TR/Rootkit.Gen

ulli23 · 03.04.2010, 17:13

Hallo Leute,

kurz nach dem Systemstart hat mir mein Antivirenprogramm (Avira Antivir, die kostenlose Version) heute gemeldet, dass ich mir den Trojaner TR/Rootkit.Gen eingefangen habe. Ich habe die betroffenen Dateien gelöscht und wie hier im Forum empfohlen CCleaner und Malwarebytes laufen lassen. Beim erneuten Check haben sowohl Antivir als auch Malwarebytes keine infizierten Dateien mehr gefunden.

Ich wäre euch sehr dankbar, wenn ihr trotzdem einen kritischen Blick auf mein HiJackThis-Log werfen könntet.

Viele Grüße
Ulli

Headshot · 03.04.2010, 17:30

ich habe nichts verdächtiges gefunden, aber ich bin auch nicht lange dabei frag lieber nochmal die richtigen profis

ulli23 · 03.04.2010, 19:26

Ich danke dir und hoffe, die anderen sehen das genau so. Möchte nur ungern meinen Rechner ganz neu aufsetzen.

Larusso · 03.04.2010, 19:34

Kannst Du mir bitte die Berichte von Avira und Malwarebytes posten, wo die Funde zu sehen sind.

ulli23 · 03.04.2010, 19:50

Hallo Daniel,

Malwarebytes hat in einem ersten Scan das gefunden

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.45
w*w.malwarebytes.org

Datenbank Version: 3948

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

03.04.2010 13:08:32
mbam-log-2010-04-03 (13-08-32).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 82958
Laufzeit: 1 Stunde(n), 30 Minute(n), 13 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064124.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064131.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064181.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064200.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0065119.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

und später das:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.45
w*w.malwarebytes.org

Datenbank Version: 3948

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

03.04.2010 11:26:26
mbam-log-2010-04-03 (11-26-26).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 116631
Laufzeit: 16 Minute(n), 56 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\Drivers\wstcodec.sys.tmp (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Anwendungsdaten\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\***\Startmenü\Programme\Autostart\syspck32.exe (Trojan.Downloader) -> Delete on reboot.

und hier das Avira-Logfile:

Code:

ATTFilter


Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 3. April 2010  11:38

Es wird nach 1953516 Virenstämmen gesucht.

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : 

Versionsinformationen:
BUILD.DAT      : 9.0.0.422     21701 Bytes  09.03.2010 10:23:00
AVSCAN.EXE     : 9.0.3.10     466689 Bytes  19.11.2009 15:14:31
AVSCAN.DLL     : 9.0.3.0       49409 Bytes  13.02.2009 11:04:10
LUKE.DLL       : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0       13569 Bytes  26.01.2009 09:41:59
VBASE000.VDF   : 7.10.0.0   19875328 Bytes  06.11.2009 15:14:31
VBASE001.VDF   : 7.10.1.0    1372672 Bytes  19.11.2009 15:13:52
VBASE002.VDF   : 7.10.3.1    3143680 Bytes  20.01.2010 13:42:09
VBASE003.VDF   : 7.10.3.75    996864 Bytes  26.01.2010 05:09:01
VBASE004.VDF   : 7.10.4.203   1579008 Bytes  05.03.2010 07:04:08
VBASE005.VDF   : 7.10.4.204      2048 Bytes  05.03.2010 07:04:08
VBASE006.VDF   : 7.10.4.205      2048 Bytes  05.03.2010 07:04:08
VBASE007.VDF   : 7.10.4.206      2048 Bytes  05.03.2010 07:04:08
VBASE008.VDF   : 7.10.4.207      2048 Bytes  05.03.2010 07:04:08
VBASE009.VDF   : 7.10.4.208      2048 Bytes  05.03.2010 07:04:08
VBASE010.VDF   : 7.10.4.209      2048 Bytes  05.03.2010 07:04:08
VBASE011.VDF   : 7.10.4.210      2048 Bytes  05.03.2010 07:04:08
VBASE012.VDF   : 7.10.4.211      2048 Bytes  05.03.2010 07:04:08
VBASE013.VDF   : 7.10.4.242    153088 Bytes  08.03.2010 16:15:13
VBASE014.VDF   : 7.10.5.17     99328 Bytes  10.03.2010 05:06:46
VBASE015.VDF   : 7.10.5.44    107008 Bytes  11.03.2010 08:31:20
VBASE016.VDF   : 7.10.5.69     92672 Bytes  12.03.2010 05:05:35
VBASE017.VDF   : 7.10.5.91    119808 Bytes  15.03.2010 05:05:34
VBASE018.VDF   : 7.10.5.121    112640 Bytes  18.03.2010 06:31:42
VBASE019.VDF   : 7.10.5.138    139776 Bytes  18.03.2010 06:49:27
VBASE020.VDF   : 7.10.5.164    113152 Bytes  22.03.2010 07:30:40
VBASE021.VDF   : 7.10.5.182    108032 Bytes  23.03.2010 15:19:44
VBASE022.VDF   : 7.10.5.199    123904 Bytes  24.03.2010 10:46:34
VBASE023.VDF   : 7.10.5.217    279552 Bytes  25.03.2010 10:46:35
VBASE024.VDF   : 7.10.5.234    202240 Bytes  26.03.2010 15:12:20
VBASE025.VDF   : 7.10.5.254    187904 Bytes  30.03.2010 04:07:32
VBASE026.VDF   : 7.10.6.18    130560 Bytes  01.04.2010 05:46:59
VBASE027.VDF   : 7.10.6.19      2048 Bytes  01.04.2010 05:46:59
VBASE028.VDF   : 7.10.6.20      2048 Bytes  01.04.2010 05:46:59
VBASE029.VDF   : 7.10.6.21      2048 Bytes  01.04.2010 05:46:59
VBASE030.VDF   : 7.10.6.22      2048 Bytes  01.04.2010 05:47:00
VBASE031.VDF   : 7.10.6.23      7680 Bytes  02.04.2010 05:47:00
Engineversion  : 8.2.1.210
AEVDF.DLL      : 8.1.1.3      106868 Bytes  24.01.2010 15:28:33
AESCRIPT.DLL   : 8.1.3.24    1282425 Bytes  02.04.2010 05:47:01
AESCN.DLL      : 8.1.5.0      127347 Bytes  26.02.2010 14:45:12
AESBX.DLL      : 8.1.2.1      254323 Bytes  18.03.2010 06:17:31
AERDL.DLL      : 8.1.4.3      541043 Bytes  18.03.2010 06:17:31
AEPACK.DLL     : 8.2.1.1      426358 Bytes  20.03.2010 06:49:29
AEOFFICE.DLL   : 8.1.0.41     201083 Bytes  18.03.2010 06:17:30
AEHEUR.DLL     : 8.1.1.16    2503031 Bytes  27.03.2010 15:12:22
AEHELP.DLL     : 8.1.11.3     242039 Bytes  02.04.2010 05:47:00
AEGEN.DLL      : 8.1.3.6      373108 Bytes  02.04.2010 05:47:00
AEEMU.DLL      : 8.1.1.0      393587 Bytes  03.10.2009 06:58:12
AECORE.DLL     : 8.1.13.1     188790 Bytes  02.04.2010 05:47:00
AEBB.DLL       : 8.1.0.3       53618 Bytes  09.10.2008 13:32:40
AVWINLL.DLL    : 9.0.0.3       18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL     : 9.0.3.0       44289 Bytes  09.09.2009 06:56:44
AVREP.DLL      : 8.0.0.7      159784 Bytes  18.02.2010 15:16:48
AVREG.DLL      : 9.0.0.0       36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL     : 9.0.0.3      292609 Bytes  24.03.2009 14:05:37
AVEVTLOG.DLL   : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0       11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.25    2438913 Bytes  15.05.2009 14:35:17
RCTEXT.DLL     : 9.0.73.0      87297 Bytes  19.11.2009 15:14:31

