Malware Rootkit unter c/windows/system327drivers
 

Ich hatte vor ein paar Tagen trotz Antivir und Firewall insgesamt 20 infizierte Objekte eingefangen über die Seite eines Vereins, die ich über den Internet Explorer aufgerufen habe. Nun arbeite ich mit diesem nicht mehr sondern mit Firefox.

Nachdem ich hier im Forum von der Malwarebytes' Anti Malware gelesen habe, habe ich diese gestern installiert und sie fand eben 20 infizierte Objekte. 19 davon konnte sie löschen, aber die letzte werde ich nicht los; nicht über Antivir, McAfee und Anti Malware, aber auch nicht durch ein manuelles Löschen im Windows Explorer.

Die Datei sitzt und lautet:

c/windows/system32/drivers/qfetfbdv.sys

Was kann ich machen, ohne gleich die ganze Festplatte zu löschen? Bitte gebt mir die Erklärung für einen Laien verständlich.

Hallo und :hallo:

Bitte alle Logs vollständig posten (Antivir und Malwarebytes), danach Logs mit RSIT erstellen und auch posten.

Antivir findet den Virus gar nicht. Der Log denke ich ist das Protokoll der fehlersuche (ich sagte ja, ich bin Laie). Von Malwarebytes' Anti Malware füge ich es hier bei. Ich habe es gerade noch einmal durchlaufen lassen. Leider läßt sich die Datei beim Rebooten nicht löschen, sie bleibt drauf.


Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3680
Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

05.02.2010 15:09:16
mbam-log-2010-02-05 (15-09-16).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|)
Durchsuchte Objekte: 250750
Laufzeit: 41 minute(s), 15 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\drivers\qfetfbdv.sys (Rootkit.Agent) -> Delete on reboot.

Bitte mal den Avenger anwenden

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:
4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

Ich habe gerade den Avenger angewendet. Hier kommt das Logfile:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: could not open file "C:\WINDOWS\system32\drivers\qfetfbdv.sys"
Deletion of file "C:\WINDOWS\system32\drivers\qfetfbdv.sys" failed!
Status: 0xc0000001 (STATUS_UNSUCCESSFUL)


Completed script processing.

*******************

Finished! Terminate.



Ich habe gerade von der Telekom einen Brief bekommen, daß mein T-Online eMail-Account gesperrt wurde, da von ihm aus Spam-Mails versendet werden.

ist bei malwarebefall nicht ungewöhnlich :rolleyes:
Mach mal bitte ein Log mit GMER und poste es.