|
Adware.Agent und TR/Trash.Gen Trojan gefunden und bei Gmer was falsch gemacht :-( Hallo trojaner-board.de, ich benötige Eure Hilfe, um meinen Rechner wieder zu säubern. Vor ca. 2 Wochen wurde mein Rechner langsamer brach des Öfteren bei einem Facebook-Game zusammen. Meine Freundin klickte im Internet herum, um "automatische Hilfsprogramme" zu nutzen. Dabei (oder vielleicht auch schon vorher) ging wohl was schief ;-( BEVOR ich auf Eurem Forum nach Hilfe gesucht habe, habe ich folgendes getan: Ich habe Malwarebytes Anti-Malware (MBAM) mit dem aktuellsten Update am 05.02.2011 ein Full System Scan laufen lassen, wobei 2 Infektionen mit Trojan.Agent gefunden, quarantiert und gelöscht wurden. Ich werde den Log-File dazu unten anhängen. Im nächsten Schritt fuhr ich meinen Rechner runter und wieder hoch. Außerdem verwende ich "Avira Antivirus Personal - Free Antivirus" mit dem aktuellsten Update. Auch dieses Programm habe ich einen Scan durchlaufen lassen und es hat 2 Infektionen mit TR/Trash.Gen gefunden - obwohl MBAM nichts mehr gefunden hatte. Das lässt mich vermuten, dass vermutlich noch mehr auf dem Rechner ist, das weder von MBAM noch Avira gefunden werden kann. Ich werde auch diesen Log weiter unten anhängen. Nach erneutem runter- und wieder hochfahren, hörte ich den Rechner (noch vor dem passwortgeschützten Log-In) auf der Festplatte wie wild schreiben, was auch durch die gelbe LED am Gehäuse des Rechners angezeigt wurde. Normalerweise fängt mein Rechner erst nach dem Windows-Log-In an, die benötigten Programme hoch zu laden und dementsprechend auf der Festplatte rum zu knuspern. Wie gesagt, dies geschah noch vor dem Log-In und da nach 8 Minuten noch immer nicht Schluss war damit, habe ich mich eingeloggt und im Windows Task Manager nachgeschaut, welcher Prozess dort außergewöhnlich viel Memory Usage verursacht. Es war mit über 90MB das Programm AVscan.exe. Da zu diesem Zeitpunkt Avira noch gar nicht gestartet hatte, habe ich SOFORT einen kompletten Systemscan mit Avira angefangen und avscan.exe gesellte sich mit ca. 35MB Mem Usage in den Windows Task Manager hinzu - welchen Prozess ich auch sofort wieder abbrach. Anschließend versuchte ich den AVscan.exe Prozess abzubrechen, was mir nicht gelang. Ich bekam eine "Access Denied"-Nachricht. Beim nächsten Hochfahren meines Rechners, schien alles wieder normal zu laufen, allerdings fehlte meine Schnellstartleiste, die ich dann wieder hergestellt habe - aber sie sieht jetzt nicht mehr so aus, wie ich sie vor dem Viren oder Trojaner Angriff eingerichtet hatte. Wie gesagt, ich gehe davon aus, dass da noch was auf meinem Rechner ist, was da nicht so hingehört. NACHDEM ich auf Eurem Forum nach Hilfe gesucht habe, habe ich die Anleitung Load.exe von Larusso befolgt. Ich habe MBAM geupdated, mit Quick Scan erneut laufen lassen - ohne Fund. Diesen Log werde ich hier aber nicht posten, sondern den Log vom 05.02. Ist das so in Ordnung? Ein anderer Unterschied zur Anleitung ist, dass Defogger nachdem ich bei FINISHED auf OK geklickt habe mich nicht zu einem Neustart aufgefordert hatte. Ich habe daher manuell einen Neustart durchgeführt... So, dann ging bei mir was schief!!! Da die Anleitung für Schritt 5 (Gmer) auf mehrere Seiten ausgedruckt wurde, habe ich den Hinweis, den Haken neben IAT/EAT zu entfernen erst ca. 45 Sekunden nach Programmstart gelesen :-( Autsch! Ich habe den Vorgang dann abgebrochen, den Haken entfernt und dann wieder auf Scan geklickt. Keine Ahnung, ob und was dabei passiert ist. Ich vermute aber, dass das, was da passiert ist, nicht gut war! Habe nach Speichern der Gmer.txt den Rechner runtergefahren und wieder gestartet. Normalerweise dauert das so um die 2 1/2 Minuten. Dieses mal hat es 17 Minuten gedauert - kam mir vor wie 2 Stunden!!! Der Rechner ist nun RICHTIG langsam... Der erneute reboot dauerte dann nur noch 14 Minuten. Irgendwas stimmt einfach nicht. Beim Aufrufen von OTL dauert es etwas, bis es angezeigt wird. Wenn ich in das Fenster klicke werde ich nicht gefragt, ob ich eine Datei einfügen will. Ich habe daher manuell die Scan.txt-Datei geöffnet und den Text in die Box eingefügt und anschließend auf Quick Scan geklickt. Ich hoffe, dass das richtig war... Wie ich jetzt auch noch feststllen muss, wurden die Sound-Einstellungen meines Rechenrs verstellt. Vielleicht ist das aber normal und soll so sein? Ich würde mich über Eure Hilfe RIESIG freuen!!! Opel-Vectra PS: Mir faellt gerade noch ein, dass ich vor ca. 2 Wochen Skype installiert habe. Koennte es sein, dass mein Rechenr dadurch infiziert wurde??? PSS: Mein System ist Win_XP 32 bit mit Service Pack 3 ############################################# ###### MBAM logfile - Anfang ################ ############################################# Malwarebytes' Anti-Malware 1.50.1.1100 www.malwarebytes.org Database version: 5682 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 05.02.2011 04:54:14 mbam-log-2011-02-05 (04-54-14).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 272944 Time elapsed: 1 hour(s), 11 minute(s), 31 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 2 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: c:\system volume information\_restore{4e015214-6bb0-4181-b365-456cf1dec069}\RP69\A0015219.exe (Adware.Agent) -> Quarantined and deleted successfully. c:\zz downloads\aviplayersetup_3-0.exe (Adware.Agent) -> Quarantined and deleted successfully. ############################################# ######## MBAM logfile - Ende ################ ############################################# ############################################# ###### AVIRA logfile - Anfang ############### ############################################# Avira AntiVir Personal Report file date: Samstag, 5. Februar 2011 08:25 Scanning for 2456743 virus strains and unwanted programs. The program is running as an unrestricted full version. Online services are available: Licensee : Avira AntiVir Personal - FREE Antivirus Serial number : 0000149996-ADJIE-0000001 Platform : Windows XP Windows version : (Service Pack 3) [5.1.2600] Boot mode : Normally booted Username : SYSTEM Computer name : EMACHINE Version information: BUILD.DAT : 10.0.0.611 31824 Bytes 1/14/2011 13:42:00 AVSCAN.EXE : 10.0.3.5 435368 Bytes 12/9/2010 22:10:59 AVSCAN.DLL : 10.0.3.0 46440 Bytes 4/19/2010 11:55:10 LUKE.DLL : 10.0.3.2 104296 Bytes 12/9/2010 22:11:00 LUKERES.DLL : 10.0.0.1 12648 Bytes 2/11/2010 04:40:49 VBASE000.VDF : 7.10.0.0 19875328 Bytes 11/6/2009 14:05:36 VBASE001.VDF : 7.11.0.0 13342208 Bytes 12/14/2010 15:06:20 VBASE002.VDF : 7.11.0.1 2048 Bytes 12/14/2010 15:06:20 VBASE003.VDF : 7.11.0.2 2048 Bytes 12/14/2010 15:06:20 VBASE004.VDF : 7.11.0.3 2048 Bytes 12/14/2010 15:06:21 VBASE005.VDF : 7.11.0.4 2048 Bytes 12/14/2010 15:06:21 VBASE006.VDF : 7.11.0.5 2048 Bytes 12/14/2010 15:06:21 VBASE007.VDF : 7.11.0.6 2048 Bytes 12/14/2010 15:06:21 VBASE008.VDF : 7.11.0.7 2048 Bytes 12/14/2010 15:06:21 VBASE009.VDF : 7.11.0.8 2048 Bytes 12/14/2010 15:06:21 VBASE010.VDF : 7.11.0.9 2048 Bytes 12/14/2010 15:06:22 VBASE011.VDF : 7.11.0.10 2048 Bytes 12/14/2010 15:06:22 VBASE012.VDF : 7.11.0.11 2048 Bytes 12/14/2010 15:06:22 VBASE013.VDF : 7.11.0.52 128000 Bytes 12/16/2010 15:06:23 VBASE014.VDF : 7.11.0.91 226816 Bytes 12/20/2010 15:06:26 VBASE015.VDF : 7.11.0.122 136192 Bytes 12/21/2010 15:06:27 VBASE016.VDF : 7.11.0.156 122880 Bytes 12/24/2010 15:06:28 VBASE017.VDF : 7.11.0.185 146944 Bytes 12/27/2010 15:06:30 VBASE018.VDF : 7.11.0.228 132608 Bytes 12/30/2010 15:06:31 VBASE019.VDF : 7.11.1.5 148480 Bytes 1/3/2011 04:22:30 VBASE020.VDF : 7.11.1.37 156672 Bytes 1/7/2011 04:22:32 VBASE021.VDF : 7.11.1.65 140800 Bytes 1/10/2011 04:22:33 VBASE022.VDF : 7.11.1.87 225280 Bytes 1/11/2011 04:22:35 VBASE023.VDF : 7.11.1.124 125440 Bytes 1/14/2011 04:22:37 VBASE024.VDF : 7.11.1.155 132096 Bytes 1/17/2011 10:19:18 VBASE025.VDF : 7.11.1.189 451072 Bytes 1/20/2011 14:18:44 VBASE026.VDF : 7.11.1.230 138752 Bytes 1/24/2011 14:18:45 VBASE027.VDF : 7.11.2.12 164352 Bytes 1/27/2011 14:18:47 VBASE028.VDF : 7.11.2.43 178176 Bytes 2/1/2011 14:18:49 VBASE029.VDF : 7.11.2.78 206336 Bytes 2/4/2011 14:18:51 VBASE030.VDF : 7.11.2.79 2048 Bytes 2/4/2011 14:18:51 VBASE031.VDF : 7.11.2.80 2048 Bytes 2/4/2011 14:18:51 Engineversion : 8.2.4.162 AEVDF.DLL : 8.1.2.1 106868 Bytes 8/3/2010 00:51:38 AESCRIPT.DLL : 8.1.3.53 1282427 Bytes 2/5/2011 14:19:18 AESCN.DLL : 8.1.7.2 127349 Bytes 11/24/2010 12:09:10 AESBX.DLL : 8.1.3.2 254324 Bytes 11/24/2010 12:09:15 AERDL.DLL : 8.1.9.2 635252 Bytes 9/22/2010 09:27:09 AEPACK.DLL : 8.2.4.9 512374 Bytes 2/5/2011 14:19:14 AEOFFICE.DLL : 8.1.1.16 205179 Bytes 2/5/2011 14:19:11 AEHEUR.DLL : 8.1.2.73 3207541 Bytes 2/5/2011 14:19:10 AEHELP.DLL : 8.1.16.1 246134 Bytes 2/5/2011 14:18:57 AEGEN.DLL : 8.1.5.2 397683 Bytes 2/5/2011 14:18:55 AEEMU.DLL : 8.1.3.0 393589 Bytes 11/24/2010 12:08:52 AECORE.DLL : 8.1.19.2 196983 Bytes 2/5/2011 14:18:53 AEBB.DLL : 8.1.1.0 53618 Bytes 5/3/2010 02:57:48 AVWINLL.DLL : 10.0.0.0 19304 Bytes 1/14/2010 17:03:38 AVPREF.DLL : 10.0.0.0 44904 Bytes 1/14/2010 17:03:35 AVREP.DLL : 10.0.0.8 62209 Bytes 2/18/2010 21:47:40 AVREG.DLL : 10.0.3.2 53096 Bytes 11/7/2010 01:36:56 AVSCPLR.DLL : 10.0.3.2 84328 Bytes 12/9/2010 22:11:00 AVARKT.DLL : 10.0.22.6 231784 Bytes 12/9/2010 22:10:56 AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 1/26/2010 14:53:30 SQLITE3.DLL : 3.6.19.0 355688 Bytes 1/28/2010 17:57:58 AVSMTP.DLL : 10.0.0.17 63848 Bytes 3/16/2010 20:38:56 NETNT.DLL : 10.0.0.0 11624 Bytes 2/19/2010 19:41:00 RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 1/28/2010 18:10:20 RCTEXT.DLL : 10.0.58.0 97128 Bytes 11/7/2010 01:36:54 Configuration settings for the scan: Jobname.............................: Complete system scan Configuration file..................: c:\program files\avira\antivir desktop\sysscan.avp Logging.............................: low Primary action......................: interactive Secondary action....................: ignore Scan master boot sector.............: on Scan boot sector....................: on Boot sectors........................: C:, D:, Process scan........................: on Extended process scan...............: on Scan registry.......................: on Search for rootkits.................: on Integrity checking of system files..: off Scan all files......................: All files Scan archives.......................: on Recursion depth.....................: 20 Smart extensions....................: on Macro heuristic.....................: on File heuristic......................: medium Start of the scan: Samstag, 5. Februar 2011 08:25 Starting search for hidden objects. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\NtmsSvc\Config\Standalone\drivelist [NOTE] The registry entry is invisible. The scan of running processes will be started Scan process 'msdtc.exe' - '40' Module(s) have been scanned Scan process 'dllhost.exe' - '45' Module(s) have been scanned Scan process 'vssvc.exe' - '48' Module(s) have been scanned Scan process 'avscan.exe' - '65' Module(s) have been scanned Scan process 'avcenter.exe' - '63' Module(s) have been scanned Scan process 'TrayMin700.exe' - '24' Module(s) have been scanned Scan process 'jusched.exe' - '22' Module(s) have been scanned Scan process 'WrtProc.exe' - '18' Module(s) have been scanned Scan process 'avgnt.exe' - '53' Module(s) have been scanned Scan process 'vphc700.exe' - '17' Module(s) have been scanned Scan process 'alg.exe' - '33' Module(s) have been scanned Scan process 'WrtMon.exe' - '18' Module(s) have been scanned Scan process 'OpwareSE4.exe' - '16' Module(s) have been scanned Scan process 'dllhost.exe' - '59' Module(s) have been scanned Scan process 'zHotkey.exe' - '33' Module(s) have been scanned Scan process 'RTHDCPL.EXE' - '36' Module(s) have been scanned Scan process 'readericon45G.exe' - '26' Module(s) have been scanned Scan process 'ehtray.exe' - '29' Module(s) have been scanned Scan process 'mcrdsvc.exe' - '28' Module(s) have been scanned Scan process 'svchost.exe' - '36' Module(s) have been scanned Scan process 'svchost.exe' - '28' Module(s) have been scanned Scan process 'jqs.exe' - '33' Module(s) have been scanned Scan process 'ehSched.exe' - '19' Module(s) have been scanned Scan process 'ehRecvr.exe' - '42' Module(s) have been scanned Scan process 'Explorer.EXE' - '97' Module(s) have been scanned Scan process 'Ati2evxx.exe' - '22' Module(s) have been scanned Scan process 'sched.exe' - '50' Module(s) have been scanned Scan process 'spoolsv.exe' - '55' Module(s) have been scanned Scan process 'svchost.exe' - '32' Module(s) have been scanned Scan process 'svchost.exe' - '157' Module(s) have been scanned Scan process 'svchost.exe' - '30' Module(s) have been scanned Scan process 'svchost.exe' - '38' Module(s) have been scanned Scan process 'svchost.exe' - '33' Module(s) have been scanned Scan process 'Ati2evxx.exe' - '14' Module(s) have been scanned Scan process 'avshadow.exe' - '25' Module(s) have been scanned Scan process 'avguard.exe' - '54' Module(s) have been scanned Scan process 'lsass.exe' - '58' Module(s) have been scanned Scan process 'services.exe' - '27' Module(s) have been scanned Scan process 'winlogon.exe' - '68' Module(s) have been scanned Scan process 'csrss.exe' - '12' Module(s) have been scanned Scan process 'smss.exe' - '2' Module(s) have been scanned Starting master boot sector scan: Master boot sector HD0 [INFO] No virus was found! Master boot sector HD1 [INFO] No virus was found! Master boot sector HD2 [INFO] No virus was found! Master boot sector HD3 [INFO] No virus was found! Master boot sector HD4 [INFO] No virus was found! Start scanning boot sectors: Boot sector 'C:\' [INFO] No virus was found! Boot sector 'D:\' [INFO] No virus was found! Starting to scan executable files (registry). The registry was scanned ( '1800' files ). Starting the file scan: Begin scan in 'C:\' C:\System Volume Information\_restore{4E015214-6BB0-4181-B365-456CF1DEC069}\RP93\A0020735.exe [DETECTION] Is the TR/Trash.Gen Trojan Begin scan in 'D:\' Beginning disinfection: C:\System Volume Information\_restore{4E015214-6BB0-4181-B365-456CF1DEC069}\RP93\A0020735.exe [DETECTION] Is the TR/Trash.Gen Trojan [NOTE] The file was moved to the quarantine directory under the name '4e0fa985.qua'. End of the scan: Samstag, 5. Februar 2011 20:52 Used time: 1:15:28 Hour(s) The scan has been done completely. 10000 Scanned directories 447755 Files were scanned 1 Viruses and/or unwanted programs were found 0 Files were classified as suspicious 0 files were deleted 0 Viruses and unwanted programs were repaired 1 Files were moved to quarantine 0 Files were renamed 0 Files cannot be scanned 447754 Files not concerned 14759 Archives were scanned 0 Warnings 1 Notes 462764 Objects were scanned with rootkit scan 1 Hidden objects were found ############################################# ######## AVIRA logfile - Ende ############### ############################################# ############################################# ##### defogger_disable.log - Anfang ######### ############################################# defogger_disable by jpshortstuff (23.02.10.1) Log created at 10:17 on 08/02/2011 (Owner) Checking for autostart values... HKCU\~\Run values retrieved. HKLM\~\Run values retrieved. Checking for services/drivers... -=E.O.F=- ############################################# ##### defogger_disable.log - Ende ########### ############################################# ############################################# ########### Gmer.txt - Anfang ############### ############################################# GMER Logfile: Code: GMER 1.0.15.15530 - hxxp://www.gmer.net############################################# ########### Gmer.txt - Ende ################# ############################################# ############################################# ########### OTL.txt - Anfang ################ #############################################OTL Logfile: Code: OTL logfile created on: 08.02.2011 13:09:57 - Run 1############################################# ############### OTL.txt - Ende ############ ############################################# ############################################# ######## Extras.txt Anfang ################# #############################################OTL Logfile: Code: OTL Extras logfile created on: 08.02.2011 13:09:57 - Run 1############################################# ########## Extras.txt Ende ################# ############################################# |
Zitat:
Sag Bescheid wenn ZA weg ist. |
Hallo Arne, Danke fuer Deine schnelle Antwort. Gestern Nachmittag, als ich von meinem Rechner aus nachschauen wollte, ob es eine Antwort auf mein Posting gab, hat der Rechner so ca. ein mal in der Minute fleissig auf der Festplatte rumgeknuspert fuer ca. 10 bis 15 Sekunden. Nach einiger Zeit hat sich der Rechner aufeinmal ausgeschaltet und fing an unverzueglich wieder hoch zu fahren. Nach 8 Minuten (und 7 Sekunden) erschien endlich wieder das Log-In-Menue und ich gab mein Passwort ein. Waehrend des weiteren Hochfahrens stuerzte der Rechner wieder ab bevor mein Desktop angezeigt wurde und startete selber wieder hoch. ch habe ihn dann vom Log In Screen runtergefahren und seitdem nicht mehr angefasst... Ich habe jetzt einen Labftop von einem Bekannten (leider ohne deutsche Tastatur oder Rechtschreiberkennung - Sorry!). Nun habe ich einige Fragen: 1.) Hat der lange Ladevorgang und das jetzige Abstuerzen damit etwas zu tun, dass ich den Haken bei Gmer unter IAT/EAT nicht entfernt habe? Wenn ja, ist da was zu reparieren? 2.) Ich habe nun Angst den Rechner wieder normal hoch zu fahren. Sollte ich ihn im Safe Mode hochfahren? Wenn ja mit oder ohne Internet Connection? In Safe Mode kann man doch Software deinstallieren, oder? Vielen Dank Dirk |
Ja abgesicherter Modus sollte auch gehen. |
Arne ZA ist deinstalliert. Windows Firewall laesst sich nicht einrichten. Oder liegt das am abgesicherten Modus? Die Meldungen dazu lauten "Windows Firewall settings cannot be displayed because the associated service is not running. Do you want to start the Windows Firewall/Internet Connection Sharing (ICS) service?" Hab auf "Yes" geklickt. Anschliessend kam Windows cannot start the Windows Firewall/ICS service". Haettest Du einen Vorschlag? Will ja nicht ohne Firewall ins Internet, oder? Sollte ich a) versuchen im Safemode mit Internet connection die Windows Firewall zu installieren? b)versuchen den Rechner normal hochzufahren und die Firewall dann einzurichten? c) oder was ganz anderes machen? d) ich koennte ja a) oder b) auch mit herausgezogenem Internetkabel machen... Hmm??? ich warte erstamal ab, was Du empfielst. Ich weiss, dass Du viel, sehr viel zu tun hast, koenntest Du mir aber trotzdem bitte kurz verraten, ob oder wieviel von meinen Problemen mit dem Haken vor IAT/EAT zu tun haben - oder n link schicken, wo ich das nachlesen koennte. Das ware echt super! Aehm, bestimmt wirst Du spaeter nach weiteren MBAM logs fragen. Davon habe (oder hatte) ich 69 oder 70 auf meinem Rechner - 10 davon mit infektionen. Wenn es soweit ist, sag mir bitte, ob Du all oder nur die positiven haben moechtest. |
Das liegt am abgesicherten Modus. Im normalen Modus läuft sie. POste bei so vielen Logs von MBAM nur die mit Funden. |
Arne, Danke Dir fuer Deine superschnelle Antwort! Muss jetzt los zur Arbeit, komme erst, wenn es in Deutschland schon nach Mitternacht ist, wieder nach Hause... Dann werde ich versuchen, den Rechner normal hochzufahren bei gekappter Internetverbindung, dann die Firewall einrichten, wieder mit Internetverbindung hochfahren und die Logs posten... Da ich dann viel Zeit haben werde koennte ich nochmals MBAM updaten und einen neuen FullScan laufen lassen. Kann ja nicht schaden, oder? |
okay, habe den Rechner hochgefahren und dann eine schwarzes Feld, welches C:document~\Admin\...Cpes.clean_launcher.exe fuer so ca. eine halbe Minute auf dem Bildschirm gesehn. Anschliessend oeffnete sich ein Windowsfenster mit der Nachricht "The system has recovered from a serious error. A log of this error has been created..." Keine Ahnung wo dieser Log zu finden waere und ob er hier interessant/wichtig waere. Habe auch die Firewall installiert und habe unter dem Reiter "Allgemein" "Aktiv" gewaehlt. Ich hoffe, dass das so richtig ist. Haette ich einen Haken vor "Keine Ausnahmen zulassen setzen sollen? Bin mir beim Reiter "Ausnahmen" aber nicht sicher, was ich freigeben muss - hab mal alles ausgeschaltet. Die optionen waeren: a) Adobe Photoshop b) AOL Application Loader c) File and Printer Sharing d) Network Diagnostics for Windows XP e) Remote Assistance f) Remote Assistance - Windows Messanger g) Remote Desktop h) Skype i) Skype Extras Manager j) UPnP Framework k) vsmon l) Windows Live Call m) Windows Live Messanger n) Windows Messanger o) Windows Remote Management Koenntest Du mir vielleicht sagen, welche von denen ich minimal freigeben muss, damit ich ins Internet kann und die Logs von meinem Rechner posten kann? Wuerde mich unheimlich darueber freuen. Dirk |
Standardeinstellungen der Windows-Firewall unter XP reichen völlig, es werden zB eingehende Zugriffe auf die Datei- und Druckerfreigabe verhindert. Das reicht auch völlig. Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Danke, Arne, dass Du noch so spaet am Rechner bist und mir hilst, finde ich echt SUPER!!! Ich werde es abarbeiten und dann auch die MBAM logs einstellen. Dass der CCleaner schon auf englisch installiert ist, macht ja wohl hoffentlich nichts. Und natuerlich weiss ich, dass ich die aktuellste Version brauche. Vielen Dank nochmal, dass Du noch wach bist!!! |
Sorry, da bin ich noch mal. Mein Rechner teilte mir mit, dass 9 Security Updates installieren wuerde. Ist es eine gute Idee das gedownloadedte Update fuer XP durchfuehren zu lassen? |
Hallo Arne, wie vorhin nachgefragt, habe ich einfach mal die Sicherheitsupdates installieren lassen (mit angeschlossenem US-Cable-Modem). Leider kam es da aber so ziemlich genau 1 Stunde (waehrend der Installation von Cumulative Security Update IE8 for Win XP ) (update 4 von 9) nachdem ich den Rechner gestartet hatte zu einem Absturz (der Bildshirm ging einfach aus und der Rechner fing unverzueglich an, automatisch zu booten. Nach etwas ueber 8 Minuten erschien endlich der Log-In-Screen und ich gab das Passwort fuer den Rechner ein. Der “welcome” screen erschien mit “Loading your personal setting...” und der Bildschirm ging wieder aus und der PC begann erneut zu booten. Das habe ich durch F8 in den Safe Mode umgeleitet. Im Safe Mode habe ich den CCleaner (Version 3.03.1366) laufen lassen. Alles OK – mit marginaler Ausbeute. Beim RegistryCleaner wurde ich gefragt, ob ich die Aenderungen mit einem Backup absichern wollte – hab' ich getan. Ich liess ihn 4 mal durchlaufen, bis nichts mehr gefunden wurde. Anschliessend fuhr ich den Rechner runter, startete ihn wieder und nach 8 Minuten und 1 Sekunde (Stopuhr!) wieder Passwort eingegeben und sofort wieder das Gleiche wie vorhin: schwarzer Bildschirm und automatisches booten. Nach weiteren 8 Minuten hab' ich den Off-Button betaetigt, den Rechner heruntergefahren, Internetverbindung gekappt, neu gestartet und nach erneut 8 Minuten und 2 Sekunden mich einloggen koennen und der Rechner lief nun wieder – extrem laaaangsam aber ich konnte so zumindest die Automatic Windows Updates installieren. Das hat ueber eine Stunde gedauert. Anschliessend PC reboot – weiterhin ohne Internetanbindung. CCleaner standartmaessig durchlaufen lassen – mit meinen eigenen Einstellungen (ALLES im Windows-Reiter angeklickt) und es wurden – im Vergleich zu den vorgeschlagenen und nur im Safe-Mode verfuegbaren Einstellungen – weiterer Crap (49MB) entfernt. Da das sichere Loeschen des freien Speichers ueber 13 Stunden benoetigen wuerde habe ich das abgebrochen. Anschliessend habe ich RegistryCleaner laufen lassen bis nach 3 Durchlaeufen auch hier keine Fehler mehr gefunden wurden. Habe den Rechner anschliessend runtergefahren, Kabel-Modem wieder angeschlossen, Rechner hochgefahren und der Rechner stuerzte wieder nach dem Log-In ab. Modem gekappt, hochgefahren. Kein Problem. Modem in den USB-port gesteckt und nachdem es erkannt wurde, stuerzte der Rechner nach ca. 1 Minute wieder ab. WTF?! Stellt sich mir die Frage: wie kann das sein – oder besser: hast Du eine Idee was ich nun machen koennte? Liegt es am Modem? Wenn es daran liegen sollte, koennte ich Combofix ja auf einen Memorystick ueber diesen Laptop laden und den dann in meinem Rechner benutzen. Hmm, hoert sich nicht so gut an, da ich diesen Labtop nicht kenne und nicht weiss, was da sonst so drauf ist – hab' auch keine Admin-Kennung dafuer – und ich moechte die Infektionen ja weder von mir auf den Labtop meiner Bekannten ueberspielen und auch mir nicht noch mehr von denen einholen... Hab auch noch mal den Rechner wieder ohne Modem hochgefahren und mir den Windows Task manager angeschaut. Dort sind ueber 90% von dem Prozess System Idle Process von dem User „System“ genutzt. Ist das normal? Und nochmal gefragt: haben die Bootzeit von ueber 8 Minuten zum Log-In und 14 Minuten zum Desktop sowie die langsame Performance (oder einiges davon) vielleicht damit zu tun, dass ich den Haken bei IAT/EAT in Gmer nicht entfernt habe? Oder was bewirkt der Haken dort, wenn man ihn nicht wegnimmt? Bitte, bitte, Arne, ich weiss dass Du richtig viel zu tun hast und mit ueber 50 Postings am Tag 'ner Menge Leute richtig viel hilfst. Sag mir bitte bescheid, falls Dir meine langen Ausfuehrungen aber zu viel sind und ich zu viel frage (ich bin sicher, dass die meisten Fragen fuer Dich alt und unwichtig sind, da Du sie bestimmt staendig hoerst – aber ich bin besorgt...)! Danke PS. Hier noch die Microsoft Windows Error signature, die ich nach dem Crash wieder angezeigt bekommen habe: BCCode : 1000007f BCP1 : 00000008 BCP2 : F797AD70 BCP3 : 00000000 BCP4 : 00000000 OSVer : 5_1_2600 SP : 3_0 Product : 256_1 Nach dem naechsten Crash sah der Error Code so aus: BCCode : 100000d1 BCP1 : F7AD528A BCP2 : 00000002 BCP3 : 00000001 BCP4 : 847EE900 OSVer : 5_1_2600 SP : 3_0 Product : 256_1 |
Über welche Hardware du Updates installierst, spielt keine Rolle. Ob Kabelmodem, DSL oder WLAN ist völlig egal. Oder trat das erst auf, nachdem du das Kabelmodem installiert hast? Kannst du die letzten Updates im abgesicherten Modus deinstallieren? |
Wuerde ich gerne tun aber wie macht man das? |
...und: nein, das tart nicht erst auf, nachdem ich das Modem installiert habe aber wie gesagt, der Rechner laeuft ohne angeschlossenes Modem stabil - ist auch letzte Nacht nicht abgestuerzt, sobald ich es wieder anschliesse stuerzt der Rechner ab... |
Updates sollte man über Systemsteuerung deinstallieren deinstallieren können, genauso wie die Programme auch. |
Danke! Habe ich gefunden und bin dabei die Updates zu entfernen. Dass da 'ne Warnmeldung kommt, dass folgende Programme (so ziemlich alles, was ich auf dem Rechner habe) anschliessend nicht mehr funktionieren wuerde, kann ich ignorieren, oder?!? Was soll ich als naechsten Schritt machen? |
ok, das einzige zu entfernende Updte war das fuer IE 8, die anderen Updates sind in der Systemsteuerung nicht zu finden! |
Und der Rechner stürzt jetzt noch wenn das Kabelmodem angeschlossen wird? Was ist mit Combofix? |
Hey Arne, Danke!!! der PC laeuft derzeit wieder mit Internetanschluss ohne abzustuerzen Habe Combofix laufen lassen, aber es ging wieder was daneben *frequent hard head banging against the desk* - was sollte man auch anderes von jemandem erwarten, der 10-Stunden-Schichten im Baumarkt schiebt. Gottseidank, sind morgen nur 8 Stunden angesagt... Habe erst den Avira ausgeschaltet, nachdem ich die cofi.exe angeklickt hatte und der Combofix noch beim Vorbereiten war. War mir nicht sicher, ob ich haette abbrechen und neu starten sollen. Oder vielleicht noch mal neu durchlaufen lassen. Falls ich das besser machen sollte, wirst Du es mir bestimmt mitteilen, oder? :-( Werde die MBAMs gleich noch nachladen. Hier aber zuerst der Combofix-log: Combofix Logfile: Code: ComboFix 11-02-12.01 - Owner 12.02.2011 18:39:46.6.2 - x86 |
Logfiles von MBAM: ################## 19.11.2009 - Anfang ######################### Malwarebytes' Anti-Malware 1.41 Database version: 3195 Windows 5.1.2600 Service Pack 3 19.11.2009 03:42:32 mbam-log-2009-11-19 (03-42-32).txt Scan type: Full Scan (C:\|D:\|) Objects scanned: 237488 Time elapsed: 1 hour(s), 23 minute(s), 31 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 1 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: C:\System Volume Information\_restore{4E015214-6BB0-4181-B365-456CF1DEC069}\RP549\A0107142.exe (Rogue.BulletProofSpyware) -> Quarantined and deleted successfully. ################## 19.11.2009 - Ende ########################### ################## 26.03.2010 - Anfang ######################### Malwarebytes' Anti-Malware 1.44 Database version: 3919 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 26.03.2010 23:51:12 mbam-log-2010-03-26 (23-51-12).txt Scan type: Full Scan (C:\|D:\|) Objects scanned: 249747 Time elapsed: 1 hour(s), 17 minute(s), 34 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 1 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 2 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\getdo (Trojan.Agent) -> Quarantined and deleted successfully. Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: C:\Documents and Settings\Owner\Application Data\Adobe\Update\flacor.dat (Trojan.Agent) -> Quarantined and deleted successfully. C:\WINDOWS\msacm32.drv (Trojan.Agent) -> Quarantined and deleted successfully. ################## 26.03.2010 - Ende ########################### ################## 01.04.2010 - Anfang ######################### Malwarebytes' Anti-Malware 1.45 Malwarebytes Database version: 3940 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 01.04.2010 04:03:41 mbam-log-2010-04-01 (04-03-41).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 220095 Time elapsed: 1 hour(s), 17 minute(s), 43 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 1 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 0 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\helper (Trojan.Agent) -> Quarantined and deleted successfully. Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: (No malicious items detected) ################## 01.04.2010 - Ende ########################### ################## 12.09.2010 - Anfang ######################### Malwarebytes' Anti-Malware 1.46 Malwarebytes Database version: 4597 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 12.09.2010 00:18:16 mbam-log-2010-09-12 (00-18-16).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 244546 Time elapsed: 1 hour(s), 9 minute(s), 45 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 1 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: C:\Program Files\eRightSoft\SUPER\spk\MKV_ax.spk (Trojan.Dropper.PGen) -> Quarantined and deleted successfully. ################## 12.09.2010 - Ende ########################### ################## 22.09.2010 - Anfang ######################### Malwarebytes' Anti-Malware 1.46 Malwarebytes Database version: 4672 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 22.09.2010 12:54:20 mbam-log-2010-09-22 (12-54-20).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 247183 Time elapsed: 1 hour(s), 11 minute(s), 8 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 1 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: D:\i386\Apps\App12649\googledesktopsetup_en_release_s_r3intl_sign_c2172891_030306_160544.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully. ################## 22.09.2010 - Ende ########################### ################## 05.02.2011 - Anfang ######################### Malwarebytes' Anti-Malware 1.50.1.1100 Malwarebytes Database version: 5682 Windows 5.1.2600 Service Pack 3 Internet Explorer 8.0.6001.18702 05.02.2011 04:54:14 mbam-log-2011-02-05 (04-54-14).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 272944 Time elapsed: 1 hour(s), 11 minute(s), 31 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 2 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: c:\system volume information\_restore{4e015214-6bb0-4181-b365-456cf1dec069}\RP69\A0015219.exe (Adware.Agent) -> Quarantined and deleted successfully. c:\zz downloads\aviplayersetup_3-0.exe (Adware.Agent) -> Quarantined and deleted successfully. ################## 05.02.2011 - Ende ########################### |
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Hey Arne, wollte kurz berichten, dass ich heute morgen versucht habe, meinen PC hochzufahren, nachdem er gestern ja wieder problemlos ohne abzustuerzen lief. Habe ihn also mit angeschlossener Internetverbindung hochgefahren, 8 Minuten bis zum Log-In_screen gewartet, eingelogt, 6 weitere Minuten gewartet bis der Desktop aufgebaut war und versucht Firefox zu oeffnen und der Rechner stuerzte sofort ab. Hab dann wieder die Internetverbindung (Power zum Modem) unterbrochen, den Rechner hochgefahren, 8 Minuten bis Log-In, 6 weitere Minuten bis der Desktop aufgebaut war und die Nachricht "The ystem has recovered from a serious error" erhalten. Diesmal mit der Error signatur: BCCode : 1000007f BCP1 : 0000000D BCP2 : 00000000 BCP3 : 00000000 BCP4 : 00000000 OSVer : 5_1_2600 SP : 3_0 Product : 256_1 Nutzen Dir diese Signaturen irgendwas oder kann ich es mir sparen, sie von meinem PC abzuschreiben und in den Labtop einzugeben? Beim Runterfahren erhielt ich wieder die Option, Windows updates zu installieren. Hab das natuerlich nicht gemacht. Dann Rechner wieder hochgefahren (ohne Modem), gewartet, eingelogt, gewartet, Firefox eingeschaltet, kein Problem! Modem wieder angeschlossen. Kein Problem. Komisch... Rechner wieder runtergefahren, modem abgeschaltet – auf Antwort gewartet. Rechner wieder hochgefahren (14 Minuten), Firefox gestartet, Modem angeschlossen, neuen Gmer runtergeladen, alle Programme geschlossen, Internetverbindung gekappt. Gmer gestrtet. Da nach 4 Minuten immer noch \Device\Ide\Pcilde2 angezeigt wurde (bevor ich Scan starten konnte) und derRechner nichts mehr getan hat, habe ich versucht, das Program ueber das X oben rechts zu schliessen aber auch dort passierte nichts. Habe versucht ueber Strg+Alt+Del den Windows Task Manager zu oeffnen. 5 Minuten gewartet. Keine Reaktion. Windows-Taste gedrueckt, keine Reaktion. On/Off am Rechner fuer Shut-Down gedrueckt. 5 Minuten gewartet. Keine Reaktion. On/Off 5 Sekunden gehalten. Rechner in SafeMode hochgefahren. Gmer gesucht, nicht gefunden, da "Owner"-Desktop fuer andere User gesperrt ist. PC runtergefahren, erneut hochgefahren (14 Minuten). Owner Desktop freigegeben (Properties => Sharing=> Haken entfernt bei "Make this Folder private". Erneut Gmer ausgefuehrt. Diese mal konnte ich "scan" starten. Unter dem Reiter Rootkit/Malware wurde etwas angezeigt (hab' aber nicht aufgeschrieben, was es war – irgendwas mit Win und Filter oder Scan). Hab dann Scan geklickt und der Gmer stuerzte wieder ab. Gmer blieb bei Sections: c:\WINDOWS\system32\DRIVERS\SCSIPORT.SYS stecken. Im oberen Fenster wurde folgendes angezeigt: SSDT B0DF4F9E ZwCreateKey SSDT B0DF1F94 ZwCreateThread SSDT B0DF4FA3 ZwDeleteKey SSDT B0DF4FAD ZwDeleteValueKey SSDT B0DF4FB2 ZwLoadKey SSDT B0DF4F80 ZwOpenProcess SSDT B0DF4F85 ZwOpenThread SSDT B0DF4FBC ZwReplaceKey SSDT B0DF$FB7 ZwRestoreKey SSDT B0DF4FA8 ZwSetValueKey Wieder versucht das Programm zu beenden (Not Responding). Wie vorher... Mit 5Sec On/Off ausgeschltet. Rechner in Safe-Mode hochgefahren. Gmer gesucht, gefunden, gestartet, nichts unter dem Reiter Rootkit/Malware angezeigt. Scan ausgefuehrt. Ohne irgendwas im Fenster anzuzeigen bei Sections C:\WINDOWS\system32\drivers\ohci1394.sys steckengeblieben. 5 Minuten gewartet. Keine Reaktion auf gar nichts! Ueber 5sec On/Off abgeschaltet. Fahre den Rechenr gerade erneut hoch und werde mit OSAM forfahren. Wollte aber borher dieses Update posten. Vielleicht hilft es ja??? |
Arne, habe jetzt den Pc wieder normal gestartet (ohne Modem), Firefox geoeffnet, Modem angeschlossen, osam herunter geladen. Nun habe ich auf dem Desktop osam_autorun_manager_5_0_portable.rar kann damit aber ncihts anfangen. Klicke auf "open" und ich werde auf 'ne shell.windows.com Seite geleitet und komme von dort auf winzip.com/lanar.htm oofe Frage: ich hab' Winzip schon auf meinem Rechner. Soll ich es mir hier erneut runterladen? Kennst Du ein besseres Programm? Danke! |
Arne, Sorry, war 'ne doofe Frage. Bin um 22:05 schreiend wieder aus dem Bett gesprungen weil ich mich daran erinnert habe, WO(!!!) ich bei Euch von 7-zip gelesen habe. Runtergeladen, installiert. Die rar-Datei zu starten hat dann immer noch nicht funktioniert, aber nach starten von 7zip konnte ich die Datei entpacken und ENDLICH doch weitermachen. Nun denn, hier ist der Log: OSAM Logfile: Code: Report of OSAM: Autorun Manager v5.0.11926.0If You have questions or want to get some help, You can visit Online Solutions :: Index |
So, und hier noch der Log zum MBRCheck: MBRCheck, version 1.2.3 (c) 2010, AD Command-line: Windows Version: Windows XP Professional Windows Information: Service Pack 3 (build 2600) Logical Drives Mask: 0x000001fc Kernel Drivers (total 184): 0x804D7000 \WINDOWS\system32\ntkrnlpa.exe 0x806E5000 \WINDOWS\system32\hal.dll 0xF7B82000 \WINDOWS\system32\KDCOM.DLL 0xF7A92000 \WINDOWS\system32\BOOTVID.dll 0xF7553000 ACPI.sys 0xF7B84000 \WINDOWS\system32\DRIVERS\WMILIB.SYS 0xF7542000 pci.sys 0xF7682000 isapnp.sys 0xF7692000 ohci1394.sys 0xF76A2000 \WINDOWS\system32\DRIVERS\1394BUS.SYS 0xF7A96000 compbatt.sys 0xF7A9A000 \WINDOWS\system32\DRIVERS\BATTC.SYS 0xF7C4A000 pciide.sys 0xF7902000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS 0xF7B86000 aliide.sys 0xF7B88000 cmdide.sys 0xF7B8A000 toside.sys 0xF7B8C000 viaide.sys 0xF7B8E000 intelide.sys 0xF7524000 pcmcia.sys 0xF76B2000 MountMgr.sys 0xF7505000 ftdisk.sys 0xF7B90000 dmload.sys 0xF74DF000 dmio.sys 0xF7A9E000 ACPIEC.sys 0xF7C4B000 \WINDOWS\system32\DRIVERS\OPRGHDLR.SYS 0xF790A000 PartMgr.sys 0xF7912000 hotcore3.sys 0xF76C2000 VolSnap.sys 0xF7AA2000 cpqarray.sys 0xF74C7000 \WINDOWS\system32\DRIVERS\SCSIPORT.SYS 0xF74AF000 atapi.sys 0xF7AA6000 aha154x.sys 0xF791A000 sparrow.sys 0xF7AAA000 symc810.sys 0xF76D2000 aic78xx.sys 0xF7AAE000 dac960nt.sys 0xF76E2000 ql10wnt.sys 0xF7AB2000 amsint.sys 0xF7922000 asc.sys 0xF7AB6000 asc3550.sys 0xF792A000 mraid35x.sys 0xF7932000 i2omp.sys 0xF7ABA000 ini910u.sys 0xF76F2000 ql1240.sys 0xF7702000 aic78u2.sys 0xF793A000 symc8xx.sys 0xF7942000 sym_hi.sys 0xF794A000 sym_u3.sys 0xF7952000 ABP480N5.SYS 0xF795A000 asc3350p.sys 0xF7B92000 cd20xrnt.sys 0xF7712000 ultra.sys 0xF7496000 adpu160m.sys 0xF7962000 dpti2o.sys 0xF7722000 ql1080.sys 0xF7732000 ql1280.sys 0xF7742000 ql12160.sys 0xF796A000 perc2.sys 0xF7B94000 perc2hib.sys 0xF7972000 hpn.sys 0xF7ABE000 cbidf2k.sys 0xF746A000 dac2w2k.sys 0xF7752000 disk.sys 0xF7762000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS 0xF744A000 fltmgr.sys 0xF7438000 sr.sys 0xF7772000 PxHelp20.sys 0xF7421000 KSecDD.sys 0xF740E000 WudfPf.sys 0xF7381000 Ntfs.sys 0xF7354000 NDIS.sys 0xF7782000 sisagp.sys 0xF7792000 viaagp.sys 0xF733A000 Mup.sys 0xF77A2000 alim1541.sys 0xF77B2000 amdagp.sys 0xF77C2000 agp440.sys 0xF77D2000 agpCPQ.sys 0xF72BA000 \SystemRoot\system32\DRIVERS\intelppm.sys 0xF636C000 \SystemRoot\system32\DRIVERS\ati2mtag.sys 0xF6358000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS 0xF6511000 \SystemRoot\system32\DRIVERS\usbohci.sys 0xF6334000 \SystemRoot\system32\DRIVERS\USBPORT.SYS 0xF6509000 \SystemRoot\system32\DRIVERS\usbehci.sys 0xF72AA000 \SystemRoot\system32\DRIVERS\imapi.sys 0xF729A000 \SystemRoot\system32\DRIVERS\cdrom.sys 0xF77F2000 \SystemRoot\system32\DRIVERS\redbook.sys 0xF6311000 \SystemRoot\system32\DRIVERS\ks.sys 0xF7221000 \SystemRoot\system32\DRIVERS\GEARAspiWDM.sys 0xF62E9000 \SystemRoot\system32\DRIVERS\HDAudBus.sys 0xF7802000 \SystemRoot\system32\DRIVERS\i8042prt.sys 0xF6501000 \SystemRoot\system32\DRIVERS\kbdclass.sys 0xF64F9000 \SystemRoot\system32\DRIVERS\mouclass.sys 0xF62D5000 \SystemRoot\system32\DRIVERS\parport.sys 0xF7812000 \SystemRoot\system32\DRIVERS\serial.sys 0xF7219000 \SystemRoot\system32\DRIVERS\serenum.sys 0xF62B5000 \SystemRoot\system32\DRIVERS\Rtnicxp.sys 0xF627C000 \SystemRoot\system32\DRIVERS\HSFHWBS2.sys 0xF617F000 \SystemRoot\system32\DRIVERS\HSF_DPV.sys 0xF60CF000 \SystemRoot\system32\DRIVERS\HSF_CNXT.sys 0xF64F1000 \SystemRoot\System32\Drivers\Modem.SYS 0xF7DC2000 \SystemRoot\system32\DRIVERS\audstub.sys 0xF7822000 \SystemRoot\system32\DRIVERS\rasl2tp.sys 0xF7B4A000 \SystemRoot\system32\DRIVERS\ndistapi.sys 0xF60B8000 \SystemRoot\system32\DRIVERS\ndiswan.sys 0xF7832000 \SystemRoot\system32\DRIVERS\raspppoe.sys 0xF7842000 \SystemRoot\system32\DRIVERS\raspptp.sys 0xF64E9000 \SystemRoot\system32\DRIVERS\TDI.SYS 0xF60A7000 \SystemRoot\system32\DRIVERS\psched.sys 0xF7852000 \SystemRoot\system32\DRIVERS\msgpc.sys 0xF64E1000 \SystemRoot\system32\DRIVERS\ptilink.sys 0xF7A1A000 \SystemRoot\system32\DRIVERS\raspti.sys 0xF6077000 \SystemRoot\system32\DRIVERS\rdpdr.sys 0xF7862000 \SystemRoot\system32\DRIVERS\termdd.sys 0xF7BE6000 \SystemRoot\system32\DRIVERS\swenum.sys 0xF6019000 \SystemRoot\system32\DRIVERS\update.sys 0xF65D2000 \SystemRoot\system32\DRIVERS\mssmbios.sys 0xF7A22000 \SystemRoot\system32\DRIVERS\UimBus.sys 0xF5FFB000 \SystemRoot\System32\Drivers\Uim_IM.sys 0xF7BE8000 \SystemRoot\System32\Drivers\UimFIO.SYS 0xF7882000 \SystemRoot\System32\Drivers\NDProxy.SYS 0xF78B2000 \SystemRoot\system32\DRIVERS\usbhub.sys 0xF7BEA000 \SystemRoot\system32\DRIVERS\USBD.SYS 0xED6DC000 \SystemRoot\system32\drivers\RtkHDAud.sys 0xED6B8000 \SystemRoot\system32\drivers\portcls.sys 0xF78D2000 \SystemRoot\system32\drivers\drmk.sys 0xF79BA000 \SystemRoot\system32\DRIVERS\usbccgp.sys 0xF726A000 \SystemRoot\System32\Drivers\i2omgmt.SYS 0xF79C2000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS 0xF7D4D000 \SystemRoot\System32\Drivers\Cdr4_xp.SYS 0xF7D4E000 \SystemRoot\System32\Drivers\Cdralw2k.SYS 0xF7C1C000 \SystemRoot\System32\Drivers\Fs_Rec.SYS 0xF7D4F000 \SystemRoot\System32\Drivers\Null.SYS 0xF7C1E000 \SystemRoot\System32\Drivers\Beep.SYS 0xF7239000 \SystemRoot\system32\drivers\MTictwl.sys 0xEC571000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS 0xEC569000 \SystemRoot\System32\drivers\vga.sys 0xF7C20000 \SystemRoot\System32\Drivers\mnmdd.SYS 0xF7C22000 \SystemRoot\System32\DRIVERS\RDPCDD.sys 0xEC561000 \SystemRoot\System32\Drivers\Msfs.SYS 0xEC559000 \SystemRoot\System32\Drivers\Npfs.SYS 0xF7231000 \SystemRoot\system32\DRIVERS\rasacd.sys 0xB746A000 \SystemRoot\system32\DRIVERS\ipsec.sys 0xB7411000 \SystemRoot\system32\DRIVERS\tcpip.sys 0xB73E9000 \SystemRoot\system32\DRIVERS\netbt.sys 0xB73C3000 \SystemRoot\system32\DRIVERS\ipnat.sys 0xEBEA5000 \SystemRoot\system32\DRIVERS\wanarp.sys 0xB72A9000 \SystemRoot\System32\drivers\afd.sys 0xEBE95000 \SystemRoot\system32\DRIVERS\netbios.sys 0xB727E000 \SystemRoot\system32\DRIVERS\rdbss.sys 0xB720E000 \SystemRoot\system32\DRIVERS\mrxsmb.sys 0xEBE85000 \SystemRoot\System32\Drivers\Fips.SYS 0xB3750000 \SystemRoot\system32\DRIVERS\phc700.sys 0xB4EFB000 \SystemRoot\system32\DRIVERS\STREAM.SYS 0xB4EEB000 \SystemRoot\system32\drivers\usbaudio.sys 0xB2D5A000 \SystemRoot\system32\DRIVERS\avipbb.sys 0xF7BC0000 \??\C:\Program Files\Avira\AntiVir Desktop\avgio.sys 0xAFFCF000 \SystemRoot\System32\Drivers\Fastfat.SYS 0xF6AF5000 \SystemRoot\System32\Drivers\Cdfs.SYS 0xAFFB7000 \SystemRoot\System32\Drivers\dump_atapi.sys 0xF7BA0000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS 0xBF800000 \SystemRoot\System32\win32k.sys 0xB0380000 \SystemRoot\System32\drivers\Dxapi.sys 0xB4720000 \SystemRoot\System32\watchdog.sys 0xBF000000 \SystemRoot\System32\drivers\dxg.sys 0xF7CD7000 \SystemRoot\System32\drivers\dxgthk.sys 0xBF012000 \SystemRoot\System32\ati2dvag.dll 0xBF054000 \SystemRoot\System32\ati2cqag.dll 0xBF093000 \SystemRoot\System32\atikvmag.dll 0xBF0C9000 \SystemRoot\System32\ati3duag.dll 0xBF345000 \SystemRoot\System32\ativvaxx.dll 0xBF418000 \SystemRoot\System32\ATMFD.DLL 0xADE91000 \SystemRoot\system32\DRIVERS\avgntflt.sys 0xF7C02000 \SystemRoot\System32\Drivers\ParVdm.SYS 0xADD10000 \SystemRoot\System32\Drivers\HTTP.sys 0xADD71000 \SystemRoot\system32\DRIVERS\mdmxsdk.sys 0xADBA7000 \SystemRoot\system32\DRIVERS\srv.sys 0xADA2A000 \SystemRoot\system32\drivers\wdmaud.sys 0xED648000 \SystemRoot\system32\drivers\sysaudio.sys 0xADE6D000 \SystemRoot\system32\DRIVERS\usb8023.sys 0xEB9E2000 \SystemRoot\system32\DRIVERS\RNDISMP.SYS 0xAD414000 \SystemRoot\system32\drivers\kmixer.sys 0x7C900000 \WINDOWS\system32\ntdll.dll Processes (total 41): 0 System Idle Process 4 System 592 C:\WINDOWS\system32\smss.exe 656 csrss.exe 684 C:\WINDOWS\system32\winlogon.exe 728 C:\WINDOWS\system32\services.exe 740 C:\WINDOWS\system32\lsass.exe 920 C:\Program Files\Avira\AntiVir Desktop\avguard.exe 960 C:\Program Files\Avira\AntiVir Desktop\avshadow.exe 1084 C:\WINDOWS\system32\ati2evxx.exe 1100 C:\WINDOWS\system32\svchost.exe 1176 svchost.exe 1256 C:\WINDOWS\system32\svchost.exe 1320 C:\WINDOWS\system32\svchost.exe 1332 svchost.exe 1432 C:\WINDOWS\system32\spoolsv.exe 1488 C:\Program Files\Avira\AntiVir Desktop\sched.exe 1568 C:\WINDOWS\ehome\ehrecvr.exe 1584 C:\WINDOWS\ehome\ehSched.exe 1668 C:\Program Files\Java\jre6\bin\jqs.exe 1776 svchost.exe 1832 svchost.exe 1952 mcrdsvc.exe 308 C:\WINDOWS\system32\dllhost.exe 468 C:\WINDOWS\system32\ati2evxx.exe 644 alg.exe 1128 C:\WINDOWS\explorer.exe 2184 C:\WINDOWS\ehome\ehtray.exe 2192 C:\Program Files\Digital Media Reader\readericon45G.exe 2200 C:\WINDOWS\RTHDCPL.exe 2208 C:\WINDOWS\zHotkey.exe 2232 C:\Program Files\ScanSoft\OmniPageSE4.0\OpWareSE4.exe 2240 C:\WINDOWS\system32\spool\drivers\w32x86\3\WrtMon.exe 2264 C:\WINDOWS\vphc700.exe 2288 C:\Program Files\Avira\AntiVir Desktop\avgnt.exe 2300 C:\WINDOWS\system32\spool\drivers\w32x86\3\WrtProc.exe 2508 C:\Program Files\Common Files\Java\Java Update\jusched.exe 2524 C:\Program Files\Philips\SPC 700NC PC Camera\TrayMin700.exe 2884 C:\WINDOWS\system32\wuauclt.exe 1236 C:\Program Files\Mozilla Firefox\firefox.exe 1456 C:\Documents and Settings\Owner\Desktop\MBRCheck.exe \\.\C: --> \\.\PhysicalDrive0 at offset 0x00000001`52c5e600 (NTFS) \\.\D: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (FAT32) PhysicalDrive0 Model Number: WDCWD2000BB-22RDA0, Rev: 20.00K20 Size Device Name MBR Status -------------------------------------------- 186 GB \\.\PhysicalDrive0 Gateway MBR code detected SHA1: 007DADCB3671462B53686F6996D328CFD544ABBD Done! |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! |
Hey Arne, habe den Rechner mit angeschlossenem Modem hochgefahren wobei er wieder direkt nach dem Log-In noch bevor der Desktop dargestellt wurde, abgestuerzt ist und wieder anfing zu booten. Habe den PC jetzt im Safemode mit Internetverbindung hochgefahren. Kann ich beide scans im Safemode durchfuehren oder waere es besser, das im normalen Modus zu tun? - Danke! |
Ja Safemode geht auch. Ich dachte der stürzte jetzt nicht mehr ab? :wtf: Stürzt der auch ab, wenn ein anderes USB-Gerät am selben USB-Port hängt? Anderen USB-Port für das Kabelmodem schon getestet? :confused: |
Hey Arne, na sowas, nun wurde dieses Keyboard umgeschaltet und y und z sind vertauscht. Koennte das was mit dem Virenfund yu tun haben, der da von SAS gefunden wurde. Kann jetyt auch nicht das Frageyeichen finden - so ein aerger... Sorry! Hier aber schnell die logs aus dem Safemode. War heute lange arbeiten. Es ist jetyt kury vor Mitternacht hier und ich muss morgen wieder um 04-00Uhr frueh hoch. Koennte morgen frueh vor der Arbeit noch versuchen den PC normal hoch zu fahren - ohne Modem - und dann MBAM oder SAS laufen lassen, wenn ich bei der Arbeit bin, wenn Du glaubst dass das was hilft. Ich konnte uebrigens noch nicht mit anderen USB-anschluessen experimentieren. Immerhin dauert es ueber 14 Minuten bis der PC hoch gefahren ist - normal sind es MAXIMAL UNTER 3 Minuten gewesen. Ich hoffe, dass wir da auch wieder hinkommen, wenn alles wieder okay ist... Bin ehrlich etwas besorgt, irgendwas knuspert hier schon wieder im Hintergrund richtig intensiv auf der Festplatrte rum. Vielleicht doch noch nicht alles sauber(Fragezeichen) Ich musste uebrigens nachdem ich SAS laufen liess neu booten. Okaz, genug, hier die Logs, yuerst SAS SUPERAntiSpyware Scan Log SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware! Generated 02/14/2011 at 09:22 PM Application Version : 4.48.1000 Core Rules Database Version : 6392 Trace Rules Database Version: 4204 Scan type : Complete Scan Total Scan Time : 09:53:17 Memory items scanned : 251 Memory threats detected : 0 Registry items scanned : 6711 Registry threats detected : 1 File items scanned : 108760 File threats detected : 2 Trojan.Agent/Gen C:\PROGRAM FILES\AVI PLAYER\AVIPLAYER.EXE HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\AviPlayer.exe C:\DOCUMENTS AND SETTINGS\OWNER\START MENU\PROGRAMS\VIDEO SOUND GRAFIK\AVI PLAYER\AVI PLAYER.LNK und hier noch MBAM - der hat aber nichts gefunden Malwarebytes' Anti-Malware 1.50.1.1100 Malwarebytes Database version: 5760 Windows 5.1.2600 Service Pack 3 (Safe Mode) Internet Explorer 8.0.6001.18702 14.02.2011 10:19:39 mbam-log-2011-02-14 (10-19-39).txt Scan type: Full scan (C:\|D:\|) Objects scanned: 277884 Time elapsed: 3 hour(s), 22 minute(s), 32 second(s) Memory Processes Infected: 0 Memory Modules Infected: 0 Registry Keys Infected: 0 Registry Values Infected: 0 Registry Data Items Infected: 0 Folders Infected: 0 Files Infected: 0 Memory Processes Infected: (No malicious items detected) Memory Modules Infected: (No malicious items detected) Registry Keys Infected: (No malicious items detected) Registry Values Infected: (No malicious items detected) Registry Data Items Infected: (No malicious items detected) Folders Infected: (No malicious items detected) Files Infected: (No malicious items detected) |
Zitat:
SASW hat da m.E. nach nur Fehlalarme (AVI-Player) Zitat:
|
Arne, Danke, wie man in der Systemsteuerung die Tastatur umstellt ist mir schon klar. Welche der Prozeduren hat denn zur Umstellung in der Systemsteuerung gesorgt? Ich hab' da ja nichts geaendert! Da es sich bei SASW um einen Fehlalarm handelt, sollte ich die Dateien dann aus der Quarantaene entfernen und wiederherstellen lassen? Das lange Rumknuspern auf der Festplatte (auch durch gelbe HD-LED geschieht nur wenn ich online bin. Was bedeuten eigentlich diese "The ystem has recovered from a serious error" Error signaturen? Ich werde mal die Liste "PC wird immer langsamer" abarbeiten. Waere ja super, wenn das hilft. Den CCleaner habe ich ja eh schon immer woechentlich laufen lassen, werde es aber wie gesagt genauestens abarbeiten. Finde es halt nur komisch, dass von heute auf morgen, nachdem Viren gefunden worden sind, der PC von zweieinhalb auf 14 Minuten boot-Zeit wechselt, nur noch verzerrt Sound abspielt und die Quicklaunchleiste verschwindet. Waere echt super, wenn Du mir noch kurz antworten koenntest, warum die Tastatur umgestellt wurde, was mit SASW-Quarantaene-Dateien zu machen ist und ob Dir die System Error Signaturen was sagen. Danke schonmal im voraus. Ich finde es echt super, dass Du Dir so viel Muehe mit meinem Rechenr gibst! |
Arne, es sind nun 3 Tage vergangen, falls Du vielleicht etwas Zeit hast, koenntest Du bitte meine Fragen beantworten (SASW Quarantaene, System Error Signaturen)? Die Tastatur hatte sich von alleine wieder umgestellt... Ich habe allen Anweisungen befolgt aber es gibt keine Besserung. Rechner stuerzt ab, sobald ich entweder ziemlich genau 1 Stunde online bin oder wenn mein Modem beim Hochfahren angeschlossen ist - egal an welchem USB port... |
Dat iss ja alles nicht normal und die Logs zeigen so keine Auffälligkeiten... :balla: Hast du die Möglichkeiten diesen Rechner und diese Internetverbindung von einem Live-Linux wie Ubuntu oder Knoppix zu testen? |
Knoppix, Unbutu oder Live-Linux? Das sagt mir leider nichts :-( Ich sehe, Du hast unter Deiner Signatur einen Link zu "Ubuntu als Notfall-Live-System", da werde ich mal nachlesen und schauen. Derzeit brenne ich gerade im Safemode eine Sicherheitskopie von meinen Daten. Da laeuft der PC jetzt schon ununterbrochen ueber 24 Stunden ohne Probleme - halt nur extrem langsam, wie man das halt aus dem Safemode gewoehnt ist. Das, was mich so stutzig macht, ist zum Einen die Tatsache, dass der PC so unheimlich langsam ist und zum Anderen, dass er einfach so abstuerzt! Wenn Du der Meinung bist, dass das nicht an Viren oder so was liegen kann, waere es denn moeglich, dass bei irgendeinem Reperaturprozess irgendwelche Einstellungen zerschossen worden sind und das System nicht alle zur Verfuegung stehenden Resourcen nutzen kann? Wie koennte man das herasufinden? Mit einem der 3 oben genannten Programme? Bitte, bitte, sag mir doch, ob Dir die von mir abgeschriebenen System Error Signaturen was sagen? |
Abstürze können hardware- oder treiberbedingt sein. Wenn Komponenten defekt sind, ist es meistens das Netzteil, dass schon altersschwach ist, oder der Arbeitsspeicher hat Fehler. Mit Ubuntu kannst du auch den Speicher mit Memtest86 prüfen. Hast du auch mal die Temperaturen der wichtigsten Komponenten geprüft? Im BIOS oder unter Windows mit Speedfan. |
Okay, werde mich dann mal ueber's Wochenende mit der Materie Unbuntu beschaeftigen und dann auch hoffentlich was mit Memtest86 anfangen koennen ~:) Nein, Temperaturen habe ich mir noch nie angeschaut. Unter Windows, mit Speedfan? Hmm, komme ich da ueber Windowsbutton, dann "run..." (ausfuehren) und dann "Speedfan" eingeben ran? Sorry, hab das noch nie gemacht und will waehrend des Brennvorgangs nichts versuchen, das zum Absturz fuehren koennte... Danke, Arne, ich freue mich echt sehr ueber Deine Hilfe!!! |
Speedfan ist ein extra Programm => http://filepony.de/download-speedfan/ Memtest86 ist in der Startoption von der Ubuntu-CD. Memtest kann man nicht direkt unter Ubuntu ausführen mW man muss es quasi booten. |
Hallo Arne, also bin gerade mal wieder von der Arbeit nach Hause gekommen und habe es nun geschafft das Programm Fanspeed herunter zu laden. Da wurde aber nur 1 Geraet gefunden: HD0 welches nach 1 Stunde Laufzeit 40'C anzeigt. hmm?! Ist das gut oder hat mein PC vielleicht 'n Fieber? ach ja, dieser Report kam dabei raus: SuperIO Chip=DME1737 Found WDC WD2000BB-22RDA0 on AdvSMART End of detection |
Arne, noch 'ne dumme Frage nachgeschoben: Waere Deiner Meinung nach mein PC "sauber genug", um die ubuntu-10.10-desktop-i386.iso zu brennen? Oder besser gefragt: wuerdest Du sie auf diesem Rechner erstellen wenn Deine einzig andere Option ein Laptop eines Bekannten, von dem Du nicht weisst, was da so alles drauf ist, waere? Danke!!! |
Ja das ISO kannst du ruhig von diesem Rechner aus brennen. |
Hey Arne, so nun habe ich auch im BIOS die Temperaturen gefunden: Processor Temp: von 65'C auf 67'C (steigend) Internal Temp : 51'C Remote Temp 50'C nach ca. 3 Stunden Laufzeit. Ist die Temperatur zu hoch? Ubuntu habe ich uebrigens auf eine CD gebrannt und versucht, das Programm zu starten - mit maessigem Erfolg: weder die PS2 Maus noch die PS2 Tastatur reagieren um zwischen Installation und Test zu wechseln, daher habe ich hier abgebrochen. Das muesste ich doch bestimmt irgendwo einstellen koennen, oder? Internetverbindung wird ueber USB-Anschlus erkannt. Brauch ich vielleicht auch eine USB Tastatur und Maus? |
Fast 70° C ist schon ziemlich hoch, v.a. wenn der Rechner nicht gerade überstrapaziert wird. Er ist ja quasi fast nur im Leerlauf oder hast du da Spiele oder was anderes was Leitungsbraucht am Laufen gehabt in den 3 Stunden? Zitat:
|
Arne, ich glaube nicht, dass der PC ueberstrapaziert war. Bin mir aber nicht sicher. Ich hatte in den 3 Stunden keine Spiele gespielt – so langsam wie die Kiste ist, wuerde das ja keinen Spass machen. Ich hatte unbuntu heruntergeladen und dann gebrannt (16fache CD-R). Und, ja, das sind PS2 Eingabegeraete (Maus + Keyboard) (runde pastellfarbene Stecker). Die Tastatur funktioniert um die Sprache auszuwaehlen und dann das Programm zu starten. Sofort danach wird sie aber abgeshaltet, und reagiert kurzfristig auf Druecken der Number- oder Cap-Lock-Taste. Reagiert dann aber kurz vor Bildschirmaufbau durch unbuntu nicht mehr. Laeuft es vielleicht nicht mit PS2? Ich weiss, dass das nicht das richtige Forum ist um solche Fragen zu stellen. Haettest Du vielleicht doch einen Vorschlag? So, war nun heute doch in der Lage, den Memtest86 laufen zu lassen, bin mir aber nicht sicher, was dort ungewoehnlich waere. Hier mal, was angezeigt wird: Pentium D (0.09) 2667 Mhz L1 Cache: 16K 16879 MB/s L2 Cacche: 1024K 14494 MB/s L3 Cache: None Memory : 893M 1076 MB/s Ganz unten wird angezeigt "Pass complete, no errors, press Esc to exit" Tastatur funktioniert hier im Memtest86. Ist dort irgendwas in der Configuration zu aendern? Odersiehst Du vielleicht schon was ungewoehnliches? Vielen Dank schonmal! |
Könnte ein seltener Fall sein, dass Ubuntu dein Board nciht richtig mag. Schonmal USB-Eingabegeräte probiert? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 22:54 Uhr. |
Copyright ©2000-2025, Trojaner-Board