Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: RKIT/Agent.biiu befall

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 19.09.2010, 14:34   #1
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Hallo,
Mein Antivir meldet den befall von einem Virus (Rootkit) namens RKIT/Agent.biiu. Der Virus ist im Ordner System32 und in einer Datei namens "urcgnee.sys" welche sich nicht löschen lässt.

Ich habe hier im forum bereist andere Beiträge zu dem Thema gelesen , konnte aber nicht genau nachvollziehen wie ich den virus bekämpfen kann , da ich technisch auch wenig beschlagen bin. Daher hab ich ein neues thema eröffnet und hoffe auf hilfe..

Hier der Scan von Antivir (nur den Ordner System 32 gescannt , hoffe das ist ok?):

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 19. September 2010 15:20

Es wird nach 2836675 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows Vista
Windowsversion : (Service Pack 1) [6.0.6001]
Boot Modus : Normal gebootet
Benutzername : Sworf
Computername : PC1

Versionsinformationen:
BUILD.DAT : 9.0.0.422 21701 Bytes 09.03.2010 10:23:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 19.11.2009 16:32:29
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 10:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 09:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 08:41:59
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 16:32:28
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 16:25:17
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:56:39
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 12:19:10
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 12:37:57
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 14:43:03
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 11:20:35
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 20:38:27
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 20:26:11
VBASE009.VDF : 7.10.11.134 2048 Bytes 13.09.2010 20:26:11
VBASE010.VDF : 7.10.11.135 2048 Bytes 13.09.2010 20:26:11
VBASE011.VDF : 7.10.11.136 2048 Bytes 13.09.2010 20:26:12
VBASE012.VDF : 7.10.11.137 2048 Bytes 13.09.2010 20:26:12
VBASE013.VDF : 7.10.11.138 2048 Bytes 13.09.2010 20:26:12
VBASE014.VDF : 7.10.11.139 2048 Bytes 13.09.2010 20:26:12
VBASE015.VDF : 7.10.11.140 2048 Bytes 13.09.2010 20:26:13
VBASE016.VDF : 7.10.11.141 2048 Bytes 13.09.2010 20:26:13
VBASE017.VDF : 7.10.11.142 2048 Bytes 13.09.2010 20:26:13
VBASE018.VDF : 7.10.11.143 2048 Bytes 13.09.2010 20:26:14
VBASE019.VDF : 7.10.11.144 2048 Bytes 13.09.2010 20:26:14
VBASE020.VDF : 7.10.11.145 2048 Bytes 13.09.2010 20:26:14
VBASE021.VDF : 7.10.11.146 2048 Bytes 13.09.2010 20:26:15
VBASE022.VDF : 7.10.11.147 2048 Bytes 13.09.2010 20:26:15
VBASE023.VDF : 7.10.11.148 2048 Bytes 13.09.2010 20:26:15
VBASE024.VDF : 7.10.11.149 2048 Bytes 13.09.2010 20:26:15
VBASE025.VDF : 7.10.11.150 2048 Bytes 13.09.2010 20:26:15
VBASE026.VDF : 7.10.11.151 2048 Bytes 13.09.2010 20:26:15
VBASE027.VDF : 7.10.11.152 2048 Bytes 13.09.2010 20:26:16
VBASE028.VDF : 7.10.11.153 2048 Bytes 13.09.2010 20:26:16
VBASE029.VDF : 7.10.11.154 2048 Bytes 13.09.2010 20:26:17
VBASE030.VDF : 7.10.11.155 2048 Bytes 13.09.2010 20:26:17
VBASE031.VDF : 7.10.11.157 50176 Bytes 13.09.2010 20:26:18
Engineversion : 8.2.4.50
AEVDF.DLL : 8.1.2.1 106868 Bytes 30.07.2010 10:34:23
AESCRIPT.DLL : 8.1.3.44 1364346 Bytes 26.08.2010 18:08:07
AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 10:59:11
AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 12:56:20
AERDL.DLL : 8.1.8.2 614772 Bytes 20.07.2010 17:10:16
AEPACK.DLL : 8.2.3.5 471412 Bytes 07.08.2010 17:00:05
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 21.07.2010 19:04:31
AEHEUR.DLL : 8.1.2.21 2883958 Bytes 03.09.2010 15:37:31
AEHELP.DLL : 8.1.13.3 242038 Bytes 26.08.2010 18:07:42
AEGEN.DLL : 8.1.3.20 397684 Bytes 26.08.2010 18:07:40
AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 12:56:15
AECORE.DLL : 8.1.16.2 192887 Bytes 20.07.2010 17:09:24
AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 12:56:13
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 06:47:56
AVPREF.DLL : 9.0.3.0 44289 Bytes 09.09.2009 11:36:08
AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 12:05:48
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 13:25:04
AVARKT.DLL : 9.0.0.3 292609 Bytes 27.04.2009 18:21:11
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 08:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 13:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 06:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 13:41:21
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09.06.2009 19:04:04
RCTEXT.DLL : 9.0.73.0 87297 Bytes 19.11.2009 16:32:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\Users\Sworf\AppData\Local\Temp\3638d0e5.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Sonntag, 19. September 2010 15:20

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\Windows\System32'
C:\Windows\System32\drivers\urcgnee.sys
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
[WARNUNG] Die Datei konnte nicht geöffnet werden!

Beginne mit der Desinfektion:
C:\Windows\System32\drivers\urcgnee.sys
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
[WARNUNG] Die Datei wurde ignoriert.


