Avira entdeckt 'versteckten Treiber'

Flip_D · 23.05.2013, 15:01

hi. ich habe die tage ein system neu aufgesetzt. bevor ich backups aufspielen wollte, habe ich alles nochmals mit malwarebytes, malwarebytes für rootkits, hijackthis, superantispyware und avira gescannt.

system ist windows xp sp3, alles genutzte software ist aktuell

nur avira findet folgendes einziges:

Zitat:

Der Suchlauf nach versteckten Objekten wird begonnen.
Versteckter Treiber
[HINWEIS] Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.

einen scan von einem bootfähigen usb stick aus lasse ich im moment laufen. danach kann ich gerne von gewünschten programmen logs posten. muss nur wissen von was... edit: nichts gefunden.

aharonov · 23.05.2013, 16:51

Hi,

ist wohl nur ein Emulator-Treiber.
Verwende mal defogger wie folgt und mach danach nochmals denselben Avira-Scan und schau, ob diese Meldung immer noch auftaucht oder nicht:

Downloade dir bitte defogger (von jpshortstuff) auf deinen Desktop.

Starte das Tool mit Doppelklick.
Klicke nun auf den Disable Button.
Bestätige diese Sicherheitsabfrage mit Ja.
Wenn der Scan beendet wurde (Finished), klicke auf OK.
Falls Defogger zu einem Neustart auffordert, bestätige dies mit OK.
Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt.
Nur falls Probleme aufgetreten sind, poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!

Flip_D · 23.05.2013, 17:11

Danke! Avira meldet noch immer den versteckten Treiber.

Defogger Log

Code:

ATTFilter

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 18:00 on 23/05/2013 (PhD)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...


-=E.O.F=-

Die Logs der anderen Programme:
Avira

Code:

ATTFilter

Avira Free Antivirus
Erstellungsdatum der Reportdatei: Donnerstag, 23. Mai 2013  18:02


Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : ...
Computername   : ...

Versionsinformationen:
BUILD.DAT      : 13.0.0.3640    54852 Bytes  18.04.2013 13:29:00
AVSCAN.EXE     : 13.6.0.1262   636984 Bytes  20.05.2013 07:45:26
AVSCANRC.DLL   : 13.4.0.360     64800 Bytes  20.05.2013 07:45:26
LUKE.DLL       : 13.6.0.1262    65080 Bytes  20.05.2013 07:45:43
AVSCPLR.DLL    : 13.6.0.1262    92216 Bytes  22.05.2013 11:19:38
AVREG.DLL      : 13.6.0.1262   247864 Bytes  22.05.2013 11:19:38
avlode.dll     : 13.6.2.1262   432184 Bytes  20.05.2013 07:45:24
avlode.rdf     : 13.0.1.12      25921 Bytes  20.05.2013 07:46:01
VBASE000.VDF   : 7.11.70.0   66736640 Bytes  04.04.2013 07:44:56
VBASE001.VDF   : 7.11.74.226  2201600 Bytes  30.04.2013 07:44:58
VBASE002.VDF   : 7.11.74.227     2048 Bytes  30.04.2013 07:44:58
VBASE003.VDF   : 7.11.74.228     2048 Bytes  30.04.2013 07:44:59
VBASE004.VDF   : 7.11.74.229     2048 Bytes  30.04.2013 07:44:59
VBASE005.VDF   : 7.11.74.230     2048 Bytes  30.04.2013 07:44:59
VBASE006.VDF   : 7.11.74.231     2048 Bytes  30.04.2013 07:44:59
VBASE007.VDF   : 7.11.74.232     2048 Bytes  30.04.2013 07:44:59
VBASE008.VDF   : 7.11.74.233     2048 Bytes  30.04.2013 07:44:59
VBASE009.VDF   : 7.11.74.234     2048 Bytes  30.04.2013 07:44:59
VBASE010.VDF   : 7.11.74.235     2048 Bytes  30.04.2013 07:44:59
VBASE011.VDF   : 7.11.74.236     2048 Bytes  30.04.2013 07:44:59
VBASE012.VDF   : 7.11.74.237     2048 Bytes  30.04.2013 07:44:59
VBASE013.VDF   : 7.11.74.238     2048 Bytes  30.04.2013 07:44:59
VBASE014.VDF   : 7.11.75.97    181248 Bytes  02.05.2013 07:44:59
VBASE015.VDF   : 7.11.75.183   217600 Bytes  03.05.2013 07:45:00
VBASE016.VDF   : 7.11.76.27    183808 Bytes  04.05.2013 07:45:00
VBASE017.VDF   : 7.11.76.101   194048 Bytes  06.05.2013 07:45:00
VBASE018.VDF   : 7.11.76.213   163328 Bytes  07.05.2013 07:45:00
VBASE019.VDF   : 7.11.77.41    134656 Bytes  08.05.2013 07:45:01
VBASE020.VDF   : 7.11.77.145   141312 Bytes  10.05.2013 07:45:01
VBASE021.VDF   : 7.11.77.225   155648 Bytes  12.05.2013 07:45:01
VBASE022.VDF   : 7.11.78.21    202752 Bytes  13.05.2013 07:45:01
VBASE023.VDF   : 7.11.78.71    140800 Bytes  13.05.2013 07:45:01
VBASE024.VDF   : 7.11.78.147   167936 Bytes  15.05.2013 07:45:01
VBASE025.VDF   : 7.11.78.207   147456 Bytes  16.05.2013 07:45:02
VBASE026.VDF   : 7.11.79.17    198656 Bytes  17.05.2013 07:45:02
VBASE027.VDF   : 7.11.79.194   659968 Bytes  23.05.2013 11:04:49
VBASE028.VDF   : 7.11.79.195     2048 Bytes  23.05.2013 11:04:49
VBASE029.VDF   : 7.11.79.196     2048 Bytes  23.05.2013 11:04:49
VBASE030.VDF   : 7.11.79.197     2048 Bytes  23.05.2013 11:04:49
VBASE031.VDF   : 7.11.79.214    62464 Bytes  23.05.2013 15:11:23
Engineversion  : 8.2.12.48 
AEVDF.DLL      : 8.1.2.10      102772 Bytes  20.05.2013 07:45:07
AESCRIPT.DLL   : 8.1.4.118     487805 Bytes  23.05.2013 13:15:55
AESCN.DLL      : 8.1.10.4      131446 Bytes  20.05.2013 07:45:07
AESBX.DLL      : 8.2.5.12      606578 Bytes  20.05.2013 07:45:08
AERDL.DLL      : 8.2.0.88      643444 Bytes  20.05.2013 07:45:07
AEPACK.DLL     : 8.3.2.12      754040 Bytes  20.05.2013 07:45:06
AEOFFICE.DLL   : 8.1.2.56      205180 Bytes  20.05.2013 07:45:06
AEHEUR.DLL     : 8.1.4.378    5910905 Bytes  23.05.2013 13:15:53
AEHELP.DLL     : 8.1.25.10     258425 Bytes  20.05.2013 07:45:03
AEGEN.DLL      : 8.1.7.4       442741 Bytes  20.05.2013 07:45:03
AEEXP.DLL      : 8.4.0.32      201078 Bytes  23.05.2013 13:15:55
AEEMU.DLL      : 8.1.3.2       393587 Bytes  20.05.2013 07:45:03
AECORE.DLL     : 8.1.31.2      201080 Bytes  20.05.2013 07:45:03
AEBB.DLL       : 8.1.1.4        53619 Bytes  20.05.2013 07:45:03
AVWINLL.DLL    : 13.6.0.480     26480 Bytes  20.05.2013 07:43:55
AVPREF.DLL     : 13.6.0.480     51056 Bytes  20.05.2013 07:45:25
AVREP.DLL      : 13.6.0.480    178544 Bytes  20.05.2013 07:46:01
AVARKT.DLL     : 13.6.0.1262   258104 Bytes  20.05.2013 07:45:19
AVEVTLOG.DLL   : 13.6.0.1262   164920 Bytes  20.05.2013 07:45:21
SQLITE3.DLL    : 3.7.0.1       397704 Bytes  20.05.2013 07:45:52
AVSMTP.DLL     : 13.6.0.480     62832 Bytes  20.05.2013 07:45:27
NETNT.DLL      : 13.6.0.480     16240 Bytes  20.05.2013 07:45:46
RCIMAGE.DLL    : 13.4.0.360   4780832 Bytes  20.05.2013 07:43:56
RCTEXT.DLL     : 13.6.0.976     69344 Bytes  20.05.2013 07:43:56

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Suche nach Rootkits und aktiver Malware
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\PROFILES\rootkit.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Donnerstag, 23. Mai 2013  17:18

Der Suchlauf nach versteckten Objekten wird begonnen.
Versteckter Treiber
  [HINWEIS]   Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '93' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '84' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamservice.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'NOTEPAD.EXE' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'totalcmd.exe' - '68' Modul(e) wurden durchsucht
Durchsuche Prozess 'cis.exe' - '69' Modul(e) wurden durchsucht
Durchsuche Prozess 'cavwp.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'RunDll32.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxsrvc.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'cistray.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'TFncKy.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'thotkey.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '75' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'TAPPSRV.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '91' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '129' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '151' Modul(e) wurden durchsucht
Durchsuche Prozess 'cmdagent.exe' - '102' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '13' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1927' Dateien ).



Ende des Suchlaufs: Donnerstag, 23. Mai 2013  17:22
Benötigte Zeit: 03:16 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
   4249 Dateien wurden geprüft
      0 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
   4249 Dateien ohne Befall
     32 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise
 328601 Objekte wurden beim Rootkitscan durchsucht
      1 Versteckte Objekte wurden gefunden

Malwarebytes

Code:

ATTFilter

 Malwarebytes Anti-Malware  (PRO) 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2013.05.23.08

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
PhD :: TARDIS [Administrator]

Schutz: Aktiviert

23.05.2013 17:12:04
mbam-log-2013-05-23 (17-12-04).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 194673
Laufzeit: 5 Minute(n), 51 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

aharonov · 23.05.2013, 17:25

Ok, dann:

Schritt 1

Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Schritt 2

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

Doppelklick auf die OTL.exe.
Unter Extra Registry, wähle bitte Use SafeList.
Setze den Haken bei Scan all Users.
Klicke nun auf Run Scan.
Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

Log von Gmer
Logs von OTL

Flip_D · 23.05.2013, 17:36

Es war wohl der Laufwerk-Emulatortreiber. Nach Deinstallation keine Meldung mehr von Avira. Danke!

Gibt es da andere Möglichkeiten, das zu fixen?

aharonov · 23.05.2013, 17:43

Jep, sowas in der Art hab ich vermutet. In dem Fall erübrigt sich der Rest.

Zitat:

Gibt es da andere Möglichkeiten, das zu fixen?

Da muss man überhaupt nichts fixen, das ist nicht schädlich. Kannst du wieder installieren.
Avira sagt ja auch nur:

Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.

Wenn du weisst, dass diese Meldung vom Emulatortreiber herrührt (so wie du es jetzt herausgefunden hast), kannst du sie einfach ignorieren.

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.

Avira entdeckt 'versteckten Treiber'

Plagegeister aller Art und deren Bekämpfung: Avira entdeckt 'versteckten Treiber'