| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system?Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
| |
03.08.2011, 19:54
| #1 |
| /// Winkelfunktion /// TB-Süch-Tiger™   |  stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Wir sollten den MBR reparieren. Sichere für den Fall der Fälle jetzt alle wichtigen Daten. Hast Du noch andere Betriebssystem außer WinXP drauf? Wenn nicht, also WinXP das einzige installierte System ist: Starte den Rechner neu und wähle im Bootmenü die Wiederherstellungskonsole aus. Tipp dort den Befehl fixmbr ein (dann Enter, mit j bestätigen) danach den Befehl fixboot (dann Enter, mit j bestätigen) Mit exit (dann enter drücken) wird der Rechner neu gestartet. Führe im normalen Windowsmodus MBRcheck und GMER nochmals aus und poste das neue Log.
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
04.08.2011, 08:54
| #2 |
 |  stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Da ich nur WinXP drauf habe, habe ich den MBR so repariert wie du gesagt hast. Hat alles reibungslos geklappt.
__________________Hier die neuen Logs: GMER Logfile: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-08-03 23:57:54
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 SAMSUNG_HM320II rev.2AC101C4
Running: gkqpmon0.exe; Driver: C:\DOKUME~1\LEKS_2~1\LOKALE~1\Temp\kglcauod.sys
---- System - GMER 1.0.15 ----
SSDT BAFAD174 ZwClose
SSDT BAFAD12E ZwCreateKey
SSDT BAFAD17E ZwCreateSection
SSDT BAFAD124 ZwCreateThread
SSDT BAFAD133 ZwDeleteKey
SSDT BAFAD13D ZwDeleteValueKey
SSDT BAFAD16F ZwDuplicateObject
SSDT BAFAD142 ZwLoadKey
SSDT BAFAD110 ZwOpenProcess
SSDT BAFAD115 ZwOpenThread
SSDT BAFAD14C ZwReplaceKey
SSDT BAFAD147 ZwRestoreKey
SSDT BAFAD183 ZwSetContextThread
SSDT BAFAD138 ZwSetValueKey
SSDT BAFAD11F ZwTerminateProcess
Code BAFCCC9C ZwRequestPort
Code BAFCCD3C ZwRequestWaitReplyPort
Code BAFCCBFC ZwTraceEvent
Code BAFCCC9B NtRequestPort
Code BAFCCD3B NtRequestWaitReplyPort
Code BAFCCBFB NtTraceEvent
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!NtTraceEvent 80535108 5 Bytes JMP BAFCCC00
PAGE ntkrnlpa.exe!NtRequestPort 805A2A5A 5 Bytes JMP BAFCCCA0
PAGE ntkrnlpa.exe!NtRequestWaitReplyPort 805A2D86 5 Bytes JMP BAFCCD40
.text win32k.sys!EngAcquireSemaphore + 2645 BF808959 5 Bytes JMP BAFCC480
.text win32k.sys!EngFreeUserMem + 5502 BF80EE10 5 Bytes JMP BAFCC3E0
.text win32k.sys!BRUSHOBJ_pvAllocRbrush + 320C BF81E6E6 5 Bytes JMP BAFCCA20
.text win32k.sys!EngSetLastError + 7659 BF828630 1 Byte [E9]
.text win32k.sys!EngSetLastError + 7659 BF828630 5 Bytes JMP BAFCC5C0
.text win32k.sys!EngLockSurface + 148C BF834F4F 5 Bytes JMP BAFCC700
.text win32k.sys!EngCreateBitmap + D95F BF8457CB 5 Bytes JMP BAFCC660
.text win32k.sys!EngGradientFill + 5128 BF8B3C72 5 Bytes JMP BAFCC520
.text win32k.sys!EngAlphaBlend + 9286 BF8C3127 5 Bytes JMP BAFCC7A0
.text win32k.sys!EngCreateClip + 1994 BF912854 5 Bytes JMP BAFCCAC0
.text win32k.sys!EngCreateClip + 1F24 BF912DE4 5 Bytes JMP BAFCCB60
.text win32k.sys!EngCreateClip + 256A BF91342A 5 Bytes JMP BAFCC840
---- User IAT/EAT - GMER 1.0.15 ----
IAT C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[1596] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!GetProcAddress] [00DB2BC8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[1596] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!UnhandledExceptionFilter] [00DB2CE9] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[1596] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!TerminateProcess] [00DB2CB8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
---- Devices - GMER 1.0.15 ----
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Programme\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x57 0x6D 0x9B 0xBD ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0xD0 0x05 0x53 0xA3 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0x76 0xFF 0x87 0xE9 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Programme\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x57 0x6D 0x9B 0xBD ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0xD0 0x05 0x53 0xA3 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0x76 0xFF 0x87 0xE9 ...
---- Disk sectors - GMER 1.0.15 ----
Disk \Device\Harddisk0\DR0 malicious Win32:MBRoot code @ sector 625121283
Disk \Device\Harddisk0\DR0 PE file @ sector 625121305
---- EOF - GMER 1.0.15 ----
aswMBR version 0.9.8.978 Copyright(c) 2011 AVAST Software Run date: 2011-08-04 09:24:42 ----------------------------- 09:24:42.609 OS Version: Windows 5.1.2600 Service Pack 3 09:24:42.609 Number of processors: 2 586 0xE08 09:24:42.609 ComputerName: MASCHINEALTER UserName: Äleks_2 09:24:42.828 Initialize success 09:24:50.453 AVAST engine defs: 11080300 09:25:18.937 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 09:25:18.937 Disk 0 Vendor: SAMSUNG_HM320II 2AC101C4 Size: 305245MB BusType: 3 09:25:20.953 Disk 0 MBR read successfully 09:25:20.953 Disk 0 MBR scan 09:25:20.984 Disk 0 Windows XP default MBR code 09:25:20.984 Disk 0 scanning sectors +625121280 09:25:21.015 Disk 0 malicious Win32:MBRoot code @ sector 625121283 ! 09:25:21.015 Disk 0 PE file @ sector 625121305 ! 09:25:21.062 Disk 0 scanning C:\WINDOWS\system32\drivers 09:25:28.656 Service scanning 09:25:29.546 Modules scanning 09:25:32.703 Disk 0 trace - called modules: 09:25:32.718 ntkrnlpa.exe CLASSPNP.SYS disk.sys atapi.sys hal.dll pciide.sys PCIIDEX.SYS 09:25:32.718 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89d98ab8] 09:25:32.734 3 CLASSPNP.SYS[ba908fd7] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x89dd5d98] 09:25:33.125 AVAST engine scan C:\WINDOWS 09:25:36.625 AVAST engine scan C:\WINDOWS\system32 09:27:04.875 AVAST engine scan C:\WINDOWS\system32\drivers 09:27:16.062 AVAST engine scan C:\Dokumente und Einstellungen\Äleks_2 09:36:05.312 AVAST engine scan C:\Dokumente und Einstellungen\All Users 09:38:54.140 Scan finished successfully 09:51:06.453 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Äleks_2\Desktop\MBR.dat" 09:51:06.453 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Äleks_2\Desktop\aswMBR2.txt" Und?  Denkst du, es ist alles clean? |
|
04.08.2011, 10:08
| #3 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
__________________Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
__________________ |
|
05.08.2011, 10:47
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Bislang nur ein Überrest, sieht bisher gut aus!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
05.08.2011, 12:44
| #5 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system?Zitat:
 Musst du selber wissen ob du es behalten willst oder nicht.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
05.08.2011, 16:20
| #6 |
| | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Hey Cosinus, falls ich die files löschen möchte, mach ich das manuell oder mit nem Programm? Meinst du dass der Rest meines PC jetzt, soweit du das beurteilen kannst, clean ist? Das wär toll!  Dann sag ich schonmal  !!! für die Tipps, die Mühe und die Hilfe! Übrigens sind die Symptome auf jedenfall verschwunden, Firefox läuft wieder 1a! Gruß, Alex |
|
05.08.2011, 17:30
| #7 |
| | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? und was mach ich dann mit den ganzen virenscannern und programmen und backups etc...? Entfernen, bzw. was davon soll ich behalten? (Sorry für den doppelpost, editieren ging irgendwie nicht...) |
|
06.08.2011, 11:28
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? Dann wären wir durch!  Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
07.08.2011, 22:19
| #9 |
| | stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? So, hab alles wieder runtergeschmissen, gab keine Probleme. Hab auch die Sicherheitslücken geschlossen! Nochmal Vielen Dank für die Hilfe!  Gruß, Alex  |
|
| Themen zu stolen.data richtig entfernt? bzw. weitere Viren/Trojaner auf system? |
| adware.zwunzi, babylon, brauche, combofix, entfernt?, erstell, gelöscht, hijack.userinit, java/trojandownloader.agent.ab, langsam, links, malware.trace, malwarebytes, neue tabs, neues, probleme, profil, pum.hijack.startmenu, seite, stolen.data, system32, trojan.banker, trojaner |
Hybrid-Darstellung
