Trojaner-Board - delayed write failed Virus schwarzer Bildschirm

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - delayed write failed Virus schwarzer Bildschirm (https://www.trojaner-board.de/107661-delayed-write-failed-virus-schwarzer-bildschirm.html)

hi Arne,
bin mir nicht sicher, ob ich es richtig gemacht habe.
Anbei der Screenshot.
Gruesse,
Olivia

Nein :D
Klick den unteren Bereich an uns sag neue Partition, FAT => ok
Wenn du das trotzdem nicht schaffst einfach das 1MB Häppchen anklicken => Info
Das Info Fenster offen lassen, Screenshot machen und hier poste

sorry, bekomm ich nicht hin...

Ok. Aber der screenshot reicht mir. Wie gesagt was jetzt folgt und du hast Datenverluste seist du jetzt nochmal ausdrücklich gewarnt, alles richtig umzusetzen und vorher alles wichtige auf externe Platten zu sichern. Wenn du sicher bist, dass alle wichtige Daten in Sicherheit sind und die externen Datenträger auch nicht mehr am Rechner angeschlossen sind, dann fahre fort wir folgt:

Öffne das Terminal in PartedMagic. Ist unten in der Quicklaunch der schwarze Monitor. Eine schwarze Konsole öffnet sich. Tipp dort ein (du solltest root@partedmagic in der Zeile lesen können)

WARNUNG: Folgender Befehl auf eigene Gefahr! Für Datenverluste nicht rumheulen und wer das mitliest soll den Befehl ebenfalls nicht so ausführen!!

@Olivia: Bitte lieber eher 3x als 2x prüfen ob du alles so richtig eingetippt hast NACH der Datensicherung:

Code:

dd if=/dev/zero of=/dev/sda seek=625140401 bs=512

Wenn du dir sicher bist das genau so eingetippt zu haben wie es da bei mir steht, dann drücke die Eingabetaste. Es dauert nicht lange, dann hast du wieder die Zeile und sinngemäß so etwas wie

2048+0 Datensätze ein
2048+0 Datensätze aus

Wenn das so rauskaum (können auch 2047 statt 2048 sein) starte den Rechner neu und boote Windows.
Mach dort einen neuen scan mit aswMBR und poste wieder das Log.

Code:

aswMBR version 0.9.9.1297 Copyright(c) 2011 AVAST Software

Run date: 2012-01-13 12:43:29

-----------------------------

12:43:29.478    OS Version: Windows 6.0.6001 Service Pack 1

12:43:29.478    Number of processors: 2 586 0x1706

12:43:29.478    ComputerName: SCHATZIPU-PC  UserName: Schatzipu

12:43:34.489    Initialize success

12:43:46.519    AVAST engine defs: 12011201

12:43:51.090    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1

12:43:51.090    Disk 0 Vendor: TOSHIBA_ LV01 Size: 305245MB BusType: 3

12:43:51.090    Disk 1  \Device\Harddisk1\DR1 -> \Device\0000006f

12:43:51.106    Disk 1 Vendor: RICOH 01 Size: 305245MB BusType: 0

12:43:51.106    Disk 2  \Device\Harddisk2\DR2 -> \Device\00000070

12:43:51.121    Disk 2 Vendor: RICOH 02 Size: 305245MB BusType: 0

12:43:51.153    Disk 0 MBR read successfully

12:43:51.153    Disk 0 MBR scan

12:43:51.168    Disk 0 Windows VISTA default MBR code

12:43:51.215    Disk 0 Partition 1 80 (A) 27 Hidden NTFS WinRE NTFS        11485 MB offset 2048

12:43:51.309    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS       293758 MB offset 23523328

12:43:51.324    Disk 0 Partition 3 00     07    HPFS/NTFS                 1 MB offset 625140400

12:43:51.340    Disk 0 scanning sectors +625142448

12:43:51.418    Disk 0 scanning C:\Windows\system32\drivers

12:44:11.888    Service scanning

12:44:13.963    Modules scanning

12:44:27.707    Disk 0 trace - called modules:

12:44:27.754    ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys partmgr.sys volmgr.sys ecache.sys volsnap.sys Ntfs.sys 

12:44:27.770    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x861d7ac8]

12:44:27.770    3 CLASSPNP.SYS[8a9aa745] -> nt!IofCallDriver -> [0x84d508d8]

12:44:27.785    5 acpi.sys[806886a0] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0x84d5c028]

12:44:30.204    AVAST engine scan C:\Windows

12:44:32.872    File: C:\Windows\PEV.exe  **INFECTED** Win32:Rootkit-gen [Rtk]

12:44:38.336    AVAST engine scan C:\Windows\system32

12:49:38.418    AVAST engine scan C:\Windows\system32\drivers

12:50:32.571    AVAST engine scan C:\Users\Schatzipu

13:48:34.818    AVAST engine scan C:\ProgramData

14:13:12.574    Scan finished successfully

14:36:23.899    Disk 0 MBR has been saved successfully to "C:\Users\Schatzipu\Desktop\MBR.dat"

