Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 06.01.2007, 15:56   #1
Schafkopf
 
Trojan.Win32.Patched.i legt Virenkiller lahm - was tun? - Standard

Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?



Hallo,

ich habe seit gestern einen sehr sehr unangenehmen Trojaner auf meiner Platte, der einfach nicht wegzubekommen ist.

Wenn ich den Rechner hochfahre kommen sofort nach dem Anmelden die Meldungen meines AntiVir Guards (Avira AntiVir Classic) im Sekundentakt.
-- TR/Patched/I gefunden
-- infizierte Datei C:/Windows/system32/winlogon.exe

Um irgendwie etwas am PC machen zu können muss ich den Guard ausschalten und auch ein normales Scannen des PCs ist nicht mehr möglich.

------------------------------
AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Samstag, 6. Januar 2007 16:47

Es wird nach 618274 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer:
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: user
Computername:

Versionsinformationen:
BUILD.DAT : 217 12749 Bytes 05.12.2006 16:57:00
AVSCAN.EXE : 7.0.3.4 208936 Bytes 19.12.2006 20:05:00
AVSCAN.DLL : 7.0.3.0 35880 Bytes 19.12.2006 20:05:00
LUKE.DLL : 7.0.3.2 143400 Bytes 19.12.2006 20:05:00
LUKERES.DLL : 7.0.2.0 9256 Bytes 19.12.2006 20:05:00
ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 10:35:19
ANTIVIR1.VDF : 6.36.1.24 2212864 Bytes 14.11.2006 16:08:27
ANTIVIR2.VDF : 6.37.0.89 783360 Bytes 31.12.2006 16:23:12
ANTIVIR3.VDF : 6.37.0.113 94720 Bytes 05.01.2007 17:03:08
AVEWIN32.DLL : 7.3.0.21 1999360 Bytes 23.12.2006 15:33:53
AVPREF.DLL : 7.0.2.0 23592 Bytes 19.12.2006 20:05:00
AVREP.DLL : 6.37.0.5 1007656 Bytes 19.12.2006 20:05:01
AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 30.03.2006 08:43:10
AVPACK32.DLL : 7.2.0.5 368680 Bytes 26.10.2006 14:46:59
AVREG.DLL : 7.0.1.1 30760 Bytes 19.12.2006 20:05:00
NETNT.DLL : 6.32.0.0 6696 Bytes 27.09.2005 07:56:47
RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 19.12.2006 20:04:54
RCTEXT.DLL : 7.0.12.0 77864 Bytes 19.12.2006 20:04:54

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Lokale Laufwerke
Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldrives.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: D:,
Durchsuche Speicher..............: ein
Durchsuche Laufende Programme....: ein
Durchsuche Registrierung.........: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: BSD Mailbox, Netscape/Mozilla Mailbox, Eudora Mailbox, Squid cache, Pegasus Mailbox, MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +GAME,+JOKE,+PCK,+SPR,
Erweiterte Sucheinstellungen.....: 0x00007000

Beginn des Suchlaufs: Samstag, 6. Januar 2007 16:47

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'Opera.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'hpofxm07.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'hposts07.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'hpoevm07.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'iexplore.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'wlancfg5.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'hpoavn07.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'alcwzrd.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'SoundMan.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'PCMService.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'cvpnd.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'acs.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Module wurden durchsucht
Modul ist infiziert -> 'C:\WINDOWS\system32\winlogon.exe'
Durchsuche Prozess 'csrss.exe' - '1' Module wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Module wurden durchsucht

Es wurden '38' Prozesse mit '38' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'A:\'
[HINWEIS] Im Laufwerk 'A:\' ist kein Datenträger eingelegt!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.

Die Registry wurde durchsucht ( 25 Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\CONFIG.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\IO.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\MSDOS.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\?\\\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'A:\' <C:\>
Der zu durchsuchende Pfad A:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'D:\' <A:\>
Der zu durchsuchende Pfad D:\ konnte nicht gefunden werden!
Das Gerät ist nicht bereit.



Ende des Suchlaufs: Samstag, 6. Januar 2007 16:48
Benötigte Zeit: 00:26 min

Der Suchlauf wurde vollständig durchgeführt.

1 Verzeichnisse wurden überprüft
74 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
4 Dateien konnten nicht durchsucht werden
73 Dateien ohne Befall
0 Archive wurden durchsucht
4 Warnungen
0 Hinweise
--------------------

Kaspersky Online Check identifiziert den Übeltäter als Trojan.Win32.Pached.i

Wie ich ihn loswerde konnte ich leider noch nirgens in Erfahrung bringen aber das Ding scheint zäh zu sein. Kann man das Ding irgendwie loswerden ohne das kmpl. System neu aufzusetzen. Dachte an Killbox oder ähnliches aber bin mir nicht sicher ob ich damit mehr kaputt mache als repariere.

Anbei noch Logfile:
Logfile of HijackThis v1.99.1
Scan saved at 16:54:07, on 06.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\acs.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\CyberLink\PowerCinema\PCMService.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Hewlett-Packard\AiO\hp officejet g series\Bin\hpoavn07.exe
C:\Programme\NETGEAR\WG311T\wlancfg5.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe
C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe
C:\Programme\Hewlett-Packard\AiO\Shared\bin\hpOFXM07.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\services.exe
C:\Programme\Opera\Opera.exe
C:\Dokumente und Einstellungen\xxx\Eigene Dateien\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe
O4 - HKLM\..\Run: [SW24] C:\WINDOWS\system32\sw24.exe
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PCMService] "C:\Programme\CyberLink\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Programme\Cisco Systems\VPN Client\vpngui.exe
O4 - Global Startup: HPAiODevice(hp officejet g series) - 1.lnk = C:\Programme\Hewlett-Packard\AiO\hp officejet g series\Bin\hpoavn07.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NETGEAR WG311T Wireless Assistant.lnk = C:\Programme\NETGEAR\WG311T\wlancfg5.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O11 - Options group: [INTERNATIONAL] International*
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Vielen Dank im Voraus für die Hilfe

Alt 06.01.2007, 18:06   #2
Sunny
Administrator
> Competence Manager
 

Trojan.Win32.Patched.i legt Virenkiller lahm - was tun? - Standard

Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?



Hallo.

Ich würde dir raten mal die Datei (winlogon.exe) bei Virustotal auswerten zu lassen. Vielleicht sagen die anderen Scanner auch noch was anderes dazu!

Denn das hier ist normalerweise nicht normal:

Zitat:
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
Bedeutet:
Das die Registrierung deaktiviert wurde von irgendwem/irgendwas.
Das passiert oftmals zum Eigenschutz derer, sodass sie sich schwerer finden und entfernen lassen!

Scanne dein System zusätzlich mal mit eScan -> Anleitung gibts hier

Gruß
Sunny
__________________

__________________

Antwort

Themen zu Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?
0 bytes, antivir, avg, avgnt.exe, avira, bho, ctfmon.exe, cyberlink, eudora, hijack, hijackthis, iexplore.exe, infizierte datei, internet, internet explorer, jusched.exe, kaputt, logfile, loswerden, netgear, nicht gefunden, nicht sicher, nt.dll, officejet, opera.exe, prozesse, quara, registry, rundll, scan, sekunden, services.exe, shortcut, software, suchlauf, svchost.exe, system neu, trojaner, verweise, virus, virus gefunden, warnung, was tun



Ähnliche Themen: Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?


  1. Trojan.Win32.Patched!E2
    Plagegeister aller Art und deren Bekämpfung - 06.08.2012 (13)
  2. Trojan.Win32.Patched.aa!A2 in explorer.exe
    Plagegeister aller Art und deren Bekämpfung - 12.04.2010 (6)
  3. Trojan.Win32.Patched.m!!!!
    Plagegeister aller Art und deren Bekämpfung - 09.04.2009 (7)
  4. Trojan.Win32.Patched.m - Meldungen
    Plagegeister aller Art und deren Bekämpfung - 23.12.2008 (4)
  5. Trojan.Win32.Patched.m(ID = 0x4d69a) loswerden???
    Mülltonne - 15.11.2008 (2)
  6. Trojan.Dmservinf.A (Win32/Patched.BU) - Bekämpfen!?
    Plagegeister aller Art und deren Bekämpfung - 10.11.2008 (7)
  7. Trojan.Dmservinf.A bzw. WIN32/Patched.BU Virus (dmserver.dll)
    Mülltonne - 09.11.2008 (0)
  8. trojan.win32.patched.dn bei GData
    Plagegeister aller Art und deren Bekämpfung - 05.11.2008 (3)
  9. G-Data Warnung:Trojan.Win32.Patched.dn in User32.dll
    Plagegeister aller Art und deren Bekämpfung - 04.11.2008 (2)
  10. Trojan.Win32.Patched.dn
    Plagegeister aller Art und deren Bekämpfung - 04.11.2008 (1)
  11. trojan.win32.patched.dn
    Plagegeister aller Art und deren Bekämpfung - 04.11.2008 (1)
  12. Trojan.Win32.patched.dn
    Mülltonne - 04.11.2008 (1)
  13. HILFE: trojan.win32.patched.dn bei gdada gefunden
    Mülltonne - 04.11.2008 (0)
  14. Trojan.Win32.Patched.dn in User32.dll
    Mülltonne - 04.11.2008 (2)
  15. mljgd.exe/Trojan.Virtumonde legt mein System lahm...
    Log-Analyse und Auswertung - 25.12.2007 (1)
  16. Trojan.Mespam legt internet lahm
    Plagegeister aller Art und deren Bekämpfung - 26.04.2007 (13)
  17. Trojan.win32.patched.g false positiv bei F-Secure?
    Plagegeister aller Art und deren Bekämpfung - 17.02.2007 (1)

Zum Thema Trojan.Win32.Patched.i legt Virenkiller lahm - was tun? - Hallo, ich habe seit gestern einen sehr sehr unangenehmen Trojaner auf meiner Platte, der einfach nicht wegzubekommen ist. Wenn ich den Rechner hochfahre kommen sofort nach dem Anmelden die Meldungen - Trojan.Win32.Patched.i legt Virenkiller lahm - was tun?...
Archiv
Du betrachtest: Trojan.Win32.Patched.i legt Virenkiller lahm - was tun? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.