Ntoskrnl-hook
 

Schönen guten Abend,

ich habe vor gut einer Woche mein bestelltes Dell Studio XPS 1340 erhalten.
Windows Vista 32-Bit-Betriebssystem
Intel Core 2 Duo CPU, P8600 2,4 GHz
NVIDIA GeForce 9500M (GF 9200MGS + GF 9400MG)

So weit so gut, eine Woche hat es getan was es sollte, dh. Office-Anwendungen, Poker, WinAmp und die Games FM 2009 sowie Assassins Creed.
Heute kommt ohne unmittelbaren Grund plötzlich ein Bluescreen, der mir berichtet, er müsse zu meines Laptops Sicherheit herunterfahren :mad:
Ich schaue dem gespannt zu und lasse ihn wieder hochbooten, mache daraufhin ein Screening mit dem vorinstallierten McAfee Security Center. Der meldet mir 2 entdeckte Trojaner der Marke "NTOSKRNL-HOOK", Entdeckungsname "Generic Rootkit.d!rootkit". Ich gucke also im Internet, was ist das denn überhaupt? In diesem moment erscheint erneut der Bluescreen, besagter Inhalt. Dumm nur, dass er mir den Bluescreen nun jedesmal andreht, soabld ich mich wieder anmelden will.
Der nächste Schritt war dann der Abgesicherte Modus, in dem ich mich momentan befinde. Nach diversen Suchen über Google habe ich dann diverse Programme (Malwarebytes' Anti-Malware, Combifix), die sich aber nicht öffnen lassen, sobald sie heruntergeladen worden sind.
Auch die Reinstallations-CD mit Reparaturmodus hat mch nicht weiterbringen können, was im Endeffekt heißt: Ich bitte um HILFE! :(

Hallo und :hallo:

Schließe alle Anwendungen und lass folgendes laufen:

Rootkitscan mit RootRepeal

• Gehe hierhin, scrolle runter und downloade RootRepeal.zip.
• Entpacke die Datei auf Deinen Desktop.
• Doppelklicke die RootRepeal.exe, um den Scanner zu starten.
• Klicke auf den Reiter Report und dann auf den Button Scan.
• Mache einen Haken bei den folgenden Elementen und klicke Ok.
  .
  Drivers
  Files
  Processes
  SSDT
  Stealth Objects
  Hidden Services
  .
• Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen.
• Wähle C:\ und klicke wieder Ok.
• Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld.
• Wenn der Suchlauf beendet ist, klicke auf Save Report.
• Speichere das Logfile als RootRepeal.txt auf dem Desktop.
• Kopiere den Inhalt hier in den Thread.

ciao, andreas

Danke dir erstmal für die fixe Antwort :) Leider komme ich nur bis zur Auswahl der Platte C, danach initialisiert er und plötzlich ist er weg, wie die anderen Programme auch. Ich hoffe doch ich blamiere mich jetzt nicht... :(

Benenne es um in Quiek.exe und versuche es nochmal.

ciao, andreas

Dasselbe in grün. Er bringt mir übrigens (das hatte ich vorhin vergessen zu schreiben) die Nachricht, dass ich die exe auf eigene Gefahr ausführe und nicht garantiert werden kann dass es im Safe Mode funktioniert.

Wie ist es mit anderen Programmen, also nicht mit Sicherheitsprogrammen, sondern "normalen"? Gibt es dort auch Probleme?

Versuche combofix.exe in cofi.exe umzubenennen und zu starten.

ciao, andreas

Der Reihe nach: Normale Programme laufen ohne Probleme.
Ich habe ComboFix nocheinmal runtergeladen und deinem Rat nach benannt, und es tat sich was! Ein Fenster DOS-Manier, ähnlich der Eingabeaufforderung, öffnete sich, und gleich darauf ein Pop-Up mit der nachricht, auf meinem laptop gebe es Rootkit-Aktivitäten und er möchte das System sofort runterfahren. Die folgenden Pfade soll ich mir aufschreiben:

C:\Windows\system32\gxvxcfsyqwdrg... .sys
C:\Windows\system32\gxvxc.... .dll
C:\Windows\system32\gxvxc.... .dll

Daraufhin habe ich RootRepeal noch einmal geladen, umbenannt, und es öffnete sich auch da für eine Millisekunde ein Fenster, um dann zu verschwinden.

Da ist das Problem, ich brauche die genauen Dateinamen, ansonsten habe ich keine Chance. Bitte notiere dir jeden Buchstaben und kontrolliere zur Sicherheit nochmal.

ciao, andreas

p.s.: Start => Ausführen => devmgmt.msc eingeben und [Enter] drücken
Ansicht => Ausgeblendete Geräte anzeigen => Nicht-PNP-Treiber
Dort den Treiber gxvxc..... deaktivieren => Rechner neustarten, nochmal probieren.

C:\Windows\system32\drivers\gxvxcfsyqwdrgqfvphbncceaiooiqgnetwiuit.sys

C:\Windows\system32\drivers\gxvxcvqlenkwqitqqxpcocugcebwpuxsmfvvm.dll

C:\Windows\system32\drivers\gxvxcbenbgxbywrhvegepfbcyajmnjexodfpf.dll

:Boogie:

1.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

• Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

• Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

http://saved.im/mzi3ndg3nta0/aven.jpg

• Schliesse nun alle Programme und Browser-Fenster

• Um den Avenger zu starten klicke auf -> Execute
• Dann bestätigen mit "Yes" das der Rechner neu startet

• Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

• Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

2.) ComboFix

Achtung: Die Anleitung ist veraltet. Den Teil mit der Systemwiederherstellungskonsole nicht ausführen. Die wird bei Internetverbindung automatisch installiert.

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  
  Sollte sich ComboFix nicht starten lassen, dann benenne es um in cofi.exe und versuche es nocheinmal.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

Avenger.txt

Den CC-Cleaner habe ich auch angewandt, hat funktioniert. Dann öffne ich Combofix und stelle erst mal fest, dass ich keine Adminrechte habe. Das ganze als Admin nochmal geöffnet, aber keine Reaktion. Daraufhin dann dieselben Meldungen über Rootkit-Aktivitäten in besagten Dateien und Abschuss. :schmoll:

Dann stimmen die Dateinamen nicht, bitte noch einmal genau kontrollieren, jeden Buchstaben.

Neues Skript für Avenger:
ciao, andreas

Habe das in den Avenger eingegeben, es kam der Reboot und HALLELUJAH!
Es tut wieder, ich hoffe das bleibt jetzt auch so.
Vielen Dank dir für deine Zeit und deine Geduld :)

Wo ist das Log von Avenger?
Ja, zumindest bis der Downloader den nächsten Schädling nachgeladen hat. :)

Jetzt sollte Combofix wieder laufen, poste bitte das Log von Combofix.

ciao, andreas