| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Windows XP Laptop möglicherweise infiziert?Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
20.11.2012, 11:06
| #31 |
 |  Windows XP Laptop möglicherweise infiziert? so - ich hab da jetzt genau neben C:\ WINDOWS> fixmbr eingtippt und dann enter Dann kommt da eine Megawarnung: Der MBR scheint ungültig oder nicht standardmäßig zu sein Wenn Sie diesen Vorgang fortsetzen, wird FIXMBR wird möglicherweise die Partitionstabellen beschädigen. Das kann dazu führen, dass auf keine Partition auf der aktuellen Festplatte zugegriffen werden kann etc. etc. Sind Sie sicher, dass Sie einen neuen MBR schreiben möchten? Sorry, dass ich da so oft nachfrage, aber das ist echt Neuland für mich und solche Warnmeldungen machen mir etwas Angst  |
|
20.11.2012, 14:18
| #32 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Windows XP Laptop möglicherweise infiziert? Ja du bist sicher den MBR neu zu schreiben
__________________
__________________ |
|
20.11.2012, 14:34
| #33 |
| | Windows XP Laptop möglicherweise infiziert? mah bin total umsonst so nervös gewesen
__________________ also die letzen scanner die ich ausgeführt habe waren: TDSS (letze), Gmer (vorletze) und aswmbr (vorvorletzte) - welchen soll ich jetzt als erstes drüberrattern lassen? lg |
|
20.11.2012, 16:01
| #35 |
| | Windows XP Laptop möglicherweise infiziert? ok anbei nun aswmbr - GMER kann ich erst wieder am Abend ausführen: Code:
ATTFilter aswMBR version 0.9.9.1707 Copyright(c) 2011 AVAST Software
Run date: 2012-11-20 14:53:16
-----------------------------
14:53:16.265 OS Version: Windows 5.1.2600 Service Pack 3
14:53:16.265 Number of processors: 2 586 0xF06
14:53:16.265 ComputerName: PC308434332191 UserName: Katie
14:53:43.203 Initialize success
15:00:14.828 AVAST engine defs: 12111901
15:21:56.609 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
15:21:56.609 Disk 0 Vendor: Size: 0MB BusType: 0
15:21:56.656 Disk 0 MBR read successfully
15:21:56.656 Disk 0 MBR scan
15:21:56.718 Disk 0 Windows XP default MBR code
15:21:56.718 Disk 0 MBR hidden
15:21:56.750 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 85878 MB offset 63
15:21:56.781 Disk 0 Partition 2 00 0C FAT32 LBA RECOVERY 8479 MB offset 175895685
15:21:56.812 Disk 0 Partition 3 00 D7 NTFS 1027 MB offset 193261950
15:21:56.859 Disk 0 scanning C:\WINDOWS\system32\drivers
15:22:15.578 Service scanning
15:22:27.484 Service KL1 C:\WINDOWS\system32\DRIVERS\kl1.sys **LOCKED** 5
15:22:27.531 Service kl2 C:\WINDOWS\system32\DRIVERS\kl2.sys **LOCKED** 5
15:22:27.687 Service klim5 C:\WINDOWS\system32\DRIVERS\klim5.sys **LOCKED** 5
15:22:27.734 Service klmouflt C:\WINDOWS\system32\DRIVERS\klmouflt.sys **LOCKED** 5
15:22:46.171 Modules scanning
15:22:59.250 Disk 0 trace - called modules:
15:22:59.265 ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll iaStor.sys
15:22:59.265 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x86f55ab8]
15:22:59.265 3 CLASSPNP.SYS[f7564fd7] -> nt!IofCallDriver -> \Device\00000088[0x86f4e898]
15:22:59.281 5 ACPI.sys[f73da620] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-0[0x86f3e030]
15:23:00.109 AVAST engine scan C:\WINDOWS
15:23:35.500 AVAST engine scan C:\WINDOWS\system32
15:27:12.328 AVAST engine scan C:\WINDOWS\system32\drivers
15:27:35.125 AVAST engine scan C:\Dokumente und Einstellungen\Katie.PC308434332191
15:36:36.359 AVAST engine scan C:\Dokumente und Einstellungen\All Users
15:42:20.328 Scan finished successfully
15:47:29.937 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\MBR.dat"
15:47:29.937 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\aswMBR20112012.txt"
|
|
20.11.2012, 18:07
| #36 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Windows XP Laptop möglicherweise infiziert? Sollte ok sein, man sieht aber auch kaum einen Unterschied zum vorherigen Log von aswmbr
__________________ --> Windows XP Laptop möglicherweise infiziert? |
|
21.11.2012, 05:57
| #37 |
| | Windows XP Laptop möglicherweise infiziert? Guten Morgen, untenstehend nun auch der neue GMER log: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-20 23:09:08
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 rev.
