schönen guten tag.


der laptop meiner freundin hat sich vor kurzem das rootkit Rootkit.Win32.TDSS.d eingefangen.

diverse bereinigungsmechanismen sind bisher fehlgeschlagen.

TDSSKILL meldet eine infizierte atapi.sys.
Auch meldete Kaspersky eine infizierte kernel32.dll.

beide datein habe ich, unter nutzung der recoverykonsole, vom system enfernt und sauber von der installations-cd wieder eingespielt, leider ohne erfolg.
einzig und allein die kernel32.dll wird nicht mehr als infiziert erkannt.
auch schlug die bereinigung, durch TDSSKILL selbst, fehl.

kaspersky meldet zwar das rootkit, jedoch keinen standort.
habe diverse andere malware (fraudpack) zwar erfolgreich entfernt, jedoch nicht diesen lästigen käfer.

bin mit meinem latein so langsam am ende.
ich hätte mich für eine Neuinstallation und REINIGEN der platte (durch mehrmaliges formatieren und beschreiben von 0en) entschieden, wenn meine freundin nicht unmengen von daten zu sichern hätte, jedoch keinen speicher zum ausweichen hat.

aus diesem grund brauche ich fachmännische hilfe.

anzumerken ist auch noch: ein windowsupdate ist nicht mehr möglich, die verbindung wird einfach nicht hergestellt.
auch stürzte des öfteren jeder browser ab, nachdem ein phishing-link geöffnet wurde.
ich musste somit auf einen alternativbrowser (browzar) ausweichen, um hier meinen post verfassen zu können, da es weder über firefox, noch ie möglich war.


habe aufgrund dieser tatsache auch einen eintrag in meiner hosts datei vorgenommen und durch diesen erweitert: 127.0.0.1 zxclk9abnz72.com

seit dieser änderung stürzt der browser nicht mehr ab, da die seite, nicht mehr wie gewohnt, ausgeführt wird.

das system sieht folgendermaßen aus:

Windows XP Professional SP3
Kaspersky Internet Security 10
Spyware CeaSE (erst durch das Rootkit installiert) (sowie diverse andere reste von Anti-Malware tools)


AVZ-Logs sind an diesem post angehangen.


ich danke schonmal für jede anteilnahme und hilfe.

liebe grüße aus sachsen

Hallo und

Poste bitte mal ein GMER Log. Eigentlich Reicht es, bei der infizierten atapi.sys die aus der RC wiederherzustellen, aber wenns der neue TDSS ist, wird noch ein anderer Treiber infiziert. Werden wir erstmal im GMER Log sehen.

das programm stürzt leider immer und immer wieder ab

Das ist doof
Dann probier sonst mal OSAM und RootRepeal

Anleitung Rootrepeal:

• Download auf Desktop, Tool starten
• Klicke auf den Reiter Report und dann auf den Button Scan.
• Mache einen Haken bei den folgenden Elementen und klicke Ok.

Drivers
Files
Processes
SSDT
Stealth Objects
Hidden Services
Shadow SSDT
         

• Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen.
• Wähle C:\ und klicke wieder Ok.
• Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld.
• Wenn der Suchlauf beendet ist, klicke auf Save Report.
• Speichere das Logfile als RootRepeal.txt auf dem Desktop.
• Kopiere den Inhalt hier in den Thread.

ich habe schonmal den osam-log angehangen. rootrepeal folgt, sobald dieser fertig ist


[EDIT] beide logs angehangen

[EDIT2] mir ist ein eintrag über die datei a67wr6eo.sys aufgefallen.

wird diese datei bei jedem systemstart mitgeladen?
abgesehn davon existiert diese datei nicht in diesem ordner

Hallo und

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"fgtdqpod" (fgtdqpod) - ? - C:\DOKUME~1\Stefanie\LOKALE~1\Temp\fgtdqpod.sys  (Hidden registry entry, rootkit activity | File not found)
"NDISKIO" (NDISKIO) - ? - C:\DOKUME~1\Stefanie\LOKALE~1\Temp\00000559.nmc\nse\bin\ndiskio.sys  (File not found)
"RkHit" (RkHit) - ? - C:\WINDOWS\system32\drivers\RKHit.sys  (File found, but it contains no detailed information)
         

Bitte mit OSAM deaktivieren (siehe Anleitung zu OSAM). Poste danach ein neues Log von OSAM, lass die Dateien (falls noch vorhanden)


C:\WINDOWS\system32\drivers\RKHit.sys
C:\DOKUME~1\Stefanie\LOKALE~1\Temp\fgtdqpod.sys


bei https://www.virustotal.com auswerten - poste die Ergebnislinks.

hier die ergebnisse:

RKHit.sys
h**ps://www.virustotal.com/de/reanalisis.html?61e5bbe04457d4d15926b8e2a48d38f4015651f2a162959ee08bf1ee6f714df5-1271254559

die andere war nicht mehr vorhanden.

anbei noch der neue osam-log

Dann probier jetzt bitte nochmal GMER aus

stürzt leider noch immer ab

*hmpf* Dann probier das:

Lad Dir bitte von hier eine saubere kernel32.dll am besten direkt auf c: herunter, danach:

PartedMagic

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 90 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn oder Nero per Imagebrennfunktion unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist



4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partition wo Windows installiert ist, meistens isses /dev/sda1
6. Benenne auf sda1 die Datei /windows/system32/kernel32.dll um in kernel32.bad
7. Kopiere die saubere kernel32.dll in den Pfad hinein (/windows/system32/) (müsste eigentlich alles ganz easy über den graphischen Dateibowser in Linux gehen)
8. Starte den Rechner neu und boote Windows
9. Die in Linux umbenannte Datei (kernel32.bad in system32) bei Virustotal.com auswerten lassen und Ergebnislink posten
10. Einen neuen Durchlauf mit GMER probieren und Log posten

h**p://www.virustotal.com/de/analisis/f1940efff2511b9897a6b001e1f5ae3a5d016af98b4c8abec2999eb83f2adee3-1271255738


kernel32.dll is neu eingespielt (usb-linux), jedoch keine änderung. selbst die checksummen sind gleich


gmer lässt sich weiterhin nicht starten :P


[EDIT]hab GMER jetzt mal mit einem anderen konto gestartet, läuft erstmal. ich lass den erstmal scannen

Ok. Dann mach das gleiche nochma, aber diesmal mit der atapi.sys. Eine saubere atapi.sys findest Du hier > File-Upload.net - atapi.sys

Beachte: die atapi.sys ist in system32\drivers!

atapi.sys
https://www.virustotal.com/de/analisis/0e6b23a80f171550575bebc56f7500cd87a5cf03b2b9fdc49bc3de96282cd69d-1271256272

und gmerlog is angehangen

es fällt natürlich sofort dieser eintrag ins auge:

Service C:\WINDOWS\system32\tlntsvr.exe (*** hidden *** )

Hast Du davor die "alte" atapi.sys in atapi.bad umbenannt? Sieht aus, als hättest Du die saubere Atapi.sys scannen lassen...

nein, habe die alte einfach nur in einen anderen ordner kopiert und von dort aus scannen lassen