Trojaner-Board - BOO/Sinowal.F in Masterbootsektor und Bootsektor D (Win Xp SP 2)

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - BOO/Sinowal.F in Masterbootsektor und Bootsektor D (Win Xp SP 2) (https://www.trojaner-board.de/91027-boo-sinowal-f-masterbootsektor-bootsektor-d-win-xp-sp-2-a.html)

Zitat:

111 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
111 GB \\.\PhysicalDrive1 Known-bad MBR code detected (Whistler / Black Internet)!
SHA1: F65D57BC5DC0BB8B483C530704A274E574B15326

Starte bitte MBRCheck.exe erneut.
Diesmal tippe in das Fenster folgendes ein und bestätige jede Eingabe mit Enter
bei

Enter 'Y' and hit ENTER for more options, or 'N' to exit: y
Enter your choice: 2
Enter the physical disk number to fix (0-99, -1 to cancel): 1
Please select the MBR code to write to this drive: 1 (für XP)
Gib nun Yes ein und bestätige mit ENTER.
Starte den Rechner neu auf.

Nach dem Neustart starte bitte MBRCheck.exe erneut.
Nun findest Du 2 MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop.
Poste mir den Inhalt von beiden .txt Dokumenten

Ausgezeichnet, MBR hat nach dem Neustart nichts mehr gefunden!
Hier der log:

Zitat:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x0000007c

Kernel Drivers (total 129):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E4000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA0B8000 ohci1394.sys
0xBA0C8000 \WINDOWS\system32\DRIVERS\1394BUS.SYS
0xBA4BC000 compbatt.sys
0xBA4C0000 \WINDOWS\system32\DRIVERS\BATTC.SYS
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBA0D8000 MountMgr.sys
0xB9F48000 ftdisk.sys
0xBA5AC000 dmload.sys
0xB9F22000 dmio.sys
0xBA4C4000 ACPIEC.sys
0xBA671000 \WINDOWS\system32\DRIVERS\OPRGHDLR.SYS
0xBA330000 PartMgr.sys
0xBA0E8000 VolSnap.sys
0xB9F0A000 atapi.sys
0xB9E34000 iaStor.sys
0xB9E1E000 viamraid.sys
0xB9E06000 \WINDOWS\system32\DRIVERS\SCSIPORT.SYS
0xBA0F8000 disk.sys
0xBA108000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9DE7000 fltMgr.sys
0xB9DD5000 sr.sys
0xBA118000 PxHelp20.sys
0xB9DBE000 KSecDD.sys
0xB9D31000 Ntfs.sys
0xB9D04000 NDIS.sys
0xB9CE9000 Mup.sys
0xBA2A8000 \SystemRoot\system32\DRIVERS\nic1394.sys
0xBA148000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB9CA1000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0xB911C000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xB9108000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9C5C000 \SystemRoot\system32\DRIVERS\wmiacpi.sys
0xB90E3000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB8F41000 \SystemRoot\system32\DRIVERS\NETw3x32.sys
0xBA3D0000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB8F1E000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA3D8000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB8F0A000 \SystemRoot\system32\DRIVERS\Rtnicxp.sys
0xBA158000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBA3E0000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xB8EDB000 \SystemRoot\system32\DRIVERS\SynTP.sys
0xBA5D8000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBA3E8000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBA168000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBA3F0000 \SystemRoot\system32\drivers\Afc.sys
0xBA178000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xBA188000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB8EB8000 \SystemRoot\system32\DRIVERS\ks.sys
0xBA771000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA198000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB9C54000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB8EA1000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA1A8000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA1B8000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA3F8000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB8E90000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA1C8000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA400000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA408000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB8E5F000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xBA1D8000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA5DA000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB8E2B000 \SystemRoot\system32\DRIVERS\update.sys
0xB9C38000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xBA1E8000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xA8C68000 \SystemRoot\system32\DRIVERS\smserial.sys
0xBA428000 \SystemRoot\System32\Drivers\Modem.SYS
0xA8836000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xA87FF000 \SystemRoot\system32\drivers\portcls.sys
0xB92DC000 \SystemRoot\system32\drivers\drmk.sys
0xBA248000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBA61E000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA728000 \SystemRoot\System32\Drivers\Null.SYS
0xBA620000 \SystemRoot\System32\Drivers\Beep.SYS
0xBA440000 \SystemRoot\System32\drivers\vga.sys
0xBA622000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA624000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xBA448000 \SystemRoot\System32\Drivers\Msfs.SYS
0xBA438000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB9CBD000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xA4E1C000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xA4DC4000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xA4D87000 \SystemRoot\system32\DRIVERS\netbt.sys
0xA4D66000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xA4D44000 \SystemRoot\System32\drivers\afd.sys
0xA6930000 \SystemRoot\system32\DRIVERS\netbios.sys
0xA6920000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xBA460000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xA4D19000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xA6910000 \SystemRoot\system32\DRIVERS\arp1394.sys
0xA4C2F000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xA6900000 \SystemRoot\System32\Drivers\Fips.SYS
0xA19F7000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xBA660000 \??\F:\Progs\Avira\Avira\AntiVir Desktop\avgio.sys
0x9D2E6000 \SystemRoot\system32\DRIVERS\hidusb.sys
0x9BD29000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xA3FAC000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0x9D2D6000 \SystemRoot\system32\DRIVERS\mouhid.sys
0x9BCF9000 \SystemRoot\System32\Drivers\Cdfs.SYS
0x9C9D5000 \SystemRoot\System32\Drivers\dump_diskdump.sys
0x9BA3D000 \SystemRoot\System32\Drivers\dump_viamraid.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0x9BBE5000 \SystemRoot\System32\drivers\Dxapi.sys
0xA1D7A000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0x9BBA7000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\ati2dvag.dll
0xBF055000 \SystemRoot\System32\ati2cqag.dll
0xBF09A000 \SystemRoot\System32\atikvmag.dll
0xBF0DC000 \SystemRoot\System32\ati3duag.dll
0xBF37D000 \SystemRoot\System32\ativvaxx.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0x999A7000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xA3C52000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0x99902000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0x998C5000 \SystemRoot\system32\drivers\wdmaud.sys
0x9BAFC000 \SystemRoot\system32\drivers\sysaudio.sys
0x99565000 \SystemRoot\System32\Drivers\HTTP.sys
0x99356000 \SystemRoot\system32\DRIVERS\srv.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 48):
0 System Idle Process
4 System
800 C:\WINDOWS\system32\smss.exe
868 csrss.exe
900 C:\WINDOWS\system32\winlogon.exe
944 C:\WINDOWS\system32\services.exe
956 C:\WINDOWS\system32\lsass.exe
1156 C:\WINDOWS\system32\ati2evxx.exe
1172 C:\WINDOWS\system32\svchost.exe
1252 svchost.exe
1396 C:\WINDOWS\system32\svchost.exe
1460 svchost.exe
1624 svchost.exe
1920 C:\WINDOWS\system32\spoolsv.exe
2004 F:\Progs\Avira\Avira\AntiVir Desktop\sched.exe
180 svchost.exe
324 C:\WINDOWS\system32\ati2evxx.exe
464 C:\WINDOWS\explorer.exe
564 C:\WINDOWS\system32\rundll32.exe
568 C:\WINDOWS\ehome\ehtray.exe
604 F:\Progs\Avira\Avira\AntiVir Desktop\avgnt.exe
616 C:\Programme\VIA\RAID\raid_tool.exe
628 C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
636 C:\WINDOWS\RTHDCPL.exe
644 C:\WINDOWS\sm56hlpr.exe
652 C:\Programme\Synaptics\SynTP\SynTPEnh.exe
1204 F:\Progs\Microsoft Office\Office12\GrooveMonitor.exe
1312 F:\Progs\Adobe\Reader 9.0\Reader\reader_sl.exe
1324 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1332 C:\Programme\DivX\DivX Update\DivXUpdate.exe
1348 F:\Progs\yodm3d\Yodm3D.exe
1360 C:\Programme\Pando Networks\Media Booster\PMB.exe
1804 F:\Progs\Avira\Avira\AntiVir Desktop\avguard.exe
1856 svchost.exe
1004 C:\WINDOWS\ehome\ehrecvr.exe
212 C:\WINDOWS\ehome\ehSched.exe
548 F:\Progs\Java\bin\jqs.exe
1216 svchost.exe
1380 C:\WINDOWS\system32\svchost.exe
2236 F:\Progs\Avira\Avira\AntiVir Desktop\avshadow.exe
2284 mcrdsvc.exe
2348 C:\WINDOWS\system32\wuauclt.exe
2992 wmiprvse.exe
3040 wmiprvse.exe
3108 C:\WINDOWS\system32\dllhost.exe
3360 alg.exe
3880 C:\WINDOWS\ehome\ehmsas.exe
256 C:\Dokumente und Einstellungen\***\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000002`7116f400 (NTFS)
\\.\F: --> \\.\PhysicalDrive0 at offset 0x00000004`e22d6a00 (NTFS)

PhysicalDrive0 Model Number: FUJITSUMHV2120BH, Rev: 00000029
PhysicalDrive1 Model Number: FUJITSUMHV2120BH, Rev: 00000029

Size Device Name MBR Status
--------------------------------------------
111 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
111 GB \\.\PhysicalDrive1 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

Done!

edit: avira findet jetzt keine Viren in den Bootsektoren mehr - heißt das schon, dass ich aufatmen darf?

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Guten Morgen! :kaffee:

MWB hat nichts gefunden:

Code:

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org
 

Datenbank Version: 4680
 

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180
 

24.09.2010 08:50:11

mbam-log-2010-09-24 (08-50-11).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)

Durchsuchte Objekte: 327162

Laufzeit: 1 Stunde(n), 28 Minute(n), 44 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

allerdings SUPERantispyware:

Code:

 SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 09/24/2010 at 10:53 AM
 

Application Version : 4.43.1000
 

Core Rules Database Version : 5570

Trace Rules Database Version: 3382
 

Scan type       : Complete Scan

Total Scan Time : 01:57:39
 

Memory items scanned      : 806

Memory threats detected   : 0

Registry items scanned    : 6956

Registry threats detected : 0

File items scanned        : 179514

File threats detected     : 7
 

Adware.Tracking Cookie

    C:\Dokumente und Einstellungen\***\Cookies\***@serving-sys[2].txt

    C:\Dokumente und Einstellungen\***\Cookies\***@atdmt[1].txt

    C:\Dokumente und Einstellungen\***\Cookies\***@msnportal.112.2o7[1].txt

    C:\Dokumente und Einstellungen\***\Cookies\***@bs.serving-sys[1].txt

    C:\Dokumente und Einstellungen\***\Cookies\***@doubleclick[1].txt
 

Adware.Vundo/Variant-MSFake

    D:\SYSTEM VOLUME INFORMATION\_RESTORE{EF87FE99-5FA4-4700-AA51-23E5E80EC3BD}\RP118\A0029094.EXE

    D:\SYSTEM VOLUME INFORMATION\_RESTORE{EF87FE99-5FA4-4700-AA51-23E5E80EC3BD}\RP118\A0029107.EXE

Während des MWB-Scans hat auch antivir 3 Warnungen ausgespuckt. Eine bezog sich auf eine gleichartige *.exe Datei im gleichen Restore Point wie diejenigen, die SAS dann gefunden hat (ich habe leider bei diesen Meldungen voreilig löschen gedrückt, weshalb SAS die Datei dann auch nicht mehr finden konnte - sorry :daumenrunter: ). Die beiden anderen Meldungen bezogen sich allerdings auf *.bak-Dateien im gestern frisch angelegten MBRCheck Ordner. Ich habe Screenshots von den Meldungen angehängt.

Danke für deine Geduld!

edit: SAS ist ja zum Glück idiotensicher: die Dateien sind in Quarantäne und nicht endgültig gelöscht wie die von Antivir...

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.

Okay, hab ich gemacht. Danach gleich wieder aktiviert. Sind noch andere Dinge zu tun?
Die Boo/Sinowal.F-infizierten Dateien im mbrcheck-Ordner sind also nichts bedenkenswertes?

Tausend Dank für deine Hilfe soweit!!!

Das ist die Sicherheitskopie!! Kannst Du löschen, der MBR wurde ja gefixt!

Noch Probleme oder weitere Funde in der Zwischenzeit?

Ok, gelöscht habe ich die Dateien ja schon.
Nein, es scheint alles in Ordnung zu sein.

:dankeschoen: für dein Mühen!!

Wir sind dann durch! :)

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

:dankeschoen:

Werde deine Ratschläge gleich umsetzen!

Danke für deine Geduld! :party: