Trojaner-Board
Seite 3 von 7 12 3 45 Letzte »
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Windows XP Laptop möglicherweise infiziert? (https://www.trojaner-board.de/126959-windows-xp-laptop-moeglicherweise-infiziert.html)

Killerbee87 20.11.2012 11:06
so - ich hab da jetzt genau neben C:\ WINDOWS> fixmbr eingtippt und dann enter
Dann kommt da eine Megawarnung:
Der MBR scheint ungültig oder nicht standardmäßig zu sein

Wenn Sie diesen Vorgang fortsetzen, wird FIXMBR wird möglicherweise die Partitionstabellen beschädigen.

Das kann dazu führen, dass auf keine Partition auf der aktuellen Festplatte zugegriffen werden kann etc. etc.
Sind Sie sicher, dass Sie einen neuen MBR schreiben möchten?

Sorry, dass ich da so oft nachfrage, aber das ist echt Neuland für mich und solche Warnmeldungen machen mir etwas Angst :confused:

cosinus 20.11.2012 14:18
Ja du bist sicher den MBR neu zu schreiben :D

Killerbee87 20.11.2012 14:34
mah bin total umsonst so nervös gewesen :)
also die letzen scanner die ich ausgeführt habe waren: TDSS (letze), Gmer (vorletze) und aswmbr (vorvorletzte) - welchen soll ich jetzt als erstes drüberrattern lassen?

lg

cosinus 20.11.2012 14:47
Erstmal nur GMER und aswMBR bitte

Killerbee87 20.11.2012 16:01
ok
anbei nun aswmbr - GMER kann ich erst wieder am Abend ausführen:

Code:
aswMBR version 0.9.9.1707 Copyright(c) 2011 AVAST Software
Run date: 2012-11-20 14:53:16
-----------------------------
14:53:16.265    OS Version: Windows 5.1.2600 Service Pack 3
14:53:16.265    Number of processors: 2 586 0xF06
14:53:16.265    ComputerName: PC308434332191  UserName: Katie
14:53:43.203    Initialize success
15:00:14.828    AVAST engine defs: 12111901
15:21:56.609    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
15:21:56.609    Disk 0 Vendor:  Size: 0MB BusType: 0
15:21:56.656    Disk 0 MBR read successfully
15:21:56.656    Disk 0 MBR scan
15:21:56.718    Disk 0 Windows XP default MBR code
15:21:56.718    Disk 0 MBR hidden
15:21:56.750    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        85878 MB offset 63
15:21:56.781    Disk 0 Partition 2 00    0C    FAT32 LBA RECOVERY    8479 MB offset 175895685
15:21:56.812    Disk 0 Partition 3 00    D7              NTFS        1027 MB offset 193261950
15:21:56.859    Disk 0 scanning C:\WINDOWS\system32\drivers
15:22:15.578    Service scanning
15:22:27.484    Service KL1 C:\WINDOWS\system32\DRIVERS\kl1.sys **LOCKED** 5
15:22:27.531    Service kl2 C:\WINDOWS\system32\DRIVERS\kl2.sys **LOCKED** 5
15:22:27.687    Service klim5 C:\WINDOWS\system32\DRIVERS\klim5.sys **LOCKED** 5
15:22:27.734    Service klmouflt C:\WINDOWS\system32\DRIVERS\klmouflt.sys **LOCKED** 5
15:22:46.171    Modules scanning
15:22:59.250    Disk 0 trace - called modules:
15:22:59.265    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll iaStor.sys
15:22:59.265    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x86f55ab8]
15:22:59.265    3 CLASSPNP.SYS[f7564fd7] -> nt!IofCallDriver -> \Device\00000088[0x86f4e898]
15:22:59.281    5 ACPI.sys[f73da620] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-0[0x86f3e030]
15:23:00.109    AVAST engine scan C:\WINDOWS
15:23:35.500    AVAST engine scan C:\WINDOWS\system32
15:27:12.328    AVAST engine scan C:\WINDOWS\system32\drivers
15:27:35.125    AVAST engine scan C:\Dokumente und Einstellungen\Katie.PC308434332191
15:36:36.359    AVAST engine scan C:\Dokumente und Einstellungen\All Users
15:42:20.328    Scan finished successfully
15:47:29.937    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\MBR.dat"
15:47:29.937    The log file has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\aswMBR20112012.txt"

cosinus 20.11.2012 18:07
Sollte ok sein, man sieht aber auch kaum einen Unterschied zum vorherigen Log von aswmbr

