|
Ahja, combofix ist mal wieder abgelaufen. Jedenfalls "meine" Version. Klick auf den combofix-Link in meiner Sig und probiere es nochmal mit der version. Wenns wieder nicht geht, gehts eben nicht. Zitat:
Zitat:
Zitat:
Über ein filelisting mit diesem script:Diese listing.txt z.B. bei file-upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist. |
Probier alternativ Deckard's System Scanner so wie Bata es hier schildert. |
Hallo root24 Habe combofix nochmal neu runtergeladen und jetzt hats funktioniert. Hie die Log-Datei: Code: ComboFix 08-06-15.2 - Andreas 2008-06-16 9:49:33.1 - NTFSx86Services.msc habe ich geöffnet mit taskplaner oder schedule habe ich nichts gefunden, aber den Eintrag "C:\WINDOWS\System32\svchost.exe -k netsvcs" er steht genau so drin. Hier noch genau die Angaben die Spydoktor bei dem "Trojan-Downloader.Small.GEN" geliefert hat: Autostart-Programm HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule, ImagePath=c:\Windows\system32\drivers\spools.exe HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Schedule, ImagePath=c:\Windows\system32\drivers\spools.exe HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Schedule, ImagePath=c:\Windows\system32\drivers\spools.exe HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl\Set\Services\Schedule, ImagePath=c:\Windows\system32\drivers\spools.exe Zu korrigierender Registrierungswert HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandartProfile, EnableFirewall Kann man, soll man hier was machen ? Das mit dem Script mache ich noch. Gruß |
Leider schlechte Nachtichten!! So wie es aussieht hast Du nen Backdoor am laufen! ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_NTMLSVC -------\Service_NtmlSvc -------\Service_sywtdxaz sywtdxaz deutet auf den backdoor Rustock hin - Du solltest daher am Besten das System neu installieren, absichern und hinterher alle Paßwörter ändern. Bereinigen nicht zu empfehlen, denn auch nach offensichtlicher erfolgreicher Bereinigung sollte man dem System nicht mehr trauen. Den vertrauenswürdigen Zustand stellst Du erst wieder nach formatieren und neuaufsetzen wieder her. |
Ja, dann danke ich dir mal für deine Mühe. Puh, wird ganz schön zeitaufwendig werden. Bei dem Link "Backdoor Rustock" komme ich nicht ganz mit, mein Englisch ist natürlich auch nicht das beste. Könnte ich hier noch den "Service_sywtdxaz" löschen ? Gruß |
Zitat:
Allerdings ist Deine Maschine wirklich sehr stark infiziert auch noch mit einem MBR Rootkit! Hier hilft selbst das Neuaufsetzten nicht direkt weiter! Vor diesem Neuinstallieren solltest Du gmer laufen lassen und das Log hier posten. GMER - Rootkit Detection * Lade Gmer von hier * entpacke es auf den Dektop * Dopperlklicke die gmer.exe * Der Reiter Rootkit oben ist schon angewählt http://saved.im/mzaxndu2m2ni_vs/gmerzj1oo1.jpg * Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern * nach Beendigung des Scan, drücke "Copy" * nun kannst Du das Ergebnis hier posten * Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden. * Wenn das Log zu lang fürs Forum ist, lade es hier hoch und poste den Link. |
Du kannst dir auch die Spyware Doctor Starter Version runterladen, falls du die Software magst. einfach alle Haken entfernen, außer Spyware Doctor: Google Pack damit kannst du auch gefundene Threats entfernen, nur der Guard ist nicht enthalten. nur so mal am Rande. |
Zitat:
|
Zitat:
es war hierauf bezogen: Zitat:
war nur ein allgemeiner tip, nicht wirklich relevant zu seinem problem. |
Du hast Dir den Thread schon mal ganz durchgelesen? :confused: Neben der Tatsache, das Spyware Doctor ein False Positiv König (Ok, ich hab 3Scan vergessen ;) ) ist und ansonsten auf dem Rechner nichts zu suchen hat, geht es hier nicht mehr um Kleinkram, sondern um ein Rootkit. Da hat Spyware Doctor keine Chancen mehr irgendwas zu wollen. |
wenn das deine Meinung ist, okay. meine Meinung ist, dass es mit zu den besten Anti-Spyware Scannern gehört. aber gut, ich will hier auch nicht rumspammen. hilf ihm und dann is gut. :aplaus: |
Hallo BataAlexander Danke, daß du dich meinem Problem annimmst. Du hast recht, als ich heute morgen auf meinem Rechner arbeitete (offline) meldete auf einmal mein AntiVir Programm (Avira), daß er diesen gefunden hat: „TR/Rootkit.Gen“. Ich habe ihn löschen lassen. Danach habe ich Gmer laufen lassen, hier das Log-File: Code: http://www.file-upload.net/download-919512/gmer-Log.log.htmlGruß |
Es wäre schön gewesen, wenn Du erst gmer und dann Avira hättest laufen lassen, sei es drum. Poste bitte das Avira Logfile. Dann ModGreper * Lade Modgreper von hier. * Entpacke es nach c:\ * Lade die mg.bat von hier . * Speicher diese auf dem Desktop * Klicke die mg.bat an, ein schwarzes Fenster erscheint * nachdem dieses verschwunden ist Öffne mit dem Explorer oder über den Arbeitsplatz * dort liegt nun die Datei c:\modgreper.txt, diese mit einem Doppelklick öffnen * poste den Inhalt der modgreper.txt im Forum ---- modGREPER findet verteckte Module unter Windows 2000/XP/2003. Es durchsucht den Kernel Speicher um dort Strukturen von gültigen Modul Beschreibungsobjekten zu finden. |
@Bata: Dient die weitergehende Analyse um den Rechner noch einigermaßen "sicher" z.B. für Backupzwecke bedienen zu können? Also ich bin fest davon überzeugt, daß das System neu aufgesetzt werden muß!! Wegen MBR - erstellt Windows im Setup nach Formatierung in ersten Teilsetup nicht automatisch einen neuen MBR? Zitat:
|
Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 09:02 Uhr. |
Copyright ©2000-2025, Trojaner-Board