trojana olmarik auf dem notebook
 

hallo,

mein nod 32 hat den olmarik trojana auf meinem rechner entdeckt und konnte ihn nicht löschen. ich habe mehrmals den rechner neu aufgesetzt aber keinen erfolg gehabt. mich dann im inet belesen und hoffe ihr könnt mir jetzt helfen.

als virenprogramme habe ich avast und nod 32 ausprobiert.
malwarebyts hat nichts gefunden genause wie gmer.

einen log von ComboFix habe ich auch, wo bei der verfälscht sein könnte, da avast noch irgendwie aktiv war.

bitte sagt mir welchen log ihr jetzt tatsächlich braucht, da ich den überblick allmählich verliere.

system:
asus x72vn
win 7 ulti

danke im vorraus.

Dann hast du da etwas nicht richtig umgesetzt. Beschreib mal wie du vorgegangen bist.
Ein echtes Neuaufsetzen setzt ein Formatieren voraus und man darf keine potentiell gefährlichen Dateitypen mehr auf dem frischen System ausführen, wenn diese Dateien vom infizierten System verarbeitet wurden.

Bitte NICHT einfach mal so CF ausführen! Besser wäre das Log von NOD32 gewesen!

http://www.trojaner-board.de/images/icons/icon4.gif Einen ganz klaren Hinweis gibt es auch zu http://www.trojaner-board.de/95175-combofix.html http://www.trojaner-board.de/images/icons/icon4.gif

hallo cosinus,

um den pc neu zu machen, habe ich die windos cd eingelegt. dann alle partitionen gelöscht/ wieder zusammengestzt und auf den knopf formatieren gedrückt. dann installiert und die 2 platte nochmal über den arbeitsplatz formatiert (keine quick formatierung).

ja, gelesen hab ich den hinweis, aber...
combo hat aber nix kaputt gemacht, pc läuft noch.


nod log folgt in kürze.