Killerbee87 21.11.2012 05:57
Guten Morgen,

untenstehend nun auch der neue GMER log:

Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-20 23:09:08
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0  rev.
Running: 2dt0qi8k.exe; Driver: C:\DOKUME~1\KATIE~1.PC3\LOKALE~1\Temp\pfliikob.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwAdjustPrivilegesToken [0xF02DDF2A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwClose [0xF02DE824]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwConnectPort [0xF02F87BC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateEvent [0xF02DED96]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateMutant [0xF02DEC84]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreatePort [0xF02F8AD4]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateProcess [0xF02DEFC6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateProcessEx [0xF02DF18E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateSection [0xF02DDCE6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateSemaphore [0xF02DEEAE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateThread [0xF02DE556]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateWaitablePort [0xF02F8B9C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDebugActiveProcess [0xF02DF4AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeleteKey [0xF02F2D6E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeleteValueKey [0xF02F4578]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeviceIoControlFile [0xF02DE866]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDuplicateObject [0xF02E04AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwEnumerateKey [0xF02F3D72]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwEnumerateValueKey [0xF02F4722]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadDriver [0xF02DF59E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadKey [0xF02F38AA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadKey2 [0xF02F3B06]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwMapViewOfSection [0xF02DFB0A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwNotifyChangeKey [0xF02F6FD8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenEvent [0xF02DEE28]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenMutant [0xF02DED10]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenProcess [0xF02DE164]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenSection [0xF02DF8EE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenSemaphore [0xF02DEF40]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenThread [0xF02DE058]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryKey [0xF02F2BA2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryMultipleValueKey [0xF02F4382]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryObject [0xF02F71CE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQuerySection [0xF02DFE30]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryValueKey [0xF02F4172]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueueApcThread [0xF02DF73E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRenameKey [0xF02F2E82]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplaceKey [0xF02F34F6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplyPort [0xF02F8D16]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplyWaitReceivePort [0xF02F8C64]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRequestWaitReplyPort [0xF02F8D82]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRestoreKey [0xF02F36FE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwResumeThread [0xF02E034E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveKey [0xF02F3028]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveKeyEx [0xF02F31BE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveMergedKeys [0xF02F335A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSecureConnectPort [0xF02F8944]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetContextThread [0xF02DE6C6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetInformationToken [0xF02DF358]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetSystemInformation [0xF02DFF80]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetValueKey [0xF02F3F32]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSuspendProcess [0xF02E0074]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSuspendThread [0xF02E01AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSystemDebugControl [0xF02DF3CE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwTerminateProcess [0xF02DE302]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwTerminateThread [0xF02DE25A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwUnmapViewOfSection [0xF02DFCE8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwWriteVirtualMemory [0xF02DE3EC]

Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  FsRtlCheckLockForReadAccess
Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  IoIsOperationSynchronous

---- Kernel code sections - GMER 1.0.15 ----

.text          ntkrnlpa.exe!FsRtlCheckLockForReadAccess                                              804EAFC4 5 Bytes  JMP F02CFE5A \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text          ntkrnlpa.exe!IoIsOperationSynchronous                                                  804EF96C 5 Bytes  JMP F02D0236 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text          ntkrnlpa.exe!ZwCallbackReturn + 2C40                                                  80504538 4 Bytes  CALL D0A1356A
.text          ntkrnlpa.exe!ZwCallbackReturn + 2C94                                                  8050458C 12 Bytes  [D4, 8A, 2F, F0, C6, EF, 2D, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2D60                                                  80504658 12 Bytes  [9E, F5, 2D, F0, AA, 38, 2F, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2EDC                                                  805047D4 16 Bytes  [82, 2E, 2F, F0, F6, 34, 2F, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2F14                                                  8050480C 20 Bytes  [4E, 03, 2E, F0, 28, 30, 2F, ...]
.text          ...                                                                                   
.text          C:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                              section is writeable [0xF5427360, 0x2255BD, 0xE8000020]

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT            \SystemRoot\system32\DRIVERS\tcpip.sys[TDI.SYS!TdiRegisterDeviceObject]                [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
IAT            \SystemRoot\system32\DRIVERS\netbt.sys[TDI.SYS!TdiRegisterDeviceObject]                [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\Tcpip \Device\Ip                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                                SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                                eabfiltr.sys (QLB PS/2 Keyboard filter driver/Hewlett-Packard Development Company, L.P.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \FileSystem\Fastfat \Fat                                                              fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Disk sectors - GMER 1.0.15 ----

Disk            \Device\Harddisk0\DR0                                                                  sector 00: rootkit-like behavior

---- EOF - GMER 1.0.15 ----

cosinus 21.11.2012 13:46
Hm, das angebliche MBR-Rootkit ist immer noch da :wtf:

Code:
Disk 0 Partition 3 00    D7              NTFS        1027 MB offset 193261950
Kennst du diese Partition? Sie wird in GParted als /dev/sda3 bezeichnet und hat eine Größe von etwa 1 GB (1027 MB)


Geh auch mal bitte in die Datenträgerverwaltung (klick auf Start/Ausführen, diskmgmt.msc eintippen und ok), maximiere das Fenster, erstell dann einen Screenshot und poste ihn hier.


Hier ein Beispiel wie die Datenträgerverwaltung aussieht:

http://www.administrator.de/images/a...0e4-iscsi5.jpg

Killerbee87 21.11.2012 19:03
Liste der Anhänge anzeigen (Anzahl: 1)
hello,

nein - also ich hab sicher keine eigene partition erstellt. :eek: :confused:

wo kommt die her?
gibt es viren / trojaner die eine eigene partition erstellen können? Bzw. wie kann ich erkennen was da drauf ist?

Mir fällt grad ein, dass vor 2 - 3 Jahren mein Laptop ziemlich im Eimer gewesen ist (konnte nicht mehr hochfahren bzw. irgendwas auf dem ding steuern) und da ich das trojaner board damals nicht kannte, hat mein Mann gemeint, dass sein Freund (arbeitet in der IT Abteilung in einem großen Unternehmen) sich das Teil mal ansieht und versuchen könnte Daten zu retten. Daten wurden nur teilweise gerettet (falls das mal in den logfiles aufgetaucht ist - das sind die Ordner auf C die sich "Daten recovered" nennen) Ich schließe es aber aus, dass er eine Partition erstellt hat, weil er hätte es mir ja gesagt bzw. dem Ding wenigstens einen Namen gegeben.

anbei mal der screenshot

Das wird ja immer mysteriöser

NACHTRAG: hab jetzt mal versucht mit der rechten Maustaste die Eigenschaften dieser ominösen Partition anzuklicken - Fehlanzeige! Die Eigenschaften sind nicht anklickbar!!

cosinus 21.11.2012 19:31
Zitat:
wo kommt die her?
gibt es viren / trojaner die eine eigene partition erstellen können? Bzw. wie kann ich erkennen was da drauf ist?
ja gibt es, mir wäre es aber neu, dass die eine Partition mit satten 1000 MB erstellen :balla:
Ich habe bisher gesehen, dass v.a. Rootkits eine kleine (10 MB) Partition erstellen und diese als aktiv/bootfähig kennzeichnen. Normalerweise ist eine von Windows erstellte Partition aktiv und hat das bootflag. Wenn aber die Rootkit-Partition das hat, wird von ihr gebootet mit der Konsequenz, dass der Schädling schon aktiv wird bevor Windows gebootet ist

Lösch diese 1 GB Partition bitte, mach danach einen Neustart und einen neuen Screenshot der Datenträgerverwaltung und bitte auch einen neuen Scan mit GMER
Wenn du Recover-Discs hast bzw. eine normale WindowsXP-Installations-Disc XP, dann kannst du auch die RECOVERY Partition löschen

Killerbee87 21.11.2012 19:39
oh mann, das wird ja immer besser :/
so ich wollt das Ding jetzt löschen und jetzt schiebt windows folgende meldung:

Die gewählte Partition wurde nicht erstellt und enthält möglicherweise Daten die von anderen Betriebssystemen verwendet werden. Soll diese Partition gelöscht werden?

cosinus 21.11.2012 21:07
Ja lösch die ruhig mal

Killerbee87 21.11.2012 21:27
Liste der Anhänge anzeigen (Anzahl: 1)
guti - hab ich gemacht und danach einen restart und nun anbei der neue screenshot.
vielleicht ist mir das jetzt nur so vorgekommen, weil ich während des neustartens kurz draußen war, aber mir kommt irgendwie vor, dass der kleine läppi etwas länger als gewohnt braucht - ist mir eigentlich schon aufgefallen, nachdem der combofix diese wiederherstellungsconsole erstellt hat - außerdem heizt sich der Kleine extrem auf :wtf:

