Wiedermal rdriv.sys, bitte um Hilfe
 

Hallo zusammen,
habe mior auch rdriv.sys eingefangen nur frage ich mich wie. habe den ach so tollen norton antivir 2005 und immer auf neuestem stand aber trotzdem habe ich mir anscheinend diverse "kacke" eingefangen. habe sogar interne firewall aktiviert.

so nun meine log files

AntiVir X
ArcaVir X
Avast X
AVG Antivirus X
BitDefender X
ClamAV Trojan.Downloader.INService-22
Dr.Web Trojan.DownLoader.2568
F-Prot Antivirus X
Fortinet W32/Dowins-tr
Kaspersky Anti-Virus Trojan-Downloader.Win32.INService.gen
NOD32 a variant of Win32/TrojanDownloader.INService
Norman Virus Control X
UNA X
VBA32 X

Logfile of HijackThis v1.99.1
Scan saved at 17:12:32, on 20.07.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\ewido\security suite\ewidoctrl.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\ATITool\ATITool.exe
C:\WINDOWS\csrss.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Dokumente und Einstellungen\admin\Lokale Einstellungen\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = www.google.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Services] C:\WINDOWS\csrss.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: ATITool.lnk = C:\Programme\ATITool\ATITool.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{1CB59F11-512C-40FB-BC09-6801C586B84D}: NameServer = 195.50.140.252 145.253.2.81
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido\security suite\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Windows Configuration Loader - Unknown owner - C:\WINDOWS\svchost.exe

ich würde sehr gerne verhindern das system neu aufzusetzen
hatte auch schon rdrivREM benützt aber rdriv.sys ist trotzdem noch da

bitte um eure hilfe
danke

Hallo wankman

Grund ist dein Uraltsystem aktuell ist SP2
Der Virus wurde schon öffter behandelt, schau in den Link und handle nach Cronos Post#4
http://www.trojaner-board.de/showthr...ight=rdriv.sys

Hallo wankman


O23 - Service: Windows Configuration Loader - Unknown owner - C:\WINDOWS\svchost.exe

Ich denke du muss im Registry diese Eintrag löschen

HKLM\SYSTEM\CurrentControlSet\Services\Windows Configuration Loader

und Rechner neu starten

Richtige Datei svchost.exe liegt in C:\WINDOWS\system32\

@ rusman

der Vorschlag ist gut gemeint hat aber mit dem Problem überhaut nichts zu tun, wenn es dich interessiert dann lese auch mal den Link in meinem Post ;)

Hallo Gigamail

Ich habe dort nichs neues gefunden
Ich wollte nichts behaupten aber ich habe gleiche Probleme gehabt
Andere Vorschlag
Ich
Nimm Prozess Explorer suche zu welchem Prozess gehört rdriv.sys

Bei mir war rdriv.sys mit prozess lsass verbunden, dann habe ich nach unbekannte Service gesucht und eine
Service:Lsa Server - Unknown owner- gefunden

Diese Service habe ich gelöscht
danach Rechner neu gestartet und könnte rdriv.sys 100% löschen

Du kannst auch Reg.schlüssel zuerst sichern

@ rusman

dann lese mal hier http://de.wikipedia.org/wiki/Rootkit
und in dem Zusammenhang auch hier http://de.wikipedia.org/wiki/Backdoor

das ganze nennt man dann Kompromittierung

@ rusman

Wenn du dein System durch das Löschen der Symptome als wieder vetrauenswürdig erachtest, dann ist das deine Sache, aber empfehle diesen Unsinn nicht.

@ wankman

Die einzige sichere und vernünftige Lösung bei dieser Kompomittierung ist und bleibt ein Neuaufsetzen deines Systems.

Hi, ich hatte ihn auch.

Bootet im abgesicherten Modus.
Löscht in der registry die rdriv.sys bäume.
Achtung es existieren auch druckerdateien, diese nicht löschen.

Bootet anschliessend mit einer knoppix CD oder ähnlich.
Löscht die datei rdriv.sys im Windows ordner oder im ordner system32.
Löscht auch alle dateien mit aaa.exe - zzz.exe.
Erstellt anschliessend eine leere rdriv.sys dort wo ihr die alte gelöscht habt und setzt diese auf schreibgeschützt.

PC neu booten, mir hat es geholfen und das eklige Teil ist weg. :snyper:

gruß
Mike
_____________
Anm.
Keine Fullquotes!
Wenn du jemanden direkt 'ansprechen' willst, dann schreibe @ Benutzername oder die zitiere die Stelle deines Vorredners worauf du dich auch beziehst!

LG Cidre
S-Mod TB