Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML

Antwort
Alt 12.06.2009, 01:45   #1
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Also diese 3 Funde waren im letzten Monat bei mir auf dem Rechner aufgetreten. Als erstes habe ich laut den Forenregeln ersteinmal vergleichbare Fälle gesucht, die gab es auch aber bei allen wurde geschrieben man soll ein sogenanntes HijackFile posten. Da mein Hijackfile keinem der anderen gleicht, habe ich diesen Thread eröffnet in der Hoffnung dass man mir helfen kann.

Zum einen hier nochmal die 3 Funde detailiert:

Die Datei 'C:\Users\xxx\AppData\Local\Temp\plugtmp-48\plugin-npdf.php'
enthielt einen Virus oder unerwünschtes Programm 'HEUR/HTML.Malware' [heuristic].
Durchgeführte Aktion(en):
Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a93ffaa.qua' verschoben!

In der Datei 'C:\Users\xxx\AppData\Local\Mozilla\Firefox\Profiles\yqsuelul.default\Cache\_CACHE_002_'
wurde ein Virus oder unerwünschtes Programm 'HTML/Infected.WebPage.Gen' [virus] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

In der Datei 'C:\Windows\System32\drivers\ntnus.sys'
wurde ein Virus oder unerwünschtes Programm 'TR/Rootkit.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben


Ich habe alle 3 Funde sofort in Quarantäne verschoben, da ich mal hier im Board gelesen habe, dass dies das beste sei (und nicht löschen)


Meine Originalsoftware von Microsoft (Vista) halte ich immer aktuell. Auf eine Freewarefirewall habe ich auf Anraten von vielen Forenexperten verzichtet und nur die Standardwindowsfirewall in Betrieb. Ich surfe nicht auf Seiten die ich nicht kenne und öffne keine Mails deren Absender ich nicht kenne. Dadurch habe ich mich sehr sicher gefühlt nun aber die Funde und sie beunruhigen mich doch sehr und ich weiß nicht was ich tun soll.


Hier nun dieser HijackReport (links habe ich analaog den Forenregeln editiert):

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:28:02, on 12.06.2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\ASUS\Six Engine\SixEngine.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Winamp\winampa.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\QvodPlayer\QvodTerminal.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\The Cleaner\cleaner6.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [QvodPlayer] C:\QvodPlayer\QvodTerminal.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-2217025095-4060059928-118558843-1001\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'premium')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dllink.htm
O8 - Extra context menu item: Videos mit FDM herunterladen - file://C:\Program Files\Free Download Manager\dlfvideo.htm
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O13 - Gopher Prefix:
O16 - DPF: {05D44720-58E3-49E6-BDF6-D00330E511D3} (StagingUI Object) - hxxp://zone.msn.com/binFrameWork/v10/StagingUI.cab55579.cab
O16 - DPF: {3BB54395-5982-4788-8AF4-B5388FFDD0D8} (MSN Games – Buddy Invite) - hxxp://zone.msn.com/BinFrameWork/v10/ZBuddy.cab55579.cab
O16 - DPF: {5736C456-EA94-4AAC-BB08-917ABDD035B3} (ZonePAChat Object) - hxxp://zone.msn.com/binframework/v10/ZPAChat.cab55579.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - hxxp://cdn2.zone.msn.com/binFramework/v10/ZIntro.cab56649.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DA2AA6CF-5C7A-4B71-BC3B-C771BB369937} (MSN Games – Game Communicator) - hxxp://zone.msn.com/binframework/v10/StProxy.cab55579.cab
O16 - DPF: {F773E7B2-62A9-4524-9109-87D2F0BEFAA4} (ChessControl Class) - hxxp://zone.msn.com/bingame/zpagames/zpa_kqrp.cab56961.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{5AF86004-312D-409C-A044-2133DEDE4179}: NameServer = 217.0.43.81 217.0.43.65
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: PostgreSQL Database Server 8.3 (pgsql-8.3) - PostgreSQL Global Development Group - C:\Program Files\PostgreSQL\8.3\bin\pg_ctl.exe

--
End of file - 6933 bytes



Ich kann mir nicht vorstellen mir irgendetwas eingefangen zu haben, aber die Funde beunruhigen mich dennoch, auch wenn ich weiß das es oft zu Falschmeldungen kommt. Die Poker und Casinosoftware ist bewusst installiert da ich ab und zu auf diesen Seiten spiele.


