Trojaner-Board
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   PC langsam! Virus? (https://www.trojaner-board.de/110326-pc-langsam-virus.html)

cosinus 27.02.2012 11:19
Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.
  • Starte die aswMBR.exe - (aswMBR.exe Anleitung)
    Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
  • Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
    Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  • Klicke auf Scan.
  • Warte bitte bis Scan finished successfully im DOS-Fenster steht.
  • Drücke auf Save Log und speichere diese auf dem Desktop.
Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Terox 27.02.2012 12:55
So, also GMER hat funktioniert, hier die LOG:

Code:
GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-02-27 12:52:46
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\00000070 ST3250410AS rev.3.AAC
Running: 3wqtiz5z.exe; Driver: C:\DOKUME~1\user\LOKALE~1\Temp\pxtdypow.sys


---- System - GMER 1.0.15 ----

SSDT      BA6DEC8C                                                                                                                      ZwClose
SSDT      BA6DEC46                                                                                                                      ZwCreateKey
SSDT      BA6DEC96                                                                                                                      ZwCreateSection
SSDT      BA6DEC3C                                                                                                                      ZwCreateThread
SSDT      BA6DEC4B                                                                                                                      ZwDeleteKey
SSDT      BA6DEC55                                                                                                                      ZwDeleteValueKey
SSDT      BA6DEC87                                                                                                                      ZwDuplicateObject
SSDT      spiu.sys                                                                                                                      ZwEnumerateKey [0xB9ECDDA4]
SSDT      spiu.sys                                                                                                                      ZwEnumerateValueKey [0xB9ECE132]
SSDT      BA6DEC5A                                                                                                                      ZwLoadKey
SSDT      spiu.sys                                                                                                                      ZwOpenKey [0xB9EB50C0]
SSDT      BA6DEC28                                                                                                                      ZwOpenProcess
SSDT      BA6DEC2D                                                                                                                      ZwOpenThread
SSDT      spiu.sys                                                                                                                      ZwQueryKey [0xB9ECE20A]
SSDT      BA6DECAF                                                                                                                      ZwQueryValueKey
SSDT      BA6DEC64                                                                                                                      ZwReplaceKey
SSDT      BA6DECA0                                                                                                                      ZwRequestWaitReplyPort
SSDT      BA6DEC5F                                                                                                                      ZwRestoreKey
SSDT      BA6DEC9B                                                                                                                      ZwSetContextThread
SSDT      BA6DECA5                                                                                                                      ZwSetSecurityObject
SSDT      BA6DEC50                                                                                                                      ZwSetValueKey
SSDT      BA6DECAA                                                                                                                      ZwSystemDebugControl
SSDT      BA6DEC37                                                                                                                      ZwTerminateProcess

INT 0x62  ?                                                                                                                              89DCDBF8
INT 0x73  ?                                                                                                                              89A3ABF8
INT 0x83  ?                                                                                                                              89D5DBF8
INT 0xB4  ?                                                                                                                              89A3ABF8

