Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Attentive Antivir (https://www.trojaner-board.de/138719-attentive-antivir.html)

Mitch_00 24.07.2013 17:12
Attentive Antivir
 
Hallo liebe User,

auch ich habe das Problem mit dem Virus "Attentive Antivirus". Alle Programme werden blockiert.

Ich habe bereits Log-Files in diesem Zusammenhang mit Farbar Recovery Scan Tool auslesen lassen.

Wäre toll wenn sich jemand meiner ERBARMEN könnte :-)

Vorab schon mal vielen Dank!! :-)

Code:
Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 23-07-2013
Ran by SYSTEM on 24-07-2013 17:41:28
Running from E:\
Windows Vista (TM) Home Premium (X86) OS Language: German Standard
Internet Explorer Version 9
Boot Mode: Recovery

The current controlset is ControlSet001
ATTENTION!:=====> FRST is updated to run from normal or Safe mode to produce a full FRST.txt log and Addition.txt log.

==================== Registry (Whitelisted) ==================

HKLM\...\Run: [Windows Defender] - C:\Program Files\Windows Defender\MSASCui.exe [1008184 2008-01-18] (Microsoft Corporation)
HKLM\...\Run: [DELL Webcam Manager] - C:\Program Files\Dell\Dell Webcam Manager\DellWMgr.exe [118784 2007-07-27] (Creative Technology Ltd.)
HKLM\...\Run: [Apoint] - C:\Program Files\DellTPad\Apoint.exe [167936 2007-10-25] (Alps Electric Co., Ltd.)
HKLM\...\Run: [Broadcom Wireless Manager UI] - C:\Windows\system32\WLTRAY.exe [3444736 2007-12-08] (Dell Inc.)
HKLM\...\Run: [OEM02Mon.exe] - C:\Windows\OEM02Mon.exe [36864 2007-05-09] (Creative Technology Ltd.)
HKLM\...\Run: [SigmatelSysTrayApp] - C:\Program Files\SigmaTel\C-Major Audio\WDM\sttray.exe [405504 2007-09-13] (IDT, Inc.)
HKLM\...\Run: [AppleSyncNotifier] - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe [59240 2011-11-02] (Apple Inc.)
HKLM\...\Run: [Adobe ARM] - C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [937920 2011-06-06] (Adobe Systems Incorporated)
HKLM\...\Run: [APSDaemon] - C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe [59720 2013-04-21] (Apple Inc.)
HKLM\...\Run: [avgnt] - C:\Program Files\Avira\AntiVir Desktop\avgnt.exe [345144 2013-06-26] (Avira Operations GmbH & Co. KG)
HKLM\...\Run: [Adobe Photo Downloader] - C:\Program Files\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe [63712 2007-03-16] (Adobe Systems Incorporated)
HKLM\...\Run: [HP Software Update] - C:\Program Files\HP\HP Software Update\HPWuSchd2.exe [49152 2006-12-10] (Hewlett-Packard Co.)
HKLM\...\Run: [LexwareInfoService] - C:\Program Files\Common Files\Lexware\Update Manager\LxUpdateManager.exe [339312 2010-09-15] (Haufe-Lexware GmbH & Co. KG)
HKLM\...\Run: [QuickTime Task] - C:\Program Files\QuickTime\QTTask.exe [421888 2013-05-01] (Apple Inc.)
HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [152392 2013-05-31] (Apple Inc.)
HKU\Tinkabelle\...\Run: [ehTray.exe] - C:\Windows\ehome\ehTray.exe [ 2008-01-18] (Microsoft Corporation)
HKU\Tinkabelle\...\Run: [swg] - "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [x]
HKU\Tinkabelle\...\Run: [WMPNSCFG] - C:\Program Files\Windows Media Player\WMPNSCFG.exe [ 2008-01-18] (Microsoft Corporation)
HKU\Tinkabelle\...\Run: [MobileDocuments] - C:\Program Files\Common Files\Apple\Internet Services\ubd.exe [x]
HKU\Tinkabelle\...\Run: [AmazonMP3DownloaderHelper] - C:\Users\Tinkabelle\AppData\Local\Program Files\Amazon\MP3 Downloader\AmazonMP3DownloaderHelper.exe [ 2013-05-22] ()
HKU\Tinkabelle\...\Run: [AA2014] - C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg\gVrUX7pg.exe [ 2013-07-24] ()

