Gmer bluescreen

crate142 · 21.02.2009, 12:27

hallo,
ich habe mir mal bei chip.de eine Anleitung zu GMER durchgelesen, weil ich meinen Computer mal damit überprüfen wollte.

http://www.chip.de/artikel/Stealth-Viren-Rootkits-erkennen-und-beseitigen-3_31441340.html
Dor steht unter dem Link bei Chip.de, wie man mit hartnäckigen Fällen umgeht. Man geht unter Prozesse und drückt "kill all", angeblich werden dann alle Prozesse bis auf crss.exe und gmer.exe beendet. Jedenfalls, wenn ich das mache, friert das bild kurz ein, ich bekomme einne bluescreen und der Computer startet neu.
Was soll ich davon halten? Ist das normal, oder ein Gegenmaßnahme eines möglichen Rootkits?

Ich habe noch eine Frage..Ich habe bei GMER mal einen vollständigen Suchlauf durchgeführt und es wurden nur 100e von schwarzen Einträgen aufgelistet, ich habe keine rot Funde. Sind das jetzt etliche Funde oder garkeiner?

jo danke schon mal

crate142 · 21.02.2009, 19:22

niemand ne idee?

Jig Saw · 21.02.2009, 19:29

versuchs mal mit der Anleitung:

Gmer

Donwloade Gmer
Entpacke es auf dem Desktop
Trenne dich physikalisch vom Internet (Lan Kabel ziehen)
Schließe bitte alle Anwendungen, auch das Antivirusprogramm
Starte den Scan mit GMER mit "Scan", mache in der Zeit nichts auch keine Mausbewegungen und Tastatureingaben
Ist der Scan fertig, klicke auf "Copy" und poste dann hier deine Anwort in dem du den Log reinkopierst
Beende GMER mit "OK"

hat das einen bestimmten Grund weshalb du GMER scannen lässt?

crate142 · 21.02.2009, 21:07

so, ich habe mal jetzt gescannt und das ganze ist erstaunlich kurz ausgefallen - war eigentlich beim letzten mal längere Logs gewöhnt. Habe alles beendet, inklusive Virenscanner, Vista sidebar etc...
Ja, der Grund ist, dass ich letztens mit einem Kumpel Lan gemacht habe, auch ein paar Dateien ausgetauscht habe und er nen paar Tage später nen Trojaner, Virus oder sonstwas gefunden hat...

GMER 1.0.14.14536 - hxxp://www.gmer.net
Rootkit scan 2009-02-21 20:55:19
Windows 6.0.6001 Service Pack 1

---- System - GMER 1.0.14 ----

SSDT 9AE6B3EC ZwCreateThread
SSDT 9AE6B3D8 ZwOpenProcess
SSDT 9AE6B3DD ZwOpenThread
SSDT 9AE6B3E7 ZwTerminateProcess
SSDT 9AE6B3E2 ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

.text ntoskrnl.exe!KeInsertQueue + 411 81C8AA08 4 Bytes [ EC, B3, E6, 9A ]
.text ntoskrnl.exe!KeInsertQueue + 5E1 81C8ABD8 4 Bytes [ D8, B3, E6, 9A ]
.text ntoskrnl.exe!KeInsertQueue + 5FD 81C8ABF4 4 Bytes [ DD, B3, E6, 9A ]
.text ntoskrnl.exe!KeInsertQueue + 811 81C8AE08 4 Bytes [ E7, B3, E6, 9A ]
.text ntoskrnl.exe!KeInsertQueue + 871 81C8AE68 4 Bytes [ E2, B3, E6, 9A ]

---- Devices - GMER 1.0.14 ----

AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (WDF Dynamic/Microsoft Corporation)
AttachedDevice \FileSystem\fastfat \Fat fltmgr.sys (Microsoft Dateisystem-Filter-Manager/Microsoft Corporation)

---- EOF - GMER 1.0.14 ----

crate142 · 21.02.2009, 21:40

so, weil das ganze mir ein bisschen komisch vorkam, habe ich nochmal einen scan mit den obigen vorkehrungen durchgeführt mit einer Version von chip.de

Code:

ATTFilter

GMER 1.0.14.14116 - hxxp://www.gmer.net
Rootkit scan 2009-02-21 21:36:19
Windows 6.0.6001 Service Pack 1


---- System - GMER 1.0.14 ----
.

SSDT            9A956CE4                                                                                            ZwCreateThread
SSDT            9A956CD0                                                                                            ZwOpenProcess
SSDT            9A956CD5                                                                                            ZwOpenThread
SSDT            9A956CDF                                                                                            ZwTerminateProcess
SSDT            9A956CDA                                                                                            ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

.text           ntoskrnl.exe!ZwQueryLicenseValue + D31                                                              81C8DAB9 1 Byte  [ 06 ]
.text           ntoskrnl.exe!KeInsertQueue + 411                                                                    81CA3A08 4 Bytes  [ E4, 6C, 95, 9A ]
.text           ntoskrnl.exe!KeInsertQueue + 5E1                                                                    81CA3BD8 4 Bytes  [ D0, 6C, 95, 9A ]
.text           ntoskrnl.exe!KeInsertQueue + 5FD                                                                    81CA3BF4 4 Bytes  [ D5, 6C, 95, 9A ]
.text           ntoskrnl.exe!KeInsertQueue + 811                                                                    81CA3E08 4 Bytes  [ DF, 6C, 95, 9A ]
.text           ntoskrnl.exe!KeInsertQueue + 871                                                                    81CA3E68 4 Bytes  [ DA, 6C, 95, 9A ]
_PAGELK         C:\Windows\system32\ntoskrnl.exe                                                                    entry point in "_PAGELK" section [0x81D194B0]

---- Devices - GMER 1.0.14 ----

AttachedDevice  \Driver\kbdclass \Device\KeyboardClass0                                                             Wdf01000.sys (WDF Dynamic/Microsoft Corporation)
AttachedDevice  \FileSystem\fastfat \Fat                                                                            fltmgr.sys (Microsoft Dateisystem-Filter-Manager/Microsoft Corporation)

---- Registry - GMER 1.0.14 ----

Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è                                      
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@CacheSizeInMB                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@CacheStatus                          2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@USBVersion                           131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@ReadSpeedKBs                         822
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@WriteSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@PhysicalDeviceSizeMB                 953867
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@RecommendedCacheSizeMB               0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@HasSlowRegions                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@DoRetestDevice                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@DeviceStatus                         4
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@LastTestedTime                       0x97 0xF8 0x75 0x2E ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è                                      
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@CacheSizeInMB                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@CacheStatus                          2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@USBVersion                           131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@ReadSpeedKBs                         0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@WriteSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@PhysicalDeviceSizeMB                 953867
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@RecommendedCacheSizeMB               0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@HasSlowRegions                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@DoRetestDevice                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@DeviceStatus                         1
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\è@LastTestedTime                       0x00 0x00 0x00 0x00 ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1                                      
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@CacheSizeInMB                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@CacheStatus                          2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@USBVersion                           131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@ReadSpeedKBs                         0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@WriteSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@PhysicalDeviceSizeMB                 476937
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@RecommendedCacheSizeMB               0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@HasSlowRegions                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@DoRetestDevice                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@DeviceStatus                         1
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ý1@LastTestedTime                       0x00 0x00 0x00 0x00 ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§                                      
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@CacheSizeInMB                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@CacheStatus                          2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@USBVersion                           131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@ReadSpeedKBs                         0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@WriteSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@PhysicalDeviceSizeMB                 476937
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@RecommendedCacheSizeMB               0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@HasSlowRegions                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@DoRetestDevice                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@DeviceStatus                         1
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\¶eÊ§@LastTestedTime                       0x00 0x00 0x00 0x00 ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_                         
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@CacheSizeInMB           0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@CacheStatus             2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@USBVersion              3145728
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@ReadSpeedKBs            651
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@WriteSpeedKBs           0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@PhysicalDeviceSizeMB    1999
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@RecommendedCacheSizeMB  0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@HasSlowRegions          0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@DoRetestDevice          0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@DeviceStatus            4
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\TrueCryptVolumeT_@LastTestedTime          0x00 0xDE 0x04 0x8F ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D                                     
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@CacheSizeInMB                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@CacheStatus                         2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@USBVersion                          131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@ReadSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@WriteSpeedKBs                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@PhysicalDeviceSizeMB                343397
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@RecommendedCacheSizeMB              0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@HasSlowRegions                      0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@DoRetestDevice                      0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@DeviceStatus                        1
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\ë“D@LastTestedTime                      0x00 0x00 0x00 0x00 ...
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD                                      
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@CacheSizeInMB                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@CacheStatus                          2
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@USBVersion                           131072
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@ReadSpeedKBs                         757
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@WriteSpeedKBs                        0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@PhysicalDeviceSizeMB                 238472
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@RecommendedCacheSizeMB               0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@HasSlowRegions                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@DoRetestDevice                       0
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@DeviceStatus                         4
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\þýD@LastTestedTime                       0x96 0xB3 0x65 0x4F ...

---- EOF - GMER 1.0.14 ----

Jig Saw · 22.02.2009, 01:36

ackere mal das ab:

http://www.trojaner-board.de/69886-a...-beachten.html

22.02.2009, 01:36	#6
Jig Saw /// Helfer-Team	Gmer bluescreen ackere mal das ab: http://www.trojaner-board.de/69886-a...-beachten.html __________________ --> Gmer bluescreen

Gmer bluescreen

Plagegeister aller Art und deren Bekämpfung: Gmer bluescreen

Gmer bluescreen

Gmer bluescreen

Gmer bluescreen

Gmer bluescreen

Gmer bluescreen

Gmer bluescreen

Ähnliche Themen: Gmer bluescreen

21.02.2009, 19:22	#2
crate142	Gmer bluescreen niemand ne idee? __________________