EDIT
Oh mein Gott ich glaub jetzt hats ihn gschossen... Wollte mit Kaspersky eine schwachstellenüberprüfung machen, die hat sich nach 1 % aufghängt, dann hat meine i-net verbidnug auf einmal gemeldet, dass sie unsicher ist und ich hab daraufhin sofort das WLAN abgedreht, wollte wieder andrehen und dann ist er eingefroren. Hab, brutal wie ich bin, das knopfal gedrückt und in ausgeschalten. 1 min später nochmal an und jetzt geht nix mehr. Kurz bevor die anmeldemaske hätte kommen sollen, ist nun ein blauer ein XP Bildschirm und es wird gemeldet, dass das dateisytem c überprüft wird und das von CHKDSK - bei den indezes ist er hängen geblieben und zwar beim Index der Datei 33039 . Da soll irgend ein Fehler berichtigt werden... Gott was isn jetzt los???

cosinus 22.11.2012 12:10
Mach bitte neue Logs mit GMER und aswMBR

Killerbee87 24.11.2012 07:13
Hallo,

untenstehend der Gmer log:

Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-23 23:57:37
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0  rev.
Running: 2dt0qi8k.exe; Driver: C:\DOKUME~1\KATIE~1.PC3\LOKALE~1\Temp\pfliikob.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwAdjustPrivilegesToken [0xEEDCEF2A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwClose [0xEEDCF824]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwConnectPort [0xEEDE97BC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateEvent [0xEEDCFD96]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateMutant [0xEEDCFC84]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreatePort [0xEEDE9AD4]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateProcess [0xEEDCFFC6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateProcessEx [0xEEDD018E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateSection [0xEEDCECE6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateSemaphore [0xEEDCFEAE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateThread [0xEEDCF556]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwCreateWaitablePort [0xEEDE9B9C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDebugActiveProcess [0xEEDD04AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeleteKey [0xEEDE3D6E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeleteValueKey [0xEEDE5578]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDeviceIoControlFile [0xEEDCF866]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwDuplicateObject [0xEEDD14AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwEnumerateKey [0xEEDE4D72]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwEnumerateValueKey [0xEEDE5722]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadDriver [0xEEDD059E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadKey [0xEEDE48AA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwLoadKey2 [0xEEDE4B06]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwMapViewOfSection [0xEEDD0B0A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwNotifyChangeKey [0xEEDE7FD8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenEvent [0xEEDCFE28]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenMutant [0xEEDCFD10]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenProcess [0xEEDCF164]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenSection [0xEEDD08EE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenSemaphore [0xEEDCFF40]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwOpenThread [0xEEDCF058]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryKey [0xEEDE3BA2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryMultipleValueKey [0xEEDE5382]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryObject [0xEEDE81CE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQuerySection [0xEEDD0E30]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueryValueKey [0xEEDE5172]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwQueueApcThread [0xEEDD073E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRenameKey [0xEEDE3E82]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplaceKey [0xEEDE44F6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplyPort [0xEEDE9D16]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwReplyWaitReceivePort [0xEEDE9C64]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRequestWaitReplyPort [0xEEDE9D82]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwRestoreKey [0xEEDE46FE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwResumeThread [0xEEDD134E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveKey [0xEEDE4028]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveKeyEx [0xEEDE41BE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSaveMergedKeys [0xEEDE435A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSecureConnectPort [0xEEDE9944]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetContextThread [0xEEDCF6C6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetInformationToken [0xEEDD0358]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetSystemInformation [0xEEDD0F80]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSetValueKey [0xEEDE4F32]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSuspendProcess [0xEEDD1074]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSuspendThread [0xEEDD11AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwSystemDebugControl [0xEEDD03CE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwTerminateProcess [0xEEDCF302]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwTerminateThread [0xEEDCF25A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwUnmapViewOfSection [0xEEDD0CE8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  ZwWriteVirtualMemory [0xEEDCF3EC]

Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  FsRtlCheckLockForReadAccess
Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)  IoIsOperationSynchronous

