TR/Crypt.ZPACK.Gen in C:\Windows\Temp\rmwc.tmp\svchost.exe
 

Hi, seit einigen Tagen hab ich mir wohl bisschen was eingefangen. Vielleicht war es als ich bei einem bekannten im Netzwerk unterwegs war, dort kam Antivir das erste Mal mit der Meldung. Hab schon einiges entfernt, vor allem mit Antivir u.ä..
Der Trojaner TR/Crypt.ZPACK.Gen in C:\Windows\Temp\rmwc.tmp\svchost.exe weigert sich allerdings auch bei mir, wie es anscheinend bei vielen anderen auch der Fall ist (wenn man sich die anderen Threads so durchliest). Alle x Minuten kommen die Warnungen von Antivir wieder (immer gleich 2 zu dem oben genannten Trojaner)
Der Trojaner wird allerdings nur von Antivir erkannt, Malwarebytes findet ihn nicht, dafür aber folgendes: C:\Windows\system32\Drivers\soccx.sys (Rootkit.Agent). Im Log steht zwar. dass er entfernt wurde, beim nächsten Scan wird er allerdings wieder erkannt.

Hier erstmal Antivir und Malwarebytes Log:

Malwarebytes (Quickscan):

CCleaner wurde auch ausgeführt, konnte alles problemlos beheben. Nur der Fehler durch Antivir wird noch angezeigt.

Bei RSIT hab ich allerdings ein Problem. Nach dem Start gibt es bei "Listing services and drivers" den selben Error: http://img89.imageshack.us/img89/2402/errorme.jpg

Liegt es an irgendwelchen Programmen, die noch laufen?

Schonmal danke für die Hilfe

Hi und :hallo: !

Unter Vista läuft RSIT komischerweise nicht.
Nimm stattdessen OTL:

Systemscan mit mit OTL von Oldtimer:

• Lade Dir OTL.exe herunter und speichere sie auf dem Desktop.
• Führe OTL.exe mit einem Doppelklick aus (Vista User: Rechtsklick -> "Als Administrator ausführen")
• Wähle bitte im Block "Extra Registry" die Möglichkeit "Use SafeList" aus.
• Nun bitte mit "Run Scan" einen Systemscan durchführen.
• Nach dem Scan werden zwei Logfiles erstellt (OTL.txt und Extras.txt).
• Diese dann hier posten. (Sollten sie zu lang sein, kannst Du sie auch als Anhang einfügen.)

Hier die OTL.txt (zu groß für Anhang ;) )


Extras.txt im Anhang.

Was ich oben geschrieben habe, dass Malwarebytes den Trojaner nicht gefunden hat ist Quatsch. Ist der gleiche, wurde nur von Antivir bei den Ereignissen anders genannt.

Die folgenden At...job waren dafür da, um Malware nachzuladen, falls sie entfernt wird.
So geschehen z.B. heute Nachmittag.
Die werden wir jetzt mal entfernen, dann wird da nichts mehr geladen:

• Öffne OTL.
• Kopiere folgendes in die "Custom Scans/Fixes" Box:
  
  Code:

  ---

  :OTL
[2010.04.10 15:48:55 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At48.job
[2010.04.10 15:48:54 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At47.job
[2010.04.10 15:48:53 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At46.job
[2010.04.10 15:48:53 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At45.job
[2010.04.10 15:48:52 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At44.job
[2010.04.10 15:48:51 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At43.job
[2010.04.10 15:48:50 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At42.job
[2010.04.10 15:48:50 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At41.job
[2010.04.10 15:48:49 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At40.job
[2010.04.10 15:48:48 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At39.job
[2010.04.10 15:48:47 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At38.job
[2010.04.10 15:48:47 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At37.job
[2010.04.10 15:48:46 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At36.job
[2010.04.10 15:48:45 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At35.job
[2010.04.10 15:48:45 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At34.job
[2010.04.10 15:48:44 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At33.job
[2010.04.10 15:48:43 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At32.job
[2010.04.10 15:48:42 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At31.job
[2010.04.10 15:48:42 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At30.job
[2010.04.10 15:48:41 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At29.job
[2010.04.10 15:48:40 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At28.job
[2010.04.10 15:48:40 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At27.job
[2010.04.10 15:48:39 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At26.job
[2010.04.10 15:48:38 | 000,000,344 | ---- | C] () -- C:\Windows\tasks\At25.job
[2010.04.10 15:44:18 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At24.job
[2010.04.10 15:44:18 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At23.job
[2010.04.10 15:44:17 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At22.job
[2010.04.10 15:44:16 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At21.job
[2010.04.10 15:44:15 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At20.job
[2010.04.10 15:44:15 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At19.job
[2010.04.10 15:44:14 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At18.job
[2010.04.10 15:44:13 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At17.job
[2010.04.10 15:44:12 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At16.job
[2010.04.10 15:44:11 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At15.job
[2010.04.10 15:44:10 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At14.job
[2010.04.10 15:44:09 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At13.job
[2010.04.10 15:44:08 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At12.job
[2010.04.10 15:44:07 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At11.job
[2010.04.10 15:44:07 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At10.job
[2010.04.10 15:44:06 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At9.job
[2010.04.10 15:44:05 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At8.job
[2010.04.10 15:44:04 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At7.job
[2010.04.10 15:44:03 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At6.job
[2010.04.10 15:44:03 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At5.job
[2010.04.10 15:44:02 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At4.job
[2010.04.10 15:44:01 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At3.job
[2010.04.10 15:44:00 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At2.job
[2010.04.10 15:43:59 | 000,000,346 | ---- | C] () -- C:\Windows\tasks\At1.job

:commands
[emptytemp]
[purity]

  ---

• Klicke dann auf den "Run Fix!" Button.
• Ein Logfile wird nach C:\_OTL erstellt. Dieses bitte posten.
• Öffne nun Malwarebytes, aktualisiere die Datenbanken und mache dann einen VollScan - Logfile dann ebenfalls posten.

BTW:
Will Dir nichts unterstellen, aber hast Du eine legale Alcohol-Version?
Diese Einträge deuten nicht darauf hin. Oder ist das eine Trial?

Ist ne Trial Version, dazu noch abgelaufen, wie ich gerade bemerkt habe....

OTL:



Malwarebytes Vollscan:
Und damit erstmal Goodnight

Ok, dann passts ja :)


C:\Windows\System32\drivers\soccx.sys sollte jetzt das letzte mal aufgetaucht sein, denn jetzt wird er nicht mehr nach geladen.
Die Meldungen von AntiVir über den TR/Crypt.ZPACK.Gen kommen immer noch?
Mit HitmanPro habe ich damit recht gute Erfahrungen gemacht:

Systemscan mit HitmanPro

• Downloade HitmanPro 3.5:
  • für 32bit-Systeme: http://files.surfright.nl/HitmanPro35.exe
  • für 64bit-Systeme: http://files.surfright.nl/HitmanPro35_x64.exe
• Installiere es und führe einen Standard-Scan durch ("Weiter" -> "Standard-Scan").
• Akzeptiere den Lizenzvertrag und lasse HitmanPro scannen.
• HitmanPro verschiebt gefundene Dateien in Quarantäne und startet den Rechner neu.
• Berichte, wie Dein Rechner nun läuft.

Antivir meckert nun nicht mehr. Das Pop-Up mit der Warnung blieb bisher aus. Die Datei wird zwar noch gefunden von Malwarebytes und Hitman, aber nicht entfernt werden. (ist das überhaupt nötig, oder ist das nun weitesgehend unschädlich gemacht?).
Seitdem ich OTL mit den Custom Scans durchlaufen lassen habe, hat Windows Schwierigkeiten mit dem starten. Will mich jedesmal durch die Windows Starthilfe schleußen, die das Problem nicht beheben kann. Wenn ich Windows normal starten auswähle, funktioniert allerdings alles einwandfrei

Bitte ein neues OTL-Log posten:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Danach bitte einen Rootkitscan mit GMER durchführen und das Logfile posten.

