189.244.194 193.189.244.202
FF - ProfilePath - c:\users\***\AppData\Roaming\Mozilla\Firefox\Profiles\etmdsy7m.default\
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
AddRemove-Adobe Photoshop Elements 2.0 - c:\windows\ISUN0407.EXE
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2011-06-08  20:20:06
ComboFix-quarantined-files.txt  2011-06-08 18:20
.
Vor Suchlauf: 9 Verzeichnis(se), 268.406.472.704 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 268.727.582.720 Bytes frei
.
- - End Of File - - AD986252DF55BDF8F75E4E2AD68056E0

--- --- ---

cosinus · 08.06.2011, 21:29

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Neenee · 08.06.2011, 22:07

Hallo Arne,
hier das Log von MBRCheck:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows 7 Professional
Windows Information: (build 7600), 32-bit
Base Board Manufacturer: ASUSTeK Computer Inc.
BIOS Manufacturer: American Megatrends Inc.
System Manufacturer: ASUSTeK Computer Inc.
System Product Name: F5SL
Logical Drives Mask: 0x00000034

Kernel Drivers (total 189):
0x82A1C000 \SystemRoot\system32\ntkrnlpa.exe
0x82E2C000 \SystemRoot\system32\halmacpi.dll
0x80BA3000 \SystemRoot\system32\kdcom.dll
0x8AA1D000 \SystemRoot\system32\mcupdate_GenuineIntel.dll
0x8AA95000 \SystemRoot\system32\PSHED.dll
0x8AAA6000 \SystemRoot\system32\BOOTVID.dll
0x8AAAE000 \SystemRoot\system32\CLFS.SYS
0x8AAF0000 \SystemRoot\system32\CI.dll
0x8AC33000 \SystemRoot\system32\drivers\Wdf01000.sys
0x8ACA4000 \SystemRoot\system32\drivers\WDFLDR.SYS
0x8ACB2000 \SystemRoot\system32\DRIVERS\ACPI.sys
0x8ACFA000 \SystemRoot\system32\DRIVERS\WMILIB.SYS
0x8AD03000 \SystemRoot\system32\DRIVERS\msisadrv.sys
0x8AD0B000 \SystemRoot\system32\DRIVERS\pci.sys
0x8AD35000 \SystemRoot\system32\DRIVERS\vdrvroot.sys
0x8AD40000 \SystemRoot\System32\drivers\partmgr.sys
0x8AD51000 \SystemRoot\system32\DRIVERS\compbatt.sys
0x8AD59000 \SystemRoot\system32\DRIVERS\BATTC.SYS
0x8AD64000 \SystemRoot\system32\DRIVERS\volmgr.sys
0x8AD74000 \SystemRoot\System32\drivers\volmgrx.sys
0x8ADBF000 \SystemRoot\system32\DRIVERS\pciide.sys
0x8ADC6000 \SystemRoot\system32\DRIVERS\PCIIDEX.SYS
0x8ADD4000 \SystemRoot\System32\drivers\mountmgr.sys
0x8ADEA000 \SystemRoot\system32\DRIVERS\atapi.sys
0x8AC00000 \SystemRoot\system32\DRIVERS\ataport.SYS
0x8AC23000 \SystemRoot\system32\drivers\amdxata.sys
0x8AB9B000 \SystemRoot\system32\drivers\fltmgr.sys
0x8ABCF000 \SystemRoot\system32\drivers\fileinfo.sys
0x8AE29000 \SystemRoot\System32\Drivers\Ntfs.sys
0x8AF58000 \SystemRoot\System32\Drivers\msrpc.sys
0x8AF83000 \SystemRoot\System32\Drivers\ksecdd.sys
0x8AF96000 \SystemRoot\System32\Drivers\cng.sys
0x8AE00000 \SystemRoot\System32\drivers\pcw.sys
0x8AE0E000 \SystemRoot\System32\Drivers\Fs_Rec.sys
0x8B006000 \SystemRoot\system32\drivers\ndis.sys
0x8B0BD000 \SystemRoot\system32\drivers\NETIO.SYS
0x8B0FB000 \SystemRoot\System32\Drivers\ksecpkg.sys
0x8B214000 \SystemRoot\System32\drivers\tcpip.sys
0x8B35D000 \SystemRoot\System32\drivers\fwpkclnt.sys
0x8B38E000 \SystemRoot\system32\DRIVERS\vmstorfl.sys
0x8B397000 \SystemRoot\system32\DRIVERS\volsnap.sys
0x8B3D6000 \SystemRoot\System32\Drivers\spldr.sys
0x8B120000 \SystemRoot\System32\drivers\rdyboost.sys
0x8B3DE000 \SystemRoot\System32\Drivers\mup.sys
0x8B3EE000 \SystemRoot\System32\drivers\hwpolicy.sys
0x8B14D000 \SystemRoot\System32\DRIVERS\fvevol.sys
0x8B200000 \SystemRoot\system32\DRIVERS\disk.sys
0x8B17F000 \SystemRoot\system32\DRIVERS\CLASSPNP.SYS
0x8B1CD000 \SystemRoot\system32\DRIVERS\cdrom.sys
0x8B1EC000 \SystemRoot\System32\Drivers\Null.SYS
0x8B1F3000 \SystemRoot\System32\Drivers\Beep.SYS
0x8AE17000 \SystemRoot\System32\drivers\vga.sys
0x8FA11000 \SystemRoot\System32\drivers\VIDEOPRT.SYS
0x8FA32000 \SystemRoot\System32\drivers\watchdog.sys
0x8FA3F000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0x8FA47000 \SystemRoot\system32\drivers\rdpencdd.sys
0x8FA4F000 \SystemRoot\system32\drivers\rdprefmp.sys
0x8FA57000 \SystemRoot\System32\Drivers\Msfs.SYS
0x8FA62000 \SystemRoot\System32\Drivers\Npfs.SYS
0x8FA70000 \SystemRoot\system32\DRIVERS\tdx.sys
0x8FA87000 \SystemRoot\system32\DRIVERS\TDI.SYS
0x8FA92000 \SystemRoot\system32\drivers\afd.sys
0x8FAEC000 \SystemRoot\System32\DRIVERS\netbt.sys
0x8FB1E000 \SystemRoot\system32\DRIVERS\wfplwf.sys
0x8FB25000 \SystemRoot\system32\DRIVERS\pacer.sys
0x8FB44000 \SystemRoot\system32\DRIVERS\vwififlt.sys
0x8FB55000 \SystemRoot\system32\DRIVERS\netbios.sys
0x8FB63000 \SystemRoot\system32\DRIVERS\wanarp.sys
0x8FB76000 \SystemRoot\system32\DRIVERS\termdd.sys
0x8FB86000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0x8FB8C000 \SystemRoot\system32\DRIVERS\rdbss.sys
0x8FBCD000 \SystemRoot\system32\drivers\nsiproxy.sys
0x8FBD7000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0x8FBE1000 \SystemRoot\System32\drivers\discache.sys
0x8F222000 \SystemRoot\system32\drivers\csc.sys
0x8F286000 \SystemRoot\System32\Drivers\dfsc.sys
0x8F29E000 \SystemRoot\system32\DRIVERS\blbdrive.sys
0x8F2AC000 \SystemRoot\system32\DRIVERS\avipbb.sys
0x8F2CE000 \SystemRoot\system32\DRIVERS\tunnel.sys
0x8F2EF000 \SystemRoot\system32\DRIVERS\ATKACPI.sys
0x8F2F7000 \SystemRoot\system32\DRIVERS\intelppm.sys
0x9042A000 \SystemRoot\system32\DRIVERS\atikmdag.sys
0x9093F000 \SystemRoot\System32\drivers\dxgkrnl.sys
0x8F309000 \SystemRoot\System32\drivers\dxgmms1.sys
0x90400000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0x90418000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0x8F342000 \SystemRoot\system32\DRIVERS\mouclass.sys
0x909F6000 \SystemRoot\system32\DRIVERS\usbohci.sys
0x8F34F000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0x8F39A000 \SystemRoot\system32\DRIVERS\usbehci.sys
0x8F3A9000 \SystemRoot\system32\DRIVERS\SiSGB6.sys
0x94A20000 \SystemRoot\system32\DRIVERS\athr.sys
0x94B4D000 \SystemRoot\system32\DRIVERS\vwifibus.sys
0x94B57000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0x94B76000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0x94B7A000 \SystemRoot\system32\DRIVERS\CompositeBus.sys
0x94B87000 \SystemRoot\system32\DRIVERS\dne2000.sys
0x94BA6000 \SystemRoot\system32\DRIVERS\AgileVpn.sys
0x94BB8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0x94BD0000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0x94BDB000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0x94A00000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0x8F3B9000 \SystemRoot\system32\DRIVERS\raspptp.sys
0x8F3D0000 \SystemRoot\system32\DRIVERS\rassstp.sys
0x8F3E7000 \SystemRoot\system32\DRIVERS\rdpbus.sys
0x94A18000 \SystemRoot\system32\DRIVERS\swenum.sys
0x9581A000 \SystemRoot\system32\DRIVERS\ks.sys
0x9584E000 \SystemRoot\system32\DRIVERS\umbus.sys
0x9585C000 \SystemRoot\system32\DRIVERS\usbhub.sys
0x958A0000 \SystemRoot\System32\Drivers\NDProxy.SYS
0x958B1000 \SystemRoot\system32\drivers\HdAudio.sys
0x95901000 \SystemRoot\system32\drivers\portcls.sys
0x95930000 \SystemRoot\system32\drivers\drmk.sys
0x9602A000 \SystemRoot\system32\DRIVERS\smserial.sys
0x9613E000 \SystemRoot\system32\drivers\modem.sys
0x9614B000 \SystemRoot\system32\drivers\USBSTOR.SYS
0x96162000 \SystemRoot\system32\drivers\USBD.SYS
0x82280000 \SystemRoot\System32\win32k.sys
0x96164000 \SystemRoot\System32\drivers\Dxapi.sys
0x9616E000 \SystemRoot\System32\Drivers\crashdmp.sys
0x9617B000 \SystemRoot\System32\Drivers\dump_dumpata.sys
0x96186000 \SystemRoot\System32\Drivers\dump_atapi.sys
0x9618F000 \SystemRoot\System32\Drivers\dump_dumpfve.sys
0x961A0000 \SystemRoot\system32\DRIVERS\monitor.sys
0x824E0000 \SystemRoot\System32\TSDDD.dll
0x82510000 \SystemRoot\System32\cdd.dll
0x82530000 \SystemRoot\System32\ATMFD.DLL
0x961AB000 \SystemRoot\system32\drivers\luafv.sys
0x961C6000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0x961DB000 \SystemRoot\system32\drivers\WudfPf.sys
0x96000000 \SystemRoot\system32\DRIVERS\lltdio.sys
0x95949000 \SystemRoot\system32\DRIVERS\nwifi.sys
0x96010000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0x9598F000 \SystemRoot\system32\DRIVERS\rspndr.sys
0x98430000 \SystemRoot\system32\drivers\HTTP.sys
0x984B5000 \SystemRoot\system32\DRIVERS\bowser.sys
0x984CE000 \SystemRoot\System32\drivers\mpsdrv.sys
0x984E0000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0x98503000 \SystemRoot\system32\DRIVERS\mrxsmb10.sys
0x9853E000 \SystemRoot\system32\DRIVERS\mrxsmb20.sys
0x98559000 \??\C:\Windows\system32\Drivers\CVPNDRVA.sys
0x9C22F000 \SystemRoot\system32\drivers\peauth.sys
0x9C2C6000 \SystemRoot\System32\Drivers\secdrv.SYS
0x9C2D0000 \SystemRoot\System32\DRIVERS\srvnet.sys
0x9C2F1000 \SystemRoot\System32\drivers\tcpipreg.sys
0x9C2FE000 \SystemRoot\System32\DRIVERS\srv2.sys
0x9C34D000 \SystemRoot\System32\DRIVERS\srv.sys
0x9C3C0000 \SystemRoot\System32\Drivers\fastfat.SYS
0xA2A8D000 \SystemRoot\system32\DRIVERS\asyncmac.sys
0xA2A96000 \??\C:\Users\***\AppData\Local\Temp\kxndqkob.sys
0x77BF0000 \Windows\System32\ntdll.dll
0x48090000 \Windows\System32\smss.exe
0x77E30000 \Windows\System32\apisetschema.dll
0x001C0000 \Windows\System32\autochk.exe
0x76FA0000 \Windows\System32\shell32.dll
0x77DA0000 \Windows\System32\comdlg32.dll
0x76DA0000 \Windows\System32\iertutil.dll
0x76C00000 \Windows\System32\setupapi.dll
0x76B00000 \Windows\System32\wininet.dll
0x76A70000 \Windows\System32\oleaut32.dll
0x77D90000 \Windows\System32\nsi.dll
0x769E0000 \Windows\System32\clbcatq.dll
0x77D60000 \Windows\System32\imagehlp.dll
0x76980000 \Windows\System32\shlwapi.dll
0x76930000 \Windows\System32\Wldap32.dll
0x768F0000 \Windows\System32\ws2_32.dll
0x77D40000 \Windows\System32\sechost.dll
0x76820000 \Windows\System32\msctf.dll
0x77D30000 \Windows\System32\psapi.dll
0x766E0000 \Windows\System32\urlmon.dll
0x766D0000 \Windows\System32\lpk.dll
0x766B0000 \Windows\System32\imm32.dll
0x76600000 \Windows\System32\rpcrt4.dll
0x76520000 \Windows\System32\kernel32.dll
0x764D0000 \Windows\System32\gdi32.dll
0x76370000 \Windows\System32\ole32.dll
0x762D0000 \Windows\System32\usp10.dll
0x76270000 \Windows\System32\difxapi.dll
0x761A0000 \Windows\System32\user32.dll
0x760F0000 \Windows\System32\msvcrt.dll
0x76050000 \Windows\System32\advapi32.dll
0x76040000 \Windows\System32\normaliz.dll
0x76010000 \Windows\System32\cfgmgr32.dll
0x75FC0000 \Windows\System32\KernelBase.dll
0x75F90000 \Windows\System32\wintrust.dll
0x75F70000 \Windows\System32\devobj.dll
0x75EE0000 \Windows\System32\comctl32.dll
0x75DC0000 \Windows\System32\crypt32.dll
0x75DB0000 \Windows\System32\msasn1.dll

