Atraps(2)+Necurs+?

Klaus123 · 02.09.2012, 14:19

Alles fing damit an, dass der Avira Antivir Echtzeit-Scanner den Fund von TR/Atraps.gen und TR/Atraps.gen2 meldete, aber eine Entfernung nicht möglich sei. Daraufhin setzten Teile meines Gehirns aus und ich versuchte eigenhändig das Problem mittels schwerer Waffen in den Griff zu kommen.

Combofix löschte einige Sachen, die ich ebenso als Fehlerquellen ausgemacht hatte. Logs habe ich keine mehr.
TDSSKiller brachte dann einen nächsten Übeltäter zu Tage: Win32.Necurs.gen in a1e702e647f467c.sys (mit entsprechenden Registry-Einträgen). Das Programm vermag ihn leider nicht erfolgreich zu löschen.
Daraufhin also Malwarebytes Anti-Malware installiert und vollständigen Scan durchgeführt (Log anbei). Dabei habe ich auch schon Teile löschen lassen. *sry*
Letztlich noch ein Scan mittel OTL (Log anbei).
Seit einem Neustart nach dem ersten Alarm durch Antivir lässt sich jener Echtzeit-Scanner nicht mehr aktivieren.

Namen wurden in den Logs durch *** und +++ unkenntlich gemacht.

Vielen Dank für die Mühe.

Klaus123 · 02.09.2012, 15:34

Nachtrag: Anbei noch die Gmer-Logfile.

cosinus · 05.09.2012, 14:59

Malwarebytes erstellt bei jedem Scanvorgang genau ein Log. Hast du in der Vergangenheit schonmal mit Malwarebytes gescannt?
Wenn ja dann stehen auch alle Logs zu jedem Scanvorgang im Reiter Logdateien. Bitte alle posten, die dort sichtbar sind.

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

Klaus123 · 05.09.2012, 17:34

Hallo.

Ja, hatte ich. Ich glaub, es war nur ein Quick-Scan oder ich hab den Scan direkt wieder abgebrochen. Ich weiß es leider nicht mehr. Das Log habe ich wohl händisch gelöscht. Es gibt kein weiteres in der Liste innerhalb des Programms. Nach dem (abgebrochen) Scan hab ich direkt ohne Neustart den gemacht, den ich hochgeladen hab. Vielleicht ist das relevant.

Der Vollständigkeit halber hier noch die ersten Logs, in denen TR/Atraps.gen

Code:

ATTFilter


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Freitag, 31. August 2012  15:13

Es wird nach 4198592 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : K-5A92FF537A0A4

