|
Win.32/Sirefef.0 - Starker Virenbefall Servus, aus dem Grund meines derzeit infizierten Systems hat es mich in dieses Forum verschlagen, indem ich über jede Hilfe, sei auch noch so klein, dankbar wäre. Auswirkungen: - dauerhafte Ausschaltung aller Antivirprogramme -> Bei GData fehlen angeblich Installationsdateien, Alle Engines permanent deaktiviert -> Avira verweigert jeden Dienst, und reagiert einfach nicht -> Ad-Aware lässt sich nich starten -> AVG Anti-Rootkit Free lässt sich nicht starten - teilweise Systemabstürtze, "um Windows vor Schaden zu bewahren" Hinweise zum Trojaner: -> WindowsDefender meldet beim Start das Vorhandensein des Trojaners Win.32/Sirefef.o. Der Löschvorgang scheitert wahrscheinlich aufgrund eines schreibgeschützten Pfads. -> ESET Online Scanner erkennt den Trojaner in ca. 24 Verzeichnissen, bei denen jedoch nur 14 gelöscht werden können -> Security Task Manager stellt fest, dass seit kurzem deutlich mehr Treiber installiert sind, als für Windows benötigt werden Hinweise zu meinem PC: - Windows Vista - 32 Bit - Keine Sicherungspunkte, sodass der PC nicht wiederhergestellt werden kann Allgemeine Informationen: Mein Betriebssystem ist leider schon vorinstalliert gewesen, sodass ich keine Installations-CD besitze. Ich bin mir nicht sicher, ob damit Vista überhaupt neuinstalliert werden kann. Hinzu kommt der Fakt, dass ich diesbezüglich leider kein nötiges Wissen besitze. Oberste Priorität hat also die Rettung des Betriebssystems ohne Neuisntallation. Ich bin bereit jeden Tip und jeder Anweisung Folge zu leisten, auch wenn damit ein Datenverlust verbunden sein könnte. Grußworte Eiswehr |
Zitat:
Bei den meisten Geräten existiert eine Recoverypartition. Von dieser kann und sollte man auch unbedingt Recoverymedien brennen, das sollte das erste sein was man am Gerät macht. Zitat:
|
-> Ich habe mir das Handbuch nun zum Teil durchgelesen. Das was du eben geschrieben hast, hat sich dort bestätigt. -> Wichtige Dateien sind nun gesichert Der ESET Online Scanner hat nun nochmal nach einer 3h langen Überprüfung teilweise infizierte Dateien beseitigt. Bei folgenden Dateien gab es Komplikationen: C:\FirstSteps\OnlineDiagnostic\TestManager\TestHandler.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Avira\AntiVir Desktop\avguard.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Avira\AntiVir Desktop\sched.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\avmwlanstick\WLanNetService.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Bandoo\Bandoo.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Bonjour\mDNSResponder.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Common Files\microsoft shared\VS7Debug\mdm.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\G Data\InternetSecurity\AVK\AVKService.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\ICQ6Toolbar\ICQ Service.exe Win32/Patched.HN trojan error while cleaning C:\Program Files\Trust\Trust R-Series Mouse\KMWDSrv.exe Win32/Patched.HN trojan error while cleaning Zumindest ist, abgesehen von allen anderen Programmen, GData nach dieser Überprüfung wieder zu neuem Leben erwacht (Spamschutz, E-mail-Überprüfung und Webschutz wieder aktiv). Weiterhin ist es mir nun möglich einen Virenprüfung mit GData durchzuführen, auch wenn der Virenwächter nach wie vor inaktiv ist und sich nicht anschalten lässt. Ich melde mich dann sobald es diesbezüglich Neuigkeiten gibt. |
Sieht aus, als wäre da ein Großteil aller EXE Dateien manipuliert. Hier würd eich KEINE Bereinigung mehr empfehlen. |
GData benötigt aktuell für eine Virenprüfung über 2 Tage und hat nach 1h ganze 11 Verzeichnisse geschafft, daher breche ich das ganze jetzt ab. Siehst du wirklich keine Möglichkeit mehr der Neuinstallation zu entgehen? Gibt es vielleicht noch Logs von anderen Programmen, die dir in diesem Fall helfen könnten, das Problem genauer zu analysieren? |
Zitat:
Edit: Larusso meint einen Versuch könnte man mit CF machen. Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie Zitat:
|
ComboFix verbleit ca. 15 Minuten in dem Status der Vorbereitung. Dies erschien mir nicht standardmäßig, darum habe ich den Computer manuell ausgeschaltet, da sich das Programm ja auf keinem Weg unterbrechen lässt. Habe ich voreilig gehandelt, oder ist da etwas im Busch? |
Starte Windows neu, lösch die alte combofix.exe, lade CF neu runter und probier es bitte nochmal. |
Danke, damit hat CF funktioniert. Das Programm hat insgesamt die vorgegebene Zeit deutlich überschritten, einen Rootkit gelöscht, kürzlich erstellte Verzeichnisse als auch Dateien entfernt, und die beschädigten Dateien, die ESET Online Scanner erkannt hat, erfolgreich wiederhergestellt. Ich bekomme beim Systemstart nach wie vor die Meldung, dass die Firewall deaktiviert ist und der Virenwächter bei GData ausgeschaltet ist. Die Virenmeldung vom Windows Defender ist zumindest bei diesem Systemstart ausgeblieben. Nach Beendigung des Programms ist die von dir beschriebene Fehlermeldung aufgetreten. Unter weiterlaufende Prozesse findet sich c:\windows\814952874:1439591631.exe. Diese Exe steht direkt in Zusammenhang mit dem Virus und wurde vom Defender als Ursprung erkannt. Gruß Eiswehr |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM! Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none). |
OSAM und GMER schließen sich kurz nach dem Start automatisch und werden auch nicht mehr im Taskamanger als Prozess verzeichnet. Was habe ich falsch gemacht? |
aswMBR.exe führt einen Quickscan von wenigen Sekunden durch. Dieser erkennt eine infizierte Datei. Nach Ende des Scans beendet sich das Programm sofort, sodass ich keine Log-Datei erstellen kann. Der Scan über eine gesamte Partition beendet sich nach kurze Zeit inklusive Programm selbst. |
Ok, das liegt noch an einem aktiven Rootkit. Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!! Code: KillAll::4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet. http://users.pandora.be/bluepatchy/m...s/CFScript.gif 6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
Combofix hat für das Erstellen der LogDatei unverhältnismäßig viel Zeit benötigt, also habe ich das Programm auch nach zweifacher Ausführung vorzeitig beendet. 1. Ausführung: - genau dieselben Dateien wie bei der allerersten Ausführung waren beschädigt und wurden angeblich erfolgreich wieder hergestellt - zahlreiche Löschung von Dateien und Ordnern - Erkennung eines Rootkit 2. Ausführung: - Wenige Dateien wurden beseitigt OSAM Das Programm funktioniert nun. Es leider nicht möglich die Datei anzuhängen, darum auf diesem Wege: OSAM Logfile: Code: Report of OSAM: Autorun Manager v5.0.11926.0If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru |
CustomScan mit OTL Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
Code: netsvcs
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 21:40 Uhr. |
Copyright ©2000-2025, Trojaner-Board