hier der log von nod


Log
Version der Signaturdatenbank: 6557 (20111019)
Datum: 19.10.2011 Uhrzeit: 18:42:47
Geprüfte Laufwerke, Ordner und Dateien: Arbeitsspeicher;C:\Bootsektor;D:\Bootsektor;C:\;D:\
Master Boot Record (MBR) des physischen Datenträgers 1. - Win32/Olmarik.AJL Trojaner - Aktionsauswahl aufgeschoben bis zum Abschluss des Scans
Master Boot Record (MBR) des physischen Datenträgers 1. - Win32/Olmarik.AJL Trojaner - Aktionsauswahl aufgeschoben bis zum Abschluss des Scans
C:\hiberfil.sys - Fehler beim Öffnen [4]
C:\pagefile.sys - Fehler beim Öffnen [4]
C:\Program Files\AVAST Software\Avast\WebRep\FF\chrome.manifest » MIME - - OK (eingebettete Archive NICHT geprüft)
C:\Program Files (x86)\T-Mobile\InternetManager_H\OCx32\addon\chrome.manifest » MIME - - OK (eingebettete Archive NICHT geprüft)
C:\Program Files (x86)\T-Mobile\InternetManager_H\OCx64\addon\chrome.manifest » MIME - - OK (eingebettete Archive NICHT geprüft)
C:\ProgramData\Microsoft\Search\Data\Applications\Windows\MSS.log - Fehler beim Öffnen [4]
C:\ProgramData\Microsoft\Search\Data\Applications\Windows\MSStmp.log - Fehler beim Öffnen [4]
C:\ProgramData\Microsoft\Search\Data\Applications\Windows\tmp.edb - Fehler beim Öffnen [4]
C:\ProgramData\Microsoft\Search\Data\Applications\Windows\Windows.edb - Fehler beim Öffnen [4]
C:\ProgramData\Microsoft\Windows Defender\IMpService925A3ACA-C353-458A-AC8D-A7E5EB378092.lock - Fehler beim Öffnen [4]
C:\System Volume Information\Syscache.hve - Fehler beim Öffnen [4]
C:\System Volume Information\Syscache.hve.LOG1 - Fehler beim Öffnen [4]
C:\System Volume Information\Syscache.hve.LOG2 - Fehler beim Öffnen [4]
C:\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{72f52a3d-f807-11e0-82d6-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{83764a9f-f8ed-11e0-b67f-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{83764ab0-f8ed-11e0-b67f-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{83764ab4-f8ed-11e0-b67f-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{a34347a6-f8c5-11e0-8ded-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{bb6ad011-f8d6-11e0-8b00-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{f8502b5e-f99d-11e0-86e2-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{f8502b62-f99d-11e0-86e2-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{f8502b6d-f99d-11e0-86e2-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{f8502b71-f99d-11e0-86e2-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\System Volume Information\{f8502b81-f99d-11e0-86e2-00235492fe61}{3808876b-c176-4e48-b7ae-04046e6cc752} - Fehler beim Öffnen [4]
C:\Users\All Users\Microsoft\Search\Data\Applications\Windows\MSS.log - Fehler beim Öffnen [4]
C:\Users\All Users\Microsoft\Search\Data\Applications\Windows\MSStmp.log - Fehler beim Öffnen [4]
C:\Users\All Users\Microsoft\Search\Data\Applications\Windows\tmp.edb - Fehler beim Öffnen [4]
C:\Users\All Users\Microsoft\Search\Data\Applications\Windows\Windows.edb - Fehler beim Öffnen [4]
C:\Users\All Users\Microsoft\Windows Defender\IMpService925A3ACA-C353-458A-AC8D-A7E5EB378092.lock - Fehler beim Öffnen [4]
C:\Users\Fenris\NTUSER.DAT - Fehler beim Öffnen [4]
C:\Users\Fenris\ntuser.dat.LOG1 - Fehler beim Öffnen [4]
C:\Users\Fenris\ntuser.dat.LOG2 - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Microsoft\Windows\UsrClass.dat - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Microsoft\Windows\UsrClass.dat.LOG1 - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Microsoft\Windows\UsrClass.dat.LOG2 - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\64MWENLE\7z920-x64[1].msi » MSI - Archiv beschädigt - Datei kann nicht extrahiert werden
C:\Users\Fenris\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\MELIORZZ\mbam-setup-1.51.2.1300[1].exe » INNO » files.info - Interner Fehler (10010)
C:\Users\Fenris\AppData\Local\Temp\~DF148819C914264CFA.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF188A7F8987A8A31D.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF34687BD92C83DA61.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF46D377A8669F06FD.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF481800CC3CD16440.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF5E9EC8C2AC21D1E6.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF6351DEFC2D6443E0.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF711EEC8734086BB5.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF7498B9E67F014DE8.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF8FD49116AD7B94DE.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF91F328C518B361CE.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF9BCB9F38C17A0BBC.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF9C0E9D2459FE939C.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DF9E7D600EC3173449.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFBF902E643E776B4A.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFCE1AC90A6A17C308.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFCFC3EAC25F55F6EE.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFD2E20948B86C570B.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFD45D668132B7CF24.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFEAA332624E7F03F8.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFF1D076996B976704.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\AppData\Local\Temp\~DFFA392A0A2E689618.TMP - Fehler beim Öffnen [4]
C:\Users\Fenris\Desktop\mbam-setup-1.51.2.1300.exe » INNO » files.info - Interner Fehler (10010)
C:\Users\UpdatusUser\NTUSER.DAT - Fehler beim Öffnen [4]
C:\Users\UpdatusUser\ntuser.dat.LOG1 - Fehler beim Öffnen [4]
C:\Users\UpdatusUser\ntuser.dat.LOG2 - Fehler beim Öffnen [4]
C:\Users\UpdatusUser\AppData\Local\Microsoft\Windows\UsrClass.dat - Fehler beim Öffnen [4]
C:\Users\UpdatusUser\AppData\Local\Microsoft\Windows\UsrClass.dat.LOG1 - Fehler beim Öffnen [4]
C:\Users\UpdatusUser\AppData\Local\Microsoft\Windows\UsrClass.dat.LOG2 - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT.LOG1 - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT.LOG2 - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT.LOG1 - Fehler beim Öffnen [4]
C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT.LOG2 - Fehler beim Öffnen [4]
C:\Windows\System32\catroot2\edb.log - Fehler beim Öffnen [4]
C:\Windows\System32\catroot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb - Fehler beim Öffnen [4]
C:\Windows\System32\catroot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb - Fehler beim Öffnen [4]
Geprüfte Objekte: 137939
Erkannte Bedrohungen: 2
Anzahl gesäuberter Objekte: 0
Abgeschlossen: 18:59:53 Benötigte Zeit: 1026 Sek. (00:17:06)

Hinweise:
[4] Objekt kann nicht geöffnet werden. Möglicherweise in Benutzung durch eine andere Anwendung oder das Betriebssystem.

