fsvk.exe.exe nach vollständiger Neuinstallation direkt wieder vorhanden
 

Hallo,

leider habe ich mir durch einen unvorsichtigen Download vor ein paar Tagen eine Schadsoftware auf den Computer geladen. Malwarebytes identifizierte eine Datei im System32-Ordner als Zhelatin.Worm (fsvk.exe). Da zu vermuten war, dass es sich hierbei nur um die Spitze des Eisbergs handelte, entschloss ich mich zur kompletten Neuinstallation, auch wenn Malwarebytes nach Entfernung der Datei nichts mehr fand.

Vor der Neuinstallation habe ich die SSD mittel secure reset vollkommen gelöscht und neu formatiert. Auch die HDD habe ich mehrfach überschrieben und neu formatiert. Zudem habe ich zuvor auf beiden Platten den MBR komplett und mehrfach überschrieben. Die Datensicherung habe ich mit einem neuen Datenträger mit Hilfe einer Ubuntu Live DVD vorgenommen. Während der Neuinstallation war der Rechner nicht mit dem Internet verbunden. Direkt nach dem Abschluss der Installation (ohne weitere Zusatzinstallationen) findet sich jedoch die Datei fsvk.exe wieder im System32-Ordner. Wird dann Malwarebytes installiert, wird die gleiche Datei wieder als Problem identifiziert. Zudem wird die Durchführung von Windowsupdates blockiert.

All dies deckt sich aus den schlussendlichen Erfahrungen aus diesem Threat: http://www.trojaner-board.de/172609-...svk-exe-2.html

und ist ähnlich zu den Erfahrungen aus diesem Threat: http://www.trojaner-board.de/172060-...exe-exe-2.html

Ist es denkbar, dass es sich hierbei um einen Firmware-Rootkit handelt, dass entweder das BIOS oder andere Hardwarekomponenten (GPU) befallen hat. Anders kann ich mir nicht erklären, wie nach einer echten Clean Install direkt wieder die problematische Datei vorhanden sein kann.

Das beschriebene Prozedere habe ich insgesamt drei Mal durchgeführt, immer mit dem gleichen Ergebnis.

Viele Grüße und danke für eure Hilfe

Andy

:hallo:

Mein Name ist Jürgen und ich werde Dir bei Deinem Problem behilflich sein. Zusammen schaffen wir das...:abklatsch:

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lies die Anleitungen sorgfältig durch bevor Du beginnst. Wenn es Probleme gibt oder Du etwas nicht verstehst, dann stoppe mit Deiner Ausführung und beschreibe mir das Problem.
• Führe bitte nur Scans durch, zu denen Du von mir aufgefordert wurdest.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder deinstalliere während der Bereinigung keine Software, außer Du wurdest dazu aufgefordert.
• Speichere alle unsere Tools auf dem Desktop ab. Link: So ladet Ihr unsere Tools richtig
• Poste die Logfiles direkt in Deinen Thread in Code-Tags.
• Bedenke, dass wir hier alle während unserer Freizeit tätig sind, wenn du innerhalb von 24 Stunden nichts von mir liest, dann schreibe mir bitte eine PM.

Los geht's:

Schritt 1
http://filepony.de/icon/frst.pnghttp://deeprybka.trojaner-board.de/b...e/frst/sn1.PNG

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hi,

so, es wird immer verrückter. Habe nun meinen kompletten Rechner platt gemacht (erneut Hardreset des SSD und mehrfaches Überschreiben des MBR) und Ubuntu aufgesetzt. Läuft alles wunderbar. Nun habe ich Windows 7 in einer VM (Virtual Box) installiert und schwups direkt ist der Virus wieder da... in dem Windows, das in der VirtualBox läuft. Gleiche Symptome (Updates nicht möglich). Ich habe jetzt mal FRST durchlaufen lassen, hier die Protokolle. Vielleicht kommt ihr dem Problem ja auf den Grund.

Schritt 1

http://filepony.de/icon/frst.pnghttp://deeprybka.trojaner-board.de/b...e/frst/sn2.PNG

• Starte FRST erneut.
• Gib in das Suche-Feld: fsvk.exe ein.
  
• Klicke auf den Datei-Suche Button.
• Bitte poste die erstellte Search.txt - Datei in Deiner nächsten Antwort.

Hi,

danke für die schnelle Antwort, hier das Ergebnis:

Dachte es geht um

Infos zur Datei:
https://www.virustotal.com/de/file/4...be8f/analysis/

Und die Datei wurde "von alleine" in einer virtuellen Maschine auf einem Linux-Host erstellt oder wie?

Es geht tatsächlich um die Datei fsvk.exe.exe im System32-Ordner.

Kurz nochmal zu meinem Vorgehen:

VirutalBox unter Ubuntu installiert
Windows 7 in VirtualBox aufgesetzt (dabei Netzwerkanbindung für das Gastsystem abgeschaltet)
Windows 7 gestartet und direkt die fsvk.exe.exe im System32-Ordner gefunden (ohne weitere Installationen)
Windows Update ist nicht möglich, auch wenn ich mir die Dateien manuell herunterlade und versuche zu installieren

Was mich an der Sache stutzig macht: fsvk.exe.exe gehört nicht zur Standardinstallation von Windows. Zudem erkennt Malwarebytes sie als Bedrohung. Woher kommt also diese Datei? Bei dem Installationsmedium handelt es sich um eine Original-Windows-DVD, das kann also auch nicht kompromittiert sein.

Wie gesagt, den MBR meiner beiden Festplatten habe ich bereits vor der Linux-Installation komplett gewiped, daher kann die Datei also auch nicht mehr kommen.

Viele Grüße

Andy

Und die Datei ist nicht auf der Installations-DVD vorhanden?

Also ohne Internetzugang wird die im Ordner erstellt?

Hi,

die Installations DVD war auch mein erster Vedacht, habe dann eine andere verwendet, mit dem gleichen Ergebnis.

Die Installation habe ich komplette ohne Netzwerkzugang vorgenommen. Es waren auch keine externen Festplatten/USB-Sticks angeschlossen.

Mein Verdacht wäre jetzt BIOS oder Grafikkarte (wobei letzteres ja eine absolute Neuerung wäre). Vielleicht baue ich die Graka einfach mal aus und versuche dann eine Installation.

Viele Grüße

Andy