---- Kernel code sections - GMER 1.0.15 ----

?        spiu.sys                                                                                                                      Das System kann die angegebene Datei nicht finden. !
?        Combo-Fix.sys                                                                                                                  Das System kann die angegebene Datei nicht finden. !
.text    USBPORT.SYS!DllUnload                                                                                                          B93E98AC 5 Bytes  JMP 89A3A1D8
.text    C:\WINDOWS\system32\DRIVERS\nv4_mini.sys                                                                                      section is writeable [0xB8CC9360, 0x32DEFD, 0xE8000020]
.text    a2y3dtqi.SYS                                                                                                                  B8C7C386 35 Bytes  [00, 00, 00, 00, 00, 00, 20, ...]
.text    a2y3dtqi.SYS                                                                                                                  B8C7C3AA 24 Bytes  [00, 00, 00, 00, 00, 00, 00, ...]
.text    a2y3dtqi.SYS                                                                                                                  B8C7C3C4 3 Bytes  [00, 80, 02]
.text    a2y3dtqi.SYS                                                                                                                  B8C7C3C9 1 Byte  [30]
.text    a2y3dtqi.SYS                                                                                                                  B8C7C3C9 11 Bytes  [30, 00, 00, 00, 5E, 02, 00, ...] {XOR [EAX], AL; ADD [EAX], AL; POP ESI; ADD AL, [EAX]; ADD [EAX], AL; ADD [EAX], AL}
.text    ...                                                                                                                           
.text    C:\WINDOWS\system32\DRIVERS\atksgt.sys                                                                                        section is writeable [0xB563F300, 0x3ACC8, 0xE8000020]
.text    C:\WINDOWS\system32\DRIVERS\lirsgt.sys                                                                                        section is writeable [0xBA378300, 0x1B7E, 0xE8000020]
?        C:\ComboFix\catchme.sys                                                                                                        Das System kann den angegebenen Pfad nicht finden. !
?        C:\WINDOWS\system32\Drivers\PROCEXP113.SYS                                                                                    Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text    C:\Programme\Mozilla Firefox\firefox.exe[3080] ntdll.dll!LdrLoadDll                                                            7C92632D 5 Bytes  JMP 004013F0 C:\Programme\Mozilla Firefox\firefox.exe (Firefox/Mozilla Corporation)

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT      atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                                            [B9EB6042] spiu.sys
IAT      atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                                    [B9EB613E] spiu.sys
IAT      atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                                            [B9EB60C0] spiu.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                                    [B9EB6800] spiu.sys
IAT      atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                                            [B9EB66D6] spiu.sys
IAT      \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                                            [B9EC5B90] spiu.sys
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KfAcquireSpinLock]                                                          18C4830E
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!READ_PORT_UCHAR]                                                            1C959E88
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KeGetCurrentIrql]                                                            9E880000
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KfRaiseIrql]                                                                00001CB1
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KfLowerIrql]                                                                0E798366
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!HalGetInterruptVector]                                                      74AAB000
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!HalTranslateBusAddress]                                                      8986C636
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KeStallExecutionProcessor]                                                  1A00001C
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!KfReleaseSpinLock]                                                          1C8B86C6
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!READ_PORT_BUFFER_USHORT]                                                    C6020000
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!READ_PORT_USHORT]                                                            001C9686
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                    86C60200
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[HAL.dll!WRITE_PORT_UCHAR]                                                            00001CB2
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[WMILIB.SYS!WmiSystemControl]                                                        8800001C
IAT      \SystemRoot\System32\Drivers\a2y3dtqi.SYS[WMILIB.SYS!WmiCompleteRequest]                                                      001CB99E

---- User IAT/EAT - GMER 1.0.15 ----

IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[808] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!GetProcAddress]            [00F52BC8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[808] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!UnhandledExceptionFilter]  [00F52CE9] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)
IAT      C:\Programme\Cisco Systems\VPN Client\cvpnd.exe[808] @ C:\WINDOWS\system32\msvcrt.dll [KERNEL32.dll!TerminateProcess]          [00F52CB8] C:\WINDOWS\system32\VSINIT.dll (TrueVector Service/Zone Labs, LLC)

---- Devices - GMER 1.0.15 ----

Device    \FileSystem\Ntfs \Ntfs                                                                                                        89D5C1F8
Device    \Driver\sptd \Device\3757243728                                                                                                spiu.sys
Device    \Driver\usbohci \Device\USBPDO-0                                                                                              89B981F8
Device    \Driver\usbehci \Device\USBPDO-1                                                                                              89B941F8
Device    \Driver\nvata \Device\00000070                                                                                                89D5D1F8
Device    \Driver\Ftdisk \Device\HarddiskVolume1                                                                                        89D5E1F8
Device    \Driver\Ftdisk \Device\HarddiskVolume2                                                                                        89D5E1F8
Device    \Driver\Cdrom \Device\CdRom0                                                                                                  89B8A1F8
Device    \Driver\atapi \Device\Ide\IdePort0                                                                                            [B9E2EB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device    \Driver\atapi \Device\Ide\IdePort1                                                                                            [B9E2EB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device    \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-4                                                                                    [B9E2EB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device    \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-c                                                                                    [B9E2EB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device    \Driver\Cdrom \Device\CdRom1                                                                                                  89B8A1F8
Device    \Driver\Cdrom \Device\CdRom2                                                                                                  89B8A1F8
Device    \Driver\NetBT \Device\NetBt_Wins_Export                                                                                        884EC1F8
Device    \Driver\NetBT \Device\NetbiosSmb                                                                                              884EC1F8
Device    \Driver\PCI_PNP4978 \Device\0000004d                                                                                          spiu.sys
Device    \Driver\usbohci \Device\USBFDO-0                                                                                              89B981F8
Device    \Driver\usbehci \Device\USBFDO-1                                                                                              89B941F8
Device    \Driver\nvata \Device\NvAta0                                                                                                  89D5D1F8
Device    \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                                                              884E21F8
Device    \Driver\NetBT \Device\NetBT_Tcpip_{4AA0984A-17BB-45AE-9A02-D65B4D9AEA01}                                                      884EC1F8
Device    \FileSystem\MRxSmb \Device\LanmanRedirector                                                                                    884E21F8
Device    \Driver\Ftdisk \Device\FtControl                                                                                              89D5E1F8
Device    \Driver\a2y3dtqi \Device\Scsi\a2y3dtqi1Port3Path0Target0Lun0                                                                  899D41F8
Device    \Driver\a2y3dtqi \Device\Scsi\a2y3dtqi1                                                                                        899D41F8
Device    \FileSystem\Cdfs \Cdfs                                                                                                        899F7500

---- Registry - GMER 1.0.15 ----

Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                                                            771343423
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                                                            285507792
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                                                            1
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC                                             
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                            0
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                                        0x96 0x91 0xC8 0x1A ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                            C:\Programme\DAEMON Tools Lite\
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001                                     
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                                0x11 0xAD 0x5B 0x59 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                                  0x20 0x01 0x00 0x00 ...
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0                               
Reg      HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                          0x11 0x1F 0xE6 0x27 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)                         
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0                                                0
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12                                            0x96 0x91 0xC8 0x1A ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0                                                C:\Programme\DAEMON Tools Lite\
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)                 
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12                                    0x11 0xAD 0x5B 0x59 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0                                      0x20 0x01 0x00 0x00 ...
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)           
Reg      HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12                              0x11 0x1F 0xE6 0x27 ...

---- Disk sectors - GMER 1.0.15 ----

Disk      \Device\Harddisk0\DR0                                                                                                          malicious Win32:MBRoot code @ sector 488376003

---- EOF - GMER 1.0.15 ----
OSAM LOG:
Code:
Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 13:00:15 on 27.02.2012

OS: Windows XP Home Edition Service Pack 3 (Build 2600)
Default Browser: Mozilla Corporation Firefox 3.6.27

