|
Trojan.Win32.Patched.i legt Virenkiller lahm - was tun? Hallo, ich habe seit gestern einen sehr sehr unangenehmen Trojaner auf meiner Platte, der einfach nicht wegzubekommen ist. Wenn ich den Rechner hochfahre kommen sofort nach dem Anmelden die Meldungen meines AntiVir Guards (Avira AntiVir Classic) im Sekundentakt. -- TR/Patched/I gefunden -- infizierte Datei C:/Windows/system32/winlogon.exe Um irgendwie etwas am PC machen zu können muss ich den Guard ausschalten und auch ein normales Scannen des PCs ist nicht mehr möglich. ------------------------------ AntiVir PersonalEdition Classic Erstellungsdatum der Reportdatei: Samstag, 6. Januar 2007 16:47 Es wird nach 618274 Virenstämmen gesucht. Lizenznehmer: Avira AntiVir PersonalEdition Classic Seriennummer: Plattform: Windows XP Windowsversion: (Service Pack 2) [5.1.2600] Benutzername: user Computername: Versionsinformationen: BUILD.DAT : 217 12749 Bytes 05.12.2006 16:57:00 AVSCAN.EXE : 7.0.3.4 208936 Bytes 19.12.2006 20:05:00 AVSCAN.DLL : 7.0.3.0 35880 Bytes 19.12.2006 20:05:00 LUKE.DLL : 7.0.3.2 143400 Bytes 19.12.2006 20:05:00 LUKERES.DLL : 7.0.2.0 9256 Bytes 19.12.2006 20:05:00 ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 10:35:19 ANTIVIR1.VDF : 6.36.1.24 2212864 Bytes 14.11.2006 16:08:27 ANTIVIR2.VDF : 6.37.0.89 783360 Bytes 31.12.2006 16:23:12 ANTIVIR3.VDF : 6.37.0.113 94720 Bytes 05.01.2007 17:03:08 AVEWIN32.DLL : 7.3.0.21 1999360 Bytes 23.12.2006 15:33:53 AVPREF.DLL : 7.0.2.0 23592 Bytes 19.12.2006 20:05:00 AVREP.DLL : 6.37.0.5 1007656 Bytes 19.12.2006 20:05:01 AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 30.03.2006 08:43:10 AVPACK32.DLL : 7.2.0.5 368680 Bytes 26.10.2006 14:46:59 AVREG.DLL : 7.0.1.1 30760 Bytes 19.12.2006 20:05:00 NETNT.DLL : 6.32.0.0 6696 Bytes 27.09.2005 07:56:47 RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 19.12.2006 20:04:54 RCTEXT.DLL : 7.0.12.0 77864 Bytes 19.12.2006 20:04:54 Konfiguration für den aktuellen Suchlauf: Job Name.........................: Lokale Laufwerke Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldrives.avp Protokollierung..................: niedrig Primäre Aktion...................: interaktiv Sekundäre Aktion.................: ignorieren Durchsuche Masterbootsektoren....: aus Durchsuche Bootsektoren..........: ein Bootsektoren.....................: D:, Durchsuche Speicher..............: ein Durchsuche Laufende Programme....: ein Durchsuche Registrierung.........: ein Datei Suchmodus..................: Alle Dateien Durchsuche Archive...............: ein Rekursionstiefe einschränken.....: aus Archiv Smart Extensions..........: ein Abweichende Archivtypen..........: BSD Mailbox, Netscape/Mozilla Mailbox, Eudora Mailbox, Squid cache, Pegasus Mailbox, MS Outlook Mailbox, Makrovirenheuristik..............: ein Dateiheuristik...................: hoch Abweichende Gefahrenkategorien...: +GAME,+JOKE,+PCK,+SPR, Erweiterte Sucheinstellungen.....: 0x00007000 Beginn des Suchlaufs: Samstag, 6. Januar 2007 16:47 Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'Opera.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'hpofxm07.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'hposts07.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'hpoevm07.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'iexplore.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'wlancfg5.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'hpoavn07.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'ctfmon.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'jusched.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'alcwzrd.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'SoundMan.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'avgnt.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'PCMService.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'rundll32.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'alg.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'explorer.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'nvsvc32.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'cvpnd.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'avguard.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'sched.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'acs.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'spoolsv.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'lsass.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '1' Module wurden durchsucht Modul ist infiziert -> 'C:\WINDOWS\system32\winlogon.exe' Durchsuche Prozess 'csrss.exe' - '1' Module wurden durchsucht Durchsuche Prozess 'smss.exe' - '1' Module wurden durchsucht Es wurden '38' Prozesse mit '38' Modulen durchsucht Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [HINWEIS] Es wurde kein Virus gefunden! Bootsektor 'A:\' [HINWEIS] Im Laufwerk 'A:\' ist kein Datenträger eingelegt! Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen. Die Registry wurde durchsucht ( 25 Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' \\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\CONFIG.SYS [WARNUNG] Die Datei konnte nicht geöffnet werden! \\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\IO.SYS [WARNUNG] Die Datei konnte nicht geöffnet werden! \\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\MSDOS.SYS [WARNUNG] Die Datei konnte nicht geöffnet werden! \\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\pagefile.sys [WARNUNG] Die Datei konnte nicht geöffnet werden! Beginne mit der Suche in 'A:\' <C:\> Der zu durchsuchende Pfad A:\ konnte nicht gefunden werden! Das Gerät ist nicht bereit. Beginne mit der Suche in 'D:\' <A:\> Der zu durchsuchende Pfad D:\ konnte nicht gefunden werden! Das Gerät ist nicht bereit. Ende des Suchlaufs: Samstag, 6. Januar 2007 16:48 Benötigte Zeit: 00:26 min Der Suchlauf wurde vollständig durchgeführt. 1 Verzeichnisse wurden überprüft 74 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 0 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 4 Dateien konnten nicht durchsucht werden 73 Dateien ohne Befall 0 Archive wurden durchsucht 4 Warnungen 0 Hinweise -------------------- Kaspersky Online Check identifiziert den Übeltäter als Trojan.Win32.Pached.i Wie ich ihn loswerde konnte ich leider noch nirgens in Erfahrung bringen aber das Ding scheint zäh zu sein. Kann man das Ding irgendwie loswerden ohne das kmpl. System neu aufzusetzen. Dachte an Killbox :kloppen: oder ähnliches aber bin mir nicht sicher ob ich damit mehr kaputt mache als repariere. Anbei noch Logfile: Logfile of HijackThis v1.99.1 Scan saved at 16:54:07, on 06.01.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v7.00 (7.00.5730.0011) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\acs.exe C:\Programme\AntiVir PersonalEdition Classic\sched.exe C:\Programme\AntiVir PersonalEdition Classic\avguard.exe C:\Programme\Cisco Systems\VPN Client\cvpnd.exe C:\WINDOWS\system32\nvsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\RunDLL32.exe C:\Programme\CyberLink\PowerCinema\PCMService.exe C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\ALCWZRD.EXE C:\Programme\Java\jre1.5.0_06\bin\jusched.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Hewlett-Packard\AiO\hp officejet g series\Bin\hpoavn07.exe C:\Programme\NETGEAR\WG311T\wlancfg5.exe C:\Programme\Internet Explorer\IEXPLORE.EXE C:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOFXM07.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\services.exe C:\Programme\Opera\Opera.exe C:\Dokumente und Einstellungen\xxx\Eigene Dateien\Downloads\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe O4 - HKLM\..\Run: [SW24] C:\WINDOWS\system32\sw24.exe O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [PCMService] "C:\Programme\CyberLink\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe O4 - Global Startup: HPAiODevice(hp officejet g series) - 1.lnk = C:\Programme\Hewlett-Packard\AiO\hp officejet g series\Bin\hpoavn07.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE O4 - Global Startup: NETGEAR WG311T Wireless Assistant.lnk = C:\Programme\NETGEAR\WG311T\wlancfg5.exe O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll O11 - Options group: [INTERNATIONAL] International* O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe Vielen Dank im Voraus für die Hilfe |
Hallo. :) Ich würde dir raten mal die Datei (winlogon.exe) bei Virustotal auswerten zu lassen. Vielleicht sagen die anderen Scanner auch noch was anderes dazu! Denn das hier ist normalerweise nicht normal: Zitat:
Das die Registrierung deaktiviert wurde von irgendwem/irgendwas. Das passiert oftmals zum Eigenschutz derer, sodass sie sich schwerer finden und entfernen lassen! Scanne dein System zusätzlich mal mit eScan -> Anleitung gibts hier Gruß ;) Sunny |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 06:08 Uhr. |
Copyright ©2000-2025, Trojaner-Board