|
rootkit tdss.d lässt sich nicht entfernen Hallo liebes Trojaner Board Team, haben uns am freitag den tdss.d rootkit einbgefangen. Trotz Internetrecherche und zahlreicher Versuche selbständig das Problem in den Griff zu bekommen lässt sich der Trojaner nicht entfernen. Neu aufsetzen will ich den Compute rnicht, da ich neben den Daten auch viele Programme drauf hab. TDSKiller läuft nicht. Könnt ihr mir da helfen? Lg Alex |
hi Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)
|
hi markus, danke für die hilfe anbei die zwei dateien lg alex |
1. wo wurde das rootkit von wem gefunden? 2. ist dieses gerät mit ner recovery funktion ausgestattet oder normale windows cd? |
1. Finden tut es der Antivir beim, BOOT SCAN (auf C: und D: ) Die externe Sicherungsfestplatte ist abgesteckt, aber möglicherweise auch verseucht. 2. Recovery Funktion, hab ich glaub ich schon - allerdings hab ich mich mit der Funktion nie beschäftigt (Es gibt ein Laufwerk D (Recovery) |
Anbei auch das Log bei der C: Prüfung. Avira AntiVir Personal Erstellungsdatum der Reportdatei: Sonntag, 23. Oktober 2011 16:42 Es wird nach 3421795 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows Vista Windowsversion : (Service Pack 2) [6.0.6002] Boot Modus : Normal gebootet Benutzername : Laufwerkstatt Computername : LAUFWERKSTATTHO Versionsinformationen: BUILD.DAT : 10.2.0.704 35934 Bytes 28.09.2011 13:14:00 AVSCAN.EXE : 10.3.0.7 484008 Bytes 02.07.2011 03:50:36 AVSCAN.DLL : 10.0.5.0 57192 Bytes 02.07.2011 03:50:35 LUKE.DLL : 10.3.0.5 45416 Bytes 02.07.2011 03:50:39 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 11:59:47 AVSCPLR.DLL : 10.3.0.7 119656 Bytes 02.07.2011 03:50:39 AVREG.DLL : 10.3.0.9 88833 Bytes 16.07.2011 06:32:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 07:07:09 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 04:50:45 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 07:04:10 VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 06:04:55 VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 06:07:54 VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 09:12:16 VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 03:13:46 VBASE007.VDF : 7.11.15.106 2389504 Bytes 05.10.2011 07:38:21 VBASE008.VDF : 7.11.15.107 2048 Bytes 05.10.2011 07:38:22 VBASE009.VDF : 7.11.15.108 2048 Bytes 05.10.2011 07:38:22 VBASE010.VDF : 7.11.15.109 2048 Bytes 05.10.2011 07:38:22 VBASE011.VDF : 7.11.15.110 2048 Bytes 05.10.2011 07:38:22 VBASE012.VDF : 7.11.15.111 2048 Bytes 05.10.2011 07:38:22 VBASE013.VDF : 7.11.15.144 161792 Bytes 07.10.2011 07:38:23 VBASE014.VDF : 7.11.15.177 130048 Bytes 10.10.2011 04:06:38 VBASE015.VDF : 7.11.15.213 113664 Bytes 11.10.2011 04:06:38 VBASE016.VDF : 7.11.16.1 163328 Bytes 14.10.2011 04:06:39 VBASE017.VDF : 7.11.16.34 187904 Bytes 18.10.2011 04:10:53 VBASE018.VDF : 7.11.16.77 139264 Bytes 20.10.2011 09:20:26 VBASE019.VDF : 7.11.16.78 2048 Bytes 20.10.2011 09:20:27 VBASE020.VDF : 7.11.16.79 2048 Bytes 20.10.2011 09:20:27 VBASE021.VDF : 7.11.16.80 2048 Bytes 20.10.2011 09:20:27 VBASE022.VDF : 7.11.16.81 2048 Bytes 20.10.2011 09:20:27 VBASE023.VDF : 7.11.16.82 2048 Bytes 20.10.2011 09:20:27 VBASE024.VDF : 7.11.16.83 2048 Bytes 20.10.2011 09:20:27 VBASE025.VDF : 7.11.16.84 2048 Bytes 20.10.2011 09:20:27 VBASE026.VDF : 7.11.16.85 2048 Bytes 20.10.2011 09:20:27 VBASE027.VDF : 7.11.16.86 2048 Bytes 20.10.2011 09:20:27 VBASE028.VDF : 7.11.16.87 2048 Bytes 20.10.2011 09:20:27 VBASE029.VDF : 7.11.16.88 2048 Bytes 20.10.2011 09:20:27 VBASE030.VDF : 7.11.16.89 2048 Bytes 20.10.2011 09:20:27 VBASE031.VDF : 7.11.16.106 86016 Bytes 21.10.2011 10:25:52 Engineversion : 8.2.6.84 AEVDF.DLL : 8.1.2.1 106868 Bytes 09.01.2011 04:50:46 AESCRIPT.DLL : 8.1.3.81 467322 Bytes 08.10.2011 