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"GoogleUpdateTaskMachineCore.job" - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"GoogleUpdateTaskMachineUA.job" - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"Google Software Updater.job" - "Google" - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl
"nvcpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.cpl
"nvtuicpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvtuicpl.cpl
"PhysX.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\PhysX.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Pando" - "Pando Networks" - C:\Programme\Pando Networks\Media Booster\PMB.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"a2y3dtqi" (a2y3dtqi) - "Microsoft Corporation" - C:\WINDOWS\system32\drivers\a2y3dtqi.sys  (Hidden registry entry, rootkit activity | File signed by Microsoft)
"atksgt" (atksgt) - ? - C:\WINDOWS\System32\DRIVERS\atksgt.sys  (File found, but it contains no detailed information)
"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys
"avkmgr" (avkmgr) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avkmgr.sys
"catchme" (catchme) - ? - C:\ComboFix\catchme.sys  (File not found)
"cdrbsdrv" (cdrbsdrv) - "B.H.A Corporation" - C:\WINDOWS\system32\drivers\cdrbsdrv.sys
"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)
"Cisco Systems Inc. IPSec Driver" (CVPNDRVA) - "Cisco Systems, Inc." - C:\WINDOWS\system32\Drivers\CVPNDRVA.sys
"Deterministic Network Enhancer Miniport" (DNE) - "Deterministic Networks, Inc." - C:\WINDOWS\System32\DRIVERS\dne2000.sys
"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)
"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)
"lirsgt" (lirsgt) - ? - C:\WINDOWS\System32\DRIVERS\lirsgt.sys  (File found, but it contains no detailed information)
"mbr" (mbr) - ? - C:\DOKUME~1\user\LOKALE~1\Temp\mbr.sys  (Hidden registry entry, rootkit activity | File not found)
"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys
"pxtdypow" (pxtdypow) - ? - C:\DOKUME~1\user\LOKALE~1\Temp\pxtdypow.sys  (Hidden registry entry, rootkit activity | File not found)
"sptd" (sptd) - "Duplex Secure Ltd." - C:\WINDOWS\System32\Drivers\sptd.sys  (File is exclusively opened, access blocked)
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys
"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{7D4D6379-F301-4311-BEBA-E26EB0561882} "NeroDigitalColumnHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{3D9F03FA-7A94-11D3-BE81-0050048385D1} "Data Page Pluggable Protocol mso-offdap Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
{828030A1-22C1-4009-854F-8E305202313F} "livecall" - "Microsoft Corporation" - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
{828030A1-22C1-4009-854F-8E305202313F} "msnim" - "Microsoft Corporation" - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? -  (File not found | COM-object registry key not found)
{1CDB2949-8F65-4355-8456-263E7C208A5D} "Desktop Explorer" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll
{1E9B04FB-F9E5-4718-997B-B8DA88302A47} "Desktop Explorer Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll
{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -  (File not found | COM-object registry key not found)
{42042206-2D85-11D3-8CFF-005004838597} "Microsoft Office HTML Icon Handler" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office10\msohev.dll
{993BE281-6695-4BA5-8A2A-7AACBFAAB69E} "Microsoft Office Metadata Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97} "Microsoft Office Thumbnail Handler" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\msoshext.dll
{B327765E-D724-4347-8B16-78AE18552FC3} "NeroDigitalIconHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll
{7F1CF152-04F8-453A-B34C-E609530A9DC8} "NeroDigitalPropSheetHandler Class" - "Nero AG" - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll
{1E9B04FB-F9E5-4718-997B-B8DA88302A48} "nView Desktop Context Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -  (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL

[Internet Explorer]
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
ITBar7Height "ITBar7Height" - ? -  (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -  (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_26" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_26.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab
{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} "Java Plug-in 1.6.0_26" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_26.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_26" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_26.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Macromed\Flash\Flash10b.ocx / https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{53707962-6F74-2D53-2644-206D7942484F} "ClsidExtension" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
"ICQ6" - "ICQ, LLC." - C:\Programme\ICQ6.5\ICQ.exe
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
{AF69DE43-7D58-4638-B6FA-CE66B5AD205D} "Google Toolbar Notifier BHO" - "Google Inc." - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
{53707962-6F74-2D53-2644-206D7942484F} "Spybot-S&D IE Protection" - "Safer Networking Limited" - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
{9030D464-4C02-4ABF-8ECC-5164760863C6} "Windows Live Anmelde-Hilfsprogramm" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"VPN Client.lnk" - "Cisco Systems, Inc." - C:\Programme\Cisco Systems\VPN Client\vpngui.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\user\Startmenü\Programme\Autostart\desktop.ini
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"DAEMON Tools Lite" - "DT Soft Ltd" - "C:\Programme\DAEMON Tools Lite\DTLite.exe" -autorun
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"Adobe Reader Speed Launcher" - "Adobe Systems Incorporated" - "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"avgnt" - "Avira Operations GmbH & Co. KG" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"NeroFilterCheck" - "Ahead Software Gmbh" - C:\WINDOWS\system32\NeroCheck.exe
"nwiz" - "NVIDIA Corporation" - nwiz.exe /install

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Akamai NetSession Interface" (Akamai) - ? - c:\programme\gemeinsame dateien\akamai\netsession_win_7de0ed9.dll  (File found, but it contains no detailed information)
"Anwendungsverwaltung" (AppMgmt) - ? - C:\WINDOWS\System32\appmgmts.dll  (File not found)
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
"Avira Echtzeit Scanner" (AntiVirService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira Planer" (AntiVirSchedulerService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"Avira Upgrade Service" (AntiVirUpgradeService) - ? - "C:\DOKUME~1\user\LOKALE~1\Temp\AVSETUP_49c13ed4\basic\avupgsvc.exe" /TEMPSTART:""C:\DOKUME~1\user\LOKALE~1\Temp\AVSETUP_49c13ed4\basic\setup.exe" /NOTEMPCLEANUP /CROSSUPGRADE"  (File not found)
"Cisco Systems, Inc. VPN Service" (CVPND) - "Cisco Systems, Inc." - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
"Google Software Updater" (gusvc) - "Google" - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
"Google Update Service (gupdate1c98b8b792726b6)" (gupdate1c98b8b792726b6) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"nProtect GameGuard Service" (npggsvc) - "INCA Internet Co., Ltd." - C:\WINDOWS\system32\GameMon.des
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----
{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

===[ Logfile end ]=========================================[ Logfile end ]===

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

cosinus 27.02.2012 14:50
Was ist mit aswMBR?

Terox 27.02.2012 15:53
Ja genau, sorry das hat nen Moment gedauert, war noch unterwegs zwischendurch! Also hier die LOG:

Code:
aswMBR version 0.9.9.1649 Copyright(c) 2011 AVAST Software
Run date: 2012-02-27 13:03:10
-----------------------------
13:03:10.937    OS Version: Windows 5.1.2600 Service Pack 3
13:03:10.937    Number of processors: 2 586 0x6B02
13:03:10.937    ComputerName: FLO  UserName:
13:03:11.296    Initialize success
13:06:31.312    AVAST engine defs: 12022700
13:07:40.343    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\00000070
13:07:40.343    Disk 0 Vendor: ST3250410AS 3.AAC Size: 238475MB BusType: 3
13:07:40.359    Device \Driver\nvata -> MajorFunction 89d5d1f8
13:07:40.406    Disk 0 MBR read successfully
13:07:40.406    Disk 0 MBR scan
13:07:40.437    Disk 0 Windows XP default MBR code
13:07:40.437    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        99998 MB offset 63
13:07:40.437    Disk 0 Partition - 00    0F Extended LBA            138466 MB offset 204796620
13:07:40.484    Disk 0 Partition 2 00    07    HPFS/NTFS NTFS      138466 MB offset 204796683
13:07:40.531    Disk 0 scanning sectors +488376000
13:07:40.562    Disk 0 malicious Win32:MBRoot code @ sector 488376003 !
13:07:40.671    Disk 0 scanning C:\WINDOWS\system32\drivers
13:08:06.156    Service scanning
13:08:14.453    Service sptd C:\WINDOWS\System32\Drivers\sptd.sys **LOCKED** 32
13:08:16.937    Modules scanning
13:09:01.875    Disk 0 trace - called modules:
13:09:01.890    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x89d5d1f8]<<
13:09:01.890    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89d07ab8]
13:09:01.890    3 CLASSPNP.SYS[ba0e8fd7] -> nt!IofCallDriver -> \Device\00000071[0x89d34768]
13:09:01.890    5 ACPI.sys[b9e73620] -> nt!IofCallDriver -> \Device\00000070[0x89d07030]
13:09:01.890    \Driver\nvata[0x89d47218] -> IRP_MJ_CREATE -> 0x89d5d1f8
13:09:02.140    AVAST engine scan C:\WINDOWS
13:09:41.468    AVAST engine scan C:\WINDOWS\system32
13:17:23.437    AVAST engine scan C:\WINDOWS\system32\drivers
13:18:10.843    AVAST engine scan C:\Dokumente und Einstellungen\user
13:36:25.703    AVAST engine scan C:\Dokumente und Einstellungen\All Users
13:37:19.906    Scan finished successfully
15:51:12.984    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\user\Desktop\MBR.dat"
15:51:12.984    The log file has been saved successfully to "C:\Dokumente und Einstellungen\user\Desktop\aswMBR.txt"

cosinus 27.02.2012 20:57
Live-System PartedMagic / GParted

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 180 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist

http://partedmagic.com/lib/exe/fetch...ia=desktop.png

4. Du müsstest ein Symbol PartitionEditor auf dem Desktop finden, das doppelklicken
5. Wenn das Tool die Partitionen aufgelistet hat, bitte einen Screenshot mit Hilfe der Taste DRUCK auf der Tastatur erstellen, diesen Screenshot hier posten (idR hast du einen Internetzugang mit PartedMagic, wenn nicht einfach den Screenshot auf einem Stick abspeichern und unter Windows hier posten)

Terox 27.02.2012 23:07
Guten Abend,

also ich hab das Image runtergeladen, auch mit imgburn gebrannt und es kam erfolg, doch hab ich nachwievor nur jetzt die datein auf pc als würde ich das ISO auch so öffnen?
Mit anderen Worten, hab die Datein auf PC, aber wirklich keine Ahnung wie ich booten, bzw öffnen kann? Vielleicht bin ich auch einfach zu doof und bitte um Hilfe :)

cosinus 28.02.2012 10:50
http://www.trojaner-board.de/81857-c...cd-booten.html

Terox 01.03.2012 15:28
Liste der Anhänge anzeigen (Anzahl: 1)
So hallo, also tut mir leid das ich wieder ein wenig gebraucht habe, aber bin viel unterwegs, aber das Booten hat geklappt und hier ist der gewuenschte Screenshot :daumenhoc

cosinus 01.03.2012 20:33
KLick mal unten den unzugeordneten Bereich (unallocates 10,34 MiB) mit Rechts an => Information => Screenshot davon machen und hier posten

Terox 02.03.2012 17:46
Liste der Anhänge anzeigen (Anzahl: 1)
Hey, hier der gewuenschte Screenshot von unlocates

cosinus 02.03.2012 18:28
Code:
Disk 0 malicious Win32:MBRoot code @ sector 488376003 !
Möchtest du den Bereich überschreiben lassen?

Wenn ja dann bitte jetzt sorgfältig lesen und zuerst eine Sicherung aller Daten machen! Wenn die Sicherung erfolgte, danach unbedingt alle Sicherungsmedien vom Computer physikalisch trennen!

Wie gesagt was jetzt folgt und du hast Datenverluste seist du jetzt nochmal ausdrücklich gewarnt, alles richtig umzusetzen und vorher alles wichtige auf externe Platten zu sichern. Wenn du sicher bist, dass alle wichtige Daten in Sicherheit sind und die externen Datenträger auch nicht mehr am Rechner angeschlossen sind, dann fahre fort wie folgt:

Öffne das Terminal in PartedMagic. Ist unten in der Quicklaunch der schwarze Monitor. Eine schwarze Konsole öffnet sich. Tipp dort ein (du solltest root@partedmagic in der Zeile lesen können)

WARNUNG: Folgender Befehl auf eigene Gefahr! Für Datenverluste nicht rumheulen und wer das mitliest soll den Befehl ebenfalls nicht so ausführen!!

Bitte lieber eher 3x als 2x prüfen ob du alles so richtig eingetippt hast NACH der Datensicherung:

Code:
dd if=/dev/zero of=/dev/sda seek=488376001 bs=512
Wenn du dir sicher bist das genau so eingetippt zu haben wie es da bei mir steht, dann drücke die Eingabetaste. Es dauert nicht lange, dann hast du wieder die Zeile und sinngemäß so etwas wie

21167+0 Datensätze ein
21167+0 Datensätze aus

Wenn das so rauskaum (können auch 21168 statt 21167 sein) wurden die letzten 21167 Sekoren (und damit auch der bösartige Code in diesem unzugeordneten Bereich) auf der Platte mit Nullen überschrieben; starte den Rechner neu und boote Windows.
Mach dort einen neuen scan mit aswMBR und poste wieder das Log.


Alle Zeitangaben in WEZ +1. Es ist jetzt 16:13 Uhr.
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19