Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: SUPERGAU! --> Studio-PC Befallen ???

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 18.09.2008, 20:18   #1
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Hallo freunde der Kunst,

ich hab seit einer Woche ständig Meldungen vom Antivir (Avira) das sich verschiedene Viren auf dem PC befinden.
Produktupdates und Standartupdates auch Windowsupdates werdem regelmäßig ausgeführt.

Leider habe ich auch bis Dato kein Programm gefunden, welches mir ein Raid System aus 2 Platten unter WinXp "komplett" mit bootfähiger DVD/CD erstellt.
Sonst würd ich format C: durchziehen.

Jetzt hab ich den Salat..
Antivir pipst ständig, und irgendwie ist der Rechner langsamer geworden?!
Bei niedrigen Latenzen mit viel CPU-Last fällt das auf. :-(

Anbei findet Ihr ein Log vom Hijack sowie auch vom Avira Scannvorgang.
Es befindet sich eine große menge an Musiksoftware auf dem PC, Cubase 4, Reason, EMU, Native Instruments, 3 UAD-Karten, 1 Powercore, Externes Midi- Master Keyboard (USB), Dongle`s, etc. Also nicht wundern...

CCleaner + ComboFix hab ich nach Anleitung ausgeführt.

Antivier steht überall auf Hoch (schon seit dem ersten Tag),
hoffentlich sinds alles nur Fehl-alarme!

Die Internetverbindung ist meistens INAKTIV (per windows deaktivierung).
Ich kann den Avira nicht zusammen mit dem Cubase Sequencer laufen lassen das führt zu knacksern. Also das Schirmchen ist des öfteren zu! Systemscans mach ich aber hin und wieder. Und ja ich Klapp den Schirm auf bevor ich ins netzt geh wieder auf. Und nein, ich surf auf keinen Pornoseiten oder lade illegales Zeug!

Bin für jeden Rat dankbar,
ne formatierung würde einfach zu viel Zeit in anspruch nehmen,
und zu 100% wie es läuft (ohne Virus) bekomm ichs eh net mehr hin.
Ich hätt auch gar nciht genug festplatten hier um ein Backup zu machen,
und am ende Kopier ich den Virus (wenns Ihn gibt) noch mit (ganz toll)...

--------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:35:12, on 18.09.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative Professional\E-MU PatchMix DSP\EmuPMixDSP.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\Programme\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Programme\PC Connectivity Solution\Transports\NclRSSrv.exe
c:\programme\antivir personaledition classic\avscan.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programme\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Programme\Nokia\Nokia PC Suite 7\PCSync2.exe" /NoDialog
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-3561442287-1399218105-487459787-500\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Administrator')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 4480 bytes


-------------------------------------------------------------------------
-------------
-------------------------------------------------------------------------

-------------

AVIRASCAN:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 18. September 2008 19:30

Es wird nach 1624929 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: XXXXXXXX
Computername: XXXXXXXXX

Versionsinformationen:
BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 17.07.2008 15:39:39
AVSCAN.DLL : 8.1.4.0 48897 Bytes 17.07.2008 15:39:39
LUKE.DLL : 8.1.4.5 164097 Bytes 17.07.2008 15:39:39
LUKERES.DLL : 8.1.4.0 12545 Bytes 17.07.2008 15:39:39
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:15:05
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:26:46
ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 12:01:15
ANTIVIR3.VDF : 7.0.6.180 188416 Bytes 18.09.2008 16:28:44
Engineversion : 8.1.1.34
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:52:02
AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 16:28:50
AESCN.DLL : 8.1.0.23 119156 Bytes 17.07.2008 15:39:40
AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 16:28:49
AEPACK.DLL : 8.1.2.1 364917 Bytes 17.07.2008 15:39:40
AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 16:28:48
AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 16:28:47
AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 15:19:19
AEGEN.DLL : 8.1.0.36 315764 Bytes 20.08.2008 06:49:25
AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 17:44:09
AECORE.DLL : 8.1.1.11 172406 Bytes 04.09.2008 19:43:14
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 15:39:39
AVWINLL.DLL : 1.0.0.12 15105 Bytes 17.07.2008 15:39:39
AVPREF.DLL : 8.0.2.0 38657 Bytes 17.07.2008 15:39:39
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 17:44:08
AVREG.DLL : 8.0.0.1 33537 Bytes 17.07.2008 15:39:39
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:52:02
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 17.07.2008 15:39:39
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:52:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 17.07.2008 15:39:39
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:52:02
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 17.07.2008 15:39:38
RCTEXT.DLL : 8.0.52.0 86273 Bytes 17.07.2008 15:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Lokale Festplatten
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\alldiscs.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 99
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Donnerstag, 18. September 2008 19:30

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '50718' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MPAPI3s.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EmuPMixDSP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PcSync2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '33' Prozesse mit '33' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '50' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XP32>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\XXXXXX\Desktop\ComboFix.exe
[0] Archivtyp: RAR SFX (self extracting)
--> 32788R22FWJFW\hidec.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
--> 32788R22FWJFW\NirCmd.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\nircmd.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\NirCmdC.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
--> 32788R22FWJFW\psexec.cfexe
[1] Archivtyp: RSRC
--> Object
[FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\Nircmd.exe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <Vista64>
D:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Donnerstag, 18. September 2008 21:08
Benötigte Zeit: 1:37:33 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

40995 Verzeichnisse wurden überprüft
1056709 Dateien wurden geprüft
6 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
2 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
3 Dateien konnten nicht durchsucht werden
1056700 Dateien ohne Befall
6939 Archive wurden durchsucht
3 Warnungen
2 Hinweise
50718 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

----------------------------------------------------------------------



Den defender von Vista Ultimate 64Bit hab ich auch schon drüber rutschen lassen.. ***das dauert alles....

Thx
__________________
beezrecords.com

Alt 18.09.2008, 23:24   #2
KarlKarl
/// Helfer-Team
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Hi

alles im Antivir Log sind die üblichen Fehlalarme, wenn man Combofix lädt, sowie sptd.sys -> Daemon Tools/Alocohol. Zu Combofix gehört schließlich die Warnung, dass man alle anderen Scanner deaktivieren soll. Gibt es noch andere Meldungen von Antivir? Warum wurde Combofix überhaupt geladen? Das Programm ist nur die letzte Notrettung, wenn man ansonsten formatieren müsste. (Was man dann auch tun sollte)

Code:
ATTFilter
O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
         
Überreste eines Zlobs. Du solltest mal kontrollieren, dass es diese Datei wirklich nicht gibt, die Angabe "(file missing)" könnte bei HijackThis falsch sein.

Grundsätzlich lässt sich auch dieser Computer neu installieren, irgendwie ist die vorhandene Installation ja auch mal drauf gekommen. Wenn das aber eine so spezielle und wertvolle Installation ist, auf der Antivir oft ausgeschaltet werden muss, dann wäre darüber nachzudenken, ihn nicht mehr mit dem Netz zu verbinden. Fürs Surfen dann eine billige alte Kiste vom Trödler daneben stellen.

Code:
ATTFilter
http://home.sweetim.com
         
hat jedenfalls auf so einem Rechner nichts zu suchen.

Gruß, Karl
__________________


Alt 19.09.2008, 15:19   #3
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Zitat von KarlKarl Beitrag anzeigen
Hi

Code:
ATTFilter
O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
         
Du solltest mal kontrollieren, dass es diese Datei wirklich nicht gibt, die Angabe "(file missing)" könnte bei HijackThis falsch sein.

Fürs Surfen dann eine billige alte Kiste vom Trödler daneben stellen.

Code:
ATTFilter
http://home.sweetim.com
         
hat jedenfalls auf so einem Rechner nichts zu suchen.

Gruß, Karl
Ja zum Surfen in dem Sinne benutz ich ja meinen Laptop, leider kann ich aber einige Software nicht ohne Internetverbindung Installieren, Updaten und oder Freischalten. Dazu benötige ich hin und wieder mal die Verbindung zum I-Net.

Das ComboFix hab ich installiert weil ich nach den Viren, welche Avira angezeigt hat bei google gesucht habe, und mehrere verweise auf das board hier bekommen habe wo immer drin stand man sollte das mal durchlaufen lassen. Ich hatte 10-20 Meldungen in der ersten Minute nachdem das OS oben war. Hintergrunddbild war weg, Registerreiter unter Eigenschaften der Anzeige haben gefehlt, Rechner war sehr langsam usw. Antivir sowie defender haben nix gebracht, also hab ichs mal gemacht, schlimmer hätts ja nicht mehr werden können. Aber wie durch Geißterhand ist jetzt ruhe seit dem ich gestern den Beitrag geschrieben habe.

Diese -MsComServ- Datei gibt es nicht od. nicht mehr..

Kann ich jetzt davon ausgehen, das der Rechner Clean ist,
oder sollt ich den zur sicherheit das Antivier lieber mal eine Woche nebenher laufen lassen???

Und ja das System ist sehr Speziel, zwar noch lang nicht so gut wie mein alter PC den ich vor 2 Jahren hatte, der hat nur 88MB vom Arbeitsspeicher belegt nach dem hochfahren und es waren grad mal 18 Prozesse Aktiv im Taskmanager, aber ich glaub bei der neuen Maschine kann ich mir das Software-Tuning echt schenken weil ich doch sehr zufrieden bin mit der Leistung, und dem Chipsatz. Es läuft wirklich stabil dafür das kein Slot mehr frei ist. Ich hoffe nur ich kann bald mal umsteigen auf die Vista 64Bit Version..

Vielen Dank für die schnelle Hilfe,
eine Neuinstallation (Konfiguration) wäre wirklich tragisch und extremst Zeitaufwändig gewesen.

PS:
Was ist das?? "home.sweetim.com"
Ist das wirklich von google? und wie kommt das auf mein Rechner?
__________________
__________________

Alt 19.09.2008, 15:27   #4
MightyMarc
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Zitat von beezrecords Beitrag anzeigen
Kann ich jetzt davon ausgehen, das der Rechner Clean ist,...
Jein. Warte mal auf einen der Bereinigungsspezis, damit Ihr zusammen einen genaueren Blick drauf werfen könnt.

Zitat:
..., oder sollt ich den zur sicherheit lieber mal eine Woche nebenher laufen lassen???
Er hat Dich bisher ja bestens geschützt, oder?

Zitat:
Was ist das?? "home.sweetim.com"
Sweetim bietet afaik Emoticons für diverse Messenger an. Hat auf dem System wirklich gar nichts zu suchen. Wie das drauf kam? Kann man jetzt wohl nicht mehr klären.

Bezüglich Backup/Image:
Schau Dir mal Acronis True Image an. Wenn Dein Raidcontroller von TI unterstützt wird, sollte es keine Probleme mit dem Backup geben.

Marc
__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Alt 19.09.2008, 15:38   #5
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Zitat von %ComSpec% Beitrag anzeigen
Jein. Warte mal auf einen der Bereinigungsspezis, damit Ihr zusammen einen genaueren Blick drauf werfen könnt.

Er hat Dich bisher ja bestens geschützt, oder?

Bezüglich Backup/Image:
Schau Dir mal Acronis True Image an. Wenn Dein Raidcontroller von TI unterstützt wird, sollte es keine Probleme mit dem Backup geben.