========================== Services (Whitelisted) =================

S2 AntiVirSchedulerService; C:\Program Files\Avira\AntiVir Desktop\sched.exe [84024 2013-06-26] (Avira Operations GmbH & Co. KG)
S2 AntiVirService; C:\Program Files\Avira\AntiVir Desktop\avguard.exe [108088 2013-06-26] (Avira Operations GmbH & Co. KG)
S2 Creative Labs Licensing Service; C:\Program Files\Common Files\Creative Labs Shared\Service\CreativeLicensing.exe [72704 2008-08-18] (Creative Labs)
S2 ICQ Service; C:\Program Files\ICQ6Toolbar\ICQ Service.exe [222968 2009-06-01] ()
S2 wltrysvc; C:\Windows\System32\bcmwltry.exe [2506752 2007-12-08] (Dell Inc.)

==================== Drivers (Whitelisted) ====================

S2 avgntflt; C:\Windows\System32\DRIVERS\avgntflt.sys [84744 2013-03-21] (Avira Operations GmbH & Co. KG)
S1 avipbb; C:\Windows\System32\DRIVERS\avipbb.sys [135136 2013-03-21] (Avira Operations GmbH & Co. KG)
S1 avkmgr; C:\Windows\System32\DRIVERS\avkmgr.sys [37352 2013-03-21] (Avira Operations GmbH & Co. KG)
S3 grmnusb; C:\Windows\System32\drivers\grmnusb.sys [9344 2009-04-17] (GARMIN Corp.)
S1 ssmdrv; C:\Windows\System32\DRIVERS\ssmdrv.sys [28520 2012-08-27] (Avira GmbH)
S3 BCM42RLY; system32\drivers\BCM42RLY.sys [x]
S4 blbdrive; \SystemRoot\system32\drivers\blbdrive.sys [x]
S3 cel90xbe; \??\C:\Users\TINKAB~1\AppData\Local\Temp\cel90xbe.sys [x]
S3 IpInIp; system32\DRIVERS\ipinip.sys [x]
S3 NwlnkFlt; system32\DRIVERS\nwlnkflt.sys [x]
S3 NwlnkFwd; system32\DRIVERS\nwlnkfwd.sys [x]

==================== NetSvcs (Whitelisted) ===================


==================== One Month Created Files and Folders ========

2013-07-24 17:41 - 2013-07-24 17:41 - 00000000 ____D C:\FRST
2013-07-24 16:05 - 2013-07-24 16:06 - 10285040 _____ (Malwarebytes Corporation                                    ) C:\Users\Tinkabelle\Desktop\mbam-setup-1.75.0.1300.exe
2013-07-24 15:48 - 2013-07-24 16:03 - 00000000 ____D C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg
2013-07-11 08:54 - 2013-05-29 02:56 - 12333568 _____ (Microsoft Corporation) C:\Windows\System32\mshtml.dll
2013-07-11 08:54 - 2013-05-29 02:50 - 01800704 _____ (Microsoft Corporation) C:\Windows\System32\jscript9.dll
2013-07-11 08:54 - 2013-05-29 02:48 - 09738752 _____ (Microsoft Corporation) C:\Windows\System32\ieframe.dll
2013-07-11 08:54 - 2013-05-29 02:41 - 01427968 _____ (Microsoft Corporation) C:\Windows\System32\inetcpl.cpl
2013-07-11 08:54 - 2013-05-29 02:41 - 01129472 _____ (Microsoft Corporation) C:\Windows\System32\wininet.dll
2013-07-11 08:54 - 2013-05-29 02:41 - 01104384 _____ (Microsoft Corporation) C:\Windows\System32\urlmon.dll
2013-07-11 08:54 - 2013-05-29 02:40 - 00231936 _____ (Microsoft Corporation) C:\Windows\System32\url.dll
2013-07-11 08:54 - 2013-05-29 02:38 - 00065024 _____ (Microsoft Corporation) C:\Windows\System32\jsproxy.dll
2013-07-11 08:54 - 2013-05-29 02:37 - 00142848 _____ (Microsoft Corporation) C:\Windows\System32\ieUnatt.exe
2013-07-11 08:54 - 2013-05-29 02:36 - 00420864 _____ (Microsoft Corporation) C:\Windows\System32\vbscript.dll
2013-07-11 08:54 - 2013-05-29 02:35 - 00717824 _____ (Microsoft Corporation) C:\Windows\System32\jscript.dll
2013-07-11 08:54 - 2013-05-29 02:35 - 00607744 _____ (Microsoft Corporation) C:\Windows\System32\msfeeds.dll
2013-07-11 08:54 - 2013-05-29 02:33 - 02382848 _____ (Microsoft Corporation) C:\Windows\System32\mshtml.tlb
2013-07-11 08:54 - 2013-05-29 02:33 - 01796096 _____ (Microsoft Corporation) C:\Windows\System32\iertutil.dll
2013-07-11 08:54 - 2013-05-29 02:33 - 00073216 _____ (Microsoft Corporation) C:\Windows\System32\mshtmled.dll
2013-07-11 08:54 - 2013-05-29 02:29 - 00176640 _____ (Microsoft Corporation) C:\Windows\System32\ieui.dll
2013-07-11 07:42 - 2013-06-04 02:50 - 02049024 _____ (Microsoft Corporation) C:\Windows\System32\win32k.sys
2013-07-11 07:42 - 2013-06-01 05:06 - 00505344 _____ (Microsoft Corporation) C:\Windows\System32\qedit.dll
2013-07-11 07:42 - 2013-05-08 05:04 - 01548288 _____ (Microsoft Corporation) C:\Windows\System32\WMVDECOD.DLL
2013-07-11 07:42 - 2013-04-17 12:28 - 01029120 _____ (Microsoft Corporation) C:\Windows\System32\d3d10.dll
2013-07-11 07:42 - 2013-04-17 12:28 - 00219648 _____ (Microsoft Corporation) C:\Windows\System32\d3d10_1core.dll
2013-07-11 07:42 - 2013-04-17 12:28 - 00189952 _____ (Microsoft Corporation) C:\Windows\System32\d3d10core.dll
2013-07-11 07:42 - 2013-04-17 12:28 - 00160768 _____ (Microsoft Corporation) C:\Windows\System32\d3d10_1.dll
2013-07-11 07:42 - 2013-04-17 11:34 - 01172480 _____ (Microsoft Corporation) C:\Windows\System32\d3d10warp.dll
2013-07-11 07:42 - 2013-04-17 11:33 - 00486400 _____ (Microsoft Corporation) C:\Windows\System32\d3d10level9.dll
2013-07-11 07:42 - 2013-04-17 11:14 - 00683008 _____ (Microsoft Corporation) C:\Windows\System32\d2d1.dll
2013-07-11 07:42 - 2013-04-17 11:10 - 01069056 _____ (Microsoft Corporation) C:\Windows\System32\DWrite.dll
2013-07-11 07:42 - 2013-04-17 11:10 - 00798208 _____ (Microsoft Corporation) C:\Windows\System32\FntCache.dll

==================== One Month Modified Files and Folders =======

2013-07-24 17:41 - 2013-07-24 17:41 - 00000000 ____D C:\FRST
2013-07-24 16:34 - 2006-11-02 13:52 - 01171989 _____ C:\Windows\WindowsUpdate.log
2013-07-24 16:34 - 2006-11-02 13:47 - 00003664 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
2013-07-24 16:34 - 2006-11-02 13:47 - 00003664 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
2013-07-24 16:14 - 2008-08-18 19:30 - 00000000 ___RD C:\Users\Tinkabelle\Desktop
2013-07-24 16:07 - 2006-11-02 11:33 - 01445352 _____ C:\Windows\System32\PerfStringBackup.INI
2013-07-24 16:06 - 2013-07-24 16:05 - 10285040 _____ (Malwarebytes Corporation                                    ) C:\Users\Tinkabelle\Desktop\mbam-setup-1.75.0.1300.exe
2013-07-24 16:03 - 2013-07-24 15:48 - 00000000 ____D C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg
2013-07-24 16:00 - 2009-09-21 17:29 - 00000440 _____ C:\Windows\System32\Drivers\etc\hosts.ics
2013-07-15 15:34 - 2011-06-10 19:07 - 00015520 _____ C:\Windows\setupact.log
2013-07-11 17:19 - 2006-11-02 12:18 - 00000000 ____D C:\Windows\Microsoft.NET
2013-07-11 16:27 - 2006-11-02 13:47 - 00291968 _____ C:\Windows\System32\FNTCACHE.DAT
2013-07-11 16:23 - 2012-09-21 15:42 - 00000000 ____D C:\Program Files\Microsoft Silverlight
2013-07-11 16:23 - 2006-11-02 13:37 - 00000000 ____D C:\Windows\System32\XPSViewer
2013-07-11 08:58 - 2006-11-02 11:24 - 75699896 _____ (Microsoft Corporation) C:\Windows\System32\mrt.exe
2013-07-11 08:57 - 2008-10-21 16:44 - 00000000 ____D C:\ProgramData\Microsoft Help
2013-07-11 08:45 - 2006-11-02 13:37 - 00000000 ____D C:\Program Files\Windows Journal
2013-07-08 20:18 - 2012-10-09 10:51 - 00000000 ____D C:\Users\Tinkabelle\Desktop\Ausbildung 2012

==================== Known DLLs (Whitelisted) ============


==================== Bamital & volsnap Check =================

C:\Windows\explorer.exe => MD5 is legit
C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit

==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points  =========================

Restore point made on: 2013-06-20 13:00:27
Restore point made on: 2013-06-21 11:32:19
Restore point made on: 2013-06-23 17:40:21
Restore point made on: 2013-06-25 14:22:36
Restore point made on: 2013-06-30 13:55:23
Restore point made on: 2013-07-08 16:35:04
Restore point made on: 2013-07-11 08:44:43
Restore point made on: 2013-07-15 15:25:32
Restore point made on: 2013-07-18 08:59:23
Restore point made on: 2013-07-24 16:04:25
Restore point made on: 2013-07-24 16:13:13

==================== Memory info ===========================

Percentage of memory in use: 13%
Total physical RAM: 2037.43 MB
Available physical RAM: 1763.95 MB
Total Pagefile: 1969.32 MB
Available Pagefile: 1834.2 MB
Total Virtual: 2047.88 MB
Available Virtual: 1972.5 MB

==================== Drives ================================

Drive c: () (Fixed) (Total:136.46 GB) (Free:16.86 GB) NTFS ==>[Drive with boot components (obtained from BCD)]
Drive d: (WA1) (CDROM) (Total:0.54 GB) (Free:0 GB) CDFS
Drive e: () (Removable) (Total:7.21 GB) (Free:7.21 GB) FAT32
Drive x: (RECOVERY) (Fixed) (Total:10 GB) (Free:5.82 GB) NTFS

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (MBR Code: Windows 7 or Vista) (Size: 149 GB) (Disk ID: A0000000)
Partition 1: (Not Active) - (Size=94 MB) - (Type=DE)
Partition 2: (Not Active) - (Size=10 GB) - (Type=07 NTFS)
Partition 3: (Active) - (Size=136 GB) - (Type=07 NTFS)
Partition 4: (Not Active) - (Size=3 GB) - (Type=OF Extended)

========================================================
Disk: 1 (MBR Code: Windows XP) (Size: 7 GB) (Disk ID: C3072E18)
Partition 1: (Active) - (Size=7 GB) - (Type=0B)


LastRegBack: 2013-07-24 16:26

==================== End Of Log ============================

aharonov 24.07.2013 17:24
Hallo,

ist dieser "Attentive Antivirus" verschwunden, wenn du den Rechner nach folgendem Fix wieder normal startest?


Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:
HKU\Tinkabelle\...\Run: [AA2014] - C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg\gVrUX7pg.exe [ 2013-07-24] ()
2013-07-24 15:48 - 2013-07-24 16:03 - 00000000 ____D C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg
Speichere diese bitte als Fixlist.txt auf deinem USB Stick.
  • Starte deinen Rechner erneut in die Reparaturoptionen
  • Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Mitch_00 24.07.2013 17:53
Zitat:
Zitat von aharonov (Beitrag 1117278)
Hallo,

ist dieser "Attentive Antivirus" verschwunden, wenn du den Rechner nach folgendem Fix wieder normal startest?


Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:
HKU\Tinkabelle\...\Run: [AA2014] - C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg\gVrUX7pg.exe [ 2013-07-24] ()
2013-07-24 15:48 - 2013-07-24 16:03 - 00000000 ____D C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg
Speichere diese bitte als Fixlist.txt auf deinem USB Stick.
  • Starte deinen Rechner erneut in die Reparaturoptionen
  • Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Ich versuche sofort

Auftrag ausgeführt

Nachfolgend der neue Fixlog

Code:
Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 23-07-2013
Ran by SYSTEM at 2013-07-24 18:36:03 Run:1
Running from E:\
Boot Mode: Recovery

==============================================

HKU\Tinkabelle\Software\Microsoft\Windows\CurrentVersion\Run\\AA2014 => Value deleted successfully.
C:\Users\Tinkabelle\AppData\Roaming\gVrUX7pg => Moved successfully.

==== End of Fixlog ====
Beeinträchtigung erscheint beseitigt. Zugriff auf alle Programme. System scheint fehlerfrei zu laufen.

Großen RESPEKT und vielen, vielen DANK!!!!! an meinen Helfer!! :abklatsch:

Gruß
Mario

aharonov 24.07.2013 20:53
Hallo Mario,

dann verschiebe die frst.exe vom USB-Stick auf den Desktop.
  • Starte dann FRST.
  • Setze bei Optional Scan den Haken bei Addition.txt und drücke Scan.
  • Wenn der Scan abgeschlossen ist, werden zwei neue Logfiles FRST.txt und Addition.txt erstellt und auf dem Desktop gespeichert.
  • Poste den Inhalt dieser beiden Logfiles bitte hier in deinen Thread.

aharonov 02.08.2013 00:42
Hi,

ich hab schon länger keine Antwort mehr von dir erhalten. Brauchst du weiterhin noch Hilfe?

Wenn ich in den nächsten 24 Stunden nichts von dir höre, gehe ich davon aus, dass sich das Thema erledigt hat und lösche es aus meinen Abos.

Hinweis: Wir sind noch nicht fertig! Auch wenn die Symptome verschwunden sein sollten, kann dein System weiterhin infiziert sein und über Sicherheitslücken verfügen, welche eine erneute Infektion möglich machen.

aharonov 03.08.2013 09:15
Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung mehr über neue Antworten.
Schreib mir eine PM, falls du das Thema doch wieder fortsetzen möchtest. Dann machen wir hier weiter.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass dein Rechner schon sauber ist.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.


Alle Zeitangaben in WEZ +1. Es ist jetzt 13:55 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19