07:38:29 AESCN.DLL : 8.1.7.2 127349 Bytes 09.01.2011 04:50:46 AESBX.DLL : 8.2.1.34 323957 Bytes 02.06.2011 19:01:16 AERDL.DLL : 8.1.9.15 639348 Bytes 09.09.2011 03:31:48 AEPACK.DLL : 8.2.10.11 684408 Bytes 25.09.2011 14:37:20 AEOFFICE.DLL : 8.1.2.15 201083 Bytes 18.09.2011 14:41:24 AEHEUR.DLL : 8.1.2.180 3748217 Bytes 18.10.2011 04:06:43 AEHELP.DLL : 8.1.17.7 254327 Bytes 01.08.2011 06:16:49 AEGEN.DLL : 8.1.5.9 401780 Bytes 27.08.2011 05:21:39 AEEMU.DLL : 8.1.3.0 393589 Bytes 09.01.2011 04:50:45 AECORE.DLL : 8.1.23.0 196983 Bytes 27.08.2011 05:21:33 AEBB.DLL : 8.1.1.0 53618 Bytes 09.01.2011 04:50:45 AVWINLL.DLL : 10.0.0.0 19304 Bytes 02.08.2010 15:09:33 AVPREF.DLL : 10.0.3.2 44904 Bytes 02.07.2011 03:50:35 AVREP.DLL : 10.0.0.10 174120 Bytes 26.05.2011 06:27:15 AVARKT.DLL : 10.0.26.1 255336 Bytes 02.07.2011 03:50:35 AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 02.07.2011 03:50:35 SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 14:27:02 AVSMTP.DLL : 10.0.0.17 63848 Bytes 02.08.2010 15:09:33 NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 14:27:01 RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 02.07.2011 03:50:34 RCTEXT.DLL : 10.0.64.0 98664 Bytes 02.07.2011 03:50:34 Konfiguration für den aktuellen Suchlauf: Job Name..............................: BootSectorTest Konfigurationsdatei...................: C:\ProgramData\Avira\AntiVir Desktop\TEMP\CCWKRLIB_4ea427d2\4cd568b4.avp Protokollierung.......................: standard Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Durchsuche aktive Programme...........: aus Durchsuche Registrierung..............: aus Suche nach Rootkits...................: aus Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Intelligente Dateiauswahl Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: erweitert Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR, Beginn des Suchlaufs: Sonntag, 23. Oktober 2011 16:42 Der Suchlauf über die Masterbootsektoren wird begonnen: Der Suchlauf über die Bootsektoren wird begonnen: Masterbootsektor HD0 [FUND] Enthält Code des Bootsektorvirus BOO/TDss.D [WARNUNG] Der Sektor konnte nicht neu geschrieben werden! Ende des Suchlaufs: Sonntag, 23. Oktober 2011 16:42 Benötigte Zeit: 00:05 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 0 Verzeichnisse wurden überprüft 0 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 0 Dateien ohne Befall 0 Archive wurden durchsucht 1 Warnungen 0 Hinweise |
ok, dass problem ist, wenn wir die mbrs neu schreiben wird die recovery partition nutzlos. außerdem kann dabei einiges schief gehen. deswegen besorge dir ne vollwertige windows cd oder frag direkt beim hersteller ob sie dir ersatz schicken, also cds für die recovery funktion. bevor du sowas nicht hast, würde ich ungern weiter machen |
hi, hab die orginal verpackte recovery Disc gefunden und halte sie in händen. Vista Home Premium SP1 Lg Alex |
ok, deaktiviere mal autorun: Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de und sichere dann alle wichtigen dateien. wäre durchaus möglich dass der pc später nicht mehr bootet. |
bin grad dabei. Kann die externe Festplatte auch verseucht sein? Sie war zum Zeitpunkt der Verseuchung angeschlossen? |
sei doch mal so gut und scanne mit avira, dann wissen wirs. |
So wie ich das sehe nicht. Denn egal welches Laufwerk ich für die Bootsektorüberprüfung anwähle C/D oder J (externe) es kommt immer Letzter Fund Masterbootsektor HD1 Danach als Ergebnis dass der Masterbootsektor HD0 verseucht ist Als Anhang das Ergebnis. |
kein anhang da, aber wenns hd0 ist, passt das und du kannst weiter sichern. |
Die Sicherung ist in ein paar Minuten abgeschlossen. |
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 23:58 Uhr. |
Copyright ©2000-2025, Trojaner-Board