Hallo,

ich habe einen Rechner auf dem Antivir völlig scheitert.
Ich habe folgende Funde durch Antivir

Wurm W32/Ramnit.C
Wurm Polevo.cctw
Trojaner HTML/Drop Agent

Ich habe mit einer aktuellen Avira Boot CD den Rechner bereinigt.
Er fand 4 Dateien und die wurden gelöscht.
Bei einer zweiten Suche, keine Bedrohungen.
Nachdem Windows XP wider an war, gings von vorn los.

ca 200 Dateien in Quarantäne und es werden mehr.
Sogar einen Stick den ich ansteckte, wurde sofort verseucht, ich konnte zusehen wie er Dateien drauf schrieb und Alarm anschlug.

Avira Antivir packt das nicht. Er bemerkt zwar die Verseuchung kann sie aber nicht erfolgreich bekämpfen.

Ist es denkbar das man die Festplatte ausbaut.
Mit einem USB-Adaptzer an einen Rechner mit Kaspersky steckt und sie aufeinander los läst?
Wird Kaspersky das gewinnen?


Wie ich gelesen habe würde es das nichtmal bringen den Rechner neu aufzusetzen.
Da Viren so nicht unbedingt vernichtet werden.
Stimmt das?

Ich habe folgende Funde durch Antivir

Wurm W32/Ramnit.C
Wurm Polevo.cctw
Trojaner HTML/Drop Agent

Bitte alle relevanten Logs nachreichen!

Da Viren so nicht unbedingt vernichtet werden.
Stimmt das?

Wenn man richtig neu aufsetzt, sind alle Schädlinge weg.

Ok ich bin hier der Viren-Killer-Anfänger
Sorry wenn ich frage...
Aber reicht der Textauswurf den mir AntiVir beim Ende des Suchvorgangs hoffentlich auswirft?
Wenn ja... den bekomme ich in etwa 2 Stunden ...
Oder was meinst da genau?

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 15. März 2011 10:02

Es wird nach 2493235 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : gebhardt
Computername : PCXP

Versionsinformationen:
BUILD.DAT : 10.0.0.611 31824 Bytes 14.01.2011 13:28:00
AVSCAN.EXE : 10.0.3.5 435368 Bytes 11.12.2010 16:52:29
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.3.2 104296 Bytes 11.12.2010 16:52:30
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 06:35:52
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 07:16:20
VBASE002.VDF : 7.11.3.0 1950720 Bytes 09.02.2011 18:11:23
VBASE003.VDF : 7.11.3.1 2048 Bytes 09.02.2011 18:11:23
VBASE004.VDF : 7.11.3.2 2048 Bytes 09.02.2011 18:11:23
VBASE005.VDF : 7.11.3.3 2048 Bytes 09.02.2011 18:11:23
VBASE006.VDF : 7.11.3.4 2048 Bytes 09.02.2011 18:11:23
VBASE007.VDF : 7.11.3.5 2048 Bytes 09.02.2011 18:11:23
VBASE008.VDF : 7.11.3.6 2048 Bytes 09.02.2011 18:11:23
VBASE009.VDF : 7.11.3.7 2048 Bytes 09.02.2011 18:11:23
VBASE010.VDF : 7.11.3.8 2048 Bytes 09.02.2011 18:11:23
VBASE011.VDF : 7.11.3.9 2048 Bytes 09.02.2011 18:11:23
VBASE012.VDF : 7.11.3.10 2048 Bytes 09.02.2011 18:11:23
VBASE013.VDF : 7.11.3.59 157184 Bytes 14.02.2011 15:25:46
VBASE014.VDF : 7.11.3.97 120320 Bytes 16.02.2011 15:25:46
VBASE015.VDF : 7.11.3.148 128000 Bytes 19.02.2011 15:25:47
VBASE016.VDF : 7.11.3.183 140288 Bytes 22.02.2011 07:11:33
VBASE017.VDF : 7.11.3.216 124416 Bytes 24.02.2011 07:11:33
VBASE018.VDF : 7.11.3.251 159232 Bytes 28.02.2011 20:37:24
VBASE019.VDF : 7.11.4.33 148992 Bytes 02.03.2011 20:37:24
VBASE020.VDF : 7.11.4.73 150016 Bytes 06.03.2011 19:36:19
VBASE021.VDF : 7.11.4.108 122880 Bytes 08.03.2011 19:36:20
VBASE022.VDF : 7.11.4.150 133120 Bytes 10.03.2011 19:36:20
VBASE023.VDF : 7.11.4.183 122368 Bytes 14.03.2011 08:59:39
VBASE024.VDF : 7.11.4.184 2048 Bytes 14.03.2011 08:59:39
VBASE025.VDF : 7.11.4.185 2048 Bytes 14.03.2011 08:59:39
VBASE026.VDF : 7.11.4.186 2048 Bytes 14.03.2011 08:59:39
VBASE027.VDF : 7.11.4.187 2048 Bytes 14.03.2011 08:59:39
VBASE028.VDF : 7.11.4.188 2048 Bytes 14.03.2011 08:59:39
VBASE029.VDF : 7.11.4.189 2048 Bytes 14.03.2011 08:59:39
VBASE030.VDF : 7.11.4.190 2048 Bytes 14.03.2011 08:59:39
VBASE031.VDF : 7.11.4.204 54272 Bytes 15.03.2011 08:59:40
Engineversion : 8.2.4.186
AEVDF.DLL : 8.1.2.1 106868 Bytes 07.08.2010 19:50:12
AESCRIPT.DLL : 8.1.3.56 1261945 Bytes 11.03.2011 19:36:23
AESCN.DLL : 8.1.7.2 127349 Bytes 22.11.2010 16:04:47
AESBX.DLL : 8.1.3.2 254324 Bytes 22.11.2010 16:04:54
AERDL.DLL : 8.1.9.8 639346 Bytes 15.03.2011 08:59:50
AEPACK.DLL : 8.2.4.12 520567 Bytes 15.03.2011 08:59:49
AEOFFICE.DLL : 8.1.1.17 205177 Bytes 11.03.2011 19:36:23
AEHEUR.DLL : 8.1.2.86 3350903 Bytes 15.03.2011 08:59:48
AEHELP.DLL : 8.1.16.1 246134 Bytes 06.02.2011 14:07:26
AEGEN.DLL : 8.1.5.2 397683 Bytes 24.01.2011 16:12:35
AEEMU.DLL : 8.1.3.0 393589 Bytes 22.11.2010 16:03:52
AECORE.DLL : 8.1.19.2 196983 Bytes 24.01.2011 16:12:35
AEBB.DLL : 8.1.1.0 53618 Bytes 03.05.2010 20:15:52
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.2 53096 Bytes 03.11.2010 19:39:56
AVSCPLR.DLL : 10.0.3.2 84328 Bytes 11.12.2010 16:52:30
AVARKT.DLL : 10.0.22.6 231784 Bytes 11.12.2010 16:52:29
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 03.11.2010 19:39:55

