Trojaner-Board - Hilfe! ANTIVIR meldet TR/Crypt.XPACK.Gen

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Hilfe! ANTIVIR meldet TR/Crypt.XPACK.Gen (https://www.trojaner-board.de/79553-hilfe-antivir-meldet-tr-crypt-xpack-gen.html)

Hilfe! ANTIVIR meldet TR/Crypt.XPACK.Gen

Hallo Community,...:D
wie oben schon steht hab ich ein Problem mit der meldung vom Antivir :"...In der Datei 'C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\~37.tmp'
wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.XPACK.Gen' [trojan] gefunden." :snyper:
Habe:
Microsoft Windows XP Professional ,Service Pack 3 Firewall=Zonealarm Avira Antivir Personal!
Komischer weise beginnt das wenn ich Call of Duty Modern Warfare 2 Online spielen will ansonsten nicht! Habe schon mit Spybot und Konsorten danach gesucht aber finde nichts! hier erstmal mein HiJackThis.log:

Code:

 Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 01:54:01, on 19.11.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINXP\System32\smss.exe

C:\WINXP\system32\winlogon.exe

C:\WINXP\system32\services.exe

C:\WINXP\system32\lsass.exe

C:\WINXP\system32\svchost.exe

C:\WINXP\System32\svchost.exe

C:\WINXP\system32\svchost.exe

C:\WINXP\system32\ZoneLabs\vsmon.exe

C:\WINXP\Explorer.EXE

C:\WINXP\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\a-squared Anti-Malware\a2service.exe

C:\Programme\a-squared Free\a2service.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\WINXP\system32\nvsvc32.exe

C:\WINXP\system32\PnkBstrA.exe

C:\WINXP\system32\svchost.exe

C:\WINXP\System32\svchost.exe

C:\WINXP\system32\RUNDLL32.EXE

C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINXP\system32\ctfmon.exe

C:\Programme\Windows Media Player\wmplayer.exe

C:\Dokumente und Einstellungen\*****\Eigene Dateien\Downloads\HiJackThis.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Trend Micro\RUBotted\TMRUBotted.exe

C:\Programme\Trend Micro\RUBotted\TMRUBottedTray.exe

C:\Dokumente und Einstellungen\*****\Eigene Dateien\RootkitBuster.exe
 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R3 - URLSearchHook: (no name) -  - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINXP\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINXP\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe"

O4 - HKLM\..\Run: [TMRUBottedTray] "C:\Programme\Trend Micro\RUBotted\TMRUBottedTray.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINXP\system32\ctfmon.exe

O4 - HKCU\..\Run: [HijackThis startup scan] C:\Dokumente und Einstellungen\****\Eigene Dateien\Downloads\HijackThis.exe /startupscan

O4 - HKUS\S-1-5-19\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')

O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINXP\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {939CF447-00D6-43EC-8EAD-32D751F7CC25} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)

O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {939CF447-00D6-43EC-8EAD-32D751F7CC25} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8AACE0D1-15C6-450E-B499-EAE432A11084}: NameServer = 213.191.74.11 213.191.92.82

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll

O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Programme\a-squared Anti-Malware\a2service.exe

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINXP\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINXP\system32\PnkBstrA.exe

O23 - Service: Trend Micro RUBotted Service (RUBotted) - Trend Micro Inc. - C:\Programme\Trend Micro\RUBotted\TMRUBotted.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINXP\system32\ZoneLabs\vsmon.exe
 

--

End of file - 6996 bytes

wie gesagt ich hab schon 1000 Million Proggis suchen lassen, seht ihr ja in dem Logfile :D und das kommt auch nur wenn ich Online Spiele, hat jemand einen Rat? :confused:
P.S.: Ich habe ein orginal Spiel ergo kein Crack auf dem Laptop oder sowas!

:hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

Bitte arbeite alle Schritte der Reihe nach ab.
Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
Bitte kein Crossposting ( posten in mehreren Foren).

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite bitte folgendes ab.

