|
BOO/Sinowal.E Hallo: Durch Zufall bin ich auf dieses Forum gestossen und hoffe nun, hier Hilfe für mein Problem zu finde. Sollte ich gegen eine Regel verstossen, so bitte ich um Entschuldigung. Habe mir die Forumsregeln durchgelesen und hoffe, alles richtig zu machen. Nun zu meinem Problem: Gestern stürzte mein PC plötzlich ab und startete von selbst wieder. Mein Avira meldete dann, dass ich den BOO/Sinowal.E Virus auf dem Masterbootsektor HDO und auf Bootsektor C:. Habe CCleaner runtergeladen und gestartet, doch mich nicht getraut, die Fehler zu beheben, denn er meldete Fehler in Anwendungsprogramme wie Office 2007. Wenn ich die Fehler behebe, dann wird das doch alles gelöscht oder? Bin totaler Laie. Kann mir jemand helfe? Mein PC ist sehr wichtig für mich, da ich damit arbeite und ohne aufgeschmissen wäre. Die Festplatte zu formatieren, wäre einfach schrecklich, da ich so viel drauf habe. Vielen Dank im Voraus |
|
Hallo: Hier das Ergebnis: device: opened successfully user: MBR read successfully kernel: MBR read successfully detected MBR rootkit hooks: \Driver\ACPI -> 0x852c0bd0 \Driver\atapi -> 0x856522a8 NDIS: VIA Rhine II Fast Ethernet Adapter -> SendCompleteHandler -> 0x852fcdf0 Warning: possible MBR rootkit infection ! copy of MBR has been found in sector 0x0DF8F900 malicious code @ sector 0x0DF8F903 ! PE file found in sector at 0x0DF8F919 ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. Vielen Dank Habe nochmals laufen lassen, direkt auf C: Hier das neue Ergebnis: device: opened successfully user: MBR read successfully kernel: MBR read successfully detected MBR rootkit hooks: \Driver\ACPI -> 0x852c0bd0 \Driver\atapi -> 0x856522a8 NDIS: VIA Rhine II Fast Ethernet Adapter -> SendCompleteHandler -> 0x852fcdf0 Warning: possible MBR rootkit infection ! copy of MBR has been found in sector 0x0DF8F900 malicious code @ sector 0x0DF8F903 ! PE file found in sector at 0x0DF8F919 ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. original MBR restored successfully ! Danke |
mbr.exe auf C:\ laden (oder aufs Desktop laden und dann auf C:\ verschieben) Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als fix.bat mit 'Speichern unter' auf C:\ Gebe bei Dateityp 'Alle Dateien' an. mbr.exe -f Du solltest jetzt in C:\ diese Datei fix.bat finden. Doppelklick auf fix.bat Es wird ein Log erstellt ( mbr.log ) und poste dessen Inhalt hier. |
Hallo: device: opened successfully user: MBR read successfully kernel: MBR read successfully detected MBR rootkit hooks: \Driver\ACPI -> 0x852c0bd0 \Driver\atapi -> 0x856522a8 NDIS: VIA Rhine II Fast Ethernet Adapter -> SendCompleteHandler -> 0x852fcdf0 Warning: possible MBR rootkit infection ! user & kernel MBR OK copy of MBR has been found in sector 0x0DF8F900 malicious code @ sector 0x0DF8F903 ! PE file found in sector at 0x0DF8F919 ! Use "Recovery Console" command "fixmbr" to clear infection ! Vielen Dank |
Hast du die Schritte ausgeführt wie sie da stehen um den Rootkit zu cleanen? |
Ich denke schon. Mein Problem: Lebe in Spanien und habe Windows auf spanisch. Editor ist das der Notizblock oder WordPad? Habe dort mbr.exe -f eingegeben und als fix.bat in C gespeichert. Dann Doppelclick und danach die mbr.log Datei hier kopiert. Danke |
Schaun wir mal genauer nach mit Gmer Rootkit Detection. Downloade das Tool von Hier und lass es durchlaufen, wie in der Anleitung beschrieben. Poste das Log hier her. |
Hallo: Ich antworte mit meinem Laptop. Das Gmer läuft nun schon seit fast 4 Stunden! Ist das so normal? Werde dann die Logfile wohl erst später oder morgen schicken können. Vielen Dank für deine Mühe Kati Ach und noch etwas: Die Maus MUSS ich ab und an bewegen, da sich der Bildschirmschoner aktiviert und ich nichts mehr sehen kann. Ist das schlimm? |
Das mit der Maus ist nicht schlimm. Ich weiß nicht, ob die Scanzeit normal ist, eigentlich müsste Gmer durch sein schon lange, ich werde dies mal in Erfahrung bringen. Falls Gmer fertig ist dann gehe auf Copy und kopiere das Log heraus und füge es dort in deinen Thread ein. |
Nee, also das Programm läuft noch immer und ich denke, es hat jetzt mehrmals schon in C:/Windows etc. durchgesucht. Scheint sich alles zu wiederholen. Das gibt nie ein Ende. Soll ich einfach stoppen und versuchen trozdem eine Kopie zu machen und dann zu posten? Danke Kati |
Lass noch etwas laufen, ich schau was ich rausbringen kann, das ist mehr als nur ungewöhnlich was Gmer da fabriziert. |
Ok, alles klar. Ich habe auch sehr viele Daten und Programme im PC drin, da ich damit arbeite. Mein Festspeicher hat 110 GB und davon sind noch ca. 34 GB frei. Vielleicht liegt es ja daran, dass ich so viel drin habe? Aber trotzdem habe ich das Gefühl, dass Gmer mehrmals dasselbe scannt. Danke Kati |
Breche ihn mal ab und versuche ein Logfile dessen zu erstellen was Gmer ausspruckt. |