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, A:, D:, E:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: niedrig
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Dienstag, 15. März 2011 10:02

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'taskmgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleToolbarNotifier.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpotdd01.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ashMaiSv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ashDisp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IEXPLORE.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ashServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'aswUpdSv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'A:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Recycle.Bin\Recycle.Bin.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw

Die Registry wurde durchsucht ( '1333' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Programme\vbhtpktl\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
C:\Recycle.Bin\Recycle.Bin.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw
Beginne mit der Suche in 'A:\'
Beginne mit der Suche in 'D:\'
Der zu durchsuchende Pfad D:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'E:\'
Der zu durchsuchende Pfad E:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.

Beginne mit der Desinfektion:
C:\Programme\vbhtpktl\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ea9e780.qua' verschoben!
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\18.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '566bc3b4.qua' verschoben!
C:\Dokumente und Einstellungen\gebhardt\Lokale Einstellungen\Temp\14.tmp
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctv
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '04349958.qua' verschoben!
C:\Recycle.Bin\Recycle.Bin.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Palevo.cctw
[HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Recycle.Bin.exe> wurde erfolgreich entfernt.
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '624cd6af.qua' verschoben!
C:\Dokumente und Einstellungen\gebhardt\Startmenü\Programme\Autostart\eeygakdc.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.aeg
[HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup> wurde erfolgreich entfernt.
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '27d2f02a.qua' verschoben!
[HINWEIS] Der Registrierungseintrag <HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup> wurde erfolgreich entfernt.


Ende des Suchlaufs: Dienstag, 15. März 2011 12:07
Benötigte Zeit: 2:03:48 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

7986 Verzeichnisse wurden überprüft
277179 Dateien wurden geprüft
14 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
5 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
277165 Dateien ohne Befall
2241 Archive wurden durchsucht
0 Warnungen
4 Hinweise

Bisschen wenig für angebliche 200 Funde
Hast du noch weitere Logs?

nein hab ich nicht...
die Prüfung ging gut 2 stunden und zwischendurch kam er mir mit der meldung so etwa 160 Funde... die wollte er in Quarantäne verschieben... da hab ich ok geklickt

dann kam er immer wieder mit kleineren Mengen...
den log gabs zum Schluss

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Problem gelöst...
danke

Geht das auch genauer wie das Problem gelöst wurde?

Nach 10 Stunden und unzähligen Scanns und Versuchen mit verschiedensten Notfall-CDs die Viren zu bekämpfen habe ich die Festplatte ausgebaut und via USB-Adapter an einen sauberen, durch Kaspersky überwachten Rechner angesteckt.

Dann habe ich mit Kaspersky die Festplatte prüfen lassen.
Kaspersky hat alle Schädliche elemniert.

Es waren 33 Schädlinge.
Trojaner, Vieren, Mailware, Würmer und bösartige Scripte.
Versteckte Software die eine Installation von Kaspersky unmöglich macht war auch drauf.
Ich hab alles im USB-Modus gelöscht
Anschließend noch paar bremsende Einträge aus der Registry gelöscht.
Jetzt rennt er wieder und Kaspersky hat den Job jetzt voll übernommen.
alles clean ;-)

Der Rechner lief im Internet lange Zeit scheinbar ohne jeden Schutz.

Hast du die Logs dazu?

Ich glaub kaum, dass die Virenscanner alles entfernt haben. Analysen mit weiteren Tools sind nicht zu ersetzen.

Nein ich habe keine weiteren Logs.
Aber der Rechner ist wieder voll einsatzfähig.
Es kann ja sein das nich einer rumkriecht.
Aber damit beschäftige ich mich ein anderes mal.
wir sehen uns...
cu

Bist du sicher, dass diese Gleichgüültigkeit jetzt angemessen ist?
Poste wenigstens erstmal die OTL-Logs. Außerdem müssen wir auch auf Rootkits und den MBR prüfen.