Processes (total 54):
0 System Idle Process
4 System
260 C:\Windows\System32\smss.exe
344 csrss.exe
416 C:\Windows\System32\wininit.exe
432 csrss.exe
464 C:\Windows\System32\services.exe
480 C:\Windows\System32\lsass.exe
492 C:\Windows\System32\lsm.exe
592 C:\Windows\System32\svchost.exe
676 C:\Windows\System32\svchost.exe
732 C:\Windows\System32\atiesrxx.exe
780 C:\Windows\System32\winlogon.exe
824 C:\Windows\System32\svchost.exe
864 C:\Windows\System32\svchost.exe
908 C:\Windows\System32\svchost.exe
1112 C:\Windows\System32\svchost.exe
1136 C:\Windows\System32\atieclxx.exe
1340 C:\Windows\System32\svchost.exe
1488 C:\Windows\System32\spoolsv.exe
1524 C:\Program Files\Avira\AntiVir Desktop\sched.exe
1544 C:\Windows\System32\svchost.exe
1644 C:\Program Files\Avira\AntiVir Desktop\avguard.exe
1676 C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
1776 C:\Windows\System32\svchost.exe
1844 C:\Program Files\Avira\AntiVir Desktop\avshadow.exe
304 C:\Windows\System32\conhost.exe
2436 C:\Windows\System32\dwm.exe
2448 C:\Windows\explorer.exe
2472 C:\Windows\System32\taskhost.exe
2680 C:\Program Files\DivX\DivX Update\DivXUpdate.exe
2688 C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
2832 C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
2864 C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
2888 C:\Program Files\Common Files\Java\Java Update\jusched.exe
3052 C:\Program Files\Windows Live\Messenger\msnmsgr.exe
3060 C:\Program Files\Skype\Phone\Skype.exe
3268 C:\Windows\System32\svchost.exe
3732 C:\Program Files\Skype\Plugin Manager\skypePM.exe
3772 C:\Windows\System32\SearchIndexer.exe
1124 C:\Program Files\Windows Media Player\wmpnetwk.exe
3696 C:\Windows\System32\svchost.exe
2192 C:\Program Files\Nero\Update\NASvc.exe
2792 C:\Windows\System32\svchost.exe
3504 C:\Program Files\Mozilla Firefox\firefox.exe
2968 C:\Windows\System32\wuauclt.exe
808 C:\Program Files\Windows Live\Contacts\wlcomm.exe
2392 C:\Program Files\Mozilla Firefox\plugin-container.exe
2992 C:\Windows\System32\SearchProtocolHost.exe
2560 C:\Windows\System32\SearchFilterHost.exe
1516 C:\Windows\System32\audiodg.exe
2704 C:\Users\***\Desktop\MBRCheck.exe
1048 C:\Windows\System32\conhost.exe
3744 C:\Windows\System32\dllhost.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000002`71200000 (NTFS)

PhysicalDrive0 Model Number: ST9320320AS, Rev: 0303

Size Device Name MBR Status
--------------------------------------------
298 GB \\.\PhysicalDrive0 Windows 7 MBR code detected
SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79

Done!

Brauchst du auch die Logs von OSAM und GMER?
Ich bin mir nicht ganz sicher, ob das alles richtig funktioniert hat. Ich habe bei OSAM wohl doch die Online-Abfrage gemacht. Ist das ein Problem?
Grüße
Neenee

cosinus · 09.06.2011, 09:19

Ja ich brauch e alle Logs und von OSAM einfach ein neue Log erstellen

Neenee · 09.06.2011, 21:06

Hallo Arne,
hier die fehlenden Logs.
Grüße,
Neenee

05.06.2011, 21:03	#4
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Computer reinigen nach Entfernen des BKA-Trojaners Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! __________________ Logfiles bitte immer in CODE-Tags posten

09.06.2011, 09:19	#14
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Computer reinigen nach Entfernen des BKA-Trojaners Ja ich brauch e alle Logs und von OSAM einfach ein neue Log erstellen __________________ Logfiles bitte immer in CODE-Tags posten

Computer reinigen nach Entfernen des BKA-Trojaners

Log-Analyse und Auswertung: Computer reinigen nach Entfernen des BKA-Trojaners