Trojaner-Board
Seite 6 von 7 « Erste 45 6 7
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   TR/Rootkit.Gen und TR/Crypt.ZPACK.Gen (https://www.trojaner-board.de/87140-tr-rootkit-gen-tr-crypt-zpack-gen.html)

markusg 18.06.2010 11:43
:OTL
O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)
PRC - C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)
O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)
O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv
(Gandke & Schubert GmbH)
[2010.06.15 17:51:03 | 000,345,600 | ---- | C] (Gandke & Schubert GmbH) -- C:\WINDOWS\System32\winprxrev06.exe
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]


drücke fix

matthias2619 18.06.2010 12:48
das Log:
Code:
All processes killed
Error: Unable to interpret <O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke &  Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <PRC - C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKLM..\Run: [winprxrev06] C:\WINDOWS\system32\winprxrev06.exe (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv> in the current context!
Error: Unable to interpret <(Gandke & Schubert GmbH)> in the current context!
Error: Unable to interpret <[2010.06.15 17:51:03 | 000,345,600 | ---- | C] (Gandke & Schubert GmbH) -- C:\WINDOWS\System32\winprxrev06.exe> in the current context!
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: Administrator
 
User: All Users
 
User: Default User
 
User: LocalService
 
User: Matthias
->Flash cache emptied: 6507 bytes
 
User: NetworkService
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 304694 bytes
 
User: Matthias
->Temp folder emptied: 146290940 bytes
->Temporary Internet Files folder emptied: 759177 bytes
->Java cache emptied: 2739 bytes
->FireFox cache emptied: 53691310 bytes
->Flash cache emptied: 0 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 483 bytes
RecycleBin emptied: 197902001 bytes
 
Total Files Cleaned = 381,00 mb
 
 
OTL by OldTimer - Version 3.2.6.0 log created on 06182010_134231

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...
und noch ein antivir suchlauf von vorgestern!
Code:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 16. Juni 2010  19:20

Es wird nach 2219416 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : OPFER-IRD4ZQAV9

Versionsinformationen:
BUILD.DAT      : 10.0.0.567    32097 Bytes  19.04.2010 15:50:00
AVSCAN.EXE    : 10.0.3.0      433832 Bytes  01.04.2010 11:37:35
AVSCAN.DLL    : 10.0.3.0      56168 Bytes  30.03.2010 10:42:16
LUKE.DLL      : 10.0.2.3      104296 Bytes  07.03.2010 17:32:59
LUKERES.DLL    : 10.0.0.0      13672 Bytes  14.01.2010 10:59:47
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  06.11.2009 08:05:36
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 18:27:49
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.01.2010 16:37:42
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.01.2010 15:37:42
VBASE004.VDF  : 7.10.4.203  1579008 Bytes  05.03.2010 10:29:03
VBASE005.VDF  : 7.10.6.82    2494464 Bytes  15.04.2010 11:42:44
VBASE006.VDF  : 7.10.7.218  2294784 Bytes  02.06.2010 11:42:46
VBASE007.VDF  : 7.10.7.219      2048 Bytes  02.06.2010 11:42:46
VBASE008.VDF  : 7.10.7.220      2048 Bytes  02.06.2010 11:42:46
VBASE009.VDF  : 7.10.7.221      2048 Bytes  02.06.2010 11:42:47
VBASE010.VDF  : 7.10.7.222      2048 Bytes  02.06.2010 11:42:47
VBASE011.VDF  : 7.10.7.223      2048 Bytes  02.06.2010 11:42:47
VBASE012.VDF  : 7.10.7.224      2048 Bytes  02.06.2010 11:42:47
VBASE013.VDF  : 7.10.8.37    270336 Bytes  10.06.2010 11:42:47
VBASE014.VDF  : 7.10.8.69    138752 Bytes  14.06.2010 15:33:02
VBASE015.VDF  : 7.10.8.70      2048 Bytes  14.06.2010 15:33:02
VBASE016.VDF  : 7.10.8.71      2048 Bytes  14.06.2010 15:33:02
VBASE017.VDF  : 7.10.8.72      2048 Bytes  14.06.2010 15:33:02
VBASE018.VDF  : 7.10.8.73      2048 Bytes  14.06.2010 15:33:02
VBASE019.VDF  : 7.10.8.74      2048 Bytes  14.06.2010 15:33:02
VBASE020.VDF  : 7.10.8.75      2048 Bytes  14.06.2010 15:33:02
VBASE021.VDF  : 7.10.8.76      2048 Bytes  14.06.2010 15:33:02
VBASE022.VDF  : 7.10.8.77      2048 Bytes  14.06.2010 15:33:02
VBASE023.VDF  : 7.10.8.78      2048 Bytes  14.06.2010 15:33:02
VBASE024.VDF  : 7.10.8.79      2048 Bytes  14.06.2010 15:33:02
VBASE025.VDF  : 7.10.8.80      2048 Bytes  14.06.2010 15:33:02
VBASE026.VDF  : 7.10.8.81      2048 Bytes  14.06.2010 15:33:02
VBASE027.VDF  : 7.10.8.82      2048 Bytes  14.06.2010 15:33:02
VBASE028.VDF  : 7.10.8.83      2048 Bytes  14.06.2010 15:33:02
VBASE029.VDF  : 7.10.8.84      2048 Bytes  14.06.2010 15:33:02
VBASE030.VDF  : 7.10.8.85      2048 Bytes  14.06.2010 15:33:02
VBASE031.VDF  : 7.10.8.98    111616 Bytes  16.06.2010 17:18:52
Engineversion  : 8.2.2.6 
AEVDF.DLL      : 8.1.2.0      106868 Bytes  13.06.2010 11:42:54
AESCRIPT.DLL  : 8.1.3.31    1352058 Bytes  13.06.2010 11:42:54
AESCN.DLL      : 8.1.6.1      127347 Bytes  13.06.2010 11:42:53
AESBX.DLL      : 8.1.3.1      254324 Bytes  13.06.2010 11:42:54
AERDL.DLL      : 8.1.4.6      541043 Bytes  13.06.2010 11:42:53
AEPACK.DLL    : 8.2.1.1      426358 Bytes  19.03.2010 11:34:51
AEOFFICE.DLL  : 8.1.1.0      201081 Bytes  13.06.2010 11:42:53
AEHEUR.DLL    : 8.1.1.33    2724214 Bytes  13.06.2010 11:42:52
AEHELP.DLL    : 8.1.11.5      242038 Bytes  13.06.2010 11:42:51
AEGEN.DLL      : 8.1.3.10      377205 Bytes  13.06.2010 11:42:51
AEEMU.DLL      : 8.1.2.0      393588 Bytes  13.06.2010 11:42:50
AECORE.DLL    : 8.1.15.3      192886 Bytes  13.06.2010 11:42:50
AEBB.DLL      : 8.1.1.0        53618 Bytes  13.06.2010 11:42:50
AVWINLL.DLL    : 10.0.0.0      19304 Bytes  14.01.2010 10:59:10
AVPREF.DLL    : 10.0.0.0      44904 Bytes  14.01.2010 10:59:07
AVREP.DLL      : 10.0.0.8      62209 Bytes  18.02.2010 15:47:40
AVREG.DLL      : 10.0.3.0      53096 Bytes  01.04.2010 11:35:44
AVSCPLR.DLL    : 10.0.3.0      83816 Bytes  01.04.2010 11:39:49
AVARKT.DLL    : 10.0.0.14    227176 Bytes  01.04.2010 11:22:11
AVEVTLOG.DLL  : 10.0.0.8      203112 Bytes  26.01.2010 08:53:25
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  28.01.2010 11:57:53
AVSMTP.DLL    : 10.0.0.17      63848 Bytes  16.03.2010 14:38:54
NETNT.DLL      : 10.0.0.0      11624 Bytes  19.02.2010 13:40:55
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.01.2010 12:10:08
RCTEXT.DLL    : 10.0.53.0      98152 Bytes  09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: löschen
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Mittwoch, 16. Juni 2010  19:20

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\threadingmodel
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32\cd042efbbd7f7af1647644e76e06692b
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32\bca643cdc5c2726b20d2ecedcc62c59b
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32\2c81e34222e8052573023a60d06dd016
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32\2582ae41fb52324423be06337561aa48
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32\caaeda5fd7a9ed7697d9686d4b818472
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32\a4a1bcf2cc2b8bc3716b74b2b4522f5d
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32\4d370831d2c43cd13623e232fed27b7b
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32\1d68fe701cdea33e477eb204b76f993d
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32\1fac81b91d8e3c5aa4b0a51804d844a3
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32\f5f62a6129303efb32fbe080bb27835b
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32\fd4e2e1a3940b94dceb5a6a021f2e3c6
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32\8a8aec57dd6508a385616fbc86791ec2
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\11.0\Registration\{90110407-6000-11D3-8CFE-0150048383C9}\current1
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '124' Modul(e) wurden durchsucht
Durchsuche Prozess 'winprxrev06.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'SGlass.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'SolutoService.exe' - '114' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '137' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'soluto.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '167' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1029' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\24ddd997-77cfd6d7
[0] Archivtyp: ZIP
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
--> Inicio.class
  [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
C:\Qoobox\Quarantine\C\Dokumente und Einstellungen\All Users\Dokumente\Settings\_cbss_.dll.zip
[0] Archivtyp: ZIP
  [FUND]      Ist das Trojanische Pferd TR/Dldr.Piker.cmk
--> cbss.dll
  [FUND]      Ist das Trojanische Pferd TR/Dldr.Piker.cmk

Beginne mit der Desinfektion:
C:\Qoobox\Quarantine\C\Dokumente und Einstellungen\All Users\Dokumente\Settings\_cbss_.dll.zip
    [FUND]      Ist das Trojanische Pferd TR/Dldr.Piker.cmk
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '46bdb56c.qua' verschoben!
C:\Dokumente und Einstellungen\Matthias\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\24ddd997-77cfd6d7
    [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.D
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5e2c9afd.qua' verschoben!


Ende des Suchlaufs: Mittwoch, 16. Juni 2010  20:02
Benötigte Zeit: 25:52 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

  7345 Verzeichnisse wurden überprüft
 199434 Dateien wurden geprüft
      2 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      2 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 199432 Dateien ohne Befall
  1832 Archive wurden durchsucht
      0 Warnungen
      2 Hinweise
 437201 Objekte wurden beim Rootkitscan durchsucht
    25 Versteckte Objekte wurden gefunden
heute mach ich auch noch einen!
Lg

matthias2619 18.06.2010 13:19
neuer scan, nun isses ein trojaner!
Code:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Freitag, 18. Juni 2010  13:52

Es wird nach 2224475 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : Matthias
Computername  : OPFER-IRD4ZQAV9

Versionsinformationen:
BUILD.DAT      : 10.0.0.567    32097 Bytes  19.04.2010 15:50:00
AVSCAN.EXE    : 10.0.3.0      433832 Bytes  01.04.2010 11:37:35
AVSCAN.DLL    : 10.0.3.0      56168 Bytes  30.03.2010 10:42:16
LUKE.DLL      : 10.0.2.3      104296 Bytes  07.03.2010 17:32:59
LUKERES.DLL    : 10.0.0.0      13672 Bytes  14.01.2010 10:59:47
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  06.11.2009 08:05:36
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 18:27:49
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.01.2010 16:37:42
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.01.2010 15:37:42
VBASE004.VDF  : 7.10.4.203  1579008 Bytes  05.03.2010 10:29:03
VBASE005.VDF  : 7.10.6.82    2494464 Bytes  15.04.2010 11:42:44
VBASE006.VDF  : 7.10.7.218  2294784 Bytes  02.06.2010 11:42:46
VBASE007.VDF  : 7.10.7.219      2048 Bytes  02.06.2010 11:42:46
VBASE008.VDF  : 7.10.7.220      2048 Bytes  02.06.2010 11:42:46
VBASE009.VDF  : 7.10.7.221      2048 Bytes  02.06.2010 11:42:47
VBASE010.VDF  : 7.10.7.222      2048 Bytes  02.06.2010 11:42:47
VBASE011.VDF  : 7.10.7.223      2048 Bytes  02.06.2010 11:42:47
VBASE012.VDF  : 7.10.7.224      2048 Bytes  02.06.2010 11:42:47
VBASE013.VDF  : 7.10.8.37    270336 Bytes  10.06.2010 11:42:47
VBASE014.VDF  : 7.10.8.69    138752 Bytes  14.06.2010 15:33:02
VBASE015.VDF  : 7.10.8.102    130560 Bytes  16.06.2010 11:44:05
VBASE016.VDF  : 7.10.8.103      2048 Bytes  16.06.2010 11:44:05
VBASE017.VDF  : 7.10.8.104      2048 Bytes  16.06.2010 11:44:05
VBASE018.VDF  : 7.10.8.105      2048 Bytes  16.06.2010 11:44:05
VBASE019.VDF  : 7.10.8.106      2048 Bytes  16.06.2010 11:44:05
VBASE020.VDF  : 7.10.8.107      2048 Bytes  16.06.2010 11:44:05
VBASE021.VDF  : 7.10.8.108      2048 Bytes  16.06.2010 11:44:05
VBASE022.VDF  : 7.10.8.109      2048 Bytes  16.06.2010 11:44:05
VBASE023.VDF  : 7.10.8.110      2048 Bytes  16.06.2010 11:44:05
VBASE024.VDF  : 7.10.8.111      2048 Bytes  16.06.2010 11:44:05
VBASE025.VDF  : 7.10.8.112      2048 Bytes  16.06.2010 11:44:05
VBASE026.VDF  : 7.10.8.113      2048 Bytes  16.06.2010 11:44:05
VBASE027.VDF  : 7.10.8.114      2048 Bytes  16.06.2010 11:44:05
VBASE028.VDF  : 7.10.8.115      2048 Bytes  16.06.2010 11:44:05
VBASE029.VDF  : 7.10.8.116      2048 Bytes  16.06.2010 11:44:06
VBASE030.VDF  : 7.10.8.117      2048 Bytes  16.06.2010 11:44:08
VBASE031.VDF  : 7.10.8.124    58880 Bytes  18.06.2010 11:46:47
Engineversion  : 8.2.2.6 
AEVDF.DLL      : 8.1.2.0      106868 Bytes  13.06.2010 11:42:54
AESCRIPT.DLL  : 8.1.3.31    1352058 Bytes  13.06.2010 11:42:54
AESCN.DLL      : 8.1.6.1      127347 Bytes  13.06.2010 11:42:53
AESBX.DLL      : 8.1.3.1      254324 Bytes  13.06.2010 11:42:54
AERDL.DLL      : 8.1.4.6      541043 Bytes  13.06.2010 11:42:53
AEPACK.DLL    : 8.2.1.1      426358 Bytes  19.03.2010 11:34:51
AEOFFICE.DLL  : 8.1.1.0      201081 Bytes  13.06.2010 11:42:53
AEHEUR.DLL    : 8.1.1.33    2724214 Bytes  13.06.2010 11:42:52
AEHELP.DLL    : 8.1.11.5      242038 Bytes  13.06.2010 11:42:51
AEGEN.DLL      : 8.1.3.10      377205 Bytes  13.06.2010 11:42:51
AEEMU.DLL      : 8.1.2.0      393588 Bytes  13.06.2010 11:42:50
AECORE.DLL    : 8.1.15.3      192886 Bytes  13.06.2010 11:42:50
AEBB.DLL      : 8.1.1.0        53618 Bytes  13.06.2010 11:42:50
AVWINLL.DLL    : 10.0.0.0      19304 Bytes  14.01.2010 10:59:10
AVPREF.DLL    : 10.0.0.0      44904 Bytes  14.01.2010 10:59:07
AVREP.DLL      : 10.0.0.8      62209 Bytes  18.02.2010 15:47:40
AVREG.DLL      : 10.0.3.0      53096 Bytes  01.04.2010 11:35:44
AVSCPLR.DLL    : 10.0.3.0      83816 Bytes  01.04.2010 11:39:49
AVARKT.DLL    : 10.0.0.14    227176 Bytes  01.04.2010 11:22:11
AVEVTLOG.DLL  : 10.0.0.8      203112 Bytes  26.01.2010 08:53:25
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  28.01.2010 11:57:53
AVSMTP.DLL    : 10.0.0.17      63848 Bytes  16.03.2010 14:38:54
NETNT.DLL      : 10.0.0.0      11624 Bytes  19.02.2010 13:40:55
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.01.2010 12:10:08
RCTEXT.DLL    : 10.0.53.0      98152 Bytes  09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: löschen
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Freitag, 18. Juni 2010  13:52

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SGlass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SolutoService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soluto.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1028' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\WINDOWS\system32\winprxrev06.exe
    [FUND]      Ist das Trojanische Pferd TR/Gibi.AB

Beginne mit der Desinfektion:
C:\WINDOWS\system32\winprxrev06.exe
    [FUND]      Ist das Trojanische Pferd TR/Gibi.AB
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '464ac0ba.qua' verschoben!


Ende des Suchlaufs: Freitag, 18. Juni 2010  14:17
Benötigte Zeit: 24:47 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

  7238 Verzeichnisse wurden überprüft
 197243 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 197242 Dateien ohne Befall
  1786 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise
  32093 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden
ud die erkennung anderer scaner ist extrem gestiegen, mittlerweile erkenen 14 statt 2 scanner die datei!
http://www.virustotal.com/de/analisi...29d-1276863705
Lg

markusg 18.06.2010 15:01
jo hab sie ja auch eingesendet.
ok, jetzt, um sicher zu gehen, poste eine neue otl.txt. also die extra.txt benötige ich nicht.

matthias2619 18.06.2010 15:06
otl ohne skript?

markusg 18.06.2010 15:39
jo, wie in meinem ersten post in diesem thread. die extras.txt kannst du dir sparen :-)

matthias2619 18.06.2010 21:10
hier ist der log!
http://www.file-upload.net/download-2608683/OTL.Txt.html
Lg

markusg 19.06.2010 10:42
ok, 3 einträge fehlen noch. noch mal bitte versuchen:


Fixen mit OTL

• Starte bitte die OTL.exe.
Vista-User mit Rechtsklick "als Administrator starten"
• Kopiere nun das Folgende in die Textbox.

:OTL
O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O4 - HKLM..\Run: [HKLM] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O4 - HKU\S-1-5-21-1085031214-492894223-839522115-1003..\Run: [HKCU] C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)
O7 - HKU\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: Policies = C:\WINDOWS\system32\install\winsrv (Gandke & Schubert GmbH)

:Files
C:\WINDOWS\system32\install\winsrv
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Run Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument dieses posten


danach neu starten und neue otl.txt hochladen.

matthias2619 19.06.2010 13:18
Code:
All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\HKLM deleted successfully.
C:\WINDOWS\system32\install\winsrv moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\HKLM not found.
C:\WINDOWS\System32\winsrv.dll moved successfully.
Registry value HKEY_USERS\S-1-5-21-1085031214-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run\\HKCU deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run\\Policies deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
Registry value HKEY_USERS\S-1-5-21-1085031214-492894223-839522115-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\\Policies deleted successfully.
File C:\WINDOWS\system32\install\winsrv not found.
========== FILES ==========
File\Folder C:\WINDOWS\system32\install\winsrv not found.
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: Administrator
 
User: All Users
 
User: Default User
 
User: LocalService
 
User: Matthias
->Flash cache emptied: 3015 bytes
 
User: NetworkService
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Matthias
->Temp folder emptied: 405087 bytes
->Temporary Internet Files folder emptied: 9580723 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 84643439 bytes
->Flash cache emptied: 0 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 483 bytes
RecycleBin emptied: 1330697582 bytes
 
Total Files Cleaned = 1.359,00 mb
 
 
OTL by OldTimer - Version 3.2.6.0 log created on 06192010_141336

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...
Lg

markusg 19.06.2010 13:39
ok jetzt nach neustart ne neue otl.txt erstellen und diese hier anhängen. einfach auf run scan klicken, nichts einfügen.

matthias2619 19.06.2010 13:59
auch nicht die einstellungen ändern?
LOP Prüfung, Purity Prüfung, alle Benutzer usw. ?
wenn ja dann ist das hier das log:
http://www.file-upload.net/download-...3/OTL.Txt.html
Lg

markusg 19.06.2010 14:14
reinige mit otcleanit:
http://oldtimer.geekstogo.com/OTM.exe
Klicke cleanup!
dein pc wird evtl. neu starten
programm löscht sich selbst, + die verwendeten tools
um dein system aktuell zu halten, nutze secunia.
http://www.trojaner-board.de/83959-secunia-personal-software-inspector-psi.html
nutze den ccleaner, bereinige auch die registry.
rechtsklick arbeitsplatz, eigenschaften, systemwiederherstellung, wähle auf allen laufwerken deaktivieren, klicke übernehmen.
warte bis der pc fertig ist mit arbeiten und schalte sie wieder ein, klicke übernehmen /ok
dann endere alle passwörter, nun haben wirs.

matthias2619 19.06.2010 14:38
OTM ist fertig!
Statt Secunia PSI nehm ich lieber SUMo, weil die Datenbank einfach riiiiiesig ist ;)
über 90000 programme laut chip!
secuia psi meines wissens nur 5000 programme!
Aber bei suno ist relevantknowledge dabei, adware!
kann man aber bei der installation abwählen!
systemwiederherstellung ist schon deaktiviert...haste mir schon mal befohlen ;)
was bringt es eigentlich wenn man die systemwiederherstellung deaktiviert, ausser speicherplatz?
Lg

matthias2619 20.06.2010 16:25
ich hab ein problem!
mei cd-rom-laufwerk funktioniert seit der bereinigung nicht mehr!
im geräte-manager ist da ein gelbes ausrufezeichen,
wenn ich auf eigenschaften drücke steht da:
Code:
Dieses Hardwaregerät kann nicht gestartet werden, da dessen Konfigurationsinformationen (in der Registrierung) unvollständig oder beschädigt sind. (Code 19)

Klicken Sie auf "Problembehandlung", um die Problembehandlung für dieses Gerät zu starten.
Mein cd-rom-laufwerk heißt "Pioneer DVD-RW DVR-K17A"
Bitte um hilfe!
Lg

markusg 20.06.2010 16:38
versuche mal folgendes:
Tipparchiv - CD-ROM verschwunden oder Code 19 im Gerätemanager - WinTotal.de


Alle Zeitangaben in WEZ +1. Es ist jetzt 17:17 Uhr.
Seite 6 von 7 « Erste 45 6 7
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131