Viren Rescue CDs starten nicht
 

Moin moin,

ich habe einen Rechner auf dem ich eine Infektion vermute. Nun habe ich mit zahlreichen Virenscan CDs (erstellt auf einem sauberen Rechner) versucht diesen Rechner zu untersuchen. Doch leider ohne Erfolg. Folgende Fehler treten beim Scan auf:

- Antivir Rescue CD - Startet und bleibt dann nach der Initialisierung im schwarzen Bildschirm hängen
- Bitdefender - Startet und bleibt im Logo Bildschirm hängen. Also bevor die Interaktion möglich wäre.
- AVG Antivir - startet und ein Scan ist möglich, sogar mit Virendatenbank Update (kein Befund), aber wenn ich die Programmdaten (11/2012) update und danach einen Scan starte, bricht der Rechner in die Konsole ab.
- Trinity Rescue Kit - Auch ohne Erfolg

Ich habe auch zahlreiche Versuche mit bootfähigen USB-Virenscans probiert, sowie den Rechner mit und ohne Internetverbindung gestartet.

Somit kann kein Virus/ Rootkit gefunden werden. Diese blockierten Virenscans stimmen mich wirklich kritisch.

Nun hab ich einen Gmer Logfile nach Anleitung erstellt:

GMER Logfile:
--- --- ---


Vielen Dank für die Hilfe.

Ergänzend habe ich noch ein SysInternals Rootkit Revealer Test laufen lassen, leider ist das Log nicht kopierbar:

WSMan - Registry - Security Mismatch (mehrfach)
RmMetadaten - Hidden to API
$UsnJrnl - Hidden to API
108.000 Dateien - visible in API, not shown in MFT or Directory (mit und ohne NTFS Erkennung eingestellt)

Warum? Was sind die Symptome?

Der Chef hatte eine Mail erhalten, die von Ihm selber geschickt wurde. Diese hatte er angeklickt und daraufhin hat eine Verknüpfung auf dem Desktop auf Ebay, aber mit einer ungewöhnlichen Umleitung. Leider ist das alles in meinem Urlaub passiert, somit kann man es nicht mehr so recht nachvollziehen.

Fakt ist, dass unsere Büro-Email Mailer-Deamons erhält von angeschriebenen Emails, die wir nicht angeschrieben haben. Nun wollte ich sicherstellen, dass der Rechner nicht gekarpert wurde und als Mailbot agiert.

Also fing ich an nach Viren und Rootkits zu suchen und stieß auf die oben beschriebenen Probleme.

Verstehe, es ist nur so, dass wir gewerblich genutzte Rechner nicht bereinigen. Das macht eure IT-Abteilung bzw der Admin bei euch.

Wir sind nur 2 Mann, der Admin bin ich, und ich bin überfordert mit dem ganzen Rootkit auslesen usw. :lach:

Zitat:

Lesestoff: Hinweise: Gewerblich genutzte Rechner Die Hilfe, die wir hier anbieten, erfolgt für den User auf eigene Gefahr. Auch wenn wir uns nach bestem Wissen bemühen, so besteht doch das Risiko, dass der Computer im Laufe der Bereinigung evtl. nicht mehr startbar sein könnte oder es zu Datenverlust kommen kann. Für eine Sicherung der vorhandenen Arbeits- und ggf. Kundendaten hat der User selbst zu sorgen. Eine Haftung ist durch die Nutzungsvereinbarung auf jeden Fall ausgeschlossen. Darauf wurde hiermit hingewiesen. Weiterhin wird hiermit darauf hingewiesen, dass in den zu postenden Logfiles eventuell Kundendaten mit anfallen könnten, beispielsweise dann, wenn infizierte Dokumente nach Kundennamen benannt wurden. Trojaner-Board wird die Logfiles im Nachhinein nicht abändern oder den Thread löschen. Die Bereinigung erfolgt für kleine Unternehmen kostenfrei. Du hast allerdings die Möglichkeit uns mit einer Spende zu unterstützen. :)

Alles klar? ;)

Dat hab' ich verstanden ;)

Dann los!

:hallo:

Ich werde dir bei deinem Problem helfen. Eine Bereinigung ist mitunter mit viel Arbeit für Dich (und mich) verbunden. Bevor es los geht, habe ich etwas Lesestoff für dich.

Zitat:

Lesestoff: Regeln für die Bereinigung Damit die Bereinigung funktioniert bitte ich dich, die folgenden Punkte aufmerksam zu lesen: Bitte arbeite alle Schritte der Reihe nach ab. Gib mir bitte zu jedem Schritt Rückmeldung (Logfile oder Antwort) und zwar gesammelt, wenn du alles erledigt hast. Nur Scanns durchführen zu denen Du aufgefordert wirst. Bitte kein Crossposting (posten in mehreren Foren). Installiere oder Deinstalliere während der Bereinigung keine Software, ausser Du wurdest dazu aufgefordert. Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst. Poste die Logfiles direkt in deinen Thread (möglichst in Code-Tags - #-Symbol im Editor). Nicht anhängen ausser ich fordere Dich dazu auf, oder das Logfile wäre zu gross. Erschwert mir nämlich das Auswerten. Mache deinen Namen nur dann unkenntlich, wenn es unbedingt sein muss. Beim ersten Anzeichen illegal genutzer Software (Cracks, Patches und Co) wird der Support ohne Diskussion eingestellt. Sollte ich nicht nach 3 Tagen geantwortet haben, dann (und nur dann) schicke mir bitte eine PM. Ich werde dir ganz deutlich mitteilen, dass du "sauber" bist. Bis dahin arbeite bitte gut mit. Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg. Wenn du das alles gelesen und verstanden hast, kannst du loslegen! :kloppen:

Gelesen und verstanden?

Schritt 1:
Laufwerksemulationen abschalten mit Defogger

Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop und starte es:

• Klicke nun auf den Disable Button, um die Treiber gewisser Emulatoren zu deaktivieren.
• Defogger wird dich fragen "Defogger will forcefully ... Continue?" bestätige dies mit Ja.
• Wenn der Scan beendet wurde (Finished), klicke auf OK.
• Defogger fordert gegebenfalls zum Neustart auf. Bestätige dies mit OK.

Poste bitte die defogger_disable.txt von deinem Desktop.
Klicke den Re-enable Button nicht ohne Anweisung.

Schritt 2:
Scan mit aswMBR

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. ( Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Schritt 3:
Scan mit dem TDSS-Killer

Lese bitte folgende Anweisungen genau. Wir wollen hier noch nichts "fixen" sondern nur einen Scan Report sehen.

Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe
• Klicke auf Change parameters, setze einen Haken bei Detect TDLFS file system und bestätige mit OK.
• Drücke Start Scan
• Warnung:
  Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und speichere das Logfile.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern ( Meistens C:\ )
  Als Beispiel: C:\TDSSKiller.<version_date_time>log.txt

Poste den Inhalt bitte hier in deinen Thread (bitte dringend in CODE-Tags mit dem #-Symbol im Editor).

Schritt 4:
Scan mit DDS (+ attach)

Downloade dir bitte DDS (von sUBs) von einem der folgenden Downloadspiegel und speichere die Datei auf deinem Desktop.

dds.com | dds.scr | dds.pif

• Schließe alle laufenden Programme und starte DDS mit Doppelklick.
• Der Desktop wird verschwinden, das ist normal.
• Stelle folgendes ein:
  
  [X] dds.txt
  [X] attach.txt
  [ ] options for dds.txt
  
  
• Ändere keine Einstellung ohne Anweisung.
• Klicke auf Start.
• Es werden 2 Logfiles auf deinem Desktop erstellt.
  • dds.txt
  • attach.txt
• Poste die beiden Logfile hier, möglichst in CODE-Tags.

DDS Logfile:
DDS Logfile:
--- --- ---

--- --- ---

Das sieht prizipiell erstmal gut aus .... wir schauen tiefer:

Scan mit Combofix

Zitat:

WARNUNG: Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

So, hat etwas Länger gedauert. Der Scan selber war in 5 min durch. Danach hat sich folgendes abgespielt:

- Reg Fehler, wie von dir beschrieben.
- Neustart
- Explorer absturz nach Anmeldung -> Desktop Hintergrund ohne Icons, Leiste, etc.
- Per Strg-Alt-Entf versucht in den Taskmanager zu kommen
- Fehlermeldung als Windows Fenster: Fehler beim Anzeigen der Sicherheits- und Herunterfahroptionen
- Per Strg-Alt-Entf konnte ich dann doch zu den Optionen Taskmanager, Herunterfahren, etc. , aber beim mouseover kam direkt wieder die vorherige Fehlermeldung
- Einzige Option per Knopf den rechner auszustellen.
- Nun scheint alles wieder zu laufen.

So, da haben wir auch schon was verdächtiges

Ist dir das in irgend einer Weise bekannt? Wenn nein, werden wir das mal löschen.
Bitte nichts selbst unternehmen!

Ist mir nicht bekannt und kann gelöscht werden. Ist es möglich, dass diese Datei auch im Temp Ordner anderer Profile gespeichert ist?
Bin ja derzeit auf Bernd's Rechner mit meinem Profil eingeloggt.
Als Info: Auf meinem Rechner ist diese Datei nicht abgelegt, nur als Info.

Die machen wir eh gleich platt :)

Also dann ...


Schritt 1:
Combofix-Skript

Zitat:

Hinweis für Mitleser: Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden. Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

• Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link
• Speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!
• Drücke die Windows + R Taste --> notepad (hinein schreiben) --> OK
• Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.
  
  Code:

  ---

  Driver::
GE

File::
c:\users\dennis\AppData\Local\Temp\GE.exe

  ---

• Speichere dies als CFScript.txt auf deinem Desktop.
• Wichtig: Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
  Danach wieder anstellen nicht vergessen!
• Schließe alle laufenden Programme damit ComboFix ungehindert arbeiten kann.
• Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:
  
  http://i266.photobucket.com/albums/i.../CFScriptB.gif
• Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.
• Wenn ComboFix fertig ist wird es ein Log erstellen: C:\ComboFix.txt
  Bitte füge es hier als Antwort (in CODE-Tags) ein.

Zitat:

Hinweis: Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen. Teile mir unbedingt mit, ob der Upload geklappt hat!

Schritt 2:
Upload zur Analyse bei Trojaner-Board

• Bitte den folgenden Ordner/Dateien in ein Zip-Archiv packen (kein Passwort!)
  
  Code:

  ---

  
c:\qoobox

  ---

• Jetzt die Dateien bitte nach folgende Anleitung zur Analyse einsenden.
  Trojaner-Board Upload-Channel

Nun scheint die GE.exe beseitigt zu sein. Super.
Beim Ausführen vom ComboFix gab es einen automatischen Neustart, danach hat ComboFix zu Ende gewerkelt. Darauf kam beim starten des Browers wieder eine Fehlermeldung bezüglich der Registrierung.