Running: 2dt0qi8k.exe; Driver: C:\DOKUME~1\KATIE~1.PC3\LOKALE~1\Temp\pfliikob.sys
---- System - GMER 1.0.15 ----
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwAdjustPrivilegesToken [0xF02DDF2A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwClose [0xF02DE824]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwConnectPort [0xF02F87BC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateEvent [0xF02DED96]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateMutant [0xF02DEC84]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreatePort [0xF02F8AD4]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateProcess [0xF02DEFC6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateProcessEx [0xF02DF18E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateSection [0xF02DDCE6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateSemaphore [0xF02DEEAE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateThread [0xF02DE556]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateWaitablePort [0xF02F8B9C]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDebugActiveProcess [0xF02DF4AC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeleteKey [0xF02F2D6E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeleteValueKey [0xF02F4578]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeviceIoControlFile [0xF02DE866]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDuplicateObject [0xF02E04AC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwEnumerateKey [0xF02F3D72]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwEnumerateValueKey [0xF02F4722]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadDriver [0xF02DF59E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadKey [0xF02F38AA]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadKey2 [0xF02F3B06]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwMapViewOfSection [0xF02DFB0A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwNotifyChangeKey [0xF02F6FD8]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenEvent [0xF02DEE28]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenMutant [0xF02DED10]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenProcess [0xF02DE164]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenSection [0xF02DF8EE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenSemaphore [0xF02DEF40]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenThread [0xF02DE058]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryKey [0xF02F2BA2]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryMultipleValueKey [0xF02F4382]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryObject [0xF02F71CE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQuerySection [0xF02DFE30]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryValueKey [0xF02F4172]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueueApcThread [0xF02DF73E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRenameKey [0xF02F2E82]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplaceKey [0xF02F34F6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplyPort [0xF02F8D16]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplyWaitReceivePort [0xF02F8C64]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRequestWaitReplyPort [0xF02F8D82]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRestoreKey [0xF02F36FE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwResumeThread [0xF02E034E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveKey [0xF02F3028]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveKeyEx [0xF02F31BE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveMergedKeys [0xF02F335A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSecureConnectPort [0xF02F8944]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetContextThread [0xF02DE6C6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetInformationToken [0xF02DF358]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetSystemInformation [0xF02DFF80]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetValueKey [0xF02F3F32]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSuspendProcess [0xF02E0074]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSuspendThread [0xF02E01AE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSystemDebugControl [0xF02DF3CE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwTerminateProcess [0xF02DE302]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwTerminateThread [0xF02DE25A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwUnmapViewOfSection [0xF02DFCE8]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwWriteVirtualMemory [0xF02DE3EC]
Code \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) FsRtlCheckLockForReadAccess
Code \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) IoIsOperationSynchronous
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!FsRtlCheckLockForReadAccess 804EAFC4 5 Bytes JMP F02CFE5A \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text ntkrnlpa.exe!IoIsOperationSynchronous 804EF96C 5 Bytes JMP F02D0236 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text ntkrnlpa.exe!ZwCallbackReturn + 2C40 80504538 4 Bytes CALL D0A1356A
.text ntkrnlpa.exe!ZwCallbackReturn + 2C94 8050458C 12 Bytes [D4, 8A, 2F, F0, C6, EF, 2D, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2D60 80504658 12 Bytes [9E, F5, 2D, F0, AA, 38, 2F, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2EDC 805047D4 16 Bytes [82, 2E, 2F, F0, F6, 34, 2F, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2F14 8050480C 20 Bytes [4E, 03, 2E, F0, 28, 30, 2F, ...]
.text ...
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF5427360, 0x2255BD, 0xE8000020]
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[TDI.SYS!TdiRegisterDeviceObject] [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
IAT \SystemRoot\system32\DRIVERS\netbt.sys[TDI.SYS!TdiRegisterDeviceObject] [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
---- Devices - GMER 1.0.15 ----
AttachedDevice \Driver\Tcpip \Device\Ip kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 eabfiltr.sys (QLB PS/2 Keyboard filter driver/Hewlett-Packard Development Company, L.P.)
AttachedDevice \Driver\Tcpip \Device\Tcp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Tcpip \Device\Udp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Tcpip \Device\RawIp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Disk sectors - GMER 1.0.15 ----
Disk \Device\Harddisk0\DR0 sector 00: rootkit-like behavior
---- EOF - GMER 1.0.15 ----
|
|
21.11.2012, 13:46
| #38 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Windows XP Laptop möglicherweise infiziert? Hm, das angebliche MBR-Rootkit ist immer noch da  Code:
ATTFilter Disk 0 Partition 3 00 D7 NTFS 1027 MB offset 193261950
Geh auch mal bitte in die Datenträgerverwaltung (klick auf Start/Ausführen, diskmgmt.msc eintippen und ok), maximiere das Fenster, erstell dann einen Screenshot und poste ihn hier. Hier ein Beispiel wie die Datenträgerverwaltung aussieht: 
__________________ Logfiles bitte immer in CODE-Tags posten |
|
21.11.2012, 19:03
| #39 |
| | Windows XP Laptop möglicherweise infiziert? hello, nein - also ich hab sicher keine eigene partition erstellt.  wo kommt die her? gibt es viren / trojaner die eine eigene partition erstellen können? Bzw. wie kann ich erkennen was da drauf ist? Mir fällt grad ein, dass vor 2 - 3 Jahren mein Laptop ziemlich im Eimer gewesen ist (konnte nicht mehr hochfahren bzw. irgendwas auf dem ding steuern) und da ich das trojaner board damals nicht kannte, hat mein Mann gemeint, dass sein Freund (arbeitet in der IT Abteilung in einem großen Unternehmen) sich das Teil mal ansieht und versuchen könnte Daten zu retten. Daten wurden nur teilweise gerettet (falls das mal in den logfiles aufgetaucht ist - das sind die Ordner auf C die sich "Daten recovered" nennen) Ich schließe es aber aus, dass er eine Partition erstellt hat, weil er hätte es mir ja gesagt bzw. dem Ding wenigstens einen Namen gegeben. anbei mal der screenshot Das wird ja immer mysteriöser NACHTRAG: hab jetzt mal versucht mit der rechten Maustaste die Eigenschaften dieser ominösen Partition anzuklicken - Fehlanzeige! Die Eigenschaften sind nicht anklickbar!! |
|
21.11.2012, 19:31
| #40 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Windows XP Laptop möglicherweise infiziert?Zitat:
 Ich habe bisher gesehen, dass v.a. Rootkits eine kleine (10 MB) Partition erstellen und diese als aktiv/bootfähig kennzeichnen. Normalerweise ist eine von Windows erstellte Partition aktiv und hat das bootflag. Wenn aber die Rootkit-Partition das hat, wird von ihr gebootet mit der Konsequenz, dass der Schädling schon aktiv wird bevor Windows gebootet ist Lösch diese 1 GB Partition bitte, mach danach einen Neustart und einen neuen Screenshot der Datenträgerverwaltung und bitte auch einen neuen Scan mit GMER Wenn du Recover-Discs hast bzw. eine normale WindowsXP-Installations-Disc XP, dann kannst du auch die RECOVERY Partition löschen
__________________ Logfiles bitte immer in CODE-Tags posten |
|
21.11.2012, 19:39
| #41 |
| | Windows XP Laptop möglicherweise infiziert? oh mann, das wird ja immer besser :/ so ich wollt das Ding jetzt löschen und jetzt schiebt windows folgende meldung: Die gewählte Partition wurde nicht erstellt und enthält möglicherweise Daten die von anderen Betriebssystemen verwendet werden. Soll diese Partition gelöscht werden? |
|
21.11.2012, 21:07
| #42 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Windows XP Laptop möglicherweise infiziert? Ja lösch die ruhig mal
__________________ Logfiles bitte immer in CODE-Tags posten |
|
21.11.2012, 21:27
| #43 |
| | Windows XP Laptop möglicherweise infiziert? guti - hab ich gemacht und danach einen restart und nun anbei der neue screenshot. vielleicht ist mir das jetzt nur so vorgekommen, weil ich während des neustartens kurz draußen war, aber mir kommt irgendwie vor, dass der kleine läppi etwas länger als gewohnt braucht - ist mir eigentlich schon aufgefallen, nachdem der combofix diese wiederherstellungsconsole erstellt hat - außerdem heizt sich der Kleine extrem auf EDIT Oh mein Gott ich glaub jetzt hats ihn gschossen... Wollte mit Kaspersky eine schwachstellenüberprüfung machen, die hat sich nach 1 % aufghängt, dann hat meine i-net verbidnug auf einmal gemeldet, dass sie unsicher ist und ich hab daraufhin sofort das WLAN abgedreht, wollte wieder andrehen und dann ist er eingefroren. Hab, brutal wie ich bin, das knopfal gedrückt und in ausgeschalten. 1 min später nochmal an und jetzt geht nix mehr. Kurz bevor die anmeldemaske hätte kommen sollen, ist nun ein blauer ein XP Bildschirm und es wird gemeldet, dass das dateisytem c überprüft wird und das von CHKDSK - bei den indezes ist er hängen geblieben und zwar beim Index der Datei 33039 . Da soll irgend ein Fehler berichtigt werden... Gott was isn jetzt los??? Geändert von Killerbee87 (21.11.2012 um 22:02 Uhr) |
|
24.11.2012, 07:13
| #45 |
| | Windows XP Laptop möglicherweise infiziert? Hallo, untenstehend der GMER log: Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-11-23 23:57:37
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 rev.
Running: 2dt0qi8k.exe; Driver: C:\DOKUME~1\KATIE~1.PC3\LOKALE~1\Temp\pfliikob.sys
---- System - GMER 1.0.15 ----
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwAdjustPrivilegesToken [0xEEDCEF2A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwClose [0xEEDCF824]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwConnectPort [0xEEDE97BC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateEvent [0xEEDCFD96]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateMutant [0xEEDCFC84]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreatePort [0xEEDE9AD4]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateProcess [0xEEDCFFC6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateProcessEx [0xEEDD018E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateSection [0xEEDCECE6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateSemaphore [0xEEDCFEAE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateThread [0xEEDCF556]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwCreateWaitablePort [0xEEDE9B9C]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDebugActiveProcess [0xEEDD04AC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeleteKey [0xEEDE3D6E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeleteValueKey [0xEEDE5578]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDeviceIoControlFile [0xEEDCF866]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwDuplicateObject [0xEEDD14AC]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwEnumerateKey [0xEEDE4D72]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwEnumerateValueKey [0xEEDE5722]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadDriver [0xEEDD059E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadKey [0xEEDE48AA]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwLoadKey2 [0xEEDE4B06]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwMapViewOfSection [0xEEDD0B0A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwNotifyChangeKey [0xEEDE7FD8]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenEvent [0xEEDCFE28]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenMutant [0xEEDCFD10]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenProcess [0xEEDCF164]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenSection [0xEEDD08EE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenSemaphore [0xEEDCFF40]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwOpenThread [0xEEDCF058]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryKey [0xEEDE3BA2]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryMultipleValueKey [0xEEDE5382]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryObject [0xEEDE81CE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQuerySection [0xEEDD0E30]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueryValueKey [0xEEDE5172]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwQueueApcThread [0xEEDD073E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRenameKey [0xEEDE3E82]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplaceKey [0xEEDE44F6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplyPort [0xEEDE9D16]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwReplyWaitReceivePort [0xEEDE9C64]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRequestWaitReplyPort [0xEEDE9D82]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwRestoreKey [0xEEDE46FE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwResumeThread [0xEEDD134E]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveKey [0xEEDE4028]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveKeyEx [0xEEDE41BE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSaveMergedKeys [0xEEDE435A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSecureConnectPort [0xEEDE9944]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetContextThread [0xEEDCF6C6]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetInformationToken [0xEEDD0358]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetSystemInformation [0xEEDD0F80]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSetValueKey [0xEEDE4F32]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSuspendProcess [0xEEDD1074]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSuspendThread [0xEEDD11AE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwSystemDebugControl [0xEEDD03CE]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwTerminateProcess [0xEEDCF302]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwTerminateThread [0xEEDCF25A]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwUnmapViewOfSection [0xEEDD0CE8]
SSDT \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) ZwWriteVirtualMemory [0xEEDCF3EC]
Code \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) FsRtlCheckLockForReadAccess
Code \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab) IoIsOperationSynchronous
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!FsRtlCheckLockForReadAccess 804EAFC4 5 Bytes JMP EEDC0E5A \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text ntkrnlpa.exe!IoIsOperationSynchronous 804EF96C 5 Bytes JMP EEDC1236 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter [fre_wnet_x86]/Kaspersky Lab)
.text ntkrnlpa.exe!ZwCallbackReturn + 2C94 8050458C 12 Bytes [D4, 9A, DE, EE, C6, FF, DC, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2D60 80504658 12 Bytes [9E, 05, DD, EE, AA, 48, DE, ...] {SAHF ; ADD EAX, 0x48aaeedd; FSUBP ST(6), ST; PUSH ES; DEC EBX; FSUBP ST(6), ST}
.text ntkrnlpa.exe!ZwCallbackReturn + 2EDC 805047D4 16 Bytes [82, 3E, DE, EE, F6, 44, DE, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2F14 8050480C 20 Bytes [4E, 13, DD, EE, 28, 40, DE, ...]