14:36:23.931    The log file has been saved successfully to "C:\Users\Schatzipu\Desktop\aswMBR2.txt"

Sehr schön hat gut geklappt oder war schwierig zu verstehen meine Anleitung? :)

Zitat:

File: C:\Windows\PEV.exe **INFECTED** Win32:Rootkit-gen [Rtk]

Ein ein Fehlalarm gehört zu Combofix
Die die KOntrollscans auch durch sind kann ich nur noch fragen ob dein Rechner soweit wieder im Lot ist oder ob noch was offen ist.
Falls die dritte Partition noch auftaucht, einfach wieder löschen über die Datenträgerverwaltung in Windows. Notfalls fragen wenn du dir unsicher bist.

hi Arne,
vielen Dank - war leicht zu folgen :)
Im Startmenü sind die Ordner leer, obwohl sie im Explorer nun zu sehen sind. Weißt du, wie ich das wieder hinbekomme?
Ich habe insgesamt den Eindruck, dass der Rechner etwas langsamer läuft. Möchte ich zB eine einefache Textdatei vom Desktop löschen, löscht er sie zwar, aber das Fenster "Recyceln von 1 Element" bleibt stecken. Wenn ich versuche, es über den Task-Manager zu schließen, meldet sich zuerst kurz Windows Vista mit dem Herunterfahren-Schirm und dann der Programm Manager mit "Das Programm reagiert nicht."
Sind das die Nachwehen des Schädlings? Sollte ich einige Programme auch wieder neu installieren bzw. auch auf einen anderen Virenschutz wechseln?
Vielen lieben Dank für deine Hilfe.
Grüße,
Olivia

Erstell mal über die Systemsteuerung/Benutzerkonten einen neuen Benutzer zB Test
Log dich aus und mit Test ein.
Schau nach ob es dort auch langsamer ist als gewöhnlich und ob dort die Stermenüs auch leer sind.-

hallo Arne,
verhält sich bei dem neuen Benutzerkonto leider genau so.
Grüße,
Olivia

Was denn? Beides also langsam und Startmenü leer oder nur eins von beiden?

Na klasse, dann hat der Schädling doch schon einiges zerstört, oftmals lassen sich solche Auswirkungen durch eine Bereinigung aber beheben bei dir wohl nicht :(
Du solltest eine Reaparatur- oder Neuinstallation vornehmen

hi Arne,
werde ich wohl machen müssen.
Vielen Dank auf alle Fälle für deine Hilfe.
Nur noch eine letzte Frage: hast du einen Tipp bzg. Virenprogramm??
Grüße,
Olivia

Und noch eine Sache: die externe Festplattte - muss ich diese nun eigentlich auch formatieren?

Zitat:

muss ich diese nun eigentlich auch formatieren?

Nein.

Zitat:

hast du einen Tipp bzg. Virenprogramm??

Es heißt AntiVirenProgramm (AVP) oder Virenscanner aber nicht Virenprogramm.

Die Frage - welcher Virenscanner oder ob der installierte reicht - taucht ständig auf.
Der Virenscanner - egal welcher - kann und wird niemals 100% Schutz bieten können. Neue/unbekannte Schädlinge können immer durch die Lappen gehen. Geld ausgeben muss man nicht für einen Scanner, sowas wie Avast oder Microsoft Security Essentials sind für die privaten Gebrauch völlig ausreichend.
Abgesehen davon nutzen verschiedene Virenscanner unterschiedliche Signaturen und Techniken, das führt dazu, dass zB Scanner1 Schädling X entdeckt, aber Schädling Y übersieht. Scanner2 erkennt Schädling Y, dafür aber Schädling X nicht...
Wichtiger ist, dass du dich an Regeln hälst. Der beste Virenscanner bringt nichts, wenn du dich falsch verhälst und fahrlässig/unvorsichtig bist. Airbag und Sicherheitsgurt im Auto sind ja auch keine Gründe dafür auf die Verkehrsregeln zu pfeifen.

Halte Dich am besten grob an diese Regeln:

Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!!
Halte Windows und alle verwendeten Programme immer aktuell - unterstützen kann dich dabei Secunia PSI
Führe regelmäßig Backups auf externe Medien durch
Arbeite mit eingeschränkten Rechten
Nutze sicherere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen
automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko
Bei der Installation von Software möglichst darauf achten, dass die Setups aus offiziellen Quellen stammen und du bei der Installation nach Möglichkeit die benutzerdefinierte Methode wählst - dann hast du die Möglichkeit etwaigen Schrott (wie Toolbars oder sowas wie RegistryBooster) abzuwählen, welcher sonst einfach mitinstalliert wird.
Bösartige bzw. ungewollte Sites von vornherein blockieren lassen mit Hilfe der MVPS Hosts File => Blocking Unwanted Parasites with a Hosts File

Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar?