Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung
BOO/Whistler auf der Externen

BOO/Whistler auf der Externen


Plagegeister aller Art und deren Bekämpfung: BOO/Whistler auf der Externen

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 10.05.2013, 16:57   #1
Narkuma
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Hallo Trojaner,

Habe vor einigen Tage eine Avirameldung erhalten, dass ein Malware namens 'Boot.Wistler' auf der Externen sein Unwesen treibt. Da es sich bloß auf die Externe beschränken soll, habe ich das erwünschte Prozedere mit defogger, OTL und Gmer übersprungen. Falls erwünscht, werde ich es natürlich nachholen.
Anbei sind Logfiles von Avira, Malewarebytes. Das angegebene Laufwerk I: ist eine Systempartition auf der Externen (G: ). Sie ist merkwürdigerweise bei der letzten Formatierung der Platte entstanden. Keine Ahnung wieso, hab sie einfach gelassen. Komischerweise scheinen dort neuerdings 30Mb belegt zu sein.

Habe auch einen TDSSKillerscan durchführen lassen, aber der Log ist für den Thread zu lang, zum Hochladen zu groß und beim Versuch es zu zippen, wird mir der Zugriff verweigert. Was kann ich da tun? Oder reichen schon bestimmte Segmente des Logs aus?

Anmerkung zu den Aviralogs: Habe beide reingelstellt, weil ich die nicht übereinstimmenden Resultate nicht nachvollziehen kann. Habe weder versucht das Malwareproblem zu beheben, noch hat mir Avira welche Lösungsmaßnahmen angeboten.
Code:
ATTFilter
Avira Free Antivirus
Erstellungsdatum der Reportdatei: Mittwoch, 8. Mai 2013  09:50


Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows 7 Professional
Windowsversion : (Service Pack 1)  [6.1.7601]
Boot Modus     : Normal gebootet
Benutzername   : Marvin
Computername   : MARVIN-PC

