| |
| |||||||
Log-Analyse und Auswertung: AntiVir meldet TR/Rootkit.Gen2 und TR/Sirefef.BP.1 auf Win XP SP3Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
28.02.2012, 14:36
| #1 |
| |  AntiVir meldet TR/Rootkit.Gen2 und TR/Sirefef.BP.1 auf Win XP SP3 Heute Morgen hat mein AntiVir Alarm geschlagen, unmittelbar nachdem ich die Website eines Skigebiets aufgerufen habe. Außer meinem Firefox war nur mein Outlook aktiv. Zuerst wurde TR/Rootkit.Gen2 entdeckt, den ich mit Klick auf "Entfernen" in Quarantäne verschieben lassen habe, dann wurde TR/Sirefef.BP.1 gemeldet. Diesen wollte ich auch in Quarantäne verschieben lassen, die Meldung kam jedoch immer wieder. Später, als ich mich informiert hatte und angefangen hatte, die Scans durchzuführen (s.u.), kam dann auch noch TR/Drop.Sirfef.B.550 dazu. Logs im ZIP im Anhang. Beim ersten Versuch, mir Hilfe zu ergooglen, habe ich gemerkt, dass ich immer zu anderen Webseiten geleitet werde, als ich in Google aufgerufen habe. Zum Beispiel dieses Board war nicht mehr erreichbar. Ich habe die weitere Suche an einem anderen Rechner fortgesetzt, auch alle unten beschriebenen Downloads habe ich von diesem anderen Rechner ausgeführt, auf USB-Stick gespeichert und von dort auf den infizierten Rechner kopiert. In diesem Forum habe ich mir verschiedene Threads zu den genannten Schädlingen durchgelesen. Scheint mir doch schwerwiegender zu sein. Und die Warnung, ComboFix nur auf Anweisung auszuführen, nehme ich auch Ernst. Da häufig ein Scan von Malwarebytes gefragt war, habe ich damit begonnen: Zuerst habe ich Malwarebytes von malwarebytes.org heruntergeladen, auf den Desktop kopiert und installiert. Die Aktualisierund ist fehlgeschlagen, Screenshot im ZIP im Anhang. Anschließend mit der vorhandenen Datenbank-Version vom 13.1.2012 einen vollständigen Scan durchgeführt. Gefunden wurde Rootkit.0Access in C:\WINDOWS\assebmbly\GAC_MSIL\Desktop.ini, ich habe "entfernen" ausgewählt. Laut Logfile wurde er erfolgreich entfernt und in Quarantäne gestellt. Nach dem Scan hat mich Malwarebytes zum Neustart aufgefordert, den ich durchgeführt habe. Wenn ich jetzt im Programm auf den Reiter "Quarantäne" klicke, finde ich den Rootkit dort allerdings nicht. Log im ZIP im Anhang. Während der Scan lief, habe ich den Thread http://www.trojaner-board.de/69886-a...-beachten.html gefunden, die Tools heruntergeladen und ebenso ausgeführt. Der Defogger lief zuerst und hat zu keinem Neustart aufgefordert. Log im ZIP im Anhang. Als zweites ddc ausgeführt. Etwas verwundert, dass mein AntiVir und Malwarebytes darin noch als laufende Prozess aufgeführt waren, denn ich hatte vor dem Scan den Rechner vom Netz getrennt und AntiVir sowie Malwarebytes deaktiviert. Die nach Abschluss erscheinenden Logdatei dds.txt hier als Code, die attach.txt befindet sich im ZIP im Anhang. Code:
ATTFilter .
DDS (Ver_2011-08-26.01) - NTFSx86
Internet Explorer: 8.0.6001.18702 BrowserJavaVersion: 1.6.0_30
Run by xxxx at 12:09:16 on 2012-02-28
Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.1014.461 [GMT 1:00]
.
AV: AntiVir Desktop *Enabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
============== Running Processes ===============
.
