Trojaner-Board - Google-Ergebnisse falsch weitergeleitet

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Google-Ergebnisse falsch weitergeleitet (https://www.trojaner-board.de/80167-google-ergebnisse-falsch-weitergeleitet.html)

Hier der GMER-Log: File-Upload.net - gmer.txt
Über eine Neuinstallation habe ich natürlich auch schon nachgedacht. Falls dieser Log jetzt auch wieder keinen Aufschluss über das Rootkit/Virus/Trojaner bieten sollte, werde ich mein System wohl neu aufsetzen.

Zitat:

File C:\Windows\system32\drivers\atapi.sys suspicious modification

Da scheint der Schädling die essentielle Datei atapi.sys manipuliert zu haben. Hast Du eine stinknormale Windows-XP-Setup da?

Ich habe noch eine XP-Home-CD da, aber mein aktuelles Betriebssystem ist Vista :dummguck:

Ich habe die entsprechende Datei mal bei VirusTotal hochgeladen. Ergebnis:
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.43 2009.12.16 -
AhnLab-V3 5.0.0.2 2009.12.16 -
AntiVir 7.9.1.108 2009.12.16 -
Antiy-AVL 2.0.3.7 2009.12.16 -
Authentium 5.2.0.5 2009.12.02 -
Avast 4.8.1351.0 2009.12.16 -
AVG 8.5.0.427 2009.12.16 -
BitDefender 7.2 2009.12.16 -
CAT-QuickHeal 10.00 2009.12.16 -
ClamAV 0.94.1 2009.12.16 -
Comodo 3264 2009.12.16 -
DrWeb 5.0.0.12182 2009.12.16 -
eSafe 7.0.17.0 2009.12.16 -
eTrust-Vet 35.1.7178 2009.12.16 -
F-Prot 4.5.1.85 2009.12.15 -
F-Secure 9.0.15370.0 2009.12.16 -
Fortinet 4.0.14.0 2009.12.16 -
GData 19 2009.12.16 -
Ikarus T3.1.1.78.0 2009.12.16 -
K7AntiVirus 7.10.922 2009.12.16 -
Kaspersky 7.0.0.125 2009.12.16 -
McAfee 5833 2009.12.15 -
McAfee+Artemis 5833 2009.12.15 -
McAfee-GW-Edition 6.8.5 2009.12.16 Heuristic.BehavesLike.Win32.Rootkit.H
Microsoft 1.5302 2009.12.16 -
NOD32 4693 2009.12.16 -
Norman 6.04.03 2009.12.15 -
nProtect 2009.1.8.0 2009.12.16 -
Panda 10.0.2.2 2009.12.15 -
PCTools 7.0.3.5 2009.12.16 -
Prevx 3.0 2009.12.16 -
Rising 22.26.02.04 2009.12.16 -
Sophos 4.48.0 2009.12.16 -
Sunbelt 3.2.1858.2 2009.12.16 -
Symantec 1.4.4.12 2009.12.16 -
TheHacker 6.5.0.2.094 2009.12.15 -
TrendMicro 9.100.0.1001 2009.12.16 -
VBA32 3.12.12.0 2009.12.16 -
ViRobot 2009.12.16.2092 2009.12.16 -
VirusBuster 5.0.21.0 2009.12.16 -

McAfee-GW-Edition scheint also tatsächlich was in dieser Datei gefunden zu haben.

Achja, stimmt Du hast ein Vista :D
Na dann machen wirs mit der Vista-DVD. Der Fund in der atapi.sys dürfte ein Fehlalarm sein. Ich vermute aber, dass ein Rootkit doch die Datei verändert und und jeden Zugriff auf die atapi.sys auf die "echt" umlenkt. Boote daher mal von der Vista-DVD, geh in die Wiederherstellungskonsole / Eingabeaufforderung. Dort diesen Befehl ausführen:

Code:

copy c:\windows\system32\drivers\atapi.sys c:\

Rechner wieder normal booten und die atapi.sys direkt auf C: nochmal auswerten lassen.

Gleiches Ergebnis bei Virustotal.
Jetzt schlägt sogar noch Norton Internet Security Alarm, dass es "Backdoor.Tidserv.I!inf" in c:\atapi.sys gefunden hat.
Was ich noch festgestellt habe: Das Änderungsdatum der Datei stimmt mit dem ersten Auftrittsdatum der falschen Weiterleitung überein.

So, genau die atapi.sys wollte ich haben. Bitte c:\atapi.sys bei Virustotal auswerten lassen.
Keine Angst, die Datei kannst Du so ohne weiteres nicht ausführen, also Zugriffe immer erlauben!

Die Auswertung bei virustotal ist die gleiche, wie bei der anderen Datei:

Zitat:

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.43 2009.12.17 -
AhnLab-V3 5.0.0.2 2009.12.17 -
AntiVir 7.9.1.114 2009.12.17 -
Antiy-AVL 2.0.3.7 2009.12.17 -
Authentium 5.2.0.5 2009.12.02 -
Avast 4.8.1351.0 2009.12.17 -
AVG 8.5.0.427 2009.12.17 -
BitDefender 7.2 2009.12.17 -
CAT-QuickHeal 10.00 2009.12.17 -
ClamAV 0.94.1 2009.12.17 -
Comodo 3269 2009.12.17 -
DrWeb 5.0.0.12182 2009.12.17 -
eSafe 7.0.17.0 2009.12.16 -
eTrust-Vet 35.1.7180 2009.12.17 -
F-Prot 4.5.1.85 2009.12.16 -
F-Secure 9.0.15370.0 2009.12.17 -
Fortinet 4.0.14.0 2009.12.17 -
GData 19 2009.12.17 -
Ikarus T3.1.1.79.0 2009.12.17 -
K7AntiVirus 7.10.923 2009.12.17 -
Kaspersky 7.0.0.125 2009.12.17 -
McAfee 5834 2009.12.16 -
McAfee+Artemis 5834 2009.12.16 -
McAfee-GW-Edition 6.8.5 2009.12.17 Heuristic.BehavesLike.Win32.Rootkit.H
Microsoft 1.5302 2009.12.17 -
NOD32 4696 2009.12.17 -
Norman 6.04.03 2009.12.17 -
nProtect 2009.1.8.0 2009.12.17 -
Panda 10.0.2.2 2009.12.15 -
PCTools 7.0.3.5 2009.12.17 -
Prevx 3.0 2009.12.17 -
Rising 22.26.03.04 2009.12.17 -
Sophos 4.49.0 2009.12.17 -
Sunbelt 3.2.1858.2 2009.12.17 -
Symantec 1.4.4.12 2009.12.17 -
TheHacker 6.5.0.2.095 2009.12.17 -
TrendMicro 9.100.0.1001 2009.12.17 -
VBA32 3.12.12.0 2009.12.16 -
ViRobot 2009.12.17.2094 2009.12.17 -
VirusBuster 5.0.21.0 2009.12.17 -
weitere Informationen
File size: 19944 bytes
MD5...: 7ff9122c2e164711666ec37398122939
SHA1..: 3b8dac16cfc559be8d935cf8a4a1a0578aeb4da5
SHA256: 18c9e41c3ce1897c41d04a2786591bad85ada0fab1fa8963f6821833115f32c2
ssdeep: 384:1zY0Vgd1RrKzBfSn8G6FuT+quHpBjbOjBMwzt8:1z/Vgd1gzFSuBxkMwzt8
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x5005
timedatestamp.....: 0x49e01eed (Sat Apr 11 04:39:09 2009)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x19b0 0x1a00 6.30 4ac8c9f82cf23d85316bd85d3d8e4efb
.rdata 0x3000 0xae 0x200 1.49 3d541e69f96e97a837841ad289adeac7
.data 0x4000 0xc 0x200 0.18 7c80b151582aa6280e754b477343e54e
INIT 0x5000 0x364 0x400 4.51 f238fffd3a9917d72f4888f4276b3b06
.rsrc 0x6000 0x3f8 0x400 0.45 4051fb4e7540dc6d39763f35fec5ebd3
.reloc 0x7000 0x8a 0x200 1.37 064d7db7c16955d4dc6d3f7afb703e06

( 2 imports )
> ataport.SYS: AtaPortNotification, AtaPortWritePortUchar, AtaPortWritePortUlong, AtaPortGetPhysicalAddress, AtaPortConvertPhysicalAddressToUlong, AtaPortGetScatterGatherList, AtaPortReadPortUchar, AtaPortStallExecution, AtaPortGetParentBusType, AtaPortRequestCallback, AtaPortWritePortBufferUshort, AtaPortGetUnCachedExtension, AtaPortCompleteRequest, AtaPortMoveMemory, AtaPortCompleteAllActiveRequests, AtaPortReleaseRequestSenseIrb, AtaPortBuildRequestSenseIrb, AtaPortReadPortUshort, AtaPortReadPortBufferUshort, AtaPortInitialize, AtaPortGetDeviceBase, AtaPortDeviceStateChange
> NTOSKRNL.exe: KeTickCount

( 0 exports )
RDS...: NSRL Reference Data Set
-
trid..: Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
pdfid.: -
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

Allerdins sagt Norton bereits, dass der Fehler in der Datei behoben wurde.

Hm ja, hätte ich erwähnen sollen, dass Norton nichts mit der Datei machen darf :(

Geh nochmal in die Wiederherstellungskonsole und führ diese 2 Befehle aus

Code:

copy c:\windows\system32\drivers\atapi.sys c:\atapi.bad

Code:

copy X:\i386\atapi.sys C:\windows\system32\drivers\atapi.sys

Wobei X: für den Buchstaben des Laufwerks mit der Vista-DVD steht. Bei Abfrage die atapi.sys überschreiben mit Ja bestätigen!
Wenn der 2. Befehl erfolgreich war, neu starten (normal Vista von Platte), achte darauf, dass Norton die Datei c:\atapi.bad in Ruhe lässt!!
Diese dann bitte erneut bei Virustotal auswerten lassen.

Den 2ten befehl konnte ich leider nicht ausführen, da ich den Laufwerksbuchstaben nicht weiß. Ich werde es danach erneut probieren.
Hier das Ergebnis von virustotal:

Zitat:

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.43 2009.12.17 Rootkit.Win32.TDSS!IK
AhnLab-V3 5.0.0.2 2009.12.17 -
AntiVir 7.9.1.114 2009.12.17 TR/Patched.Gen
Antiy-AVL 2.0.3.7 2009.12.17 -
Authentium 5.2.0.5 2009.12.02 -
Avast 4.8.1351.0 2009.12.17 Win32:Alureon-EU
AVG 8.5.0.427 2009.12.17 -
BitDefender 7.2 2009.12.17 -
CAT-QuickHeal 10.00 2009.12.17 Rootkit.TDSS.y
ClamAV 0.94.1 2009.12.17 -
Comodo 3269 2009.12.17 -
DrWeb 5.0.0.12182 2009.12.17 BackDoor.Tdss.1365
eSafe 7.0.17.0 2009.12.16 -
eTrust-Vet 35.1.7180 2009.12.17 Win32/Alureon.AQH
F-Prot 4.5.1.85 2009.12.16 -
F-Secure 9.0.15370.0 2009.12.17 Rootkit:W32/TDSS.gen!D
Fortinet 4.0.14.0 2009.12.17 -
GData 19 2009.12.17 Win32:Alureon-EU
Ikarus T3.1.1.79.0 2009.12.17 Rootkit.Win32.TDSS
Jiangmin 13.0.900 2009.12.17 Rootkit.TDSS.cwp
K7AntiVirus 7.10.923 2009.12.17 -
Kaspersky 7.0.0.125 2009.12.17 Rootkit.Win32.TDSS.y
McAfee 5834 2009.12.16 -
McAfee+Artemis 5834 2009.12.16 -
McAfee-GW-Edition 6.8.5 2009.12.17 Heuristic.BehavesLike.Win32.Rootkit.H
Microsoft 1.5302 2009.12.17 Virus:Win32/Alureon.F
NOD32 4696 2009.12.17 Win32/Olmarik.RF
Norman 6.04.03 2009.12.17 W32/tdss.drv.gen6
nProtect 2009.1.8.0 2009.12.17 Trojan/W32.Rootkit.19944.B
Panda 10.0.2.2 2009.12.15 -
PCTools 7.0.3.5 2009.12.17 Backdoor.Tidserv
Prevx 3.0 2009.12.17 Medium Risk Malware
Rising 22.26.03.04 2009.12.17 -
Sophos 4.49.0 2009.12.17 -
Sunbelt 3.2.1858.2 2009.12.17 Rootkit.Win32.TDSS.y (v)
Symantec 1.4.4.12 2009.12.17 Backdoor.Tidserv.I!inf
TheHacker 6.5.0.2.095 2009.12.17 -
TrendMicro 9.100.0.1001 2009.12.17 -
VBA32 3.12.12.0 2009.12.16 Rootkit.Win32.TDSL
ViRobot 2009.12.17.2094 2009.12.17 -
VirusBuster 5.0.21.0 2009.12.17 -
weitere Informationen
File size: 19944 bytes
MD5...: 470385eee00340233f68b88211833ad0
SHA1..: dc58d6284be3f44c4c3dd7b104025ddcc15f49f2
SHA256: 29371c2e6c07d82041778465e73b9ef4730af1b62b471fd26a6deab27c8f7156
ssdeep: 384:RzY0Vgd1RrKzB7lvSn8G6FuT+quHpBjbOjBMwzt8:Rz/Vgd1gzDSuBxkMwzt
8
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x6024
timedatestamp.....: 0x49e01eed (Sat Apr 11 04:39:09 2009)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x19b0 0x1a00 6.30 4ac8c9f82cf23d85316bd85d3d8e4efb
.rdata 0x3000 0xae 0x200 1.49 3d541e69f96e97a837841ad289adeac7
.data 0x4000 0xc 0x200 0.18 7c80b151582aa6280e754b477343e54e
INIT 0x5000 0x364 0x400 4.51 f238fffd3a9917d72f4888f4276b3b06
.rsrc 0x6000 0x3f8 0x400 6.19 4edd22b220a30696784a233e62fdf611
.reloc 0x7000 0x8a 0x200 1.37 064d7db7c16955d4dc6d3f7afb703e06

( 2 imports )
> ataport.SYS: AtaPortNotification, AtaPortWritePortUchar, AtaPortWritePortUlong, AtaPortGetPhysicalAddress, AtaPortConvertPhysicalAddressToUlong, AtaPortGetScatterGatherList, AtaPortReadPortUchar, AtaPortStallExecution, AtaPortGetParentBusType, AtaPortRequestCallback, AtaPortWritePortBufferUshort, AtaPortGetUnCachedExtension, AtaPortCompleteRequest, AtaPortMoveMemory, AtaPortCompleteAllActiveRequests, AtaPortReleaseRequestSenseIrb, AtaPortBuildRequestSenseIrb, AtaPortReadPortUshort, AtaPortReadPortBufferUshort, AtaPortInitialize, AtaPortGetDeviceBase, AtaPortDeviceStateChange
> NTOSKRNL.exe: KeTickCount

( 0 exports )
RDS...: NSRL Reference Data Set
-
trid..: Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
pdfid.: -
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

Den Ordner i386 gibt es auf der Vista-DVD gar nicht!

Ok. Die c:\atapi.sys und atapi.bad kannst Du löschen. Lade Dir dann diese atapi.sys herunter direkt auf c:\ und geh wieder mit der Vista-DVD in die Wiederherstellungskonsole. Diesen Befehl ausführen:

Code:

copy c:\atapi.sys c:\windows\system32\drivers

Die Überschreibwarnung mit J bestätigen. Boote Dein Vista danach wieder normal und mach einen neuen Durchlauf mit GMER.

Vieleb Dank!
Werde jetzt noch mal GMER durchlaufen lassen. Die Programme, die vorher nicht mehr liefen, gehen jetzt aber schon mal wieder.

Hier der neue GMER-Log: File-Upload.net - gmer.txt

Hm sieht gut aus :) Die Atapi.sys wurde ersetzt. Mach nochmal bitte einen neuen Durchlauf mit Malwarebytes