Marc
Also das Acronis True Image ist denke ich genau das, was ich echt mal brauch! Und bei dem Preis sowieso. *merci*
Ich muss allerdings erst sicherstellen ob der PC clean ist und ob mein Raid überhaupt unterstützt wird, und ob ich dann von CD Booten kann und diese erkennt dann die USB Platte wo alles drauf ist.
Weil eins ist sicher:
Ich kauf lieber ne 1000GB Platte als 100 DVD`s zu brennen :aplaus:

__________________
beezrecords.com

Alt 19.09.2008, 17:10   #6
MightyMarc
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Zitat von beezrecords Beitrag anzeigen
Ich kauf lieber ne 1000GB Platte als 100 DVD`s zu brennen :aplaus:
DVDs sind auch nicht im geringsten für die Archivierung geeignet (siehe entsprechendes Feature in einer der diesjährigen c't-Ausgaben).

Marc
__________________
--> SUPERGAU! --> Studio-PC Befallen ???

Alt 21.09.2008, 01:07   #7
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Unglücklich

SUPERGAU! --> Studio-PC Befallen ???



So ich hab mal noch einen Scan mit dem Avira gemacht.
Hat schon wieder was gefunden

Der PC ist im normalbetrieb jetzt aber ruhig.
Also es kommen keine Virenmeldungen mehr von selbst,
ausser ich mache eine Systemprüfung.

Denke da lebt noch was...




Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 21. September 2008 00:09

Es wird nach 1626845 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: XXXXXXXXXX
Computername: XXXXXXXXXX

Versionsinformationen:
BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 17.07.2008 15:39:39
AVSCAN.DLL : 8.1.4.0 48897 Bytes 17.07.2008 15:39:39
LUKE.DLL : 8.1.4.5 164097 Bytes 17.07.2008 15:39:39
LUKERES.DLL : 8.1.4.0 12545 Bytes 17.07.2008 15:39:39
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:15:05
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:26:46
ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 12:01:15
ANTIVIR3.VDF : 7.0.6.188 217088 Bytes 19.09.2008 13:59:28
Engineversion : 8.1.1.34
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:52:02
AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 16:28:50
AESCN.DLL : 8.1.0.23 119156 Bytes 17.07.2008 15:39:40
AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 16:28:49
AEPACK.DLL : 8.1.2.1 364917 Bytes 17.07.2008 15:39:40
AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 16:28:48
AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 16:28:47
AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 15:19:19
AEGEN.DLL : 8.1.0.36 315764 Bytes 20.08.2008 06:49:25
AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 17:44:09
AECORE.DLL : 8.1.1.11 172406 Bytes 04.09.2008 19:43:14
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 15:39:39
AVWINLL.DLL : 1.0.0.12 15105 Bytes 17.07.2008 15:39:39
AVPREF.DLL : 8.0.2.0 38657 Bytes 17.07.2008 15:39:39
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 17:44:08
AVREG.DLL : 8.0.0.1 33537 Bytes 17.07.2008 15:39:39
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:52:02
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 17.07.2008 15:39:39
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:52:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 17.07.2008 15:39:39
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:52:02
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 17.07.2008 15:39:38
RCTEXT.DLL : 8.0.52.0 86273 Bytes 17.07.2008 15:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 99
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Sonntag, 21. September 2008 00:09

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '71568' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EmuPMixDSP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '30' Prozesse mit '30' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '50' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XP32>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000101.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000109.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000167.exe
[0] Archivtyp: RAR SFX (self extracting)
--> 32788R22FWJFW\hidec.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
--> 32788R22FWJFW\NirCmd.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\nircmd.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\NirCmdC.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
--> 32788R22FWJFW\psexec.cfexe
[1] Archivtyp: RSRC
--> Object
[FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000168.exe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <Vista64>
D:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Sonntag, 21. September 2008 02:03
Benötigte Zeit: 1:53:25 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

41520 Verzeichnisse wurden überprüft
1148872 Dateien wurden geprüft
8 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
4 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
3 Dateien konnten nicht durchsucht werden
1148861 Dateien ohne Befall
7084 Archive wurden durchsucht
3 Warnungen
4 Hinweise
71568 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