---- Kernel code sections - GMER 1.0.15 ----

.text          ntkrnlpa.exe!FsRtlCheckLockForReadAccess                                              804EAFC4 5 Bytes  JMP EEDC0E5A \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text          ntkrnlpa.exe!IoIsOperationSynchronous                                                  804EF96C 5 Bytes  JMP EEDC1236 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text          ntkrnlpa.exe!ZwCallbackReturn + 2C94                                                  8050458C 12 Bytes  [D4, 9A, DE, EE, C6, FF, DC, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2D60                                                  80504658 12 Bytes  [9E, 05, DD, EE, AA, 48, DE, ...] {SAHF ; ADD EAX, 0x48aaeedd; FSUBP ST(6), ST; PUSH ES; DEC EBX; FSUBP ST(6), ST}
.text          ntkrnlpa.exe!ZwCallbackReturn + 2EDC                                                  805047D4 16 Bytes  [82, 3E, DE, EE, F6, 44, DE, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2F14                                                  8050480C 20 Bytes  [4E, 13, DD, EE, 28, 40, DE, ...]
.text          ntkrnlpa.exe!ZwCallbackReturn + 2FD0                                                  805048C8 12 Bytes  [74, 10, DD, EE, AE, 11, DD, ...] {JZ 0x12; FUCOMP ST(6); SCASB ; ADC EBP, EBX; OUT DX, AL ; INTO ; ADD EBX, EBP; OUT DX, AL }
.text          ...                                                                                   
.text          C:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                              section is writeable [0xF54CD360, 0x2255BD, 0xE8000020]

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT            \SystemRoot\system32\DRIVERS\tcpip.sys[TDI.SYS!TdiRegisterDeviceObject]                [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
IAT            \SystemRoot\system32\DRIVERS\netbt.sys[TDI.SYS!TdiRegisterDeviceObject]                [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\Tcpip \Device\Ip                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                                SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                                eabfiltr.sys (QLB PS/2 Keyboard filter driver/Hewlett-Packard Development Company, L.P.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                              kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice  \FileSystem\Fastfat \Fat                                                              fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Disk sectors - GMER 1.0.15 ----

Disk            \Device\Harddisk0\DR0                                                                  sector 00: rootkit-like behavior

---- EOF - GMER 1.0.15 ----
irgendwie ist da immer noch was :/
aswmbr folgt
lg

so und nun auch der neue aswmbr log:

Code:
aswMBR version 0.9.9.1707 Copyright(c) 2011 AVAST Software
Run date: 2012-11-24 17:26:49
-----------------------------
17:26:49.937    OS Version: Windows 5.1.2600 Service Pack 3
17:26:49.937    Number of processors: 2 586 0xF06
17:26:49.937    ComputerName: PC308434332191  UserName: Katie
17:27:07.687    Initialize success
17:43:50.343    AVAST engine defs: 12112400
17:44:04.984    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
17:44:04.984    Disk 0 Vendor:  Size: 0MB BusType: 0
17:44:05.015    Disk 0 MBR read successfully
17:44:05.015    Disk 0 MBR scan
17:44:05.062    Disk 0 Windows XP default MBR code
17:44:05.062    Disk 0 MBR hidden
17:44:05.062    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        85878 MB offset 63
17:44:05.093    Disk 0 Partition 2 00    0C    FAT32 LBA RECOVERY    8479 MB offset 175895685
17:44:05.125    Disk 0 scanning C:\WINDOWS\system32\drivers
17:44:22.906    Service scanning
17:44:34.453    Service KL1 C:\WINDOWS\system32\DRIVERS\kl1.sys **LOCKED** 5
17:44:34.500    Service kl2 C:\WINDOWS\system32\DRIVERS\kl2.sys **LOCKED** 5
17:44:34.687    Service klim5 C:\WINDOWS\system32\DRIVERS\klim5.sys **LOCKED** 5
17:44:34.734    Service klmouflt C:\WINDOWS\system32\DRIVERS\klmouflt.sys **LOCKED** 5
17:44:52.890    Modules scanning
17:45:05.687    Disk 0 trace - called modules:
17:45:05.703   
17:45:06.328    AVAST engine scan C:\WINDOWS
17:45:39.796    AVAST engine scan C:\WINDOWS\system32
17:49:13.593    AVAST engine scan C:\WINDOWS\system32\drivers
17:49:34.718    AVAST engine scan C:\Dokumente und Einstellungen\Katie.PC308434332191
17:56:15.843    AVAST engine scan C:\Dokumente und Einstellungen\All Users
18:01:31.718    Scan finished successfully
18:03:11.609    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\MBR.dat"
18:03:11.625    The log file has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\aswMBR24112012.txt"


Alle Zeitangaben in WEZ +1. Es ist jetzt 23:59 Uhr.
Seite 3 von 7 12 3 45 Letzte »
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131