Rootkit.Dropper firefox.exe und diverses -Überprüfung

Ecca · 25.07.2011, 19:09

aswMBR version 0.9.7.777 Copyright(c) 2011 AVAST Software
Run date: 2011-07-25 19:32:52
-----------------------------
19:32:52.136 OS Version: Windows 6.0.6002 Service Pack 2
19:32:52.136 Number of processors: 4 586 0x1707
19:32:52.136 ComputerName: MARION-PC UserName: Marion
19:32:52.979 Initialize success
19:33:33.029 AVAST engine defs: 11072500
19:33:58.364 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\00000059
19:33:58.364 Disk 0 Vendor: WDC_WD64 01.0 Size: 610480MB BusType: 6
19:33:58.364 Disk 0 MBR read successfully
19:33:58.379 Disk 0 MBR scan
19:33:58.379 Disk 0 Windows VISTA default MBR code
19:33:58.395 Disk 0 scanning sectors +1250260992
19:33:58.457 Disk 0 scanning C:\Windows\system32\drivers
19:34:03.793 Service scanning
19:34:04.775 Disk 0 trace - called modules:
19:34:04.775 ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll storport.sys nvstor32.sys
19:34:04.775 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x864e2470]
19:34:04.791 3 CLASSPNP.SYS[827938b3] -> nt!IofCallDriver -> [0x84b6d6c0]
19:34:04.791 5 acpi.sys[8268d6bc] -> nt!IofCallDriver -> \Device\00000059[0x84b6db88]
19:34:05.602 AVAST engine scan C:\Windows
19:34:07.739 AVAST engine scan C:\Windows\system32
19:35:27.362 AVAST engine scan C:\Windows\system32\drivers
19:35:38.906 AVAST engine scan C:\Users\Marion
19:37:10.244 AVAST engine scan C:\ProgramData
19:38:59.553 Scan finished successfully
20:08:30.153 Disk 0 MBR has been saved successfully to "C:\Users\Marion\Desktop\MBR.dat"
20:08:30.169 The log file has been saved successfully to "C:\Users\Marion\Desktop\aswMBR_25_07_11.txt"

cosinus · 25.07.2011, 19:35

Zitat:

19:33:58.379 Disk 0 Windows VISTA default MBR code

Sieht schonmal viel besser aus. Mach bitte auch noch ein Log mit mbrcheck, wenn der auch grünes Licht gibt, hast du den MBR erfolgreich neu gemacht.

Ecca · 25.07.2011, 20:08

oke

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows Vista Home Premium Edition
Windows Information: Service Pack 2 (build 6002), 32-bit
Base Board Manufacturer: ACER
BIOS Manufacturer: American Megatrends Inc.
System Manufacturer: ACER
System Product Name: Aspire M5641
Logical Drives Mask: 0x000001fc

