GMER findet Rootkit - FalsePositive oder nicht?
 

Guten Abend ihr lieben Leute,

ich würde gern wissen ob folgendes GMER Ergebnis ein FS ist oder eben nicht.

System:

Windows XP x64 SP2 - alle Updates
Nlitet & ntsvcfg "closed" (nur SMB fürs Netzwerk auf - ohne browsing)

Scan wurde nach einem Neustart ausgeführt. Die Maus wurde nicht bewegt. Der Bildschirmstandby sprang beim ersten mal (nach 5min) und exact nach dieser Aktion kam die Meldung. Da ich dies für einen Zufall hielt, hab ich den Monitor Standby deaktiviert, aber erstneut hat GMER ein rootkit gefunden.

Meldung:

http://666kb.com/i/bd0n7nmlakp5kemz4.jpg


Log



Über jegliche Antworten wäre ich sehr dankbar. Accountdaten sind bisher keine verschwunden und wenn das ganze kein false positive ist, wäre das Teil schon länger aktiv. :rolleyes:


Vielen Dank im Voraus.

Grüße Moppelkotze

Niemand der mir helfen kann? :(

Mwav & Malwarebytes Scan war negativ.

Hallo Moppelkotze :hallo:

Bei Rootkits kann ich dir nicht viel helfen.
Lad doch bitte die Datein bei Virustotal hoch und Poste das Ergebnis hier.
Wenn die Meldung erscheint das die Datei bereits Analysiert wurde als sie trotzdem Analysieren.

Wie sieht es mit einem HiJackThis Logfile aus?


Gruß Black_Light

Virustotal findet nichts. Gibt es hier niemanden der XP x64 hat und mal mit GMER testen könnte?

GMER zeigt bei mir z.B. auch nur wenige Dinge an, die überprüft werden. Scheint mir zu XP x64 nicht wirklich kompatibel zu sein oder es liegt an meinem System.

http://666kb.com/i/bd1lxmfre4e3lrqxs.jpg

HiJackThis Logfile:

Ich sehe gerade ... die File Missing Berichte sind (fast) alle Quark. Das dürfte wohl damit zusammenhängen, dass x32 Software unter XP/2k3 x64 nicht auf den x64 Systemordner zugreifen kann. Geht nur per bypass und bringt dann einige Probleme mit sich. Im TotalCommander kann man es z.B. per Hand (ini) aktivieren.

Hallo Moppelkotze

Das ist richtig so. HJT kommt mit 64bittigen Betriebssystemen (noch?) nicht zurecht das selbe könnte auch bei GMER der Fall sein bin mir da aber selbst nicht so sicher.

Gruß

Acid

Bei nem Kollegen mit XP x64 kommen die hidden Einträge _nicht_. Ich habe allerdings alle Files einzeln bei Virustotal.com hochgeladen und bei allen 0 Funde erhalten.

Ja, was mich wundert, das was GMER bei dir an rootkits ausgibt sind ja eigentlich die normalen Windows Prozesse. Um sicher zu gehen solltest du vielleicht mal hier schauen http://www.trojaner-board.de/69886-a...-beachten.html und den Punkt 2 abarbeiten.

Bei 64bit Systemen ist das leider aber immer so eine Sache da die meisten Tools die wir hier einsetzen leider noch nicht für 64bit angepasst wurden.

Gruß

Acid

Malwarebytes findet nichts - wie bereits geschrieben.

CCleaner hilft bei Malware wohl eher weniger und von Regcleanern halte ich wenig bis nichts.
Die Tempfiles putzt bei mir ein Script bei jedem shutdown automatisch von der Platte.

RSIT habe ich bisher nicht ausgeführt, dafür aber einen HJT Log oben gepostet.

RSIT läuft eh nicht:
http://666kb.com/i/bd3f4y18grfr02lo9.jpg

Beim Punkt Services und Dienste. :(


Zwecks Dienste:

Ist es möglich das GMER aufgrund des Nlite Windows spinnt? Bei einem normalen XP x64 meckert es nämlich nicht.

Das ist durchaus möglich aber festlegen will ich mich da nicht.

Gruß

Acid

Hallo Moppelkotze!

Gmer läuft nur unter: Win 2000, Win XP, Win Vista (norm 32 Bit), Win 7 - Systeme, also unter Windows 2003 nicht!
die Funde sind daher sollte Ok sein

Um sicher zu gehen kannst dein System (noch) scannen mit:

1.
Führe dann einen Komplett-Systemcheck mit Nod32 - die Scanergebnis als *.txt Dateien speichern)
- (ESET Online Scanner (Sicherheitseinstellungen wie unter Punkt 1.)
Speichere und Poste bitte das Logfile

2.
Lass noch einen Online-Scanner über dein System laufen zwar Panda - (Kostenlose Online Scanner - Anleitung)
Kann sein, dass Du dein AV-Scanner (falsch Avira, G-Data, Avast drauf) für die Zeit bis Panda läuft deaktivieren musst (manche Antivirenprogramm erkennt Panda als Virus), danach aber wieder gleich einschalten!!

gruß
Coverflow

@Coverflow:

Danke für die Info. Was mich wundert, ist die Tatsache, dass das XP/2k3 x64 meiner Freunde keine Meldung erzeugt.
Gibt es aktuell keine rootkits die mit gebräuchlichen Mitteln nicht gefunden werden?

Zu 1:

Wird ESET nach der Benutzung wirklich wieder sauber deinstalliert?

bei XP und Vista 32 Bit Ok, aber z.B mit Vista 64 Bit nicht

Rootkits haben die Eigenschaftaften, dass sie die Binärdateien und Bibliotheken des Systems verändern, den Kernel unterwandern können "Direct Kernel Object Manipulation". Das heißt, ein Befall mit Rootkit, daher ist es besser das System gleich neu aufzusetzen, da Rootkits erfolgreich aufspüren und entfernen 100%ig ist nicht möglich!
Viele Tools (Gmer, Sophos, Rootrepeal, AVZ Antiviral Toolkit usw) , alle leistungsfähig und zur Suche auch nach Rootkits geeignet, jedoch kein Tool kann 100%ige Ergebnis liefern!
Das wiederum heißt, mit eine wirkungsvolle intensiver technische Säuberung des Computers, ist es möglich, einen `normalen Zustand` zu erreichen
Den "Auslieferungszustand wiederherzustellen" bzw so dass Du zu 100% dein System vertrauen kannst, ist nur mit Neuinstallation jeweils eine Änderung der Passwort und Zugangsdaten möglich!

Du musst ihn nicht installieren!
Die Online-Scanner sind alle reine On-Demand-Scanner. Sie durchsuchen einzelne Dateien oder Verzeichnisse, wahlweise die gesamte Festplatte, haben keinen Hintergrundwächter oder andere residente Prozesse. Dadurch verbrauchen sie ausser Festplattenspeicher keine Resourcen und man kann beliebig viele gleichzeitig installieren. Die Online-Scanner sind gut geeignet um sich eine zweite Meinung einzuholen.
Nach dem Scan: Bei den von den Scannern installierten ActiveX-Controls kommen häufiger mal Sicherheitslücken vor. Es empfiehlt sich daher dringend, nicht benötigte ActiveX-Controls zu deaktivieren oder besser löschen:
IE öffnen-->Extras-->Internetoptionen-->Programme-->Add-Ons verwalten...
oder Eintrag: 016 mit HijackThis (manche findest Du unter Systemsteuerung-->Software-->Ändern/Entfernen...)fixen - Falls der Microsoft Internet Explorer von einigen Websites die ActiveX-Unterstützung benötigt, wird er es wieder automatisch downloaden und installieren
)

gruß
Coverflow:)

Darum gibts ja - ob er das ActiveX Element und evt. angelegte Logfiles wieder entfernt. ;) Ersteres macht er mal (gibt nen Haken dazu nach dem Scan). Letzeres ka.

Gefunden wurde im Übrigen nichts.

Bezüglich rootkits:

Ums entfernen gings mir nie. Was ein rootkit ist, weiß ich auch. Nur war/ist offen, wie zuverlässig die Tools heute sind. Vor Jahren sah es da ja noch recht düster aus. ;) Es geht mir rein um die Erkennung.


Zu GMER:

Wenn ich alle Files einzeln gescannt habe und keine Befunde bei Virustotal lieferte, kann ich doch zu 99,9% von einem false positive ausgehen, oder?

Rückblick: Vor noch ca. einem Jahr gab es selten ein Fall/Thread, wo Rootkit aufgetaucht. (Zumindest meine Erfahrungen im Forum, wo PC`s infiziert waren)
Heutzutage klagt fast jeder zweite PC-Nutzer über einen Rootkit-Befall.:eek:
Eines sollte dir klar sein: Wenn auch Software-Entwickler & Programmierer versuchen mit dem Tempo mithalten, die Virenprogrammierer sind immer einen großen Schritt voran!
Diese Frage kann ich Dir relativ kurz beantworten:
"Weil einige Dateien wurden als Malware eingestuft, bedeutet nicht gleich dass sie wirklich schädlich sind. Umgekehrt weil die Überprüfung einiger Arten schädlicher Dateien negative Ergebnisse gebracht haben, bedeutet das noch lange nicht, dass sie so harmlos sind, wie (oft) dargestellt wird ;)"