C:\WINDOWS\system32\svchost -k DcomLaunch
svchost.exe
C:\WINDOWS\System32\svchost.exe -k netsvcs
svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\Programme\Citrix\GoToMyPC\g2svc.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Citrix\GoToMyPC\g2comm.exe
C:\Programme\Citrix\GoToMyPC\g2pre.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Citrix\GoToMyPC\g2tray.exe
\\?\C:\Programme\Keepit\TYZQ8G8L.ver\keepit.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\Programme\WiFi-R\Common\RalinkRegistryWriter.exe
C:\Programme\RosettaStoneLtdServices\RosettaStoneDaemon.exe
C:\Programme\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe
C:\Programme\StarMoney 8.0\ouservice\StarMoneyOnlineUpdate.exe
C:\WINDOWS\system32\svchost.exe -k imgsvc
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Samsung\DisplayManager\DisplayManager.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\igfxext.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Brother\ControlCenter2\brctrcen.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\SAMSUNG\MagicKBD\MagicKBD.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Programme\WiFi-R\Common\RaUI.exe
C:\Programme\Windows Desktop Search\WindowsSearch.exe
C:\Dokumente und Einstellungen\xxxx\Anwendungsdaten\Dropbox\bin\Dropbox.exe
C:\Programme\Keepit\TYZQ8G8L.ver\gui.exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\system32\SearchProtocolHost.exe
.
============== Pseudo HJT Report ===============
.
uStart Page = https://mail.xxx.com/CookieAuth.dll?GetLogon?reason=0&formdir=1&curl=Z2Fowa
BHO: Groove GFS Browser Helper: {72853161-30c5-4d22-b7f9-0bbc1d38a37e} - c:
\progra~1\micros~2\office14\GROOVEEX.DLL
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - c:\programme\java\jre6\bin
\ssv.dll
BHO: Office Document Cache Handler: {b4f3a835-0e21-4959-ba22-42b3008e02ff} - c:
\progra~1\micros~2\office14\URLREDIR.DLL
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\programme\java\jre6\bin
\jp2ssv.dll
BHO: JQSIEStartDetectorImpl Class: {e7e6f031-17ce-4c07-bc86-eabfe594f69c} - c:\programme\java\jre6\lib
\deploy\jqs\ie\jqs_plugin.dll
EB: Groove Folder Synchronization: {2a541ae1-5bf6-4665-a8a3-cfa9672e4291} - c:
\progra~1\micros~2\office14\GROOVEEX.DLL
uRun: [CTFMON.EXE] c:\windows\system32\ctfmon.exe
uRun: [GoToMeeting] "c:\programme\citrix\gotomeeting\799\g2mstart.exe" "/Trigger RunAtLogon"
mRun: [igfxtray] c:\windows\system32\igfxtray.exe
mRun: [igfxhkcmd] c:\windows\system32\hkcmd.exe
mRun: [igfxpers] c:\windows\system32\igfxpers.exe
mRun: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAShCut.exe
mRun: [SoundMAXPnP] c:\programme\analog devices\core\smax4pnp.exe
mRun: [SoundMAX] c:\programme\analog devices\soundmax\Smax4.exe /tray
mRun: [AGRSMMSG] AGRSMMSG.exe
mRun: [SynTPLpr] c:\programme\synaptics\syntp\SynTPLpr.exe
mRun: [SynTPEnh] c:\programme\synaptics\syntp\SynTPEnh.exe
mRun: [MagicKeyboard] c:\programme\samsung\magickbd\PreMKBD.exe
mRun: [DisplayManager] c:\programme\samsung\displaymanager\DMLoader.exe
mRun: [avgnt] "c:\programme\avira\antivir desktop\avgnt.exe" /min
mRun: [SSBkgdUpdate] "c:\programme\gemeinsame dateien\scansoft shared\ssbkgdupdate\SSBkgdupdate.exe" -
Embedding -boot
mRun: [PaperPort PTD] c:\programme\scansoft\paperport\pptd40nt.exe
mRun: [IndexSearch] c:\programme\scansoft\paperport\IndexSearch.exe
mRun: [ControlCenter2.0] c:\programme\brother\controlcenter2\brctrcen.exe /autorun
mRun: [SunJavaUpdateSched] "c:\programme\gemeinsame dateien\java\java update\jusched.exe"
mRun: [Malwarebytes' Anti-Malware] "c:\programme\malwarebytes' anti-malware\mbamgui.exe" /starttray
dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE
StartupFolder: c:\dokume~1\xxxx\startm~1\progra~1\autost~1\dropbox.lnk - c:\dokumente und einstellungen
\xxxx\anwendungsdaten\dropbox\bin\Dropbox.exe
StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\bttray.lnk - c:\programme\widcomm
\bluetooth software\BTTray.exe
StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\keepit.lnk - c:\windows\installer
\{9c6fca5d-f758-491e-9a69-f3e418c3784c}\KeepitIcon.exe
StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\usbrou~1.lnk - c:\programme\wifi-r\common
\RaUI.exe
StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\window~1.lnk - c:\programme\windows
desktop search\WindowsSearch.exe
StartupFolder: c:\dokume~1\alluse~1\startm~1\progra~1\autost~1\wisome~1.lnk - c:\programme\wiso
\steuersoftware 2011\mshaktuell.exe
IE: An OneNote s&enden - c:\progra~1\micros~2\office14\ONBttnIE.dll/105
IE: Nach Microsoft E&xcel exportieren - c:\progra~1\micros~2\office14\EXCEL.EXE/3000
IE: Senden an &Bluetooth - c:\programme\widcomm\bluetooth software\btsendto_ie_ctx.htm
IE: {CCA281CA-C863-46ef-9331-5C8D4460577F} - c:\programme\widcomm\bluetooth software\btsendto_ie.htm
IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\programme\messenger\msmsgs.exe
IE: {2670000A-7350-4f3c-8081-5663EE0C6C49} - {48E73304-E1D6-4330-914C-F5F514E3486C} - c:\programme
\microsoft office\office14\ONBttnIE.dll
IE: {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - {FFFDC614-B694-4AE6-AB38-5D6374584B52} - c:\programme
\microsoft office\office14\ONBttnIELinkedNotes.dll
LSP: mswsock.dll
Trusted Zone: xxx.com\webmail
DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} -
hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1310672349657
DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} -
hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1310674665593
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-
windows-i586.cab
DPF: {CAFEEFAC-0015-0000-0000-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0-windows-
i586.cab
DPF: {CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-
windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-
windows-i586.cab
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - c:\programme\gemeinsame dateien\microsoft
shared\office14\MSOXMLMF.DLL
Notify: GoToMyPC - c:\programme\citrix\gotomypc\G2WinLogon.dll
Notify: igfxcui - igfxdev.dll
SEH: Groove GFS Stub Execution Hook: {b5a7f190-dda6-4420-b3ba-52453494e6cd} - c:
\progra~1\micros~2\office14\GROOVEEX.DLL
SEH: Windows Desktop Search Namespace Manager: {56f9679e-7826-4c84-81f3-532071a8bcc5} - c:\programme
\windows desktop search\MSNLNamespaceMgr.dll
SecurityProviders: msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, OvvijwecNaqd.dll
.
================= FIREFOX ===================
.
FF - ProfilePath - c:\dokumente und einstellungen\xxxx\anwendungsdaten\mozilla\firefox\profiles
\rpku7brb.default\
FF - component: c:\dokumente und einstellungen\xxxx_admin\anwendungsdaten\mozilla\firefox\profiles
\rpku7brb.default\extensions\{579fcdb8-929b-11dc-8314-0800200c9a66}\components\xpcwrapper.dll
FF - plugin: c:\progra~1\micros~2\office14\NPAUTHZ.DLL
FF - plugin: c:\progra~1\micros~2\office14\NPSPWRAP.DLL
FF - plugin: c:\programme\foxit software\foxit reader\plugins\npFoxitReaderPlugin.dll
FF - plugin: c:\programme\google\google earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\google\update\1.3.21.99\npGoogleUpdate3.dll
FF - plugin: c:\programme\java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\programme\microsoft silverlight\5.0.61118.0\npctrlui.dll
FF - plugin: c:\programme\mozilla firefox\plugins\npdeployJava1.dll
FF - plugin: c:\programme\mozilla firefox\plugins\npwachk.dll
.
============= SERVICES / DRIVERS ===============
.
