|
TR/Vundo.FUL.9.A Okay, wahrscheinlich soll man nicht zweimal dasselbe thema posten aber dennoch. Zwar wurde schon von Mitch 84 die Lösung dieses Problems beschrieben aber dennoch kommt immer wieder antivir mit dem Virenalarm also hat es nicht funktioniert und ich will eigentlich nicht meine Festplatte formatieren weil ich zu viele Daten darauf habe die gesichert sein müssen und ich will die nicht verlieren. Also bin ich für jede Lösung dankbar ausser halt formatieren. Hier der Log von Combofix: ComboFix 08-11-19.08 - rick 2008-11-20 20:25:33.3 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1595 [GMT 1:00] ausgeführt von:: c:\dokumente und einstellungen\rick\Desktop\ComboFix.exe Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !! . ((((((((((((((((((((((( Dateien erstellt von 2008-10-20 bis 2008-11-20 )))))))))))))))))))))))))))))) . 2008-11-17 08:34 . 2008-11-17 08:34 <DIR> d-------- c:\programme\CleanUp! 2008-11-14 08:57 . 2008-11-14 08:57 <DIR> d-------- c:\programme\Avira . (((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-11-20 18:05 --------- d--h--w c:\programme\InstallShield Installation Information 2008-11-20 18:05 --------- d-----w c:\programme\Spiele 2008-11-06 22:15 --------- d-----w c:\programme\Spyware Terminator 2008-11-06 22:15 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spyware Terminator 2008-11-06 22:13 --------- d-----w c:\dokumente und einstellungen\rick\Anwendungsdaten\Spyware Terminator 2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll 2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll 2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll 2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll 2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll 2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe 2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll 2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll 2008-10-08 17:43 47,104 ----a-w c:\windows\system32\KMVIDC32.DLL 2008-09-28 08:38 --------- d-----w c:\dokumente und einstellungen\rick\Anwendungsdaten\SPORE 2008-09-27 15:58 107,888 ----a-w c:\windows\system32\CmdLineExt.dll 2008-09-27 15:58 --------- d--h--r c:\dokumente und einstellungen\rick\Anwendungsdaten\SecuROM 2008-09-27 15:12 --------- d-----w c:\dokumente und einstellungen\rick\Anwendungsdaten\Nero 2008-09-27 15:11 --------- d-----w c:\programme\Gemeinsame Dateien\Nero 2008-09-27 15:09 --------- d-----w c:\programme\Nero 2008-09-27 15:09 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Nero 2008-09-25 05:16 --------- d-----w c:\programme\ICQ6 2007-03-07 18:00 0 -c--a-w c:\dokumente und einstellungen\rick\Anwendungsdaten\wklnhst.dat . ((((((((((((((((((((((((((((( snapshot@2008-11-17_ 8.56.21.26 ))))))))))))))))))))))))))))))))))))))))) . - 2007-10-05 14:28:53 53,248 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.AudioVideoPlayback\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.AudioVideoPlayback.dll + 2008-11-20 18:10:46 53,248 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.AudioVideoPlayback\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.AudioVideoPlayback.dll - 2007-10-05 14:28:53 12,800 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.Diagnostics\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.Diagnostics.dll + 2008-11-20 18:10:46 12,800 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.Diagnostics\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.Diagnostics.dll - 2007-10-05 14:28:53 473,600 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.Direct3D\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.Direct3D.dll + 2008-11-20 18:10:46 473,600 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.Direct3D\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.Direct3D.dll - 2007-10-05 14:28:52 577,024 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2907.0__31bf3856ad364e35\Microsoft.DirectX.Direct3DX.dll + 2008-11-20 18:10:47 577,024 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.Direct3DX\1.0.2907.0__31bf3856ad364e35\Microsoft.DirectX.Direct3DX.dll - 2007-10-05 14:28:54 145,920 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectDraw\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectDraw.dll + 2008-11-20 18:10:47 145,920 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectDraw\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectDraw.dll - 2007-10-05 14:28:54 159,232 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectInput\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectInput.dll + 2008-11-20 18:10:47 159,232 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectInput\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectInput.dll - 2007-10-05 14:28:54 364,544 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectPlay\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectPlay.dll + 2008-11-20 18:10:48 364,544 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectPlay\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectPlay.dll - 2007-10-05 14:28:54 178,176 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectSound\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectSound.dll + 2008-11-20 18:10:48 178,176 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX.DirectSound\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.DirectSound.dll - 2007-10-05 14:28:53 223,232 -c--a-w c:\windows\assembly\GAC\Microsoft.DirectX\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.dll + 2008-11-20 18:10:45 223,232 ----a-w c:\windows\assembly\GAC\Microsoft.DirectX\1.0.2902.0__31bf3856ad364e35\Microsoft.DirectX.dll - 2005-03-18 15:23:10 53,248 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.AudioVideoPlayback.dll + 2005-03-18 16:23:10 53,248 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.AudioVideoPlayback.dll - 2005-03-18 15:23:10 12,800 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.Diagnostics.dll + 2005-03-18 16:23:10 12,800 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.Diagnostics.dll - 2005-03-18 15:23:14 473,600 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.Direct3D.dll + 2005-03-18 16:23:14 473,600 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.Direct3D.dll - 2005-03-18 15:23:10 145,920 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectDraw.dll + 2005-03-18 16:23:10 145,920 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectDraw.dll - 2005-03-18 15:23:10 159,232 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectInput.dll + 2005-03-18 16:23:10 159,232 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectInput.dll - 2005-03-18 15:23:14 364,544 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectPlay.dll + 2005-03-18 16:23:14 364,544 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectPlay.dll - 2005-03-18 15:23:12 178,176 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectSound.dll + 2005-03-18 16:23:12 178,176 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.DirectSound.dll - 2005-03-18 15:23:14 223,232 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.dll + 2005-03-18 16:23:14 223,232 -c--a-w c:\windows\Microsoft.NET\DirectX for Managed Code\1.0.2902.0\Microsoft.DirectX.dll . -- Snapshot auf jetziges Datum zurückgesetzt -- . (((((((((((((((((((((((((((( Autostartpunkte der Registrierung )))))))))))))))))))))))))))))))))))))))) . . *Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-10 15360] "MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2004-10-13 1694208] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Nero\Lib\NMBgMonitor.exe" [2007-09-20 202024] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "LaunchApp"="Alaunch" [X] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-07-11 7626752] "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-07-11 86016] "IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-10 208952] "IMEKRMIG6.1"="c:\windows\ime\imkr6_1\IMEKRMIG.EXE" [2004-08-10 44032] "MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-10 59392] "PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-10 455168] "PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-10 455168] "eRecoveryService"="c:\acer\Empowering Technology\eRecovery\eRAgent.exe" [2006-06-01 413696] "SpywareTerminator"="c:\progra~1\SPYWAR~1\SpywareTerminatorShield.exe" [2008-05-06 1817600] "NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe" [2007-03-01 153136] "NBKeyScan"="c:\programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2007-09-20 1836328] "nwiz"="nwiz.exe" [2006-07-11 c:\windows\system32\nwiz.exe] "RTHDCPL"="RTHDCPL.EXE" [2006-06-01 c:\windows\RTHDCPL.exe] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-10 15360] c:\dokumente und einstellungen\rick\Startmen\Programme\Autostart\ PowerReg Scheduler V3.exe [2007-10-26 225280] c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\ Acer WLAN 11g USB Dongle.lnk - c:\programme\Acer WLAN 11g USB Dongle\ZDWlan.exe [2005-11-16 745472] Adobe Reader Speed Launch.lnk - c:\programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696] [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\system32\\sessmgr.exe"= "c:\\Programme\\Spiele\\Cossacks - Back To War\\dmcr.exe"= "c:\\WINDOWS\\system32\\dplaysvr.exe"= "c:\\Programme\\Messenger\\msmsgs.exe"= "c:\\Programme\\Spiele\\EA Games\\Command & Conquer Die ersten 10 Jahre\\Command & Conquer(tm) Generals Zero Hour\\generals.exe"= "c:\\WINDOWS\\system32\\dpnsvr.exe"= "c:\\Programme\\Spiele\\Microsoft Games\\Dungeon Siege\\DungeonSiege.exe"= "c:\\Programme\\Spiele\\Microsoft Games\\Dungeon Siege 2\\DungeonSiege2.exe"= "c:\\Programme\\Spiele\\2K Games\\Dungeon Siege 2 Broken World\\DungeonSiege2.exe"= "c:\\Programme\\Spiele\\KochMedia\\PremiumSkatdeLuxe\\Skat.exe"= "c:\\Programme\\Spiele\\LucasArts\\Star Wars Jedi Knight Jedi Academy\\GameData\\jamp.exe"= "c:\\Programme\\Spiele\\EA Games\\Command & Conquer Die ersten 10 Jahre\\Command & Conquer(tm) Generals\\game.dat"= "c:\\Programme\\Spiele\\Empire Interactive\\FlatOut2\\FlatOut2.exe"= "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "c:\\Programme\\ICQ6\\ICQ.exe"= "c:\\Programme\\Spiele\\Sierra\\FEAR\\fpupdate.exe"= "c:\\Programme\\Spiele\\Sierra\\FEAR\\FEAR.exe"= "c:\\Programme\\Spiele\\Sierra\\FEAR\\FEARMP.exe"= R1 sp_rsdrv2;Spyware Terminator Driver 2;\??\c:\windows\system32\drivers\sp_rsdrv2.sys [2008-02-28 141312] R3 int15.sys;int15.sys;\??\c:\acer\Empowering Technology\eRecovery\int15.sys [2006-12-27 69632] S3 cdiskdun;cdiskdun;\??\c:\dokume~1\rick\LOKALE~1\Temp\cdiskdun.sys [] S3 ZD1211BU(ZyDAS);ZyDAS ZD1211B IEEE 802.11 b+g Wireless LAN Driver (USB)(ZyDAS);c:\windows\system32\DRIVERS\zd1211Bu.sys [2005-10-28 402432] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dcff8e4c-6073-11dd-b65e-00192127296e}] \Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe NOTEBOOK-464A73.vbs . . ------- Zusätzlicher Suchlauf ------- . FireFox -: Profile - c:\dokumente und einstellungen\rick\Anwendungsdaten\Mozilla\Firefox\Profiles\kvc4lnag.default\ FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.de/ FF -: plugin - c:\programme\Adobe\Acrobat 7.0\Reader\browser\nppdf32.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJava11.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJava12.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJava13.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJava14.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJava32.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPJPI150_10.dll FF -: plugin - c:\programme\Java\jre1.5.0_10\bin\NPOJI610.dll FF -: plugin - d:\programme\DivX\DivX Content Uploader\npUpload.dll FF -: plugin - d:\programme\DivX\DivX Player\npDivxPlayerPlugin.dll FF -: plugin - d:\programme\DivX\DivX Web Player\npdivx32.dll . ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-11-20 20:27:06 Windows 5.1.2600 Service Pack 2 NTFS detected NTDLL code modification: ZwEnumerateKey, ZwEnumerateValueKey, ZwQueryDirectoryFile, ZwQuerySystemInformation Scanne versteckte Prozesse... c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe [440] 0x89048A20 Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable c:\windows\TEMP\tmpD3.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable c:\windows\TEMP\tmp132.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable c:\windows\TEMP\tmp140.tmp.4eab3cbb9a018abf.tmp 44544 bytes executable c:\windows\system32\.4eab3cbb9a018abf Scan erfolgreich abgeschlossen versteckte Dateien: 5 ************************************************************************** [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf] "ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe" . --------------------- Durch laufende Prozesse gestartete DLLs --------------------- Prozess: c:\windows\explorer.exe -> c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.core.dll . Zeit der Fertigstellung: 2008-11-20 20:27:51 ComboFix-quarantined-files.txt 2008-11-20 19:27:45 ComboFix2.txt 2008-11-20 16:34:48 ComboFix3.txt 2008-11-17 07:57:00 Vor Suchlauf: 21 Verzeichnis(se), 66.988.105.728 Bytes frei Nach Suchlauf: 21 Verzeichnis(se), 66,975,780,864 Bytes frei 180 --- E O F --- 2008-04-25 04:38:43 Und hier der Log von Avenger: Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. Hidden driver "4eab3cbb9a018abf" found! DisplayName: Microsoft DDE+ server ImagePath: C:\WINDOWS\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe Start Type: 2 (Automatic) Rootkit scan completed. Error: file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" not found! Deletion of file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "c:\windows\TEMP\tmpD3.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" not found! Deletion of file "c:\windows\TEMP\tmpD3.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "c:\windows\TEMP\tmp132.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" not found! Deletion of file "c:\windows\TEMP\tmp132.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "c:\windows\TEMP\tmp140.tmp.4eab3cbb9a018abf.tmp 44544 bytes executable" not found! Deletion of file "c:\windows\TEMP\tmp140.tmp.4eab3cbb9a018abf.tmp 44544 bytes executable" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: "c:\windows\system32\.4eab3cbb9a018abf" is a folder, not a file! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf" failed! Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY) --> use "Folders to delete:" instead of "Files to delete:" to delete a directory Error: could not open file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]" Deletion of file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Error: could not open file ""ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe"" Deletion of file ""ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe"" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Completed script processing. ******************* Finished! Terminate. und nun frag ich mich was ich falsch gemacht habe bei Avenger, weil ihr seht ja das überall error steht. Also bitte vll könnt ihr mir helfen!!! Danke vorab schon mal. Mfg Dooley |
lass mal vorher cleanup laufen. du hast auf jeden fall einträge in deinen temporären internet-dateien. http://virus-protect.org/index.html <--- hier kannst du ihn z.b. runter laden. nennt sich dort Ccleaner ;-) |
in den avenger musst du es so eingeben: Files to Delete: c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp c:\windows\TEMP\tmpD3.tmp.4eab3cbb9a018abf.tmp c:\windows\TEMP\tmp132.tmp.4eab3cbb9a018abf.tmp c:\windows\TEMP\tmp140.tmp.4eab3cbb9a018abf.tmp c:\windows\system32\.4eab3cbb9a018abf [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf] "ImagePath"="c:\windows\system32\.4eab3cbb9a018abf \4eab3cbb9a018abf.exe" |
Clean up habe ich vorher laufen lassen, aber ich mach nochmal alles angefangen mit clean up bis avenger wenn gehts antworte ich dann gleich ma so in 5- 10 min. Hoff mal das du dann noch on bist!!! Danke für die zeitige antwort!!! |
Scheint wieder nicht geklappt zu haben!!! Hier die Log Datei von Avenger alles so gemacht wie gesagt. Mit abgesicherten Modus usw. Nur noch mal eine frage. Müssen Avenger und Combofix auf dem Desktop sein oder funktionieren die auch so??? Logfile of The Avenger Version 2.0, (c) by Swandog46 http://swandog46.geekstogo.com Platform: Windows XP ******************* Script file opened successfully. Script file read successfully. Backups directory opened successfully at C:\Avenger ******************* Beginning to process script file: Rootkit scan active. Hidden driver "4eab3cbb9a018abf" found! DisplayName: Microsoft DDE+ server ImagePath: C:\WINDOWS\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe Start Type: 2 (Automatic) Rootkit scan completed. Error: file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" not found! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp" not found! Deletion of file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist File "c:\windows\TEMP\tmpD3.tmp.4eab3cbb9a018abf.tmp" deleted successfully. File "c:\windows\TEMP\tmp132.tmp.4eab3cbb9a018abf.tmp" deleted successfully. File "c:\windows\TEMP\tmp140.tmp.4eab3cbb9a018abf.tmp" deleted successfully. Error: "c:\windows\system32\.4eab3cbb9a018abf" is a folder, not a file! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf" failed! Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY) --> use "Folders to delete:" instead of "Files to delete:" to delete a directory Error: could not open file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf]" Deletion of file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf]" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Error: could not open file ""ImagePath"="c:\windows\system32\.4eab3cbb9a01 8abf \4eab3cbb9a018abf.e" Deletion of file ""ImagePath"="c:\windows\system32\.4eab3cbb9a01 8abf \4eab3cbb9a018abf.e" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Completed script processing. ******************* Finished! Terminate. Er zeigt ja an das er was gelöscht hat aber avenger kam trotzdem mit fehlermeldungen!!! |
ist er denn noch drauf? also meldet avira ihn noch? wenn nicht lass mal noch antivir zur vorsicht eine vollständige systemprüfung machen. |
Ich mach grad die Überprüfung bis jetzt hat antivir sich nicht gemeldet. Mal was anderes Combofix deaktiviert doch den autostart von den Laufwerken. Wie kriege ich den wieder an??? |
hab gerade etwas gesehen: das letzte gehört zusammen und avenger hat es als 2 dateien genommen da sie untereinander stehen. die datei heißt so: [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a01 8abf \4eab3cbb9a018abf.exe" es ist also eine zusammenhängende datei... ich hoffe du weißt was ich meine... |
Oh stimmt, hab ich falsch kopiert!!! Ist das jetzt irgendwie ausschlaggebend??? Weil Antivir meldet nix!!! Könnte das so jetzt auch reichen oder muss ich wieder alles neu machen begonnen mit cleanup bis avenger und nun das richtige script??? Oder reicht das auch so oder kann ich gar einfach nur avenger öffnen und das so eingeben??? Danke auf jedenfall dafür das du mir geholfen hast und auch so easey, ich hoffe mal ich habe dich nicht zu sehr zugespamt!!! |
das ist auf jeden fall wichtig. denke aber es reicht wenn du diesen einen eintrag nochmal durch avenger schiebst. hier noch mal wie er sein muss: [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf \4eab3cbb9a018abf.exe" (ist der eintrag in deiner registry) |
Sprich File to Delete: [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\2 74f37b8f1e7d707] "ImagePath"="c:\windows\system32\.274f37b8f1e7d707 \274f37b8f1e7d707.exe" was meinst du mit registry |
genau, nur das der eintrag halt hintereinander geschrieben ist, damit es eine datei ergibt ;-) Files to Delete: [HKEY_LOCAL_MACHINE\system...u.s.w. (darf keine 2 reihen ergeben) |
Sorry bin irgendwie zu blöd dafür schreib mal den Script wie es genau sein soll. Hab nochmal combofix gemacht hab auch das in einer Zeile gehabt. aber guck mal bitte. Combofix: Scanne versteckte Prozesse... c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe [612] 0x891128F8 Scanne versteckte Autostarteinträge... Scanne versteckte Dateien... c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9a018abf.tmp 22115 bytes executable c:\windows\system32\.4eab3cbb9a018abf Scan erfolgreich abgeschlossen versteckte Dateien: 2 ************************************************************************** [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf] "ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe" . --------------------- Durch laufende Prozesse gestartete DLLs --------------------- Prozess: c:\windows\explorer.exe -> c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.core.dll . Zeit der Fertigstellung: 2008-11-20 22:26:45 ComboFix-quarantined-files.txt 2008-11-20 21:26:38 ComboFix2.txt 2008-11-20 20:50:25 ComboFix3.txt 2008-11-20 20:11:08 ComboFix4.txt 2008-11-20 19:27:52 ComboFix5.txt 2008-11-20 21:21:04 Vor Suchlauf: 22 Verzeichnis(se), 66.818.138.112 Bytes frei Nach Suchlauf: 22 Verzeichnis(se), 66,806,599,680 Bytes frei 156 --- E O F --- 2008-04-25 04:38:43 und avenger Beginning to process script file: Rootkit scan active. Hidden driver "4eab3cbb9a018abf" found! DisplayName: Microsoft DDE+ server ImagePath: C:\WINDOWS\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe Start Type: 2 (Automatic) Rootkit scan completed. Error: file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" not found! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: "c:\windows\system32\.4eab3cbb9a018abf" is a folder, not a file! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf" failed! Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY) --> use "Folders to delete:" instead of "Files to delete:" to delete a directory Error: could not open file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe"" Deletion of file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe"" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Completed script processing. ******************* Finished! Terminate. hab diesmal nur die unteren teile kopiert wäre nett wenn du mir ein genaues script schreibst danke. |
ok, er ist noch drauf... das ist das problem mit dem registry-eintrag ;-) also: Files to Delete: c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp c:\windows\system32\.4eab3cbb9a018abf [HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe" wichtig: alles nach [HKEY_LOCAL_MACHINE\... muss eine zeile im fenster von avenger ergeben! versuchs einfach nochmal ;-) |
klappt nicht hier Log datei so eingegeben wie du aufgeschrieben. Aber warum??? was stimmt nicht Avenger Beginning to process script file: Rootkit scan active. Hidden driver "4eab3cbb9a018abf" found! DisplayName: Microsoft DDE+ server ImagePath: C:\WINDOWS\system32\.4eab3cbb9a018abf\4eab3cbb9a018abf.exe Start Type: 2 (Automatic) Rootkit scan completed. Error: file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" not found! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf\4eab3cbb9a01 8abf.exe" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp" not found! Deletion of file "c:\dokume~1\rick\LOKALE~1\Temp\tmpDF.tmp.4eab3cbb9 a018abf.tmp" failed! Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND) --> the object does not exist Error: "c:\windows\system32\.4eab3cbb9a018abf" is a folder, not a file! Deletion of file "c:\windows\system32\.4eab3cbb9a018abf" failed! Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY) --> use "Folders to delete:" instead of "Files to delete:" to delete a directory Error: could not open file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf \4eab3cbb9a018abf.exe"" Deletion of file "[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\4 eab3cbb9a018abf]"ImagePath"="c:\windows\system32\.4eab3cbb9a018abf \4eab3cbb9a018abf.exe"" failed! Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND) --> bad path / the parent directory does not exist Completed script processing. ******************* Finished! Terminate. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 20:04 Uhr. |
Copyright ©2000-2025, Trojaner-Board