rootkit tdss.d lässt sich nicht entfernen

amplex · 23.10.2011, 08:41

Hallo liebes Trojaner Board Team,

haben uns am freitag den tdss.d rootkit einbgefangen. Trotz Internetrecherche und zahlreicher Versuche selbständig das Problem in den Griff zu bekommen lässt sich der Trojaner nicht entfernen.

Neu aufsetzen will ich den Compute rnicht, da ich neben den Daten auch viele Programme drauf hab.

TDSKiller läuft nicht.

Könnt ihr mir da helfen?
Lg
Alex

markusg · 23.10.2011, 14:48

hi
Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)

Doppelklick auf die
OTL.exe

Vista und Win7 User mit Rechtsklick "als Administrator starten"
Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal
Output
Unter Extra Registry, wähle bitte Use SafeList
Klicke nun auf Run Scan
links oben
Wenn der Scan beendet wurde werden 2 Logfiles erstellt
Poste die Logfiles hier in den Thread.

amplex · 23.10.2011, 15:21

hi markus,

danke für die hilfe
anbei die zwei dateien

lg
alex

markusg · 23.10.2011, 15:26

1. wo wurde das rootkit von wem gefunden?
2. ist dieses gerät mit ner recovery funktion ausgestattet oder normale windows cd?

amplex · 23.10.2011, 15:35

1. Finden tut es der Antivir beim, BOOT SCAN (auf C: und D: ) Die externe Sicherungsfestplatte ist abgesteckt, aber möglicherweise auch verseucht.
2. Recovery Funktion, hab ich glaub ich schon - allerdings hab ich mich mit der Funktion nie beschäftigt (Es gibt ein Laufwerk D (Recovery)

amplex · 23.10.2011, 15:44

Anbei auch das Log bei der C: Prüfung.

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 23. Oktober 2011 16:42

Es wird nach 3421795 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - Free Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows Vista
Windowsversion : (Service Pack 2) [6.0.6002]
Boot Modus : Normal gebootet
Benutzername : Laufwerkstatt
Computername : LAUFWERKSTATTHO

Versionsinformationen:
BUILD.DAT : 10.2.0.704 35934 Bytes 28.09.2011 13:14:00
AVSCAN.EXE : 10.3.0.7 484008 Bytes 02.07.2011 03:50:36
AVSCAN.DLL : 10.0.5.0 57192 Bytes 02.07.2011 03:50:35
LUKE.DLL : 10.3.0.5 45416 Bytes 02.07.2011 03:50:39
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 11:59:47
AVSCPLR.DLL : 10.3.0.7 119656 Bytes 02.07.2011 03:50:39
AVREG.DLL : 10.3.0.9 88833 Bytes 16.07.2011 06:32:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 07:07:09
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 04:50:45
VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 07:04:10
VBASE003.VDF : 7.11.5.225 1980416 Bytes 07.04.2011 06:04:55
VBASE004.VDF : 7.11.8.178 2354176 Bytes 31.05.2011 06:07:54
VBASE005.VDF : 7.11.10.251 1788416 Bytes 07.07.2011 09:12:16
VBASE006.VDF : 7.11.13.60 6411776 Bytes 16.08.2011 03:13:46
VBASE007.VDF : 7.11.15.106 2389504 Bytes 05.10.2011 07:38:21
VBASE008.VDF : 7.11.15.107 2048 Bytes 05.10.2011 07:38:22
VBASE009.VDF : 7.11.15.108 2048 Bytes 05.10.2011 07:38:22
VBASE010.VDF : 7.11.15.109 2048 Bytes 05.10.2011 07:38:22
VBASE011.VDF : 7.11.15.110 2048 Bytes 05.10.2011 07:38:22
VBASE012.VDF : 7.11.15.111 2048 Bytes 05.10.2011 07:38:22
VBASE013.VDF : 7.11.15.144 161792 Bytes 07.10.2011 07:38:23
VBASE014.VDF : 7.11.15.177 130048 Bytes 10.10.2011 04:06:38
VBASE015.VDF : 7.11.15.213 113664 Bytes 11.10.2011 04:06:38
VBASE016.VDF : 7.11.16.1 163328 Bytes 14.10.2011 04:06:39
VBASE017.VDF : 7.11.16.34 187904 Bytes 18.10.2011 04:10:53
VBASE018.VDF : 7.11.16.77 139264 Bytes 20.10.2011 09:20:26
VBASE019.VDF : 7.11.16.78 2048 Bytes 20.10.2011 09:20:27
VBASE020.VDF : 7.11.16.79 2048 Bytes 20.10.2011 09:20:27
VBASE021.VDF : 7.11.16.80 2048 Bytes 20.10.2011 09:20:27
VBASE022.VDF : 7.11.16.81 2048 Bytes 20.10.2011 09:20:27
VBASE023.VDF : 7.11.16.82 2048 Bytes 20.10.2011 09:20:27
VBASE024.VDF : 7.11.16.83 2048 Bytes 20.10.2011 09:20:27
VBASE025.VDF : 7.11.16.84 2048 Bytes 20.10.2011 09:20:27
VBASE026.VDF : 7.11.16.85 2048 Bytes 20.10.2011 09:20:27
VBASE027.VDF : 7.11.16.86 2048 Bytes 20.10.2011 09:20:27
VBASE028.VDF : 7.11.16.87 2048 Bytes 20.10.2011 09:20:27
VBASE029.VDF : 7.11.16.88 2048 Bytes 20.10.2011 09:20:27
VBASE030.VDF : 7.11.16.89 2048 Bytes 20.10.2011 09:20:27
VBASE031.VDF : 7.11.16.106 86016 Bytes 21.10.2011 10:25:52
Engineversion : 8.2.6.84
AEVDF.DLL : 8.1.2.1 106868 Bytes 09.01.2011 04:50:46
AESCRIPT.DLL : 8.1.3.81 467322 Bytes 08.10.2011 07:38:29
AESCN.DLL : 8.1.7.2 127349 Bytes 09.01.2011 04:50:46
AESBX.DLL : 8.2.1.34 323957 Bytes 02.06.2011 19:01:16
AERDL.DLL : 8.1.9.15 639348 Bytes 09.09.2011 03:31:48
AEPACK.DLL : 8.2.10.11 684408 Bytes 25.09.2011 14:37:20
AEOFFICE.DLL : 8.1.2.15 201083 Bytes 18.09.2011 14:41:24
AEHEUR.DLL : 8.1.2.180 3748217 Bytes 18.10.2011 04:06:43
AEHELP.DLL : 8.1.17.7 254327 Bytes 01.08.2011 06:16:49
AEGEN.DLL : 8.1.5.9 401780 Bytes 27.08.2011 05:21:39
AEEMU.DLL : 8.1.3.0 393589 Bytes 09.01.2011 04:50:45
AECORE.DLL : 8.1.23.0 196983 Bytes 27.08.2011 05:21:33
AEBB.DLL : 8.1.1.0 53618 Bytes 09.01.2011 04:50:45
AVWINLL.DLL : 10.0.0.0 19304 Bytes 02.08.2010 15:09:33
AVPREF.DLL : 10.0.3.2 44904 Bytes 02.07.2011 03:50:35
AVREP.DLL : 10.0.0.10 174120 Bytes 26.05.2011 06:27:15
AVARKT.DLL : 10.0.26.1 255336 Bytes 02.07.2011 03:50:35
AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 02.07.2011 03:50:35
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 14:27:02
AVSMTP.DLL : 10.0.0.17 63848 Bytes 02.08.2010 15:09:33
NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 14:27:01
RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 02.07.2011 03:50:34
RCTEXT.DLL : 10.0.64.0 98664 Bytes 02.07.2011 03:50:34

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: BootSectorTest
Konfigurationsdatei...................: C:\ProgramData\Avira\AntiVir Desktop\TEMP\CCWKRLIB_4ea427d2\4cd568b4.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Sonntag, 23. Oktober 2011 16:42

Der Suchlauf über die Masterbootsektoren wird begonnen:

Der Suchlauf über die Bootsektoren wird begonnen:
Masterbootsektor HD0
[FUND] Enthält Code des Bootsektorvirus BOO/TDss.D
[WARNUNG] Der Sektor konnte nicht neu geschrieben werden!

Ende des Suchlaufs: Sonntag, 23. Oktober 2011 16:42
Benötigte Zeit: 00:05 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
0 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
0 Dateien ohne Befall
0 Archive wurden durchsucht
1 Warnungen
0 Hinweise

markusg · 23.10.2011, 15:57

ok, dass problem ist, wenn wir die mbrs neu schreiben wird die recovery partition nutzlos.
außerdem kann dabei einiges schief gehen.
deswegen besorge dir ne vollwertige windows cd oder frag direkt beim hersteller ob sie dir ersatz schicken, also cds für die recovery funktion.
bevor du sowas nicht hast, würde ich ungern weiter machen

amplex · 23.10.2011, 16:08

hi,

hab die orginal verpackte recovery Disc gefunden und halte sie in händen.
Vista Home Premium SP1

Lg
Alex

markusg · 23.10.2011, 16:10

ok,
deaktiviere mal autorun:
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
und sichere dann alle wichtigen dateien. wäre durchaus möglich dass der pc später nicht mehr bootet.

amplex · 23.10.2011, 16:33

bin grad dabei. Kann die externe Festplatte auch verseucht sein? Sie war zum Zeitpunkt der Verseuchung angeschlossen?

markusg · 23.10.2011, 16:38

sei doch mal so gut und scanne mit avira, dann wissen wirs.

amplex · 23.10.2011, 16:49

So wie ich das sehe nicht.
Denn egal welches Laufwerk ich für die Bootsektorüberprüfung anwähle C/D oder J (externe) es kommt immer
Letzter Fund
Masterbootsektor HD1

Danach als Ergebnis dass der Masterbootsektor HD0 verseucht ist

Als Anhang das Ergebnis.

markusg · 23.10.2011, 17:00

kein anhang da, aber wenns hd0 ist, passt das und du kannst weiter sichern.

amplex · 23.10.2011, 17:53

Die Sicherung ist in ein paar Minuten abgeschlossen.

markusg · 23.10.2011, 17:55

ok, dann weiter hiermit:
http://www.trojaner-board.de/97457-a...entfernen.html
log posten

23.10.2011, 16:38	#11
markusg /// Malware-holic	rootkit tdss.d lässt sich nicht entfernen sei doch mal so gut und scanne mit avira, dann wissen wirs. __________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet

rootkit tdss.d lässt sich nicht entfernen

Log-Analyse und Auswertung: rootkit tdss.d lässt sich nicht entfernen