Ende des Suchlaufs: Sonntag, 19. September 2010 15:31
Benötigte Zeit: 10:36 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

1466 Verzeichnisse wurden überprüft
45840 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
45838 Dateien ohne Befall
214 Archive wurden durchsucht
1 Warnungen
0 Hinweise

Alt 19.09.2010, 16:30   #2
markusg
/// Malware-holic
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



hmm wer keine windows updates mach oder nur unzureichend muss sich nicht wundern...
bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix
__________________


Alt 20.09.2010, 20:13   #3
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Hier der Inhalt von Combi-Fix:


Combofix Logfile:
Code:
ATTFilter
ComboFix 10-09-20.01 - Sworf 20.09.2010  20:11:38.1.2 - x86
Microsoft® Windows Vista™ Home Premium   6.0.6001.1.1252.49.1031.18.3325.2477 [GMT 2:00]
ausgeführt von:: c:\users\****\Desktop\ComboFix.exe
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Smart-Ads-Solutions
c:\users\Sworf\AppData\Roaming\avdrn.dat
c:\users\Sworf\AppData\Roaming\Smart-Ads-Solutions
c:\users\Sworf\DungeonSiege.exe
c:\windows\system32\muzapp.exe
c:\windows\system32\system32
c:\windows\system32\system32\cis-2.4.dll
c:\windows\system32\system32\issacapi_bs-2.3.dll
c:\windows\system32\system32\issacapi_pe-2.3.dll
c:\windows\system32\system32\issacapi_se-2.3.dll
c:\windows\system32\system32\MACXMLProto.dll
c:\windows\system32\system32\MaDRM.dll
c:\windows\system32\system32\MaJGUILib.dll
c:\windows\system32\system32\MaJUtilLib.dll
c:\windows\system32\system32\MAMACExtract.dll
c:\windows\system32\system32\MASetupCaller.dll
c:\windows\system32\system32\MASetupCleaner.exe
c:\windows\system32\system32\MaXMLProto.dll
c:\windows\system32\system32\MK_Lyric.dll
c:\windows\system32\system32\MSCLib.dll
c:\windows\system32\system32\MSFLib.dll
c:\windows\system32\system32\MSLUR71.dll
c:\windows\system32\system32\msvcp60.dll
c:\windows\system32\system32\MTTELECHIP.dll
c:\windows\system32\system32\MTXSYNCICON.dll
c:\windows\system32\system32\muzaf1.dll
c:\windows\system32\system32\muzapp.dll
c:\windows\system32\system32\muzapp.exe
c:\windows\system32\system32\muzdecode.ax
c:\windows\system32\system32\muzeffect.ax
c:\windows\system32\system32\muzmp4sp.ax
c:\windows\system32\system32\muzmpgsp.ax
c:\windows\system32\system32\muzoggsp.ax
c:\windows\system32\system32\muzwmts.dll
c:\windows\system32\system32\psapi.dll

c:\windows\system32\userinit.exe . . . ist infiziert!!

.
(((((((((((((((((((((((   Dateien erstellt von 2010-08-20 bis 2010-09-20  ))))))))))))))))))))))))))))))
.

2010-09-20 18:42 . 2010-09-20 18:55	--------	d-----w-	c:\users\Sworf\AppData\Local\temp
2010-09-20 18:42 . 2010-09-20 18:42	--------	d-----w-	c:\users\Default\AppData\Local\temp
2010-09-20 18:06 . 2010-09-20 18:06	--------	d-----w-	C:\32788R22FWJFW
2010-09-20 01:05 . 2010-09-20 17:42	--------	d-----w-	c:\windows\system32\MpEngineStore
2010-09-19 13:19 . 2010-04-16 16:10	501760	----a-w-	c:\windows\system32\usp10.dll
2010-09-19 13:19 . 2010-08-17 13:32	126464	----a-w-	c:\windows\system32\spoolsv.exe
2010-09-19 13:19 . 2010-04-05 16:08	317952	----a-w-	c:\windows\system32\MP4SDECD.DLL
2010-09-19 13:19 . 2010-05-27 19:16	738816	----a-w-	c:\windows\system32\inetcomm.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-20 18:51 . 2009-01-20 22:18	633342	----a-w-	c:\windows\system32\perfh007.dat
2010-09-20 18:51 . 2009-01-20 22:18	128784	----a-w-	c:\windows\system32\perfc007.dat
2010-09-20 01:01 . 2006-11-02 11:18	--------	d-----w-	c:\program files\Windows Mail
2010-09-14 16:49 . 2009-04-14 14:25	--------	d-----w-	c:\program files\Steam
2010-09-14 01:08 . 2009-01-22 14:41	--------	d-----w-	c:\program files\Microsoft.NET
2010-09-11 15:12 . 2010-09-11 15:12	24	----a-w-	c:\users\Sworf\AppData\Roaming\apiqfw.dat
2010-07-31 16:03 . 2010-07-31 16:03	0	---ha-w-	c:\windows\system32\drivers\Msft_User_WpdMtpDr_01_00_00.Wdf
2010-07-29 11:25 . 2010-07-29 11:25	--------	d-----w-	c:\users\Sworf\AppData\Roaming\PC Suite
2010-07-29 11:24 . 2009-01-22 11:19	--------	d--h--w-	c:\program files\InstallShield Installation Information
2010-07-29 11:06 . 2010-07-29 10:57	--------	d-----w-	c:\program files\Samsung
2010-07-29 11:05 . 2010-07-29 11:04	--------	d-----w-	c:\program files\DIFX
2010-07-29 11:04 . 2010-07-29 11:00	--------	d-----w-	c:\program files\PC Connectivity Solution
2010-07-29 10:58 . 2010-07-29 10:58	--------	d-----w-	c:\users\Sworf\AppData\Roaming\Samsung
2010-07-29 10:57 . 2010-07-29 10:57	--------	d-----w-	c:\program files\Common Files\Samsung
2010-07-29 10:57 . 2010-07-29 10:57	--------	d-----w-	c:\program files\MarkAny
2010-07-28 15:01 . 2009-11-14 16:41	--------	d-----w-	c:\users\Sworf\AppData\Roaming\vlc
2010-07-27 14:47 . 2010-07-25 09:11	--------	d-----w-	c:\program files\Drakensang
2010-06-28 16:17 . 2010-08-12 13:52	833024	----a-w-	c:\windows\system32\wininet.dll
2010-06-28 16:13 . 2010-08-12 13:52	78336	----a-w-	c:\windows\system32\ieencode.dll
2010-06-23 21:41 . 2010-06-24 11:34	9266056	----a-w-	c:\users\Sworf\RelicCOH.exe
2009-05-04 20:46 . 2009-05-04 20:46	313432	----a-w-	c:\program files\The-Prodigy-1-G3LB6H1ES8-1024x768.jpg
2009-05-04 20:36 . 2009-05-04 20:36	132287	----a-w-	c:\program files\105_thefatoftheland_1225394540.jpg
2009-04-29 16:08 . 2009-04-29 16:07	1471839	----a-w-	c:\program files\wrar380d.exe
2008-11-12 13:12 . 2008-11-12 13:01	8192	--sha-w-	c:\windows\Users\Default\NTUSER.DAT
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"KiesTrayAgent"="c:\program files\Samsung\Kies\" [X]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-21 1233920]
"WindowsWelcomeCenter"="oobefldr.dll" [2008-01-21 2153472]
"Feeds"="c:\windows\feeds.bat.lnk" [2009-02-11 496]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-02-12 39408]
"ISUSPM"="c:\program files\Common Files\InstallShield\UpdateService\ISUSPM.exe" [2006-09-11 218032]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-21 125952]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 202240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-21 1008184]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-08 178712]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-02-03 6724128]
"Windows Mobile-based device management"="c:\windows\WindowsMobile\wmdcBase.exe" [2007-05-31 648072]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-12-18 76304]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-11-12 141600]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Logitech SetPoint.lnk - c:\program files\Logitech\SetPoint\SetPoint.exe [2009-5-17 809488]
McAfee Security Scan Plus.lnk - c:\program files\McAfee Security Scan\2.0.181\SSScheduler.exe [2010-1-15 255536]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk /p \??\E:\0autocheck autochk *