------------------------------------------------------------

und jetzt?

ich wollte versuchen dieses Verzeichnis C:\System Volume Information\ zu öffnen.
Geht nicht, ...kann nicht zugegriffen werden, zugriff verweigert.
__________________
beezrecords.com

Geändert von beezrecords (21.09.2008 um 01:14 Uhr)

Alt 21.09.2008, 01:13   #8
Silent sharK
 

SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Das sind Reste in der Systemwiederherstellung.
Die entfernst du, indem du die Systemwiederherstellung deaktivierst:
Rechtsklick auf Arbeitsplatz => Eigenschaften => Systemwiederherstellung => Häkchen setzen bei "Systemwiederherstellung auf allen Laufwerken deaktivieren" setzen => Rechner neustarten

Jetzt kannst du die Systemwiederherstellung reaktivieren.
__________________
mfg, Patrick


Technische Kompromittierung
=> Tatort Internet
Keine Windows-CD? Selbst brennen.


Alt 21.09.2008, 01:22   #9
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Danke, hab ich gemacht.

Ähhmmm, was macht/bringt das jetzt?
Stellt das das wieder von selbst generieren des Viruses ab oder sowas?

muss ich jetzt nochmal einen 2std. Systemscan machen?
__________________
beezrecords.com

Alt 21.09.2008, 01:23   #10
Silent sharK
 

SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Ähhmmm, was macht/bringt das jetzt?
Das hat die Reste gelöscht.
Zitat:
Stellt das das wieder von selbst generieren des Viruses ab oder sowas?
Nein. Ich denke, als ein neuer Wiederherstellungspunkt gesetzt wurde, warst du infiziert.
Logischerweise wird die Malware dann mitgesichert.

Gute Nacht
__________________
mfg, Patrick


Technische Kompromittierung
=> Tatort Internet
Keine Windows-CD? Selbst brennen.


Alt 21.09.2008, 20:11   #11
KarlKarl
/// Helfer-Team
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Dein letzter Antivir-Bericht: Das sind die Erkennungen, die Du auch schon in deinem ersten hattest, Teile von Combofix, nur dass sie in der Zwischenzeit vom System in die Systemwiederherstellung kopiert wurden. Sachen mit "APPL/" im Namen sind auch keine Viren oder Trojaner sondern nur Programme, die isch auch für schlechte Sachen nutzen lassen. Z.B. Tools um Prozesse zu beenden oder zu starten. Sie haben aber auch viele legale Anwendungen. Als Default sind nach einer neuen Antivir-Installation die APPL-Erkennungen auch ausgeschaltet, sie sind mehr für gewerbliche Umfelder gedacht, in denen Administratoren mehr Software nicht wollen.

Alt 22.09.2008, 01:09   #12
SystemPro
 
SUPERGAU! --> Studio-PC Befallen ??? - Icon21

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Ja zum Surfen in dem Sinne benutz ich ja meinen Laptop, leider kann ich aber einige Software nicht ohne Internetverbindung Installieren, Updaten und oder Freischalten. Dazu benötige ich hin und wieder mal die Verbindung zum I-Net.
Je nachdem, als wie wichtig du deinen Studio PC ansiehst, lass es, es gibt auch Wege das System ohne Internet freizuschalten und upzudaten. Windows per se ins Internet zu lassen auf deinem "ich vermute mal heiligen Studio PC" ist keine gute Idee. Achso und falls du tatsächlich internet unbedingt brauchst, dann würde ich den Softwareentwickler eine Rüge-Mail schicken und dann alle deine wichtigen Sachen erst später drauf machen und halt online aktivieren... (wobei Echelon dir dann gleich zuhört und deine Songs werden automatisch in deren Archivierungskammer eingesaugt).

Geändert von SystemPro (22.09.2008 um 01:16 Uhr)

Alt 08.10.2008, 21:34   #13
beezrecords
 
SUPERGAU! --> Studio-PC Befallen ??? - Standard

SUPERGAU! --> Studio-PC Befallen ???



Zitat:
Zitat von SystemPro Beitrag anzeigen
(wobei Echelon dir dann gleich zuhört und deine Songs werden automatisch in deren Archivierungskammer eingesaugt).

he he he.. *piss weg***

hab mir das grad mal durchgelesen bei wiki..
ist ja hammer..

ich werd mir wohl nen faradayschen Käfig bauen müssen..


*hab übrigends noch mal nen scan gemacht, es ist jetzt ruhe!
__________________
beezrecords.com

Antwort

Themen zu SUPERGAU! --> Studio-PC Befallen ???
100%, antivir, avira, bho, combofix, cpu-last, cubase, desktop, drivers, eudora, festplatte, format, heulen, hijack, hijackthis, hkus\s-1-5-18, internet explorer, nt.dll, programm, prozesse, quara, registry, rundll, scan, solution, suchlauf, system, updates, usb, versteckte objekte, verweise, viren, virus, virus gefunden, vista, warnung, windows xp, windows xp sp3, windows\system32\drivers, wuauclt.exe, xp sp3




Ähnliche Themen: SUPERGAU! --> Studio-PC Befallen ???


  1. Frage zu einem Programm - Free Studio
    Diskussionsforum - 22.10.2015 (10)
  2. Visual Studio 2015 RTM erscheint am 20. Juli
    Nachrichten - 30.06.2015 (0)
  3. Jetzt testen: Visual Studio 2015 Preview
    Nachrichten - 13.11.2014 (0)
  4. Kostenlos: Visual Studio Community 2013
    Nachrichten - 13.11.2014 (0)
  5. Supergau, windows 8 nimmt mein Passwort nicht mehr!!
    Alles rund um Windows - 07.05.2014 (0)
  6. PC langsam nach DAZ Studio installation
    Plagegeister aller Art und deren Bekämpfung - 24.02.2014 (1)
  7. Update 4 für Visual Studio 2012 verfügbar
    Nachrichten - 14.11.2013 (0)
  8. Videos vom Visual Studio-Launch online
    Nachrichten - 17.09.2012 (0)
  9. TR/Crypt.XPACK.Gen 2 durch DVDvideosoft Free Studio
    Plagegeister aller Art und deren Bekämpfung - 20.02.2012 (1)
  10. Neues Informationsangebot zu den Visual Studio Test-Tools
    Nachrichten - 06.05.2011 (0)
  11. Supergau ("Update.exe, Programme/Prozesse werden nicht ausgeführt)
    Plagegeister aller Art und deren Bekämpfung - 10.04.2011 (1)
  12. Update zum Visual Studio ALM Pivot
    Nachrichten - 25.02.2011 (0)
  13. Betaversion von Visual Studio 2010 Service Pack 1 (SP1)
    Nachrichten - 25.02.2011 (0)
  14. Antivirus Studio 2010 entfernen
    Anleitungen, FAQs & Links - 03.10.2010 (2)
  15. virus, würmer = supergau!
    Log-Analyse und Auswertung - 08.08.2009 (5)
  16. SPR/FL.Studio.1
    Plagegeister aller Art und deren Bekämpfung - 15.04.2007 (1)
  17. Backdoor.Win32.Rbot.gen gefunden in studio.exe
    Log-Analyse und Auswertung - 01.02.2005 (3)

Zum Thema SUPERGAU! --> Studio-PC Befallen ??? - Hallo freunde der Kunst, ich hab seit einer Woche ständig Meldungen vom Antivir (Avira) das sich verschiedene Viren auf dem PC befinden. Produktupdates und Standartupdates auch Windowsupdates werdem regelmäßig ausgeführt. - SUPERGAU! --> Studio-PC Befallen ???...
Archiv
Du betrachtest: SUPERGAU! --> Studio-PC Befallen ??? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.