|
Trojanerwarnung - TR/PSW.Frethog, wie bekomme ich dieses los? Hallo Boarder. Seitdem ich antivir 10 personal draufgespielt habe, blended es regelmäßig Hinweise,wie "Guard: Autrun blockiert [...] zur ihrer Sicherheit wurde der Zugriff auf die Datei D:\autorun.inf blockiert." ein. Außerdem kommen Warnungen hinsichtlich eines Trojanischen Pferds: TR/PSW.Frethog.111104.H in unterschiedlichen Dateien mehrfach am Tag. Die Dateien stehen alle in [Laufwerk D, E oder F]:\System Volume Information\restore***\RP541\A0139838.exe (und ähnlichen Ziffernbeschreibungen). Habe bereits Spybot und Malwarebytes AM laufen lassen, aber nicht beheben können. Ggf. kommt der USB-Stick als Urheber des Übels in Frage. Liegt eine "heilbare" Infektion mit Viren und/oder Trojanern vor? Wie kann ich vorgehen. Anbei nun das Logfile von Hijackthis: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 17:00:06, on 09.04.2010 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v8.00 (8.00.6001.18702) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe D:\Programme\Avira\AntiVir Desktop\sched.exe C:\WINDOWS\Explorer.EXE C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe D:\Programme\Avira\AntiVir Desktop\avgnt.exe C:\Programme\Spybot\TeaTimer.exe C:\WINDOWS\system32\ctfmon.exe D:\Programme\Avira\AntiVir Desktop\avguard.exe C:\WINDOWS\CleanTemp.exe C:\Programme\Java\jre6\bin\jqs.exe D:\Programme\Avira\AntiVir Desktop\avshadow.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Programme\HijackThis\HijackThis.exe D:\Programme\Opera\opera.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157 R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\SDHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" O4 - HKLM\..\Run: [LXBTCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXBTtime.dll,_RunDLLEntry@16 O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe" O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot\TeaTimer.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre6\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre6\bin\ssv.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite5.1\ICQLite.exe (file missing) O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite5.1\ICQLite.exe (file missing) O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot\SDHelper.dll O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot\SDHelper.dll O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6.5\ICQ.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - hxxp://static.pe.studivz.net/photouploader/ImageUploader5.cab?nocache=1227114119 O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - hxxp://static.ak.studivz.net/photouploader/ImageUploader4.cab?nocache=20071219-1 O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - hxxp://secro.dyndns.org/activex/AxisCamControl.cab O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - hxxp://static.pe.studivz.net/photouploader/ImageUploader5.cab?nocache=1215119249 O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - hxxp://game06.zylom.com/activex/zylomgamesplayer.cab O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\sched.exe O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\avguard.exe O23 - Service: CleanTempDir - Océ-Deutschland GmbH - C:\WINDOWS\CleanTemp.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe O23 - Service: lxbt_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxbtcoms.exe O23 - Service: Vodafone Mobile Connect Service (VMCService) - Vodafone - C:\Programme\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe -- End of file - 7857 bytes Gruß sigg |
1. Deinstalliere Spybot. Das Teil wird versuchen, Systemänderungen rückgängig zu machen, was bei einer Bereinigung problematisch ist. Kannst ihn später wieder installieren, wobei das Programm heutzutage relativ nutzlos ist. 2. Hol dir Flash Disinfector Schließe alle USB-Sticks, extrene Festplatten usw. an. Starte Flash Disinfector. Nicke alles ab. Warte bis der Scan beendet ist. 3. Poste das Log von Malwarebytes Scan. Kein neuer Scan, das alte Log posten. 4. http://www.trojaner-board.de/74908-a...t-scanner.html Log posten. 5. Hol dir OTL Starte OTL Kopiere unten in das Skript-Feld rein: Zitat:
Schließe alle anderen Programme. Klicke auf Quick Scan. Poste die beiden Logs - OTL.txt und Extras.txt |
Hallo Sion, vorab bedanke ich mich für deine Anleitung. Beim Durchlauf des Flash Desinfectors kam letztlich nur ein abschließendes Fenster mit: "Done!". Anbei das Malewarebytes Log: Malwarebytes' Anti-Malware 1.44 Datenbank Version: 3510 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 09.04.2010 15:45:33 mbam-log-2010-04-09 (15-45-12).txt Scan-Methode: Quick-Scan Durchsuchte Objekte: 416 Laufzeit: 33 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: k:\USBSYSTEM\usp.exe (Malware.packer) -> No action taken. Fahre nun so fort, wie vorgeschlagen. Salut. |
