| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los?Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
10.11.2010, 20:44
| #1 |
| |  Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los? Hallo! Erstmal vielen Dank, dass es euch gibt! ;-) Ich hab nach eurer Anleitung Thinkpoint entfernt. Malwarebytes hat 6 Ergebnisse geliefert, die habe ich entfernt und auch AntiVir hat 6 Ergebnisse geliefert, die entfernt sind. Bei mir begann in der letzten Woche alles damit, dass sich beim surfen mit Firefox einfach leere Tabs zu irgendwelchen Adressen öffneten. Ich wollte mich schon an euch wenden, doch dann schien es nicht mehr zu passieren, doch dann kam Thinkpoint. Das bin ich jetzt - hoffentlich - los. Unter dem Pfad C:\Dokumente und Einstellungen\***\Anwendungsdaten befand sich die hotfix.exe und der Task wird auch nicht mehr ausgeführt. Doch dort bestehen noch weitere Dateien mit denen ich nichts anfangen kann. Sie heißen install, start (beide ohne Dateiendung) und mdbu.bin... Gehören die dazu, sollte ich sie löschen oder wie sollte ich damit verfahren? Dann habe ich die Files laut Anleitung erstellt. Der Post wird sonst zu lang, deshalb habe ich die Files als txt-Datei angehangen. Also habe ich jetzt 3 Fragen: 1. Bin ich Thinkpoint los oder ist noch irgendetwas anderes auf meinem PC? 2. gmer scheint etwas gefunden zu haben, was hat es damit auf sich? 3. Was ist dieses "bjordsk"? Auch Google konnte mir nicht weiterhelfen... 4. Auffällig ist auch, dass Windows bei mir immer einen bestimmten Prozess schließt, danach funktioniert der Sound nicht mehr... Er heißt "Generic Host Process for Win32 Services". Ich habe auch schon mal gegooglet und ein Windows-Update installiert aber es hat nichts gebracht... Kann das mit dem Virus zusammenhängen und ist euch so etwas bekannt? Vielen Dank schonmal im Voraus!  PS: Gerade ist AntiVir nochmal drüber gelaufen und hat mir folgendes Ergebnis geliefert: Code:
ATTFilter Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 10. November 2010 20:00
Es wird nach 3033938 Virenstämmen gesucht.
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 2) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : ***
Versionsinformationen:
BUILD.DAT : 10.0.0.592 31823 Bytes 09.08.2010 10:49:00
AVSCAN.EXE : 10.0.3.1 434344 Bytes 10.11.2010 17:49:29
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 13:18:47
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 14:44:18
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 14:02:57
VBASE008.VDF : 7.10.11.133 3454464 Bytes 13.09.2010 18:59:29
VBASE009.VDF : 7.10.13.80 2265600 Bytes 02.11.2010 17:49:29
VBASE010.VDF : 7.10.13.81 2048 Bytes 02.11.2010 17:49:29
VBASE011.VDF : 7.10.13.82 2048 Bytes 02.11.2010 17:49:29
VBASE012.VDF : 7.10.13.83 2048 Bytes 02.11.2010 17:49:29
VBASE013.VDF : 7.10.13.116 147968 Bytes 04.11.2010 17:49:29
VBASE014.VDF : 7.10.13.147 146944 Bytes 07.11.2010 17:49:29
VBASE015.VDF : 7.10.13.180 123904 Bytes 09.11.2010 17:49:29
VBASE016.VDF : 7.10.13.181 2048 Bytes 09.11.2010 17:49:29
VBASE017.VDF : 7.10.13.182 2048 Bytes 09.11.2010 17:49:29
VBASE018.VDF : 7.10.13.183 2048 Bytes 09.11.2010 17:49:29
VBASE019.VDF : 7.10.13.184 2048 Bytes 09.11.2010 17:49:29
VBASE020.VDF : 7.10.13.185 2048 Bytes 09.11.2010 17:49:29
VBASE021.VDF : 7.10.13.186 2048 Bytes 09.11.2010 17:49:29
VBASE022.VDF : 7.10.13.187 2048 Bytes 09.11.2010 17:49:29
VBASE023.VDF : 7.10.13.188 2048 Bytes 09.11.2010 17:49:29
VBASE024.VDF : 7.10.13.189 2048 Bytes 09.11.2010 17:49:29
