Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


Log-Analyse und Auswertung: AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML.

Antwort
Alt 06.04.2009, 15:07   #1
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


so okay nun der link zum log von random's system information tool:

http://www.file-upload.net/download-1570787/log.txt.html

hoffe, das hat geklappt.

lg, irie

Alt 06.04.2009, 15:10   #2
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


so und nun zum letzten: was ist die bootplatte? die mit windows drauf und nicht die recovery, oder? ich frag lieber nochmal!

lg, irie
__________________
Alt 06.04.2009, 15:30   #3
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


habe hier folgendes problem: hab die mbr.exe unter C:\ gepackt. wäre der pfad ja dann also C:\mbr. wenn ich start --> ausführen --> cmd eingebe, kommt aber immer sofort C:\Dokumente und Einstellungen\HP-Besitzer...kann da nix verändern. Soll ich die mbr.exe dann in diesen ordner verschieben?
fragen über fragen...sorry.

lg, irie
__________________
Alt 06.04.2009, 15:43   #4
Chris4You
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


Hi,

die mit Windows drauf....

Noch zwei Sachen:

......RegisterySearch:
Download Registry Search by Bobbi Flekman
<http://virus-protect.org/artikel/tools/regsearch.html>
und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

Zitat:
nm.sys
in edit und klicke "Ok".
Notepad wird sich oeffnen - poste den text

Danach bitte noch nach:
Zitat:
NMnt.sys
suchen.

Online bitte prüfen (virustotal):
C:\WINDOWS\system32\DRIVERS\NMnt.sys

chris

Ps.: Wenn Du die commandline öffnest (cmd.exe), dann kannst Du durch die Eingabe von
cd \Pfad_wo_ich_hinmöchte das Verzeichnis wechseln (CD=change Directory)
In Deinem Fall würde ein C:\ genügen um auf C.\ zu kommen
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 06.04.2009, 15:54   #5
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


hier schon mal die ergebnisse von registry search zu nm.sys

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.6.0

; Results at 06.04.2009 16:49:13 for strings:
; 'nm.sys '
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


; End Of The Log...

Hier die Ergebnisse zu NMnt.sys:

Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.6.0

; Results at 06.04.2009 16:53:07 for strings:
; 'nmnt.sys'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\nm]
; Contents of value:
; system32\DRIVERS\NMnt.sys
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
52,00,49,00,56,00,45,00,52,00,53,00,5c,00,4e,00,4d,00,6e,00,74,00,2e,00,73,\
00,79,00,73,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\nm]
; Contents of value:
; system32\DRIVERS\NMnt.sys
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
52,00,49,00,56,00,45,00,52,00,53,00,5c,00,4e,00,4d,00,6e,00,74,00,2e,00,73,\
00,79,00,73,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nm]
; Contents of value:
; system32\DRIVERS\NMnt.sys
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
52,00,49,00,56,00,45,00,52,00,53,00,5c,00,4e,00,4d,00,6e,00,74,00,2e,00,73,\
00,79,00,73,00,00,00

; End Of The Log...


Alt 06.04.2009, 16:06   #6
Chris4You
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


Hi,

hast Du oben die Anweisung im vorangegangen Post gesehen, wie Du in der CMD das Verzeichnis wechseln kannst?

Bin jetzt weg, morgen wieder erreichbar...

chris
__________________
--> AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'

Alt 06.04.2009, 16:15   #7
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


Hier die Ergebnisse (hab auf Permalink geklickt und dann kam folgendes):

Code:
ATTFilter
Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.04.06	-
AhnLab-V3	5.0.0.2	2009.04.06	-
AntiVir	7.9.0.138	2009.04.06	-
Antiy-AVL	2.0.3.1	2009.04.06	-
Authentium	5.1.2.4	2009.04.05	-
Avast	4.8.1335.0	2009.04.06	-
AVG	8.5.0.285	2009.04.06	-
BitDefender	7.2	2009.04.06	-
CAT-QuickHeal	10.00	2009.04.06	-
ClamAV	0.94.1	2009.04.06	-
Comodo	1101	2009.04.06	-
DrWeb	4.44.0.09170	2009.04.06	-
eSafe	7.0.17.0	2009.04.06	-
eTrust-Vet	31.6.6435	2009.04.03	-
F-Prot	4.4.4.56	2009.04.05	-
F-Secure	8.0.14470.0	2009.04.06	-
Fortinet	3.117.0.0	2009.04.06	-
GData	19	2009.04.06	-
Ikarus	T3.1.1.49.0	2009.04.06	-
K7AntiVirus	7.10.694	2009.04.06	-
Kaspersky	7.0.0.125	2009.04.06	-
McAfee	5575	2009.04.05	-
McAfee+Artemis	5575	2009.04.05	-
McAfee-GW-Edition	6.7.6	2009.04.06	-
Microsoft	1.4502	2009.04.06	-
NOD32	3989	2009.04.06	-
Norman	6.00.06	2009.04.06	-
nProtect	2009.1.8.0	2009.04.06	-
Panda	10.0.0.14	2009.04.05	-
PCTools	4.4.2.0	2009.04.06	-
Prevx1	V2	2009.04.06	-
Rising	21.23.41.00	2009.04.03	-
Sophos	4.40.0	2009.04.06	-
Sunbelt	3.2.1858.2	2009.04.04	-
Symantec	1.4.4.12	2009.04.06	-
TheHacker	6.3.4.0.302	2009.04.06	-
TrendMicro	8.700.0.1004	2009.04.06	-
VBA32	3.12.10.2	2009.04.06	-
ViRobot	2009.4.6.1680	2009.04.06	-
VirusBuster	4.6.5.0	2009.04.05	-
weitere Informationen
File size: 40320 bytes
MD5...: 1e421a6bcf2203cc61b821ada9de878b
SHA1..: 827c14898fab0cdbfb4efa11cb15900534c2c7b4
SHA256: c658f1d5dce7525cf929c65c46ab2881c99d89bf8f0f61c1d440c9d9bfb2f89f
SHA512: bb424f813ef1643eaa7096be9efcbf64d094fc66ce40a48020b64660af031941
06aaf331a73b067134b5ac9eecbc1865330c1c67974bba7e2cfa3aa1d94b1f01
ssdeep: 768:zV0A/zwUcOklfxDppd4o2g7whSoOZiY1MRE+h2Uzcy+ZK:zV08qOklfx/d4h
g7whGijR9p5
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x8983
timedatestamp.....: 0x48025692 (Sun Apr 13 18:53:06 2008)
machinetype.......: 0x14c (I386)