Öhm ein vollständiger Scan wäre besser |
Nummero Eins: Die Logdatei von GMER. GMER 1.0.15.15281 - GMER - Rootkit Detector and Remover Rootkit scan 2010-04-10 20:43:30 Windows 5.1.2600 Service Pack 3 Running: gmer0ld9qe1g.exe; Driver: D:\temp\fwlyapoc.sys ---- System - GMER 1.0.15 ---- SSDT F7EE90C6 ZwCreateKey SSDT F7EE90BC ZwCreateThread SSDT F7EE90CB ZwDeleteKey SSDT F7EE90D5 ZwDeleteValueKey SSDT F7EE90DA ZwLoadKey SSDT F7EE90A8 ZwOpenProcess SSDT F7EE90AD ZwOpenThread SSDT F7EE90E4 ZwReplaceKey SSDT F7EE90DF ZwRestoreKey SSDT F7EE90D0 ZwSetValueKey ---- Devices - GMER 1.0.15 ---- AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation) ---- EOF - GMER 1.0.15 ---- |
Nummero Zwei: Die OTL.txt. Code: OTL logfile created on: 10.04.2010 21:03:12 - Run 1 |
Nummero Drei: Die Extra.txt. Code: OTL Extras logfile created on: 10.04.2010 21:03:13 - Run 1 |
Starte OTL. Kopiere unten in das Skript-Feld rein: Zitat:
Neustart zulassen, wenn gefragt. Poste das Fix Log. Zu finden unter c:\_OTL 2. Mach einen erneuten Durchlauf mit Malwarebytes. Du hast beim letzten mal anscheinend vergessen, die Funde auch zu entfernen. Außerdem war Malwarebytes veraltet. Mach einen Update. Mit dem ersten Update kriegt man die Version 1.45. Dann muss man wahrscheinlich noch ein Update machen, um auch die neueste Dantenbank zu kriegen. Schließe nach den Updates wieder alles an und mach diesmal einen Vollscan. Lass die Funde nach dem Scan diesmal auch entfernen. |
Zunächst die Fixlog Datei: All processes killed ========== OTL ========== Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\{855F3B16-6D32-4fe6-8A56-BBB695989046} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{855F3B16-6D32-4fe6-8A56-BBB695989046}\ not found. Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\\{C4069E3A-68F1-403E-B40E-20066696354B} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C4069E3A-68F1-403E-B40E-20066696354B}\ not found. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SunJavaUpdateSched deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\TaskMan:C:\RECYCLER\S-1-5-21-1977589172-3705503834-750880670-8777\MsMxEng.exe deleted successfully. C:\RECYCLER\S-1-5-21-1977589172-3705503834-750880670-8777\MsMxEng.exe moved successfully. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ac02ea13-239b-11de-883b-000c7831a1a5}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ac02ea13-239b-11de-883b-000c7831a1a5}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ac02ea13-239b-11de-883b-000c7831a1a5}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ac02ea13-239b-11de-883b-000c7831a1a5}\ not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c8db6ddb-33fd-11df-8a53-000c6e54a277}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c8db6ddb-33fd-11df-8a53-000c6e54a277}\ not found. File I:\nhx.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c8db6ddb-33fd-11df-8a53-000c6e54a277}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c8db6ddb-33fd-11df-8a53-000c6e54a277}\ not found. File I:\nhx.exe not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dce76ed2-7cd0-11dc-85c9-000c7831a1a5}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{dce76ed2-7cd0-11dc-85c9-000c7831a1a5}\ not found. File AdobeR.exe e not found. Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dce76ed2-7cd0-11dc-85c9-000c7831a1a5}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{dce76ed2-7cd0-11dc-85c9-000c7831a1a5}\ not found. ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:912389B7 deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Amelie_ssaver User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: LocalService ->Temp folder emptied: 66016 bytes ->Temporary Internet Files folder emptied: 40110 bytes User: NetworkService ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Steve ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 158331 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 27638047 bytes ->Opera cache emptied: 0 bytes ->Flash cache emptied: 4145 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 2134333 bytes %systemroot%\System32 .tmp files removed: 36051335 bytes %systemroot%\System32\dllcache .tmp files removed: 333056 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 0 bytes Session Manager Temp folder emptied: 0 bytes Session Manager Tmp folder emptied: 0 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 63,00 mb C:\WINDOWS\System32\drivers\etc\Hosts moved successfully. HOSTS file reset successfully Restore points cleared and new OTL Restore Point set! OTL by OldTimer - Version 3.2.1.1 log created on 04112010_121401 Files\Folders moved on Reboot... Registry entries deleted on Reboot... |
Und nun die Logdatei nach dem vollständigen Scan mit aktueller Malewarebytessoftware: Malwarebytes' Anti-Malware 1.45 www.malwarebytes.org Datenbank Version: 3976 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 11.04.2010 13:59:38 mbam-log-2010-04-11 (13-59-38).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|) Durchsuchte Objekte: 175933 Laufzeit: 57 Minute(n), 54 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) ------------------ Nichts gefunden, nichts zu entfernen. Bislang kam auch keine Viren oder Trojanermeldung mehr. Nur die Info "Zugriff auf autorun.inf blockiert" erscheint fortwährend. Wie lässt sich das abschalten? Gruß, sigg |
Da ist noch irgendetwas aktiv. 1. Hol dir AVZ Entpacke und starte AVZ. Führe einen Update durch (Button auf der rechten Seite unten ("Database Update") - dann auf Start). Nach dem Update: Setze oben links ein Häkchen beim Laufwerk C: Wechsle zu "File Types" und wähle All Files. Wechsle zu "Search Parameters", setze zusätzlich ein Häkchen bei Block User-Mode Rootkits und Block Kernel-Mode Rootkits Schließe alle anderen Programme. Klicke auf Start, der Scan wird eine Weile in Anspruch nehmen. Speichere nach dem Scan das Log mit dem Button unten rechts "Save Log" und poste es. |
Danke und durchgeführt. Hier die Logdatei von avz: AVZ Antiviral Toolkit log; AVZ version is 4.32 Scanning started at 13.04.2010 19:42:30 Database loaded: signatures - 270191, NN profile(s) - 2, malware removal microprograms - 56, signature database released 12.04.2010 23:34 Heuristic microprograms loaded: 382 PVS microprograms loaded: 9 Digital signatures of system files loaded: 194145 Heuristic analyzer mode: Medium heuristics mode Malware removal mode: disabled Windows version is: 5.1.2600, Service Pack 3 ; AVZ is run with administrator rights System Restore: enabled 1. Searching for Rootkits and other software intercepting API functions 1.1 Searching for user-mode API hooks Analysis: kernel32.dll, export table found in section .text Analysis: ntdll.dll, export table found in section .text Analysis: user32.dll, export table found in section .text Analysis: advapi32.dll, export table found in section .text Analysis: ws2_32.dll, export table found in section .text Analysis: wininet.dll, export table found in section .text Analysis: rasapi32.dll, export table found in section .text Analysis: urlmon.dll, export table found in section .text Analysis: netapi32.dll, export table found in section .text 1.2 Searching for kernel-mode API hooks Driver loaded successfully SDT found (RVA=083220) Kernel ntoskrnl.exe found in memory at address 804D7000 SDT = 8055A220 KiST = 804E26B8 (284) Function NtCreateKey (29) intercepted (80572E9D->F7F0C98E), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtCreateThread (35) intercepted (8057BD7A->F7F0C984), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtDeleteKey (3F) intercepted (805952BE->F7F0C993), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtDeleteValueKey (41) intercepted (80592D50->F7F0C99D), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtLoadKey (62) intercepted (805AED5D->F7F0C9A2), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtOpenProcess (7A) intercepted (805741D0->F7F0C970), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtOpenThread (80) intercepted (8058B58D->F7F0C975), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtReplaceKey (C1) intercepted (8064F16A->F7F0C9AC), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtRestoreKey (CC) intercepted (8064ED01->F7F0C9A7), hook not defined >>> Function restored successfully ! >>> Hook code blocked Function NtSetValueKey (F7) intercepted (80579A43->F7F0C998), hook not defined >>> Function restored successfully ! >>> Hook code blocked Functions checked: 284, intercepted: 10, restored: 10 1.3 Checking IDT and SYSENTER Analyzing CPU 1 CmpCallCallBacks = 0013A78E Disable callback OK Checking IDT and SYSENTER - complete 1.4 Searching for masking processes and drivers Checking not performed: extended monitoring driver (AVZPM) is not installed Driver loaded successfully 1.5 Checking IRP handlers Checking - complete 2. Scanning RAM Number of processes found: 27 Number of modules loaded: 374 Scanning RAM - complete 3. Scanning disks Direct reading: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Direct reading: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Direct reading: C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Direct reading: C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Direct reading: C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Direct reading: C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Direct reading: C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Direct reading: C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Direct reading: C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Direct reading: C:\Dokumente und Einstellungen\Steve\Cookies\index.dat Direct reading: C:\Dokumente und Einstellungen\Steve\IETldCache\index.dat Direct reading: C:\Dokumente und