Helix - Incident Response & Computer Forensics Live CD by e-fense, Inc.

Hallo Amagosa.

den erwähnten Schädling kenne ich zwar nicht

schonmal schlecht.

aber es sieht aus als würde eine Art ROOTKIT Funktion laufen

worauf begründest du diese Annahme?
Wahrscheinlich hast du den Namen gesehen den Avst ausgespuckt hat, dabei das .gen übersehen und überhaupt den Thread nicht richtig gelesen.

Halte dich also bitte mit unqualifizierten Aussagen zurück um den TO nicht zu verunsichern.

Zitat von undoreal

Hallo Amagosa.

schonmal schlecht.

worauf begründest du diese Annahme?
Wahrscheinlich hast du den Namen gesehen den Avst ausgespuckt hat, dabei das .gen übersehen und überhaupt den Thread nicht richtig gelesen.

Halte dich also bitte mit unqualifizierten Aussagen zurück um den TO nicht zu verunsichern.

deswegen:
im taskmanager ist ein prozess der heißt spoolsv.exe.
Er ist nicht auffällig und schlingt nur 4mb. Aber als ich HijackThis geöffnet habe kam wieder ne malware meldung und der prozess war auf 45mb.
Dann hab ich ihn beendet und nochmal HijackThis gestartet und der prozess hat sich wieder geöffnet unter dem diesmal aber ohne v nur spools.exe. Die virusmeldung kam wieder.

solltest Du evtl. mal lesen Rootkit-Detection | Server | TecChannel.de
Rootkit-Detection
Hacker hinterlassen, einmal im System eingebrochen, häufig ein Hintertürchen, damit sie später umso leichter wieder reinkommen. Wie Sie solche „Rootkits“ auf Ihren Systemen entdecken, zeigt dieser Artikel.

Wenn der Prozess im Taskmanager läuft so nenne ich das nicht grade Rootkit. Aber gut, das ist Definitionsgelaber.
Bereinigen kann man den Agent jedenfalls und Backdoor Funktionalität scheint er nicht zu haben.

ok was genau verrät Dir denn das er keine Backdor hat??? hast Du aus der exe nen code gemacht (FreeIDA Pro) ??? was man im Taskmanager sieht muss noch lange nicht stimmen und da kommt mir es schon mehr als kommisch vor wenn sich mal eben name und grösse ändern deswegen auch die Aufforderung mit netstat um eben zu sehen ob da wer von aussen evtl. zugriff hat.....

ich hab in diverse virus listen geschaut hab aber nicht wirklich was brauchbares gefunden da z.B. Kaspersky ihn als Trojaner listet und Bitdefender keine Aussage macht....

aber viele Trojaner und auch anderere Malware haben eben Rootkit funktionalitäten, daher eben die Vermutung

ok was genau verrät Dir denn das er keine Backdor hat???

Wenn du google nicht bedienen kann ich dir auch nicht helfen.
Troj/Agent-GXN - Google-Suche
Erster Treffer.

Hier wird jetzt erstmal der Agent beseitigt und danach folget eine Systemanalyse nach allen Regeln der Kunst, so wie sich das in diesem Forum gebührt.
Sollte dabei eine Backdoor Funktion auftauche so wird selbstverständlich empfohlen den Rechner neuaufzusetzten. Auch das ist in diesem Forum Standard. Evtl. solltest du erstmal zusehen wie hier gearbeitet wird bevor du überall hereinplatzt..

So hab das jetzt im abgesicherten gemacht.

Nachdem Neustart im Normalen Modus waren aber alle registry einträge wieder da. Hab aber hundert prozentig sie gelöscht.

Mir ist da aber noch ein Registry Eintrag aufgefallen.
Hab ihn aber nicht gelöscht weil ich nciht wusste ob ich dass soll
Den sollte ich nämlich nicht löschen. Hat undoreal zumindestens nicht auffgefordert. Er heißt HKCU\Software\Mircrosoft\Windows\CurrentVersion\Run
CTFMON.EXE
C:\WINDOWS\system32\ctfmon.exe

Die Warnmeldung von Avst kommen immer noch.

Soll ich den Registry Eintrag auch löschen und alle anderen nochmal bevor ich Avenger ausführe.

PS:Bitte um hilfe