Trojaner & Roo/Tdds erfolglos bekämpft?

stanomaly · 21.09.2011, 19:05

Hallo allerseits,

ich habe auf meinem Laptop Windows Vista SP2 laufen, eigentlich immer mit den neuesten Updates. Gestern entdeckte mein Avira Antivir bösartige Software mit dem Namen Roo/Tdds... Hinter dem Tdds stand noch eine Zahl oder ein Buchstabe, den Zettel, auf dem ich das notiert habe, liegt leider im Büro, sorry.

Nach der Entdeckung poppten allerlei Fehlermeldungen auf, u.a. solche Fake-Meldungen, die behaupteten meine Festplatte sei kaputt oder der Arbeitsspeicher wäre nicht mehr da. Gleichzeitig wurden alle Desktopsymbole versteckt, ebenso alle Programme unten in der Startleiste sowie in der Liste, die man mit dem Windowsbutton unten links aufrufen kann. Sollte wohl einen Datenverlust simulieren und den User erschrecken. Hat es auch zuerst.

So, nun habe ich mich an die Bekämpfung gemacht und bin dabei recht schnell auf dieses Forum gestoßen. Habe allerdings nur quergelesen und verschiedene Programme runtergeladen und durchlaufen lassen. Als erstes habe ich TDDSkiller.exe installiert. Das hat zwar allerlei Dinge gefunden, das Problem aber nicht behoben. Nun folgten eine Reihe von anderen Programmen in wilder Reihenfolge, was wohl ein Fehler war: Combofix, HitmanPro, natürlich Antivir & Antivir Rescue Disc und noch einige andere, die ich leider nicht mehr alle zusammenbekomme. Combofix ist abgeschmiert, ich hatte allerdings Antivir und Ad-Aware im Hintergrund laufen. Als letzes hat mir ein Kollege noch ein Programm auf einen bootfähigen USB-Stick geladen. Der Scan hat einige Stunden gedauert und auch nicht sonderlich viel bewirkt.

Inzwischen scheint das System zwar wieder stabil zu laufen, aber sauber ist es bestimmt noch nicht. Außerdem sehe ich immer noch nichts in der Programmleiste, der Hintergrund ist weiterhin schwarz und die Symbole in der Schnellstartleiste sind entfernt worden, neue kann ich hinzufügen. Ich traue mich nicht mich ins Online-Banking einzuloggen oder andere sensible Geschichten zu machen. Ist mein System sauber? Was kann ich tun, um Vista wieder normal zum Laufen zu bringen?

Ach ja, eine Systemwiederherstellung mit einem Wiederherstellungspunkt von vor ein paar Tagen schlug fehl.

Hier mal zwei TDSSKiller Logfiles. Einmal vom ersten Scan nach der Infektion und dann nochmal von eben gerade:

Code:

ATTFilter

TDSS rootkit removing tool 2.5.23.0 Sep 20 2011 08:53:10
2011/09/20 16:20:15.0457 0980	================================================================================
2011/09/20 16:20:15.0457 0980	SystemInfo:
2011/09/20 16:20:15.0457 0980	
2011/09/20 16:20:15.0458 0980	OS Version: 6.0.6002 ServicePack: 2.0
2011/09/20 16:20:15.0458 0980	Product type: Workstation
2011/09/20 16:20:15.0458 0980	ComputerName: 
2011/09/20 16:20:15.0458 0980	UserName: 
2011/09/20 16:20:15.0458 0980	Windows directory: C:\Windows
2011/09/20 16:20:15.0458 0980	System windows directory: C:\Windows
2011/09/20 16:20:15.0458 0980	Processor architecture: Intel x86
2011/09/20 16:20:15.0458 0980	Number of processors: 2
2011/09/20 16:20:15.0458 0980	Page size: 0x1000
2011/09/20 16:20:15.0458 0980	Boot type: Normal boot
....
Scan finished
2011/09/20 16:22:24.0391 5088	================================================================================
2011/09/20 16:22:24.0406 3704	Detected object count: 3
2011/09/20 16:22:24.0406 3704	Actual detected object count: 3
2011/09/20 16:23:04.0264 3704	C:\Windows\system32\drivers\H8SRTrapdiweitt.sys - will be deleted after reboot
2011/09/20 16:23:04.0264 3704	C:\Windows\system32\H8SRTxnxmmvtope.dll - will be deleted after reboot
2011/09/20 16:23:04.0264 3704	C:\Windows\system32\H8SRTbpdpexrtfb.dat - will be deleted after reboot
2011/09/20 16:23:04.0264 3704	C:\Windows\system32\H8SRTtxconxdiqh.dll - will be deleted after reboot
2011/09/20 16:23:04.0405 3704	HKLM\SYSTEM\ControlSet001\services\H8SRTd.sys - will be deleted after reboot
2011/09/20 16:23:04.0623 3704	HKLM\SYSTEM\ControlSet002\services\H8SRTd.sys - will be deleted after reboot
2011/09/20 16:23:05.0232 3704	HKLM\SYSTEM\ControlSet003\services\H8SRTd.sys - will be deleted after reboot
2011/09/20 16:23:05.0637 3704	C:\Windows\system32\drivers\H8SRTrapdiweitt.sys - will be deleted after reboot
2011/09/20 16:23:05.0637 3704	Rootkit.Win32.TDSS.tdl2(H8SRTd.sys) - User select action: Delete 
2011/09/20 16:23:05.0653 3704	LockedFile.Multi.Generic(sptd) - User select action: Skip 
2011/09/20 16:23:05.0871 3704	\Device\Harddisk0\DR0 (Rootkit.Boot.SST.a) - will be cured after reboot
2011/09/20 16:23:05.0871 3704	\Device\Harddisk0\DR0 - ok
2011/09/20 16:23:05.0887 3704	Rootkit.Boot.SST.a(\Device\Harddisk0\DR0) - User select action: Cure 
2011/09/20 16:23:15.0247 3304	Deinitialize success

Code:

ATTFilter

Scan finished
2011/09/21 20:01:22.0989 5276	================================================================================
2011/09/21 20:01:23.0002 5920	Detected object count: 1
2011/09/21 20:01:23.0002 5920	Actual detected object count: 1
2011/09/21 20:01:36.0326 5920	sptd            (71e276f6d189413266ea22171806597b) C:\Windows\system32\Drivers\sptd.sys
2011/09/21 20:01:36.0327 5920	Suspicious file (NoAccess): C:\Windows\system32\Drivers\sptd.sys. md5: 71e276f6d189413266ea22171806597b
2011/09/21 20:01:36.0335 5920	C:\Windows\system32\Drivers\sptd.sys - copied to quarantine
2011/09/21 20:01:36.0336 5920	LockedFile.Multi.Generic(sptd) - User select action: Quarantine

Vielen Dank für eure Hilfe!

Gruß, Stanomaly

Trojaner & Roo/Tdds erfolglos bekämpft?

Plagegeister aller Art und deren Bekämpfung: Trojaner & Roo/Tdds erfolglos bekämpft?

Trojaner & Roo/Tdds erfolglos bekämpft?

Ähnliche Themen: Trojaner & Roo/Tdds erfolglos bekämpft?