VBASE025.VDF : 7.10.13.190 2048 Bytes 09.11.2010 17:49:29
VBASE026.VDF : 7.10.13.191 2048 Bytes 09.11.2010 17:49:29
VBASE027.VDF : 7.10.13.192 2048 Bytes 09.11.2010 17:49:29
VBASE028.VDF : 7.10.13.193 2048 Bytes 09.11.2010 17:49:29
VBASE029.VDF : 7.10.13.194 2048 Bytes 09.11.2010 17:49:29
VBASE030.VDF : 7.10.13.195 2048 Bytes 09.11.2010 17:49:29
VBASE031.VDF : 7.10.13.202 47616 Bytes 10.11.2010 17:49:29
Engineversion : 8.2.4.92
AEVDF.DLL : 8.1.2.1 106868 Bytes 01.08.2010 10:15:28
AESCRIPT.DLL : 8.1.3.46 1364347 Bytes 10.11.2010 17:49:29
AESCN.DLL : 8.1.6.1 127347 Bytes 30.05.2010 13:19:01
AESBX.DLL : 8.1.3.1 254324 Bytes 30.05.2010 13:19:02
AERDL.DLL : 8.1.9.2 635252 Bytes 26.09.2010 16:07:57
AEPACK.DLL : 8.2.3.11 471416 Bytes 14.10.2010 18:53:32
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 22.07.2010 05:10:23
AEHEUR.DLL : 8.1.2.38 2990455 Bytes 10.11.2010 17:49:29
AEHELP.DLL : 8.1.14.0 246134 Bytes 14.10.2010 18:53:29
AEGEN.DLL : 8.1.3.24 401781 Bytes 10.11.2010 17:49:29
AEEMU.DLL : 8.1.2.0 393588 Bytes 30.05.2010 13:18:58
AECORE.DLL : 8.1.17.0 196982 Bytes 26.09.2010 16:07:54
AEBB.DLL : 8.1.1.0 53618 Bytes 30.05.2010 13:18:57
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.2 53096 Bytes 10.11.2010 17:49:29
AVSCPLR.DLL : 10.0.3.1 83816 Bytes 10.11.2010 17:49:29
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 10.11.2010 17:49:29
Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Festplatten
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\alldiscs.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +JOKE,+PCK,+PFS,+SPR,
Beginn des Suchlaufs: Mittwoch, 10. November 2010 20:00
Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msimn.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msiexec.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'aavus.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1658' Dateien ).
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\' <Boot>
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP2\A0000116.exe
[FUND] Ist das Trojanische Pferd TR/Agent.110080.5
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP2\A0000117.dll
[FUND] Ist das Trojanische Pferd TR/Crypt.EPACK.Gen2
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP3\A0006143.exe
[FUND] Ist das Trojanische Pferd TR/Fakealert.cgu.1
C:\WINDOWS\system32\drivers\bjordsk.sys
[FUND] Ist das Trojanische Pferd TR/Agent.760320.7
Beginne mit der Suche in 'D:\' <Spiele>
Beginne mit der Suche in 'E:\' <Schule>
Beginne mit der Desinfektion:
C:\WINDOWS\system32\drivers\bjordsk.sys
[FUND] Ist das Trojanische Pferd TR/Agent.760320.7
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ee95b1d.qua' verschoben!
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP3\A0006143.exe
[FUND] Ist das Trojanische Pferd TR/Fakealert.cgu.1
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '563d7f2f.qua' verschoben!
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP2\A0000117.dll
[FUND] Ist das Trojanische Pferd TR/Crypt.EPACK.Gen2
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '046225c7.qua' verschoben!
C:\System Volume Information\_restore{34B1D383-C47C-4988-B0B8-0AC970CA1AC0}\RP2\A0000116.exe
[FUND] Ist das Trojanische Pferd TR/Agent.110080.5
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '62556a05.qua' verschoben!
Ende des Suchlaufs: Mittwoch, 10. November 2010 20:35
Benötigte Zeit: 33:39 Minute(n)
Der Suchlauf wurde vollständig durchgeführt.