.text ntkrnlpa.exe!ZwCallbackReturn + 2FD0 805048C8 12 Bytes [74, 10, DD, EE, AE, 11, DD, ...] {JZ 0x12; FUCOMP ST(6); SCASB ; ADC EBP, EBX; OUT DX, AL ; INTO ; ADD EBX, EBP; OUT DX, AL }
.text ...
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF54CD360, 0x2255BD, 0xE8000020]
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[TDI.SYS!TdiRegisterDeviceObject] [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
IAT \SystemRoot\system32\DRIVERS\netbt.sys[TDI.SYS!TdiRegisterDeviceObject] [F6F06E60] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
---- Devices - GMER 1.0.15 ----
AttachedDevice \Driver\Tcpip \Device\Ip kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 eabfiltr.sys (QLB PS/2 Keyboard filter driver/Hewlett-Packard Development Company, L.P.)
AttachedDevice \Driver\Tcpip \Device\Tcp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Tcpip \Device\Udp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \Driver\Tcpip \Device\RawIp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab ZAO)
AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Disk sectors - GMER 1.0.15 ----
Disk \Device\Harddisk0\DR0 sector 00: rootkit-like behavior
---- EOF - GMER 1.0.15 ----
aswmbr folgt lg so und nun auch der neue aswmbr log: Code:
ATTFilter aswMBR version 0.9.9.1707 Copyright(c) 2011 AVAST Software
Run date: 2012-11-24 17:26:49
-----------------------------
17:26:49.937 OS Version: Windows 5.1.2600 Service Pack 3
17:26:49.937 Number of processors: 2 586 0xF06
17:26:49.937 ComputerName: PC308434332191 UserName: Katie
17:27:07.687 Initialize success
17:43:50.343 AVAST engine defs: 12112400
17:44:04.984 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
17:44:04.984 Disk 0 Vendor: Size: 0MB BusType: 0
17:44:05.015 Disk 0 MBR read successfully
17:44:05.015 Disk 0 MBR scan
17:44:05.062 Disk 0 Windows XP default MBR code
17:44:05.062 Disk 0 MBR hidden
17:44:05.062 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 85878 MB offset 63
17:44:05.093 Disk 0 Partition 2 00 0C FAT32 LBA RECOVERY 8479 MB offset 175895685
17:44:05.125 Disk 0 scanning C:\WINDOWS\system32\drivers
17:44:22.906 Service scanning
17:44:34.453 Service KL1 C:\WINDOWS\system32\DRIVERS\kl1.sys **LOCKED** 5
17:44:34.500 Service kl2 C:\WINDOWS\system32\DRIVERS\kl2.sys **LOCKED** 5
17:44:34.687 Service klim5 C:\WINDOWS\system32\DRIVERS\klim5.sys **LOCKED** 5
17:44:34.734 Service klmouflt C:\WINDOWS\system32\DRIVERS\klmouflt.sys **LOCKED** 5
17:44:52.890 Modules scanning
17:45:05.687 Disk 0 trace - called modules:
17:45:05.703
17:45:06.328 AVAST engine scan C:\WINDOWS
17:45:39.796 AVAST engine scan C:\WINDOWS\system32
17:49:13.593 AVAST engine scan C:\WINDOWS\system32\drivers
17:49:34.718 AVAST engine scan C:\Dokumente und Einstellungen\Katie.PC308434332191
17:56:15.843 AVAST engine scan C:\Dokumente und Einstellungen\All Users
18:01:31.718 Scan finished successfully
18:03:11.609 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\MBR.dat"
18:03:11.625 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Katie.PC308434332191\Desktop\aswMBR24112012.txt"
|
|
| Themen zu Windows XP Laptop möglicherweise infiziert? |
| anderes, befall, bruder, center, cpu, edition, guten, html, infiziert, infiziert?, intel, internetverbindung, laptop, leute, logfiles, media, microsoft, nicht mehr, problem, retten, service, usb, verbindung, version, windows, windows xp |
Linear-Darstellung