Versionsinformationen:
BUILD.DAT      : 13.0.0.3640    54852 Bytes  18.04.2013 13:29:00
AVSCAN.EXE     : 13.6.0.1262   636984 Bytes  07.05.2013 19:28:06
AVSCANRC.DLL   : 13.4.0.360     64800 Bytes  11.12.2012 14:16:51
LUKE.DLL       : 13.6.0.1262    65080 Bytes  07.05.2013 19:32:12
AVSCPLR.DLL    : 13.6.0.1262    92216 Bytes  07.05.2013 19:28:06
AVREG.DLL      : 13.6.0.1262   247864 Bytes  07.05.2013 19:28:02
avlode.dll     : 13.6.2.1262   432184 Bytes  07.05.2013 19:27:59
avlode.rdf     : 13.0.0.46      15591 Bytes  28.03.2013 19:41:06
VBASE000.VDF   : 7.11.70.0   66736640 Bytes  04.04.2013 08:59:08
VBASE001.VDF   : 7.11.74.226  2201600 Bytes  30.04.2013 12:43:34
VBASE002.VDF   : 7.11.74.227     2048 Bytes  30.04.2013 12:43:51
VBASE003.VDF   : 7.11.74.228     2048 Bytes  30.04.2013 12:44:08
VBASE004.VDF   : 7.11.74.229     2048 Bytes  30.04.2013 12:44:27
VBASE005.VDF   : 7.11.74.230     2048 Bytes  30.04.2013 12:44:43
VBASE006.VDF   : 7.11.74.231     2048 Bytes  30.04.2013 12:44:56
VBASE007.VDF   : 7.11.74.232     2048 Bytes  30.04.2013 12:45:16
VBASE008.VDF   : 7.11.74.233     2048 Bytes  30.04.2013 12:45:18
VBASE009.VDF   : 7.11.74.234     2048 Bytes  30.04.2013 12:45:18
VBASE010.VDF   : 7.11.74.235     2048 Bytes  30.04.2013 12:45:18
VBASE011.VDF   : 7.11.74.236     2048 Bytes  30.04.2013 12:45:18
VBASE012.VDF   : 7.11.74.237     2048 Bytes  30.04.2013 12:45:18
VBASE013.VDF   : 7.11.74.238     2048 Bytes  30.04.2013 12:45:18
VBASE014.VDF   : 7.11.75.97    181248 Bytes  02.05.2013 14:58:33
VBASE015.VDF   : 7.11.75.183   217600 Bytes  03.05.2013 14:39:00
VBASE016.VDF   : 7.11.76.27    183808 Bytes  04.05.2013 16:04:07
VBASE017.VDF   : 7.11.76.101   194048 Bytes  06.05.2013 22:34:42
VBASE018.VDF   : 7.11.76.213   163328 Bytes  07.05.2013 01:26:42
VBASE019.VDF   : 7.11.76.214     2048 Bytes  07.05.2013 01:26:42
VBASE020.VDF   : 7.11.76.215     2048 Bytes  07.05.2013 01:26:42
VBASE021.VDF   : 7.11.76.216     2048 Bytes  07.05.2013 01:26:42
VBASE022.VDF   : 7.11.76.217     2048 Bytes  07.05.2013 01:26:42
VBASE023.VDF   : 7.11.76.218     2048 Bytes  07.05.2013 01:26:42
VBASE024.VDF   : 7.11.76.219     2048 Bytes  07.05.2013 01:26:42
VBASE025.VDF   : 7.11.76.220     2048 Bytes  07.05.2013 01:26:42
VBASE026.VDF   : 7.11.76.221     2048 Bytes  07.05.2013 01:26:42
VBASE027.VDF   : 7.11.76.222     2048 Bytes  07.05.2013 01:26:42
VBASE028.VDF   : 7.11.76.223     2048 Bytes  07.05.2013 01:26:43
VBASE029.VDF   : 7.11.76.224     2048 Bytes  07.05.2013 01:26:43
VBASE030.VDF   : 7.11.76.225     2048 Bytes  07.05.2013 01:26:43
VBASE031.VDF   : 7.11.76.250    61952 Bytes  08.05.2013 01:26:43
Engineversion  : 8.2.12.34 
AEVDF.DLL      : 8.1.2.10      102772 Bytes  19.09.2012 13:42:55
AESCRIPT.DLL   : 8.1.4.110     483709 Bytes  03.05.2013 14:39:16
AESCN.DLL      : 8.1.10.4      131446 Bytes  26.03.2013 18:48:47
AESBX.DLL      : 8.2.5.12      606578 Bytes  28.08.2012 15:58:06
AERDL.DLL      : 8.2.0.88      643444 Bytes  10.01.2013 15:33:15
AEPACK.DLL     : 8.3.2.6       827767 Bytes  28.03.2013 19:41:05
AEOFFICE.DLL   : 8.1.2.56      205180 Bytes  11.03.2013 16:27:54
AEHEUR.DLL     : 8.1.4.336    5898617 Bytes  03.05.2013 14:39:14
AEHELP.DLL     : 8.1.25.2      258423 Bytes  18.10.2012 17:08:44
AEGEN.DLL      : 8.1.7.2       442741 Bytes  26.03.2013 18:48:47
AEEXP.DLL      : 8.4.0.26      201078 Bytes  03.05.2013 14:39:16
AEEMU.DLL      : 8.1.3.2       393587 Bytes  19.09.2012 13:42:55
AECORE.DLL     : 8.1.31.2      201080 Bytes  26.02.2013 22:07:51
AEBB.DLL       : 8.1.1.4        53619 Bytes  05.11.2012 19:22:09
AVWINLL.DLL    : 13.6.0.480     26480 Bytes  12.02.2013 15:43:17
AVPREF.DLL     : 13.6.0.480     51056 Bytes  12.02.2013 15:43:36
AVREP.DLL      : 13.6.0.480    178544 Bytes  05.02.2013 16:42:35
AVARKT.DLL     : 13.6.0.1262   258104 Bytes  07.05.2013 19:27:30
AVEVTLOG.DLL   : 13.6.0.1262   164920 Bytes  07.05.2013 19:27:52
SQLITE3.DLL    : 3.7.0.1       397088 Bytes  19.09.2012 17:17:40
AVSMTP.DLL     : 13.6.0.480     62832 Bytes  12.02.2013 15:43:37
NETNT.DLL      : 13.6.0.480     16240 Bytes  12.02.2013 15:44:00
RCIMAGE.DLL    : 13.4.0.360   4780832 Bytes  11.12.2012 14:16:43
RCTEXT.DLL     : 13.6.0.976     69344 Bytes  28.03.2013 07:41:08

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\program files (x86)\avira\antivir desktop\sysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, G:, I:, 
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Mittwoch, 8. Mai 2013  09:50