Poste bitte alle Logfiles in Code-Tags.
Klicke antworten --> #
danach [code]text[/code]
So sollte das dann hier aussehen nach dem antworten:

Code:

deine Logfile

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.

schritt 1

Windows-Explorer öffnen (Windows-Taste + E) und unter => Extras => Ordneroptionen => im Reiter "Ansicht"

Dateien und Ordner: Erweiterungen bei bekannten Dateitypen ausblenden deaktivieren
Dateien und Ordner: Geschützte Systemdateien ausblenden (empfohlen) deaktivieren
Dateien und Ordner: Inhalte von Systemordnern anzeigen aktivieren (bei Vista nicht vorhanden)
Versteckte Dateien und Ordner: alle Dateien und Ordner anzeigen aktivieren

schritt 2

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Doppelklick auf die OTL.exe
Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
Unter Extra Registry, wähle bitte Use SafeList
Klicke nun auf [b]Run Scan[/b links oben
Wenn der Scan beendet wurde werden 2 Logfiles erstellt
Poste die Logfiles in Code-Tags hier in den Thread.

schritt 3

alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
nichts am Rechner getan werden,
nach jedem Scan der Rechner neu gestartet werden.

Gmer scannen lassen

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
Gmer ist geeignet für => NT/W2K/XP/VISTA.
Alle anderen Programme sollen geschlossen sein.
Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
Vista-User mit Rechtsklick und als Administrator starten.
Sollte sich ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?
Unbedingt auf "No" klicken.
Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
Füge das Log aus der Zwischenablage in Deine Antwort hier ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Hi,... also die :log files aus dem OTL Programm hab ich jetzt gemacht leider quittiert das Gmer Proggi den Lauf mit einem blauen Bildschirm und der Rechner startet neu!? laufenden Programme waren dabei selbstverständlich alle aus!
Die Log files sind wohl zu lang um sie per Code-Tags einzufügen also hänge ich sie hier an!
Vielen Dank erstmal!:dankeschoen: Hatte eigentlich seit Jahren Ruhe vor Viren bzw. Malware,...aber eigentlich hat es angefangen seit dem meine Freundin den Laptop mitbenutzt :aufsmaul: ( ein Schelm wer böses dabei denkt)

Während dieser Scans soll(en):

alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
nichts am Rechner getan werden,
nach jedem Scan der Rechner neu gestartet werden.

Rootkitscan mit RootRepeal

Gehe hierhin, scrolle runter und downloade RootRepeal.zip.
Entpacke die Datei auf Deinen Desktop.
Doppelklicke die RootRepeal.exe, um den Scanner zu starten.
Klicke auf den Reiter Report und dann auf den Button Scan.
Mache einen Haken bei den folgenden Elementen und klicke Ok.
.
Drivers
Files
Processes
SSDT
Stealth Objects
Hidden Services
Shadow SSDT
.
Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen.
Wähle C:\ und klicke wieder Ok.
Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld.
Wenn der Suchlauf beendet ist, klicke auf Save Report.
Speichere das Logfile als RootRepeal.txt auf dem Desktop.
Kopiere den Inhalt hier in den Thread.

Hi Larusso,... hab jetzt alles so gemacht mit dem RootRepeal programm hier das ergebniss:

Code:

ROOTREPEAL (c) AD, 2007-2009

==================================================

Scan Start Time:                2009/11/19 17:30

Program Version:                Version 1.3.5.0

Windows Version:                Windows XP SP3

==================================================
 

Drivers

-------------------

Name: dump_atapi.sys

Image Path: C:\WINXP\System32\Drivers\dump_atapi.sys

Address: 0xB83B2000        Size: 98304        File Visible: No        Signed: -

Status: -
 

Name: dump_WMILIB.SYS

Image Path: C:\WINXP\System32\Drivers\dump_WMILIB.SYS

Address: 0xBADFC000        Size: 8192        File Visible: No        Signed: -

Status: -
 

Name: rootrepeal.sys

Image Path: C:\WINXP\system32\drivers\rootrepeal.sys

Address: 0xB6022000        Size: 49152        File Visible: No        Signed: -

Status: -
 

Name: srescan.sys

Image Path: srescan.sys

Address: 0xBA5F2000        Size: 81920        File Visible: No        Signed: -

Status: -
 

SSDT

-------------------

#: 037        Function Name: NtCreateFile

Status: Hooked by "C:\WINXP\System32\vsdatant.sys" at address 0xb8607930
 

#: 041        Function Name: NtCreateKey

Status: Hooked by "<unknown>" at address 0xbaecbd0e
 

#: 053        Function Name: NtCreateThread

Status: Hooked by "<unknown>" at address 0xbaecbd04
 

#: 062        Function Name: NtDeleteFile

Status: Hooked by "C:\WINXP\System32\vsdatant.sys" at address 0xb8607f20
 

#: 063        Function Name: NtDeleteKey

Status: Hooked by "<unknown>" at address 0xbaecbd13
 

#: 065        Function Name: NtDeleteValueKey

Status: Hooked by "<unknown>" at address 0xbaecbd1d
 

#: 098        Function Name: NtLoadKey

Status: Hooked by "<unknown>" at address 0xbaecbd22
 

#: 116        Function Name: NtOpenFile

Status: Hooked by "C:\WINXP\System32\vsdatant.sys" at address 0xb8607d70
 

#: 122        Function Name: NtOpenProcess

Status: Hooked by "<unknown>" at address 0xbaecbcf0
 

#: 128        Function Name: NtOpenThread

Status: Hooked by "<unknown>" at address 0xbaecbcf5
 

#: 192        Function Name: NtRenameKey

Status: Hooked by "C:\WINXP\System32\vsdatant.sys" at address 0xb8614250
 

#: 193        Function Name: NtReplaceKey

Status: Hooked by "<unknown>" at address 0xbaecbd2c
 

#: 204        Function Name: NtRestoreKey

Status: Hooked by "<unknown>" at address 0xbaecbd27
 

#: 224        Function Name: NtSetInformationFile

Status: Hooked by "C:\WINXP\System32\vsdatant.sys" at address 0xb8608120
 

#: 247        Function Name: NtSetValueKey

Status: Hooked by "<unknown>" at address 0xbaecbd18
 

#: 257        Function Name: NtTerminateProcess

Status: Hooked by "<unknown>" at address 0xbaecbcff
 

==EOF==

Hoffe alles richtig gemacht!? :applaus:
MfG DaNoNe

schritt 1

Wende bitte Malwarebytes nach Anleitung an. (Quickscan reicht)

schritt 2

ESET Online Scanner
- Unterstützte Betriebssysteme: Microsoft Windows 98/ME/NT 4.0/2000/XP und Windows Vista
- Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
- Dein Anti-Virus-Programm während des Scans deaktivieren.
- Button "ESET Online Scanner" drücken.
- Firefox-User müssen ein zusätzliches Addon (esetsmartinstaller_enu.exe) installieren.
- Das Firefox-Addon auf dem Desktop speichern und dann installieren.
- IE-User müssen das Installieren eines ActiveX Elements erlauben.
- Einen Haken bei "Remove found threads" und "Scan archives" machen.
- Start drücken.
- Signaturen werden heruntergeladen.
- Der Scan beginnt automatisch.
- Finish drücken.
- Browser schließen.
- Explorer öffnen.
- C:\Programme\Eset\EsetOnlineScanner\log.txt suchen und mit Deinem Editor öffnen.
- Logfile hier posten.
- Deinstallation: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
- Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset
- IE-User zusätzlich: mit HJT folgenden Eintrag fixen:
- O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control)

schritt 3

Schliesse bitte alle laufenden Programme inkl Browser.
Lösche bitte die Extra.txt von Deinem Desktop.
Doppelklick auf die OTL.exe und poste beide Logfiles.
Aufteilen, nicht hochladen. Danke

Habe ebend etwas darüber gefunden, nachdem der Onlinescan und Malwarebytes nichts gefunden haben, war auch kein wunder hab ja schon Northon Onlinescan und Pandaonlinescan suchen lassen. Neben Ad-aware, A2 scan und diversen anderen Proggis nichts gefunden haben bzw. alle :log files kein ergebnis bringen bin ich auf das hier gestoßen:
Hier ergo bin ich nicht der einzige eine Lösung wird es so schnell wohl eher nicht geben!
Danke erstmal :dankeschoen: