Hallo freunde der Kunst,

ich hab seit einer Woche ständig Meldungen vom Antivir (Avira) das sich verschiedene Viren auf dem PC befinden.
Produktupdates und Standartupdates auch Windowsupdates werdem regelmäßig ausgeführt.

Leider habe ich auch bis Dato kein Programm gefunden, welches mir ein Raid System aus 2 Platten unter WinXp "komplett" mit bootfähiger DVD/CD erstellt.
Sonst würd ich format C: durchziehen.

Jetzt hab ich den Salat..
Antivir pipst ständig, und irgendwie ist der Rechner langsamer geworden?!
Bei niedrigen Latenzen mit viel CPU-Last fällt das auf. :-(

Anbei findet Ihr ein Log vom Hijack sowie auch vom Avira Scannvorgang.
Es befindet sich eine große menge an Musiksoftware auf dem PC, Cubase 4, Reason, EMU, Native Instruments, 3 UAD-Karten, 1 Powercore, Externes Midi- Master Keyboard (USB), Dongle`s, etc. Also nicht wundern...

CCleaner + ComboFix hab ich nach Anleitung ausgeführt.

Antivier steht überall auf Hoch (schon seit dem ersten Tag),
hoffentlich sinds alles nur Fehl-alarme!

Die Internetverbindung ist meistens INAKTIV (per windows deaktivierung).
Ich kann den Avira nicht zusammen mit dem Cubase Sequencer laufen lassen das führt zu knacksern. Also das Schirmchen ist des öfteren zu! Systemscans mach ich aber hin und wieder. Und ja ich Klapp den Schirm auf bevor ich ins netzt geh wieder auf. Und nein, ich surf auf keinen Pornoseiten oder lade illegales Zeug!

Bin für jeden Rat dankbar,
ne formatierung würde einfach zu viel Zeit in anspruch nehmen,
und zu 100% wie es läuft (ohne Virus) bekomm ichs eh net mehr hin.
Ich hätt auch gar nciht genug festplatten hier um ein Backup zu machen,
und am ende Kopier ich den Virus (wenns Ihn gibt) noch mit (ganz toll)...

--------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:35:12, on 18.09.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative Professional\E-MU PatchMix DSP\EmuPMixDSP.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\Programme\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Programme\PC Connectivity Solution\Transports\NclRSSrv.exe
c:\programme\antivir personaledition classic\avscan.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programme\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Programme\Nokia\Nokia PC Suite 7\PCSync2.exe" /NoDialog
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-3561442287-1399218105-487459787-500\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Administrator')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 4480 bytes


-------------------------------------------------------------------------
-------------
-------------------------------------------------------------------------

-------------

AVIRASCAN:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 18. September 2008 19:30

Es wird nach 1624929 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: XXXXXXXX
Computername: XXXXXXXXX

Versionsinformationen:
BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 17.07.2008 15:39:39
AVSCAN.DLL : 8.1.4.0 48897 Bytes 17.07.2008 15:39:39
LUKE.DLL : 8.1.4.5 164097 Bytes 17.07.2008 15:39:39
LUKERES.DLL : 8.1.4.0 12545 Bytes 17.07.2008 15:39:39
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:15:05
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:26:46
ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 12:01:15
ANTIVIR3.VDF : 7.0.6.180 188416 Bytes 18.09.2008 16:28:44
Engineversion : 8.1.1.34
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:52:02
AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 16:28:50
AESCN.DLL : 8.1.0.23 119156 Bytes 17.07.2008 15:39:40
AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 16:28:49
AEPACK.DLL : 8.1.2.1 364917 Bytes 17.07.2008 15:39:40
AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 16:28:48
AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 16:28:47
AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 15:19:19
AEGEN.DLL : 8.1.0.36 315764 Bytes 20.08.2008 06:49:25
AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 17:44:09
AECORE.DLL : 8.1.1.11 172406 Bytes 04.09.2008 19:43:14
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 15:39:39
AVWINLL.DLL : 1.0.0.12 15105 Bytes 17.07.2008 15:39:39
AVPREF.DLL : 8.0.2.0 38657 Bytes 17.07.2008 15:39:39
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 17:44:08
AVREG.DLL : 8.0.0.1 33537 Bytes 17.07.2008 15:39:39
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:52:02
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 17.07.2008 15:39:39
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:52:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 17.07.2008 15:39:39
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:52:02
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 17.07.2008 15:39:38
RCTEXT.DLL : 8.0.52.0 86273 Bytes 17.07.2008 15:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Lokale Festplatten
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\alldiscs.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 99
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Donnerstag, 18. September 2008 19:30

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '50718' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MPAPI3s.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EmuPMixDSP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PcSync2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCSuite.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '33' Prozesse mit '33' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '50' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XP32>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Dokumente und Einstellungen\XXXXXX\Desktop\ComboFix.exe
[0] Archivtyp: RAR SFX (self extracting)
--> 32788R22FWJFW\hidec.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
--> 32788R22FWJFW\NirCmd.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\nircmd.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\NirCmdC.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
--> 32788R22FWJFW\psexec.cfexe
[1] Archivtyp: RSRC
--> Object
[FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\Nircmd.exe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <Vista64>
D:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Donnerstag, 18. September 2008 21:08
Benötigte Zeit: 1:37:33 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

40995 Verzeichnisse wurden überprüft
1056709 Dateien wurden geprüft
6 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
2 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
3 Dateien konnten nicht durchsucht werden
1056700 Dateien ohne Befall
6939 Archive wurden durchsucht
3 Warnungen
2 Hinweise
50718 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

----------------------------------------------------------------------



Den defender von Vista Ultimate 64Bit hab ich auch schon drüber rutschen lassen.. ***das dauert alles....

Thx

Hi

alles im Antivir Log sind die üblichen Fehlalarme, wenn man Combofix lädt, sowie sptd.sys -> Daemon Tools/Alocohol. Zu Combofix gehört schließlich die Warnung, dass man alle anderen Scanner deaktivieren soll. Gibt es noch andere Meldungen von Antivir? Warum wurde Combofix überhaupt geladen? Das Programm ist nur die letzte Notrettung, wenn man ansonsten formatieren müsste. (Was man dann auch tun sollte)

O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
         

Überreste eines Zlobs. Du solltest mal kontrollieren, dass es diese Datei wirklich nicht gibt, die Angabe "(file missing)" könnte bei HijackThis falsch sein.

Grundsätzlich lässt sich auch dieser Computer neu installieren, irgendwie ist die vorhandene Installation ja auch mal drauf gekommen. Wenn das aber eine so spezielle und wertvolle Installation ist, auf der Antivir oft ausgeschaltet werden muss, dann wäre darüber nachzudenken, ihn nicht mehr mit dem Netz zu verbinden. Fürs Surfen dann eine billige alte Kiste vom Trödler daneben stellen.

http://home.sweetim.com
         

hat jedenfalls auf so einem Rechner nichts zu suchen.

Gruß, Karl

Zitat von KarlKarl

Hi

O23 - Service: MS Common Service - Unknown owner - C:\WINDOWS\system32\mscomserv.exe (file missing)
         

Du solltest mal kontrollieren, dass es diese Datei wirklich nicht gibt, die Angabe "(file missing)" könnte bei HijackThis falsch sein.

Fürs Surfen dann eine billige alte Kiste vom Trödler daneben stellen.

http://home.sweetim.com
         

hat jedenfalls auf so einem Rechner nichts zu suchen.

Gruß, Karl

Ja zum Surfen in dem Sinne benutz ich ja meinen Laptop, leider kann ich aber einige Software nicht ohne Internetverbindung Installieren, Updaten und oder Freischalten. Dazu benötige ich hin und wieder mal die Verbindung zum I-Net.

Das ComboFix hab ich installiert weil ich nach den Viren, welche Avira angezeigt hat bei google gesucht habe, und mehrere verweise auf das board hier bekommen habe wo immer drin stand man sollte das mal durchlaufen lassen. Ich hatte 10-20 Meldungen in der ersten Minute nachdem das OS oben war. Hintergrunddbild war weg, Registerreiter unter Eigenschaften der Anzeige haben gefehlt, Rechner war sehr langsam usw. Antivir sowie defender haben nix gebracht, also hab ichs mal gemacht, schlimmer hätts ja nicht mehr werden können. Aber wie durch Geißterhand ist jetzt ruhe seit dem ich gestern den Beitrag geschrieben habe.

Diese -MsComServ- Datei gibt es nicht od. nicht mehr..

Kann ich jetzt davon ausgehen, das der Rechner Clean ist,
oder sollt ich den zur sicherheit das Antivier lieber mal eine Woche nebenher laufen lassen???

Und ja das System ist sehr Speziel, zwar noch lang nicht so gut wie mein alter PC den ich vor 2 Jahren hatte, der hat nur 88MB vom Arbeitsspeicher belegt nach dem hochfahren und es waren grad mal 18 Prozesse Aktiv im Taskmanager, aber ich glaub bei der neuen Maschine kann ich mir das Software-Tuning echt schenken weil ich doch sehr zufrieden bin mit der Leistung, und dem Chipsatz. Es läuft wirklich stabil dafür das kein Slot mehr frei ist. Ich hoffe nur ich kann bald mal umsteigen auf die Vista 64Bit Version..

Vielen Dank für die schnelle Hilfe,
eine Neuinstallation (Konfiguration) wäre wirklich tragisch und extremst Zeitaufwändig gewesen.

PS:
Was ist das?? "home.sweetim.com"
Ist das wirklich von google? und wie kommt das auf mein Rechner?

Zitat von beezrecords

Kann ich jetzt davon ausgehen, das der Rechner Clean ist,...

Jein. Warte mal auf einen der Bereinigungsspezis, damit Ihr zusammen einen genaueren Blick drauf werfen könnt.

..., oder sollt ich den zur sicherheit lieber mal eine Woche nebenher laufen lassen???

Er hat Dich bisher ja bestens geschützt, oder?

Was ist das?? "home.sweetim.com"

Sweetim bietet afaik Emoticons für diverse Messenger an. Hat auf dem System wirklich gar nichts zu suchen. Wie das drauf kam? Kann man jetzt wohl nicht mehr klären.

Bezüglich Backup/Image:
Schau Dir mal Acronis True Image an. Wenn Dein Raidcontroller von TI unterstützt wird, sollte es keine Probleme mit dem Backup geben.

Marc

Zitat von %ComSpec%

Jein. Warte mal auf einen der Bereinigungsspezis, damit Ihr zusammen einen genaueren Blick drauf werfen könnt.

Er hat Dich bisher ja bestens geschützt, oder?

Bezüglich Backup/Image:
Schau Dir mal Acronis True Image an. Wenn Dein Raidcontroller von TI unterstützt wird, sollte es keine Probleme mit dem Backup geben.

Marc

Also das Acronis True Image ist denke ich genau das, was ich echt mal brauch! Und bei dem Preis sowieso. *merci*
Ich muss allerdings erst sicherstellen ob der PC clean ist und ob mein Raid überhaupt unterstützt wird, und ob ich dann von CD Booten kann und diese erkennt dann die USB Platte wo alles drauf ist.
Weil eins ist sicher:
Ich kauf lieber ne 1000GB Platte als 100 DVD`s zu brennen :aplaus:

Zitat von beezrecords

Ich kauf lieber ne 1000GB Platte als 100 DVD`s zu brennen :aplaus:

DVDs sind auch nicht im geringsten für die Archivierung geeignet (siehe entsprechendes Feature in einer der diesjährigen c't-Ausgaben).

Marc

So ich hab mal noch einen Scan mit dem Avira gemacht.
Hat schon wieder was gefunden

Der PC ist im normalbetrieb jetzt aber ruhig.
Also es kommen keine Virenmeldungen mehr von selbst,
ausser ich mache eine Systemprüfung.

Denke da lebt noch was...




Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 21. September 2008 00:09

Es wird nach 1626845 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: XXXXXXXXXX
Computername: XXXXXXXXXX

Versionsinformationen:
BUILD.DAT : 8.1.0.331 16934 Bytes 12.08.2008 11:44:00
AVSCAN.EXE : 8.1.4.7 315649 Bytes 17.07.2008 15:39:39
AVSCAN.DLL : 8.1.4.0 48897 Bytes 17.07.2008 15:39:39
LUKE.DLL : 8.1.4.5 164097 Bytes 17.07.2008 15:39:39
LUKERES.DLL : 8.1.4.0 12545 Bytes 17.07.2008 15:39:39
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:15:05
ANTIVIR1.VDF : 7.0.5.1 8182784 Bytes 24.06.2008 15:26:46
ANTIVIR2.VDF : 7.0.6.153 3341312 Bytes 12.09.2008 12:01:15
ANTIVIR3.VDF : 7.0.6.188 217088 Bytes 19.09.2008 13:59:28
Engineversion : 8.1.1.34
AEVDF.DLL : 8.1.0.5 102772 Bytes 16.04.2008 12:52:02
AESCRIPT.DLL : 8.1.0.76 319867 Bytes 18.09.2008 16:28:50
AESCN.DLL : 8.1.0.23 119156 Bytes 17.07.2008 15:39:40
AERDL.DLL : 8.1.1.2 438644 Bytes 18.09.2008 16:28:49
AEPACK.DLL : 8.1.2.1 364917 Bytes 17.07.2008 15:39:40
AEOFFICE.DLL : 8.1.0.25 196986 Bytes 18.09.2008 16:28:48
AEHEUR.DLL : 8.1.0.59 1438071 Bytes 18.09.2008 16:28:47
AEHELP.DLL : 8.1.0.15 115063 Bytes 30.05.2008 15:19:19
AEGEN.DLL : 8.1.0.36 315764 Bytes 20.08.2008 06:49:25
AEEMU.DLL : 8.1.0.7 430452 Bytes 31.07.2008 17:44:09
AECORE.DLL : 8.1.1.11 172406 Bytes 04.09.2008 19:43:14
AEBB.DLL : 8.1.0.1 53617 Bytes 17.07.2008 15:39:39
AVWINLL.DLL : 1.0.0.12 15105 Bytes 17.07.2008 15:39:39
AVPREF.DLL : 8.0.2.0 38657 Bytes 17.07.2008 15:39:39
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 17:44:08
AVREG.DLL : 8.0.0.1 33537 Bytes 17.07.2008 15:39:39
AVARKT.DLL : 1.0.0.23 307457 Bytes 16.04.2008 12:52:02
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 17.07.2008 15:39:39
SQLITE3.DLL : 3.3.17.1 339968 Bytes 16.04.2008 12:52:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 17.07.2008 15:39:39
NETNT.DLL : 8.0.0.1 7937 Bytes 16.04.2008 12:52:02
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 17.07.2008 15:39:38
RCTEXT.DLL : 8.0.52.0 86273 Bytes 17.07.2008 15:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 99
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Sonntag, 21. September 2008 00:09

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '71568' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EmuPMixDSP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '30' Prozesse mit '30' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '50' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <XP32>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000101.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000109.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000167.exe
[0] Archivtyp: RAR SFX (self extracting)
--> 32788R22FWJFW\hidec.exe
[FUND] Enthält Erkennungsmuster des SPR/Tool.Hide.A-Programmes
--> 32788R22FWJFW\NirCmd.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\nircmd.com
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
--> 32788R22FWJFW\NirCmdC.cfexe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.1.B
--> 32788R22FWJFW\psexec.cfexe
[1] Archivtyp: RSRC
--> Object
[FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
[HINWEIS] Die Datei wurde gelöscht.
C:\System Volume Information\_restore{5ADB57B7-1BEF-47DA-AB1C-84BD147367A3}\RP1\A0000168.exe
[FUND] Enthält Erkennungsmuster der Anwendung APPL/NirCmd.E.2.B
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'D:\' <Vista64>
D:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Sonntag, 21. September 2008 02:03
Benötigte Zeit: 1:53:25 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

41520 Verzeichnisse wurden überprüft
1148872 Dateien wurden geprüft
8 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
4 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
3 Dateien konnten nicht durchsucht werden
1148861 Dateien ohne Befall
7084 Archive wurden durchsucht
3 Warnungen
4 Hinweise
71568 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

------------------------------------------------------------

und jetzt?

ich wollte versuchen dieses Verzeichnis C:\System Volume Information\ zu öffnen.
Geht nicht, ...kann nicht zugegriffen werden, zugriff verweigert.

Das sind Reste in der Systemwiederherstellung.
Die entfernst du, indem du die Systemwiederherstellung deaktivierst:
Rechtsklick auf Arbeitsplatz => Eigenschaften => Systemwiederherstellung => Häkchen setzen bei "Systemwiederherstellung auf allen Laufwerken deaktivieren" setzen => Rechner neustarten

Jetzt kannst du die Systemwiederherstellung reaktivieren.

Danke, hab ich gemacht.

Ähhmmm, was macht/bringt das jetzt?
Stellt das das wieder von selbst generieren des Viruses ab oder sowas?

muss ich jetzt nochmal einen 2std. Systemscan machen?

Ähhmmm, was macht/bringt das jetzt?

Das hat die Reste gelöscht.

Stellt das das wieder von selbst generieren des Viruses ab oder sowas?

Nein. Ich denke, als ein neuer Wiederherstellungspunkt gesetzt wurde, warst du infiziert.
Logischerweise wird die Malware dann mitgesichert.

Gute Nacht

Dein letzter Antivir-Bericht: Das sind die Erkennungen, die Du auch schon in deinem ersten hattest, Teile von Combofix, nur dass sie in der Zwischenzeit vom System in die Systemwiederherstellung kopiert wurden. Sachen mit "APPL/" im Namen sind auch keine Viren oder Trojaner sondern nur Programme, die isch auch für schlechte Sachen nutzen lassen. Z.B. Tools um Prozesse zu beenden oder zu starten. Sie haben aber auch viele legale Anwendungen. Als Default sind nach einer neuen Antivir-Installation die APPL-Erkennungen auch ausgeschaltet, sie sind mehr für gewerbliche Umfelder gedacht, in denen Administratoren mehr Software nicht wollen.

Ja zum Surfen in dem Sinne benutz ich ja meinen Laptop, leider kann ich aber einige Software nicht ohne Internetverbindung Installieren, Updaten und oder Freischalten. Dazu benötige ich hin und wieder mal die Verbindung zum I-Net.

Je nachdem, als wie wichtig du deinen Studio PC ansiehst, lass es, es gibt auch Wege das System ohne Internet freizuschalten und upzudaten. Windows per se ins Internet zu lassen auf deinem "ich vermute mal heiligen Studio PC" ist keine gute Idee. Achso und falls du tatsächlich internet unbedingt brauchst, dann würde ich den Softwareentwickler eine Rüge-Mail schicken und dann alle deine wichtigen Sachen erst später drauf machen und halt online aktivieren... (wobei Echelon dir dann gleich zuhört und deine Songs werden automatisch in deren Archivierungskammer eingesaugt).

Zitat von SystemPro

(wobei Echelon dir dann gleich zuhört und deine Songs werden automatisch in deren Archivierungskammer eingesaugt).

he he he.. *piss weg***

hab mir das grad mal durchgelesen bei wiki..
ist ja hammer..

ich werd mir wohl nen faradayschen Käfig bauen müssen..


*hab übrigends noch mal nen scan gemacht, es ist jetzt ruhe!