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, 
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Samstag, 3. April 2010  11:38

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '62211' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'issch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpsysdrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbam.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'kbd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqste08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpwuSchd2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCMService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLSched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLMLServer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLCapSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'aavus.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '44' Prozesse mit '44' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD3
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD4
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '60' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <HP_PAVILION>
C:\hiberfil.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
    [HINWEIS]   Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]   Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
    [HINWEIS]   Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]   Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064124.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064131.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064181.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064200.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064211.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0065119.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
Beginne mit der Suche in 'D:\' <HP_RECOVERY>

Beginne mit der Desinfektion:
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064124.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064131.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064181.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064200.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0064211.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
C:\System Volume Information\_restore{2005CC72-E1D4-412C-8599-FDC32E05059E}\RP501\A0065119.sys
    [FUND]      Ist das Trojanische Pferd TR/Rootkit.Gen
    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004
    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.
    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
    [WARNUNG]   Fehler in der ARK Library
    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.


Ende des Suchlaufs: Samstag, 3. April 2010  13:13
Benötigte Zeit:  1:34:17 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  10635 Verzeichnisse wurden überprüft
 391514 Dateien wurden geprüft
      6 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      2 Dateien konnten nicht durchsucht werden
 391506 Dateien ohne Befall
  14671 Archive wurden durchsucht
      8 Warnungen
      8 Hinweise
  62211 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

Danke schon mal im Voraus!

Larusso · 03.04.2010, 20:39

Bitte alles der Reihe nach abarbeiten. Solltest Du bei einem Schritt Probleme haben, stoppen und mir berichten.

schritt 1

Temp File Cleaner

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.

schritt 2

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code:

ATTFilter

netsvcs
%SYSTEMDRIVE%\*.exe
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
symmpi.sys
adp3132.sys
mv61xx.sys
/md5stop
%systemroot%\*. /mp /s
CREATERESTOREPOINT
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

schritt 3

Rootkit-Suche

Was sind Rootkits?

Einige Scans auf Dateien, Prozesse u2nd Registryeinträge, die vor den meisten anderen Scannern versteckt werden (durch ein sogenanntes Rootkit). Während dieser Scans soll(en):

alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
nichts am Rechner getan werden,
nach jedem Scan der Rechner neu gestartet werden.

Gmer scannen lassen

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
Alle anderen Programme sollen geschlossen sein.
Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
Vista-User mit Rechtsklick und als Administrator starten.
Sollte sich ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?
Unbedingt auf "No" klicken.
Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.
Füge das Log aus der Zwischenablage in Deine Antwort hier ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Bitte poste in Deiner nächsten Antwort
OTL.txt
Extra.txt
Gmer.txt

03.04.2010, 17:30	#2
Headshot Gesperrt	TR/Rootkit.Gen ich habe nichts verdächtiges gefunden, aber ich bin auch nicht lange dabei frag lieber nochmal die richtigen profis __________________

03.04.2010, 19:34	#4
Larusso /// Selecta Jahrusso	TR/Rootkit.Gen Kannst Du mir bitte die Berichte von Avira und Malwarebytes posten, wo die Funde zu sehen sind. __________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie

TR/Rootkit.Gen

Plagegeister aller Art und deren Bekämpfung: TR/Rootkit.Gen

TR/Rootkit.Gen

TR/Rootkit.Gen

TR/Rootkit.Gen

TR/Rootkit.Gen

TR/Rootkit.Gen

TR/Rootkit.Gen

Ähnliche Themen: TR/Rootkit.Gen

03.04.2010, 19:26	#3
ulli23	TR/Rootkit.Gen Ich danke dir und hoffe, die anderen sehen das genau so. Möchte nur ungern meinen Rechner ganz neu aufsetzen. __________________