|
Trojaner gelöscht? Guten Tag allerseits. Gestern ist mein Computer aufgrund eines Viruses oder Trojaners ausgerastet. Es wurden plötzlich (ohne irgendeine exe ausgeführt zu haben oder auf einer auch nur fragwürdigen seite zu sein) wild Programme geöffnet und in geöfneten Programmen warscheinlich willkürlich rumgeklickt. Eine Mail von meiner Cousine (ohne Links oder irgendetwas besonderes) würde in Thunderbird so oft geöffnet bis 4 leisten voll von mails waren. Ich habe daraufhin sofort, das internet rausgezogen und im abgesicherten modus einen quickscan gemacht welcher einen Trojaner gefunden hat welchen ich entfernt habe. Danach habe ich nochmal einen Komplettscan durchführen lassen allerdings ohne weiteren Ergebnisse. Bei Antivir wird nun beim normalen starten in der Übersicht angezeigt, dass alles in Ordnung wäre. Allerdings wird das Feld Online-Schutz sofort rot wenn ich es anklicke und es steht Webguard Unbekannt da. Ich habe dass Gefühl das immer noch nicht alles in Ordnung ist. Wie sollte ich weiter Verfahren? Ist es ratsam seine Passwörter etc. zu ändern, da sie vielleicht aufgenommen worden sein könnten? Hoffe auf baldige Hilfe und bedanke mich schonmal im vorraus. |
Zitat:
|
das mache ich gern. Wo finde ich die logs bei Antivir und wie poste ich sie? |
Hauptmenü Berichte/Ereignisse |
Hi, habe gerade geschaut. Es hat auf mein Torrent Programm ausgeschlagen was ich schon ewig auf meinem rechner habe. Allerdings kann hier der Fehler nicht wirklich liegen, denn Antivir macht immer noch den Eindruck als würde es nicht normal funktionieren (geschlossener Schirm etc.) und den Ausraster wird dass warscheinlich auch nicht verursacht haben. Ich hoffe mein Thema wird weiter bearbeitet auch wenn Torrents manchmal zu illegalen zwecken genutzt werden sind sie ja keineswegs illegal. (Wegen eurer no cracks klausel etc.) (habe cryptload auch schon ne ganze weile nicht mehr benutzt also könnte dadurch auch nichts ausgelöst worden sein.) Vorsichtshalber habe ich es dennoch gelöscht. Wie kann ich jetzt feststellen, was das ganze ausgelöst hat bzw. ob es jetzt weg ist? Log: Avira AntiVir Personal Erstellungsdatum der Reportdatei: Donnerstag, 21. Juli 2011 23:30 Es wird nach 3025171 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows Vista x64 Windowsversion : (Service Pack 2) [6.0.6002] Boot Modus : Normal gebootet Benutzername : SYSTEM Computername : DANIEL-PC Versionsinformationen: BUILD.DAT : 10.2.0.696 35934 Bytes 29.06.2011 17:26:00 AVSCAN.EXE : 10.3.0.7 484008 Bytes 01.07.2011 09:26:13 AVSCAN.DLL : 10.0.5.0 57192 Bytes 01.07.2011 09:26:13 LUKE.DLL : 10.3.0.5 45416 Bytes 01.07.2011 09:26:14 LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 11:59:47 AVSCPLR.DLL : 10.3.0.7 119656 Bytes 01.07.2011 09:26:14 AVREG.DLL : 10.3.0.9 88833 Bytes 13.07.2011 08:59:00 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 09:05:36 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 18:04:02 VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 17:12:57 VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 14:33:45 VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 17:28:10 VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 15:17:22 VBASE006.VDF : 7.11.10.252 2048 Bytes 07.07.2011 15:17:22 VBASE007.VDF : 7.11.10.253 2048 Bytes 07.07.2011 15:17:22 VBASE008.VDF : 7.11.10.254 2048 Bytes 07.07.2011 15:17:22 VBASE009.VDF : 7.11.10.255 2048 Bytes 07.07.2011 15:17:22 VBASE010.VDF : 7.11.11.0 2048 Bytes 07.07.2011 15:17:22 VBASE011.VDF : 7.11.11.1 2048 Bytes 07.07.2011 15:17:22 VBASE012.VDF : 7.11.11.2 2048 Bytes 07.07.2011 15:17:22 VBASE013.VDF : 7.11.11.75 688128 Bytes 12.07.2011 08:58:59 VBASE014.VDF : 7.11.11.104 978944 Bytes 13.07.2011 15:56:10 VBASE015.VDF : 7.11.11.137 655360 Bytes 14.07.2011 15:56:11 VBASE016.VDF : 7.11.11.184 699392 Bytes 18.07.2011 11:29:02 VBASE017.VDF : 7.11.11.185 2048 Bytes 18.07.2011 11:29:02 VBASE018.VDF : 7.11.11.186 2048 Bytes 18.07.2011 11:29:02 VBASE019.VDF : 7.11.11.187 2048 Bytes 18.07.2011 11:29:02 VBASE020.VDF : 7.11.11.188 2048 Bytes 18.07.2011 11:29:02 VBASE021.VDF : 7.11.11.189 2048 Bytes 18.07.2011 11:29:02 VBASE022.VDF : 7.11.11.190 2048 Bytes 18.07.2011 11:29:02 VBASE023.VDF : 7.11.11.191 2048 Bytes 18.07.2011 11:29:02 VBASE024.VDF : 7.11.11.192 2048 Bytes 18.07.2011 11:29:02 VBASE025.VDF : 7.11.11.193 2048 Bytes 18.07.2011 11:29:03 VBASE026.VDF : 7.11.11.194 2048 Bytes 18.07.2011 11:29:03 VBASE027.VDF : 7.11.11.195 2048 Bytes 18.07.2011 11:29:03 VBASE028.VDF : 7.11.11.196 2048 Bytes 18.07.2011 11:29:03 VBASE029.VDF : 7.11.11.197 2048 Bytes 18.07.2011 11:29:03 VBASE030.VDF : 7.11.11.198 2048 Bytes 18.07.2011 11:29:03 VBASE031.VDF : 7.11.11.208 77824 Bytes 19.07.2011 11:29:03 Engineversion : 8.2.6.16 AEVDF.DLL : 8.1.2.1 106868 Bytes 02.08.2010 15:09:30 AESCRIPT.DLL : 8.1.3.73 1622395 Bytes 17.07.2011 15:56:16 AESCN.DLL : 8.1.7.2 127349 Bytes 29.11.2010 20:46:59 AESBX.DLL : 8.2.1.34 323957 Bytes 07.06.2011 17:28:15 AERDL.DLL : 8.1.9.13 639349 Bytes 17.07.2011 15:56:16 AEPACK.DLL : 8.2.9.5 676214 Bytes 17.07.2011 15:56:15 AEOFFICE.DLL : 8.1.2.12 201083 Bytes 17.07.2011 15:56:14 AEHEUR.DLL : 8.1.2.144 3621240 Bytes 17.07.2011 15:56:14 AEHELP.DLL : 8.1.17.5 246135 Bytes 17.07.2011 15:56:12 AEGEN.DLL : 8.1.5.6 401780 Bytes 20.05.2011 13:33:37 AEEMU.DLL : 8.1.3.0 393589 Bytes 29.11.2010 20:46:57 AECORE.DLL : 8.1.22.4 196983 Bytes 17.07.2011 15:56:12 AEBB.DLL : 8.1.1.0 53618 Bytes 02.08.2010 15:09:25 AVWINLL.DLL : 10.0.0.0 19304 Bytes 02.08.2010 15:09:33 AVPREF.DLL : 10.0.3.2 44904 Bytes 01.07.2011 09:26:13 AVREP.DLL : 10.0.0.10 174120 Bytes 17.05.2011 13:23:15 AVARKT.DLL : 10.0.26.1 255336 Bytes 01.07.2011 09:26:12 AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 01.07.2011 09:26:13 SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 14:27:02 AVSMTP.DLL : 10.0.0.17 63848 Bytes 02.08.2010 15:09:33 NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 14:27:01 RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 01.07.2011 09:26:11 RCTEXT.DLL : 10.0.64.0 98664 Bytes 01.07.2011 09:26:11 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: D:\programme\avira\antivir desktop\sysscan.avp Protokollierung.......................: standard Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, D:, E:, Durchsuche aktive Programme...........: ein Laufende Programme erweitert..........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: erweitert Beginn des Suchlaufs: Donnerstag, 21. Juli 2011 23:30 Der Suchlauf nach versteckten Objekten wird begonnen. HKEY_USERS\S-1-5-21-2383699699-257912313-3487588874-1000\Software\SecuROM\License information\datasecu [HINWEIS] Der Registrierungseintrag ist nicht sichtbar. HKEY_USERS\S-1-5-21-2383699699-257912313-3487588874-1000\Software\SecuROM\License information\rkeysecu [HINWEIS] Der Registrierungseintrag ist nicht sichtbar. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'thunderbird.exe' - '73' Modul(e) wurden durchsucht Durchsuche Prozess 'AMDSrv.exe' - '60' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '77' Modul(e) wurden durchsucht Durchsuche Prozess 'avscan.exe' - '30' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '68' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '34' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '34' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '34' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '34' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '34' Modul(e) wurden durchsucht Durchsuche Prozess 'postgres.exe' - '46' Modul(e) wurden durchsucht Durchsuche Prozess 'TeamViewer_Service.exe' - '60' Modul(e) wurden durchsucht Durchsuche Prozess 'PnkBstrA.exe' - '27' Modul(e) wurden durchsucht Durchsuche Prozess 'pg_ctl.exe' - '43' Modul(e) wurden durchsucht Durchsuche Prozess 'avguard.exe' - '71' Modul(e) wurden durchsucht Durchsuche Prozess 'hamachi-2-ui.exe' - '33' Modul(e) wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '57' Modul(e) wurden durchsucht Durchsuche Prozess 'jusched.exe' - '29' Modul(e) wurden durchsucht Durchsuche Prozess 'AdobeARM.exe' - '47' Modul(e) wurden durchsucht Durchsuche Prozess 'sched.exe' - '56' Modul(e) wurden durchsucht Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'E:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: Die Registry wurde durchsucht ( '195' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\Downloads\6941f4a16e434b2877d378b80081f466\custom3d.7z.001 [WARNUNG] Die Datei konnte nicht gelesen werden! C:\Users\Daniel\Desktop\Programme\Cryptload1.1.8\tools\RouterRecorder.exe [FUND] Ist das Trojanische Pferd TR/Swisyn.aqmf Beginne mit der Suche in 'D:\' Beginne mit der Desinfektion: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA C:\Users\Daniel\Desktop\Programme\Cryptload1.1.8\tools\RouterRecorder.exe [FUND] Ist das Trojanische Pferd TR/Swisyn.aqmf [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4be6167f.qua' verschoben! Ende des Suchlaufs: Freitag, 22. Juli 2011 01:26 Benötigte Zeit: 1:56:21 Stunde(n) Der Suchlauf wurde abgebrochen! 41286 Verzeichnisse wurden überprüft 1075443 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 1075442 Dateien ohne Befall 4912 Archive wurden durchsucht 1 Warnungen 3 Hinweise 530293 Objekte wurden beim Rootkitscan durchsucht 2 Versteckte Objekte wurden gefunden |
Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! Führe auch bitte ESET aus, danach sehen wir weiter. ESET Online Scanner
n. |
Eset ist mehrere Stunden durchgelaufen hat am ende aber kein log ausgespuckt. log von malwarebytes: Malwarebytes' Anti-Malware 1.51.1.1800 www.malwarebytes.org Datenbank Version: 7271 Windows 6.0.6002 Service Pack 2 Internet Explorer 7.0.6002.18005 25.07.2011 15:46:54 mbam-log-2011-07-25 (15-46-46).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|) Durchsuchte Objekte: 630197 Laufzeit: 2 Stunde(n), 38 Minute(n), 47 Sekunde(n) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 1 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 1 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Titan Poker (PUP.Casino) -> No action taken. Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: c:\Poker\titan poker\_titanpsetup_133ec8.exe (PUP.Casino) -> No action taken. |
Zitat:
|
Ja das habe ich. Ich habe es einmal über das command versucht: "file does not exist" und danach bin ich manuell in den Ordner gegangen, aber dort gab es kein log.txt. |
Suche einfach nach log.txt (nur auf C:), da solltest du fündig werden, wen du Arnes Anleitung richtig befolgt hast. |
hab eigentlich alles nach anleitung gemacht. da kann man ja nicht viel falsch machen. log ist trotzdem nicht da. ich lasse es morgen nochmal durchlaufen und hoffe, dass es dann etwas ausspuckt. |
Zitat:
Hinweis: Falls du ein 64-Bit-Windows einsetzt, lautet der Pfad so: Code: "%PROGRAMFILES(X86)%\Eset\Eset Online Scanner\log.txt" |