Hallo: Gmer also abgebrochen und hier kopiere ich nun die Scandaten: GMER 1.0.15.15125 - http://www.gmer.net Rootkit scan 2009-10-15 20:32:38 Windows 5.1.2600 Service Pack 3 Running: vn7ffojs.exe; Driver: C:\DOCUME~1\kadu\CONFIG~1\Temp\pxtdqpog.sys ---- System - GMER 1.0.15 ---- SSDT d347bus.sys (PnP BIOS Extension/ ) ZwClose [0xF750D818] SSDT F7C593D6 ZwCreateKey SSDT d347bus.sys (PnP BIOS Extension/ ) ZwCreatePagingFile [0xF7501A20] SSDT F7C593CC ZwCreateThread SSDT F7C593DB ZwDeleteKey SSDT F7C593E5 ZwDeleteValueKey SSDT d347bus.sys (PnP BIOS Extension/ ) ZwEnumerateKey [0xF75022A8] SSDT d347bus.sys (PnP BIOS Extension/ ) ZwEnumerateValueKey [0xF750D910] SSDT F7C593EA ZwLoadKey SSDT d347bus.sys (PnP BIOS Extension/ ) ZwOpenKey [0xF750D794] SSDT F7C593B8 ZwOpenProcess SSDT F7C593BD ZwOpenThread SSDT d347bus.sys (PnP BIOS Extension/ ) ZwQueryKey [0xF75022C8] SSDT d347bus.sys (PnP BIOS Extension/ ) ZwQueryValueKey [0xF750D866] SSDT F7C593F4 ZwReplaceKey SSDT F7C593EF ZwRestoreKey SSDT d347bus.sys (PnP BIOS Extension/ ) ZwSetSystemPowerState [0xF750D0B0] SSDT F7C593E0 ZwSetValueKey SSDT F7C593C7 ZwTerminateProcess ---- Kernel code sections - GMER 1.0.15 ---- .text ntoskrnl.exe!_abnormal_termination + 1D4 804E2830 4 Bytes JMP AAF7C593 ? C:\WINDOWS\system32\drivers\sptd.sys El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso. .text USBPORT.SYS!DllUnload F683B8AC 5 Bytes JMP 858DF1C8 ? System32\Drivers\axtc834a.SYS El sistema no puede hallar la ruta especificada. ! ---- Kernel IAT/EAT - GMER 1.0.15 ---- IAT \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!IoConnectInterrupt] [F755606C] sptd.sys IAT pci.sys[ntoskrnl.exe!IoDetachDevice] [F7556018] sptd.sys IAT pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack] [F75789AE] sptd.sys IAT \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR] [F755529A] sptd.sys ---- Devices - GMER 1.0.15 ---- Device \FileSystem\Ntfs \Ntfs 85BD81E8 Device \FileSystem\Ntfs \Ntfs 85A9B8D8 Device \FileSystem\Udfs \UdfsCdRom 854711E8 Device \FileSystem\Udfs \UdfsCdRom 85633770 Device \FileSystem\Udfs \UdfsCdRom BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) Device \FileSystem\meiudf \MeiUDF_Disk 85403AC0 Device \FileSystem\BsUDF \BsUDF 855DE9E8 Device \FileSystem\meiudf \MeiUDF_CdRom 85403AC0 Device \FileSystem\Udfs \UdfsDisk 854711E8 Device \FileSystem\Udfs \UdfsDisk 85633770 Device \FileSystem\Udfs \UdfsDisk BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) Device \Driver\usbuhci \Device\USBPDO-0 859CA1E8 Device \Driver\usbuhci \Device\USBPDO-1 859CA1E8 Device \Driver\usbuhci \Device\USBPDO-2 859CA1E8 Device \Driver\PCI_NTPNP8136 \Device\00000054 sptd.sys Device \Driver\usbehci \Device\USBPDO-3 858D01E8 Device \Driver\Ftdisk \Device\HarddiskVolume1 85B6D1E8 Device \Driver\Cdrom \Device\CdRom0 85757678 Device \FileSystem\Rdbss \Device\FsWrap 855FDA20 Device \Driver\Cdrom \Device\CdRom1 85757678 Device \Driver\atapi \Device\Ide\IdePort0 8569F008 Device \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4 8569F008 Device \Driver\atapi \Device\Ide\IdePort1 8569F008 Device \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c 8569F008 Device \Driver\NetBT \Device\NetBT_Tcpip_{64970D6B-8D20-4A65-AD29-FF3B4E0C0D86} 854731E8 Device \Driver\NetBT \Device\NetBt_Wins_Export 854731E8 Device \Driver\NetBT \Device\NetbiosSmb 854731E8 Device \FileSystem\Srv \Device\LanmanServer 856BD258 Device \Driver\usbuhci \Device\USBFDO-0 859CA1E8 Device \Driver\usbuhci \Device\USBFDO-1 859CA1E8 Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 853E51E8 Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 855DDC08 Device \Driver\usbuhci \Device\USBFDO-2 859CA1E8 Device \FileSystem\MRxSmb \Device\LanmanRedirector 853E51E8 Device \FileSystem\MRxSmb \Device\LanmanRedirector 855DDC08 Device \Driver\usbehci \Device\USBFDO-3 858D01E8 Device \FileSystem\Npfs \Device\NamedPipe 8562B388 Device \Driver\Ftdisk \Device\FtControl 85B6D1E8 Device \FileSystem\Msfs \Device\Mailslot 855EE790 Device \Driver\axtc834a \Device\Scsi\axtc834a1 855CCA90 Device \Driver\axtc834a \Device\Scsi\axtc834a1Port4Path0Target0Lun0 855CCA90 Device \Driver\imagedrv \Device\Scsi\imagedrv1 85B6C1E8 Device \Driver\d347prt \Device\Scsi\d347prt1 85BD91E8 Device \FileSystem\Fs_Rec \FileSystem\UdfsCdRomRecognizer 855C9A00 Device \FileSystem\Fs_Rec \FileSystem\CdfsRecognizer 855C9A00 Device \FileSystem\Fs_Rec \FileSystem\FatCdRomRecognizer 855C9A00 Device \FileSystem\Fs_Rec \FileSystem\FatDiskRecognizer 855C9A00 Device \FileSystem\Fs_Rec \FileSystem\UdfsDiskRecognizer 855C9A00 Device \FileSystem\Cdfs \Cdfs 854031E8 Device \FileSystem\Cdfs \Cdfs 855FFE98 Device \FileSystem\Cdfs \Cdfs BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) ---- Modules - GMER 1.0.15 ---- Module _________ F746A000-F7482000 (98304 bytes) ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd50716c Reg HKLM\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf40 Reg HKLM\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf40@khjeh 0x20 0x02 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf40@hj34z0 0xF1 0x6E 0x6D 0x40 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 771343423 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 285507792 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Archivos de programa\Alcohol Soft\Alcohol 120\ Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x94 0xB5 0xE7 0xBD ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew 0x95 0xF9 0x83 0x2C ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew 0x8F 0x0C 0x05 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0009dd50716c (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Archivos de programa\Alcohol Soft\Alcohol 120\ Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x94 0xB5 0xE7 0xBD ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew 0x95 0xF9 0x83 0x2C ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew 0x8F 0x0C 0x05 0x00 ... Reg HKLM\SOFTWARE\Classes\CLSID\{866E5309-4DE4-EC1D-5303B5015403F078}\{E4D7DA31-B59C-2F42-84703E9617E7637D}\{F8D6A80B-EA06-4220-85CE61582D500BD8} Reg HKLM\SOFTWARE\Classes\CLSID\{866E5309-4DE4-EC1D-5303B5015403F078}\{E4D7DA31-B59C-2F42-84703E9617E7637D}\{F8D6A80B-EA06-4220-85CE61582D500BD8}@LBML3FZBDBDV3BUIEQZJ1CU1HB1 0x01 0x00 0x01 0x00 ... Sieht komisch aus. Oder sollte ich die Datei irgendwie hochladen? Falls etwas auf Spanisch ist, frag mich, übersetze es dann (ist mein Job). Vielen herzlichen Dank Kati |
El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso. <<<heißt was? :) El sistema no puede hallar la ruta especificada. ! <<<ich schätze mal hier wurde der angegebene Pfad nicht gefunden. Oder heißt es etwas anderes? ;) |
El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso heisst ungefähr: Der Vorgang/Prozess/Verfahren hat keinen Zugang auf die Datei, da sie gerade von einem anderen Vorgang verwendet wird. Und genau El sistema no puede hallar la ruta especificada Hier wurde der angegebene Pfad nicht gefunden. Danke Kati |
Lass mal dein Avira durchlaufen. Bericht hierher. |
Mach ich sofort. Dauert aber auch immer ne Weile Danke Kati Ich habe den Report von gestern abend. Soll ich dir den kopieren? |
lach du musst dich nicht immer bedanken ;) |
Ich find das so nett, dass du mir hilfst, daher eben immer dieses Danke. Soll ich dir den Bericht von Avira von gestern abend kopieren? Der ist doch bestimmt noch frisch. Noch ne kleine Frage: Habe in Google über diesen Virus gelesen, wenig verstanden ha ha, aber die meisten hatten Probleme mit dem PC, dass er andauern abstürzt und dann wieder hochfährt. Meiner scheint ganz normal zu funktionieren. Komisch, oder? Ciao Kati |
Jeder Trojaner wirkt sich anders auf Systeme aus, ja kopiere bitte noch als Zusatz das Log von gestern hier herein. |
ok, dann kopiere ich mal das von gestern abend. Avira läuft auch gerade, hat aber noch nichts gemeldet. Gestern kam die Meldung eigentlich schon ziemlich am Anfang. Vielleicht war das ne Falschmeldung? Avira AntiVir Personal Erstellungsdatum der Reportdatei: miércoles, 14 de octubre de 2009 20:43 Es wird nach 1796380 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : KATU Versionsinformationen: BUILD.DAT : 9.0.0.410 18074 Bytes 25/09/2009 11:51:00 AVSCAN.EXE : 9.0.3.7 466689 Bytes 06/08/2009 08:58:24 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13/02/2009 10:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 09:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26/01/2009 08:41:59 ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 10:30:36 ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 24/06/2009 08:39:13 ANTIVIR2.VDF : 7.1.6.50 4333568 Bytes 29/09/2009 16:21:39 ANTIVIR3.VDF : 7.1.6.110 525824 Bytes 14/10/2009 15:53:53 Engineversion : 8.2.1.35 AEVDF.DLL : 8.1.1.2 106867 Bytes 16/09/2009 15:59:59 AESCRIPT.DLL : 8.1.2.35 483707 Bytes 04/10/2009 15:57:26 AESCN.DLL : 8.1.2.5 127346 Bytes 04/09/2009 19:08:34 AERDL.DLL : 8.1.3.2 479604 Bytes 04/10/2009 15:57:20 AEPACK.DLL : 8.2.0.0 422261 Bytes 16/09/2009 15:59:54 AEOFFICE.DLL : 8.1.0.38 196987 Bytes 18/06/2009 08:34:11 AEHEUR.DLL : 8.1.0.167 2011511 Bytes 08/10/2009 15:58:30 AEHELP.DLL : 8.1.7.0 237940 Bytes 04/09/2009 19:08:33 AEGEN.DLL : 8.1.1.67 364916 Bytes 04/10/2009 15:56:51 AEEMU.DLL : 8.1.1.0 393587 Bytes 04/10/2009 15:56:49 AECORE.DLL : 8.1.8.1 184693 Bytes 16/09/2009 15:59:40 AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 12:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 06:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 09/09/2009 08:51:41 AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 12:34:28 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 13:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 25/05/2009 06:47:33 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 08:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 13:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 06:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 13:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09/06/2009 21:09:20 RCTEXT.DLL : 9.0.37.0 87809 Bytes 25/05/2009 06:47:29 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\archivos de programa\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Beginn des Suchlaufs: miércoles, 14 de octubre de 2009 20:43 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '162555' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqgpc01.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqbam08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqste08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winvnc4.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'StarWindServiceAE.