Der MBR ist noch infiziert. Wie viele Festplatten hast du an diesem Rechner dran?

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe Vista und Win7 User aswMBR per Rechtsklick "als Administrator ausführen"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

ich habe 2 "fest" eingebaute festplatten mit 320gb im rechner. beide nicht in partitionen unterteilt zzt.


log von aswmr


aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-10-19 20:54:06
-----------------------------
20:54:06.367 OS Version: Windows x64 6.1.7600
20:54:06.367 Number of processors: 2 586 0x1706
20:54:06.367 ComputerName: FENRIS-PC UserName: Fenris
20:54:08.277 Initialize success
20:54:08.497 AVAST engine defs: 11101901
20:54:12.703 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-2
20:54:12.703 Disk 0 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
20:54:12.719 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP0T0L0-0
20:54:12.719 Disk 1 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
20:54:14.731 Disk 0 MBR read successfully
20:54:14.747 Disk 0 MBR scan
20:54:14.747 Disk 0 MBR:Alureon-G [Rtk]
20:54:14.762 Disk 0 TDL4@MBR code has been found
20:54:14.762 Disk 0 MBR [TDL4] **ROOTKIT**
20:54:14.762 Service scanning
20:54:18.272 Modules scanning
20:54:18.272 Disk 0 trace - called modules:
20:54:18.288 ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys
20:54:18.803 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8004b11060]
20:54:18.834 3 CLASSPNP.SYS[fffff8800145143f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-2[0xfffffa80046b6060]
20:54:19.411 AVAST engine scan C:\Windows
20:54:22.594 AVAST engine scan C:\Windows\system32
20:55:41.343 AVAST engine scan C:\Windows\system32\drivers
20:55:50.500 AVAST engine scan C:\Users\Fenris
20:58:43.660 AVAST engine scan C:\ProgramData
20:58:59.260 Scan finished successfully
20:59:19.384 Disk 0 MBR has been saved successfully to "C:\Users\Fenris\Desktop\MBR.dat"
20:59:19.400 The log file has been saved successfully to "C:\Users\Fenris\Desktop\aswMBR.txt"

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-10-19 20:54:06
-----------------------------
20:54:06.367 OS Version: Windows x64 6.1.7600
20:54:06.367 Number of processors: 2 586 0x1706
20:54:06.367 ComputerName: FENRIS-PC UserName: Fenris
20:54:08.277 Initialize success
20:54:08.497 AVAST engine defs: 11101901
20:54:12.703 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-2
20:54:12.703 Disk 0 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
20:54:12.719 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP0T0L0-0
20:54:12.719 Disk 1 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
20:54:14.731 Disk 0 MBR read successfully
20:54:14.747 Disk 0 MBR scan
20:54:14.747 Disk 0 MBR:Alureon-G [Rtk]
20:54:14.762 Disk 0 TDL4@MBR code has been found
20:54:14.762 Disk 0 MBR [TDL4] **ROOTKIT**
20:54:14.762 Service scanning
20:54:18.272 Modules scanning
20:54:18.272 Disk 0 trace - called modules:
20:54:18.288 ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys
20:54:18.803 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8004b11060]
20:54:18.834 3 CLASSPNP.SYS[fffff8800145143f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-2[0xfffffa80046b6060]
20:54:19.411 AVAST engine scan C:\Windows
20:54:22.594 AVAST engine scan C:\Windows\system32
20:55:41.343 AVAST engine scan C:\Windows\system32\drivers
20:55:50.500 AVAST engine scan C:\Users\Fenris
20:58:43.660 AVAST engine scan C:\ProgramData
20:58:59.260 Scan finished successfully
20:59:19.384 Disk 0 MBR has been saved successfully to "C:\Users\Fenris\Desktop\MBR.dat"
20:59:19.400 The log file has been saved successfully to "C:\Users\Fenris\Desktop\aswMBR.txt"

ich habe 2 festplatten im rechner beide nicht in partitionen eingteilt.

und ich merke jetzt wohl auch schon auswirkungen von mailware...

bei scans einfrieren des pcs und anmelden im forum is auch schwer

Wir sollten den MBR manuell fixen. Sichere für den Fall der Fälle alle wichtigen Daten.

Hast Du noch andere Betriebssysteme außer Win7 (64-Bit) installiert?
Wenn nicht: Schau mal hier => RescueDisc-Win7-64-Bit

Lad das iso runter, brenn es zB mit ImgBurn per Imagebrennfunktion auf eine CD und starte damit den Rechner (von dieser CD booten)

Falls Du eine normale Win7-Installations-DVD (64-Bit) hast, brauchst Du das o.g. Image nicht sondern kannst einfach von der dieser DVD booten.

Klick auf Computerreparaturoptionen, weiter, Eingabeaufforderung - die Konsole öffnet sich. Da bitte bootrec.exe /fixboot eintippen (mit enter bestätigen), dann bootrec.exe /fixmbr eintippen (mit enter bestätigen) - Rechner neustarten, CD vorher rausnehmen. Führe im normalen Windowsmodus MBRcheck bzw. aswmbr (je nachdem welches Tool ich dir vorhin aufgab) und wenn es geht GMER nochmals aus und poste die neuen Logs.

erstmal vielen dank für die mühe! aber ich werde am wochende mal mein altes vista drüber laufen lassen... vllt nutzt es ja für sowas.

das ding is immer noch da =o


aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-10-20 17:27:36
-----------------------------
17:27:36.983 OS Version: Windows x64 6.1.7600
17:27:36.983 Number of processors: 2 586 0x1706
17:27:36.984 ComputerName: FENRIS-PC UserName: Fenris
17:27:39.102 Initialize success
17:27:39.183 AVAST engine defs: 11102001
17:27:41.909 Disk 0 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0
17:27:41.909 Disk 0 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
17:27:41.909 Disk 1 (boot) \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP2T0L0-2
17:27:41.909 Disk 1 Vendor: ST9320320AS 0303 Size: 305245MB BusType: 11
17:27:43.937 Disk 1 MBR read successfully
17:27:43.952 Disk 1 MBR scan
17:27:43.952 Disk 1 MBR:Alureon-G [Rtk]
17:27:43.968 Disk 1 TDL4@MBR code has been found
17:27:43.968 Disk 1 MBR [TDL4] **ROOTKIT**
17:27:43.984 Service scanning
17:27:47.915 Modules scanning
17:27:47.915 Disk 1 trace - called modules:
17:27:47.930 ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys
17:27:47.946 1 nt!IofCallDriver -> \Device\Harddisk1\DR1[0xfffffa8004c2d550]
17:27:47.946 3 CLASSPNP.SYS[fffff880018c843f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-2[0xfffffa80046e6060]
17:27:48.913 AVAST engine scan C:\Windows
17:27:51.128 AVAST engine scan C:\Windows\system32
17:28:46.742 AVAST engine scan C:\Windows\system32\drivers
17:28:53.014 AVAST engine scan C:\Users\Fenris
17:31:20.138 AVAST engine scan C:\ProgramData
17:31:32.992 Scan finished successfully
17:32:21.383 Disk 1 MBR has been saved successfully to "C:\Users\Fenris\Desktop\MBR.dat"
17:32:21.399 The log file has been saved successfully to "C:\Users\Fenris\Desktop\aswMBR.txt"
17:35:46.810 Disk 1 MBR has been saved successfully to "C:\Users\Fenris\Desktop\MBR.dat"
17:35:46.810 The log file has been saved successfully to "C:\Users\Fenris\Desktop\aswMBR2.txt"

Ich glaube du hast die befehle nicht richtig eingetippt. => bootrec.exe /fixboot

zwischen dem bootrec.exe und /fixboot ist ein Leerzeichen! bei dem anderen Befehl natürlich auch. Bitte wiederholen.

nee, ich habe die befehle so eingegeben. da kam auch die erfolgsmeldung.

Ach jetzt seh ich es. Disk1 ist die 2. Festplatte. Hast du zwei baugleiche Platten im RAID-Verbund?

im raid verbunden? die sind vom hersteller eingebaut. gleich groß daher denke ich identisch, ja.

Die Frage nehm ich erstmal zurück ;)

Geh mal bitte über die Computerverwaltung in die Datenträgerverwaltung. Mach davon als Vollbild bitte einen Screenshot und poste diesen hier.