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [FUND]      Enthält Code des Bootsektorvirus BOO/Whistler.DB
    [HINWEIS]   Der Bootsektor wurde nicht repariert
Bootsektor 'G:\'
    [FUND]      Enthält Code des Bootsektorvirus BOO/Whistler.DB
    [HINWEIS]   Der Bootsektor wurde nicht repariert
Bootsektor 'I:\'
    [FUND]      Enthält Code des Bootsektorvirus BOO/Whistler.DB
    [HINWEIS]   Der Bootsektor wurde nicht repariert

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'svchost.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '96' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '124' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '177' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvxdsync.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '90' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '74' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLANExt.exe' - '83' Modul(e) wurden durchsucht
Durchsuche Prozess 'conhost.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '93' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'armsvc.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '77' Modul(e) wurden durchsucht
Durchsuche Prozess 'BecHelperService.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'PowerBiosServer.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'LMS.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnetwk.exe' - '110' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchIndexer.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'UNS.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'TrustedInstaller.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskhost.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '172' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPHelper.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'RAVCpl64.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'iFrmewrk.exe' - '79' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'SKDaemon.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'StikyNot.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '121' Modul(e) wurden durchsucht
Durchsuche Prozess 'Hotkey.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '76' Modul(e) wurden durchsucht
Durchsuche Prozess 'THXAudio.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '88' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.bin' - '99' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint32.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvtray.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '118' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '117' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchProtocolHost.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchFilterHost.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '124' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'wininit.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsm.exe' - '16' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:

Die Registry wurde durchsucht ( '2453' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
Beginne mit der Suche in 'G:\'
Beginne mit der Suche in 'I:\' <System-reserviert>


Ende des Suchlaufs: Mittwoch, 8. Mai 2013  10:29
Benötigte Zeit: 38:58 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

  35602 Verzeichnisse wurden überprüft
 1869092 Dateien wurden geprüft
      3 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 1869092 Dateien ohne Befall
  11620 Archive wurden durchsucht
      0 Warnungen
      3 Hinweise
 672895 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden
Code:
ATTFilter
Avira Free Antivirus
Erstellungsdatum der Reportdatei: Mittwoch, 8. Mai 2013  18:53


Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows 7 Professional
Windowsversion : (Service Pack 1)  [6.1.7601]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : MARVIN-PC