R1 avgio;avgio;c:\programme\avira\antivir desktop\avgio.sys [2011-7-14 11608]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\avira\antivir desktop\sched.exe [2011-7-14
136360]
R2 AntiVirService;Avira AntiVir Guard;c:\programme\avira\antivir desktop\avguard.exe [2011-7-14 269480]
R2 avgntflt;avgntflt;c:\windows\system32\drivers\avgntflt.sys [2011-7-14 66616]
R2 DOSMEMIO;MEMIO;c:\windows\system32\MEMIO.SYS [2011-7-14 4300]
R2 Keepit;Keepit service;\\?\c:\programme\keepit\tyzq8g8l.ver\keepit.exe [2011-12-29 1066360]
R2 MBAMService;MBAMService;c:\programme\malwarebytes' anti-malware\mbamservice.exe [2012-2-28 652360]
R2 RalinkRegistryWriter;Ralink Registry Writer;c:\programme\wifi-r\common\RalinkRegistryWriter.exe [2011
-9-6 75040]
R2 RosettaStoneDaemon;RosettaStoneDaemon;c:\programme\rosettastoneltdservices\RosettaStoneDaemon.exe
[2011-4-15 1646056]
R2 SRS_PostInstaller;SRS PostInstaller Service;c:\programme\srs labs\wowxt and tsxt driver
\SRS_PostInstaller.exe [2005-11-28 31744]
R2 StarMoney 8.0 OnlineUpdate;StarMoney 8.0 OnlineUpdate;c:\programme\starmoney 8.0\ouservice
\StarMoneyOnlineUpdate.exe [2011-9-20 688648]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [2012-2-28 20464]
R3 wowfilter;WOW XT Filter Driver;c:\windows\system32\drivers\WOWFilter.sys [2005-11-28 19456]
S2 gupdate;Google Update-Dienst (gupdate);c:\programme\google\update\GoogleUpdate.exe [2012-1-21 136176]
S3 CompFilter;UVCCompositeFilter;c:\windows\system32\drivers\lvbusflt.sys [2010-5-14 20704]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\google\update\GoogleUpdate.exe [2012-1-21
136176]
S3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:
\programme\microsoft office\office14\GROOVE.EXE [2011-6-12 31125880]
S3 osppsvc;Office Software Protection Platform;c:\programme\gemeinsame dateien\microsoft shared
\officesoftwareprotectionplatform\OSPPSVC.EXE [2010-1-9 4640000]
S3 RAPIProtocol;Ralink RAPI Protocol Driver;c:\windows\system32\drivers\RAPIProtocol.sys [2011-9-6 16512]
S3 rt2870;Ralink 802.11n USB Wireless LAN Card Driver;c:\windows\system32\drivers\rt2870.sys [2011-9-6
709248]
.
=============== Created Last 30 ================
.
2012-02-28 09:30:57 -------- d-----w- c:\dokumente und einstellungen\xxxx
\anwendungsdaten\Malwarebytes
2012-02-28 09:30:40 -------- d-----w- c:\dokumente und einstellungen\all users
\anwendungsdaten\Malwarebytes
2012-02-28 09:30:38 20464 ----a-w- c:\windows\system32\drivers\mbam.sys
2012-02-28 09:30:38 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2012-02-28 09:29:44 -------- d-----w- c:\windows\system32\NtmsData
2012-02-28 07:28:10 0 --sha-w- c:\windows\system32\dds_log_trash.cmd
2012-02-28 07:25:26 -------- d-sh--w- c:\dokumente und einstellungen\xxxx\lokale
einstellungen\anwendungsdaten\345c2f4d
2012-02-28 07:25:21 26624 ----a-w- c:\windows\system32\OvvijwecNaqd.dll
2012-02-15 22:27:44 3072 -c----w- c:\windows\system32\dllcache\iacenc.dll
2012-02-15 22:27:44 3072 ------w- c:\windows\system32\iacenc.dll
.
==================== Find3M ====================
.
2012-02-15 10:27:15 60304 ----a-w- c:\dokumente und einstellungen\xxxx\g2mdlhlpx.exe
2012-01-12 17:20:28 1860096 ----a-w- c:\windows\system32\win32k.sys
2011-12-25 15:18:26 1393736 ----a-w- c:\dokumente und einstellungen\xxxx\gotomypc_635.exe
2011-12-17 19:43:23 916992 ----a-w- c:\windows\system32\wininet.dll
2011-12-17 19:43:23 43520 ------w- c:\windows\system32\licmgr10.dll
2011-12-17 19:43:23 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-12-16 12:22:58 385024 ------w- c:\windows\system32\html.iec
.
============= FINISH: 12:10:10,15 ===============
freue mich über jede Hilfe, die mir ermöglicht, dem Problem Herr zu werden! Oder war Malwarebytes schon erfolgreich?  Vielen Dank! |
| Themen zu AntiVir meldet TR/Rootkit.Gen2 und TR/Sirefef.BP.1 auf Win XP SP3 |
| antivir, antivir guard, avira, cdburnerxp, combofix, desktop, desktop.ini, document, einstellungen, entfernen, explorer, firefox, google earth, helper, home, infizierte, log files, logfile, mozilla, plug-in, problem, programm, prozess, rootkit.0access, schannel.dll, senden, software, starmoney, svchost, system, tr/rootkit.gen2, tr/sirefef.bp.1, warnung, win xp sp3, windows, windows xp |
Baum-Darstellung