Ich bin für jede Hilfe dankbar.



P.S. Ich hatte schon einmal hier im Forum Hilfe gesucht und leider keine Antwort/Hilfe erhalten, was ich natürlich auch nicht erwarte, da dies ein freiwilliger kostenloser Service ist. Aber sollte ich irgendwelche Regeln verletzt haben oder etwas nicht beachtet haben, wäre es schön wenn mich jemand darauf hinweist oder mir ein Forum nennt wo man gegen eine geringe Gebühr Hilfe bekommen kann.

Geändert von Thea (12.06.2009 um 01:55 Uhr)

Alt 12.06.2009, 02:04   #2
Kaos
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Hast du Malwarebytes Anti-Malware schon ausgeführt? Wenn ja, stelle bitte die Logdatei auch hier rein. Falls nicht, dann folge dem Link und lese dir die Anleitung durch.

Es fehlt noch die Uninstall-Liste. Die erreichst du indem du HijackThis öffnest und dort folgendes machst:
  1. Klicke auf "Open the Misc Tool section"
  2. Dort auf "Open Uninstall Manager"
  3. Klicke jetzt auf "Save List" und speichere sie auf dem Desktop.
  4. Kopiere den Inhalt der Datei und füge ihn hier ein
Poste am besten alle Logs in einer Codebox. (["code"]Hier den Text["/code"], ohne die Anführungszeichen.

mfg Kaos
__________________


Alt 12.06.2009, 02:15   #3
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Vielen Dank für die Zeit die Du Dir nimmst.

Dies ist die Unistall Liste, die ich wie von Dir beschrieben erstellt habe.

Code:
ATTFilter
32 Bit HP CIO Components Installer
3DMark06
Adobe Flash Player 10 ActiveX
Adobe Flash Player 10 Plugin
Adobe Reader 9 - Deutsch
AGEIA PhysX v7.09.13
Apple Software Update
Atheros Communications Inc.(R) AR8121/AR8113 Gigabit/Fast Ethernet Driver
Audiograbber 1.83 SE 
Avira AntiVir Personal - Free Antivirus
DeepBurner v1.9.0.228
EPU-6 Engine
Equilator
FLV Player 2.0 (build 25)
Free Download Manager 2.5
Full Tilt Poker
FUSSBALL MANAGER 09
Futuremark SystemInfo
Gimp 2.6.1
HijackThis 2.0.2
Holdem Manager
HP Photosmart.All-In-One Driver Software 8.0 .A
IrfanView (remove only)
Java(TM) 6 Update 13
Malwarebytes' Anti-Malware
marvell 61xx
Microsoft Office 2000 Small Business
Microsoft Visual C++ 2005 Redistributable
Mozilla Firefox (3.0.10)
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB941833)
MSXML 4.0 SP2 (KB954430)
My Screen Recorder 2.65
NVIDIA Drivers
PartyPoker
PokerStars
PokerStrategy Elephant
PostgreSQL 8.3
QuickTime
QvodPlayer(QVOD) v3.0
RealPlayer
Realtek High Definition Audio Driver
Skype™ 3.8
TeamSpeak 2 RC2
The Cleaner 2010
Titan Poker
VLC media player 0.9.2
Winamp
Windows Media Player Firefox Plugin
WinRAR
World of Warcraft
         
Der Scanvorgang von Malewarebytes läuft noch und wird dann von mir ebenfalls gepostet.
__________________

Alt 12.06.2009, 02:32   #4
Kaos
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Deinstalliere:
  • Adobe Reader 9 - Deutsch (Es gibt Version 9.1 oder besser noch den FoxIt Reader installieren)
  • Java(TM) 6 Update 13 (Aktuell ist Version 6 Update 14)
  • The Cleaner 2010 (Das Teil ist meiner Meinung nach nicht empfehelenswert. Kann bei falscher Einstellung auch das System zerschiessen).

Java Update 14
FoxIt Reader

Deinstalliere auch andere Software, die du nicht mehr unbedingt benötigst.

mfg, Kaos

Alt 12.06.2009, 02:43   #5
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Bin am deinstallieren der von Dir genannten Programme und werde entsprechende Programme neu installieren die Du angegeben hast. Meine Programme auf meinem Rechner halte ich immer aktuell, d.h. alle Programme die drauf sind nutze ich auch. Was natürlich nicht bedeutet dass mal auch ein programm drauf ist was ich mich nicht traue zu löschen, weil es nach einem Windows/Systemprogramm aussieht. Aber ich versuche diesen Rechner hier (Wir haben noch einen anderen) absolut sauber und up to date zu halten, weil ich hiermit meine finanziellen transaktionen mache.

Maleware Check läuft noch.


nachtrag:

habe jetzt doch noch 3 weitere programme gelöscht die meiner Meinung nach nicht mehr benötigt werden.

3dmark (analyseprogramm)
Apple Updates (keine Ahnung was das ist, aber ich habe keinen Apple Computer)
QVOD Player (habe ich selten genutzt, nur brauchte ich ihn mal für einen Film, was aber jetzt unter VLC Player auch läuft)

Das neue Java und den Foxreader habe ich nun installiert, die 3 Programme die Du erwähnt hast deinstalliert und warte nun noch auf die Beendigung des Malwarebytesuchlaufes.



An :


AGEIA PhysX v7.09.13
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB941833)
MSXML 4.0 SP2 (KB954430)
EPU-6 Engine
marvell 61xx


habe ich mich nicht herangetraut weil ich nicht weiß was es ist, alle anderen Programme kenne ich und weiß das ich sie brauche.


Geändert von Thea (12.06.2009 um 02:57 Uhr)

Alt 12.06.2009, 02:53   #6
Kaos
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Gut, es ist auch sehr wichtig sein System immer aktuell zu halten. Dabei kann Secunia PSI oder der Secunia-Onlinescan helfen (Dafür wird Java benötigt und der Zugriff muss erlaubt werden).

Service Pack 2 ist für Vista inzwischen erschienen und ebenso der Internet Explorer 8.

Ich bin jetzt auch offline, stelle das Malwarebytes-Log dann einfach hier rein.

mfg, Kaos

Alt 12.06.2009, 03:34   #7
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Der MalewareScan läuft immer noch, mir fallen die Augen schon zu aber ich hoffe er ist bald zu Ende. Mit dem Secunia PSI Tool habe ich alle Softwares auf den neuesten Stand gebracht (8 Stück, vorrangig diverse Player), nur 1 Sicherheitsbedrohung wird nach wie vor angezeigt und zwar die des Browsers Mozilla Firefox, obwohl ich die aktuelle Version 3.0.11 installiert habe, zeigt er immer wieder das an. Wahrscheinlich ein Fehler des Programms, da es keine aktuellere Version gibt.

Alt 12.06.2009, 03:42   #8
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Endlich, Malewarescan abgeschlossen

"Der Scan wurde erfolgreich abgeschlossen. Keine infizierten Objekte. Klicken Sie auf Hauptmenü"

Und hier der Report:

Code:
ATTFilter
Malwarebytes' Anti-Malware 1.37
Datenbank Version: 2265
Windows 6.0.6001 Service Pack 1

12.06.2009 04:36:28
mbam-log-2009-06-12 (04-36-28).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 239901
Laufzeit: 1 hour(s), 21 minute(s), 34 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         


Aber so gut das alles klingt, es wurden ja 3 Sachen gefunden im letzten Monat und heute, das liegt jetzt bei Antivir (kostenlose Version) in Quarantäne. Irgendwas muss doch dann kaputt sein am Rechner, oder sind das alles nur Falschalarme?

Des weiteren sehe ich gerade in diesem Log "Windows 6.0.6001 Service Pack 1" Ich dachte ich hätte SP2 drauf, da mein Windows ja so eingestellt ist dass alles aktualisiert wird automatisch.


So ich habe dann alles gepostet und gemacht was Du gesagt hast, ich bin wirklich sehr dankbar für Deine Hilfe, und werde nun für 2,5h schlafen bevor ich dann auf Arbeit muss Wenn ich morgen nachmittag von Arbeit komme, würde ich mich sehr freuen wenn Du Dein Resumee und Deine Empfehlungen bzgl. der Behandlung der Viren/Trojaner posten würdest.

LG Thea

Alt 12.06.2009, 07:00   #9
Kaos
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Avira hat wohl alles löschen können, was nicht heißt, das jetzt wirklich alles weg ist, auch wenn -Malwarebytes- nichts gefunden hat, also lieber noch etwas weiter suchen.

1. Lade dir SUPERAntiSpyware runter und führe es nach Anleitung aus (Nur Punkt 1-3)

2. Rootkitsuche mit Gmer:
  • Lade dir Gmer von Gmer.net und entpacke es auf dem Desktop.
  • Beende alle Programme (Auch Antrivirenprogramme, Firewalls etc. Und trenne dich von Internet).
  • Starte jetzt Gmer (Dein System wird nun kurz gescannt, falls GMER etwas findet klicke auf Ja, um einen vollständigen Scan zu machen).
  • Drücke auf "Scan" (Falls dies nicht bereits gemacht wurde, weil etwas bei dem kurzen Scan gefunden wurde).
  • Wenn der Scan fertig ist, drücke auf "Copy"
  • Füge den Text hier im Board mit "STRG + V" ein
mfg, Kaos

Alt 12.06.2009, 15:12   #10
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Mit SUPERAntiSpyware alles durchsucht: Folgende Ergebnisse: Meinen Namen habe ich durch XXXXX ersetzt


Code:
ATTFilter
SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 06/12/2009 at 04:02 PM

Application Version : 4.26.1004

Core Rules Database Version : 3936
Trace Rules Database Version: 1879

Scan type       : Complete Scan
Total Scan Time : 01:04:02

Memory items scanned      : 632
Memory threats detected   : 0
Registry items scanned    : 6299
Registry threats detected : 0
File items scanned        : 146803
File threats detected     : 61

Adware.Tracking Cookie
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@members3.pornpros[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CAUON6R7.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@zanox-affiliate[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ads.pointroll[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@thebestporn[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.adition[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@mediaplex[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[10].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CA9MHAG7.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@at.atwola[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@tacoda[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[6].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@advertising[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[7].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.zanox[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@bs.serving-sys[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@adtech[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@atdmt[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@server.iad.liveperson[3].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[8].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@serving-sys[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@adfarm1.adition[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ads.planetactive[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@fastclick[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@www.etracker[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@doubleclick[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[3].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[5].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@tracking.quisma[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@de.at.atwola[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@msnportal.112.2o7[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@partygaming.122.2o7[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CAUONO9P.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@tto2.traffictrack[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[4].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@stats.adbrite[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@earlyexperience.partyaccount[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@zanox[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.ad-srv[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.yieldmanager[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CANPABB9.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@tradedoubler[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.auerbach-verlag[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CAYVYU2S.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@CA2PWF9P.txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@secure.partyaccount[11].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@eas.apm.emediate[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@server.iad.liveperson[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@ad.yn-ads[1].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@partypoker[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@traffictrack[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@www.bestporn[2].txt
	C:\Users\XXXXX\AppData\Roaming\Microsoft\Windows\Cookies\XXXXX@zedo[2].txt

Adware.Casino Games (Golden Palace Casino)
	C:\POKER\TITAN POKER\CASINO.EXE
	C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\TITAN POKER\TITAN POKER.LNK
	C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\TITAN POKER.LNK
	C:\USERS\PREMIUM\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\TITAN POKER.LNK
	C:\USERS\XXXXX\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\TITAN POKER.LNK
	C:\USERS\PUBLIC\DESKTOP\TITAN POKER.LNK
         

Leider habe ich die deutsche Version ausgewählt von Antispyware und die 4 Buttons die nach der Suche auftauchten waren zwar mti deutscher Schrift versehen aber unkomplett so dass man nicht lesen konnte was welche Button bedeutet, kann ich nun in die Pfade gehen und das alles manuell löschen?


Den 2. Schritt den Du empfohlen hast mache ich jetzt.



nachtrag


ich habe dann am ende nach der durchführung des 2. programms den weiterbutton entdeckt und alles bis auf die Einträge mit "Partypoker" gelöscht, weil ich dort hin und wieder spiele.

Geändert von Thea (12.06.2009 um 15:54 Uhr)

Alt 12.06.2009, 15:34   #11
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Nun den 2. Test gemacht, leider habe ich Antivir nicht beenden können (Über Strg Alt Ent -> Prozesse antivir.exe beenden ging nicht da Zugriff nciht möglich) Dazu habe ich noch Dein erstes programm offen weil ich noch nicht sicher bin wie ich welche Kreuze setze und welchen Button ich anklicke. Firewall habe ich ja keine, bis auf die Windowsfirewall die wahrscheilich auch noch an ist. Vom Internet habe ich mich getrennt und alle anderen Programme auch geschlossen.

Hier nun der Bericht.

Code:
ATTFilter
GMER 1.0.15.14972 - http://www.gmer.net
Rootkit scan 2009-06-12 16:31:01
Windows 6.0.6001 Service Pack 1


---- System - GMER 1.0.15 ----

SSDT   9C2689C4                                            ZwCreateThread
SSDT   9C2689B0                                            ZwOpenProcess
SSDT   9C2689B5                                            ZwOpenThread
SSDT   \??\C:\Program Files\SUPERAntiSpyware\SASKUTIL.sys  ZwTerminateProcess [0x9EA38DF0]
SSDT   9C2689BA                                            ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.15 ----

.text  ntkrnlpa.exe!KeSetTimerEx + 454                     820F6A18 4 Bytes  [C4, 89, 26, 9C]
.text  ntkrnlpa.exe!KeSetTimerEx + 624                     820F6BE8 4 Bytes  [B0, 89, 26, 9C]
.text  ntkrnlpa.exe!KeSetTimerEx + 640                     820F6C04 4 Bytes  [B5, 89, 26, 9C]
.text  ntkrnlpa.exe!KeSetTimerEx + 854                     820F6E18 4 Bytes  [F0, 8D, A3, 9E]
.text  ntkrnlpa.exe!KeSetTimerEx + 8B4                     820F6E78 4 Bytes  [BA, 89, 26, 9C]

---- EOF - GMER 1.0.15 ----
         

Alt 12.06.2009, 15:44   #12
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Bzgl. des SUPERAntiSpyware habe ich jetzt den "WeiterButton" Entdeckt und habe nur die 13 Elemente die "Partypoker/partyaccount etc" enthalten ohne Häkchen gelassen (weil ich dort oft spiele) und alles andere mit Häkchen versehen und lt. Beschreibung in Quarantäne verschieben lassen. Die Software bittet mich nun den Rechner neuzustarten was ich hiermit auch tue und dann auch fertig bin mit den Suchläufen die Du vorgeschlagen hast.

Nochmals vielen Dank für Deine Hilfe, kann ich gar nicht oft genug wiederholen. Bei den 2 Programmen wurde nun ja eine Menge gefunden, im ersten habe ich wie oben beschrieben ja alles in Quarantäne verschieben lassen außer den 13 Elementen die von Partypoker sind. Bei dem 2. Programm habe ich nur gescannt und das Ergebnis gepostet.

Starte jetzt neu.

Geändert von Thea (12.06.2009 um 15:58 Uhr)

Alt 13.06.2009, 11:54   #13
Kaos
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Das mit Antivir macht nichts, Gmer hat nichts finden können. Sieht so aus, als hätte Avira schon alles entfernt.

Dieser Casinodinger sind, auch wenn du sie benutzt, Adware und ich würde sienicht auf meinem System lassen. Aber das ist deine Entscheidung, wirklich schädlich sind sie nicht.

Zitat:
In der Datei 'C:\Windows\System32\drivers\ntnus.sys'
wurde ein Virus oder unerwünschtes Programm 'TR/Rootkit.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben
Diesen Fund fand ich allerdings etwas besorgniserregend. Deshalb noch ein paar weitere Scans.

1. Führe den CCleaner nach Anleitung aus

2. Lade dir Dr. Web CureIt und führe es nach der Anleitung im Link aus.

3. Scanne dein System mit Avira Antivir und den aggressiven Einstellungen

4. RSIT

  • Lade Random's System Information Tool (RSIT) von random/random herunter,
  • speichere es auf Deinem Desktop.
  • Starte mit Doppelklick die RSIT.exe.
  • Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
  • Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
  • Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
  • Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.
mfg, Kaos

Alt 13.06.2009, 14:07   #14
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



CCLeaner habe ich ausgeführt und in beiden Punkten alle Fehler behoben.

Führe nun Schritt 2 durch.

Alt 13.06.2009, 14:57   #15
Thea
 
TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware  gefunden - Standard

TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden



Habe wie in der Anleitung beschrieben Dr. Web runtergeladen und im abgesicherten Modus ausgeführt. Allerdings nach ein paar laufenden Balken unten tat sich nichts mehr. Es stand unten etwas von Scannen von Boot HDD o.ä. und dann wars das auch, alle Optionen blieben Grau und es passierte einfach nichts mehr (also immer noch ohne das ich auf scan gedrückt habe, sondern direkt nach dem start wenn er kurz alles selber analysiert). Habe das dann im normalen Windowsmodus laufen lassen und hier genau das selbe. Passiert einfach nichts und ich kann auch nichts anklicken. Musste beide Male den Computer per Hand ausschalten, weil der Computer entweder gar nicht oder sehr zeitverzögert (20secs) reagierte.

Evtl. hängt das damit zusammen, dass wenn mein Rechenr hochfährt immer die Fehlermeldung "No Harddisc detected" kommt und das Programm bei der anfänglichen Abfrageroutine den Bootsector einer Harddisc durchsuchen will, ihn aber nicht findet?

Mein Computer ist so aufgebaut, dass ich 2 Festplatten habe und auf einer Windows Vista und auf der anderen Windows XP und ich am Anfang entsprechend auswählen kann von welcher Festplatte ich boote. Keine Ahnung ob das wichtig ist, aber es erklärt evtl. warum sich Dr. Web bei der anfänglichen Routineüberprüfung meines Rechners immer aufhängt wenn unten steht Scan Boot Hdd (o.ä. halt irgendwas mit festplatte und Boot)



Ich lasse nun als letzten Schritt Antivir mit aggressiven Einstellungen drüber laufen und RSIT.exe. Ich habe ab morgen 09:00 Uhr leider für eine Woche keine Möglichkeit ins Internet zu kommen, werde aber 1. den Bericht von Antivir mit den neuen Einstellungen , die Dateien von RSIT.exe hier noch posten und bis morgen 8:50 Uhr immer mal ins Forum schauen.

Ich danke Dir nochmal Kaos für Deine Zeit.

Geändert von Thea (13.06.2009 um 15:22 Uhr)

Antwort

Themen zu TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden
adobe, antivir, antivirus, avg, avira, bho, defender, explorer, firefox, free download, hijackthis, internet, internet explorer, invite, local\temp, mozilla, nvidia, object, plug-in, programm, rundll, seiten, system, temp, trojan, virus, vista, windows, windows sidebar



Ähnliche Themen: TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden


  1. HTML/Infected.WebPage.Gen gefunden...was tun?
    Plagegeister aller Art und deren Bekämpfung - 15.07.2013 (37)
  2. Avira hat "HTML/Infected.WebPage.Gen3" auf meiner Homepage gefunden
    Log-Analyse und Auswertung - 27.05.2013 (19)
  3. Avira erst Warnung HTML/Infected.WebPage.Gen2 beim Scan dann mehrere versteckte Objekte gefunden
    Log-Analyse und Auswertung - 23.01.2012 (21)
  4. 'HTML/Infected.WebPage.Gen' [virus] gefunden.
    Log-Analyse und Auswertung - 14.10.2011 (14)
  5. HEUR/HTML.Malware gefunden
    Plagegeister aller Art und deren Bekämpfung - 06.06.2011 (28)
  6. TR/Kazy.12044.psa und HTML Scriptvirus HTML/Infected.WebPage.Gen
    Plagegeister aller Art und deren Bekämpfung - 14.02.2011 (1)
  7. HTML/Infected.WebPage.Gen2 gefunden - PC startet bei suchlauf mit antivir neu
    Plagegeister aller Art und deren Bekämpfung - 05.01.2011 (9)
  8. HTML/Webpage.Infected.Gen gefunden im Admin und im eingeschränkten Modus, wie komplett entfernen?
    Plagegeister aller Art und deren Bekämpfung - 31.12.2010 (33)
  9. Virenusbefall ? HTML/Rce.Gen und HTML/Infected.WebPage.Gen2
    Plagegeister aller Art und deren Bekämpfung - 22.09.2010 (4)
  10. TR/Agent.AR,TR/Click.Klik,HEUR/HTML.Malware,HTML/Crypted.Gen, dwwin.exe, drwtsu32.exe
    Plagegeister aller Art und deren Bekämpfung - 25.05.2010 (1)
  11. AntiVir hat einen Trojaner (HTML/Infected.WebPage.Gen) gefunden
    Plagegeister aller Art und deren Bekämpfung - 03.05.2010 (2)
  12. HTML/Infected.WebPage.Gen gefunden
    Plagegeister aller Art und deren Bekämpfung - 03.04.2010 (2)
  13. Hilfe! 'HEUR/HTML.Malware' gefunden, was nun?
    Plagegeister aller Art und deren Bekämpfung - 08.08.2009 (3)
  14. EXP/ASF.GetCodec.Gen,HEUR/HTML.Malware,TR/Dropper.Gen,HEUR/HTML.Malware
    Plagegeister aller Art und deren Bekämpfung - 10.04.2009 (17)
  15. HTML/Infected.WebPage.Gen - Malware
    Plagegeister aller Art und deren Bekämpfung - 05.04.2009 (1)
  16. Heur/Malware.html Gefunden?!
    Plagegeister aller Art und deren Bekämpfung - 27.04.2008 (7)
  17. Antivir Update funktioniert nicht (HTML/IFrame.Age.tih & HEUR/Exploit.HTML gefunden)
    Plagegeister aller Art und deren Bekämpfung - 05.12.2007 (1)

Zum Thema TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden - Also diese 3 Funde waren im letzten Monat bei mir auf dem Rechner aufgetreten. Als erstes habe ich laut den Forenregeln ersteinmal vergleichbare Fälle gesucht, die gab es auch aber - TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden...
Archiv
Du betrachtest: TR/Rootkit.Gen & HTML/Infected.WebPage.Gen' & HEUR/HTML.Malware gefunden auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.