Versionsinformationen:
BUILD.DAT      : 13.0.0.3640    54852 Bytes  18.04.2013 13:29:00
AVSCAN.EXE     : 13.6.0.1262   636984 Bytes  07.05.2013 19:28:06
AVSCANRC.DLL   : 13.4.0.360     64800 Bytes  11.12.2012 14:16:51
LUKE.DLL       : 13.6.0.1262    65080 Bytes  07.05.2013 19:32:12
AVSCPLR.DLL    : 13.6.0.1262    92216 Bytes  07.05.2013 19:28:06
AVREG.DLL      : 13.6.0.1262   247864 Bytes  07.05.2013 19:28:02
avlode.dll     : 13.6.2.1262   432184 Bytes  07.05.2013 19:27:59
avlode.rdf     : 13.0.0.46      15591 Bytes  28.03.2013 19:41:06
VBASE000.VDF   : 7.11.70.0   66736640 Bytes  04.04.2013 08:59:08
VBASE001.VDF   : 7.11.74.226  2201600 Bytes  30.04.2013 12:43:34
VBASE002.VDF   : 7.11.74.227     2048 Bytes  30.04.2013 12:43:51
VBASE003.VDF   : 7.11.74.228     2048 Bytes  30.04.2013 12:44:08
VBASE004.VDF   : 7.11.74.229     2048 Bytes  30.04.2013 12:44:27
VBASE005.VDF   : 7.11.74.230     2048 Bytes  30.04.2013 12:44:43
VBASE006.VDF   : 7.11.74.231     2048 Bytes  30.04.2013 12:44:56
VBASE007.VDF   : 7.11.74.232     2048 Bytes  30.04.2013 12:45:16
VBASE008.VDF   : 7.11.74.233     2048 Bytes  30.04.2013 12:45:18
VBASE009.VDF   : 7.11.74.234     2048 Bytes  30.04.2013 12:45:18
VBASE010.VDF   : 7.11.74.235     2048 Bytes  30.04.2013 12:45:18
VBASE011.VDF   : 7.11.74.236     2048 Bytes  30.04.2013 12:45:18
VBASE012.VDF   : 7.11.74.237     2048 Bytes  30.04.2013 12:45:18
VBASE013.VDF   : 7.11.74.238     2048 Bytes  30.04.2013 12:45:18
VBASE014.VDF   : 7.11.75.97    181248 Bytes  02.05.2013 14:58:33
VBASE015.VDF   : 7.11.75.183   217600 Bytes  03.05.2013 14:39:00
VBASE016.VDF   : 7.11.76.27    183808 Bytes  04.05.2013 16:04:07
VBASE017.VDF   : 7.11.76.101   194048 Bytes  06.05.2013 22:34:42
VBASE018.VDF   : 7.11.76.213   163328 Bytes  07.05.2013 01:26:42
VBASE019.VDF   : 7.11.76.214     2048 Bytes  07.05.2013 01:26:42
VBASE020.VDF   : 7.11.76.215     2048 Bytes  07.05.2013 01:26:42
VBASE021.VDF   : 7.11.76.216     2048 Bytes  07.05.2013 01:26:42
VBASE022.VDF   : 7.11.76.217     2048 Bytes  07.05.2013 01:26:42
VBASE023.VDF   : 7.11.76.218     2048 Bytes  07.05.2013 01:26:42
VBASE024.VDF   : 7.11.76.219     2048 Bytes  07.05.2013 01:26:42
VBASE025.VDF   : 7.11.76.220     2048 Bytes  07.05.2013 01:26:42
VBASE026.VDF   : 7.11.76.221     2048 Bytes  07.05.2013 01:26:42
VBASE027.VDF   : 7.11.76.222     2048 Bytes  07.05.2013 01:26:42
VBASE028.VDF   : 7.11.76.223     2048 Bytes  07.05.2013 01:26:43
VBASE029.VDF   : 7.11.76.224     2048 Bytes  07.05.2013 01:26:43
VBASE030.VDF   : 7.11.76.225     2048 Bytes  07.05.2013 01:26:43
VBASE031.VDF   : 7.11.76.250    61952 Bytes  08.05.2013 01:26:43
Engineversion  : 8.2.12.34 
AEVDF.DLL      : 8.1.2.10      102772 Bytes  19.09.2012 13:42:55
AESCRIPT.DLL   : 8.1.4.110     483709 Bytes  03.05.2013 14:39:16
AESCN.DLL      : 8.1.10.4      131446 Bytes  26.03.2013 18:48:47
AESBX.DLL      : 8.2.5.12      606578 Bytes  28.08.2012 15:58:06
AERDL.DLL      : 8.2.0.88      643444 Bytes  10.01.2013 15:33:15
AEPACK.DLL     : 8.3.2.6       827767 Bytes  28.03.2013 19:41:05
AEOFFICE.DLL   : 8.1.2.56      205180 Bytes  11.03.2013 16:27:54
AEHEUR.DLL     : 8.1.4.336    5898617 Bytes  03.05.2013 14:39:14
AEHELP.DLL     : 8.1.25.2      258423 Bytes  18.10.2012 17:08:44
AEGEN.DLL      : 8.1.7.2       442741 Bytes  26.03.2013 18:48:47
AEEXP.DLL      : 8.4.0.26      201078 Bytes  03.05.2013 14:39:16
AEEMU.DLL      : 8.1.3.2       393587 Bytes  19.09.2012 13:42:55
AECORE.DLL     : 8.1.31.2      201080 Bytes  26.02.2013 22:07:51
AEBB.DLL       : 8.1.1.4        53619 Bytes  05.11.2012 19:22:09
AVWINLL.DLL    : 13.6.0.480     26480 Bytes  12.02.2013 15:43:17
AVPREF.DLL     : 13.6.0.480     51056 Bytes  12.02.2013 15:43:36
AVREP.DLL      : 13.6.0.480    178544 Bytes  05.02.2013 16:42:35
AVARKT.DLL     : 13.6.0.1262   258104 Bytes  07.05.2013 19:27:30
AVEVTLOG.DLL   : 13.6.0.1262   164920 Bytes  07.05.2013 19:27:52
SQLITE3.DLL    : 3.7.0.1       397088 Bytes  19.09.2012 17:17:40
AVSMTP.DLL     : 13.6.0.480     62832 Bytes  12.02.2013 15:43:37
NETNT.DLL      : 13.6.0.480     16240 Bytes  12.02.2013 15:44:00
RCIMAGE.DLL    : 13.4.0.360   4780832 Bytes  11.12.2012 14:16:43
RCTEXT.DLL     : 13.6.0.976     69344 Bytes  28.03.2013 07:41:08