( 7 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x300 0x63bc 0x6400 6.36 58fc79ddb5dfc7909d685fe899f9bf63
.rdata 0x6700 0x224 0x280 3.23 5332f9b33393b2f710be6cc487ecc793
.data 0x6980 0x1c0 0x200 1.39 6935d7c9d77abe8312f1fdcc300e957c
PAGE 0x6b80 0x1bbb 0x1c00 5.92 918478f26bc733624e7b5884e6ef26d5
INIT 0x8780 0xb46 0xb80 5.67 9dd339a67fc0ea6400c34b30f6c39b19
.rsrc 0x9300 0x3d8 0x400 3.32 1939d0e2d79884725dc05af3c982e711
.reloc 0x9700 0x618 0x680 5.73 1c0a4115a4989fe4983099078ff3ad0a

( 4 imports )
> ntoskrnl.exe: ZwSetValueKey, RtlEqualUnicodeString, RtlUnicodeStringToAnsiString, RtlInitAnsiString, ZwCreateKey, ExInterlockedFlushSList, MmMapLockedPagesSpecifyCache, IofCompleteRequest, IoWriteErrorLogEntry, IoAllocateErrorLogEntry, wcslen, KeQuerySystemTime, KeNumberProcessors, KeQueryInterruptTime, RtlCompareMemory, KefReleaseSpinLockFromDpcLevel, KefAcquireSpinLockAtDpcLevel, memmove, ZwQueryValueKey, KeResetEvent, KeWaitForSingleObject, KeInitializeEvent, KeSetEvent, ExfInterlockedRemoveHeadList, IoFreeMdl, InterlockedPopEntrySList, InterlockedPushEntrySList, MmMapLockedPages, KeCancelTimer, KeInitializeTimer, KeInitializeDpc, KeSetTimer, ExInterlockedAddLargeStatistic, KeTickCount, KeQueryTimeIncrement, KeBugCheckEx, RtlQueryRegistryValues, ZwClose, RtlInitUnicodeString, ZwOpenKey, IoGetCurrentProcess, ExAcquireResourceExclusiveLite, IoSetShareAccess, SeAssignSecurity, IoRemoveShareAccess, ExReleaseResourceLite, ExQueueWorkItem, SeDeassignSecurity, _except_handler3, ExFreePoolWithTag, ExfInterlockedPopEntryList, ExAllocatePoolWithTag, ExfInterlockedPushEntryList, IoAcquireCancelSpinLock, IoReleaseCancelSpinLock, ExDeleteResourceLite, IoDeleteDevice, IoCreateDevice, KeInitializeSpinLock, _alldiv, ExInitializeResourceLite
> HAL.dll: KfReleaseSpinLock, KfLowerIrql, KfRaiseIrql, KfAcquireSpinLock
> NDIS.SYS: NdisCopyBuffer, NdisCompletePnPEvent, NdisRegisterProtocol, NdisUnchainBufferAtFront, NdisFreePacket, NdisCloseAdapter, NdisCopyFromPacketToPacket, NdisAllocatePacketPoolEx, NdisSetPacketPoolProtocolId, NdisAllocateBufferPool, NdisRequest, NdisDeregisterProtocol, NdisFreePacketPool, NdisFreeBufferPool, NdisAllocateBuffer, NdisAllocatePacket, NdisOpenAdapter
> TDI.SYS: TdiCopyBufferToMdl

( 0 exports )
RDS...: NSRL Reference Data Set
-
packers (Kaspersky): PE_Patch


Hab deine Anweisungen zu cmd gelesen, aber leider komm ich da trotzdem nicht weiter. Nach der Eingabe von ausführen --> cmd kommt dann der schwarze kasten und da steht dann voreingestellt C:\Dokumente und Einstellungen\Hp_Besitzer\...was soll ich dann daran direkt anhängen?

Alt 06.04.2009, 19:39   #8
Chris4You
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


Hi,

einfach in den "Kasten" bitte cd \ und dann Datenfreigabe eingeben...
Die Commandline wechselt dann in das Root-Verzeichnis von C, dort wo Du auch MBR.EXE abgelegt hast, dann sollte das mit dem Aufruf klappen...

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 06.04.2009, 20:30   #9
irie
 
AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - Standard

AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


hey,

also die eingabe hat jetzt endlich geklappt hatte ständig den doppelpunkt mit eingegeben nach cd.

so und die reportdatei sieht so aus:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

alles richtig gemacht?
lg, irie

Antwort

Themen zu AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'
antivir, antivir meldet, avira, bho, canon, controlcenter, einstellungen, excel, fehler, firefox, google, hijack, hijack this, hijackthis, hkus\s-1-5-18, immer wieder, internet, internet explorer, logfile, mozilla, plug-in, programm, rundll, scan, software, studio, system, tr/crypt.xdr.gen, trojaner, windows, windows xp, wlan


« Lavasoft Adaware erkennt Malware Family // Probleme mit WIN32.TrojanDelf | Firefox öffnet Tabs mit Werbung und friert irgenwann ein »


Ähnliche Themen: AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'


  1. Avira meldet TR/Rootkit.Gen in C:windows/system32/drivers....was ist zu tun?
    Plagegeister aller Art und deren Bekämpfung - 19.07.2014 (22)
  2. Antivir meldet TR/Crypt.XPACK.Gen2 in C:\WINDOWS\system32\dwwin.exe
    Plagegeister aller Art und deren Bekämpfung - 25.08.2013 (8)
  3. C:\Windows\System32\Drivers\spxi.sys
    Plagegeister aller Art und deren Bekämpfung - 18.06.2012 (2)
  4. Rootkit C:\windows\system32\drivers\volmgr.sys
    Plagegeister aller Art und deren Bekämpfung - 01.02.2011 (8)
  5. Antivir Meldung C\windows\system32\wmhtll32.dll ist TR/Crypt.XPack.GEN
    Plagegeister aller Art und deren Bekämpfung - 09.11.2010 (8)
  6. Antivir meldet C:\Windows\temp\xxxx.tmp (TR/Crypt.ZPACK.Gen) alle paar Minuten
    Plagegeister aller Art und deren Bekämpfung - 10.10.2010 (4)
  7. TR/Crypt.ZPACK.Gen in C:\WINDOWS\system32\drivers\gyhmiej.sys und TR/Autorun.AJH bzw .INF.184
    Plagegeister aller Art und deren Bekämpfung - 21.08.2010 (25)
  8. Datei aus windows/system32/drivers entfernen
    Plagegeister aller Art und deren Bekämpfung - 12.07.2010 (21)
  9. TR/Crypt.ZPACK.Gen - in system32/drivers
    Plagegeister aller Art und deren Bekämpfung - 23.06.2010 (3)
  10. TR/Crypt.ZPACK.Gen in C:\WINDOWS\system32\drivers\dbjrhi.sys
    Plagegeister aller Art und deren Bekämpfung - 22.06.2010 (12)
  11. Antivir findet Trojaner: "TR/Crypt.ZPACK.Gen in C:\WINDOWS\system32\drivers\vevemzh.sys
    Plagegeister aller Art und deren Bekämpfung - 19.06.2010 (7)
  12. TR/Rootkit.Gen in C:\WINDOWS\system32\drivers\herbh.sys
    Plagegeister aller Art und deren Bekämpfung - 01.06.2010 (16)
  13. Antivir meldet TR/Crypt.ZPACK.Gen in C/Windows/Temp/xxxx.tmp/svchost.exe
    Plagegeister aller Art und deren Bekämpfung - 26.04.2010 (2)
  14. Antivir meldet TR/Crypt.ZPACK.Gen in C/Windows/Temp/xxxx.tmp/svchost.exe
    Plagegeister aller Art und deren Bekämpfung - 24.04.2010 (4)
  15. TR/Agent.ruo in C:\WINDOWS\system32\drivers\ntnvf.sys
    Plagegeister aller Art und deren Bekämpfung - 09.04.2010 (8)
  16. Antivir meldet TR/Dropper.Gen in C:\WINDOWS\system32\ACF7EF\74BE16.EXE
    Plagegeister aller Art und deren Bekämpfung - 16.01.2010 (3)
  17. Antivir meldet C:\Windows\temp\xxxx.tmp (TR/Crypt.ZPACK.Gen) alle 10 Minuten
    Plagegeister aller Art und deren Bekämpfung - 04.11.2009 (6)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' - so okay nun der link zum log von random's system information tool: http://www.file-upload.net/download-1570787/log.txt.html hoffe, das hat geklappt. lg, irie - AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys'...
Archiv
Du betrachtest: AntiVir meldet TR/Crypt.XDR.Gen' in 'C:\WINDOWS\system32\drivers\amd64si.sys' auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19