Kernel Drivers (total 161):
0x8204A000 \SystemRoot\system32\ntkrnlpa.exe
0x82017000 \SystemRoot\system32\hal.dll
0x80606000 \SystemRoot\system32\kdcom.dll
0x8060D000 \SystemRoot\system32\mcupdate_GenuineIntel.dll
0x8067D000 \SystemRoot\system32\PSHED.dll
0x8068E000 \SystemRoot\system32\BOOTVID.dll
0x80696000 \SystemRoot\system32\CLFS.SYS
0x806D7000 \SystemRoot\system32\CI.dll
0x82606000 \SystemRoot\system32\drivers\Wdf01000.sys
0x82677000 \SystemRoot\system32\drivers\WDFLDR.SYS
0x82685000 \SystemRoot\system32\drivers\acpi.sys
0x826CB000 \SystemRoot\system32\drivers\WMILIB.SYS
0x826D4000 \SystemRoot\system32\drivers\msisadrv.sys
0x826DC000 \SystemRoot\system32\drivers\pci.sys
0x82703000 \SystemRoot\System32\drivers\partmgr.sys
0x82712000 \SystemRoot\system32\drivers\volmgr.sys
0x82721000 \SystemRoot\System32\drivers\volmgrx.sys
0x8276B000 \SystemRoot\system32\drivers\nvrd32.sys
0x8278E000 \SystemRoot\system32\drivers\CLASSPNP.SYS
0x827AF000 \SystemRoot\system32\drivers\pciide.sys
0x827B6000 \SystemRoot\system32\drivers\PCIIDEX.SYS
0x827C4000 \SystemRoot\System32\drivers\mountmgr.sys
0x827D4000 \SystemRoot\system32\drivers\nvraid.sys
0x827EF000 \SystemRoot\system32\drivers\atapi.sys
0x807B7000 \SystemRoot\system32\drivers\ataport.SYS
0x807D5000 \SystemRoot\system32\drivers\nvstor32.sys
0x8A20D000 \SystemRoot\system32\drivers\storport.sys
0x8A24E000 \SystemRoot\system32\drivers\fltmgr.sys
0x8A280000 \SystemRoot\system32\drivers\fileinfo.sys
0x8A290000 \SystemRoot\system32\DRIVERS\psdfilter.sys
0x8A299000 \SystemRoot\System32\Drivers\ksecdd.sys
0x8A409000 \SystemRoot\system32\drivers\ndis.sys
0x8A514000 \SystemRoot\system32\drivers\msrpc.sys
0x8A53F000 \SystemRoot\system32\drivers\NETIO.SYS
0x8A30A000 \SystemRoot\System32\drivers\tcpip.sys
0x8A57A000 \SystemRoot\System32\drivers\fwpkclnt.sys
0x8A606000 \SystemRoot\System32\Drivers\Ntfs.sys
0x8A716000 \SystemRoot\system32\drivers\wd.sys
0x8A71E000 \SystemRoot\system32\drivers\volsnap.sys
0x8A757000 \SystemRoot\System32\Drivers\spldr.sys
0x8A75F000 \SystemRoot\System32\Drivers\mup.sys
0x8A76E000 \SystemRoot\System32\drivers\ecache.sys
0x8A795000 \SystemRoot\system32\drivers\disk.sys
0x8A7A6000 \SystemRoot\system32\drivers\crcdisk.sys
0x8A7EA000 \SystemRoot\system32\DRIVERS\tunnel.sys
0x8A7F5000 \SystemRoot\system32\DRIVERS\tunmp.sys
0x8A595000 \SystemRoot\system32\DRIVERS\intelppm.sys
0x8A5A4000 \SystemRoot\system32\DRIVERS\serial.sys
0x8A5BE000 \SystemRoot\system32\DRIVERS\serenum.sys
0x8A5DB000 \SystemRoot\system32\DRIVERS\L8042mou.Sys
0x8A5E9000 \SystemRoot\system32\DRIVERS\LMouKE.Sys
0x8A3F4000 \SystemRoot\system32\DRIVERS\mouclass.sys
0x8A600000 \SystemRoot\system32\DRIVERS\nvsmu.sys
0x8A200000 \SystemRoot\system32\DRIVERS\usbohci.sys
0x8E40C000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0x8E44A000 \SystemRoot\system32\DRIVERS\usbehci.sys
0x8E459000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0x8E4E6000 \SystemRoot\system32\DRIVERS\ohci1394.sys
0x8E4F6000 \SystemRoot\system32\DRIVERS\1394BUS.SYS
0x8E504000 \SystemRoot\system32\DRIVERS\atikmpag.sys
0x8E609000 \SystemRoot\system32\DRIVERS\atikmdag.sys
0x8E544000 \SystemRoot\System32\drivers\dxgkrnl.sys
0x8EDC7000 \SystemRoot\System32\drivers\watchdog.sys
0x8EDD3000 \SystemRoot\system32\drivers\Afc.sys
0x8EDDB000 \SystemRoot\system32\DRIVERS\cdrom.sys
0x8EDF3000 \SystemRoot\system32\DRIVERS\NTIDrvr.sys
0x8F00F000 \SystemRoot\system32\DRIVERS\nvmfdx32.sys
0x8F10B000 \SystemRoot\system32\DRIVERS\wmiacpi.sys
0x8F114000 \SystemRoot\system32\DRIVERS\msiscsi.sys
0x8F143000 \SystemRoot\system32\DRIVERS\TDI.SYS
0x8F14E000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0x8F165000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0x8F170000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0x8F193000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0x8F1A2000 \SystemRoot\system32\DRIVERS\raspptp.sys
0x8F1B6000 \SystemRoot\system32\DRIVERS\rassstp.sys
0x8F1CB000 \SystemRoot\system32\DRIVERS\termdd.sys
0x8F1DB000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0x8F1E6000 \SystemRoot\system32\DRIVERS\swenum.sys
0x8F200000 \SystemRoot\system32\DRIVERS\ks.sys
0x8F22A000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0x8F234000 \SystemRoot\system32\DRIVERS\umbus.sys
0x8F241000 \SystemRoot\system32\DRIVERS\usbhub.sys
0x8F276000 \SystemRoot\System32\Drivers\NDProxy.SYS
0x8F40C000 \SystemRoot\system32\drivers\RTKVHDA.sys
0x8F73C000 \SystemRoot\system32\drivers\portcls.sys
0x8F769000 \SystemRoot\system32\drivers\drmk.sys
0x8F78E000 \SystemRoot\system32\drivers\nvhda32v.sys
0x8F79C000 \SystemRoot\system32\drivers\AtihdLH3.sys
0x8F7B6000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0x8F7BF000 \SystemRoot\System32\Drivers\Null.SYS
0x8F7C6000 \SystemRoot\System32\Drivers\Beep.SYS
0x8F7CD000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0x8F7E9000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0x8F7F0000 \SystemRoot\System32\drivers\vga.sys
0x8F287000 \SystemRoot\System32\drivers\VIDEOPRT.SYS
0x8F400000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0x8F7E0000 \SystemRoot\system32\drivers\rdpencdd.sys
0x8F2A8000 \SystemRoot\System32\Drivers\Msfs.SYS
0x8F2B3000 \SystemRoot\System32\Drivers\Npfs.SYS
0x8F2C1000 \SystemRoot\System32\DRIVERS\rasacd.sys
0x8F2CA000 \SystemRoot\system32\DRIVERS\tdx.sys
0x8F2E0000 \SystemRoot\system32\DRIVERS\smb.sys
0x8F2F4000 \SystemRoot\system32\drivers\afd.sys
0x8F33C000 \SystemRoot\System32\DRIVERS\netbt.sys
0x8F36E000 \SystemRoot\system32\DRIVERS\pacer.sys
0x8F384000 \SystemRoot\system32\DRIVERS\netbios.sys
0x8F392000 \SystemRoot\system32\DRIVERS\wanarp.sys
0x8F3A5000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0x8F3AB000 \SystemRoot\system32\DRIVERS\rdbss.sys
0x8F3E7000 \SystemRoot\system32\drivers\nsiproxy.sys
0x8F1E8000 \SystemRoot\System32\Drivers\dfsc.sys
0x8F80F000 \SystemRoot\system32\DRIVERS\avipbb.sys
0x8F836000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0x8F84B000 \SystemRoot\system32\DRIVERS\USBD.SYS
0x8F84D000 \SystemRoot\System32\Drivers\crashdmp.sys
0x8F85A000 \SystemRoot\System32\Drivers\dump_diskdump.sys
0x8F864000 \SystemRoot\System32\Drivers\dump_nvstor32.sys
0x8F888000 \SystemRoot\System32\Drivers\LUsbFilt.Sys
0x8F88E000 \SystemRoot\system32\DRIVERS\hidusb.sys
0x8F897000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0x8F8A7000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0x8F8BE000 \SystemRoot\system32\DRIVERS\LHidFilt.Sys
0x8F8C6000 \SystemRoot\system32\DRIVERS\mouhid.sys
0x8F8CE000 \SystemRoot\system32\DRIVERS\LMouFilt.Sys
0x8F8D6000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0x97C30000 \SystemRoot\System32\win32k.sys
0x8F8DF000 \SystemRoot\System32\drivers\Dxapi.sys
0x8F8E9000 \SystemRoot\system32\DRIVERS\monitor.sys
0x97E50000 \SystemRoot\System32\TSDDD.dll
0x97E70000 \SystemRoot\System32\ATMFD.DLL
0x8F8F8000 \SystemRoot\system32\drivers\luafv.sys
0x8F913000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0x97EC0000 \SystemRoot\System32\cdd.dll
0x8F92A000 \SystemRoot\system32\drivers\spsys.sys
0x8F9DA000 \SystemRoot\system32\DRIVERS\lltdio.sys
0x8F9EA000 \SystemRoot\system32\DRIVERS\rspndr.sys
0x9CC00000 \SystemRoot\system32\drivers\HTTP.sys
0x9CC6D000 \SystemRoot\System32\DRIVERS\srvnet.sys
0x9CC8A000 \SystemRoot\system32\DRIVERS\bowser.sys
0x9CCA3000 \SystemRoot\System32\drivers\mpsdrv.sys
0x9CCB8000 \SystemRoot\system32\drivers\mrxdav.sys
0x9CCD9000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0x9CCF8000 \SystemRoot\system32\DRIVERS\mrxsmb10.sys
0x9CD31000 \SystemRoot\system32\DRIVERS\mrxsmb20.sys
0x9CD49000 \SystemRoot\System32\DRIVERS\srv2.sys
0x9CD71000 \SystemRoot\System32\DRIVERS\srv.sys
0x9CDC0000 \??\C:\Acer\Empowering Technology\eRecovery\int15.sys
0xA4C0C000 \SystemRoot\system32\drivers\peauth.sys
0xA4CEA000 \SystemRoot\system32\DRIVERS\PSDNServ.sys
0xA4CF3000 \SystemRoot\system32\DRIVERS\PSDVdisk.sys
0xA4D05000 \SystemRoot\System32\Drivers\secdrv.SYS
0xA4D0F000 \SystemRoot\System32\drivers\tcpipreg.sys
0xA4D1B000 \??\C:\Windows\system32\drivers\tvicport.sys
0xA4D1E000 \??\C:\Windows\system32\drivers\zntport.sys
0xA4D1F000 \SystemRoot\system32\DRIVERS\WUDFRd.sys
0xA4D34000 \SystemRoot\system32\DRIVERS\WUDFPf.sys
0xA4D46000 \SystemRoot\system32\DRIVERS\cdfs.sys
0xA4D5C000 \??\C:\Windows\system32\drivers\mbam.sys
0xA4D60000 \??\C:\Users\Marion\AppData\Local\Temp\aswMBR.sys
0x773D0000 \Windows\System32\ntdll.dll

Processes (total 72):
0 System Idle Process
4 System
456 C:\Windows\System32\smss.exe
524 csrss.exe
596 C:\Windows\System32\wininit.exe
608 csrss.exe
640 C:\Windows\System32\services.exe
652 C:\Windows\System32\lsass.exe
664 C:\Windows\System32\lsm.exe
812 C:\Windows\System32\svchost.exe
880 C:\Windows\System32\svchost.exe
932 C:\Windows\System32\svchost.exe
964 C:\Windows\System32\atiesrxx.exe
1016 C:\Windows\System32\winlogon.exe
1044 C:\Windows\System32\svchost.exe
1076 C:\Windows\System32\svchost.exe
1100 C:\Windows\System32\svchost.exe
1204 C:\Windows\System32\audiodg.exe
1232 C:\Windows\System32\SLsvc.exe
1280 C:\Windows\System32\svchost.exe
1376 C:\Windows\System32\svchost.exe
1604 C:\Windows\System32\spoolsv.exe
1632 C:\Program Files\Avira\AntiVir Desktop\sched.exe
1644 C:\Windows\System32\svchost.exe
1780 C:\Windows\System32\atieclxx.exe
400 C:\Windows\System32\dwm.exe
500 C:\Windows\explorer.exe
504 C:\Windows\System32\taskeng.exe
588 C:\Windows\System32\taskeng.exe
2248 C:\Acer\Empowering Technology\SysMonitor.exe
2260 C:\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
2280 C:\Windows\System32\nvraidservice.exe
2300 C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
2316 C:\Program Files\Microsoft IntelliPoint\ipoint.exe
2500 C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
2540 C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
2556 C:\Program Files\Windows Media Player\wmpnscfg.exe
2640 C:\Program Files\Logitech\SetPoint\SetPoint.exe
2756 C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.exe
2876 C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
3012 C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
3164 C:\Acer\Empowering Technology\Acer.Empowering.Framework.Supervisor.exe
3232 C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
3452 C:\Program Files\Common Files\ArcSoft\Connection Service\Bin\ACService.exe
3472 C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\CLMSServer.exe
3488 C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
3576 C:\Program Files\Avira\AntiVir Desktop\avguard.exe
3608 C:\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
3800 C:\Windows\System32\svchost.exe
3824 C:\Program Files\CyberLink\Shared Files\RichVideo.exe
3892 C:\Program Files\Avira\AntiVir Desktop\avshadow.exe
3904 C:\Windows\System32\svchost.exe
4004 C:\Windows\System32\svchost.exe
4052 C:\Program Files\Common Files\microsoft shared\Windows Live\WLIDSVC.EXE
1392 C:\Windows\System32\SearchIndexer.exe
2180 C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
2380 C:\Program Files\Common Files\microsoft shared\Windows Live\WLIDSVCM.EXE
2276 C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe
2940 WUDFHost.exe
2216 WmiPrvSE.exe
4292 WmiPrvSE.exe
4644 C:\Program Files\Windows Media Player\wmpnetwk.exe
4720 C:\Windows\System32\mobsync.exe
4816 C:\Windows\System32\wbem\unsecapp.exe
5724 C:\Windows\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
5416 C:\Windows\System32\svchost.exe
984 C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe
4716 C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\AAM Updates Notifier.exe
2120 dllhost.exe
4512 dllhost.exe
3140 C:\Users\Marion\Desktop\MBRCheck.exe
1900 C:\Windows\System32\conime.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000001`f3a00000 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x0000004b`89000000 (NTFS)

PhysicalDrive0 Model Number: WDC WD6400AAKS-22A7B, Rev: 01.0

Size Device Name MBR Status
--------------------------------------------
596 GB \\.\PhysicalDrive0 MBR Code Faked!
SHA1: E43E29FA989EDD40E2C31C97D282243B52D36B81

Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:

cosinus · 26.07.2011, 08:00

Hm, dfer sagt immer noch gefakte MBR, ich hab langsam den Eindruck, dass mbrcheck sich in diesem Fall irrt.

Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Ecca · 26.07.2011, 21:14

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Datenbank Version: 7283

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

26.07.2011 18:34:18
mbam-log-2011-07-26 (18-34-18).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 225236
Laufzeit: 1 Stunde(n), 0 Minute(n), 8 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Code:

ATTFilter

SUPERAntiSpyware Scann-Protokoll
hxxp://www.superantispyware.com

Generiert 07/26/2011 bei 08:27 PM

Version der Applikation : 4.55.1000

Version der Kern-Datenbank : 7462
Version der Spur-Datenbank : 5274

Scan Art       : kompletter Scann
Totale Scann-Zeit : 01:24:58

Gescannte Speicherelemente  : 855
Erfasste Speicher-Bedrohungen  : 0
Gescannte Register-Elemente  : 8756
Erfasste Register-Bedrohungen  : 0
Gescannte Datei-Elemente     : 200078
Erfasste Datei-Elemente   : 0

Code:

ATTFilter

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
ESETSmartInstaller@High as downloader log:
all ok
esets_scanner_update returned -1 esets_gle=53251
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=6435a2238a26aa42a21c66f19debc9f3
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-07-18 08:46:20
# local_time=2011-07-18 10:46:20 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.0.6002 NT Service Pack 2
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=1797 16775165 100 94 125253 47554929 7246 0
# compatibility_mode=5892 16776573 100 100 207356 148550803 0 0
# compatibility_mode=8192 67108863 100 0 5351 5351 0 0
# scanned=209195
# found=0
# cleaned=0
# scan_time=3904
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=6435a2238a26aa42a21c66f19debc9f3
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-07-26 07:54:13
# local_time=2011-07-26 09:54:13 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.0.6002 NT Service Pack 2
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=1797 16775165 100 94 528804 48243088 521818 0
# compatibility_mode=5892 16776573 100 100 46772 149238962 0 0
# compatibility_mode=8192 67108863 100 0 693510 693510 0 0
# scanned=208187
# found=2
# cleaned=0
# scan_time=3818
C:\Users\Marion\Desktop\DriverReviverSetup(1).exe	a variant of Win32/RegistryReviver application (unable to clean)	00000000000000000000000000000000	I
C:\Users\Marion\Desktop\DriverReviverSetup.exe	a variant of Win32/RegistryReviver application (unable to clean)	00000000000000000000000000000000	I

der driver reviver den hier gedownloaded habe. dachte das wäre der download zum cd booten und brennen...mist :///

cosinus · 27.07.2011, 09:37

Zitat:

C:\Users\Marion\Desktop\DriverReviverSetup(1).exe a variant of Win32/RegistryReviver application (unable to clean) 00000000000000000000000000000000 I
C:\Users\Marion\Desktop\DriverReviverSetup.exe

Das Teil ist Müll! Schlangenöl! Deinstallieren falls installiert und die Setups löschen!
Ansonsten Rechner wieder ok?

Ecca · 27.07.2011, 19:11

Wenn die ganzen viecher weg sind, dann ist alles soweit ok.

Ich danke dir sehr anre, für deine mühen und geduld, mach weiter so!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

cosinus · 28.07.2011, 10:08

Dann wären wir durch!

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Ecca · 30.07.2011, 14:51

Ok super, danke

aber was mache ich mit den sachen die in antivir in quarantäne sind?

Typ: Datei
Quelle: C:\Users\Marion\Desktop\tebx99zx.exe
Status: Verdächtig
Quarantäne-Objekt: 4bdac7f0.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.06.22
Virendefinitionsdatei: 7.11.12.167
Meldung: Verdächtige Datei
Datum/Uhrzeit: 30.07.2011, 15:48

cosinus · 30.07.2011, 19:32

Zitat:

Quelle: C:\Users\Marion\Desktop\tebx99zx.exe

Das war doch die GMER-Executable!

Zitat:

aber was mache ich mit den sachen die in antivir in quarantäne sind?

Du weißt, was eine Quarantäne ist? Ob da die schädliche Datei drinbleibt oder nicht, das hat keine Auswirkungen. Schädlinge in der Quarantäne können nichts mehr anrichten, sie sind dort isoliert. Du solltest grundsätzlich mit der Quarantäne arbeiten, denn falls der Virenscanner durch einen Fehlalarm was wichtiges löscht, kannst Du notfalls noch über die Quarantäne an die Datei ran.

Rootkit.Dropper firefox.exe und diverses -Überprüfung

Log-Analyse und Auswertung: Rootkit.Dropper firefox.exe und diverses -Überprüfung