Versionsinformationen:
BUILD.DAT      : 12.0.0.1167    40870 Bytes  18.07.2012 19:07:00
AVSCAN.EXE     : 12.3.0.33     468472 Bytes  08.08.2012 09:25:51
AVSCAN.DLL     : 12.3.0.15      66256 Bytes  02.05.2012 00:02:50
LUKE.DLL       : 12.3.0.15      68304 Bytes  01.05.2012 23:31:47
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  01.05.2012 22:13:36
AVREG.DLL      : 12.3.0.17     232200 Bytes  15.05.2012 19:29:22
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF   : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF   : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF   : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF   : 7.11.26.44   4329472 Bytes  28.03.2012 10:43:53
VBASE005.VDF   : 7.11.34.116  4034048 Bytes  29.06.2012 09:11:09
VBASE006.VDF   : 7.11.34.117     2048 Bytes  29.06.2012 09:11:09
VBASE007.VDF   : 7.11.34.118     2048 Bytes  29.06.2012 09:11:09
VBASE008.VDF   : 7.11.34.119     2048 Bytes  29.06.2012 09:11:09
VBASE009.VDF   : 7.11.34.120     2048 Bytes  29.06.2012 09:11:09
VBASE010.VDF   : 7.11.34.121     2048 Bytes  29.06.2012 09:11:09
VBASE011.VDF   : 7.11.34.122     2048 Bytes  29.06.2012 09:11:09
VBASE012.VDF   : 7.11.34.123     2048 Bytes  29.06.2012 09:11:10
VBASE013.VDF   : 7.11.34.124     2048 Bytes  29.06.2012 09:11:10
VBASE014.VDF   : 7.11.38.18   2554880 Bytes  30.07.2012 07:01:49
VBASE015.VDF   : 7.11.38.70    556032 Bytes  31.07.2012 07:52:52
VBASE016.VDF   : 7.11.38.143   171008 Bytes  02.08.2012 08:39:32
VBASE017.VDF   : 7.11.38.221   178176 Bytes  06.08.2012 09:25:43
VBASE018.VDF   : 7.11.39.37    168448 Bytes  08.08.2012 09:25:48
VBASE019.VDF   : 7.11.39.89    131072 Bytes  09.08.2012 09:25:46
VBASE020.VDF   : 7.11.39.145   142336 Bytes  11.08.2012 11:07:07
VBASE021.VDF   : 7.11.39.207   165888 Bytes  14.08.2012 11:07:11
VBASE022.VDF   : 7.11.40.9     156160 Bytes  16.08.2012 11:07:17
VBASE023.VDF   : 7.11.40.49    133120 Bytes  17.08.2012 13:26:41
VBASE024.VDF   : 7.11.40.95    156160 Bytes  20.08.2012 14:28:49
VBASE025.VDF   : 7.11.40.155   181760 Bytes  22.08.2012 14:28:54
VBASE026.VDF   : 7.11.40.205   203264 Bytes  23.08.2012 08:29:30
VBASE027.VDF   : 7.11.41.29    188416 Bytes  27.08.2012 08:29:31
VBASE028.VDF   : 7.11.41.87    250368 Bytes  30.08.2012 09:05:52
VBASE029.VDF   : 7.11.41.88      2048 Bytes  30.08.2012 09:05:52
VBASE030.VDF   : 7.11.41.89      2048 Bytes  30.08.2012 09:05:52
VBASE031.VDF   : 7.11.41.102   108544 Bytes  30.08.2012 09:05:52
Engineversion  : 8.2.10.150
AEVDF.DLL      : 8.1.2.10      102772 Bytes  11.07.2012 09:03:49
AESCRIPT.DLL   : 8.1.4.46      455034 Bytes  28.08.2012 08:29:35
AESCN.DLL      : 8.1.8.2       131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.12      606578 Bytes  15.06.2012 09:51:00
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL     : 8.3.0.32      811382 Bytes  28.08.2012 08:29:35
AEOFFICE.DLL   : 8.1.2.42      201083 Bytes  20.07.2012 09:49:47
AEHEUR.DLL     : 8.1.4.94     5230967 Bytes  31.08.2012 09:05:56
AEHELP.DLL     : 8.1.23.2      258422 Bytes  28.06.2012 17:58:23
AEGEN.DLL      : 8.1.5.36      434549 Bytes  28.08.2012 08:29:31
AEEXP.DLL      : 8.1.0.84       90485 Bytes  31.08.2012 09:05:56
AEEMU.DLL      : 8.1.3.2       393587 Bytes  11.07.2012 09:03:48
AECORE.DLL     : 8.1.27.4      201078 Bytes  08.08.2012 09:25:48
AEBB.DLL       : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  01.05.2012 22:59:21
AVPREF.DLL     : 12.3.0.15      51920 Bytes  01.05.2012 22:44:31
AVREP.DLL      : 12.3.0.15     179208 Bytes  01.05.2012 22:13:35
AVARKT.DLL     : 12.3.0.15     211408 Bytes  01.05.2012 22:21:32
AVEVTLOG.DLL   : 12.3.0.15     169168 Bytes  01.05.2012 22:28:49
SQLITE3.DLL    : 3.7.0.1       398288 Bytes  16.04.2012 21:11:02
AVSMTP.DLL     : 12.3.0.32      63480 Bytes  08.08.2012 09:25:51
NETNT.DLL      : 12.3.0.15      17104 Bytes  01.05.2012 23:33:29
RCIMAGE.DLL    : 12.3.0.31    4444408 Bytes  08.08.2012 09:25:47
RCTEXT.DLL     : 12.3.0.31     100088 Bytes  08.08.2012 09:25:47

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_5040b34a\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: reparieren
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Freitag, 31. August 2012  15:13

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'syshost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TwonkyMediaServer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'twonkymediaserverwatchdog.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'daemonu.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MZCCntrl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleUpdate.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'speedfan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchSettings.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ApplicationUpdater.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RunDLL32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\80000000.@'
C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\80000000.@
  [FUND]      Ist das Trojanische Pferd TR/ATRAPS.Gen
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1d7e3e.qua' verschoben!