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlwriter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlbrowser.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtHSP.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sfus.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MSI1F1.tmp' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlservr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msftesql.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtHid.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DVDRAMSV.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosA2dp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CalCheck.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RAMASST.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iFinger.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtMng.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'btdna.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plaxosystray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PlaxoHelper_en.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PWRISOVM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'daemon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpwuSchd2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SFAgent.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'acrotray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BsCLiP.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SOUNDMAN.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'VTTimer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '65' Prozesse mit '65' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [FUND] Enthält Code des Bootsektorvirus BOO/Sinowal.E [WARNUNG] Der Bootsektor kann nicht repariert werden. Weitere Informationen zu diesem Thema finden Sie in der Hilfe. Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [FUND] Enthält Code des Bootsektorvirus BOO/Sinowal.E [HINWEIS] Der Sektor wurde nicht neu geschrieben! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '73' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\WINDOWS\system32\drivers\sptd.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Ende des Suchlaufs: miércoles, 14 de octubre de 2009 23:58 Benötigte Zeit: 3:14:09 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 12526 Verzeichnisse wurden überprüft 985164 Dateien wurden geprüft 2 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 985162 Dateien ohne Befall 4941 Archive wurden durchsucht 3 Warnungen 2 Hinweise 162555 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden Ciao Kati |
Fehlalarm? Das weiß ich nicht, aber wenn diesmal nichts kommen wird was wir beide ja sehr erhoffen, dann wars nach dem fixmbr bestimmt kein Fehlalarm. |
Ja, klar! Den fixmbr hatte ich ja total vergessen! Sorry, bin den ganzen Tag mit diesem Virus (neben Haus und Kind und Arbeit beschäftigt) und verstehe nur spanisch ha ha. Ja, vielleicht hat es ja wirklich geklappt! Der Avira meldet momentan noch nichts. Das wäre einfach super! Und alles DANK deiner Hilfe! Melde mich dann später oder morgen früh mit dem neuen Bericht. Auf jeden Fall hier schon mal: Falls du mal nen Text auf Spanisch bzw. ins Spanische (auch italienisch) brauchst, stehe ich gerne zur Verfügung. Weiss wirklich nicht, wie ich dir für sooooo viel Mühe danken kann. Ciao Kati |
Guten Morgen! Kopiere dir hier nun das Ergebnis von Avira. KEINE FUNDE!!! Das ist doch super, oder? Aber 2 Warnungen. Sind die schlimm? Sollte ich mal CCleaner starten? Ob der was findet? Ciao Kati Avira AntiVir Personal Erstellungsdatum der Reportdatei: jueves, 15 de octubre de 2009 21:05 Es wird nach 1796380 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : KATU Versionsinformationen: BUILD.DAT : 9.0.0.410 18074 Bytes 25/09/2009 11:51:00 AVSCAN.EXE : 9.0.3.7 466689 Bytes 06/08/2009 08:58:24 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13/02/2009 10:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 09:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26/01/2009 08:41:59 ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 10:30:36 ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 24/06/2009 08:39:13 ANTIVIR2.VDF : 7.1.6.50 4333568 Bytes 29/09/2009 16:21:39 ANTIVIR3.VDF : 7.1.6.110 525824 Bytes 14/10/2009 15:53:53 Engineversion : 8.2.1.35 AEVDF.DLL : 8.1.1.2 106867 Bytes 16/09/2009 15:59:59 AESCRIPT.DLL : 8.1.2.35 483707 Bytes 04/10/2009 15:57:26 AESCN.DLL : 8.1.2.5 127346 Bytes 04/09/2009 19:08:34 AERDL.DLL : 8.1.3.2 479604 Bytes 04/10/2009 15:57:20 AEPACK.DLL : 8.2.0.0 422261 Bytes 16/09/2009 15:59:54 AEOFFICE.DLL : 8.1.0.38 196987 Bytes 18/06/2009 08:34:11 AEHEUR.DLL : 8.1.0.167 2011511 Bytes 08/10/2009 15:58:30 AEHELP.DLL : 8.1.7.0 237940 Bytes 04/09/2009 19:08:33 AEGEN.DLL : 8.1.1.67 364916 Bytes 04/10/2009 15:56:51 AEEMU.DLL : 8.1.1.0 393587 Bytes 04/10/2009 15:56:49 AECORE.DLL : 8.1.8.1 184693 Bytes 16/09/2009 15:59:40 AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 12:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 06:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 09/09/2009 08:51:41 AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 12:34:28 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 13:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 25/05/2009 06:47:33 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 08:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 13:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 06:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 13:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09/06/2009 21:09:20 RCTEXT.DLL : 9.0.37.0 87809 Bytes 25/05/2009 06:47:29 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\archivos de programa\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Beginn des Suchlaufs: jueves, 15 de octubre de 2009 21:05 Der Suchlauf nach versteckten Objekten wird begonnen. Es wurden '164749' Objekte überprüft, '0' versteckte Objekte wurden gefunden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'EditPadPro.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msimn.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqgpc01.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqbam08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqste08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtHSP.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winvnc4.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtHid.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtSrv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosA2dp.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'StarWindServiceAE.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlwriter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlbrowser.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sfus.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MSI1F1.tmp' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'iFinger.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'CalCheck.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'RAMASST.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'TosBtMng.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'btdna.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'plaxosystray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PlaxoHelper_en.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'PWRISOVM.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'daemon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'hpwuSchd2.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SFAgent.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'acrotray.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'BsCLiP.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'SOUNDMAN.EXE' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sqlservr.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'VTTimer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'msftesql.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'DVDRAMSV.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '68' Prozesse mit '68' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '75' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\WINDOWS\system32\drivers\sptd.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Ende des Suchlaufs: viernes, 16 de octubre de 2009 00:41 Benötigte Zeit: 3:35:28 Stunde(n) Der Suchlauf wurde vollständig durchgeführt. 12669 Verzeichnisse wurden überprüft 994005 Dateien wurden geprüft 0 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 994003 Dateien ohne Befall 5020 Archive wurden durchsucht 2 Warnungen 1 Hinweise 164749 Objekte wurden beim Rootkitscan durchsucht 0 Versteckte Objekte wurden gefunden |
sehr schön, aber wir sind noch ned fertig ;) http://www.trojaner-board.de/69886-a...-beachten.html bitte ab Punkt 2 abarbeiten. Deinstalliere mir bitte Deamontools und schalte den Registry Scan bei Gmer aus. Und lass Gmer nochmal rennen. |
Hallo: Alles klar. Werde zuerst den Daemon desinstallieren und danach Gmer ohne Registry starten. Melde mich dann später. Ciao Kati |
Nenene erstmal die Liste ab Punkt zwei, CCleaner, Malwarebytes und Rsit ;) danach erst Gmer bitte. |
ok, mach ich |
Hallo: Ich bin beim Punkt mit CCleaner registry. Ganz viele Fehler gefunden und behoben. Habe es mehrmals durchlaufen lassen und vor dem Beheben abgespeichert (Programm hat gefragt, ob ich es speichern möchte.) Nun ist aber noch 1 Fehler vorhanden und das Programm kann es nach mehrmaligem Versuchen nicht beheben. Hier : Ungenutzte Datei-Endungen {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} Was mache ich damit? Ciao Kati |
Das "Fehlerchen" gehört zu Avira. Lass es so, dieses Teilchen braucht Avira bestimmt noch. |
Dann hoffe ich, dass ich nichts anderes wichtiges gelöscht habe mit dem CCleaner. Ok, mach dann weiter. Ciao Kati |
Nene, hast du nicht ;) |
Hallo: Hier erstmal der Bericht von Mbam: Malwarebytes' Anti-Malware 1.41 Datenbank Version: 2971 Windows 5.1.2600 Service Pack 3 16/10/2009 15:26:13 mbam-log-2009-10-16 (15-26-13).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|) Durchsuchte Objekte: 267237 Laufzeit: 2 hour(s), 53 minute(s), 51 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 1 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 2 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\XPROTECTOR (Backdoor.Trojan) -> Quarantined and deleted successfully. Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: C:\WINDOWS\system32\drivers\oreans32.sys (Rootkit.Agent) -> Quarantined and deleted successfully. C:\Archivos de programa\countryflag.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully. Ist nun alles in Quarantäne? Muss gleich aus dem Haus. Mache dann später mit Punkt C) weiter und melde mich wieder. Ciao Kati |