12413 Verzeichnisse wurden überprüft
358278 Dateien wurden geprüft
4 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
4 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
358274 Dateien ohne Befall
2180 Archive wurden durchsucht
0 Warnungen
3 Hinweise
Es fehlt noch Teil 3 zu Extras.txt aber die Verbindung bricht immer wieder ab! Vielen Dank für eure Geduld! Den dritten Teil kann ich immer noch nicht hochladen, aber AntiVir findet immer und immer wieder den Trojaner "TR/Agent.760320.7" unter C:\Windows\system32\bjordsk.sys. Ich habe den Trojaner schon in Quarantäne verschoben und gelöscht, doch bei jeder neuen Prüfung schlägt AntiVir wieder darauf an... Immer die selbe Datei... Kann ich die einfach so löschen? Vielen Dank! |
|
11.11.2010, 08:24
| #2 | |
| /// Helfer-Team    | Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los? Hallo und Herzlich Willkommen!
__________________ Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]: Zitat:
es geht hier um nicht weniger, als einen Infektion mit : - Malware/Schadprogramm - Rootkit - vermutlich noch dein Master Boot Record auch betroffen ►Da eine hundertprozentige Erkennung von Rootkits meist unmöglich ist bzw die davon betroffenen Systeme nur selten komplett heilbar sind, die beste Methode wäre zur Entfernung die komplette Neuinstallation. Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig wenn Du es versuchen willst mit die Systemreinigung (nicht empfohlen), gib mir bitte bescheid... ** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw gruß Cf |
|
11.11.2010, 19:33
| #3 |
| | Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los? Vielen Dank für die schnelle Antwort! Ich habe es mir schon gedacht, dass ich das System neu aufsetzten muss aber die Hoffnung stirbt zuletzt... ;-)
__________________Das werde ich dann machen, trotzdem vielen Dank für das Angebot! Eine abschließende Frage habe ich aber noch: Wenn ich jetzt Dateien vom -infizierten- PC kopiere (z.B. auf den Stick), die lt. AntiVir "sauber" sind und die nach der Neuinstallation wieder aufspiele, könnte ich mir damit den Virus auch wieder aufs neue Sytem aufspielen? Oder bietet ein aktuelles AntiVir genug Sicherheit, so dass man davon ausgehen kann, dass die Dateien "sauber" sind, wenn AntiVir nichts finden sollte??? Vielen Dank für deine Hilfe, find ich echt klasse! |
|
12.11.2010, 07:10
| #4 |
| /// Helfer-Team | Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los? - bietet Dir kein Programm hundertprozentige Sicherheit vor einer Ansteckung, aber Du kannst dafür etwas tun zwar: Datensicherung: Vorsicht mit den schon vorhandenen Dateien auf die extern gespeicherten Daten und auch jetzt mit dem Virus infizierte Dateien eine Datensicherung anzufertigen ** Empfehle ich Dir NUR Daten sichern, die nicht ausführbaren Dateien enthalten - Dateiendungen - Dies ist eine Liste von Dateiendungen, die Dateien mit ausführbarem Code bezeichnen können. - Bevor du mit deinem PC direkt ins Netz gehst: - Alle Passwörter, die auf dem kompromittierten System verwendet wurden (also z.B. Login-, Mail- oder Website-Passwörter, aber auch die PIN für das Online-Banking) sofort ändern ( am besten von einem anderen, nicht-infizierten Rechner aus! ) - Vor zurückspielen: Die auf eine externe Festplatte gesicherten Daten, gründlich zu scannen von einem suaberen System aus, am besten mit mehreren Scannern-> Kostenlose Online Scanner - Anleitung Ausserdem nach einer "gründlichen" Formatierung, wenn Du mit alles fertig bist (Servicepacks aufgespielt hast, AV-Scanner drauf etc), würde ich empfehlen, das frisch aufgesetzte System, dein MBR ja auch noch prüfen lassen - Master Boot Record überprüfen: Geändert von kira (12.11.2010 um 07:17 Uhr) |
|
| Themen zu Thinkpoint lt. Anleitung entfernt - Bin ich ihn wirklich los? |
| adobe, antivir, avg, avira, bho, bonjour, converter, desktop, einstellungen, explorer, extras.txt, firefox, firefox.exe, format, geliefert, google, helper, home, logfile, mozilla, mp3, msiexec.exe, nt.dll, realtek, registry, sched.exe, server, software, system, temp, tr/crypt.epack.gen, usb, verweise, virus gefunden |
Linear-Darstellung
