| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Virus 'Spy.SpyEyes.SC1' gefundenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
24.04.2011, 18:50
| #1 |
 |  Virus 'Spy.SpyEyes.SC1' gefunden Uff- vier Jahre lang nicht die geringsten Probleme mit dem Rechner, dafür geht's jetzt rund. Einen Malware- Eindringling gerade (hoffentlich) erfolgreich in die Flucht geschlagen, da meldet Antivir plötzlich den Fund von 'Spy.SpyEyes.SC1'. Ich hab einen Virenscan gemacht und die verdächtigen Dateien entfernen lassen, aber jedesmal nach dem Hochfahren zeigt mir Antivir einen neuen Fund des gleichen Typs an. Aktuell läuft der Rechner ansonsten (noch) stabil. Wie soll ich vorgehen? (Ist es eigentlich nützlich/ egal/ schädlich, per Suchfunktion herauszufinden, welche Dateien im Systemordner in den letzten zwei Tagen neu erstellt wurden und diese dann zu löschen?) Viele Grüße Sandero |
|
25.04.2011, 15:53
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | Virus 'Spy.SpyEyes.SC1' gefunden Hallo und
__________________ Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! Danach OTL: Systemscan mit OTL Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop
__________________ |
|
26.04.2011, 13:49
| #3 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Okay, hab ich gemacht. Ich habe vor 3 Tagen einen Malwarebytes-Scan gemacht (einziger Fund: das Rkill-Alias), sowie gestern (da wurde 1 Datei gefunden). Was die OTL-Files angeht, hab ich jetzt gestern nochmal einen '30-Tage-Scan' gemacht, da ich halt vor ein paar Wochen das 'Malware-Problem' hatte.
__________________Freundliche Grüße Sandero |
|
26.04.2011, 14:14
| #4 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!! Code:
ATTFilter :OTL
O4 - HKCU..\Run: [34D27A2BB6A8FBF9] C:\blyadstvoeb\blyadstvoeb.exe (Trend Micro Inc.)
O32 - HKLM CDRom: AutoRun - 1
[2011.04.09 05:47:21 | 000,013,958 | -HS- | C] () -- C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\43nhg11de6n2f1e3bn40f5of0svg0r
[2011.04.09 05:47:21 | 000,013,958 | -HS- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\43nhg11de6n2f1e3bn40f5of0svg0r
:Files
C:\blyadstvoeb
:Commands
[purity]
[resethosts]
[emptytemp]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
26.04.2011, 14:31
| #5 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Hier das Logfile: Code:
ATTFilter All processes killed
========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\34D27A2BB6A8FBF9 deleted successfully.
File move failed. C:\blyadstvoeb\blyadstvoeb.exe scheduled to be moved on reboot.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Anwendungsdaten\43nhg11de6n2f1e3bn40f5of0svg0r moved successfully.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\43nhg11de6n2f1e3bn40f5of0svg0r moved successfully.
========== FILES ==========
Item C:\ is whitelisted and cannot be moved.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
[EMPTYTEMP]
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: All Users
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: ***
->Temp folder emptied: 595065 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 14594597 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 700 bytes
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 16384 bytes
RecycleBin emptied: 0 bytes
Total Files Cleaned = 15,00 mb
OTL by OldTimer - Version 3.2.22.3 log created on 04262011_151934
Files\Folders moved on Reboot...
C:\blyadstvoeb\blyadstvoeb.exe moved successfully.
C:\Dokumente und Einstellungen\***\Lokale Einstellungen\Temp\WCESLog.log moved successfully.
Registry entries deleted on Reboot...
Freundlicher Gruß Sandero |
|
26.04.2011, 14:44
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )  Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen!
__________________ --> Virus 'Spy.SpyEyes.SC1' gefunden |
|
27.04.2011, 15:37
| #7 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Auf die Eigenen Dateien konnte ich zugreifen, der Check mit dem tdsskiller ergab keine Funde. Auch Malwarebytes (-aktualisiert-) hat nichts gefunden. Gruß Sandero |
|
27.04.2011, 15:38
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.04.2011, 17:45
| #9 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Jou, hab ich. Dies ist die ComboFix- Log- Datei: Combofix Logfile: Code:
ATTFilter ComboFix 11-04-26.05 - *** 27.04.2011 18:32:47.1.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.1791.1330 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\cofi.exe
AV: AntiVir Desktop *Disabled/Outdated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\blyadstvoeb
c:\dokumente und einstellungen\***\Anwendungsdaten\TrusteerHelp
c:\dokumente und einstellungen\***\Anwendungsdaten\TrusteerHelp\spuninst.exe
c:\dokumente und einstellungen\***\Anwendungsdaten\TrusteerHelp\spuninst.inf
c:\windows\system32\rnaph.dll
.
.
((((((((((((((((((((((( Dateien erstellt von 2011-03-27 bis 2011-04-27 ))))))))))))))))))))))))))))))
.
.
2011-04-27 16:19 . 2011-04-27 16:19 -------- d-----w- c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Google
2011-04-27 16:16 . 2011-04-27 16:16 -------- d-----w- c:\programme\CCleaner
2011-04-27 16:14 . 2011-04-27 16:20 -------- d-----w- c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Temp
2011-04-27 16:14 . 2011-04-27 16:14 -------- d-----w- c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Google
2011-04-27 16:14 . 2011-04-27 16:21 -------- d-----w- c:\programme\Google
2011-04-27 16:14 . 2011-04-27 16:14 -------- d-----w- c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Google
2011-04-23 21:17 . 2011-04-23 21:17 -------- d-sh--w- c:\dokumente und einstellungen\LocalService\IETldCache
2011-04-23 07:53 . 2011-04-23 07:53 -------- d-sh--w- c:\dokumente und einstellungen\NetworkService\IETldCache
2011-04-23 07:53 . 2011-04-23 07:53 -------- d-----r- c:\dokumente und einstellungen\NetworkService\Favoriten
2011-04-23 07:53 . 2011-04-23 07:53 -------- d-----r- c:\dokumente und einstellungen\NetworkService\Eigene Dateien
2011-04-23 07:53 . 2011-04-23 07:53 -------- d-----w- c:\dokumente und einstellungen\NetworkService\Startmenü
2011-04-14 12:02 . 2011-04-14 12:02 -------- d-----w- C:\_OTL
2011-04-11 10:42 . 2011-04-11 10:42 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\Uniblue
2011-04-11 10:42 . 2011-04-11 10:42 -------- d-----w- c:\programme\Uniblue
2011-04-11 10:42 . 2011-04-11 10:42 -------- d-----w- c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\PackageAware
2011-04-09 11:50 . 2011-04-09 11:51 -------- d-----w- c:\dokumente und einstellungen\Administrator
2011-04-08 22:30 . 2011-04-24 11:39 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\Comms
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-03-18 13:34 . 2010-12-28 23:34 137656 ----a-w- c:\windows\system32\drivers\avipbb.sys
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2006-06-01 94208]
"pdfSaver3"="c:\programme\S.A.D\PDF-XChange 3 Pro\pdfSaver\pdfSaver3.exe" [2004-06-09 385024]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-05-02 13529088]
"nwiz"="nwiz.exe" [2008-05-02 1630208]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-05-02 86016]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"RTHDCPL"="RTHDCPL.EXE" [2008-10-28 17331200]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-12-13 281768]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2010-12-06 74752]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-02-18 248040]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-02-28 15360]
.
c:\dokumente und einstellungen\***\Startmen\Programme\Autostart\
Adobe Gamma.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2010-12-31 110592]
OpenOffice.org 3.2.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2010-5-20 1195008]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Gamma Loader.exe.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2010-12-31 110592]
Microsoft Office.lnk - c:\programme\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]
WinZip Quick Pick.lnk - c:\programme\WinZip\WZQKPICK.EXE [2010-12-31 106560]
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableNotifications"= 1 (0x1)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Macromedia\\FreeHand MX\\FreeHand MX.exe"=
"c:\\Programme\\Winamp\\winamp.exe"=
"c:\\Programme\\Opera\\opera.exe"=
"c:\programme\Microsoft ActiveSync\rapimgr.exe"= c:\programme\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"c:\programme\Microsoft ActiveSync\wcescomm.exe"= c:\programme\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"c:\programme\Microsoft ActiveSync\WCESMgr.exe"= c:\programme\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
"c:\\Program Files\\WS_FTP\\WS_FTP95.exe"=
"c:\\xampp\\mysql\\bin\\mysqld.exe"=
"c:\\xampp\\apache\\bin\\apache.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service
.