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\BgMainSvc]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BullGuard]
2009-04-05 10:09	304464	----a-w-	c:\program files\BullGuard Ltd\BullGuard\BullGuard.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
2009-11-12 15:33	141600	----a-w-	c:\program files\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
2009-05-26 17:41	24264488	----a-r-	c:\program files\Skype\Phone\Skype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
2010-09-06 18:00	1242448	----a-w-	c:\program files\Steam\Steam.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
2009-02-12 12:00	39408	----a-w-	c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\uTorrent]
2009-09-01 19:17	288560	----a-w-	c:\program files\uTorrent\uTorrent.exe

R1 mityypat;mityypat;c:\windows\system32\drivers\mityypat.sys [x]
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 gupdate;Google Update Service (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 135664]
R3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\System32\DRIVERS\ASPI32.sys [2002-07-17 84832]
R3 KiesAllShare;SAMSUNG KiesAllShare Service;c:\program files\Samsung\Kies\WiselinkPro\WiselinkPro.exe [2010-05-04 9241088]
R3 McComponentHostService;McAfee Security Scan Component Host Service;c:\program files\McAfee Security Scan\2.0.181\McCHSvc.exe [2010-01-15 227232]
R3 sscebus;SAMSUNG USB Composite Device V2 driver (WDM);c:\windows\system32\DRIVERS\sscebus.sys [2010-04-27 98560]
R3 sscemdfl;SAMSUNG Mobile Modem V2 Filter;c:\windows\system32\DRIVERS\sscemdfl.sys [2010-04-27 14848]
R3 sscemdm;SAMSUNG Mobile Modem V2 Drivers;c:\windows\system32\DRIVERS\sscemdm.sys [2010-04-27 123648]
R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-06-09 108289]
S2 BdFileSpy;BullGuard File Monitor Driver;c:\windows\system32\drivers\BdFileSpy.sys [2009-04-05 55504]
S2 BsFileScan;BullGuard File Scan Service;c:\windows\System32\svchost.exe [2008-01-21 21504]
S2 BsMailProxy;BullGuard Email Monitoring Service;c:\windows\System32\svchost.exe [2008-01-21 21504]
S2 dgdersvc;Device Error Recovery Service;c:\windows\system32\dgdersvc.exe [2010-05-01 95568]
S2 FsUsbExService;FsUsbExService;c:\windows\system32\FsUsbExService.Exe [2010-05-01 217088]
S2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;c:\program files\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2010-03-16 240232]
S3 dgderdrv;dgderdrv;c:\windows\system32\drivers\dgderdrv.sys [2010-05-01 18136]
S3 FsUsbExDisk;FsUsbExDisk;c:\windows\system32\FsUsbExDisk.SYS [2010-05-01 36640]
S3 netr28u;RT2870 USB Wireless LAN Card Driver for Vista;c:\windows\system32\DRIVERS\netr28u.sys [2007-09-21 554496]


--- Andere Dienste/Treiber im Speicher ---

*Deregistered* - urcgnee

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
BullGuard	REG_MULTI_SZ   	BgMainSvc BsFileScan BsMailProxy
WindowsMobile	REG_MULTI_SZ   	wcescomm rapimgr
LocalServiceRestricted	REG_MULTI_SZ   	WcesComm RapiMgr
.
Inhalt des "geplante Tasks" Ordners

2010-09-20 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-12 15:24]

2010-09-20 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 14:04]

2010-09-20 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 14:04]

2010-09-20 c:\windows\Tasks\User_Feed_Synchronization-{103B65BD-4798-4CA0-9487-EB211B637804}.job
- c:\windows\system32\msfeedssync.exe [2008-01-21 02:24]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.aldi.com/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-25/4
TCP: {4CCC2B52-FB47-488C-AA61-99664B69ADCF} = 192.168.2.1
FF - ProfilePath - c:\users\Sworf\AppData\Roaming\Mozilla\Firefox\Profiles\uf3je51d.default\
FF - component: c:\program files\Mozilla Firefox\extensions\{B13721C7-F507-4982-B2E5-502A71474FED}\components\NPComponent.dll
FF - plugin: c:\program files\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\program files\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\program files\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\program files\Google\Update\1.2.183.29\npGoogleOneClick8.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\program files\NVIDIA Corporation\3D Vision\npnv3dv.dll
FF - plugin: c:\program files\Picasa2\npPicasa2.dll
FF - plugin: c:\program files\Picasa2\npPicasa3.dll
FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll
FF - plugin: c:\programdata\id Software\QuakeLive\npquakezero.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{896C272C-5294-4B55-88BE-5E838B306956} - c:\windows\system32\buwzjvch.dll
AddRemove-PokerStars - c:\program files\PokerStars\PokerStarsUninstall.exe
AddRemove-Rebel Strip Poker - c:\rebel\rpuninst.exe
AddRemove-Smart-Ads-Solutions - c:\program files\Smart-Ads-Solutions\SmartAds\1.0.27.0\uninstall.exe
AddRemove-_{ADDBE07D-95B8-4789-9C76-187FFF9624B4} - c:\program files\Corel\CorelDRAW Essential Edition 3\Programs\MSILauncher {ADDBE07D-95B8-4789-9C76-187FFF9624B4}
AddRemove-01_Simmental - c:\program files\Samsung\USB Drivers\01_Simmental\Uninstall.exe
AddRemove-02_Siberian - c:\program files\Samsung\USB Drivers\02_Siberian\Uninstall.exe
AddRemove-03_Swallowtail - c:\program files\Samsung\USB Drivers\03_Swallowtail\Uninstall.exe
AddRemove-04_semseyite - c:\program files\Samsung\USB Drivers\04_semseyite\Uninstall.exe
AddRemove-07_Schorl - c:\program files\Samsung\USB Drivers\07_Schorl\Uninstall.exe
AddRemove-15_Symbian_Samsung_PC_DLC_Driver - c:\program files\Samsung\USB Drivers\15_Symbian_Samsung_PC_DLC_Driver\Uninstall.exe
AddRemove-16_Shrewsbury - c:\program files\Samsung\USB Drivers\16_Shrewsbury\Uninstall.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-20 20:54
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 


c:\windows\TEMP\TMP0000003F49E5D95B59238C92 524288 bytes executable

Scan erfolgreich abgeschlossen
versteckte Dateien: 1

**************************************************************************

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\urcgnee]

.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-4154260319-4281459542-1175485335-1000\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:96,4d,bf,72,d5,39,44,8f,3a,5f,93,16,3f,66,1b,97,15,91,a6,11,ad,af,34,
   35,2e,5f,91,4e,50,31,6e,2b,d0,eb,4c,b2,5f,26,8e,9b,e2,80,8e,dd,aa,8d,cc,75,\
"??"=hex:90,94,93,66,ae,04,27,3e,aa,c0,1b,26,e2,85,ca,5d

[HKEY_USERS\S-1-5-21-4154260319-4281459542-1175485335-1000\Software\SecuROM\License information*]
"datasecu"=hex:e8,3b,d3,03,89,75,f4,54,1b,df,a1,71,6b,c9,ac,c7,d2,aa,c3,00,b6,
   e3,24,3d,b2,87,d1,71,f7,35,db,2a,05,b5,bd,b3,97,94,f0,a1,69,d3,52,c8,1d,f4,\
"rkeysecu"=hex:76,65,ca,31,a3,0a,91,f2,5f,16,e8,c1,bc,e6,02,12

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'Explorer.exe'(2928)
c:\program files\Logitech\SetPoint\GameHook.dll
c:\program files\Logitech\SetPoint\lgscroll.dll
c:\program files\BullGuard Ltd\BullGuard\BackupShellHook.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\nvvsvc.exe
c:\windows\system32\nvvsvc.exe
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\program files\BullGuard Ltd\BullGuard\BullGuardUpdate.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe
c:\program files\Google\Update\1.2.183.29\GoogleCrashHandler.exe
c:\windows\system32\IoctlSvc.exe
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\PSIService.exe
c:\windows\system32\WUDFHost.exe
c:\windows\system32\conime.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\ehome\ehmsas.exe
c:\program files\iPod\bin\iPodService.exe
c:\program files\windows defender\MpCmdRun.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-09-20  21:06:37 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-09-20 19:06

Vor Suchlauf: 19 Verzeichnis(se), 625.387.257.856 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 626.216.116.224 Bytes frei

Current=1 Default=1 Failed=0 LastKnownGood=5 Sets=1,2,3,4,5
- - End Of File - - F2A51464930082397295DB07BD874DEB
         
--- --- ---
__________________

Alt 24.09.2010, 13:02   #4
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Sry war 4 Tage berufsbedingt weg...

Was ist nun zu tun?

Alt 30.09.2010, 19:06   #5
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Ist hier noch mit hilfe zu rechnen?


Alt 30.09.2010, 19:10   #6
markusg
/// Malware-holic
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



sorry hab deinen thread übersehen.
lösche combofix.exe und lad die aktuellste version.
start programme zubehör editor, kopiere rein.

Killall::
Rootkit::
c:\windows\system32\drivers\urcgnee.sys
Mia::
c:\windows\system32\userinit.exe
Driver::
urcgnee
Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\urcgnee]


Datei speichern unter, typ alle, ort, dort wo sich combofix.exe befindet. name
cfscript.txt
ziehe cfscript auf combofix, programm startet, log posten.

Alt 01.10.2010, 14:58   #7
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Combofix Logfile:
Code:
ATTFilter
ComboFix 10-09-30.03 - Sworf 01.10.2010  11:48:19.2.2 - x86
Microsoft® Windows Vista™ Home Premium   6.0.6001.1.1252.49.1031.18.3325.2222 [GMT 2:00]
ausgeführt von:: c:\users\Sworf\Desktop\comb\ComboFix.exe
Benutzte Befehlsschalter :: c:\users\Sworf\Desktop\comb\cfscript.txt
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_URCGNEE
-------\Service_urcgnee


(((((((((((((((((((((((   Dateien erstellt von 2010-09-01 bis 2010-10-01  ))))))))))))))))))))))))))))))
.

Keine neuen Dateien erstellt in diesem Zeitraum

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-10-01 10:47 . 2009-01-20 22:18	633342	----a-w-	c:\windows\system32\perfh007.dat
2010-10-01 10:47 . 2009-01-20 22:18	128784	----a-w-	c:\windows\system32\perfc007.dat
2010-10-01 10:39 . 2010-09-11 15:13	585504	----a-w-	c:\windows\system32\drivers\urcgnee.sys
2010-09-26 15:31 . 2009-02-12 12:00	--------	d-----w-	c:\program files\Google
2010-09-20 01:01 . 2006-11-02 11:18	--------	d-----w-	c:\program files\Windows Mail
2010-09-14 16:49 . 2009-04-14 14:25	--------	d-----w-	c:\program files\Steam
2010-09-14 01:08 . 2009-01-22 14:41	--------	d-----w-	c:\program files\Microsoft.NET
2010-09-11 15:12 . 2010-09-11 15:12	24	----a-w-	c:\users\Sworf\AppData\Roaming\apiqfw.dat
2010-08-17 13:32 . 2010-09-19 13:19	126464	----a-w-	c:\windows\system32\spoolsv.exe
2010-07-29 11:21 . 2006-11-02 10:25	86016	----a-w-	c:\windows\Inf\infstor.dat
2010-07-29 11:21 . 2006-11-02 10:25	51200	----a-w-	c:\windows\Inf\infpub.dat
2010-07-29 11:21 . 2006-11-02 10:25	143360	----a-w-	c:\windows\Inf\infstrng.dat
2010-07-28 11:56 . 2010-07-28 11:56	265528	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\MCS.Thunder.Update.exe
2010-07-28 11:55 . 2010-07-28 11:55	6144	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\de-DE\MCS.Thunder.Update.resources.dll
2010-07-28 11:55 . 2010-07-28 11:55	9728	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\Interop.CmdAgentLib.dll
2010-07-28 11:49 . 2010-07-28 11:49	48128	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\MSC.Thunder.Update.Util.dll
2010-07-28 11:49 . 2010-07-28 11:49	204288	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\CabLib.dll
2010-07-28 11:49 . 2010-07-28 11:49	6656	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\MSC.Thunder.UAC.dll
2010-07-28 11:49 . 2010-07-28 11:49	12288	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\UpdateTemp\AdminCmdAgent.dll
2010-07-28 11:46 . 2010-08-15 20:44	49152	----a-w-	c:\users\Sworf\AppData\Roaming\Samsung\Kies\CmdAgent.dll
2009-05-04 20:46 . 2009-05-04 20:46	313432	----a-w-	c:\program files\The-Prodigy-1-G3LB6H1ES8-1024x768.jpg
2009-05-04 20:36 . 2009-05-04 20:36	132287	----a-w-	c:\program files\105_thefatoftheland_1225394540.jpg
2009-04-29 16:08 . 2009-04-29 16:07	1471839	----a-w-	c:\program files\wrar380d.exe
2008-11-12 13:12 . 2008-11-12 13:01	8192	--sha-w-	c:\windows\Users\Default\NTUSER.DAT
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"KiesTrayAgent"="c:\program files\Samsung\Kies\" [X]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-21 1233920]
"WindowsWelcomeCenter"="oobefldr.dll" [2008-01-21 2153472]
"Feeds"="c:\windows\feeds.bat.lnk" [2009-02-11 496]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-02-12 39408]
"ISUSPM"="c:\program files\Common Files\InstallShield\UpdateService\ISUSPM.exe" [2006-09-11 218032]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-21 125952]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 202240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-21 1008184]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-08 178712]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-02-03 6724128]
"Windows Mobile-based device management"="c:\windows\WindowsMobile\wmdcBase.exe" [2007-05-31 648072]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-12-18 76304]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-11-12 141600]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Logitech SetPoint.lnk - c:\program files\Logitech\SetPoint\SetPoint.exe [2009-5-17 809488]
McAfee Security Scan Plus.lnk - c:\program files\McAfee Security Scan\2.0.181\SSScheduler.exe [2010-1-15 255536]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk /p \??\E:\0autocheck autochk *

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\BgMainSvc]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BullGuard]
2009-04-05 10:09	304464	----a-w-	c:\program files\BullGuard Ltd\BullGuard\BullGuard.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
2009-11-12 15:33	141600	----a-w-	c:\program files\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
2009-05-26 17:41	24264488	----a-r-	c:\program files\Skype\Phone\Skype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
2010-09-06 18:00	1242448	----a-w-	c:\program files\Steam\Steam.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
2009-02-12 12:00	39408	----a-w-	c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\uTorrent]
2009-09-01 19:17	288560	----a-w-	c:\program files\uTorrent\uTorrent.exe

R1 mityypat;mityypat;c:\windows\system32\drivers\mityypat.sys [x]
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 gupdate;Google Update Service (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 135664]
R3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\System32\DRIVERS\ASPI32.sys [2002-07-17 84832]
R3 KiesAllShare;SAMSUNG KiesAllShare Service;c:\program files\Samsung\Kies\WiselinkPro\WiselinkPro.exe [2010-05-04 9241088]
R3 McComponentHostService;McAfee Security Scan Component Host Service;c:\program files\McAfee Security Scan\2.0.181\McCHSvc.exe [2010-01-15 227232]
R3 sscebus;SAMSUNG USB Composite Device V2 driver (WDM);c:\windows\system32\DRIVERS\sscebus.sys [2010-04-27 98560]
R3 sscemdfl;SAMSUNG Mobile Modem V2 Filter;c:\windows\system32\DRIVERS\sscemdfl.sys [2010-04-27 14848]
R3 sscemdm;SAMSUNG Mobile Modem V2 Drivers;c:\windows\system32\DRIVERS\sscemdm.sys [2010-04-27 123648]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-06-09 108289]
S2 BdFileSpy;BullGuard File Monitor Driver;c:\windows\system32\drivers\BdFileSpy.sys [2009-04-05 55504]
S2 BsFileScan;BullGuard File Scan Service;c:\windows\System32\svchost.exe [2008-01-21 21504]
S2 BsMailProxy;BullGuard Email Monitoring Service;c:\windows\System32\svchost.exe [2008-01-21 21504]
S2 dgdersvc;Device Error Recovery Service;c:\windows\system32\dgdersvc.exe [2010-05-01 95568]
S2 FsUsbExService;FsUsbExService;c:\windows\system32\FsUsbExService.Exe [2010-05-01 217088]
S2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;c:\program files\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2010-03-16 240232]
S3 dgderdrv;dgderdrv;c:\windows\system32\drivers\dgderdrv.sys [2010-05-01 18136]
S3 netr28u;RT2870 USB Wireless LAN Card Driver for Vista;c:\windows\system32\DRIVERS\netr28u.sys [2007-09-21 554496]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
BullGuard	REG_MULTI_SZ   	BgMainSvc BsFileScan BsMailProxy
WindowsMobile	REG_MULTI_SZ   	wcescomm rapimgr
LocalServiceRestricted	REG_MULTI_SZ   	WcesComm RapiMgr
.
Inhalt des "geplante Tasks" Ordners

2010-10-01 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-12 15:24]

2010-10-01 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 14:04]

2010-10-01 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-12-23 14:04]

2010-10-01 c:\windows\Tasks\User_Feed_Synchronization-{103B65BD-4798-4CA0-9487-EB211B637804}.job
- c:\windows\system32\msfeedssync.exe [2008-01-21 02:24]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.aldi.com/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-25/4
TCP: {4CCC2B52-FB47-488C-AA61-99664B69ADCF} = 192.168.2.1
FF - ProfilePath - c:\users\Sworf\AppData\Roaming\Mozilla\Firefox\Profiles\uf3je51d.default\
FF - component: c:\program files\Mozilla Firefox\extensions\{B13721C7-F507-4982-B2E5-502A71474FED}\components\NPComponent.dll
FF - plugin: c:\program files\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\program files\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\program files\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\program files\Google\Update\1.2.183.29\npGoogleOneClick8.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\program files\NVIDIA Corporation\3D Vision\npnv3dv.dll
FF - plugin: c:\program files\Picasa2\npPicasa2.dll
FF - plugin: c:\program files\Picasa2\npPicasa3.dll
FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll
FF - plugin: c:\programdata\id Software\QuakeLive\npquakezero.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-10-01 14:11
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-4154260319-4281459542-1175485335-1000\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:96,4d,bf,72,d5,39,44,8f,3a,5f,93,16,3f,66,1b,97,15,91,a6,11,ad,af,34,
   35,2e,5f,91,4e,50,31,6e,2b,d0,eb,4c,b2,5f,26,8e,9b,e2,80,8e,dd,aa,8d,cc,75,\
"??"=hex:90,94,93,66,ae,04,27,3e,aa,c0,1b,26,e2,85,ca,5d

[HKEY_USERS\S-1-5-21-4154260319-4281459542-1175485335-1000\Software\SecuROM\License information*]
"datasecu"=hex:e8,3b,d3,03,89,75,f4,54,1b,df,a1,71,6b,c9,ac,c7,d2,aa,c3,00,b6,
   e3,24,3d,b2,87,d1,71,f7,35,db,2a,05,b5,bd,b3,97,94,f0,a1,69,d3,52,c8,1d,f4,\
"rkeysecu"=hex:76,65,ca,31,a3,0a,91,f2,5f,16,e8,c1,bc,e6,02,12

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'Explorer.exe'(4088)
c:\program files\Logitech\SetPoint\GameHook.dll
c:\program files\Logitech\SetPoint\lgscroll.dll
c:\program files\BullGuard Ltd\BullGuard\BackupShellHook.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\nvvsvc.exe
c:\windows\system32\nvvsvc.exe
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\program files\BullGuard Ltd\BullGuard\BullGuardUpdate.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe
c:\program files\Google\Update\1.2.183.29\GoogleCrashHandler.exe
c:\windows\system32\IoctlSvc.exe
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\PSIService.exe
c:\windows\system32\WUDFHost.exe
c:\windows\system32\conime.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\ehome\ehmsas.exe
c:\program files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE
c:\program files\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-10-01  14:17:36 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-10-01 12:17
ComboFix2.txt  2010-09-20 19:06

Vor Suchlauf: 23 Verzeichnis(se), 625.110.020.096 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 628.514.967.552 Bytes frei

- - End Of File - - 886ECEAEFE78A4F841D571ADB295DF4D
         
--- --- ---

Alt 01.10.2010, 15:12   #8
markusg
/// Malware-holic
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



1. pc neu starten.
2.
avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.

Alt 11.10.2010, 18:04   #9
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



sry , war wegen der arbeit sehr eigespannt...

