|
Neuinstallation nach TR/Cryptet.xpack.gen2 und Rootkit Viren, Schädlinge immer noch vorhanden Hallo an Alle, Ich habe ein Großes Problem und hoffe, dass ich hier ein wenig hilfe finde. Ich selbst bin mit meinem Latein am ende. Ich hatten auf Meinem Acer Laptop (WinXP SP3, Avira) Mehere Schädlinge. Den TR/Cryptet.Xpack.gen2 nen Rootkit.tdl3 und nen TDSS.tdl4 Ich hatte diese mit Hilfe von Kaspersky TDSS.Killer und einem anderen Tool dessen Namen ich nicht mehr weiss gelöscht. Um auf Nummer sicher zu gehen habe ich heute mein System mit der Acer Wiederherstellungskonsole auf der Gesperrten Partition wiederhergestellt. Einige Dateien die mir aber während der suche nachen den anderen Schädlingen aufgefallen sind, sind aber wieder vorhanden, das Internet is nach wie vor lahm, und ich muss manche Seiten teilweise 30 eingeben um darauf zugreifen zu können. Es wurde damals auch ein Trojaner in C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Lyloel\rici.exe gefunden Die Dateien die mir nach dem Neuaufsetzen direkt aufgefallen sind sind : In C:\Windows\Temp\CLML_AGENT_LOG1.txt C:\Windows\Temp\sqlite_MuhQ9l6YU9gkTdj wobei sqlite_ mehrfach vorkommt mit verschiedenen zufälligen endungen Diese Dateien kann ich nicht verschieben und Löschen, beim Löschen, entsteht sofort eine neue sqlite Datei mit anderer Endung, und es wird ein Ordner erstellt, der sofort von Avirs als TR/Cryptet.Xpack.gen2 erkannt wird. Diese waren vor dem Formatieren auch schon vorhanden und machten Ärger. Was mir gerade noch Einfällt, ich habe mein System mit Antivir, NAV, Malwarebytes und OTL gesannt und keine der Scanner hat damals was gefunden. Leider habe ich keine Logs mehr, da ich davon ausgeganen bin, dass dieses Problem nach dem Neuaufsetzen verschwunden ist. Dem ist aber wohl nicht so. Mein Anliegen wäre, mit Fachkundiger Hilfe das System erst mal Entwurmen um es dann komplett neuaufzusetzen. Soweit ist das alles was mir gerade einfällt. Sollte ich was vergessen haben, bitte nicht schlagen, ich doch neu hier ;-) Ich mache gerade einen Systemscan mit Mbam und OTL, die Logs hänge ich an, sobald sie fertig sind. Und jetz Bendanke ich micht schon mal im Vorraus für jeden Fetzen Hilfe den ich kriegen kann. Schönen Abend noch. Edit: Habe jetze noch ein HijackThis Log angehängt, ich hoffe damit schon ein wenig arbeit vorneweggenommen zu haben. Ich werden jetz noch andere Scanner drüberlaufenlassen. Die logs Speichern und auf das Fixen vorerst noch verzichten. |
Hallo, ich habs schon ein paar mal erlebt, dass durch das Recovern keiner neuer MBR geschrieben wurde. Wenn der auch infiziert wurde bringt das Recovern nicht viel. Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Hallo Cosinus und Danke für die Hilfe Ich habe das Programm ausgeführt. Er Meldet einen Infizierten MBR Ich habe 3 Möglichkeiten, welche soll ich nehmen? 1 Dump the Infectet File 2 Restore 3 Exit Bei 2 Fragt er nach einer nummer des Physikalischen Datenträgers, was ist das? Mfg |
Sorry für Doppelpost. Es braucht, ca 20 anläufe bis ich meine Posts schicken kann, manche kommen scheinbar doch durch obwohl es mir einen abbruch anzeigt. Also ich hab jetz folgendes ausgeführt. MBR.check - Auf fix - die 2 Partitionen meiner Platte - und dort die 1 für XP Code: MBRCheck, version 1.2.3Edit: So ich hab als letzte Aktion für heute den MBRCheck zur sicherheit nochmal aufgeführt und siehe da, der Infizierte MBR ist immer noch da und lässt sich nicht ändern ( Ich habe MBRCheck 5x ausgeführt, jeweils mit Neustart, jedesmal meldet das Programm Size Device Name MBR Status -------------------------------------------- 111 GB \\.\PhysicalDrive0 Unknown MBR code SHA1: 6A37CCD118436B688B51F6BD4C2B47A895EBDF7F 465 GB \\.\PhysicalDrive1 MBR Code Faked! SHA1: EE090A7417B01D4EA752D4996173A8477699C9C6) was auch nicht stimmen kann, da ich nur eine 120GB Hdd verbaut habe. Danke und Gute Nacht allerseits! |
Zitat:
Die andere Platte könnte eine 500GB ext. Platte sein. Um den MBR zu fixen: Am besten du installierst dir die Wiederherstellungskonsole. Wenn du eine Windows-XP-CD hast, kannst du diese davon installieren oder direkt die WHK von der CD starten. Wenn du keine CD hast, können wir mit Combofix die WHK installieren: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Guten Morgen. Hab heute früh erstmal den MBRCheck nochmal laufen lassen. Diesesmal fand er keinen Infekt mehr, sondern nur noch einen ungültigen MBR. Log kann ich posten, falls erwünscht. Dannach hab ich CCleaner ausgeführt. Und Combofix ( Jetzt wo du den Namen sagtes, ist mir wieder eingefallen, dass dieses Programm vor der Neuinstallation, das Programm war das die Schadsoftware als einziges gefunden hatte. Leider aber scheinbar nicht entfernen konnte.) Hier der Log Code: ComboFix 11-01-12.03 - MoC 13.01.2011 7:11.1.2 - FAT32x86MfG MoC-Man |
Starte den Rechner neu und wähle im Bootmenü die Wiederherstellungskonsole aus. Tipp dort den Befehl fixmbr ein (dann Enter, mit j bestätigen) danach den Befehl fixboot (dann Enter, mit j bestätigen) Mit exit (dann enter drücken) wird der Rechner neu gestartet. Führe im normalen Windowsmodus mbrcheck nochmals aus und poste das neue Log. |
Mahlzeit, So habe alles Ausgeführt. MBRCheck scheint nun gut zu sein. Log Code: MBRCheck, version 1.2.3Is es besser das ganze System mit CD neu aufzusetzen, habe jetzt bei Acer die RecoveryCDs angefordert, da ich der Partition nicht mehr so wirklich vertraue. Beste Grüße |
Mit CDs ist schon ein bisschen sicherer. Achte darauf, dass die Systempartition NTFS bekommt, die ist jetzt bei dir nur FAT32. |
Also, ein rießen Dankeschön, von meiner Seite. Ich hoffe das wars jetzt. Die CDs bekomm ich leider erst im laufe der nächsten Tage, ich werde das System vorher einfach mal von der Partition neuinstallieren und mal kucken wies ausschaut. Das System hatte ich schon mal auf NTFS, keine Ahnung warum das wieder FAT ist, aber ist ja zum glück kein Thema das zu ändern. Was mich aber immer noch beunruhigt sind diese 2 Dateien, die ich in C:\Windows\Temp habe. s.O. Ich habe ein wenig gegooglt und habe gelesen, dies sollten Dateinbank archive sein, die Trojaner dazu verwenden Passwörter und LoginID zu Sammeln und an den Hacker zu schicken, das macht mich ein wenig nervös. Firefox und McAffe sollen diese Dateien zwar ebenfalls nutzen, ich hatte aber nach dem Neuaufsetzen keines von beiden Installiert. mfg MoC-Man |
Zitat:
1) Start, Ausführen, cmd eintippen und ok |
Hallo, ich bins nochmal. Leider nicht von meinem PC aus. Wollte nur schnell eine kleine ergänzung schreiben,für alle die das gleiche problem haben und vielleicht hier mitlesen. Wenn man den MBR und die ersten Bootsektoren fixt, kann man nicht mehr von der versteckten sicherheits partition booten um Windows neu aufzusetzen, da diese Infos scheinbar im MBR gespeichter werden. Warte nun auf meine Recovery Discs. Mfg |
Zitat:
|
Freut mich auch etwas nützliches an die allgemeinheit weitergegeben zu haben. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 04:43 Uhr. |
Copyright ©2000-2025, Trojaner-Board