R0 PDDSLHND;PDDSLHND;c:\windows\system32\drivers\PDDSLHND.SYS [29.12.2010 00:32 15187]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [29.12.2010 01:34 135336]
R2 Asapi;Asapi;c:\windows\system32\drivers\asapi.sys [31.12.2010 13:16 8768]
R3 PDDSLADP;ProDyne DSL Adapter;c:\windows\system32\drivers\PDDSLADP.SYS [29.12.2010 00:32 15571]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [27.04.2011 18:14 136176]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - GUPDATE
.
Inhalt des "geplante Tasks" Ordners
.
2011-04-27 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2011-04-27 16:14]
.
2011-04-27 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2011-04-27 16:14]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.alice-dsl.de/
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
TCP: {23178DFF-6001-42B0-A90E-DFD213F20290} = 62.109.123.6 213.191.92.87
FF - ProfilePath - c:\dokumente und einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\fbwy9sr7.default\
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKCU-Run-ActiveX Cache Browser - c:\dokumente und einstellungen\***\anwendungsdaten\trusteerhelp\spuninst.exe
HKLM-Run-NWEReboot - (no file)
HKLM-Run-pdfSaver3 - (no file)
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-04-27 18:35
Windows 5.1.2600 Service Pack 2 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
Zeit der Fertigstellung: 2011-04-27 18:35:51
ComboFix-quarantined-files.txt 2011-04-27 16:35
.
Vor Suchlauf: 8 Verzeichnis(se), 138.251.411.456 Bytes frei
Nach Suchlauf: 10 Verzeichnis(se), 138.214.825.984 Bytes frei
.
WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect /usepmtimer
.
- - End Of File - - FDE11FF7E27114B5B405DDF8AB324A9D
(Ich hab vor'm Scan den >Bildschirmschoner ausgestellt. Wusste nicht, ob der möglicherweise auch das Projekt gefährden kann?) Gruß Sandero |
|
27.04.2011, 18:43
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
27.04.2011, 23:15
| #11 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Ookay- hoffentlich hab ich alles richtig verstanden: 1. Gmer GMER Logfile: Code:
ATTFilter GMER 1.0.15.15570 - hxxp://www.gmer.net
Rootkit scan 2011-04-27 23:26:45
Windows 5.1.2600 Service Pack 2 Harddisk0\DR0 -> \Device\Scsi\nvgts1Port2Path0Target0Lun0 Hitachi_ rev.GM2O
Running: exbhitil.exe; Driver: C:\DOKUME~1\***\LOKALE~1\Temp\ugtdipoc.sys
---- System - GMER 1.0.15 ----
SSDT AB11A13E ZwCreateKey
SSDT AB11A134 ZwCreateThread
SSDT AB11A143 ZwDeleteKey
SSDT AB11A14D ZwDeleteValueKey
SSDT AB11A152 ZwLoadKey
SSDT AB11A120 ZwOpenProcess
SSDT AB11A125 ZwOpenThread
SSDT AB11A15C ZwReplaceKey
SSDT AB11A157 ZwRestoreKey
SSDT AB11A148 ZwSetValueKey
Code \??\C:\DOKUME~1\***\LOKALE~1\Temp\catchme.sys pIofCallDriver
---- Kernel code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xB95AB360, 0x372FAD, 0xE8000020]
? C:\WINDOWS\system32\Drivers\PROCEXP113.SYS Das System kann die angegebene Datei nicht finden. !
? C:\DOKUME~1\***\LOKALE~1\Temp\catchme.sys Das System kann die angegebene Datei nicht finden. !
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol] [BA4BD4FE] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol] [BA4BD52C] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRequest] [BA4BD54E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter] [BA4BD20E] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
IAT \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter] [BA4BD256] PDDSLHND.sys (ProDyne DSL Handler/ProDyne)
---- Devices - GMER 1.0.15 ----
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- EOF - GMER 1.0.15 ----
2.Osam Code:
ATTFilter OSAM Logfile: Code:
ATTFilter MBRCheck, version 1.2.3
(c) 2010, AD
Command-line:
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x000000fc
Kernel Drivers (total 119):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E3000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBA0B8000 MountMgr.sys
0xB9F48000 ftdisk.sys
0xBA330000 PartMgr.sys
0xBA0C8000 VolSnap.sys
0xB9F30000 atapi.sys
0xB9F0C000 nvgts.sys
0xB9EF4000 \WINDOWS\system32\DRIVERS\SCSIPORT.SYS
0xBA0D8000 disk.sys
0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9ED5000 fltMgr.sys
0xB9EC3000 sr.sys
0xBA0F8000 PxHelp20.sys
0xB9EAC000 KSecDD.sys
0xB9E1F000 Ntfs.sys
0xB9DF2000 NDIS.sys
0xB9DD7000 Mup.sys
0xBA4BC000 PDDSLHND.sys
0xBA208000 \SystemRoot\system32\DRIVERS\AmdK8.sys
0xB9D51000 \SystemRoot\system32\DRIVERS\parport.sys
0xBA218000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBA3B8000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA3C0000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xB9D40000 \SystemRoot\system32\DRIVERS\serial.sys
0xBA59C000 \SystemRoot\system32\DRIVERS\serenum.sys
0xBA3C8000 \SystemRoot\system32\DRIVERS\usbohci.sys
0xB9D1D000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA3D0000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB9CF8000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xBA228000 \SystemRoot\system32\DRIVERS\nvnetbus.sys
0xB9C0F000 \SystemRoot\system32\DRIVERS\NVNRM.SYS
0xBA238000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBA248000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xBA258000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9BEC000 \SystemRoot\system32\DRIVERS\ks.sys
0xB95AB000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB9597000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xBA6A8000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA268000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB9DB3000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB9580000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA288000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA298000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA3E8000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB93EA000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA2A8000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA450000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA458000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA53C000 \SystemRoot\system32\DRIVERS\PDDSLADP.SYS
0xBA138000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA5D2000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB8A79000 \SystemRoot\system32\DRIVERS\update.sys
0xBA540000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB7B69000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB938A000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBA64C000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBA128000 \SystemRoot\system32\DRIVERS\NVENETFD.sys
0xAE17F000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xAE148000 \SystemRoot\system32\drivers\portcls.sys
0xBA1E8000 \SystemRoot\system32\drivers\drmk.sys
0xBA636000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xAB573000 \SystemRoot\System32\Drivers\Null.SYS
0xAC60F000 \SystemRoot\System32\Drivers\Beep.SYS
0xAB42F000 \SystemRoot\System32\drivers\vga.sys
0xAC60D000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xAC60B000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xAB427000 \SystemRoot\System32\Drivers\Msfs.SYS
0xAB41F000 \SystemRoot\System32\Drivers\Npfs.SYS
0xAC01A000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xA9C64000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xA9C0C000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xA9BE4000 \SystemRoot\system32\DRIVERS\netbt.sys
0xA9BC3000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xA9BA1000 \SystemRoot\System32\drivers\afd.sys
0xAB982000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xAB972000 \SystemRoot\system32\DRIVERS\netbios.sys
0xAB417000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xA9B75000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xA9B06000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xAB952000 \SystemRoot\System32\Drivers\Fips.SYS
0xA9AE0000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xAC603000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xAB0AC000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xAAF78000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xAAF70000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0xAB2BE000 \SystemRoot\system32\DRIVERS\usbscan.sys
0xAAF68000 \SystemRoot\system32\DRIVERS\usbprint.sys
0xAB2BA000 \SystemRoot\System32\Drivers\dump_diskdump.sys
0xA9A92000 \SystemRoot\System32\Drivers\dump_nvgts.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0xAA3E1000 \SystemRoot\System32\drivers\Dxapi.sys
0xAAF58000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xBA7B9000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xA9010000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xAD125000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA8FAB000 \SystemRoot\system32\drivers\wdmaud.sys
0xB7B19000 \SystemRoot\system32\drivers\sysaudio.sys
0xA8E17000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xA8DF4000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xBA65E000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xBA668000 \SystemRoot\System32\Drivers\Asapi.SYS
0xA8A86000 \SystemRoot\system32\DRIVERS\srv.sys
0xA8775000 \SystemRoot\System32\Drivers\HTTP.sys
0xBA5EE000 \??\C:\WINDOWS\system32\Drivers\PROCEXP113.SYS
0xBA340000 \??\C:\DOKUME~1\***\LOKALE~1\Temp\catchme.sys
0xA7A6E000 \??\C:\DOKUME~1\***\LOKALE~1\Temp\ugtdipoc.sys
0x7C910000 \WINDOWS\system32\ntdll.dll
Processes (total 36):
0 System Idle Process
4 System
600 C:\WINDOWS\system32\smss.exe
648 csrss.exe
672 C:\WINDOWS\system32\winlogon.exe
716 C:\WINDOWS\system32\services.exe
728 C:\WINDOWS\system32\lsass.exe
928 C:\WINDOWS\system32\svchost.exe
972 svchost.exe
1068 C:\WINDOWS\system32\svchost.exe
1172 svchost.exe
1232 svchost.exe
1408 C:\WINDOWS\system32\spoolsv.exe
1496 C:\Programme\Avira\AntiVir Desktop\sched.exe
1736 svchost.exe
1868 C:\WINDOWS\RTHDCPL.EXE
1884 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
1900 C:\Programme\Winamp\winampa.exe
1908 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1920 C:\WINDOWS\system32\ctfmon.exe
1928 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
1944 C:\Programme\Microsoft ActiveSync\wcescomm.exe
1952 C:\Programme\S.A.D\PDF-XChange 3 Pro\pdfSaver\pdfSaver3.exe
412 C:\Programme\OpenOffice.org 3\program\soffice.exe
448 C:\Programme\OpenOffice.org 3\program\soffice.bin
224 C:\Programme\Avira\AntiVir Desktop\avguard.exe
252 C:\Programme\Java\jre6\bin\jqs.exe
492 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
516 C:\WINDOWS\system32\nvsvc32.exe
632 C:\WINDOWS\system32\svchost.exe
1008 wdfmgr.exe
2380 C:\WINDOWS\system32\wscntfy.exe
2496 alg.exe
2196 C:\WINDOWS\explorer.exe
2784 C:\Programme\Mozilla Firefox\firefox.exe
3920 C:\Dokumente und Einstellungen\***\Desktop\MBRCheck.exe
\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000015`f8d00000 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
PhysicalDrive0 Model Number: HitachiHDP725025GLA380, Rev: GM2OA5CA
Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
Done!
|
|
28.04.2011, 12:49
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Wenn nur Cookies und kleiner Überreste gefunden wurden, bitte sofort das SP3 installieren! Gib dann Bescheid wenn das getan ist.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
29.04.2011, 09:41
| #13 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Hallo, Malwarebytes und SUPERAntiSpyware haben nix gefunden. SP3 habe ich installiert, SASW dann wieder deinstalliert. Gruß Sandero |
|
29.04.2011, 12:03
| #14 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | Virus 'Spy.SpyEyes.SC1' gefunden Dann wären wir durch!  Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.
__________________ Logfiles bitte immer in CODE-Tags posten |
|
29.04.2011, 13:22
| #15 |
| | Virus 'Spy.SpyEyes.SC1' gefunden Yippie! Vielen Dank für die kompetente und ausführliche Beratung- das hat mir seehr viel Mühe erspart. Na, ich denk mal, ich klick die nächsten Tage mal den Konto- Link! Viele Grüße Sandero |
|
| Themen zu Virus 'Spy.SpyEyes.SC1' gefunden |
| aktuell, antivir, dateien, eindringling, entfernen, erfolgreich, erstell, erstellt, fund, hochfahren, hoffe, jahre, löschen, löschen?, melde, meldet, neue, neuen, plötzlich, probleme, rechner, scan, spy.spyeyes.sc1, suchfunktion, verdächtige, virenscan, virus |
Linear-Darstellung
