Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Avira entdeckt 'versteckten Treiber' (https://www.trojaner-board.de/135433-avira-entdeckt-versteckten-treiber.html)

Flip_D 23.05.2013 15:01
Avira entdeckt 'versteckten Treiber'
 
hi. ich habe die tage ein system neu aufgesetzt. bevor ich backups aufspielen wollte, habe ich alles nochmals mit malwarebytes, malwarebytes für rootkits, hijackthis, superantispyware und avira gescannt.

system ist windows xp sp3, alles genutzte software ist aktuell

nur avira findet folgendes einziges:

Zitat:
Der Suchlauf nach versteckten Objekten wird begonnen.
Versteckter Treiber
[HINWEIS] Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.
einen scan von einem bootfähigen usb stick aus lasse ich im moment laufen. danach kann ich gerne von gewünschten programmen logs posten. muss nur wissen von was... edit: nichts gefunden.

aharonov 23.05.2013 16:51
Hi,

ist wohl nur ein Emulator-Treiber.
Verwende mal defogger wie folgt und mach danach nochmals denselben Avira-Scan und schau, ob diese Meldung immer noch auftaucht oder nicht:


Downloade dir bitte defogger (von jpshortstuff) auf deinen Desktop.
  • Starte das Tool mit Doppelklick.
  • Klicke nun auf den Disable Button.
  • Bestätige diese Sicherheitsabfrage mit Ja.
  • Wenn der Scan beendet wurde (Finished), klicke auf OK.
  • Falls Defogger zu einem Neustart auffordert, bestätige dies mit OK.
  • Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt.
  • Nur falls Probleme aufgetreten sind, poste deren Inhalt mit deiner nächsten Antwort.
Klicke den Re-enable Button nicht ohne Anweisung!

Flip_D 23.05.2013 17:11
Danke! Avira meldet noch immer den versteckten Treiber.

Defogger Log
Code:
defogger_disable by jpshortstuff (23.02.10.1)
Log created at 18:00 on 23/05/2013 (PhD)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...


-=E.O.F=-
Die Logs der anderen Programme:
Avira
Code:
Avira Free Antivirus
Erstellungsdatum der Reportdatei: Donnerstag, 23. Mai 2013  18:02


Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira Free Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : ...
Computername  : ...

