| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Vorschaubilder von Bilderordnern vertauschtWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
07.11.2012, 14:18
| #8 |
| Gesperrt |  Vorschaubilder von Bilderordnern vertauscht Hallo, alles klar, ich habe die genannten Dienste und Autostarts deaktiviert sowie Daemon Tools deinstalliert (wusste bis eben gar nicht, dass ich das besitze  ), habe den Schritt mit dem Defogger also ausgelassen. Hier die entsprechenden Logs: GMER Logfile: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-07 14:06:43
Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 WDC_WD5001AALS-00J7B1 rev.05.00K05
Running: n9trw6m4.exe; Driver: C:\Users\PHILIP~1\AppData\Local\Temp\pwlirpow.sys
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!ZwRollbackEnlistment + 140D 83040A49 1 Byte [06]
.text ntkrnlpa.exe!KiDispatchInterrupt + 5A2 8307A4D2 19 Bytes [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
.text C:\Windows\system32\DRIVERS\atikmdag.sys section is writeable [0x91634000, 0x130E98, 0xE8000020]
PAGE spsys.sys!?SPRevision@@3PADA + 4F90 A15B2000 290 Bytes [8B, FF, 55, 8B, EC, 33, C0, ...]
PAGE spsys.sys!?SPRevision@@3PADA + 50B3 A15B2123 486 Bytes [D5, 5A, A1, FE, 05, 34, D5, ...]
PAGE spsys.sys!?SPRevision@@3PADA + 529A A15B230A 142 Bytes [5A, A1, 3B, 08, 77, 04, 3B, ...]
PAGE spsys.sys!?SPRevision@@3PADA + 5329 A15B2399 101 Bytes [6A, 28, 59, A5, 5E, C6, 03, ...]
PAGE spsys.sys!?SPRevision@@3PADA + 538F A15B23FF 148 Bytes [18, 5D, C2, 14, 00, 8B, FF, ...]
PAGE ...
---- User IAT/EAT - GMER 1.0.15 ----
IAT C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe[2316] @ C:\Windows\system32\USER32.dll [KERNEL32.dll!GetProcAddress] [74EAFFF6] C:\Windows\system32\apphelp.dll (Clientbibliothek für Anwendungskompatibilität/Microsoft Corporation)
IAT C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe[2316] @ C:\Windows\system32\GDI32.dll [KERNEL32.dll!GetProcAddress] [74EAFFF6] C:\Windows\system32\apphelp.dll (Clientbibliothek für Anwendungskompatibilität/Microsoft Corporation)
IAT C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe[2316] @ C:\Windows\system32\ADVAPI32.dll [KERNEL32.dll!GetProcAddress] [74EAFFF6] C:\Windows\system32\apphelp.dll (Clientbibliothek für Anwendungskompatibilität/Microsoft Corporation)
IAT C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe[2316] @ C:\Windows\system32\SHLWAPI.dll [KERNEL32.dll!GetProcAddress] [74EAFFF6] C:\Windows\system32\apphelp.dll (Clientbibliothek für Anwendungskompatibilität/Microsoft Corporation)
---- Devices - GMER 1.0.15 ----
Device \Driver\ACPI_HAL \Device\00000049 halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation)
AttachedDevice \Driver\volmgr \Device\HarddiskVolume1 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice \Driver\volmgr \Device\HarddiskVolume2 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
---- EOF - GMER 1.0.15 ----
MBR-Logfile: Code:
ATTFilter Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, hxxp://www.gmer.net
Windows 6.1.7601 Disk: WDC_WD5001AALS-00J7B1 rev.05.00K05 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0
device: opened successfully
user: MBR read successfully
Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys halmacpi.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys
1 ntkrnlpa!IofCallDriver[0x83073BC5] -> \Device\Harddisk0\DR0[0x867AB440]
3 CLASSPNP[0x8C18759E] -> ntkrnlpa!IofCallDriver[0x83073BC5] -> [0x86270918]
5 ACPI[0x837BC3D4] -> ntkrnlpa!IofCallDriver[0x83073BC5] -> \Device\Ide\IdeDeviceP0T0L0-0[0x8596C908]
kernel: MBR read successfully
user & kernel MBR OK
|
| Themen zu Vorschaubilder von Bilderordnern vertauscht |
| andere, anderen, besuch, bleibe, datei, diverse, eigenschaften, euere, gmer, hoffe, klick, klicke, korrekt, kurze, muster, natürlich, plötzlich, problem, relativ, schneller, seltsames, spätere, verschwinden, vertauscht, vorschaubilder, wählt |
Baum-Darstellung