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\ProgramData\Avira\AntiVir Desktop\TEMP\AVGUARD_518a820f\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Mittwoch, 8. Mai 2013  18:53

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Masterbootsektor HD1
    [FUND]      Enthält Code des Bootsektorvirus BOO/Whistler.DB
    [HINWEIS]   Der Bootsektor wurde nicht repariert
Bootsektor 'I:\'
    [FUND]      Enthält Code des Bootsektorvirus BOO/Whistler.DB
    [HINWEIS]   Der Bootsektor wurde nicht repariert

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'svchost.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '96' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '124' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '161' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvxdsync.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '89' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '79' Modul(e) wurden durchsucht
Durchsuche Prozess 'WLANExt.exe' - '83' Modul(e) wurden durchsucht
Durchsuche Prozess 'conhost.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '93' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'armsvc.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '87' Modul(e) wurden durchsucht
Durchsuche Prozess 'BecHelperService.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'PowerBiosServer.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskhost.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '187' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '56' Modul(e) wurden durchsucht
Durchsuche Prozess 'RAVCpl64.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPHelper.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'iFrmewrk.exe' - '79' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'SKDaemon.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'StikyNot.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchIndexer.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '121' Modul(e) wurden durchsucht
Durchsuche Prozess 'Hotkey.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '76' Modul(e) wurden durchsucht
Durchsuche Prozess 'THXAudio.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '88' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.bin' - '99' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint32.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvtray.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'unsecapp.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'PresentationFontCache.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '73' Modul(e) wurden durchsucht
Durchsuche Prozess 'LMS.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'sppsvc.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnetwk.exe' - '110' Modul(e) wurden durchsucht
Durchsuche Prozess 'UNS.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'Wilog.exe' - '114' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '120' Modul(e) wurden durchsucht
Durchsuche Prozess 'NOTEPAD.EXE' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'WMIADAP.EXE' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '109' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'wininit.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsm.exe' - '16' Modul(e) wurden durchsucht


Ende des Suchlaufs: Mittwoch, 8. Mai 2013  18:54
Benötigte Zeit: 00:38 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
   1009 Dateien wurden geprüft
      2 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
   1009 Dateien ohne Befall
      3 Archive wurden durchsucht
      0 Warnungen
      2 Hinweise
Malewarebyteslog:
Code:
ATTFilter
Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2013.05.08.04

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Marvin :: MARVIN-PC [Administrator]

08.05.2013 17:50:51
mbam-log-2013-05-08 (17-50-51).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|G:\|I:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 381451
Laufzeit: 23 Minute(n), 29 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Gibt es laienhafte Angaben, was dieser Wistler überhaupt anstellt?

lg,
Narkuma

Alt 12.05.2013, 21:20   #2
Narkuma
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Hab es nun endlich geschafft den TDSSKillerlog zu verpacken. Hab wirklich nur gescannt und nix währenddessen gemacht, also bitte nicht böse sein.

was hat die zeile im log zu bedeuten?
18:51:00.0656 4972 PowerBiosServer ( UnsignedFile.Multi.Generic )
__________________
Alt 12.05.2013, 21:34   #3
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Hi,

Zitat:
\Device\Harddisk1\DR1 ( Rootkit.Boot.Wistler.a ) - skipped by user
Diesen Eintrag bitte mit dem TDSS-Killer fixen. Aber bitte nur diesen Eintrag!

Um das zu tun musst du den TDSS-Killer neu starten und einen neuen Scan machen. Wenn du danach die Ergebnisse siehst, stellst du bitte diesen Eintrag auf CURE bzw. DELETE (je nachdem was dir angeboten wird, alle anderen bitte auf SKIP lassen! ) und klickst dann unten rechts auf continue

Starte Windows danach neu und mach wieder ein komplett neues Log mit dem TDSS-Killer. Bitte in CODE-Tags posten, falls zu groß wieder gezippt anhängen.
__________________
__________________
Alt 14.05.2013, 10:46   #4
Narkuma
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Anbei der Log.

Alt 14.05.2013, 10:51   #5
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Nun ist er weg. Noch Probleme offen?

__________________
Logfiles bitte immer in CODE-Tags posten

Alt 14.05.2013, 12:24   #6
Narkuma
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Vielen Dank cosinus!

Zwei Fragen hätte ich noch:

- Was hat es mit der Zeile auf sich?

Code:
ATTFilter
11:41:23.0295 4916  PowerBiosServer ( UnsignedFile.Multi.Generic ) - skipped by user
- Weißt du vllt, was dieser Wistler bewirkt?

Alt 14.05.2013, 13:40   #7
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Zitat:
- Was hat es mit der Zeile auf sich?
Nach "PowerBiosServer" googlen?

Zitat:
- Weißt du vllt, was dieser Wistler bewirkt?
Technische Beschreibungen findet man überfalls über Google => Threat Description: Rootkit:W32/Whistler
Mal abgesehen davon, deine Bootplatte nicht betroffen war, sondern die externe
__________________
Logfiles bitte immer in CODE-Tags posten

Alt 14.05.2013, 18:13   #8
Narkuma
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Dachte, dass es vllt im Zusammenhang steht. Nachdem es nicht essentiel zu sein scheint, werde ichs löschen lassen.

Alt 15.05.2013, 10:01   #9
cosinus
/// Winkelfunktion
/// TB-Süch-Tiger™
 
BOO/Whistler auf der Externen - Standard

BOO/Whistler auf der Externen


Wieso willst du etwas Legitimes löschen?
__________________
Logfiles bitte immer in CODE-Tags posten

Antwort

Themen zu BOO/Whistler auf der Externen
administrator, autostart, avirameldung, boo/whistler.db, bootsektorvirus, csrss.exe, desktop, explorer.exe, laufwerk, lsass.exe, malware, malwarebytes, modul, programm, prozesse, registry, rundll, rundll32.exe, services.exe, spoolsv.exe, svchost.exe, taskhost.exe, trojaner, windows, winlogon.exe


« Virenalarm Win32:ZAccess-PB [Trj] | Google springt auf andrere Internet Seiten ; Email Account lässt sich nicht öffnen »


Ähnliche Themen: BOO/Whistler auf der Externen


  1. Virus BOO/Whistler.a auf Laptop-Festplatte und 2 externen Festplatten.
    Plagegeister aller Art und deren Bekämpfung - 30.08.2012 (1)
  2. Boo.Whistler.A im Masterbootsektor
    Plagegeister aller Art und deren Bekämpfung - 29.03.2012 (1)
  3. BOO/whistler.A im Master Bootsektor
    Log-Analyse und Auswertung - 18.01.2012 (20)
  4. Whistler entfernen
    Log-Analyse und Auswertung - 25.11.2011 (19)
  5. BOO/Whistler.A
    Log-Analyse und Auswertung - 16.11.2011 (7)
  6. rootkit w7 64 bit whistler
    Alles rund um Windows - 15.11.2011 (1)
  7. Boo Whistler im Masterbootsektor
    Log-Analyse und Auswertung - 07.09.2011 (18)
  8. BOO/Whistler.A Entfernung?
    Log-Analyse und Auswertung - 25.07.2011 (9)
  9. BOO/Whistler.A, wie werde ich ihn wieder los?
    Log-Analyse und Auswertung - 20.07.2011 (2)
  10. Avira und das BOO/Whistler.A Problem...
    Log-Analyse und Auswertung - 17.07.2011 (6)
  11. BOO/whistler - Laufwerke verschwunden...
    Log-Analyse und Auswertung - 17.07.2011 (4)
  12. BOO.Whistler.A im Bootsector E:
    Log-Analyse und Auswertung - 14.07.2011 (1)
  13. Whistler in MBR
    Plagegeister aller Art und deren Bekämpfung - 13.04.2011 (5)
  14. virenmeldung WHISTLER @ MBR rkt
    Plagegeister aller Art und deren Bekämpfung - 02.03.2011 (18)
  15. Whistler@MBR (RTK)
    Plagegeister aller Art und deren Bekämpfung - 25.02.2011 (1)
  16. Whistler Black Internet
    Plagegeister aller Art und deren Bekämpfung - 17.09.2010 (34)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema BOO/Whistler auf der Externen - Hallo Trojaner, Habe vor einigen Tage eine Avirameldung erhalten, dass ein Malware namens 'Boot.Wistler' auf der Externen sein Unwesen treibt. Da es sich bloß auf die Externe beschränken soll, habe - BOO/Whistler auf der Externen...
Archiv
Du betrachtest: BOO/Whistler auf der Externen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129