Versionsinformationen:
BUILD.DAT      : 13.0.0.3640    54852 Bytes  18.04.2013 13:29:00
AVSCAN.EXE    : 13.6.0.1262  636984 Bytes  20.05.2013 07:45:26
AVSCANRC.DLL  : 13.4.0.360    64800 Bytes  20.05.2013 07:45:26
LUKE.DLL      : 13.6.0.1262    65080 Bytes  20.05.2013 07:45:43
AVSCPLR.DLL    : 13.6.0.1262    92216 Bytes  22.05.2013 11:19:38
AVREG.DLL      : 13.6.0.1262  247864 Bytes  22.05.2013 11:19:38
avlode.dll    : 13.6.2.1262  432184 Bytes  20.05.2013 07:45:24
avlode.rdf    : 13.0.1.12      25921 Bytes  20.05.2013 07:46:01
VBASE000.VDF  : 7.11.70.0  66736640 Bytes  04.04.2013 07:44:56
VBASE001.VDF  : 7.11.74.226  2201600 Bytes  30.04.2013 07:44:58
VBASE002.VDF  : 7.11.74.227    2048 Bytes  30.04.2013 07:44:58
VBASE003.VDF  : 7.11.74.228    2048 Bytes  30.04.2013 07:44:59
VBASE004.VDF  : 7.11.74.229    2048 Bytes  30.04.2013 07:44:59
VBASE005.VDF  : 7.11.74.230    2048 Bytes  30.04.2013 07:44:59
VBASE006.VDF  : 7.11.74.231    2048 Bytes  30.04.2013 07:44:59
VBASE007.VDF  : 7.11.74.232    2048 Bytes  30.04.2013 07:44:59
VBASE008.VDF  : 7.11.74.233    2048 Bytes  30.04.2013 07:44:59
VBASE009.VDF  : 7.11.74.234    2048 Bytes  30.04.2013 07:44:59
VBASE010.VDF  : 7.11.74.235    2048 Bytes  30.04.2013 07:44:59
VBASE011.VDF  : 7.11.74.236    2048 Bytes  30.04.2013 07:44:59
VBASE012.VDF  : 7.11.74.237    2048 Bytes  30.04.2013 07:44:59
VBASE013.VDF  : 7.11.74.238    2048 Bytes  30.04.2013 07:44:59
VBASE014.VDF  : 7.11.75.97    181248 Bytes  02.05.2013 07:44:59
VBASE015.VDF  : 7.11.75.183  217600 Bytes  03.05.2013 07:45:00
VBASE016.VDF  : 7.11.76.27    183808 Bytes  04.05.2013 07:45:00
VBASE017.VDF  : 7.11.76.101  194048 Bytes  06.05.2013 07:45:00
VBASE018.VDF  : 7.11.76.213  163328 Bytes  07.05.2013 07:45:00
VBASE019.VDF  : 7.11.77.41    134656 Bytes  08.05.2013 07:45:01
VBASE020.VDF  : 7.11.77.145  141312 Bytes  10.05.2013 07:45:01
VBASE021.VDF  : 7.11.77.225  155648 Bytes  12.05.2013 07:45:01
VBASE022.VDF  : 7.11.78.21    202752 Bytes  13.05.2013 07:45:01
VBASE023.VDF  : 7.11.78.71    140800 Bytes  13.05.2013 07:45:01
VBASE024.VDF  : 7.11.78.147  167936 Bytes  15.05.2013 07:45:01
VBASE025.VDF  : 7.11.78.207  147456 Bytes  16.05.2013 07:45:02
VBASE026.VDF  : 7.11.79.17    198656 Bytes  17.05.2013 07:45:02
VBASE027.VDF  : 7.11.79.194  659968 Bytes  23.05.2013 11:04:49
VBASE028.VDF  : 7.11.79.195    2048 Bytes  23.05.2013 11:04:49
VBASE029.VDF  : 7.11.79.196    2048 Bytes  23.05.2013 11:04:49
VBASE030.VDF  : 7.11.79.197    2048 Bytes  23.05.2013 11:04:49
VBASE031.VDF  : 7.11.79.214    62464 Bytes  23.05.2013 15:11:23
Engineversion  : 8.2.12.48
AEVDF.DLL      : 8.1.2.10      102772 Bytes  20.05.2013 07:45:07
AESCRIPT.DLL  : 8.1.4.118    487805 Bytes  23.05.2013 13:15:55
AESCN.DLL      : 8.1.10.4      131446 Bytes  20.05.2013 07:45:07
AESBX.DLL      : 8.2.5.12      606578 Bytes  20.05.2013 07:45:08
AERDL.DLL      : 8.2.0.88      643444 Bytes  20.05.2013 07:45:07
AEPACK.DLL    : 8.3.2.12      754040 Bytes  20.05.2013 07:45:06
AEOFFICE.DLL  : 8.1.2.56      205180 Bytes  20.05.2013 07:45:06
AEHEUR.DLL    : 8.1.4.378    5910905 Bytes  23.05.2013 13:15:53
AEHELP.DLL    : 8.1.25.10    258425 Bytes  20.05.2013 07:45:03
AEGEN.DLL      : 8.1.7.4      442741 Bytes  20.05.2013 07:45:03
AEEXP.DLL      : 8.4.0.32      201078 Bytes  23.05.2013 13:15:55
AEEMU.DLL      : 8.1.3.2      393587 Bytes  20.05.2013 07:45:03
AECORE.DLL    : 8.1.31.2      201080 Bytes  20.05.2013 07:45:03
AEBB.DLL      : 8.1.1.4        53619 Bytes  20.05.2013 07:45:03
AVWINLL.DLL    : 13.6.0.480    26480 Bytes  20.05.2013 07:43:55
AVPREF.DLL    : 13.6.0.480    51056 Bytes  20.05.2013 07:45:25
AVREP.DLL      : 13.6.0.480    178544 Bytes  20.05.2013 07:46:01
AVARKT.DLL    : 13.6.0.1262  258104 Bytes  20.05.2013 07:45:19
AVEVTLOG.DLL  : 13.6.0.1262  164920 Bytes  20.05.2013 07:45:21
SQLITE3.DLL    : 3.7.0.1      397704 Bytes  20.05.2013 07:45:52
AVSMTP.DLL    : 13.6.0.480    62832 Bytes  20.05.2013 07:45:27
NETNT.DLL      : 13.6.0.480    16240 Bytes  20.05.2013 07:45:46
RCIMAGE.DLL    : 13.4.0.360  4780832 Bytes  20.05.2013 07:43:56
RCTEXT.DLL    : 13.6.0.976    69344 Bytes  20.05.2013 07:43:56

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Suche nach Rootkits und aktiver Malware
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\PROFILES\rootkit.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Donnerstag, 23. Mai 2013  17:18

Der Suchlauf nach versteckten Objekten wird begonnen.
Versteckter Treiber
  [HINWEIS]  Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'msdtc.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '93' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '84' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamservice.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'NOTEPAD.EXE' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'totalcmd.exe' - '68' Modul(e) wurden durchsucht
Durchsuche Prozess 'cis.exe' - '69' Modul(e) wurden durchsucht
Durchsuche Prozess 'cavwp.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'RunDll32.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxsrvc.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'cistray.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'TFncKy.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'thotkey.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '75' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'TAPPSRV.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '91' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '129' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '151' Modul(e) wurden durchsucht
Durchsuche Prozess 'cmdagent.exe' - '102' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '13' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1927' Dateien ).



Ende des Suchlaufs: Donnerstag, 23. Mai 2013  17:22
Benötigte Zeit: 03:16 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
  4249 Dateien wurden geprüft
      0 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
  4249 Dateien ohne Befall
    32 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise
 328601 Objekte wurden beim Rootkitscan durchsucht
      1 Versteckte Objekte wurden gefunden
Malwarebytes
Code:
Malwarebytes Anti-Malware (PRO) 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2013.05.23.08

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
PhD :: TARDIS [Administrator]

Schutz: Aktiviert

23.05.2013 17:12:04
mbam-log-2013-05-23 (17-12-04).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 194673
Laufzeit: 5 Minute(n), 51 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

aharonov 23.05.2013 17:25
Ok, dann:


Schritt 1

Bitte lade dir GMER Rootkit Scanner GMER herunter: (Dateiname zufällig)
  • Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
  • Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
    WARNING !!!
    GMER has found system modification, which might have been caused by ROOTKIT activity.
    Do you want to fully scan your system ?
    Unbedingt auf "No" klicken.
  • Entferne rechts den Haken bei: IAT/EAT und Show All
  • Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
  • Starte den Scan mit "Scan".
  • Mache nichts am Computer während der Scan läuft.
  • Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.
Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!


Tauchen Probleme auf?
  • Probiere alternativ den abgesicherten Modus.
  • Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.



Schritt 2

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.
  • Doppelklick auf die OTL.exe.
  • Unter Extra Registry, wähle bitte Use SafeList.
  • Setze den Haken bei Scan all Users.
  • Klicke nun auf Run Scan.
  • Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
  • Poste den Inhalt dieser Logfiles hier in den Thread.



Bitte poste in deiner nächsten Antwort:
  • Log von Gmer
  • Logs von OTL

Flip_D 23.05.2013 17:36
Es war wohl der Laufwerk-Emulatortreiber. Nach Deinstallation keine Meldung mehr von Avira. Danke!

Gibt es da andere Möglichkeiten, das zu fixen?

aharonov 23.05.2013 17:43
Jep, sowas in der Art hab ich vermutet. In dem Fall erübrigt sich der Rest. :)

Zitat:
Gibt es da andere Möglichkeiten, das zu fixen?
Da muss man überhaupt nichts fixen, das ist nicht schädlich. Kannst du wieder installieren.
Avira sagt ja auch nur:
Eine Speicherveränderung wurde entdeckt, die möglicherweise zur versteckten Dateizugriffen missbraucht werden könnte.
Wenn du weisst, dass diese Meldung vom Emulatortreiber herrührt (so wie du es jetzt herausgefunden hast), kannst du sie einfach ignorieren.


Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.


Alle Zeitangaben in WEZ +1. Es ist jetzt 02:40 Uhr.

Copyright ©2000-2024, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129