Virtumonde lassen sich nicht entfernen und Rechner startet automatisch neu

simsalabim · 18.08.2008, 19:49

Platform: Windows XP SP2 (WinNT 5.01.2600)

Wie bekomme ich da das SP3 hin?

Hm..ich dachte bearshare schon gelöscht zu haben...strange...

cosinus · 18.08.2008, 19:55

Zitat:

Zitat von simsalabim

Platform: Windows XP SP2 (WinNT 5.01.2600)

Wie bekomme ich da das SP3 hin?

Abwarten. Wenn wird das erst nach der Bereinigung (sofern die sich überhaupt noch lohnt! Wir müssen erst die Ergebnisse abwarten!) installiert.

simsalabim · 18.08.2008, 20:45

Hi!

ich versuche gerade alle o.g. schritte zu befolgen, allerdings gibts am anfang schon ein wenig probleme: Wenn ich wie bei dem einen beispiel genannt beim windowsexplorer unter ordneroptionen das häckchen für versteckte ordner anzeigen umändern will klappt dies nicht.
jedes mal wenn ich dieses häckchen wie genannt umsetze geht es sofort wieder in seine ursprüngliche Position zurück.

C:\WINDOWS\system32\bvrdlkot.dll
C:\WINDOWS\system32\drivers\clock.exe
C:\WINDOWS\clocs.exe

Wenn ich mein PC nach o.g. datein durchsuche findet er nur die 1. welche von spybot schon in einen extraordner verschoben hat (unter angewendete dateien). Darauf kann ich aber nciht zugreifen, da das mit den ausgeblendeten dateien nicht klappt...

Was meint ihr? Stelle ich mich einfach nur schlecht an...oder?

cosinus · 19.08.2008, 07:17

Dann überspring das und mach mit dem nächsten Schritt bitte weiter.

simsalabim · 19.08.2008, 15:11

Ich habe so die ahnung, dass es nicht gut um den PC steht oder?, alo:

A: funktionert ja nicht....

B:
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

C:

blacklight:

Code:

ATTFilter

 08/19/08 12:52:40 [Info]: BlackLight Engine 1.0.70 initialized
08/19/08 12:52:40 [Info]: OS: 5.1 build 2600 (Service Pack 2)
08/19/08 12:52:40 [Note]: 7019 4
08/19/08 12:52:40 [Note]: 7005 0
08/19/08 12:52:47 [Note]: 7006 0
08/19/08 12:52:47 [Note]: 7011 3988
08/19/08 12:52:47 [Note]: 7035 0
08/19/08 12:52:47 [Note]: 7026 0
08/19/08 12:52:47 [Note]: 7026 0
08/19/08 12:52:50 [Note]: FSRAW library version 1.7.1024
08/19/08 13:12:51 [Note]: 2000 1012
08/19/08 13:12:51 [Note]: 2000 1012
08/19/08 13:13:33 [Note]: 7007 0

Malwarbyte Antimalware:

würde ich gere ausführen aber es tritt folgendes auf, jedes Mal bei allen 3 versuchen:

nach ca. 35-38 Minuten hängt sich das Programm auf, hat 40-45 infizierte Objekte gefunden und ca. 76500 Dateien durchsucht.
Jedes mal hat sich das Programm gerade "TemporaryInternetfiles"-Ordner befunden.

Seit dem ich das Programm das erste Mal gestartet habe meldet mir mein AntivirProgramm gefühlte jede 5te Sekunde, oder aber mindestens wenn ich irgendein Dokumnt öffnen möchte, dass er den Trojaner monderb.fgx gefunden hätte, welchen ich natürlich jedes Mal lösche. (aber wiederum auch nicht immer...manchmal gibts auch ne 15 minuten pause)
Dieses monderb.fgx befindet sich unter: c:/WINDOWS/system32/nnnmlmgg.dll
VOR dem Start dieses Programmes ist diese Virus noch nie aufgetreten!
Wie gefährlich ist dieses Dinge und welche Funktion besitzt es?

D: noch nicht ausgeführt....da ich lieber einen weiteren Kommentar abwarten möchte und ich kein absoluter Experte in Sachen PCs bin.

E: Filelisting http://www.file-upload.net/download-...sting.txt.html

So...hoffe es gibt nun weitere Ansatzpunkte für euch. Habe alles im "normalen Modus" ausgeführt, weil ihr niht geschrieben habt, dass ich es im abgesicherten Modus hätte durchführen sollen.
Danke weitehin für die Hilfe

cosinus · 19.08.2008, 16:01

Der MBR ist schonmal okay, das von Blacklight auch.
Mit MBAW müssen wir später nochmal durch, das ist weniger schön, daß der da abschmiert. Ich würd sagen löschen wir erstmal ein paar Dateien:

Anleitung Avenger (by swandog46)

Lade dir das Tool Avenger und speichere es auf dem Desktop:

Doppelklick auf das Avenger-Symbol

Kopiere nun folgenden Text in das weiße Feld bei -> "input script here" VORSICHT Die Liste ist lang!!

Code:

ATTFilter

files to delete:
C:\WINDOWS\system32\bvrdlkot.dll
C:\WINDOWS\system32\drivers\clock.exe
C:\WINDOWS\clocs.exe
C:\WINDOWS\system32\uwEfNXyb.ini
C:\WINDOWS\system32\uwEfNXyb.ini2
C:\WINDOWS\system32\ysghqplm.ini
C:\WINDOWS\system32\mlpqhgsy.dll
C:\WINDOWS\system32\inhvtpeb.dll
C:\WINDOWS\system32\cckact.dll
C:\WINDOWS\system32\gmnoussx.exe
C:\WINDOWS\system32\1fe81b3a-.txt
C:\WINDOWS\system32\SBFC.dat
C:\WINDOWS\system32\SBRC.dat
C:\WINDOWS\system32\tbtutabb.ini
C:\WINDOWS\system32\grevosgo.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\mulswjen.exe
C:\WINDOWS\system32\vivbul.dll
C:\WINDOWS\system32\nemoqnbg.dll
C:\WINDOWS\system32\hvmjpmdw.ini
C:\WINDOWS\system32\eexhxa.dll
C:\WINDOWS\system32\uvsmivye.dll
C:\WINDOWS\system32\wdmpjmvh.dll
C:\WINDOWS\system32\cjxpjahh.exe
C:\WINDOWS\system32\byXNfEwu.dll
C:\WINDOWS\system32\owxcprvv.ini
C:\WINDOWS\system32\tDgggMoq.ini
C:\WINDOWS\system32\tDgggMoq.ini2
C:\WINDOWS\system32\hefpsoaa.exe
C:\WINDOWS\system32\vsftfbyb.dll
C:\WINDOWS\system32\yvoxoh.dll
C:\WINDOWS\system32\fkolswqy.dll
C:\WINDOWS\system32\ocikfkbd.ini
C:\WINDOWS\system32\gghjlnnn.ini
C:\WINDOWS\system32\gghjlnnn.ini2
C:\WINDOWS\system32\qncqlbqm.exe
C:\WINDOWS\system32\horktcjg.dll
C:\WINDOWS\system32\smeclb.dll
C:\WINDOWS\system32\kmtgqrof.ini
C:\WINDOWS\system32\aemebwpd.dll
C:\WINDOWS\system32\jndqth.dll
C:\WINDOWS\system32\winbue32.dll
C:\WINDOWS\system32\nnnmlMgg.dll

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Wenn Du das ausgeführt und das avenger log hier schon gepostest hast, würde ich sagen, Du machst genau wie in der Anleitung unter (D.) beschrieben den Durchlauf mit Combofix, der schmeißt auch ne Menge raus und gibt wertvolle Informationen.

Probier erst danach einen neuen Durchlauf mit Malwarebytes.

simsalabim · 19.08.2008, 17:17

Malwarbyte hat jetzt doch geklappt!!!! :

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1070
Windows 5.1.2600 Service Pack 2

18:09:01 19.08.2008
mbam-log-08-19-2008 (18-08-56).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 107287
Laufzeit: 1 hour(s), 37 minute(s), 20 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 4
Infizierte Registrierungsschlüssel: 20
Infizierte Registrierungswerte: 3
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 0
Infizierte Dateien: 30

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\WINDOWS\system32\byXNfEwu.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\nnnmlMgg.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\cckact.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\winbue32.dll (Dialer) -> No action taken.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{05ede9de-6330-4ed0-8e74-e9b1a00564e0} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{05ede9de-6330-4ed0-8e74-e9b1a00564e0} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{bdc4ea3e-c676-48fe-bec5-11ebbe2849e3} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{bdc4ea3e-c676-48fe-bec5-11ebbe2849e3} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e706737e-92fe-467f-be77-8baa0006a3c0} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\nnnmlmgg (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{e706737e-92fe-467f-be77-8baa0006a3c0} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\labelcommand.labelcommand (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\labelcommand.labelcommand.1 (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winbue32 (Dialer) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSMGR (Trojan.Downloader) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Trojan.Vundo) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\14cbdf44 (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{e706737e-92fe-467f-be77-8baa0006a3c0} (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bm17f8ecd8 (Trojan.Agent) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\byxnfewu -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\byxnfewu  -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\cckact.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\byXNfEwu.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\uwEfNXyb.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\uwEfNXyb.ini2 (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\nnnmlMgg.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\mlpqhgsy.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\ysghqplm.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\wdmpjmvh.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\hvmjpmdw.ini (Trojan.Vundo.H) -> No action taken.
C:\Dokumente und Einstellungen\Karin Thiele\Lokale Einstellungen\Temporary Internet Files\Content.IE5\CY6YMTKK\kb767887[1] (Trojan.Vundo) -> No action taken.
C:\Dokumente und Einstellungen\Karin Thiele\Lokale Einstellungen\Temporary Internet Files\Content.IE5\MXB5UIN6\kb65666[1] (Trojan.Vundo) -> No action taken.
C:\System Volume Information\_restore{49712AA0-EBC5-49DD-A656-F0F5C0A97680}\RP677\A0092507.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\aemebwpd.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\cjxpjahh.exe (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\gmnoussx.exe (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\hefpsoaa.exe (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\inhvtpeb.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\jndqth.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\mulswjen.exe (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\nemoqnbg.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\qncqlbqm.exe (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\vivbul.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\vsftfbyb.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\yvoxoh.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\winbue32.dll (Dialer) -> No action taken.
C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> No action taken.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\services\services.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\cookies.ini (Malware.Trace) -> No action taken.
C:\WINDOWS\BM17f8ecd8.xml (Trojan.Vundo) -> No action taken.
C:\WINDOWS\BM17f8ecd8.txt (Trojan.Vundo) -> No action taken.

ist "no action taken" was schlechtes?

Ach ja... es hat geklappt weil ich es im abgesicherten modus gemacht habe...

simsalabim · 19.08.2008, 18:36

The Avengers habe ich jetzt auch ausgeführt, muss ich wohl aber nochmals durchführen da ich vergessen hatte "scan rootkit" anzuklicken

Code:

ATTFilter

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:


Error:  file "C:\WINDOWS\system32\bvrdlkot.dll" not found!
Deletion of file "C:\WINDOWS\system32\bvrdlkot.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\drivers\clock.exe" not found!
Deletion of file "C:\WINDOWS\system32\drivers\clock.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\clocs.exe" not found!
Deletion of file "C:\WINDOWS\clocs.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\uwEfNXyb.ini" not found!
Deletion of file "C:\WINDOWS\system32\uwEfNXyb.ini" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\uwEfNXyb.ini2" not found!
Deletion of file "C:\WINDOWS\system32\uwEfNXyb.ini2" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\ysghqplm.ini" not found!
Deletion of file "C:\WINDOWS\system32\ysghqplm.ini" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\mlpqhgsy.dll" not found!
Deletion of file "C:\WINDOWS\system32\mlpqhgsy.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\inhvtpeb.dll" not found!
Deletion of file "C:\WINDOWS\system32\inhvtpeb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\cckact.dll" not found!
Deletion of file "C:\WINDOWS\system32\cckact.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\gmnoussx.exe" not found!
Deletion of file "C:\WINDOWS\system32\gmnoussx.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\1fe81b3a-.txt" deleted successfully.
File "C:\WINDOWS\system32\SBFC.dat" deleted successfully.
File "C:\WINDOWS\system32\SBRC.dat" deleted successfully.
File "C:\WINDOWS\system32\tbtutabb.ini" deleted successfully.
File "C:\WINDOWS\system32\grevosgo.ini" deleted successfully.

Error:  file "C:\WINDOWS\system32\mcrh.tmp" not found!
Deletion of file "C:\WINDOWS\system32\mcrh.tmp" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\mulswjen.exe" not found!
Deletion of file "C:\WINDOWS\system32\mulswjen.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\vivbul.dll" not found!
Deletion of file "C:\WINDOWS\system32\vivbul.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\nemoqnbg.dll" not found!
Deletion of file "C:\WINDOWS\system32\nemoqnbg.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\hvmjpmdw.ini" not found!
Deletion of file "C:\WINDOWS\system32\hvmjpmdw.ini" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\eexhxa.dll" deleted successfully.
File "C:\WINDOWS\system32\uvsmivye.dll" deleted successfully.

Error:  file "C:\WINDOWS\system32\wdmpjmvh.dll" not found!
Deletion of file "C:\WINDOWS\system32\wdmpjmvh.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\cjxpjahh.exe" not found!
Deletion of file "C:\WINDOWS\system32\cjxpjahh.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\byXNfEwu.dll" not found!
Deletion of file "C:\WINDOWS\system32\byXNfEwu.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\owxcprvv.ini" deleted successfully.
File "C:\WINDOWS\system32\tDgggMoq.ini" deleted successfully.
File "C:\WINDOWS\system32\tDgggMoq.ini2" deleted successfully.

Error:  file "C:\WINDOWS\system32\hefpsoaa.exe" not found!
Deletion of file "C:\WINDOWS\system32\hefpsoaa.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\vsftfbyb.dll" not found!
Deletion of file "C:\WINDOWS\system32\vsftfbyb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\yvoxoh.dll" not found!
Deletion of file "C:\WINDOWS\system32\yvoxoh.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\fkolswqy.dll" deleted successfully.
File "C:\WINDOWS\system32\ocikfkbd.ini" deleted successfully.
File "C:\WINDOWS\system32\gghjlnnn.ini" deleted successfully.
File "C:\WINDOWS\system32\gghjlnnn.ini2" deleted successfully.

Error:  file "C:\WINDOWS\system32\qncqlbqm.exe" not found!
Deletion of file "C:\WINDOWS\system32\qncqlbqm.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\horktcjg.dll" deleted successfully.
File "C:\WINDOWS\system32\smeclb.dll" deleted successfully.
File "C:\WINDOWS\system32\kmtgqrof.ini" deleted successfully.

Error:  file "C:\WINDOWS\system32\aemebwpd.dll" not found!
Deletion of file "C:\WINDOWS\system32\aemebwpd.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\jndqth.dll" not found!
Deletion of file "C:\WINDOWS\system32\jndqth.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\winbue32.dll" not found!
Deletion of file "C:\WINDOWS\system32\winbue32.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\nnnmlMgg.dll" not found!
Deletion of file "C:\WINDOWS\system32\nnnmlMgg.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Completed script processing.

*******************

Finished!  Terminate.

edit: nun nochmal mit rootkit durchgeführt.... hat aber keine rootkits gefunden. ansonsten ergebnis absolut identisch!!!

D: wird nachher erledigt...

und das mit den malwarebyte hatte ich schon erledigt als ich deinen post gelsen hatte...sry

19.08.2008, 07:17	#4
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Virtumonde lassen sich nicht entfernen und Rechner startet automatisch neu Dann überspring das und mach mit dem nächsten Schritt bitte weiter. __________________ Logfiles bitte immer in CODE-Tags posten

Virtumonde lassen sich nicht entfernen und Rechner startet automatisch neu

Log-Analyse und Auswertung: Virtumonde lassen sich nicht entfernen und Rechner startet automatisch neu