ganau das habe ich gemacht gehabt. war wie gesagt auch manuell in dem ordner, da waren aber nur 3 dateien und kein log drin. Aber nach nochmaligem durchlaufen hier das log: ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6528 # api_version=3.0.2 # EOSSerial=a3452be9e4a2484c8785adb249a6cfe1 # end=finished # remove_checked=false # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2011-07-26 05:26:28 # local_time=2011-07-26 07:26:28 (+0100, Mitteleuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=6.0.6002 NT Service Pack 2 # compatibility_mode=1797 16775165 100 94 230042 48214066 222243 0 # compatibility_mode=5892 16776573 100 56 8207 149204905 0 0 # compatibility_mode=8192 67108863 100 0 78 78 0 0 # scanned=467278 # found=1 # cleaned=0 # scan_time=20342 E:\Programme\Left 4 Dead 2\L4D2Settings.exe Win32/Packed.Autoit.E.Gen application (unable to clean) 00000000000000000000000000000000 I heißt dass jetzt alles ist in ordnung? |
Zitat:
|
Das ist ein Spiel, habe ich legal gekauft und von der DVD aus instaliert. Daran kann es doch wohl schwer liegen? |
Deswegen hab ich ja gefragt aus welcher Quelle! Aus Italien schön und gut, aber nicht von irgendeinem Bauchladenverkäufer "legal" gekauft oder? (Ich will genauer abschätzen können ob da eine Originaldatei angemeckert wird oder ob es eine andere Datei ist) |
Habe es über amazon gekauft(direkt ohne drittanbieter). Ich habe noch einen Uncut-Patch dafür instaliert aber diesen vorher mit dem Virenscanner durchsucht gehabt. Habe das Spiel jetzt schon über ein halbes Jahr und bisher hat kein Programm ausgeschlagen. Könnte es nicht auch einfach eine generierte Warnung sein, weil vielleicht teile der Datei Virus oder Maleware-ähnlich sind oder hat sich da etwas nachträglich eingenistet? Habe vorsichtshalber das Spiel nochmal runtergeschmissen. Was ist/war nun Sache? |
Ok, dann wird wohl eher ein Fehlalarm gewesen sein. CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: netsvcs
|
logs sind im Anhang. Vielen Dank schonmal für die Hilfe bis jetzt :daumenhoc |
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code: :OTLDas Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt. |
ok habe das nun gemacht. was wurde jetzt genau gemacht und warum? |
Wo ist das Fixlog? Zitat:
|
Nun, was auch immer es ist. Es ist noch da. War wieder wärend des browsens im Mail-Programm, eine Mail öffnet sich x-mal danach öffnen sich lauter programme. Diesmal Wincoder,Icq und Partypoker Noch irgendeine Idee was es sein könnte bzw. was man machen könnte? Habe so etwas wie laufende Prozesse gecheckt und da ist nichts unbekanntes. Sollte ich trotzdem meine Passwörter wieder ändern? So langsam wird das nervig :killpc: |
Es hat auch niemand irgendwo behauptet, dass nach einem OTL-Fix wieder alles ok sei. Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten. http://www.trojaner-board.de/attachm...rnen-start.png Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern ) http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif |
so tdss ausgeführt. hat aber glaube ich nix eindeutiges gefunden. anbei noch das otl-fix log um das gebeten wurde. |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Combofix log ist im Anhang. |
Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Code: Registry::4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet. http://users.pandora.be/bluepatchy/m...s/CFScript.gif 6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
Combofix Logfile: Code: ComboFix 11-07-29.03 - Daniel 30.07.2011 20:57:26.1.4 - x64 |
Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.
|
ich habe es jetzt 2 mal versucht zu scannen aber beide male sobald ich auf den scan button gedrückt habe einen bluescreen bekommen mit der meldung xxxdriver_not_less_or_equal könntest du bitte versuchen mir wenigstens oberflächlich zu erklären, was du vermutest was sache ist und wie gefährdet meine daten etc. sind. Ich habe unter anderem wirklich wichtige passwörter auf meinem rechner die unter keinen umständen in die falschen hände fallen dürfen. Ich habe sie bisher immer geändert weil mir hier leider trotz nachfrage keine Auskunft gegeben wurde. Es wäre wirklich nett von dir wenn du dir kurz zeit nimmst um mir wenigstens umschreiben zu können was denn die momentane bedrohung ist und worauf ich achten sollte. |
Nimm statt aswmbr dann dieses Tool: Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Hi, ich bin dankbar dafür, dass du immer ziemlich schnell antwortest und wirklich klare anleitungen gibst. dennoch ist es nicht gerade höflich eine nette frage über den momentanen stand(und wenn es nur sehr verallgemeinert ist) einfach zu ignorieren. es ist ja nicht so schwer zu schreiben, du brauchst dir keinen sorgen um deine daten zu machen oder ändere deine passwörter und benutze den rechner erstmal nur für weiter problemlösungen oder ähnliches. Das ist wirklich kein Aufwand. Zur not kopiere einfach die Aussage die am meisten zutrifft und kopiere sie in deine nächste Antwort. Das sind nichtmal 5 sekunden arbeit. MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows Vista Home Basic Edition Windows Information: Service Pack 2 (build 6002), 64-bit Base Board Manufacturer: MICRO-STAR INTERNATIONAL CO.,LTD BIOS Manufacturer: American Megatrends Inc. System Manufacturer: MICRO-STAR INTERNATIONAL CO.,LTD System Product Name: MS-7383 Logical Drives Mask: 0x000000fc Kernel Drivers (total 141): 0x03819000 \SystemRoot\system32\ntoskrnl.exe 0x03D31000 \SystemRoot\system32\hal.dll 0x0060C000 \SystemRoot\system32\kdcom.dll 0x00616000 \SystemRoot\system32\mcupdate_GenuineIntel.dll 0x00651000 \SystemRoot\system32\PSHED.dll 0x00665000 \SystemRoot\system32\CLFS.SYS 0x006C2000 \SystemRoot\system32\CI.dll 0x0080E000 \SystemRoot\system32\drivers\Wdf01000.sys 0x008E8000 \SystemRoot\system32\drivers\WDFLDR.SYS 0x00A0D000 \SystemRoot\System32\Drivers\sptd.sys 0x00B33000 \SystemRoot\System32\Drivers\WMILIB.SYS 0x00B3C000 \SystemRoot\System32\Drivers\SCSIPORT.SYS 0x00B6A000 \SystemRoot\system32\drivers\acpi.sys 0x00BC0000 \SystemRoot\system32\drivers\msisadrv.sys 0x00BCA000 \SystemRoot\system32\drivers\pci.sys 0x008F6000 \SystemRoot\System32\drivers\partmgr.sys 0x0090B000 \SystemRoot\system32\drivers\volmgr.sys 0x0091F000 \SystemRoot\System32\drivers\volmgrx.sys 0x00A00000 \SystemRoot\system32\drivers\intelide.sys 0x00985000 \SystemRoot\system32\drivers\PCIIDEX.SYS 0x00995000 \SystemRoot\System32\drivers\mountmgr.sys 0x009A8000 \SystemRoot\system32\drivers\atapi.sys 0x009B0000 \SystemRoot\system32\drivers\ataport.SYS 0x00774000 \SystemRoot\system32\drivers\fltmgr.sys 0x009D4000 \SystemRoot\system32\drivers\fileinfo.sys 0x00C0A000 \SystemRoot\System32\Drivers\ksecdd.sys 0x00E03000 \SystemRoot\system32\drivers\ndis.sys 0x00C91000 \SystemRoot\system32\drivers\msrpc.sys 0x00CE1000 \SystemRoot\system32\drivers\NETIO.SYS 0x01008000 \SystemRoot\System32\drivers\tcpip.sys 0x0117E000 \SystemRoot\System32\drivers\fwpkclnt.sys 0x01202000 \SystemRoot\System32\Drivers\Ntfs.sys 0x01382000 \SystemRoot\system32\drivers\volsnap.sys 0x013C6000 \SystemRoot\System32\Drivers\spldr.sys 0x013CE000 \SystemRoot\System32\Drivers\mup.sys 0x011AA000 \SystemRoot\System32\drivers\ecache.sys 0x013E0000 \SystemRoot\system32\drivers\disk.sys 0x00FC6000 \SystemRoot\system32\drivers\CLASSPNP.SYS 0x013F4000 \SystemRoot\system32\drivers\crcdisk.sys 0x00FF2000 \SystemRoot\system32\DRIVERS\tunnel.sys 0x00D3A000 \SystemRoot\system32\DRIVERS\tunmp.sys 0x00D43000 \SystemRoot\system32\DRIVERS\intelppm.sys 0x00D56000 \SystemRoot\system32\DRIVERS\atikmpag.sys 0x02600000 \SystemRoot\system32\DRIVERS\atikmdag.sys 0x03008000 \SystemRoot\System32\drivers\dxgkrnl.sys 0x030EB000 \SystemRoot\System32\drivers\watchdog.sys 0x030FB000 \SystemRoot\system32\DRIVERS\HDAudBus.sys 0x031E8000 \SystemRoot\system32\DRIVERS\Rtlh64.sys 0x02F34000 \SystemRoot\system32\DRIVERS\usbuhci.sys 0x02F40000 \SystemRoot\system32\DRIVERS\USBPORT.SYS 0x02F86000 \SystemRoot\system32\DRIVERS\usbehci.sys 0x02F97000 \SystemRoot\system32\DRIVERS\serial.sys 0x02FB4000 \SystemRoot\system32\DRIVERS\serenum.sys 0x02FC0000 \SystemRoot\system32\DRIVERS\parport.sys 0x02FDC000 \SystemRoot\system32\DRIVERS\cdrom.sys 0x00DA6000 \SystemRoot\System32\Drivers\a2uclqgb.SYS 0x007BB000 \SystemRoot\system32\DRIVERS\msiscsi.sys 0x03206000 \SystemRoot\system32\DRIVERS\storport.sys 0x03263000 \SystemRoot\system32\DRIVERS\TDI.SYS 0x03270000 \SystemRoot\system32\DRIVERS\rasl2tp.sys 0x03293000 \SystemRoot\system32\DRIVERS\ndistapi.sys 0x0329F000 \SystemRoot\system32\DRIVERS\ndiswan.sys 0x032D0000 \SystemRoot\system32\DRIVERS\raspppoe.sys 0x032E0000 \SystemRoot\system32\DRIVERS\raspptp.sys 0x032FE000 \SystemRoot\system32\DRIVERS\rassstp.sys 0x03316000 \SystemRoot\system32\DRIVERS\hamachi.sys 0x03321000 \SystemRoot\system32\DRIVERS\termdd.sys 0x03334000 \SystemRoot\system32\DRIVERS\kbdclass.sys 0x03342000 \SystemRoot\system32\DRIVERS\mouclass.sys 0x0334E000 \SystemRoot\system32\DRIVERS\swenum.sys 0x03350000 \SystemRoot\system32\DRIVERS\ks.sys 0x03384000 \SystemRoot\system32\DRIVERS\mssmbios.sys 0x0338F000 \SystemRoot\system32\DRIVERS\umbus.sys 0x0339F000 \SystemRoot\system32\DRIVERS\usbhub.sys 0x033E7000 \SystemRoot\System32\Drivers\NDProxy.SYS 0x03A0E000 \SystemRoot\system32\drivers\AtihdLH6.sys 0x03A2E000 \SystemRoot\system32\drivers\portcls.sys 0x03A69000 \SystemRoot\system32\drivers\drmk.sys 0x03A8C000 \SystemRoot\system32\drivers\ksthunk.sys 0x03E0C000 \SystemRoot\system32\drivers\RTKVHD64.sys 0x04070000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0x0407A000 \SystemRoot\System32\Drivers\Null.SYS 0x0408E000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS 0x04096000 \SystemRoot\System32\drivers\vga.sys 0x040A4000 \SystemRoot\System32\drivers\VIDEOPRT.SYS 0x040C9000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0x040D2000 \SystemRoot\system32\drivers\rdpencdd.sys 0x040DB000 \SystemRoot\System32\Drivers\Msfs.SYS 0x040E6000 \SystemRoot\System32\Drivers\Npfs.SYS 0x040F7000 \SystemRoot\System32\DRIVERS\rasacd.sys 0x04100000 \SystemRoot\system32\DRIVERS\tdx.sys 0x0411D000 \SystemRoot\system32\DRIVERS\smb.sys 0x04138000 \SystemRoot\system32\drivers\afd.sys 0x041A3000 \SystemRoot\System32\DRIVERS\netbt.sys 0x03A92000 \SystemRoot\system32\DRIVERS\pacer.sys 0x041E7000 \SystemRoot\system32\DRIVERS\netbios.sys 0x03AB0000 \SystemRoot\system32\DRIVERS\wanarp.sys 0x03ACB000 \SystemRoot\system32\DRIVERS\rdbss.sys 0x03E00000 \SystemRoot\system32\drivers\nsiproxy.sys 0x03B18000 \SystemRoot\System32\Drivers\dfsc.sys 0x03B35000 \SystemRoot\system32\DRIVERS\avipbb.sys 0x04083000 \SystemRoot\system32\DRIVERS\hidusb.sys 0x03B59000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS 0x0408C000 \SystemRoot\system32\DRIVERS\USBD.SYS 0x03B6B000 \SystemRoot\system32\DRIVERS\mouhid.sys 0x03B76000 \SystemRoot\system32\DRIVERS\usbccgp.sys 0x03B92000 \SystemRoot\system32\DRIVERS\kbdhid.sys 0x03B9D000 \SystemRoot\system32\DRIVERS\cdfs.sys 0x03BB9000 \SystemRoot\System32\Drivers\crashdmp.sys 0x03BC7000 \SystemRoot\System32\Drivers\dump_dumpata.sys 0x041F6000 \SystemRoot\System32\Drivers\dump_atapi.sys 0x03BD3000 \SystemRoot\system32\drivers\usbaudio.sys 0x00030000 \SystemRoot\System32\win32k.sys 0x03BEC000 \SystemRoot\System32\drivers\Dxapi.sys 0x011D6000 \SystemRoot\system32\DRIVERS\monitor.sys 0x00420000 \SystemRoot\System32\TSDDD.dll 0x00610000 \SystemRoot\System32\cdd.dll 0x05407000 \SystemRoot\system32\DRIVERS\avgntflt.sys 0x05426000 \SystemRoot\system32\drivers\luafv.sys 0x05448000 \SystemRoot\system32\drivers\spsys.sys 0x054E2000 \SystemRoot\system32\DRIVERS\lltdio.sys 0x054F6000 \SystemRoot\system32\DRIVERS\rspndr.sys 0x0550E000 \SystemRoot\system32\drivers\HTTP.sys 0x055B1000 \SystemRoot\System32\DRIVERS\srvnet.sys 0x055DA000 \SystemRoot\system32\DRIVERS\bowser.sys 0x06205000 \SystemRoot\System32\drivers\mpsdrv.sys 0x0621F000 \SystemRoot\system32\drivers\mrxdav.sys 0x06246000 \SystemRoot\system32\DRIVERS\mrxsmb.sys 0x0626F000 \SystemRoot\system32\DRIVERS\mrxsmb10.sys 0x062B8000 \SystemRoot\system32\DRIVERS\mrxsmb20.sys 0x062D7000 \SystemRoot\System32\DRIVERS\srv2.sys 0x06309000 \SystemRoot\System32\DRIVERS\srv.sys 0x0639C000 \SystemRoot\system32\DRIVERS\asyncmac.sys 0x063A7000 \??\C:\Windows\system32\drivers\acedrv11.sys 0x0660B000 \SystemRoot\system32\DRIVERS\atksgt.sys 0x0665A000 \SystemRoot\system32\DRIVERS\lirsgt.sys 0x06667000 \SystemRoot\system32\drivers\peauth.sys 0x0671D000 \SystemRoot\System32\Drivers\secdrv.SYS 0x06728000 \SystemRoot\System32\drivers\tcpipreg.sys 0x06738000 \??\C:\Windows\system32\drivers\mbam.sys 0x772D0000 \Windows\System32\ntdll.dll Processes (total 68): 0 System Idle Process 4 System 456 C:\Windows\System32\smss.exe 524 csrss.exe 596 C:\Windows\System32\wininit.exe 608 csrss.exe 644 C:\Windows\System32\services.exe 656 C:\Windows\System32\lsass.exe 664 C:\Windows\System32\lsm.exe 812 C:\Windows\System32\svchost.exe 852 D:\Programme\Avira\AntiVir Desktop\avguard.exe 892 C:\Windows\System32\winlogon.exe 912 D:\Programme\Avira\AntiVir Desktop\avshadow.exe 228 C:\Windows\System32\svchost.exe 400 C:\Windows\System32\svchost.exe 512 C:\Windows\System32\atiesrxx.exe 660 C:\Windows\System32\svchost.exe 1048 C:\Windows\System32\svchost.exe 1060 C:\Windows\System32\svchost.exe 1176 C:\Windows\System32\audiodg.exe 1216 C:\Windows\System32\SLsvc.exe 1252 C:\Windows\System32\svchost.exe 1336 C:\Windows\System32\atieclxx.exe 1444 C:\Windows\System32\svchost.exe 1660 C:\Windows\System32\spoolsv.exe 1684 D:\Programme\Avira\AntiVir Desktop\sched.exe 1696 C:\Windows\System32\svchost.exe 1976 C:\Windows\System32\taskeng.exe 1560 E:\Programme\LogMeIn Hamachi\hamachi-2.exe 2092 E:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe 2120 C:\Windows\SysWOW64\PnkBstrA.exe 2144 C:\Windows\System32\svchost.exe 2168 C:\Windows\System32\svchost.exe 2212 C:\Program Files (x86)\TeamViewer\Version6\TeamViewer_Service.exe 2276 postgres.exe 2320 C:\Windows\System32\svchost.exe 2376 C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE 2420 C:\Windows\System32\SearchIndexer.exe 2568 postgres.exe 2708 postgres.exe 2716 postgres.exe 2724 postgres.exe 2732 postgres.exe 3008 C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVCM.EXE 1992 C:\Program Files (x86)\Common Files\OptimalSuite Common\AMDSrv.exe 2360 WmiPrvSE.exe 1756 C:\Windows\System32\svchost.exe 168 C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe 2016 C:\Windows\System32\dwm.exe 2636 C:\Windows\explorer.exe 1224 C:\Windows\System32\taskeng.exe 3240 C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe 3376 D:\Programme\Adobe\Reader 9.0\Reader\reader_sl.exe 3416 C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe 3472 D:\Programme\Avira\AntiVir Desktop\avgnt.exe 3520 E:\Programme\LogMeIn Hamachi\hamachi-2-ui.exe 3548 C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe 3584 C:\Program Files (x86)\Opera\opera.exe 3676 C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\MOM.exe 3760 C:\Program Files\Windows Media Player\wmpnscfg.exe 3792 C:\Program Files\Windows Media Player\wmpnetwk.exe 4068 C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CCC.exe 3536 C:\Windows\System32\SearchProtocolHost.exe 3196 C:\Windows\System32\SearchFilterHost.exe 3672 C:\Windows\System32\wuauclt.exe 3408 C:\Users\Daniel\Desktop\MBRCheck.exe 3252 C:\Windows\SysWOW64\conime.exe 4060 C:\Windows\Microsoft.NET\Framework64\v3.0\WPF\PresentationFontCache.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00100000 (NTFS) \\.\D: --> \\.\PhysicalDrive0 at offset 0x00000013`88100000 (NTFS) \\.\E: --> \\.\PhysicalDrive0 at offset 0x00000060`6f900000 (NTFS) PhysicalDrive0 Model Number: SAMSUNGHD753LJ, Rev: 1AA01113 Size Device Name MBR Status -------------------------------------------- 698 GB \\.\PhysicalDrive0 Windows 2008 MBR code detected SHA1: 8DF43F2BDE2D9451948FA14B5279969C777A7979 Done! |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Das heißt jetzt ist alles in Ordnung? Was war/ist dann los? |
Sieht ok aus, da wurden nur Cookies gefunden. Noch Probleme oder weitere Funde in der Zwischenzeit? |
Bisher wurde nichts weiter entdeckt. Das Problem ist das letzte mal am 29. aufgetreten aber ich wüsste halt leider nicht was man entfernt haben könnte damit ich mir jetzt sicher sein kann, dass es weg ist. Weil so wie ich es mitbekommen habe würde ja nichts gefunden. Ich melde mich sollte es wieder auftreten. |
Dann wären wir durch! :abklatsch: Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
ok, dann bedanke ich mich recht herzlich für die Hilfe! :daumenhoc Und sollte sich das Problem nicht verflüchtigt haben melde ich micht nochmal. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 14:46 Uhr. |
Copyright ©2000-2025, Trojaner-Board