Antivir Report:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 10. Oktober 2010 22:51

Es wird nach 2915668 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows Vista
Windowsversion : (Service Pack 1) [6.0.6001]
Boot Modus : Normal gebootet
Benutzername : Sworf
Computername : PC1

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 20:39:04
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 20:39:23
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 20:40:01
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 20:40:29
VBASE009.VDF : 7.10.11.134 2048 Bytes 13.09.2010 20:40:29
VBASE010.VDF : 7.10.11.135 2048 Bytes 13.09.2010 20:40:29
VBASE011.VDF : 7.10.11.136 2048 Bytes 13.09.2010 20:40:29
VBASE012.VDF : 7.10.11.137 2048 Bytes 13.09.2010 20:40:29
VBASE013.VDF : 7.10.11.165 172032 Bytes 15.09.2010 20:40:31
VBASE014.VDF : 7.10.11.202 144384 Bytes 18.09.2010 20:40:32
VBASE015.VDF : 7.10.11.231 129024 Bytes 21.09.2010 20:40:33
VBASE016.VDF : 7.10.12.4 126464 Bytes 23.09.2010 20:40:34
VBASE017.VDF : 7.10.12.38 146944 Bytes 27.09.2010 20:40:36
VBASE018.VDF : 7.10.12.64 133120 Bytes 29.09.2010 20:40:37
VBASE019.VDF : 7.10.12.99 134144 Bytes 01.10.2010 20:40:38
VBASE020.VDF : 7.10.12.122 131584 Bytes 05.10.2010 20:40:39
VBASE021.VDF : 7.10.12.148 119296 Bytes 07.10.2010 20:40:40
VBASE022.VDF : 7.10.12.149 2048 Bytes 07.10.2010 20:40:40
VBASE023.VDF : 7.10.12.150 2048 Bytes 07.10.2010 20:40:41
VBASE024.VDF : 7.10.12.151 2048 Bytes 07.10.2010 20:40:41
VBASE025.VDF : 7.10.12.152 2048 Bytes 07.10.2010 20:40:41
VBASE026.VDF : 7.10.12.153 2048 Bytes 07.10.2010 20:40:41
VBASE027.VDF : 7.10.12.154 2048 Bytes 07.10.2010 20:40:41
VBASE028.VDF : 7.10.12.155 2048 Bytes 07.10.2010 20:40:41
VBASE029.VDF : 7.10.12.156 2048 Bytes 07.10.2010 20:40:41
VBASE030.VDF : 7.10.12.157 2048 Bytes 07.10.2010 20:40:41
VBASE031.VDF : 7.10.12.168 89088 Bytes 10.10.2010 20:40:42
Engineversion : 8.2.4.72
AEVDF.DLL : 8.1.2.1 106868 Bytes 10.10.2010 20:41:18
AESCRIPT.DLL : 8.1.3.45 1368443 Bytes 10.10.2010 20:41:17
AESCN.DLL : 8.1.6.1 127347 Bytes 10.10.2010 20:41:14
AESBX.DLL : 8.1.3.1 254324 Bytes 10.10.2010 20:41:19
AERDL.DLL : 8.1.9.2 635252 Bytes 10.10.2010 20:41:13
AEPACK.DLL : 8.2.3.7 471413 Bytes 10.10.2010 20:41:10
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 10.10.2010 20:41:08
AEHEUR.DLL : 8.1.2.30 2941303 Bytes 10.10.2010 20:41:06
AEHELP.DLL : 8.1.13.4 242038 Bytes 10.10.2010 20:40:52
AEGEN.DLL : 8.1.3.23 401779 Bytes 10.10.2010 20:40:51
AEEMU.DLL : 8.1.2.0 393588 Bytes 10.10.2010 20:40:48
AECORE.DLL : 8.1.17.0 196982 Bytes 10.10.2010 20:40:46
AEBB.DLL : 8.1.1.0 53618 Bytes 10.10.2010 20:40:45
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: C:\Program Files\Avira\AntiVir Desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:, F:, G:, H:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: ein
Optimierter Suchlauf..................: ein
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 10
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Sonntag, 10. Oktober 2010 22:51

Der Suchlauf nach versteckten Objekten wird begonnen.
Der Treiber konnte nicht initialisiert werden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehmsas.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnetwk.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SSScheduler.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mobsync.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmpnscfg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ehtray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ISUSPM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmdcBase.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RtHDVCpl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IAAnotif.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskeng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dwm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WUDFHost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SearchIndexer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvSCPAPISvr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PSIService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleCrashHandler.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PnkBstrA.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IoctlSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NBService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Iaantmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'FsUsbExService.Exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dgdersvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BullGuardUpdate.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SLsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvvsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wininit.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\Windows\system32\svchost.exe'
Signiert -> 'C:\Windows\system32\winlogon.exe'
Signiert -> 'C:\Windows\explorer.exe'
Signiert -> 'C:\Windows\system32\smss.exe'
Signiert -> 'C:\Windows\system32\wininet.DLL'
Signiert -> 'C:\Windows\system32\wsock32.DLL'
Signiert -> 'C:\Windows\system32\ws2_32.DLL'
Signiert -> 'C:\Windows\system32\services.exe'
Signiert -> 'C:\Windows\system32\lsass.exe'
Signiert -> 'C:\Windows\system32\csrss.exe'
Signiert -> 'C:\Windows\system32\drivers\kbdclass.sys'
Signiert -> 'C:\Windows\system32\spoolsv.exe'
Signiert -> 'C:\Windows\system32\alg.exe'
Signiert -> 'C:\Windows\system32\wuauclt.exe'
Signiert -> 'C:\Windows\system32\advapi32.DLL'
Signiert -> 'C:\Windows\system32\user32.DLL'
Signiert -> 'C:\Windows\system32\gdi32.DLL'
Signiert -> 'C:\Windows\system32\kernel32.DLL'
Signiert -> 'C:\Windows\system32\ntdll.DLL'
Signiert -> 'C:\Windows\system32\ntoskrnl.exe'
Signiert -> 'C:\Windows\system32\ctfmon.exe'
Die Systemdateien wurden durchsucht ('21' Dateien)

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD3
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[INFO] Im Laufwerk 'E:\' ist kein Datenträger eingelegt!
Bootsektor 'F:\'
[INFO] Im Laufwerk 'F:\' ist kein Datenträger eingelegt!
Bootsektor 'G:\'
[INFO] Im Laufwerk 'G:\' ist kein Datenträger eingelegt!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1831' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <BOOT>
C:\Users\Sworf\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\37\4e5b94a5-6de22c90
[0] Archivtyp: ZIP
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
--> vmain.class
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
C:\Users\Sworf\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\58\1f62c23a-666241f3
[0] Archivtyp: ZIP
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
--> vmain.class
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
C:\Windows\System32\drivers\urcgnee.sys
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
Beginne mit der Suche in 'D:\' <RECOVER>
Beginne mit der Suche in 'E:\'
Der zu durchsuchende Pfad E:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'G:\'
Der zu durchsuchende Pfad G:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'H:\' <Disk1>

Beginne mit der Desinfektion:
C:\Windows\System32\drivers\urcgnee.sys
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48a0e736.qua' verschoben!
C:\Users\Sworf\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\58\1f62c23a-666241f3
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '51c8c89d.qua' verschoben!
C:\Users\Sworf\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\37\4e5b94a5-6de22c90
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/C-2009-3867.EH
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '03969274.qua' verschoben!


Ende des Suchlaufs: Montag, 11. Oktober 2010 19:02
Benötigte Zeit: 2:00:17 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

33865 Verzeichnisse wurden überprüft
823438 Dateien wurden geprüft
3 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
3 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
823435 Dateien ohne Befall
8643 Archive wurden durchsucht
0 Warnungen
3 Hinweise

Alt 11.10.2010, 18:13   #10
markusg
/// Malware-holic
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



lade den avenger, script wie beschrieben einfügen, avenger vorher mit rechtsklick, als admin starten.
Avenger
Drivers to disable:
urcgnee
Drivers to delete:
urcgnee
Files to delete:
C:\Windows\System32\drivers\urcgnee.sys


führe das script wie beschrieben aus, log posten.

Alt 12.10.2010, 16:01   #11
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



Logfile of The Avenger Version 2.0, (c) by Swandog46
hxxp://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: could not open driver "urcgnee"
Disablement of driver "urcgnee" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\urcgnee" not found!
Deletion of driver "urcgnee" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Windows\System32\drivers\urcgnee.sys" not found!
Deletion of file "C:\Windows\System32\drivers\urcgnee.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

Alt 12.10.2010, 16:02   #12
Sworf
 
RKIT/Agent.biiu befall - Standard

RKIT/Agent.biiu befall



glaube ich hab was falsch gemacht?

Antwort

Themen zu RKIT/Agent.biiu befall
.dll, 0 bytes, aktuelle, antivir, antivir meldet, appdata, befall, bytes, c:\windows, datei, forum, free, fund, local\temp, löschen, mas, nicht löschen, nt.dll, ordner, quarantäne, rkit/agent.biiu, rootkit, scan, service pack 1, system, system 32, system32, temp, virus, virus bekämpfen, warnung, windows



Ähnliche Themen: RKIT/Agent.biiu befall


  1. rkit/agent.36864.5
    Plagegeister aller Art und deren Bekämpfung - 17.10.2012 (10)
  2. rkit/agent.dfjv
    Plagegeister aller Art und deren Bekämpfung - 20.09.2012 (33)
  3. RKIT/agent.depg.1 - wie werde ich das los?
    Log-Analyse und Auswertung - 27.07.2012 (5)
  4. TR/Agent.AOXU und RKIT/Agent.depg.1
    Plagegeister aller Art und deren Bekämpfung - 25.07.2012 (3)
  5. Rkit/agent.10248192
    Plagegeister aller Art und deren Bekämpfung - 05.01.2012 (4)
  6. RKIT/Agent.AW
    Plagegeister aller Art und deren Bekämpfung - 06.01.2011 (1)
  7. rkit/Agent.biiu root kit
    Plagegeister aller Art und deren Bekämpfung - 01.10.2010 (28)
  8. RKIT/Agent.biiu - Noch ein betroffener
    Plagegeister aller Art und deren Bekämpfung - 30.09.2010 (46)
  9. RKIT/Agent.biiu entfernt oder nicht?
    Plagegeister aller Art und deren Bekämpfung - 22.09.2010 (1)
  10. Und nochjemand mit Rootkit RKIT/Agent.biiu :(
    Plagegeister aller Art und deren Bekämpfung - 20.09.2010 (33)
  11. Avira meldet RKIT/Agent.biiu befall!
    Plagegeister aller Art und deren Bekämpfung - 13.09.2010 (27)
  12. RKIT/agent.biiu, TR/agent.ruo, TR/Crypt.ZPACK.Gen alle guten Dinge sind drei hahahaha
    Plagegeister aller Art und deren Bekämpfung - 06.09.2010 (25)
  13. Malware-Befall. TR/RKIT/BDS
    Plagegeister aller Art und deren Bekämpfung - 05.12.2008 (4)
  14. Hilfe !! RKIT/Agent.U
    Plagegeister aller Art und deren Bekämpfung - 01.05.2008 (9)
  15. RKIT/Agent.WK
    Plagegeister aller Art und deren Bekämpfung - 21.02.2008 (1)
  16. Trojaner TR/RKit.Agent.BK
    Log-Analyse und Auswertung - 03.03.2006 (5)
  17. TR/RKit.Agent.Q
    Plagegeister aller Art und deren Bekämpfung - 14.07.2005 (9)

Zum Thema RKIT/Agent.biiu befall - Hallo, Mein Antivir meldet den befall von einem Virus (Rootkit) namens RKIT/Agent.biiu. Der Virus ist im Ordner System32 und in einer Datei namens "urcgnee.sys" welche sich nicht löschen lässt. Ich - RKIT/Agent.biiu befall...
Archiv
Du betrachtest: RKIT/Agent.biiu befall auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.