Ende des Suchlaufs: Freitag, 31. August 2012  15:14
Benötigte Zeit: 00:53 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
     54 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
     53 Dateien ohne Befall
      0 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise

und TR/Atraps.gen2

Code:

ATTFilter


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Freitag, 31. August 2012  15:13

Es wird nach 4198592 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : K-5A92FF537A0A4

Versionsinformationen:
BUILD.DAT      : 12.0.0.1167    40870 Bytes  18.07.2012 19:07:00
AVSCAN.EXE     : 12.3.0.33     468472 Bytes  08.08.2012 09:25:51
AVSCAN.DLL     : 12.3.0.15      66256 Bytes  02.05.2012 00:02:50
LUKE.DLL       : 12.3.0.15      68304 Bytes  01.05.2012 23:31:47
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  01.05.2012 22:13:36
AVREG.DLL      : 12.3.0.17     232200 Bytes  15.05.2012 19:29:22
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF   : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF   : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF   : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF   : 7.11.26.44   4329472 Bytes  28.03.2012 10:43:53
VBASE005.VDF   : 7.11.34.116  4034048 Bytes  29.06.2012 09:11:09
VBASE006.VDF   : 7.11.34.117     2048 Bytes  29.06.2012 09:11:09
VBASE007.VDF   : 7.11.34.118     2048 Bytes  29.06.2012 09:11:09
VBASE008.VDF   : 7.11.34.119     2048 Bytes  29.06.2012 09:11:09
VBASE009.VDF   : 7.11.34.120     2048 Bytes  29.06.2012 09:11:09
VBASE010.VDF   : 7.11.34.121     2048 Bytes  29.06.2012 09:11:09
VBASE011.VDF   : 7.11.34.122     2048 Bytes  29.06.2012 09:11:09
VBASE012.VDF   : 7.11.34.123     2048 Bytes  29.06.2012 09:11:10
VBASE013.VDF   : 7.11.34.124     2048 Bytes  29.06.2012 09:11:10
VBASE014.VDF   : 7.11.38.18   2554880 Bytes  30.07.2012 07:01:49
VBASE015.VDF   : 7.11.38.70    556032 Bytes  31.07.2012 07:52:52
VBASE016.VDF   : 7.11.38.143   171008 Bytes  02.08.2012 08:39:32
VBASE017.VDF   : 7.11.38.221   178176 Bytes  06.08.2012 09:25:43
VBASE018.VDF   : 7.11.39.37    168448 Bytes  08.08.2012 09:25:48
VBASE019.VDF   : 7.11.39.89    131072 Bytes  09.08.2012 09:25:46
VBASE020.VDF   : 7.11.39.145   142336 Bytes  11.08.2012 11:07:07
VBASE021.VDF   : 7.11.39.207   165888 Bytes  14.08.2012 11:07:11
VBASE022.VDF   : 7.11.40.9     156160 Bytes  16.08.2012 11:07:17
VBASE023.VDF   : 7.11.40.49    133120 Bytes  17.08.2012 13:26:41
VBASE024.VDF   : 7.11.40.95    156160 Bytes  20.08.2012 14:28:49
VBASE025.VDF   : 7.11.40.155   181760 Bytes  22.08.2012 14:28:54
VBASE026.VDF   : 7.11.40.205   203264 Bytes  23.08.2012 08:29:30
VBASE027.VDF   : 7.11.41.29    188416 Bytes  27.08.2012 08:29:31
VBASE028.VDF   : 7.11.41.87    250368 Bytes  30.08.2012 09:05:52
VBASE029.VDF   : 7.11.41.88      2048 Bytes  30.08.2012 09:05:52
VBASE030.VDF   : 7.11.41.89      2048 Bytes  30.08.2012 09:05:52
VBASE031.VDF   : 7.11.41.102   108544 Bytes  30.08.2012 09:05:52
Engineversion  : 8.2.10.150
AEVDF.DLL      : 8.1.2.10      102772 Bytes  11.07.2012 09:03:49
AESCRIPT.DLL   : 8.1.4.46      455034 Bytes  28.08.2012 08:29:35
AESCN.DLL      : 8.1.8.2       131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.12      606578 Bytes  15.06.2012 09:51:00
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL     : 8.3.0.32      811382 Bytes  28.08.2012 08:29:35
AEOFFICE.DLL   : 8.1.2.42      201083 Bytes  20.07.2012 09:49:47
AEHEUR.DLL     : 8.1.4.94     5230967 Bytes  31.08.2012 09:05:56
AEHELP.DLL     : 8.1.23.2      258422 Bytes  28.06.2012 17:58:23
AEGEN.DLL      : 8.1.5.36      434549 Bytes  28.08.2012 08:29:31
AEEXP.DLL      : 8.1.0.84       90485 Bytes  31.08.2012 09:05:56
AEEMU.DLL      : 8.1.3.2       393587 Bytes  11.07.2012 09:03:48
AECORE.DLL     : 8.1.27.4      201078 Bytes  08.08.2012 09:25:48
AEBB.DLL       : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  01.05.2012 22:59:21
AVPREF.DLL     : 12.3.0.15      51920 Bytes  01.05.2012 22:44:31
AVREP.DLL      : 12.3.0.15     179208 Bytes  01.05.2012 22:13:35
AVARKT.DLL     : 12.3.0.15     211408 Bytes  01.05.2012 22:21:32
AVEVTLOG.DLL   : 12.3.0.15     169168 Bytes  01.05.2012 22:28:49
SQLITE3.DLL    : 3.7.0.1       398288 Bytes  16.04.2012 21:11:02
AVSMTP.DLL     : 12.3.0.32      63480 Bytes  08.08.2012 09:25:51
NETNT.DLL      : 12.3.0.15      17104 Bytes  01.05.2012 23:33:29
RCIMAGE.DLL    : 12.3.0.31    4444408 Bytes  08.08.2012 09:25:47
RCTEXT.DLL     : 12.3.0.31     100088 Bytes  08.08.2012 09:25:47

