Hallo und Willkommen!

Arbeite zunächst diese Punkte ab, damit wir einen besseren Überblick und mehr Informationen zu deinem System bekommen:


Blacklight scannen lassen

* Lade F-Secure Blacklight runter in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
* Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
* Klick "I accept the agreement", "next", "Scan".
* Wenn der Scan fertig ist beende Blacklight mit "Close".
* Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.


Sophos scannen lassen

* Gehe zu Sophos und lade dir ihren Rootkitescanner herunter. Du bekommst eine Installationsdatei sarsfx.exe.
* Starte diese, akzeptiere die Lizenz und lass das Programm installieren, ändere den Pfad C:\SOPHTEMP nicht.
* Gehe mit dem Explorer in diesen Ordner und starte sargui.exe, schließe danach alle anderen Programme.
* Lass unter Area alles angehalt und starte den Scan mit "Start scan". Der Scan dauert einige Zeit, wenn er fertig ist poppt ein Fenster auf mit einer Zusammenfassung, klicke dort "Ok". Beende den Sophos Rootkitscanner, dieser Scan dient nur der Analyse.
* Starte den Explorer und gib in der Adresszeile "%temp%" ein (ohne Anführungsstriche), dort gibt es eine Datei sarscan.log, deren Inhalt bitte posten.


Gmer scannen lassen

* Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.
* Starte gmer.exe und gehe zum Tab Rootkit. Alle anderen Programme sollen geschlossen sein.
* Stelle sicher, daß in der Leiste rechts alles von "System" bis "ADS" angehakt ist
(Wichtig: "Show all" darf nicht angehakt sein)
* Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
* Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
* Füge das Log aus der Zwischenablage in deine Antwort hier ein.

Zitat von ordell1234 (Beitrag 315136) Hallo zusammen, ich tippe mal auf Treiber von alcohol. Lade die Dateien mal bei virustotal.com zur Auswertung hoch. Kopiere den Pfad der Treiber in das Fenster (copy&paste) und lade sie hoch. Poste bitte die Ergebnisse der Auswertung inkl. HASHwerten. Moin Sunny :)

---

C:ProgrammeAlcohol SoftAlcohol 120StarWindStarWindServiceAE.exe

---

---

01/10/08 13:59:34 [Info]: BlackLight Engine 1.0.67 initialized
01/10/08 13:59:34 [Info]: OS: 5.1 build 2600 (Service Pack 2)
01/10/08 13:59:34 [Note]: 7019 4
01/10/08 13:59:34 [Note]: 7005 0
01/10/08 13:59:35 [Note]: 7006 0
01/10/08 13:59:35 [Note]: 7011 1988
01/10/08 13:59:35 [Note]: 7026 0
01/10/08 13:59:36 [Note]: 7026 0
01/10/08 13:59:37 [Note]: FSRAW library version 1.7.1024
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:38 [Note]: 2000 1012
01/10/08 14:04:41 [Note]: 2000 1012
01/10/08 14:05:02 [Note]: 7007 0

---

---

Sophos Anti-Rootkit Version 1.3.1 (data 1.07)  (c) 2006 Sophos Plc
Started logging on 10.01.2008 at 18:03:54
Hidden:        file C:\WINDOWS\Temp\cch~28345c07f9ce.htp
Hidden:        file C:\WINDOWS\Temp\cch~28345c1371cf.htp
Stopped logging on 10.01.2008 at 18:12:01

---

---

Die Datei wurde bereits analysiert:
MD5:        cdfe4411a69c224bd1d11b2da92dac51
Datum        2008.01.10 18:03:41 (CET) [<1D]
Ergebnisse        0/32
Permalink:        analisis/4a5ccd0b6f4b775ebfd7c78f4b55dd37

---

---

Die Datei wurde bereits analysiert:
MD5:        cdfe4411a69c224bd1d11b2da92dac51
Datum        2008.01.10 18:03:41 (CET) [<1D]
Ergebnisse        0/32
Permalink:        analisis/4a5ccd0b6f4b775ebfd7c78f4b55dd37

---

Zitat von ordell1234 (Beitrag 315149) Sind beide von alcohol

Vielleicht sollte ich mir mal Testversionen gängiger Rootkits zulegen. :blabla:

Zitat von Franz1968 (Beitrag 315155) Vielleicht sollte ich mir mal Testversionen gängiger Rootkits zulegen. :blabla:

Kapitel 3, Object Manager: One place in which the executive uses symbolic link objects is in translating MS-DOS-style device names into Windows internal device names. In Windows, a user refers to floppy and hard disk drives using the names A:, B:, C:, and so on and serial ports as COM1, COM2, and so on. The Windows subsystem makes these symbolic link objects protected, global data by placing them in the object manager namespace under the \?? object directory on Windows 2000 and the \Global?? directory on Windows XP and Windows Server 2003. Session Namespace[..]A user logged on to the console session has access to the global namespace, a namespace that serves as the first instance of the namespace. Additional sessions are given a session-private view of the namespace known as a local namespace. The parts of the namespace that are localized for each session include \DosDevices, \Windows, and \BaseNamedObjects. Making separate copies of the same parts of the namespace is known as instancing the namespace. Instancing \DosDevices makes it possible for each user to have different network drive letters and Windows objects such as serial ports. On Windows 2000, the global \DosDevices directory is named \?? and is the directory to which the \DosDevices symbolic link points, and local \DosDevices directories are identified by the session id for the terminal server session. On Windows XP and later, the global \DosDevices directory is named \Global?? and is the directory to which \DosDevices points, and local \DosDevices directories are identified by the logon session ID. [..] All object manager functions related to namespace management are aware of the instanced directories and participate in providing the illusion that nonconsole sessions use the same namespace as the console session. Windows subsystem DLLs prefix names passed by Windows applications that reference objects in \DosDevices with \?? (for example, C:\Windows becomes \??\C:\Windows). When the object manager sees the special \?? prefix, the steps it takes depends on the version of Windows, but it always relies on a field named DeviceMap in the executive process object (EPROCESS, which is described further in Chapter 6) that points to a data structure shared by other processes in the same session.