Einstellungen\Steve\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Direct reading: C:\Dokumente und Einstellungen\Steve\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Direct reading: C:\Dokumente und Einstellungen\Steve\Lokale Einstellungen\Verlauf\History.IE5\index.dat Direct reading: C:\Dokumente und Einstellungen\Steve\NTUSER.DAT Direct reading: C:\System Volume Information\_restore{9D2ECD88-9F7B-45F7-954C-F1405FF4ADA1}\RP549\change.log Direct reading: C:\WINDOWS\SchedLgU.Txt Direct reading: C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Direct reading: C:\WINDOWS\system32\CatRoot2\edb.log Direct reading: C:\WINDOWS\system32\CatRoot2\tmp.edb Direct reading: C:\WINDOWS\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb Direct reading: C:\WINDOWS\system32\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Direct reading: C:\WINDOWS\system32\config\AppEvent.Evt Direct reading: C:\WINDOWS\system32\config\default Direct reading: C:\WINDOWS\system32\config\Internet.evt Direct reading: C:\WINDOWS\system32\config\SAM Direct reading: C:\WINDOWS\system32\config\SecEvent.Evt Direct reading: C:\WINDOWS\system32\config\SECURITY Direct reading: C:\WINDOWS\system32\config\SysEvent.Evt Direct reading: C:\WINDOWS\system32\config\system Direct reading: C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Direct reading: C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Direct reading: C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Direct reading: C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Direct reading: C:\WINDOWS\WindowsUpdate.log 4. Checking Winsock Layered Service Provider (SPI/LSP) LSP settings checked. No errors detected 5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs) 6. Searching for opened TCP/UDP ports used by malicious software Checking - disabled by user 7. Heuristic system check Non-standard Shell\Open key for "scrfile": ""%1" /S "%3"" >>> C:\autorun.inf HSC: suspicion for hidden startup (high degree of probability) >>> D:\autorun.inf HSC: suspicion for hidden startup (high degree of probability) >>> E:\autorun.inf HSC: suspicion for hidden startup (high degree of probability) >>> F:\autorun.inf HSC: suspicion for hidden startup (high degree of probability) >>> K:\autorun.inf HSC: suspicion for hidden startup (high degree of probability) >>> C:\autorun.inf HSC: suspicion for File with suspicious name (CH) (high degree of probability) Checking - complete 8. Searching for vulnerabilities >> Services: potentially dangerous service allowed: RemoteRegistry (Remote-Registrierung) >> Services: potentially dangerous service allowed: TermService (Terminaldienste) >> Services: potentially dangerous service allowed: SSDPSRV (SSDP-Suchdienst) >> Services: potentially dangerous service allowed: Schedule (Taskplaner) >> Services: potentially dangerous service allowed: mnmsrvc (NetMeeting-Remotedesktop-Freigabe) >> Services: potentially dangerous service allowed: RDSessMgr (Sitzungs-Manager für Remotedesktophilfe) > Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)! >> Security: disk drives' autorun is enabled >> Security: administrative shares (C$, D$ ...) are enabled >> Security: anonymous user access is enabled >> Security: terminal connections to the PC are allowed Checking - complete 9. Troubleshooting wizard >> Abnormal SCR files association >> HDD autorun is allowed >> Network drives autorun is allowed >> Removable media autorun is allowed Checking - complete Files scanned: 99370, extracted from archives: 58177, malicious software found 0, suspicions - 0 Scanning finished at 13.04.2010 20:11:44 !!! Attention !!! Restored 10 KiST functions during Anti-Rootkit operation This may affect execution of certain software, so it is strongly recommended to reboot Time of scanning: 00:29:16 If you have a suspicion on presence of viruses or questions on the suspected objects, you can address hxxp://virusinfo.info conference ------------------- |
Autorun ist noch aktiv... Starte OTL. Kopiere unten un das Skript-Feld rein: Zitat:
Neustart zulassen. Poste das Fix Log. Berichte ob die Info noch erscheint. |
Die aktuelle OTL-Logdatei: ========== FILES ========== C:\RECYCLER\S-1-5-21-1977589172-3705503834-750880670-8777 folder moved successfully. ========== REGISTRY ========== HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\\"NoDriveTypeAutoRun" | dword:000000ff /E : value set successfully! ========== COMMANDS ========== OTL by OldTimer - Version 3.2.1.1 log created on 04142010_140951 ----------------- Die Autoruninformation kommt nach wie vor. |
Das ist nicht nett. Zeit für schwere Geschütze: Ein Leitfaden und Tutorium zur Nutzung von ComboFix Den Leitfaden genau beachten und befolgen, ComboFix versteht kein Spaß. Poste anschließend das ComboFix-Log. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 11:02 Uhr. |
Copyright ©2000-2025, Trojaner-Board