GMER:

OTL:

Extras:

(erlaubnis von Larusso)
Lade ComboFix von einem der unten aufgeführten Links herunter. Du musst diese umbenennen, bevor Du es auf den Desktop speicherst. Speichere ComboFix auf deinen Desktop.

• BleepingComputer
• ForoSpyware

**NB: Es ist wichtig, das ComboFix.exe auf dem Desktop gespeichert wird**

http://i266.photobucket.com/albums/i...ownload_FF.gif

http://i94.photobucket.com/albums/l8...x-Download.png

• Deaktivere Deine Anti-Virus- und Anti-Spyware-Programme. Normalerweise kannst Du dies über einen Rechtsklick auf das Systemtray-Icon tun. Die Programme könnten sonst eventuell unsere Programme bei deren Arbeit stören.
• Doppel-klicke auf ComboFix.exe und folge den Aufforderungen.
  • Wenn ComboFix fertig ist, wird es ein Log für dich erstellen.
  • Bitte poste mir den Inhalt von C:\ComboFix.txt hier in den Thread.

So hier der Combo-Fix Log

Hy, hier muss ich mal einschreiten :)

schritt 1

Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop.

• Starte das Tool mit Doppelklick.
  Vista User: Bitte mit Rechtsklick "als Administrator starten".
• Klicke nun auf den Disable Button um die Treiber gewisser Emulatoren zu deaktivieren.
• Wenn der Scan beendet wurde ( Finished ), klicke auf OK.
• Defogger fordert nun zum Neustart auf. Bestätige dies mit OK.
• DeFogger erstellt nun ein Logfile auf dem Desktop (defogger_disable).

Poste bitte den Inhalt der Logfile in Deiner nächsten Antwort.


schritt 2

Vorbereitung

Lösche die vorhandene Version von Combofix und lade das Programm von einem der folgenden Download-Spiegel neu herunter:

BleepingComputer.com - ForoSpyware.com

und speichere es auf dem Desktop (nicht woanders hin, das ist wichtig)!
Wenn Du ComboFix bereits vorher auf dem Rechner hattest, lösche die alte Version, da ComboFix laufend aktualisiert wird.

• Denke daran, während des Laufs von Combofix Dein Antiviren-Programm temporär abzustellen.
  Danach wieder anstellen nicht vergessen!
• Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
  Dies kann dazu führen, dass ComboFix sich aufhängt.

Anwendung

1. Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument:
   
   Code:

   ---

   KillAll::

RenV::
c:\program files\Adobe\Reader 9.0\Reader\Reader_sl .exe
c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM .exe
c:\program files\DellTPad\Apoint .exe
c:\program files\IDT\WDM\sttray .exe
c:\program files\Java\jre6\bin\jusched .exe
c:\program files\Malwarebytes' Anti-Malware\mbam .exe

Driver::
taslt
soccx

Rootkit::
C:\Windows\System32\drivers\soccx.sys

   ---

2. Speichere dies als CFScript.txt auf Deinem Desktop
   .
   http://i266.photobucket.com/albums/i.../CFScriptB.gif
   .
3. In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
4. Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.


schritt 3

Lass bitte Gmer erneut laufen.


schritt 4

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Bitte poste in Deiner nächsten Antwort
Defogger_disable.txt
Combofix.txt
Gmer.txt
OTL.txt

defogger_disable:
Combofix:
GMER:
OTL:
(so viele Errors?)

Du hast bei OTL auf Run Fix gedrückt, nicht Quick Scan ;).

Bitte erneut ausführen.

So jetzt hoffentlich richtig:
Otl.txt

Knifflig :kaffee:

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
Also gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Filter" klicken
• dann auf "Ergebnisse"
• das Ergebnis (wie Du es bekommst )
  komplett markieren und hier rein kopieren

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen


Hast du eine Windows CD oder ist es dir möglich eine CD zu brennen ?