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_5040b34a\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: reparieren
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Freitag, 31. August 2012  15:13

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'syshost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TwonkyMediaServer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'twonkymediaserverwatchdog.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'daemonu.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MZCCntrl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleUpdate.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'speedfan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchSettings.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ApplicationUpdater.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RunDLL32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SCardSvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\800000cb.@'
C:\RECYCLER\S-1-5-21-1123561945-1220945662-725345543-1004\$91e1e81441c35fcf320afc7f280f1e0d\U\800000cb.@
  [FUND]      Ist das Trojanische Pferd TR/ATRAPS.Gen2
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '52a319b9.qua' verschoben!


Ende des Suchlaufs: Freitag, 31. August 2012  15:14
Benötigte Zeit: 00:46 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
     58 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
     57 Dateien ohne Befall
      0 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise

vom Avira Echtzeit-Scanner erkannt wurden.

Die sychost.exe befand sich mal unter den laufenden Prozessen. Mittlerweile taucht sie aber nicht mehr auf bzw. ich fahre nur in den Standby-Modus runter.
ComboFix löschte einiges in C:\Recylcer\... und entsprechende Registry-Einträge - Logs wie geschrieben nicht mehr vorhanden.

cosinus · 06.09.2012, 12:28

Bitte ESET ausführen, danach sehen wir weiter!

Hinweis: ESET zeigt durchaus öfter ein paar Fehlalarme. Deswegen soll auch von ESET immer nur erst das Log gepostet und nichts entfernt werden.

ESET Online Scanner
Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt als Administrator starten.
Dein Anti-Virus-Programm während des Scans deaktivieren.

Button (<< klick) drücken.
- Firefox-User:
  Bitte esetsmartinstaller_enu.exe downloaden.Das Firefox-Addon auf dem Desktop speichern und dann installieren.
- IE-User:
  müssen das Installieren eines ActiveX Elements erlauben.
Setze den einen Hacken bei Yes, i accept the Terms of Use.
Drücke den Button.
Warte bis die Komponenten herunter geladen wurden.
Setze einen Haken bei "Scan archives".
Gehe sicher, dass bei Remove Found Threads kein Haken gesetzt ist.
drücken.
Die Signaturen werden herunter geladen.Der Scan beginnt automatisch.

Wenn der Scan beendet wurde

Klicke .
Klicke und speichere das Logfile als ESET.txt auf dem Desktop.
Klicke Back und Finish

Bitte poste die Logfile hier.

