Recycler\s-5-7-31-......com

König Mops · 27.03.2009, 08:42

Hallo und guten Morgen,

juchuuuu...., ich kann wieder direkt auf meine Platten zugreifen.

Dir ein ganz großes Dankeschön.

Einige Fragen habe ich jedoch noch:

Was war das jetzt, ein Virus, Maleware oder, oder, oder und was für einen Sinn hat eine solche Aktion?

Ist mein PC nun frei von "bösen Geistern" oder soll ich einen "Scanner" darüber laufen lassen, wenn ja welchen?

Kann ich wieder unbesorgt Onlinebanking machen?

Wäre es von Vorteil meine mit Ghost gesicherte Systempartition C: zurückzuspiegeln?

Einen schönen Tag wünsch
König Mops

myrtille · 27.03.2009, 10:06

Hi,

was du dir eingefangen hast war sehr wahrscheinlich die derzeitige "Modemalware" Conficker, die in letzter Zeit viel von sich reden macht.

Der ursprüngliche Sinn war, sicherzustellen, dass die Malware läuft und sich verbreitet.
Die Datei autorun.inf kann festlegen welche Programme ausgeführt werden, wenn man die Platte aufmacht, das hat solange funktioniert wie die Datei war. Nachdem die Datei weg war, gab es nur noch die Fehlermeldungen.

Erstell zur Kontrolle bitte noch ein Log mit blacklight und gmer:
Blacklight scannen lassen

* Lade F-Secure Blacklight runter in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
* Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
* Klick "I accept the agreement", "next", "Scan".
* Wenn der Scan fertig ist beende Blacklight mit "Close".
* Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.

Gmer scannen lassen

Lade dir Gmer von dieser Seite runter und entpacke es auf deinen Desktop.

schließe alle offenen Programme
Starte gmer.exe und gehe zum Tab Rootkit. Alle anderen Programme sollen geschlossen sein.

Stelle sicher, daß in der Leiste rechts alles von "System" bis "ADS" angehakt ist
(Wichtig: "Show all" darf nicht angehakt sein)

Starte den Durchlauf mit "Scan".

Mache nichts am Computer während der Scan läuft.

Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird GMER beendet.

Füge das Log aus der Zwischenablage in deine Antwort hier ein.

lg myrtille

König Mops · 27.03.2009, 11:18

Hallo,

das werde ich tun.

Das F-Secure Blacklight gibt es nicht mehr als Einzelversion ist in F-Secure integriert.
Lade mir gerade die F-Secure Testversion (85 GB) herunter.

Werde dan versuchen das Blacklight zum laufen zu bringen.

Bis demnächst
König Mops

Testversion

myrtille · 27.03.2009, 11:51

HI,

nicht notwendig. ich schau selber nochmal nach dem Tool, wenn ich es finde schick ich den Link.
edit:Link Dieser Download sollte funktionieren.

mach eifnach mit GMER weiter.

lg myrtille

König Mops · 27.03.2009, 18:50

Hallo und guten Abend,

so, nach mehreren Stunden ist GMER mit allen Platten durch.
Hier ist das Ergebnis:

Code:

ATTFilter

GMER 1.0.15.14944 - http://www.gmer.net
Rootkit scan 2009-03-27 18:31:10
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.15 ----

SSDT            88ED9E78                                                                                               

             ZwAlertResumeThread
SSDT            88EC5E78                                                                                               

             ZwAlertThread
SSDT            893F4EA8                                                                                               

             ZwAllocateVirtualMemory
SSDT            895F3780                                                                                               

             ZwAssignProcessToJobObject
SSDT            89595F48                                                                                               

             ZwConnectPort
SSDT            \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)             

             ZwCreateKey [0xB0CE7040]
SSDT            8948B0E8                                                                                               

             ZwCreateMutant
SSDT            88DE8BB0                                                                                               

             ZwCreateSymbolicLinkObject
SSDT            89437F08                                                                                               

             ZwCreateThread
SSDT            896F7A20                                                                                               

             ZwDebugActiveProcess
SSDT            \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)             

             ZwDeleteKey [0xB0CE72C0]
SSDT            \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)             

             ZwDeleteValueKey [0xB0CE7820]
SSDT            88E06EA8                                                                                               

             ZwDuplicateObject
SSDT            89436890                                                                                               

             ZwFreeVirtualMemory
SSDT            893C2228                                                                                               

             ZwImpersonateAnonymousToken
SSDT            88D9AE78                                                                                               

             ZwImpersonateThread
SSDT            8948DF98                                                                                               

             ZwLoadDriver
SSDT            894304C0                                                                                               

             ZwMapViewOfSection
SSDT            8951CA18                                                                                               

             ZwOpenEvent
SSDT            88DCEEA8                                                                                               

             ZwOpenProcess
SSDT            88DF98C0                                                                                               

             ZwOpenProcessToken
SSDT            89726300                                                                                               

             ZwOpenSection
SSDT            8944A390                                                                                               

             ZwOpenThread
SSDT            88DEF258                                                                                               

             ZwProtectVirtualMemory
SSDT            88EDB270                                                                                               

             ZwResumeThread
SSDT            88E8CE78                                                                                               

             ZwSetContextThread
SSDT            88E61480                                                                                               

             ZwSetInformationProcess
SSDT            896BC3C8                                                                                               

             ZwSetSystemInformation
SSDT            \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)             

             ZwSetValueKey [0xB0CE7A70]
SSDT            895BC250                                                                                               

             ZwSuspendProcess
SSDT            893CBA40                                                                                               

             ZwSuspendThread
SSDT            89464838                                                                                               

             ZwTerminateProcess
SSDT            894606B8                                                                                               

             ZwTerminateThread
SSDT            88DE1E78                                                                                               

             ZwUnmapViewOfSection
SSDT            8961F528                                                                                               

             ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!_abnormal_termination + F8                                                                

             804E2754 4 Bytes  CALL B5D77009 
?               SYMEFA.SYS                                                                                             

             Das System kann die angegebene Datei nicht finden. !

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\Tcpip \Device\Ip                                                                               

             SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                                              

             SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\atapi \Device\Ide\IdePort0                                                                     

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)
Device          \Driver\atapi \Device\Ide\IdePort1                                                                     

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4                                                            

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c                                                            

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)
Device          \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-18                                                           

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)
Device          \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-20                                                           

             AnyDVD.sys (AnyDVD Filter Driver/SlySoft, Inc.)

AttachedDevice  \Driver\Tcpip \Device\Udp                                                                              

             SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                                            

             SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device                                                                                                                 

             mrxsmb.sys (Windows NT SMB Minirdr/Microsoft Corporation)
Device                                                                                                                 

             Fastfat.SYS (Fast FAT File System Driver/Microsoft Corporation)

AttachedDevice                                                                                                         

             fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device                                                                                                                 

             Cdfs.SYS (CD-ROM File System Driver/Microsoft Corporation)

---- Registry - GMER 1.0.15 ----

Reg             HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@cd042efbbd7f7af1647644e76e06692b  

0x2E 0xE8 0xE1 0x00 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@bca643cdc5c2726b20d2ecedcc62c59b  

0x46 0x47 0x15 0xB0 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@2c81e34222e8052573023a60d06dd016  

0x7A 0x45 0x05 0xFD ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@2582ae41fb52324423be06337561aa48  

0x3E 0x1E 0x9E 0xE0 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@caaeda5fd7a9ed7697d9686d4b818472  

0xCD 0x44 0xCD 0xB9 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@a4a1bcf2cc2b8bc3716b74b2b4522f5d  

0xB0 0x18 0xED 0xA7 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@4d370831d2c43cd13623e232fed27b7b  

0x97 0x20 0x4E 0x9A ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@1d68fe701cdea33e477eb204b76f993d  

0xAA 0x52 0xC6 0x00 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@1fac81b91d8e3c5aa4b0a51804d844a3  

0x51 0xFA 0x6E 0x91 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@f5f62a6129303efb32fbe080bb27835b  

0xB1 0xCD 0x45 0x5A ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@fd4e2e1a3940b94dceb5a6a021f2e3c6  

0xE3 0x0E 0x66 0xD5 ...
Reg             HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32                      

             
Reg             HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ThreadingModel       

             Apartment
Reg             HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@                     

             C:\WINDOWS\system32\OLE32.DLL
Reg             

HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@8a8aec57dd6508a385616fbc86791ec2  

0x05 0x73 0x21 0xDD ...

---- EOF - GMER 1.0.15 ----

Deine weiteren Download-Link werde ich jetzt testen.

Grüsse
König Mops
Grüsse
König Mops

myrtille · 27.03.2009, 18:57

Hi,

das Log sieht "sauber" aus. Die Einträge stammen entweder von MS, Symantec, AnyDVD oder von Pinnacle.

lg myrtille

König Mops · 27.03.2009, 19:48

Hallllllooooo,

so, fsbl.exe ist auch durch mit der Meldung:

Satus:
scan complete.
No hidden items found

33 processes

Hier ist das log davon:

Code:

ATTFilter

03/27/09 19:13:45 [Info]: BlackLight Engine 2.2.1092 initialized
03/27/09 19:13:45 [Info]: OS: 5.1 build 2600 (Service Pack 2)
03/27/09 19:13:45 [Note]: 7019 4
03/27/09 19:13:45 [Note]: 7005 0
03/27/09 19:13:54 [Note]: 7006 0
03/27/09 19:13:54 [Note]: 7011 4080
03/27/09 19:13:54 [Note]: 7035 0
03/27/09 19:13:55 [Note]: 7026 0
03/27/09 19:13:56 [Note]: 7026 0
03/27/09 19:14:00 [Note]: FSRAW library version 1.7.1024
03/27/09 19:20:34 [Note]: 2000 1012
03/27/09 19:24:25 [Note]: 7007 0

Bis gleich
König Mops

myrtille · 28.03.2009, 01:16

Hi,

no hidden items found ist immer gut.

Ich würd behaupten, dass die Reste der Malware auf dem Rechner entfernt wurdne und was man an aus den Logs erkennen kann scheint sauber zu sein.

Wie gehts dem Rechner? Wenn alles läuft wie es soll, kannst du die Programme entfernen und solltest auf jedenfall mal über ein Update auf SP3 nachdenken!

Eine Möglichkeit weitere veraltete Software (Einfallstor für Malware) zu finden und zu aktualisieren findest du hier: Secunia

lg myrtille

König Mops · 28.03.2009, 07:48

Guten Morgen,

hört sich sehr gut an.

Gestern Abend war ich noch ein bischen im Netz unterwegs um mich ein wenig schlauer zumachen.

Bin bei Microsoft gelandet und habe mir das Tool zur Entfernung schädlicher Software heruntergeladen und ausgeführt.
Das fand den Schädling Alureon!inf und hat ihn "entfernt".
Im Netz fand ich jedoch keine ausführiche Erklärung was jener tut.
Nur halbe Ausagen er greift den mbr an und dann wäre es sowieso gelaufen usw.
Hast Du eine Ahnung was der tat oder tut?

Ich werde deine Empfehlungen beherzigen.

Bei uns scheint die Sonne ich hoffe bei Dir auch.

Grüsse König Mops

myrtille · 28.03.2009, 14:55

Hi,

könntest du mal schauen ob du eine rDatei "Mrt.log" im Ordner "C:\windows\debug" findest und deren Inhalt posten?

Dein MBR sollte sauber sein, wenn nicht hätte GMER etwas gemeldet.

Alureon.inf! ist eine Malware die sich genauso über autorun.inf-Dateien verbreitet. Eventuell war da noch eine von übrig.

lg myrtille

König Mops · 28.03.2009, 15:34

Ich grüsse Dich,

ich krieg noch die Krise:

Im Sicherheitscenter habe ich die Einstellung:
Automatische Updates
Benachrichtigen, aber nicht automatisch herunterladen und......

Nun habe ich die Aktion herunterladen freigegeben.
Es fand auch ein Download statt, über dem gelben Schutzschild wurde die %-Anzahl angezeigt.
Jedoch hat sich der SP3 nich installiert und ich kann ihn nicht finden zu manuellen Installation.
Läuft da noch irgendetwas im Hintergrund ( ein böser Geist) welches die Installation von SP3 verhindert.
Das gleiche hatte ich gestern als ich das Tool zur Entfernung schädlicher Software heruntergeladen (auch über das Sicherheitscenter) habe. Ich fand es nicht, so dass ich es manuell heruntergeladen habe und startet.

Anbei die gewünschte log:
[code]
---------------------------------------------------------------------------------------

Microsoft Windows Malicious Software Removal Tool v2.8, March 2009
Started On Fri Mar 27 21:27:24 2009

Extended Scan Results
----------------
->Scan ERROR: resource file://C:\hiberfil.sys (code 0x00000020 (32))
->Scan ERROR: resource file://C:\pagefile.sys (code 0x00000020 (32))
Found malware: Trojan:Win32/Alureon!inf in file://C:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356053.inf
->Scan ERROR: resource file://C:\WINDOWS\S2AEF1217.tmp (code 0x0000001E (30))
Found malware: Trojan:Win32/Alureon!inf in file://D:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356054.inf
Found malware: Trojan:Win32/Alureon!inf in file://E:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356055.inf
->Scan ERROR: resource file://E:\Kinder videos\Nach dem baden\Thumbs.db->(Ole Stream 6) (code 0x0000001E (30))
->Scan ERROR: resource file://E:\Kinder videos\Nach dem baden\Thumbs.db->(Ole Stream 8) (code 0x0000001E (30))
->Scan ERROR: resource file://E:\Kinder videos\Baden\Thumbs.db->(Ole Stream 6) (code 0x0000001E (30))
->Scan ERROR: resource file://E:\Kinder videos\Baden\Thumbs.db->(Ole Stream 8) (code 0x0000001E (30))
->Scan ERROR: resource file://E:\Kinder videos\Baden\Thumbs.db->(Ole Stream 9) (code 0x0000001E (30))
->Scan ERROR: resource file://E:\Kinder videos\Baden\Thumbs.db->(Ole Stream 10) (code 0x0000001E (30))
Found malware: Trojan:Win32/Alureon!inf in file://F:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356090.inf
Found malware: Trojan:Win32/Alureon!inf in file://N:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356091.inf
Found malware: Trojan:Win32/Alureon!inf in file://O:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356092.inf
Found malware: Trojan:Win32/Alureon!inf in file://P:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356056.inf
Found malware: Trojan:Win32/Alureon!inf in file://Q:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356057.inf
Found malware: Trojan:Win32/Alureon!inf in file://R:\Avenger\autorun.inf
->Scan ERROR: resource file://T:\Programme\Flash Ersatzprogramme\Flash

slideshowmaker\Flash.Slideshow.Maker.Pro.v4.72.WinALL.Incl.Keygen-ECLiPSE.zip->Flash.Slideshow.Maker.Pro.v4.72.WinALL.

Incl.Keygen-ECLiPSE/Flash.Slideshow.Maker.Pro.v4.72.Keygen.zip->eclfs72a.exe (code 0x0000000D (13))
->Scan ERROR: resource file://T:\Programme\Flash Ersatzprogramme\Flash

slideshowmaker\Flash.Slideshow.Maker.Pro.v4.72.WinALL.Incl.Keygen-ECLiPSE(2)\Flash.Slideshow.Maker.Pro.v4.72.WinALL.In

cl.Keygen-ECLiPSE\Flash.Slideshow.Maker.Pro.v4.72.Keygen.zip->eclfs72a.exe (code 0x0000000D (13))
->Scan ERROR: resource file://T:\Programme\Flash Ersatzprogramme\Flash

slideshowmaker\Flash.Slideshow.Maker.Pro.v4.72.WinALL.Incl.Keygen-ECLiPSE(2)\Flash.Slideshow.Maker.Pro.v4.72.WinALL.In

cl.Keygen-ECLiPSE\Flash.Slideshow.Maker.Pro.v4.72.Keygen\eclfs72a.exe (code 0x0000000D (13))
Found malware: Trojan:Win32/Alureon!inf in file://T:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356093.inf

Extended Scan Removal Results
----------------
Start 'remove' for file://\\?\T:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356093.inf
Operation succeeded !

Start 'remove' for file://\\?\R:\Avenger\autorun.inf
Operation succeeded !

Start 'remove' for file://\\?\Q:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356057.inf
Operation succeeded !

Start 'remove' for file://\\?\P:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356056.inf
Operation succeeded !

Start 'remove' for file://\\?\O:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356092.inf
Operation succeeded !

Start 'remove' for file://\\?\N:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356091.inf
Operation succeeded !

Start 'remove' for file://\\?\F:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356090.inf
Operation succeeded !

Start 'remove' for file://\\?\E:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356055.inf
Operation succeeded !

Start 'remove' for file://\\?\D:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356054.inf
Operation succeeded !

Start 'remove' for file://\\?\C:\System Volume

Information\_restore{8D4C1D68-FE36-4AAC-A242-A45550ED0F2C}\RP414\A0356053.inf
Operation succeeded !

Results Summary:
----------------
Found Trojan:Win32/Alureon!inf and Removed!

Return code: 6
Microsoft Windows Malicious Software Removal Tool Finished On Sat Mar 28 07:12:05 2009

---------------------------------------------------------------------------------------

Microsoft Windows Malicious Software Removal Tool v2.8, March 2009
Started On Sat Mar 28 07:15:21 2009

Return code: 0
Microsoft Windows Malicious Software Removal Tool Finished On Sat Mar 28 07:16:00 2009

---------------------------------------------------------------------------------------

Microsoft Windows Malicious Software Removal Tool v2.8, March 2009
Started On Sat Mar 28 07:28:21 2009

Return code: 0
Microsoft Windows Malicious Software Removal Tool Finished On Sat Mar 28 07:30:22 2009

[code]

Grüsse
König Mops

myrtille · 28.03.2009, 15:53

Hi,

Die Funde befinden sich in der Systemwiederherstellung, du kannst sie entfernen indem du sie deaktivierst:

Schädlinge im Ordner der Systemwiederherstellung:

Deaktiviere die Systemwiederherstellung -> So wird es gemacht.

(Systemwiederherstellung kann nun wieder aktiviert werden.)

Das SP3 kann man hier Link bei Microsoft runterladen.
Ein Bösewicht dürfte das nicht sein, der hätte mehr Interesse daran aktuelle Patches zu blocken.

lg myrtille

König Mops · 28.03.2009, 16:12

Hallo,

aber wo ist der heruntergeladene SP3 hin, sind immerhin 300 MB.

Werde erstmal einen Tee trinken und dann den Rest machen.

Ich trinke ne Tasse für Dich mit.

Gott zum Gruße
König Mops

myrtille · 28.03.2009, 17:14

Hi,

danke für den Tee

Wohin werden Dateien denn normalerweise bei dir gespeichert? Das wär so meine erste Anlaufstelle (deine Wahrscheinlich auch

).
Wenn die Datei dort nicht liegt, kannst du eventuell mal in den Temporären Dateien schauen: Öffne den Explorer und gib oben in die Adressleiste %temp% ein.

Zu guter letzt gibt es immernoch die Windowssuchffunktion, die dir helfen könnte. Dort kannst du zb nach Dateien die größer als 300Mb sind suchen lassen, wenn du das auf der C-Platte tust, solltest du hoffentlich fündig werden.

lg myrtille

König Mops · 28.03.2009, 17:46

Hallo,

Arbeite zur Zeit von einer Nebenstelle, sauberes Labtop.

Habe ich auch getan - nichts, toto Hose - ab in´s Nirwana mit SP3.

Isssss so, möchte mir das Wochenende nicht verderben.

Gehe jetzt in die Küche und mache mir ein leckeren Salat, 1-2 Gläser Roten und gut isses für Heute.

Ich wünsche Dir eine netten Samstagabend.

Grüsse aus dem Süden der Nation

König Mops

27.03.2009, 18:57	#21
myrtille /// TB-Ausbilder	$Recycler\s-5-7-31-......com - Standard$ Recycler\s-5-7-31-......com Hi, das Log sieht "sauber" aus. Die Einträge stammen entweder von MS, Symantec, AnyDVD oder von Pinnacle. lg myrtille __________________ --> Recycler\s-5-7-31-......com

Recycler\s-5-7-31-......com

Plagegeister aller Art und deren Bekämpfung: Recycler\s-5-7-31-......com