Schaltfläche Ergebnis nicht gefunden (unter Filter?). Hab einfach mal den Text beigefügt, der nach der Überprüfung angezeigt wird. (eSafe 7.0.17.0 war der einzige Scanner, der was entedeckt hat)

Windows 7 hab ich über unsere Uni bekommen. Hab die CD zwar nicht hier, kann ich mir aber jederzeit vom Server runterladen und auf CD brennen.

Ich trau dem ganzen nicht.

1. Lade Dir bitte TDSS Killer herunter und speichere es auf dem Desktop.
2. Extrahiere die .zip Datei auf dem Desktop.
   Gehe sicher das sich die TDSSKiller.exe auf dem Desktop befindet
3. Drücke bitte die Windows + R Taste, kopiere folgendes in die Kommandozeile und drücke Enter.
   

   "%userprofile%\Desktop\TDSSKiller.exe" -l C:\TDSSKiller.txt -v

4. Wenn eine Nachricht erscheint "Hidden service detected" mache bitte nichts. Drücke nur enter.
5. Wenn der Scan beendet wurde wird eine Logfile namens "TDSSKiller.txt" auf deiner Festplatte C: erstellt. Poste mir bitte den Inhalt der Log.

schritt 2

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Note: Die Log könnte etwas länger werden. Wenn notwendig bitte zu einem Filehoster uploaden

OTL als rar im Anhang,
TDSSKILLER Log:

Du hast mir die TDSSKiller.txt angehängt ;)
Bitte nachreichen.

Macht der Rechner noch Probleme ?

schritt 1

Lösche die vorhanden ComboFix.exe und lade sie erneut herunter

BleepingComputer - ForoSpyware

Schließe alle laufenden Programme, deaktiviere deine Antivirensoftware.
Rechtsklick auf die Combofix.exe --> "als admin ausführen"

schritt 2

Starte bitte GMER erneut.

Entferne folgende Häckchen (rechts)

• Section
  IAT/EAT
  Modules
  Threads
  ADS

Bitte poste in Deiner nächsten Antwort
Combofix.txt
Gmer.txt
Austehende OTL Logfile

Die letzten 3 (Neu-)Starts des Rechners gingen wieder problemlos und auch sonst merk ich nicht mehr wirklich was. Läuft wieder sichtbar schneller und die störenden Antivir Popups kommen auch nicht mehr.

Im Anhang schonmal OTL.txt, diesmal hoffentlich auch wirklich ;)

Rest gleich per edit

edit:

ComboFix

GMER:

Die macht mich fertig.
(Schritt 1 und 2 sind notwendig da die uns eventuell behindern)

Schritt 1

Deinstalliere bitte Alcohol 120 (falls noch vorhanden)


schritt 2

Downloade dir bitte SPTDinst-v162-x64.exe.
Doppelklick darauf und wähle Uninstall.


schritt 3

Temp File Cleaner

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.


schritt 4

Vorbereitung

• Denke daran, während des Laufs von Combofix Dein Antiviren-Programm temporär abzustellen.
  Danach wieder anstellen nicht vergessen!
• Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
  Dies kann dazu führen, dass ComboFix sich aufhängt.

Anwendung

1. Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument:
   
   Code:

   ---

   KILLALL::

Rootkit::
C:\Windows\System32\drivers\soccx.sys

FCOPY::
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.1.7600.16385_none_dd0e7e3d82dd640d\atapi.sys | C:\Windows\System32\drivers\atapi.sys

   ---

2. Speichere dies als CFScript.txt auf Deinem Desktop
   .
   http://i266.photobucket.com/albums/i.../CFScriptB.gif
   .
3. In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
4. Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.


Poste mir bitte die ComboFix Logfile

So hier der aktuelle Combo-Fix log:

Teil eins scheint geschaft. Jz müssen wir noch eine Datei entfernen :killpc:

schritt 1

Lade den Avenger herunter und entzippe ihn auf den Desktop. Nicht gezippt direkt als EXE ist der Avenger hier erhältlich.

Starte die avenger.exe durch Rechtsklick "als Admin ausführen" und akzeptiere mit OK die Nutzungsbedingungen. Füge den Inhalt der folgenden Codebox vollständig und unverändert bei "Input script here" ein und klicke auf "Execute". Beantworte die Frage, ob Du sicher bist, dass das Skript ausgeführt werden soll mit "Ja".

Beantworte die Frage zum Neustart des Rechners (Reboot now?) ebenfalls mit "Ja". Nachdem der Rechner neu gestartet ist (das kann auch zweimal nötig sein und passieren!) und das DOS-Fenster, das der Avenger geöffnet hat, wieder geschlossen ist, öffnet Avenger Deinen Editor mit dem Avengerlog, zu finden auch unter C:\avenger.txt. Den Inhalt bitte posten. Ein Backup der entfernten Objekte wurde als C:\avenger\backup.zip angelegt.


schritt 2

Bitte Gmer erneut laufen lassen. Lass die Einstellungen wie sie sind.


Bitte poste in Deiner nächsten Antwort
Avenger.txt
Gmer.txt

Das hört sich ja gut an ;)

Avenger:



GMER:

Irgendetwas infiziert uns da andauernd die atapi.sys aber iwie glaub ich das nicht.


Lösche bitte die vorhandene Version von Gmer und downloade es dir erneut.

Poste mir bitte erneut eine Gmer Logfile sowie eine frische OTL Logfile.

GMER:

OTL.txt


Extras.txt

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
Also gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Filter" klicken
• dann auf "Ergebnisse"
• das Ergebnis (wie Du es bekommst )
  komplett markieren und hier rein kopieren

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen

Hier das Ergebnis (ist wohl nichts mit los):

Ist es dir möglich eine CD zu brennen ?

Aber zuerst versuchen wir es mal auf die "herkömmliche" Methode

Windows + R Taste --> notepad (reinschreiben) --> OK
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklick auf die file.bat.
Es sollte 1 Datei wurde kopiert im DOS Fenster stehen
Vista- User: Mit Rechtsklick "als Administrator starten"


schritt 2

Starte (Rechtsklick "als Admin ausführen") bitte Avenger und füge folgendes Script ein.

Nun auf Execute und OK

Poste mir das Logfile von Avenger bitte


PS: So hartnäckig war dieses Teil noch nie -.-

Ich könnte eine CD brennen, ja.

Dann setz ich wohl die neue Referenz in Sachen Trojanerbekämpfung ;)

Hier der aktuelle Avenger Log:

ging ja flott :D

Gmer Logfile bitte. (Ja ich weis ich nerve damit)

Sehe ich mir dann morgen an und melde mich mit neuen Instructions. Muss um 4 auf :pukeface:

n8

Um die Uhrzeit gehen normale Leute/Studenten ins Bett ;)

Vielleicht sollte man ein Skript schreiben, dass GMER automatisch ausführt und den Log speichert ;)

Hier der Log:

Ich habe jetzt noch eine letzte Idee :)

Kurz für Dich als zwischenInfo. Die folgende Datei wird von Windows geladen wenn er die atapi.sys laden will. Da aber die atapi's von dir (anscheinend alle) infiziert sind, hat TDSS killer den Pfad ersetzt und eine Datei erstellt. Somit wird die Datei nicht mehr geladen und dadurch hast Du auch keine Probleme mehr ;)
Gmer sieht jedoch die infizierte Datei.

Aber bevor da jetzt was in die Hose geht und ich falsch liege, checken wir das vorher durch :)

Scan mit SystemLook

Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop.

Download Mirror #1 - Download Mirror #2

• Doppelklick auf die SystemLook.exe, um das Tool zu starten.
  Vista-User mit Rechtsklick und als Administrator starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  
  Code:

  ---

  :filefind
C:\Windows\system32\drivers\tskBE01.tmp /md5

  ---

• Klicke nun auf den Button Look, um den Scan zu starten.
• Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, diese hier in den Thread posten.
• Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

Kannst Du mir die Logfile von Hitman Pro einmal posten bitte

Hier der Systemlook Log:

Hitman Pro hat keine "Anzahl an infizierten Spuren" gefunden. (gibt es noch irgendwo nen ausführliches Logfile oder reicht das?)

Ne reicht mir wenn hitman pro sagt es hat nichts gefunden.

Ich muss aber denoch noch ein wenig suchen

Bitte Systemlook nochmal starten

schritt 2

Navigiere bitte nach C:\windows und führe die mbr.exe als Admin aus
Der scan dauert nicht lange.
unter C:\windows findest du dann eine mbr.log
Poste mir bitte den inhalt der Logdatei


schritt 3

Wir brauchen ne livecd

Ok diese Anleitung ist groß. Drucke sie dir aus damit du weißt was du tun must.

Zwei Programme sind zu downloaden.

Schritt 1

ISOBurner
Dies wird dir erlauben die OTLPE ISO auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch. Wie brenne ich eine ISO Datei auf CD/DVD


Schritt 2

• Download OTLPE.iso und brenne es mit ISOBurner auf eine CD. NOTE: Die Datei ist 292MB groß und wird deshalb ein wenig dauern bis du sie gedownloadet hast.
• Wenn der Download fertig ist mache ein doppel Klick auf die Datei, was ISOBurner öffnet um es auf die CD zu brennen.
  Langsamste Brenngeschwindigkeit
• Starte dein System neu und boote von der CD die du gerade erstellt hast.
  Note : Wenn du nicht weist wie du deinen Computer dazu bringst von der CD zu booten, dann folge diesen Schritten hier
• Dein System sollte jetzt einen REATOGO-X-PE Desktop anzeigen.
• Mache einen doppel Klick auf das OTLPE Icon.
• Wenn du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Entsichere die Box "Automatically Load All Remaining Users" wenn sie gewählt ist und drücke OK.
• OTL sollte nun starten. Ändere die folgenden Einstellungen
• Drücke Run Scan um den Scan zu starten.
• Wenn er fertig ist werden die Dateien in C:\_OTL\MovedFiles gesichert
• Kopiere diesen Ordner auf deinen USB-Stick wenn du keine Internetverbindung auf diesem System hast.
• Bitte poste den Inhalt der OTL.txt Datei in diesen Thread.

So hier nochmal neues Systemlook Log:

und mbr Log:

Werde mich nu mal an die CD machen. Noch ne Frage zu dem Punkt . Also keine Einstellungen ändern? Kommt nehme ich an wegen Standardanleitung, die nicht verändert werden musste?

Ja genau, einfach nichts vornehmen. ich hab da was raus editiert und wohl diesen Teil vergessen :kaffee:

Hmmm, kann es sein, dass es mit einer DVD nicht funktioniert? Hab nun 2 Mal gebrannt (und vorher auch 2 Mal die Datei runtergeladen), aber wenn ich es von der DVD booten möchte, wird angezeigt: "no operating system found".

Falls es nur per CD geht, muss ich es morgen Abend nochmal versuchen...

*kurz zu Wort meld*

Funktioniert nur mit einer CD-R. ;)

&out

Hmm eben die CD gebrannt und gestartet. Hat diesmal auch geklappt. Beim starten der OTLPE Datei, sollte ich erst den/die(? :)) windows directory wählen (c:\windows ist hoffentlich die richtige Wahl), bei Do you wish to load remote user profile(s) for scanning hab ich den Eintrag mit meinem Benutzernamen gewählt und unten den Haken entfernt. Nach dem Scan steht zwar completed, aber in dem Ordner der in der Anleitung sind nur ältere Files, eine OTL.txt finde ich auch nicht. Oder soll ich nun nochmal mit normalem Windows Boot OTL durchlaufen lassen?

Hab gerade Email bekommen :)

schritt 1
Gmer dürfte die Datei die ich suche jetzt finden. :sword2:
Lade Dir bitte eine neue Version von Gmer herunter. Gehe sicher, das section angehakt ist. Wenn nicht, dies bitte ändern.
Ansonsten lass die Einstellungen wie sie sind.

Poste mir bitte die Logfile

schritt 2

Die OTLPE Log würde mich denoch intresieren.

Der Pfad scheint sich geändert zu haben. Siehe bitte unter C: nach einer OTL.txt nach. Wenn nicht vorhanden, dann führe folgendes aus.

Windows + R Taste --> notepad (reinschreiben) --> OK
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklich auf die file.bat, poste mir den Inhalt des Textdokuments.
Vista- User: Mit Rechtsklick "als Administrator starten"

Poste mir den Inhalt der log.txt


schritt 3

Lösche die vorhanden Version von Combofix.
BleepingComputer - ForoSpyware

Vergiss bitte nicht vor dem Start von CF deine Anti Virensoftware abzustellen.


Bitte poste in Deiner nächsten Antwort
Gmer.txt
log.txt
Combofix.txt

So finally:

GMER


und Combofix



OTL als Zip im Anhang

:(

schritt 1

Downloade Dir bitte Filelister

• Speichere die Datei auf dem Desktop.
• Rechtsklick und Extrahiere alle Dateien auf deinem Desktop.
• Öffne den File Lister Ordner.
• [color=green]Belasse die FileLister.vbe in dem Ordner
• Rechtsklick auf die .vbe und wähle öffnen
  
  http://bamajim.com/Images/unzip4.JPG
  
  (Vista und Win7 User mit Rechtsklick "Als Admin ausführen" )

Wenn der Scan beendet ist, wird C:\files.txt erstellt. Poste mir bitte den Inhalt.


schritt 2

Speichere folgendes aus der Codebox als scan.txt auf deinem Desktop

Starte wieder mit OTLPE. Klicke in die CustomScan Box und wähle im Explorer die scan.txt von deinem Desktop --> öffnen und klicke Run Scan

Die Log wird zum hochladen ;)

Der Log von Filelister ist bei mir leer (gut, schlecht, oder Bedienungsfehler?).

Bei OTLPE hab ich das Problem, dass er beim scannen jedes Mal bei "getting folder structure" hängen bleibt und irgendwann der Fehler "out of memory" kommt.

Bei Filelister, hast Du das Tool als Admin gestartet?
Besteht ein Ordner Filelister auf dem Desktop?
Wenn nicht, kann es sein das die Log auf dem Desktop ist oder nit mit Win7 kompatibel

Hast Du immer alle Tools als Admin gestartet ?
Trat das Problem mit OTLPE nur bei dem CustomScan auf ?

Speichere folgendes aus der Codebox als scan.txt auf deinem Desktop
Starte OTLPE und führe das Script wie vorher aus




Lege bitte einen Ordner Infected auf dem Desktop an.
Starte nun OTLPE und kopiere folgende Dateien aus C:\windows\system32\drivers in den Ordner

• atikmdag.sys
  atapi.sys
  disk.sys
  CLASSPNP.SYS
  tskBE01.tmp

Danach starte den PC in normalModus und lasse diese Dateien bei VT prüfen.
Wenn bei einer Datei nichts gefunden wird, brauche ich die Logfile dieser Datei nicht :)

(Jetzt bin ich dann bald am Ende mit meinem Chinesisch)

Hab ich vergessen zu erwähnen. Filelister kann ich nicht als Admin ausführen, liegt vielleicht an Windows 7?.... Nachdem das Programm durchgelaufen ist, fragt es ob die Log gespeichert werden soll, allerdings ist sie leer.

Gefunden hat VT was bei atapi.sys und tskBE01.tmp, jeweils wars eSafe

atapi Ergebnis:


tskBE01:

Wie sieht es mit der OTLPE Logfile aus ?

Ich würde dir schonmal eine Sicherung der wichtigsten Daten ans Herz legen.

Hmm, hoffe das ist die richtige. Müsste sie jedenfalls sein.

Wenn es am Ende aufs Formatieren hinausläuft, kann man das wohl nichts ändern. Vorwerfen, dass ihr nicht alles versucht habt, kann ich jedenfalls nicht ;)

OTLPE: