|
TR/Crypt.XPACK.Gen ist nicht zu löschen, versteckt sich ?? Hallo, Avira AntiVir hat bei mir in C:\Windows\Temp\_avast5_\unp113296976.tmp den TR/crypt.xpack.gen gefunden. Nach dem Löschen habe ich Malwarebytes und Avira AntiVir sowie Avast! laufen lassen (jeweils komplett) ohne den Trojaner wieder gefunden zu haben. Zwei Tage später, während eines erneuten Malwarebyte quickscans hat sich Avira gemeldet, dass der Trojaner erneut gefunden wurde (in Quarantäne verschoben). Ccleaner (nach der Anleitung), sowie Malwarebytes und HighJackThis habe ich ausgeführt. Ich bin mit meinem Latein am Ende und hoffe, dass mir jemand weiterhelfen kann. carsten Malwarebytes' Anti-Malware 1.45 www.malwarebytes.org Datenbank Version: 3935 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 31.03.2010 03:26:16 mbam-log-2010-03-31 (03-26-16).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Durchsuchte Objekte: 117304 Laufzeit: 37 Minute(n), 46 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) ------------------------------------------------- Logfile of Trend Micro HijackThis v2.0.3 (BETA) Scan saved at 01:37:38, on 02.04.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Windows Defender\MsMpEng.exe C:\WINDOWS\System32\svchost.exe D:\XP\AnVrs\AvastSvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\XP\Avira\AntiVir Desktop\sched.exe C:\XP\Avira\AntiVir Desktop\avguard.exe C:\XP\Avira\AntiVir Desktop\avgnt.exe C:\Programme\avmwlanstick\wlangui.exe C:\WINDOWS\system32\devldr32.exe C:\Programme\Windows Defender\MSASCui.exe D:\XP\AnVrs\avastUI.exe C:\WINDOWS\system32\ctfmon.exe C:\XP\Logitech\SetPoint\SetPoint.exe C:\Programme\Gemeinsame Dateien\Teleca Shared\CapabilityManager.exe C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE C:\Programme\avmwlanstick\WlanNetService.exe C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\System32\msiexec.exe C:\XP\HJT\TrendMicro\HiJackThis\HiJackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file) O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [avgnt] "C:\XP\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "d:\XP\Adobe\Reader\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\XP\Sony Ericsson\Manager\Application Launcher\Application Launcher.exe" /startoptions O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide O4 - HKLM\..\Run: [avast5] D:\XP\AnVrs\avastUI.exe /nogui O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Logitech SetPoint.lnk = C:\XP\Logitech\SetPoint\SetPoint.exe O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O15 - Trusted Zone: hxxp://store.steampowered.com O15 - Trusted Zone: hxxp://download.windowsupdate.com O15 - Trusted Zone: hxxp://*.windowsupdate.com O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1257061035026 O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\XP\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\XP\Avira\AntiVir Desktop\avguard.exe O23 - Service: avast! Antivirus - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe O23 - Service: avast! Mail Scanner - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe O23 - Service: avast! Web Scanner - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTServ.exe -- End of file - 5198 bytes |
Ich habe Aviras AntiVir im Abgesichertem Modus durchlaufen lassen. Avast! ließ sich dort nicht starten/reparieren. Hier das Logfile. Die Dateiheuristik wird im Log mit mittel angegeben, ist in der Konfiguration allerdings auf hoch eingestellt. Vielleicht liegt das an der Freeware Version, wissen tu ich das allerdings nicht. Avira AntiVir Personal Erstellungsdatum der Reportdatei: Freitag, 2. April 2010 02:58 Es wird nach 1953431 Virenstämmen gesucht. Lizenznehmer : Avira AntiVir Personal - FREE Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows XP Windowsversion : (Service Pack 3) [5.1.2600] Boot Modus : Abgesicherter Modus Benutzername : XXKrabbe Computername : CAR Versionsinformationen: BUILD.DAT : 9.0.0.422 21701 Bytes 09.03.2010 10:23:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 20.11.2009 01:53:49 AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 12:04:10 LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 11:35:44 LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 10:41:59 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 01:53:42 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 01:53:45 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 15:28:25 VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 20:20:08 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 08:15:52 VBASE005.VDF : 7.10.4.204 2048 Bytes 05.03.2010 08:15:52 VBASE006.VDF : 7.10.4.205 2048 Bytes 05.03.2010 08:15:53 VBASE007.VDF : 7.10.4.206 2048 Bytes 05.03.2010 08:15:53 VBASE008.VDF : 7.10.4.207 2048 Bytes 05.03.2010 08:15:53 VBASE009.VDF : 7.10.4.208 2048 Bytes 05.03.2010 08:15:53 VBASE010.VDF : 7.10.4.209 2048 Bytes 05.03.2010 08:15:53 VBASE011.VDF : 7.10.4.210 2048 Bytes 05.03.2010 08:15:54 VBASE012.VDF : 7.10.4.211 2048 Bytes 05.03.2010 08:15:54 VBASE013.VDF : 7.10.4.242 153088 Bytes 08.03.2010 11:33:46 VBASE014.VDF : 7.10.5.17 99328 Bytes 10.03.2010 16:36:49 VBASE015.VDF : 7.10.5.44 107008 Bytes 11.03.2010 16:36:49 VBASE016.VDF : 7.10.5.69 92672 Bytes 12.03.2010 16:07:46 VBASE017.VDF : 7.10.5.91 119808 Bytes 15.03.2010 04:01:15 VBASE018.VDF : 7.10.5.121 112640 Bytes 18.03.2010 00:29:53 VBASE019.VDF : 7.10.5.138 139776 Bytes 18.03.2010 00:29:54 VBASE020.VDF : 7.10.5.164 113152 Bytes 22.03.2010 09:11:04 VBASE021.VDF : 7.10.5.182 108032 Bytes 23.03.2010 09:11:04 VBASE022.VDF : 7.10.5.199 123904 Bytes 24.03.2010 09:11:04 VBASE023.VDF : 7.10.5.217 279552 Bytes 25.03.2010 09:11:05 VBASE024.VDF : 7.10.5.234 202240 Bytes 26.03.2010 09:11:06 VBASE025.VDF : 7.10.5.254 187904 Bytes 30.03.2010 19:39:32 VBASE026.VDF : 7.10.5.255 2048 Bytes 30.03.2010 19:39:32 VBASE027.VDF : 7.10.6.0 2048 Bytes 30.03.2010 19:39:32 VBASE028.VDF : 7.10.6.1 2048 Bytes 30.03.2010 19:39:32 VBASE029.VDF : 7.10.6.2 2048 Bytes 30.03.2010 19:39:32 VBASE030.VDF : 7.10.6.3 2048 Bytes 30.03.2010 19:39:32 VBASE031.VDF : 7.10.6.16 134144 Bytes 01.04.2010 19:39:33 Engineversion : 8.2.1.210 AEVDF.DLL : 8.1.1.3 106868 Bytes 25.01.2010 20:15:50 AESCRIPT.DLL : 8.1.3.24 1282425 Bytes 01.04.2010 19:39:36 AESCN.DLL : 8.1.5.0 127347 Bytes 26.02.2010 19:21:00 AESBX.DLL : 8.1.2.1 254323 Bytes 18.03.2010 04:01:32 AERDL.DLL : 8.1.4.3 541043 Bytes 18.03.2010 04:01:26 AEPACK.DLL : 8.2.1.1 426358 Bytes 21.03.2010 00:30:01 AEOFFICE.DLL : 8.1.0.41 201083 Bytes 18.03.2010 04:01:24 AEHEUR.DLL : 8.1.1.16 2503031 Bytes 27.03.2010 09:11:12 AEHELP.DLL : 8.1.11.3 242039 Bytes 01.04.2010 19:39:35 AEGEN.DLL : 8.1.3.6 373108 Bytes 01.04.2010 19:39:34 AEEMU.DLL : 8.1.1.0 393587 Bytes 06.11.2009 13:30:40 AECORE.DLL : 8.1.13.1 188790 Bytes 01.04.2010 19:39:33 AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 14:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 08:47:56 AVPREF.DLL : 9.0.3.0 44289 Bytes 06.11.2009 13:31:43 AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 19:28:21 AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 15:25:04 AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 15:05:37 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 10:37:04 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 15:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 08:21:28 NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 15:41:21 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 01.04.2010 19:39:32 RCTEXT.DLL : 9.0.73.0 87297 Bytes 20.11.2009 01:53:25 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: c:\xp\avira\antivir desktop\sysscan.avp Protokollierung.......................: niedrig Primäre Aktion........................: interaktiv Sekundäre Aktion......................: löschen Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, D:, Durchsuche aktive Programme...........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: mittel Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR, Beginn des Suchlaufs: Freitag, 2. April 2010 02:58 Der Suchlauf nach versteckten Objekten wird begonnen. Der Treiber konnte nicht initialisiert werden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'AvastUI.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'MsMpEng.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht Es wurden '13' Prozesse mit '13' Modulen durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '50' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' <FESTPLATTE> C:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NOS\Adobe_Downloads\nos_3289.dat [0] Archivtyp: NSIS --> [UnknownDir]/NPSWF32_FlashUtil.exe [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. [WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen. Beginne mit der Suche in 'D:\' <Volume> D:\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! [HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei. [HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann. Ende des Suchlaufs: Freitag, 2. April 2010 03:50 Benötigte Zeit: 52:04 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 4928 Verzeichnisse wurden überprüft 128328 Dateien wurden geprüft 0 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 2 Dateien konnten nicht durchsucht werden 128326 Dateien ohne Befall 1686 Archive wurden durchsucht 4 Warnungen 2 Hinweise |
Zitat:
Zitat:
Zwei AV-Programme bringen keinen Mehrnutzen, behindern sich gegenseitig und können sogar zur Instabilität und Abstürzen des Systems führen. Entscheide dich für eins und deinstalliere das andere. |
Hallo Sion, erstmal Danke für die Entwarnung. Werde gleich mal versuchen Malwarebytes laufen zu lassen ohne Avast!. Dann müßte Avira sich ja nicht mehr melden. Ich wollte mir Avast! mal ansehen und dann entscheiden, was deinstalliert wird. Eine Frage habe ich allerdings noch. Ich kenne mich mit Windowsdateien überhaupt nicht aus, und wollte deshalb wissen, ob es normal ist, das ich den Windows\System32 Ordner zweimal habe (Einmal grosses S einmal klein), der Expolrer mir aber nur einen anzeigt? Siehe Highjackthis log im ersten Beitrag. Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe <------ C:\Programme\Windows Defender\MsMpEng.exe C:\WINDOWS\System32\svchost.exe <------ |
Das ist ein und derselbe Ordner, der von HJT mal so und mal so genannt wird. Keine Ahnung warum. :dummguck: Kannst dir ja mal ein paar Threads hier mit Logs anschauen - ist vollkommen normal. |
Zitat:
Anders wie Linux unterscheidet Windows im Dateisystem nicht zwischen Groß- und Kleinschreibung... |
Keine Meldung mehr von AntiVir, wenn Malwarebytes scant. War ja eh nur falscher Alarm. Ich werde jetzt mal Avast! versuchen und Avira löschen, denke Avast! hat noch ein paar funktionen mehr (Email, Download und Firewall ?). Das mit der Groß- und Kleinschreibung der Ordner erschient mir eigenartig, den im Explorer kann man sowohl Grosse und Kleien erstellen, die Information muß also gespeichert sein...aber was ist nicht eigenartig an Windows. http://www.trojaner-board.de/images/smilies/smile.gif Vielen Dank nochmal an Sion und Cosinus, hatte nach der Meldung erstmal einen Schreck bekommen, gut das es das Trojanerboard gibt. Gruß Carsten |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:28 Uhr. |
Copyright ©2000-2025, Trojaner-Board