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

Klaus123 · 06.09.2012, 14:02

Name durch +++ ersetzt.

Code:

ATTFilter

C:\Programme\Gemeinsame Dateien\Spigot\Search Settings\SearchSettings.exe	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.10	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.11	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.12	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.13	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.14	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.15	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.5	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.6	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.7	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.8	a variant of Win32/Toolbar.Widgi application
C:\Programme\Gemeinsame Dateien\Spigot\wtxpcom\components\WidgiToolbarFF.dll.9	a variant of Win32/Toolbar.Widgi application
C:\WINDOWS\Installer\767012.msi	probably a variant of Win32/Toolbar.Widgi application
D:\+++\tools\backups\backup-20120831-155954-804.dll	a variant of Win32/Toolbar.Widgi application

cosinus · 06.09.2012, 15:33

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

Falls der adwCleaner schon mal in der runtergeladen wurde, bitte die alte adwcleaner.exe löschen und neu runterladen!!

Starte die adwcleaner.exe mit einem Doppelklick.
Klicke auf Suche.
Nach Ende des Suchlaufs öffnet sich eine Textdatei.
Poste mir den Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner[Rx].txt. (x=fortlaufende Nummer)

Klaus123 · 06.09.2012, 15:41

Namen durch *** ersetzt.

Code:

ATTFilter

# AdwCleaner v2.000 - Datei am 09/06/2012 um 16:39:15 erstellt
# Aktualisiert am 30/08/2012 von Xplode
# Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits)
# Benutzer : *** - K-5A92FF537A0A4
# Normaler Modus : Normal
# Ausgeführt unter : C:\Dokumente und Einstellungen\***\Desktop\adwcleaner.exe
# Option [Suche]


**** [Dienste] ****

Gefunden : Application Updater

***** [Dateien / Ordner] *****

Ordner Gefunden : C:\Dokumente und Einstellungen\***\Anwendungsdaten\pdfforge
Ordner Gefunden : C:\Dokumente und Einstellungen\***\Anwendungsdaten\Search Settings
Ordner Gefunden : C:\Programme\Gemeinsame Dateien\spigot
Ordner Gefunden : C:\Programme\pdfforge Toolbar
Ordner Gefunden : C:\Programme\SweetIM

***** [Registrierungsdatenbank] *****

Schlüssel Gefunden : HKCU\Software\AppDataLow\Software\pdfforge
Schlüssel Gefunden : HKCU\Software\AppDataLow\Software\Search Settings
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gefunden : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35D-6118-11DC-9C72-001320C79847}
Schlüssel Gefunden : HKCU\Software\pdfforge
Schlüssel Gefunden : HKCU\Software\Search Settings
Schlüssel Gefunden : HKCU\Software\SweetIm
Schlüssel Gefunden : HKLM\Software\pdfforge
Schlüssel Gefunden : HKLM\Software\Search Settings
Schlüssel Gefunden : HKLM\Software\SweetIm

***** [Internet Browser] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Die Registrierungsdatenbank ist sauber.

*************************

AdwCleaner[R1].txt - [1720 octets] - [06/09/2012 16:39:15]

########## EOF - C:\AdwCleaner[R1].txt - [1780 octets] ##########

cosinus · 06.09.2012, 16:03

adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen

Schließe alle offenen Programme und Browser.
Starte die adwcleaner.exe mit einem Doppelklick.
Klicke auf Löschen.
Bestätige jeweils mit Ok.
Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
Poste mir den Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner[Sx].txt. (x=fortlaufende Nummer)

Klaus123 · 06.09.2012, 16:09

Code:

ATTFilter

# AdwCleaner v2.000 - Datei am 09/06/2012 um 17:04:45 erstellt
# Aktualisiert am 30/08/2012 von Xplode
# Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits)
# Benutzer : *** - K-5A92FF537A0A4
# Normaler Modus : Normal
# Ausgeführt unter : C:\Dokumente und Einstellungen\***\Desktop\adwcleaner.exe
# Option [Löschen]


**** [Dienste] ****

Gestoppt & Gelöscht : Application Updater

***** [Dateien / Ordner] *****

Ordner Gelöscht : C:\Dokumente und Einstellungen\***\Anwendungsdaten\pdfforge
Ordner Gelöscht : C:\Dokumente und Einstellungen\***\Anwendungsdaten\Search Settings
Ordner Gelöscht : C:\Programme\Gemeinsame Dateien\spigot
Ordner Gelöscht : C:\Programme\pdfforge Toolbar
Ordner Gelöscht : C:\Programme\SweetIM

***** [Registrierungsdatenbank] *****

Schlüssel Gelöscht : HKCU\Software\AppDataLow\Software\pdfforge
Schlüssel Gelöscht : HKCU\Software\AppDataLow\Software\Search Settings
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35D-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\pdfforge
Schlüssel Gelöscht : HKCU\Software\Search Settings
Schlüssel Gelöscht : HKCU\Software\SweetIm
Schlüssel Gelöscht : HKLM\Software\pdfforge
Schlüssel Gelöscht : HKLM\Software\Search Settings
Schlüssel Gelöscht : HKLM\Software\SweetIm

***** [Internet Browser] *****

-\\ Internet Explorer v8.0.6001.18702

Wiederhergestellt : [HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-21-1123561945-1220945662-725345543-1006\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]

*************************

AdwCleaner[R1].txt - [1849 octets] - [06/09/2012 16:39:15]
AdwCleaner[S1].txt - [2188 octets] - [06/09/2012 17:04:45]

########## EOF - C:\AdwCleaner[S1].txt - [2248 octets] ##########

cosinus · 06.09.2012, 16:11

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

Klaus123 · 06.09.2012, 16:15

zu 1.) Bis auf die alten Symptome (kein Echtzeit-Scanner, autom. Updates werden trotz Aktivierung im Sicherheitscenter als deaktiviert angezeit) schaut alles normal aus.

zu 2.) Alles ok.

cosinus · 06.09.2012, 19:43

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

CustomScan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Setze oben mittig den Haken bei Scanne alle Benutzer
Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die Textbox von OTL - wenn OTL auf deutsch ist wird sie mit beschriftet

Code:

ATTFilter

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Klaus123 · 07.09.2012, 14:44

Namen durch *** und +++ ersetzt.
Wegen Überschreitung der Zeichenlänge habe ich das gepackte Log angehangen.

Ps.: Das Javaupdate 7U7 hab ich übrigens erst nach dem Aviraalarm aufgespielt.

Klaus123 · 08.09.2012, 17:12

Da ich dem Eigentürmer des PCs nur noch bis morgen als "Hilfe" zur Verfügung stehe und vor allem weil auch Online-Banking betrieben wird, habe ich mich für eine Neuinstallation entschlossen.
Ich danke dir, aber auch dem gesamten Team, für deine Mühen und die schnelle und kompetente Hilfe.

Grüße
Klaus

06.09.2012, 16:11	#11
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Atraps(2)+Necurs+? Hätte da mal zwei Fragen bevor es weiter geht 1.) Geht der normale Modus von Windows (wieder) uneingeschränkt? 2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden? __________________ Logfiles bitte immer in CODE-Tags posten

Atraps(2)+Necurs+?

Log-Analyse und Auswertung: Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Atraps(2)+Necurs+?

Ähnliche Themen: Atraps(2)+Necurs+?

02.09.2012, 15:34	#2
Klaus123	Atraps(2)+Necurs+? Nachtrag: Anbei noch die Gmer-Logfile. __________________

06.09.2012, 16:15	#12
Klaus123	Atraps(2)+Necurs+? zu 1.) Bis auf die alten Symptome (kein Echtzeit-Scanner, autom. Updates werden trotz Aktivierung im Sicherheitscenter als deaktiviert angezeit) schaut alles normal aus. zu 2.) Alles ok.

07.09.2012, 14:44	#14
Klaus123	Atraps(2)+Necurs+? Namen durch *** und +++ ersetzt. Wegen Überschreitung der Zeichenlänge habe ich das gepackte Log angehangen. Ps.: Das Javaupdate 7U7 hab ich übrigens erst nach dem Aviraalarm aufgespielt.

08.09.2012, 17:12	#15
Klaus123	Atraps(2)+Necurs+? Da ich dem Eigentürmer des PCs nur noch bis morgen als "Hilfe" zur Verfügung stehe und vor allem weil auch Online-Banking betrieben wird, habe ich mich für eine Neuinstallation entschlossen. Ich danke dir, aber auch dem gesamten Team, für deine Mühen und die schnelle und kompetente Hilfe. Grüße Klaus