Okay. Sieht aber nicht berauschend aus das MBAM-Log :( Deswegen würde ich dich bitten als Zusatzpunkt nach Rsit noch Superantispyware zum Laufen zu bringen und hier zu posten. |
Hallo: Bin noch da. Habe Rsit durchgeführt und kopiere hier die beiden Logfiles. Sind sehr lang. Falls du Sätze auf deutsch brauchst, sag bescheid. Ciao Kati Die Texte sind zu lang. Kann ich die als Anhang senden? |
Ja, sende sie als anhang bitte :) |
Ok. Hier dann die beiden logs. Ciao Kati |
Hallo: Nach fast 4 Stunden SuperAntispyware, der 45 infizierte Dateien gefunden hatte und so hoffe ich nun gelöscht hat, hier nun der Bericht dazu. Sieht für mich als Laie schon ganz schlimm aus. So viele infizierte Dateien. Ist das alles wegen des Sinowal Virus oder hatte ich schon vorher irgendeinen Virus drin, den der Avira nicht gefunden hatte? Soll ich nun Gmer laufen lassen? Würde den Bericht aber erst morgen posten. Ciao Kati SUPERAntiSpyware Scan Log http://www.superantispyware.com Generated 10/16/2009 at 07:51 PM Application Version : 4.29.1004 Core Rules Database Version : 4169 Trace Rules Database Version: 2091 Scan type : Complete Scan Total Scan Time : 03:52:16 Memory items scanned : 610 Memory threats detected : 0 Registry items scanned : 7533 Registry threats detected : 43 File items scanned : 193918 File threats detected : 2 Adware.Tracking Cookie C:\Documents and Settings\kadu\Cookies\kadu@doubleclick[3].txt Registry Cleaner Trial HKCR\Install.Install HKCR\Install.Install\CLSID HKCR\Install.Install\CurVer HKCR\Install.Install.1 HKCR\Install.Install.1\CLSID HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs#C:\WINDOWS\Downloaded Program Files\Install.dll [ ] Trojan.Spyware Stormer HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000} HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}#SystemComponent HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}#Installer HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\Contains HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\Contains\Files HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\Contains\Files#C:\WINDOWS\Downloaded Program Files\Install.dll HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\DownloadInformation HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\DownloadInformation#CODEBASE HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\DownloadInformation#INF HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\InstalledVersion HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{205FF73B-CA67-11D5-99DD-444553540000}\InstalledVersion#LastModified Unclassified.Oreans32 HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32 HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32#NextInstance HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000 HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Service HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Legacy HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#ConfigFlags HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Class HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#ClassGUID HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#DeviceDesc HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Capabilities HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000#Driver HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000\LogConf HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_OREANS32\0000\Control HKLM\SYSTEM\CurrentControlSet\Services\oreans32 HKLM\SYSTEM\CurrentControlSet\Services\oreans32#Type HKLM\SYSTEM\CurrentControlSet\Services\oreans32#Start HKLM\SYSTEM\CurrentControlSet\Services\oreans32#ErrorControl HKLM\SYSTEM\CurrentControlSet\Services\oreans32#ImagePath HKLM\SYSTEM\CurrentControlSet\Services\oreans32#DisplayName HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Security HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Security#Security HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#0 HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#Count HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#NextInstance HKLM\SYSTEM\CurrentControlSet\Services\oreans32\Enum#INITSTARTFAILED Trojan.Agent/Gen-HackPatch C:\SYSTEM VOLUME INFORMATION\_RESTORE{2BB161EB-E101-427C-95C2-CCAF65AF0544}\RP1525\A0207126.EXE |
Ja, lass mal bitte Gmer laufen. Poste dann das Log dazu. |
ok, mache ich sofort. Sieht schlimm aus, oder? |
ich sag es mal so, es schaut nicht grade positiv aus, was du bisher alles zu tageslicht gebracht hattest ;) |
Na dann hoffen wir das Beste. Für heute schon mal danke (das muss ich sagen!), ich denke nämlich, das Gmer auch mehrere Stunden braucht. Ciao Kati |
Hoffen wir das mal nicht ;) bitteschön |
Guten Morgen! Ich habe Gmer gestern abend/nacht laufen lassen und den PC die Nacht über angelassen, da es mir zu spät wurde. Kopiere dir die Logfile. Ciao Kati GMER 1.0.15.15125 - http://www.gmer.net Rootkit scan 2009-10-17 09:24:10 Windows 5.1.2600 Service Pack 3 Running: vn7ffojs.exe; Driver: C:\DOCUME~1\kadu\CONFIG~1\Temp\pxtdqpog.sys ---- System - GMER 1.0.15 ---- SSDT F7D5FC46 ZwCreateKey SSDT F7D5FC3C ZwCreateThread SSDT F7D5FC4B ZwDeleteKey SSDT F7D5FC55 ZwDeleteValueKey SSDT sptd.sys ZwEnumerateKey [0xF7544FB2] SSDT sptd.sys ZwEnumerateValueKey [0xF7545340] SSDT F7D5FC5A ZwLoadKey SSDT sptd.sys ZwOpenKey [0xF753F0B0] SSDT F7D5FC28 ZwOpenProcess SSDT F7D5FC2D ZwOpenThread SSDT sptd.sys ZwQueryKey [0xF7545418] SSDT sptd.sys ZwQueryValueKey [0xF7545298] SSDT F7D5FC64 ZwReplaceKey SSDT F7D5FC5F ZwRestoreKey SSDT F7D5FC50 ZwSetValueKey SSDT \??\C:\Archivos de programa\SUPERAntiSpyware\SASKUTIL.sys (SASKUTIL.SYS/SUPERAdBlocker.com and SUPERAntiSpyware.com) ZwTerminateProcess [0xF542B0B0] ---- Kernel code sections - GMER 1.0.15 ---- .text ntoskrnl.exe!_abnormal_termination + 451 804E2AAD 3 Bytes [B0, 42, F5] {MOV AL, 0x42; CMC } ? C:\WINDOWS\system32\drivers\sptd.sys El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso. .text USBPORT.SYS!DllUnload F6A248AC 5 Bytes JMP 8595F5F8 ? System32\Drivers\a4wmjw2h.SYS El sistema no puede hallar la ruta especificada. ! ---- Kernel IAT/EAT - GMER 1.0.15 ---- IAT \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!IoConnectInterrupt] [F755606C] sptd.sys IAT pci.sys[ntoskrnl.exe!IoDetachDevice] [F7556018] sptd.sys IAT pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack] [F75789AE] sptd.sys IAT atapi.sys[ntoskrnl.exe!IoConnectInterrupt] [F755606C] sptd.sys IAT atapi.sys[HAL.dll!READ_PORT_UCHAR] [F753FAD4] sptd.sys IAT atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT] [F753FC1A] sptd.sys IAT atapi.sys[HAL.dll!READ_PORT_USHORT] [F753FB9C] sptd.sys IAT atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT] [F7540748] sptd.sys IAT atapi.sys[HAL.dll!WRITE_PORT_UCHAR] [F754061E] sptd.sys IAT \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR] [F755529A] sptd.sys ---- Devices - GMER 1.0.15 ---- Device \FileSystem\Ntfs \Ntfs 85B6C1E8 Device \FileSystem\Fastfat \FatCdrom 85748790 Device \FileSystem\Udfs \UdfsCdRom 854511E8 Device \FileSystem\Udfs \UdfsCdRom BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) Device \FileSystem\Udfs \UdfsDisk 854511E8 Device \FileSystem\Udfs \UdfsDisk BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) Device \Driver\usbuhci \Device\USBPDO-0 8595E1E8 Device \Driver\usbuhci \Device\USBPDO-1 8595E1E8 Device \Driver\usbuhci \Device\USBPDO-2 8595E1E8 Device \Driver\PCI_NTPNP7426 \Device\00000054 sptd.sys Device \Driver\usbehci \Device\USBPDO-3 8593C1E8 Device \Driver\Ftdisk \Device\HarddiskVolume1 85B6E1E8 Device \Driver\Cdrom \Device\CdRom0 8592F688 Device \Driver\Cdrom \Device\CdRom1 8592F688 Device \Driver\atapi \Device\Ide\IdePort0 [F7499B40] atapi.sys[unknown section] Device \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4 [F7499B40] atapi.sys[unknown section] Device \Driver\atapi \Device\Ide\IdePort1 [F7499B40] atapi.sys[unknown section] Device \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c [F7499B40] atapi.sys[unknown section] Device \Driver\NetBT \Device\NetBT_Tcpip_{64970D6B-8D20-4A65-AD29-FF3B4E0C0D86} 854531E8 Device \Driver\NetBT \Device\NetBt_Wins_Export 854531E8 Device \Driver\NetBT \Device\NetbiosSmb 854531E8 Device \Driver\usbuhci \Device\USBFDO-0 8595E1E8 Device \Driver\usbuhci \Device\USBFDO-1 8595E1E8 Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 85269790 Device \Driver\usbuhci \Device\USBFDO-2 8595E1E8 Device \FileSystem\MRxSmb \Device\LanmanRedirector 85269790 Device \Driver\usbehci \Device\USBFDO-3 8593C1E8 Device \Driver\Ftdisk \Device\FtControl 85B6E1E8 Device \Driver\a4wmjw2h \Device\Scsi\a4wmjw2h1 858361E8 Device \Driver\imagedrv \Device\Scsi\imagedrv1 85B6D1E8 Device \Driver\a4wmjw2h \Device\Scsi\a4wmjw2h1Port3Path0Target0Lun0 858361E8 Device \FileSystem\Fastfat \Fat 85748790 AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) Device \FileSystem\Cdfs \Cdfs 853E31E8 Device \FileSystem\Cdfs \Cdfs BsUDF.SYS (UDF File System Driver (WindowsXP)/B.H.A Co.,Ltd.) ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0009dd50716c Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 771343423 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 285507792 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Archivos de programa\Alcohol Soft\Alcohol 120\ Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x94 0xB5 0xE7 0xBD ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew 0x95 0xF9 0x83 0x2C ... Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40 Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew 0x8F 0x0C 0x05 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0009dd50716c (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0 C:\Archivos de programa\Alcohol Soft\Alcohol 120\ Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0 0 Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew 0x94 0xB5 0xE7 0xBD ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0 0x20 0x01 0x00 0x00 ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew 0x95 0xF9 0x83 0x2C ... Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40 (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew 0x8F 0x0C 0x05 0x00 ... Reg HKLM\SOFTWARE\Classes\CLSID\{866E5309-4DE4-EC1D-5303B5015403F078}\{E4D7DA31-B59C-2F42-84703E9617E7637D}\{F8D6A80B-EA06-4220-85CE61582D500BD8} Reg HKLM\SOFTWARE\Classes\CLSID\{866E5309-4DE4-EC1D-5303B5015403F078}\{E4D7DA31-B59C-2F42-84703E9617E7637D}\{F8D6A80B-EA06-4220-85CE61582D500BD8}@LBML3FZBDBDV3BUIEQZJ1CU1HB1 0x01 0x00 0x01 0x00 ... ---- EOF - GMER 1.0.15 ---- |
Hallo sieht gut aus. Bitte noch folgende drei Punkte abarbeiten und ein Zusatzpunkt: 1.) Kaspersky - Onlinescanner Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware. ---> hier herunterladen => Kaspersky Online Scanner => Hinweise zu älteren Versionen beachten! => Voraussetzung: Internet Explorer 6.0 oder höher => die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter => Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken => Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als => Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten => Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen 2.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade. 3.) Panda Active Scan Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 InstallationDanach bitte diese Datein bei VirusTotal - Free Online Virus and Malware Scan auswerten lassen: C:\WINDOWS\system32\drivers\ab6e4eop.sys |
Hallo: Sieht gut aus? Na, weiss ich nicht. Heute habe ich versucht mit meinem Sohn (4) ein Spiel zu spielen, das ich vor einiger Zeit installiert hatte und das auch perfekt geklappt hatte, und heute hatten wir nur Fehlermeldungen. Werde die Punkte im Laufe des Nachmittags/Abend abarbeiten und dann berichten. Ich glaube, ich habe viel Mist im PC im Laufe der Jahre angesammelt. In letzter Zeit auch einige Cracks (brauche einige Programme für meine Arbeit) und auf Spielesoftware für meinen Kleinen. Da hat sich dann wohl dieser Virus irgendwie eingeschlichen, denke ich. Nun denn, ran an die Arbeit. Bis dann Kati Der Scanner scheint nicht mehr da zu sein: "Tut uns leid! Der Kaspersky Online Scanner wird gerade überarbeitet und ist deshalb nicht verfügbar. In Kürze wird er mit vielen Detail-Verbesserungen wieder online gehen" Soll ich die kostenlose Testversion von Kaspersky Internet Security 2010 oder Kaspersky Anti-Virus herunterladen? |
Code: In letzter Zeit auch einige Cracks (brauche einige Programme für meine Arbeit) und auf Spielesoftware für meinen Kleinen. Da hat sich dann wohl dieser Virus irgendwie eingeschlichen, denke ich.Cracks, Serialz, Warez und Keygens sind, wie du bereits selbst erkannt hattest, nur so verseucht von jeder Art von Malware. Ich würde dich aus obigem Grund bitten das System neuaufzusetzen. Falls du dazu etwas Hilfe benötigst, kann ich Dir einen Link geben. |
Oh je, vielleicht hab ich mich da falsch ausgedrückt? Ich habe die Software auf spanisch von einer Webseite runtergeladen. Das ist doch nicht illegal? So was kann man auch mit Emule zum Beispiel. Ist das in Deutschland verboten? Sorry, wenn ich nochmals nachfrage, aber ich habe da wirklich keine Ahnung von und hier machen das die meisten Leute. Ich denke auch, dass es nicht verboten ist bei Emule oder anderen Sites Software runterzuladen, oder doch? Danke Kati |
Cracks und Keygens sind afaik überall verboten ;) Diebstahl wird ja in jedem Land nicht geduldet, egal ob es nun in der Realität stattfindet, oder ebend im Internet. Software-Diebstahl bleibt Diebstahl. Wir supporten das nicht. Deswegen muss ich dich leider dazu veranlassen das System komplett neuaufzusetzen. Good Luck :) |
Gut, danke. "Unwissenheit schützt vor Strafe nicht" oder so ähnlich war wohl das Sprichwort. Tut mir furchtbar leid, wenn ich dir deine Zeit "gestohlen" habe. Háttest du mich vorher nach Software gefragt... Na ja, auf jeden Fall danke ich dir wirklich für alle deine Hilfe und dann werde ich wohl formatieren müssen. Habe heute nochmals auf eigene Faust den Avira laufen lassen und der hat nun auch noch Trojaner gefunden, der wohl nicht ganz so schlimm ist, aber eben da ist. Wird wohl das Beste sein, alles Mist zu löschen und neu aufzusetzen. Wünsch dir alles Gute. Ciao Kati |
Du hast mir nicht die Zeit gestohlen, ist okeh. Nur eben in Zukunft würde ich dich bitten von sowas immer die Finger zu lassen, erst Recht über P2P Filehsraing kann man sich viel Mist einbrockeln. Bitteschön, war keine Ursache, falls du noch Fragen hast bin ich gerne gewollt dir die zu beantworten. MfG :heilig: |
Alles klar, danke für den Tipp. Da lass ich wohl wirklich am Besten die Finger von, denn der ganzen Stress den ich damit hatte... Nee, lohnt sich nicht. Gut, vor dem Neuaufsetzen werde ich meine Arbeiten etc. auf CD kopieren, dann C formatieren und alles neu installieren. Denke, damit komme ich zurecht. Falls nicht, werde ich wieder posten. Herzlichen Dank und schönes Wochenende. Ciao Kati |
Bitte schön, ja genau mach das so :) So müsste es eigentlich funktionieren. :) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 00:36 Uhr. |
Copyright ©2000-2025, Trojaner-Board
